Strategie multicloud z platformą Azure

Multi-cloud oznacza uruchamianie obciążeń u więcej niż jednego dostawcy chmury — na przykład korzystanie z platformy Azure dla większości usług, a jednocześnie z AWS dla konkretnej platformy uczenia maszynowego lub z Google Cloud na potrzeby analizy danych w BigQuery. Organizacje wdrażają model multi-cloud, aby: uniknąć uzależnienia od dostawcy, korzystać z najlepszych w swojej klasie usług poszczególnych dostawców, spełniać wymagania umowne lub regulacyjne dotyczące unikania zależności od jednego dostawcy albo dlatego, że w wyniku fuzji i przejęć połączono firmy, które korzystały ze standaryzacji na różnych platformach chmurowych. Obecnie multi-cloud jest standardem w dużych przedsiębiorstwach.

Model multi-cloud wiąże się z poważnymi wyzwaniami operacyjnymi: Rozrost kompetencji — zespoły muszą znać wiele platform chmurowych. Niespójne zarządzanie — każda chmura ma inne narzędzia IAM, narzędzia do definiowania zasad i zapewniania zgodności. Złożoność zabezpieczeń — różne modele zagrożeń, różne usługi zabezpieczeń i różne dzienniki inspekcji. Zarządzanie kosztami — oddzielne portale rozliczeniowe, różne jednostki cenowe i brak ujednoliconego widoku kosztów u wszystkich dostawców. Złożoność sieci — ruch między chmurami wiąże się z kosztami transferu wychodzącego i opóźnieniami. Firma Microsoft rozwiązuje wiele z tych problemów za pomocą Azure Arc i obsługi multi-cloud w usłudze Defender for Cloud.

Ten sam agent połączonej maszyny Azure Arc, który służy do dołączania serwerów lokalnych, działa również na maszynach wirtualnych uruchomionych w AWS EC2, Google Cloud Compute Engine oraz dowolnej innej chmurze. Po zarejestrowaniu w usłudze Arc maszyny te są wyświetlane obok zasobów natywnych platformy Azure w portalu ARM. Mogą Państwo stosować Azure Policy, korzystać z usługi Azure Monitor z użyciem tych samych zapytań KQL oraz wyświetlać rekomendacje dotyczące zabezpieczeń maszyn wirtualnych AWS i GCP w usłudze Defender for Cloud — bez opuszczania portalu Azure i bez konieczności poznawania narzędzi charakterystycznych dla AWS.

Microsoft Defender for Cloud obsługuje natywne łączniki dla usług AWS i Google Cloud Platform. Po połączeniu konta AWS lub projektu GCP usługa Defender for Cloud może oceniać stan zabezpieczeń instancji EC2, zasobników S3, baz danych RDS i zasobów GCP za pomocą tej samej struktury Secure Score, której używa w przypadku platformy Azure. Mapuje ona ustalenia do standardów, takich jak CIS AWS Foundations Benchmark, oraz wykrywa błędne konfiguracje (publicznie dostępne zasobniki S3, role IAM z nadmiernymi uprawnieniami), prezentując je wraz z rekomendacjami dotyczącymi platformy Azure na jednym pulpicie nawigacyjnym.

Azure Cost Management + Billing może pobierać dane o kosztach AWS po połączeniu raportu AWS Cost and Usage Report (CUR) z Azure Connector. Dzięki temu wydatki AWS są prezentowane obok wydatków Azure w ujednoliconym widoku analizy kosztów, co umożliwia porównywanie i alokowanie kosztów między chmurami. Mogą Państwo tworzyć budżety i alerty obejmujące obu dostawców oraz stosować tę samą strategię tagowania na potrzeby showback/chargeback. Taka widoczność kosztów w modelu multi-cloud jest cenna dla zespołów FinOps zarządzających wydatkami u kilku dostawców z jednego miejsca.

Wiele strategii multi-cloud wykorzystuje Kubernetes jako warstwę abstrakcji działającą identycznie w każdej chmurze. AKS na platformie Azure, EKS w AWS i GKE w GCP uruchamiają standardowy Kubernetes. Usługa Azure Arc-enabled Kubernetes może zarządzać nimi wszystkimi z poziomu platformy Azure, spójnie stosując wdrożenia oparte na GitOps oraz Azure Policy (OPA Gatekeeper). Obrazy kontenerów przechowywane w usłudze Azure Container Registry można pobierać z klastra Kubernetes w dowolnej chmurze, dzięki czemu Azure ACR jest naturalnym centralnym rejestrem obrazów dla środowisk multi-cloud.

