กลยุทธ์มัลติคลาวด์ด้วย Azure

หลายคลาวด์ หมายถึงการดำเนินงานเวิร์กโหลดบนผู้ให้บริการคลาวด์มากกว่าหนึ่งราย เช่น ใช้ Azure สำหรับบริการส่วนใหญ่ และใช้ AWS สำหรับแพลตฟอร์มการเรียนรู้ของเครื่องโดยเฉพาะ หรือใช้ Google Cloud สำหรับการวิเคราะห์ด้วย BigQuery องค์กรต่าง ๆ ใช้หลายคลาวด์เพื่อหลีกเลี่ยง การผูกติดกับผู้ให้บริการ ใช้ประโยชน์จากบริการชั้นนำของผู้ให้บริการแต่ละราย ปฏิบัติตามข้อกำหนดด้านสัญญาหรือกฎระเบียบเพื่อหลีกเลี่ยงการพึ่งพาผู้ให้บริการรายเดียว หรือเนื่องจากการควบรวมกิจการทำให้บริษัทที่เคยใช้คลาวด์แตกต่างกันมารวมกัน ปัจจุบันหลายคลาวด์ถือเป็นแนวทางปกติในองค์กรขนาดใหญ่

หลายคลาวด์นำมาซึ่งความท้าทายด้านการดำเนินงานอย่างมาก: ทักษะกระจัดกระจาย — ทีมต้องมีความเชี่ยวชาญในแพลตฟอร์มคลาวด์หลายระบบ การกำกับดูแลไม่สอดคล้องกัน — คลาวด์แต่ละระบบมีเครื่องมือสำหรับ IAM นโยบาย และการปฏิบัติตามข้อกำหนดแตกต่างกัน ความซับซ้อนด้านความปลอดภัย — รูปแบบภัยคุกคาม บริการความปลอดภัย และบันทึกการตรวจสอบแตกต่างกัน การจัดการต้นทุน — มีพอร์ทัลเรียกเก็บเงินแยกกัน หน่วยราคาแตกต่างกัน และไม่มีมุมมองต้นทุนแบบรวมศูนย์ระหว่างผู้ให้บริการ ความซับซ้อนของเครือข่าย — การรับส่งข้อมูลระหว่างคลาวด์มีค่าใช้จ่ายขาออกและความหน่วง Microsoft แก้ไขปัญหาเหล่านี้ได้หลายประการด้วย Azure Arc และการรองรับหลายคลาวด์ใน Defender for Cloud

เอเจนต์เครื่องที่เชื่อมต่อของ Azure Arc ซึ่งใช้เชื่อมต่อเซิร์ฟเวอร์ภายในองค์กร ยังทำงานบน VM ที่ทำงานอยู่ใน AWS EC2, Google Cloud Compute Engine หรือคลาวด์อื่น ๆ ได้ด้วย เมื่อจดทะเบียนกับ Arc แล้ว VM เหล่านี้จะแสดงอยู่ร่วมกับทรัพยากรแบบเนทีฟของ Azure ในพอร์ทัล ARM คุณสามารถใช้นโยบาย Azure ใช้ Azure Monitor พร้อมคำค้นหา KQL เดียวกัน และดูคำแนะนำด้านความปลอดภัยจาก Defender for Cloud สำหรับ VM ของ AWS และ GCP ได้ โดยไม่ต้องออกจากพอร์ทัล Azure หรือเรียนรู้เครื่องมือเฉพาะของ AWS

Microsoft Defender for Cloud รองรับตัวเชื่อมต่อแบบเนทีฟสำหรับ AWS และ Google Cloud Platform เมื่อเชื่อมต่อบัญชี AWS หรือโครงการ GCP แล้ว Defender for Cloud จะประเมินสถานะความปลอดภัยของอินสแตนซ์ EC2 บัคเก็ต S3 ฐานข้อมูล RDS และทรัพยากร GCP โดยใช้กรอบงาน Secure Score เดียวกับที่ใช้สำหรับ Azure ระบบจะจับคู่ผลการตรวจพบกับมาตรฐานต่าง ๆ เช่น CIS AWS Foundations Benchmark และตรวจหาการกำหนดค่าที่ไม่ถูกต้อง เช่น บัคเก็ต S3 ที่เข้าถึงได้จากสาธารณะหรือบทบาท IAM ที่อนุญาตกว้างเกินไป พร้อมแสดงคำแนะนำของ Azure ในแดชบอร์ดเดียวกัน

