Strategier för flera moln med Azure

Multicloud innebär att köra arbetsbelastningar hos mer än en molnleverantör – till exempel att använda Azure för de flesta tjänster och AWS för en specifik plattform för maskininlärning eller Google Cloud för BigQuery-analys. Organisationer väljer multicloud för att undvika leverantörsinlåsning, dra nytta av varje leverantörs bästa tjänster, uppfylla avtals- eller regulatoriska krav på att undvika beroende av en enda leverantör eller eftersom fusioner och förvärv har sammanfört företag som standardiserat på olika moln. Multicloud är i dag standarden i stora företag.

Multicloud medför betydande operativa utmaningar: Kompetensspridning – teamen behöver expertis inom flera molnplattformar. Inkonsekvent styrning – varje moln har olika verktyg för IAM, policyer och efterlevnad. Säkerhetskomplexitet – olika hotmodeller, olika säkerhetstjänster och olika granskningsloggar. Kostnadshantering – separata faktureringsportaler, olika prissättningsenheter och ingen enhetlig kostnadsöversikt för alla leverantörer. Nätverkskomplexitet – trafik mellan moln medför kostnader för utgående trafik och fördröjning. Microsoft hanterar många av dessa utmaningar med Azure Arc och stöd för multicloud i Defender for Cloud.

Samma anslutna maskinagent för Azure Arc som registrerar lokala servrar fungerar även på virtuella datorer som körs i AWS EC2, Google Cloud Compute Engine eller något annat moln. När dessa virtuella datorer har registrerats med Arc visas de tillsammans med Azure-baserade resurser i ARM-portalen. Du kan tillämpa Azure Policy, använda Azure Monitor med samma KQL-frågor och visa säkerhetsrekommendationer från Defender for Cloud för AWS- och GCP-virtuella datorer – utan att lämna Azure-portalen eller lära dig AWS-specifika verktyg.

Microsoft Defender for Cloud har inbyggda anslutningsprogram för AWS och Google Cloud Platform. Genom att ansluta ditt AWS-konto eller GCP-projekt kan Defender for Cloud bedöma säkerhetsläget för EC2-instanser, S3-buckets, RDS-databaser och GCP-resurser med samma Secure Score-ramverk som för Azure. Tjänsten mappar resultat till standarder som CIS AWS Foundations Benchmark och upptäcker felkonfigurationer (offentligt tillgängliga S3-buckets och alltför generösa IAM-roller) tillsammans med Azure-rekommendationer i en och samma instrumentpanel.

Azure Cost Management + Billing kan läsa in AWS-kostnader genom att ansluta din AWS Cost and Usage Report (CUR) till en Azure Connector. Då visas AWS-kostnader tillsammans med Azure-kostnader i en enhetlig kostnadsanalysvy, vilket möjliggör kostnadsjämförelser och kostnadsfördelning mellan moln. Du kan skapa budgetar och aviseringar som omfattar båda leverantörerna och använda samma taggningsstrategi för showback/chargeback. Denna kostnadsöversikt över flera moln är värdefull för FinOps-team som hanterar utgifter hos flera leverantörer från en enda vy.

Många multicloud-strategier använder Kubernetes som ett abstraktionslager som körs på samma sätt i alla moln. AKS i Azure, EKS i AWS och GKE i GCP kör alla standardiserad Kubernetes. Azure Arc-aktiverad Kubernetes kan hantera dem alla från Azure och tillämpa GitOps-baserade distributioner och Azure Policy (OPA Gatekeeper) konsekvent. Containeravbildningar som lagras i Azure Container Registry kan hämtas från alla molns Kubernetes-kluster, vilket gör Azure ACR till ett naturligt nav för avbildningsregister i multicloud-miljöer.

En Azure Landing Zone är en förkonfigurerad miljö som implementerar bästa praxis för styrning, identitet, säkerhet och nätverk. När en organisation inför multicloud utvidgar den konceptet med landing zones för att definiera standarder som gäller hos alla leverantörer. Microsofts Cloud Adoption Framework (CAF) innehåller vägledning för multicloud om hur hierarkier av hanteringsgrupper, namnkonventioner och taggningsstrategier ska struktureras så att de fungerar konsekvent oavsett om resursen finns i Azure, AWS eller lokalt.

För att ansluta arbetsbelastningar i Azure och AWS (eller GCP) krävs nätverk mellan molnen. Vanliga mönster är: VPN-tunnlar mellan Azure VPN Gateway och en AWS Virtual Private Gateway eller GCP VPN – enkelt att införa, men med begränsad bandbredd och varierande fördröjning. SD-WAN från tredje part (till exempel Megaport och Equinix Fabric) – skapar privata kretsar mellan moln, ungefär som ExpressRoute. Integration på applikationslagret – tjänster kommunicerar via HTTPS genom offentliga slutpunkter (det enklaste alternativet, men internet används). Kostnader för utgående bandbredd i AWS och GCP gör dataöverföring mellan moln dyr vid stora volymer.

Microsoft Entra ID kan fungera som identitetsprovider (IdP) för åtkomst till flera moln. För AWS kan du konfigurera Entra ID som SAML 2.0 IdP för AWS IAM Identity Center, så att användare kan komma åt AWS-konsolen med sina Entra ID-autentiseringsuppgifter och MFA – utan separata AWS IAM-användare. En liknande federation är möjlig för GCP. Detta centraliserar identitetsstyrningen – nya användare, rollbyten och avslutade användare hanteras i Entra ID, och åtkomsten sprids automatiskt till alla molnleverantörer.

Arbetssätt inom FinOps (Cloud Financial Operations) blir mer komplexa i multicloud eftersom varje leverantör har olika prismodeller, rabattmekanismer och detaljnivå för fakturering. Bästa praxis är att standardisera taggning hos alla leverantörer för kostnadsfördelning, använda AWS-anslutningsprogrammet i Azure Cost Management + Billing för en samlad överblick, inrätta ett FinOps-team som förstår Reserved Instances (Azure), Savings Plans (AWS/Azure) och Committed Use Discounts (GCP) samt regelbundet granska kostnader mellan leverantörer genom att jämföra kostnaden för likvärdiga arbetsbelastningar.

Multicloud kan skapa problem om miljön inte hanteras omsorgsfullt. Vanliga antimönster att undvika är: Oavsiktlig multicloud – att använda flera moln utan en strategi leder till okontrollerad spridning och ökade kostnader. Överbelastning av kompetens – att kräva att alla utvecklare ska vara experter på varje moln; utse i stället molnansvariga för varje plattform. Inkonsekvent säkerhet – att tillämpa olika säkerhetsbaslinjer per moln; använd Azure Arc och Defender for Cloud för att upprätthålla enhetlighet. Ignorerade kostnader för utgående trafik – dataöverföring mellan moln debiteras enligt leverantörernas priser för utgående trafik och kan överraska FinOps-team.

I den här lektionen har du lärt dig att Azure Arc utökar Azure-hanteringen till virtuella AWS- och GCP-datorer med samma anslutna maskinagent, att Microsoft Defender for Cloud-anslutningsprogram för multicloud visar säkerhetsresultat från flera leverantörer i en enhetlig Secure Score och att Microsoft Entra ID-federation möjliggör enkel inloggning till AWS- och GCP-konsoler från en enda företagsidentitet. Därmed är kursen Azure Hybrid and Multi-Cloud avslutad – nästa del handlar om Well-Architected Framework, som används för att utvärdera och förbättra dina Azure-arkitekturer.