Multi-cloudstrategieën met Azure

Multi-cloud betekent dat u werklasten verspreid over meer dan één cloudprovider uitvoert — bijvoorbeeld Azure gebruikt voor de meeste services, terwijl u AWS gebruikt voor een specifiek machinelearningplatform of Google Cloud voor BigQuery-analyses. Organisaties kiezen voor multi-cloud om vendor lock-in te voorkomen, de beste services van elke provider te benutten, te voldoen aan contractuele of wettelijke vereisten om afhankelijkheid van één provider te voorkomen, of omdat fusies en overnames bedrijven hebben samengebracht die verschillende clouds als standaard gebruikten. Multi-cloud is tegenwoordig de norm bij grote ondernemingen.

Multi-cloud brengt aanzienlijke operationele uitdagingen met zich mee: verspreiding van vaardigheden — teams hebben expertise nodig in meerdere cloudplatforms. Inconsistent beheer — elke cloud heeft andere hulpmiddelen voor IAM, beleid en compliance. Complexe beveiliging — verschillende dreigingsmodellen, verschillende beveiligingsservices en verschillende auditlogboeken. Kostenbeheer — afzonderlijke facturatieportalen, verschillende prijseenheden en geen uniform kostenoverzicht voor alle providers. Netwerkcomplexiteit — verkeer tussen clouds brengt kosten voor uitgaand verkeer en latentie met zich mee. Microsoft pakt veel van deze uitdagingen aan met Azure Arc en multi-cloudondersteuning in Defender for Cloud.

Dezelfde agent voor verbonden machines van Azure Arc die on-premises servers registreert, werkt ook op VM's die worden uitgevoerd in AWS EC2, Google Cloud Compute Engine of een andere cloud. Zodra deze VM's met Arc zijn geregistreerd, verschijnen ze naast systeemeigen Azure-resources in de ARM-portal. U kunt Azure Policy toepassen, Azure Monitor gebruiken met dezelfde KQL-query's en beveiligingsaanbevelingen van Defender for Cloud bekijken voor AWS- en GCP-VM's — zonder de Azure-portal te verlaten of AWS-specifieke hulpmiddelen te leren.

Microsoft Defender for Cloud ondersteunt systeemeigen connectors voor AWS en Google Cloud Platform. Door uw AWS-account of GCP-project te verbinden, kan Defender for Cloud de beveiligingsstatus van EC2-instanties, S3-buckets, RDS-databases en GCP-resources beoordelen met hetzelfde Secure Score-framework dat het voor Azure gebruikt. Het koppelt bevindingen aan standaarden zoals CIS AWS Foundations Benchmark en detecteert onjuiste configuraties (publiek toegankelijke S3-buckets, IAM-rollen met te ruime machtigingen) naast Azure-aanbevelingen in één dashboard.

Azure Cost Management + Billing kan AWS-kosten opnemen door uw AWS Cost and Usage Report (CUR) te verbinden met een Azure Connector. Hierdoor worden AWS-uitgaven naast Azure-uitgaven weergegeven in een uniform kostenanalyseoverzicht, zodat u kosten tussen clouds kunt vergelijken en toewijzen. U kunt budgetten en waarschuwingen maken die beide providers omvatten en dezelfde tagstrategie toepassen voor doorbelasting en kostenrapportage. Dit inzicht in multi-cloudkosten is waardevol voor FinOps-teams die uitgaven bij meerdere providers vanuit één overzicht beheren.

Veel multi-cloudstrategieën gebruiken Kubernetes als abstractielaag die identiek in elke cloud wordt uitgevoerd. AKS op Azure, EKS op AWS en GKE op GCP voeren allemaal standaard Kubernetes uit. Azure Arc-enabled Kubernetes kan ze allemaal vanuit Azure beheren en GitOps-gebaseerde implementaties en Azure Policy (OPA Gatekeeper) consistent toepassen. Containerimages die zijn opgeslagen in Azure Container Registry kunnen vanuit het Kubernetes-cluster van elke cloud worden opgehaald, waardoor Azure ACR een natuurlijke hub voor een multi-cloudimageregister is.