Azure Cost Management + Billing สามารถนำเข้าต้นทุนของ AWS ได้โดยเชื่อมต่อ AWS Cost and Usage Report (CUR) กับตัวเชื่อมต่อ Azure วิธีนี้จะแสดงค่าใช้จ่ายของ AWS ควบคู่กับค่าใช้จ่ายของ Azure ในมุมมองการวิเคราะห์ต้นทุนแบบรวมศูนย์ ทำให้เปรียบเทียบและจัดสรรต้นทุนข้ามคลาวด์ได้ คุณสามารถสร้างงบประมาณและการแจ้งเตือนที่ครอบคลุมผู้ให้บริการทั้งสองราย และใช้กลยุทธ์การติดแท็กเดียวกันสำหรับการแสดงต้นทุนหรือเรียกเก็บต้นทุนกลับ ทีม FinOps ที่จัดการค่าใช้จ่ายของผู้ให้บริการหลายรายจากมุมมองเดียวจะได้รับประโยชน์อย่างมากจากการมองเห็นต้นทุนหลายคลาวด์เช่นนี้

กลยุทธ์หลายคลาวด์จำนวนมากใช้ Kubernetes เป็นชั้นนามธรรมที่ทำงานเหมือนกันบนคลาวด์ใดก็ได้ AKS บน Azure, EKS บน AWS และ GKE บน GCP ล้วนทำงานด้วย Kubernetes มาตรฐาน Kubernetes ที่เปิดใช้ Azure Arc สามารถจัดการทั้งหมดจาก Azure พร้อมใช้งานการปรับใช้ที่อ้างอิง GitOps และนโยบาย Azure (OPA Gatekeeper) อย่างสอดคล้องกัน อิมเมจคอนเทนเนอร์ที่จัดเก็บใน Azure Container Registry สามารถดึงจากคลัสเตอร์ Kubernetes ของคลาวด์ใดก็ได้ ทำให้ Azure ACR เป็นศูนย์กลางรีจิสทรีอิมเมจสำหรับหลายคลาวด์โดยธรรมชาติ

โซนเริ่มต้นใช้งาน Azure คือสภาพแวดล้อมที่กำหนดค่าไว้ล่วงหน้าเพื่อใช้แนวทางปฏิบัติที่ดีด้านการกำกับดูแล ข้อมูลประจำตัว ความปลอดภัย และเครือข่าย เมื่อใช้หลายคลาวด์ องค์กรจะขยายแนวคิดของโซนเริ่มต้นใช้งานเพื่อกำหนดมาตรฐานที่ใช้กับผู้ให้บริการทุกราย Microsoft Cloud Adoption Framework (CAF) มีคำแนะนำสำหรับหลายคลาวด์เกี่ยวกับการจัดโครงสร้างลำดับชั้นของกลุ่มการจัดการ รูปแบบการตั้งชื่อ และกลยุทธ์การติดแท็กให้ทำงานอย่างสอดคล้องกัน ไม่ว่าทรัพยากรจะอยู่ใน Azure, AWS หรือภายในองค์กร

การเชื่อมต่อเวิร์กโหลดของ Azure และ AWS (หรือ GCP) จำเป็นต้องใช้เครือข่ายระหว่างคลาวด์ รูปแบบที่พบบ่อย ได้แก่ อุโมงค์ VPN ระหว่าง Azure VPN Gateway กับ AWS Virtual Private Gateway หรือ GCP VPN — ตั้งค่าได้ไม่ซับซ้อน แต่มีแบนด์วิดท์จำกัดและความหน่วงไม่คงที่ SD-WAN จากผู้ให้บริการภายนอก เช่น Megaport หรือ Equinix Fabric — สร้างวงจรส่วนตัวข้ามคลาวด์คล้าย ExpressRoute การผสานรวมระดับแอปพลิเคชัน — บริการสื่อสารผ่าน HTTPS โดยใช้ปลายทางสาธารณะ ซึ่งเป็นตัวเลือกที่ง่ายที่สุดแต่ใช้อินเทอร์เน็ต ค่าแบนด์วิดท์ขาออกใน AWS และ GCP ทำให้การถ่ายโอนข้อมูลปริมาณมากระหว่างคลาวด์มีค่าใช้จ่ายสูง