Azure Landing Zone to wstępnie skonfigurowane środowisko, które wdraża najlepsze praktyki w zakresie zarządzania, tożsamości, zabezpieczeń i sieci. Przy wdrażaniu modelu multi-cloud organizacje rozszerzają tę koncepcję, definiując standardy obowiązujące u wszystkich dostawców. Opracowany przez firmę Microsoft Cloud Adoption Framework (CAF) zawiera wskazówki dotyczące modelu multi-cloud, w tym informacje o strukturze hierarchii grup zarządzania, konwencjach nazewnictwa i strategiach tagowania, które działają spójnie niezależnie od tego, czy zasób znajduje się na platformie Azure, w AWS, czy lokalnie.

Połączenie obciążeń Azure i AWS (lub GCP) wymaga sieci między chmurami. Typowe wzorce obejmują: tunele VPN między usługą Azure VPN Gateway a AWS Virtual Private Gateway lub GCP VPN — rozwiązanie proste, ale oferujące ograniczoną przepustowość i zmienne opóźnienia. SD-WAN innej firmy (np. Megaport, Equinix Fabric) — tworzy prywatne obwody między chmurami, podobne do ExpressRoute. Integrację na poziomie aplikacji — usługi komunikują się za pośrednictwem protokołu HTTPS przez publiczne punkty końcowe (to najprostsza opcja, ale wykorzystuje Internet). Koszty przepustowości wychodzącej w AWS i GCP sprawiają, że transfer dużych ilości danych między chmurami jest kosztowny.

Microsoft Entra ID może pełnić funkcję dostawcy tożsamości (IdP) na potrzeby dostępu do wielu chmur. W przypadku AWS można skonfigurować Entra ID jako dostawcę tożsamości SAML 2.0 dla AWS IAM Identity Center, umożliwiając użytkownikom dostęp do konsoli AWS za pomocą poświadczeń Entra ID i uwierzytelniania wieloskładnikowego (MFA) — bez tworzenia oddzielnych użytkowników AWS IAM. W przypadku GCP możliwe jest zastosowanie podobnej federacji. Centralizuje to zarządzanie tożsamościami — dołączanie, zmiana uprawnień i usuwanie użytkowników odbywają się w Entra ID, a dostęp jest automatycznie propagowany do wszystkich dostawców chmury.

Praktyki FinOps (Cloud Financial Operations) stają się bardziej złożone w modelu multi-cloud, ponieważ każdy dostawca stosuje inne modele cenowe, mechanizmy rabatowe i poziom szczegółowości rozliczeń. Najlepsze praktyki obejmują: ujednolicenie tagowania u wszystkich dostawców na potrzeby alokacji kosztów; używanie łącznika AWS w usłudze Azure Cost Management + Billing w celu uzyskania ujednoliconego wglądu; utworzenie zespołu FinOps znającego Reserved Instances (Azure), Savings Plans (AWS/Azure) i Committed Use Discounts (GCP); a także regularne przeglądy kosztów u poszczególnych dostawców, obejmujące porównanie kosztów równoważnych obciążeń.

Model multi-cloud może powodować problemy, jeśli nie jest starannie zarządzany. Typowe antywzorce, których należy unikać, to: Przypadkowy multi-cloud — korzystanie z wielu chmur bez strategii prowadzi do niekontrolowanego rozrostu środowiska i wzrostu kosztów. Nadmierne obciążenie kompetencji — wymaganie, aby każdy inżynier był ekspertem w każdej chmurze; zamiast tego należy wyznaczyć właścicieli poszczególnych platform. Niespójne zabezpieczenia — stosowanie różnych bazowych konfiguracji zabezpieczeń w poszczególnych chmurach; do wymuszania spójności należy używać Azure Arc i Defender for Cloud. Pomijanie kosztów transferu wychodzącego — transfer danych między chmurami jest rozliczany według stawek dostawcy za transfer wychodzący i może zaskoczyć zespoły FinOps.

Sprawdź swoją wiedzę na temat zagadnień Microsoft Azure Fundamentals (AZ-900) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: Azure Arc rozszerza zarządzanie platformą Azure na maszyny wirtualne AWS i GCP za pomocą tego samego agenta połączonej maszyny, łączniki multi-cloud usługi Microsoft Defender for Cloud prezentują ustalenia dotyczące zabezpieczeń u różnych dostawców w ramach ujednoliconego wyniku Secure Score, a federacja Microsoft Entra ID umożliwia logowanie jednokrotne do konsol AWS i GCP za pomocą jednej tożsamości firmowej. To kończy kurs Azure Hybrid and Multi-Cloud — następnym tematem będzie Well-Architected Framework, który służy do oceny i ulepszania architektur platformy Azure.