Een Azure Landing Zone is een vooraf geconfigureerde omgeving die aanbevolen procedures voor beheer, identiteit, beveiliging en netwerken implementeert. Bij de invoering van multi-cloud breiden organisaties het concept van de landing zone uit om standaarden te definiëren die op alle providers van toepassing zijn. Het Microsoft Cloud Adoption Framework (CAF) bevat richtlijnen voor multi-cloud over het structureren van hiërarchieën van beheergroepen, naamgevingsconventies en tagstrategieën die consistent werken, ongeacht of de resource zich in Azure, AWS of on-premises bevindt.

Voor het verbinden van Azure- en AWS- (of GCP-)werklasten is netwerken tussen clouds nodig. Veelgebruikte patronen: VPN-tunnels tussen Azure VPN Gateway en een AWS Virtual Private Gateway of GCP VPN — eenvoudig, maar met beperkte bandbreedte en wisselende latentie. SD-WAN van derden (bijvoorbeeld Megaport, Equinix Fabric) — maakt private verbindingen tussen clouds die vergelijkbaar zijn met ExpressRoute. Integratie op applicatieniveau — services communiceren via HTTPS door middel van openbare eindpunten (de eenvoudigste optie, maar hierbij wordt internet gebruikt). Kosten voor uitgaande bandbreedte in AWS en GCP maken gegevensoverdracht tussen clouds op grote schaal duur.

Microsoft Entra ID kan fungeren als identityprovider (IdP) voor toegang tot meerdere clouds. Voor AWS kunt u Entra ID als de SAML 2.0-IdP voor AWS IAM Identity Center configureren, zodat gebruikers met hun Entra ID-aanmeldingsgegevens en MFA toegang krijgen tot de AWS-console — zonder afzonderlijke AWS IAM-gebruikers. Voor GCP is een vergelijkbare federatie mogelijk. Hierdoor wordt identiteitsbeheer gecentraliseerd — nieuwe medewerkers, functiewijzigingen en vertrekkende medewerkers worden in Entra ID beheerd en toegang wordt automatisch naar alle cloudproviders doorgegeven.

FinOps (Cloud Financial Operations) wordt complexer in een multi-cloudomgeving, omdat elke provider andere prijsmodellen, kortingsmechanismen en factureringsniveaus heeft. Aanbevolen procedures zijn: standaardiseer tags bij alle providers voor kostentoewijzing; gebruik de AWS-connector van Azure Cost Management + Billing voor uniform inzicht; stel een FinOps-team samen dat inzicht heeft in Reserved Instances (Azure), Savings Plans (AWS/Azure) en Committed Use Discounts (GCP); en voer regelmatig kostenbeoordelingen tussen providers uit waarbij u de kosten van gelijkwaardige werklasten vergelijkt.

Multi-cloud kan problemen veroorzaken als u het niet zorgvuldig beheert. Veelvoorkomende antipatronen die u moet vermijden: onbedoelde multi-cloud — meerdere clouds gebruiken zonder strategie leidt tot ongecontroleerde wildgroei en hoge kosten. Overbelasting van vaardigheden — van alle engineers verwachten dat ze expert zijn in elke cloud; wijs in plaats daarvan per platform cloudverantwoordelijken aan. Inconsistente beveiliging — per cloud verschillende beveiligingsbaselines toepassen; gebruik Azure Arc en Defender for Cloud om consistentie af te dwingen. Kosten voor uitgaand verkeer negeren — gegevensoverdracht tussen clouds wordt berekend tegen de tarieven voor uitgaand verkeer van de provider en kan FinOps-teams verrassen.

In deze les hebt u geleerd dat Azure Arc het Azure-beheer uitbreidt naar AWS- en GCP-VM's met dezelfde agent voor verbonden machines, dat multi-cloudconnectors van Microsoft Defender for Cloud beveiligingsbevindingen van verschillende providers in één Secure Score zichtbaar maken en dat Microsoft Entra ID-federatie single sign-on naar AWS- en GCP-consoles mogelijk maakt vanuit één bedrijfsidentiteit. Hiermee is de cursus Azure Hybrid and Multi-Cloud voltooid — hierna volgt het Well-Architected Framework om uw Azure-architecturen te evalueren en te verbeteren.