Microsoft เอนทรา ID สามารถทำหน้าที่เป็นผู้ให้บริการข้อมูลประจำตัว (IdP) สำหรับการเข้าถึงหลายคลาวด์ได้ สำหรับ AWS คุณสามารถกำหนดค่า เอนทรา ID เป็น IdP แบบ SAML 2.0 สำหรับ AWS IAM Identity Center เพื่อให้ผู้ใช้เข้าถึงคอนโซล AWS ด้วยข้อมูลประจำตัวของเอนทรา ID และ MFA ได้ โดยไม่ต้องสร้างผู้ใช้ AWS IAM แยกต่างหาก สำหรับ GCP ก็สามารถทำการรวมข้อมูลประจำตัวในลักษณะเดียวกันได้ วิธีนี้รวมศูนย์การกำกับดูแลข้อมูลประจำตัว ผู้ใช้ใหม่ ผู้ใช้ที่เปลี่ยนตำแหน่ง และผู้ใช้ที่ออกจากองค์กรจะได้รับการจัดการในเอนทรา ID และสิทธิ์การเข้าถึงจะเผยแพร่ไปยังผู้ให้บริการคลาวด์ทุกรายโดยอัตโนมัติ

แนวปฏิบัติ FinOps (การดำเนินงานด้านการเงินคลาวด์) มีความซับซ้อนมากขึ้นในหลายคลาวด์ เนื่องจากผู้ให้บริการแต่ละรายมีรูปแบบราคา กลไกส่วนลด และระดับรายละเอียดของการเรียกเก็บเงินแตกต่างกัน แนวปฏิบัติที่ดี ได้แก่ ทำให้การติดแท็กเป็นมาตรฐานเดียวกันในผู้ให้บริการทุกรายเพื่อจัดสรรต้นทุน ใช้ตัวเชื่อมต่อ AWS ของ Azure Cost Management + Billing เพื่อให้มองเห็นต้นทุนแบบรวมศูนย์ จัดตั้งทีม FinOps ที่เข้าใจอินสแตนซ์แบบจองล่วงหน้า (Azure), แผนการประหยัด (AWS/Azure) และส่วนลดจากการใช้งานที่ผูกพัน (GCP) และทบทวนต้นทุนข้ามผู้ให้บริการเป็นประจำ โดยเปรียบเทียบต้นทุนของเวิร์กโหลดที่เทียบเท่ากัน

หลายคลาวด์อาจก่อให้เกิดปัญหาได้หากไม่ได้รับการจัดการอย่างรอบคอบ รูปแบบต่อต้าน ที่ควรหลีกเลี่ยง ได้แก่ หลายคลาวด์โดยไม่ได้ตั้งใจ — การใช้หลายคลาวด์โดยไม่มีกลยุทธ์ทำให้ทรัพยากรขยายตัวและมีต้นทุนอย่างควบคุมไม่ได้ การใช้ทักษะเกินขอบเขต — กำหนดให้วิศวกรทุกคนต้องเชี่ยวชาญคลาวด์ทุกระบบ ควรกำหนดเจ้าของคลาวด์แยกตามแพลตฟอร์มแทน ความปลอดภัยไม่สอดคล้องกัน — ใช้พื้นฐานความปลอดภัยแตกต่างกันในแต่ละคลาวด์ ควรใช้ Azure Arc และ Defender for Cloud เพื่อบังคับใช้ความสอดคล้อง การมองข้ามต้นทุนขาออก — การถ่ายโอนข้อมูลระหว่างคลาวด์คิดค่าบริการตามอัตราขาออกของผู้ให้บริการ และอาจทำให้ทีม FinOps ประหลาดใจได้

ทดสอบความเข้าใจแนวคิด Microsoft Azure Fundamentals (AZ-900) จากบทเรียนนี้

ในบทเรียนนี้ คุณได้เรียนรู้ว่า Azure Arc ขยายการจัดการ Azure ไปยัง VM ของ AWS และ GCP โดยใช้เอเจนต์เครื่องที่เชื่อมต่อเดียวกัน ตัวเชื่อมต่อหลายคลาวด์ของ Microsoft Defender for Cloud แสดงผลการตรวจพบด้านความปลอดภัยจากผู้ให้บริการหลายรายใน Secure Score แบบรวมศูนย์ และ การรวมข้อมูลประจำตัวของ Microsoft เอนทรา ID ช่วยให้ลงชื่อเข้าใช้คอนโซล AWS และ GCP ได้จากข้อมูลประจำตัวองค์กรเพียงชุดเดียว หลักสูตร Azure Hybrid และหลายคลาวด์จบลงเพียงเท่านี้ บทถัดไปคือ Well-Architected Framework สำหรับประเมินและปรับปรุงสถาปัตยกรรม Azure ของคุณ