8 Min. Lesezeit

Lernziele

Am Ende dieses Moduls werden Sie in der Lage sein:

  • Den Vertrag als kommerzielle, Governance- und Prüfgrenze von dem virtuellen Rechenzentrum als regionale Segmentierungsprimitive innerhalb davon unterscheiden.
  • Entscheiden, wann ein Workload einen separaten Vertrag oder ein separates virtuelles Rechenzentrum erfordert.
  • Die Grenzhaftigkeit berücksichtigen: regionsspezifische IPs und Bilder sowie das Fehlen von nativem Cross-Contract-Sharing oder Prüfungsaggregation.
  • Das erste virtuelle Rechenzentrum im Data Center Designer erstellen und Region und Namen als endgültige Entscheidungen festlegen.

Einheit 2.1: Ressourcenmodell: Verträge, Virtuelle Rechenzentren und Grenzen

Einführung

Bevor ein Unternehmen Rechenressourcen oder Netzwerke erstellt, muss es zwei strukturelle Fragen klären: Wo liegt die Grenze zwischen den kommerziellen und Prüfungsanforderungen, und wie ist die regionale Segmentierung darunter organisiert. Bei IONOS entsprechen diese zwei Fragen zwei verschiedenen Grundprinzipien, dem Vertrag und dem virtuellen Rechenzentrum, und die Verwechslung dieser beiden Konzepte ist einer der teuersten Fehler, den ein Architekt machen kann, da viele der Entscheidungen effektiv nicht mehr rückgängig gemacht werden können, sobald ein Workload erstellt wurde. Diese Einheit klärt die Bedeutung jeder Grenze, zeigt, wo die Plattform bewusst keine Überschreitung dieser Grenzen zulässt, und endet mit der Erstellung des ersten virtuellen Rechenzentrums von FinCorp im Data Center Designer, wobei die Region und der Name als dauerhafte Auswahl getroffen werden.

1. Die Vertragsgrenze und das VDC darunter

Der Vertrag ist die oberste kommerzielle, Governance- und Prüfungsgrenze. Er ist die Einheit, gegen die eine Rechnung erstellt wird, der Umfang, für den ein Activity Log abgefragt wird, und das Reich, das ein Vertragsinhaber regiert. Es gibt genau einen Vertragsinhaber pro Vertrag; dieses Konto wird automatisch für denjenigen erstellt, der sich zuerst bei IONOS Cloud registriert hat, und hat vollen Zugriff auf alle Ressourcen und kann nicht widerrufen werden. Administratoren (unbegrenzt pro Vertrag) teilen die Reichweite des Inhabers über alle vertraglichen Ressourcen mit, außer der Änderung der Zahlungsmethode. Alles andere, jeder Benutzer, jede Gruppe, jedes VDC, jeder IP-Block und jedes Bild, leben innerhalb eines einzigen Vertrags und können nicht nativ aus ihm herausgelangen.

Das Virtuelle Rechenzentrum ist die Organisationsgrenze innerhalb des Vertrags. Ein VDC ist eine Sammlung von Cloud-Ressourcen zum Aufbau einer unternehmensweiten IT-Infrastruktur, die auf eine Region beschränkt ist, und es ist der Ort, an dem das Netzwerk, die Rechenleistung und der Speicher einer Umgebung tatsächlich leben. Ein Vertrag kann mehrere VDCs enthalten; ein VDC gehört genau einem Vertrag und einer Region an. Das mentale Modell, das man voranschreiten lassen sollte, ist, dass der Vertrag die kommerzielle und Compliance-Linie zieht und das VDC die regionale und umgebungsbezogene Linie darunter.

Die beiden Grenzen beantworten unterschiedliche Fragen, sodass die Entscheidung, eine davon zu teilen, unabhängig von der Entscheidung ist, die andere zu teilen.

Teilen Sie ein neues ... Wenn der Treiber ist Weil die Grenze die folgenden Aspekte regelt
Vertrag Compliance-Isolation, separate Abrechnung/Besitz, eine separate juristische Person oder Prüfungsumfang Abrechnung, Vertragsinhaber, IAM-Reich, und Abfrageumfang des Activity Log
VDC Eine andere Region, eine Netzwerk-/Umgebungs-Trennung (Produktion vs. Nicht-Produktion), oder ein Projekt, das als separate Zeile in der Rechnung abgerechnet werden muss Regionale Platzierung, Netzwerktopologie, und Ressourcengruppierung innerhalb eines Vertrags

Ein separates VDC erzeugt bereits einen separaten Abschnitt auf der monatlichen Rechnung, sodass eine Kosten-Trennung allein nicht die Erstellung eines zweiten Vertrags rechtfertigt. Greifen Sie nur nach einem neuen Vertrag, wenn der Treiber wirklich kommerziell oder compliance-bezogen ist: ein anderer Inhaber, eine andere juristische Person, oder ein Prüfungsumfang, der die anderen Workloads nicht sehen darf. Greifen Sie nach einem neuen VDC für regionale, umgebungsbezogene oder netzwerkbezogene Trennung innerhalb des gleichen Governance-Reichs.

2. Boundary Stickiness: Was nicht überschritten werden kann

Die Plattform wahrt diese Grenzen streng, und die Durchsetzung ist selbst ein Design-Input und keine Einschränkung, die umgangen werden kann.

Mehrere Attribute sind regionsspezifisch gesperrt. Eine reservierte IPv4-Adresse kann nur in der Rechenzentrum-Region verwendet werden, in der sie reserviert wurde. Sie können keine spezifische Adresse reservieren, sondern nur einen Block, und ein unterschiedliches IP aus einem Block kann ein unterschiedliches Netzwerk bedienen, aber nur innerhalb derselben Region. Images & Snapshots sind ebenfalls regionsspezifisch, und IONOS bietet keine cross-regionale Replikation als gemanagte Funktion, sodass das Verschieben eines Images in eine andere Region eine erneute Upload oder die Verwendung von Backup Service oder Object Storage als Übertragungsmedium bedeutet. Die praktische Konsequenz ist, dass die Region, die Sie für ein virtuelles Rechenzentrum (VDC) bei der Erstellung wählen, sich auf jede regionsspezifische Ressource ausdehnt, die das VDC später enthält.

Die Vertragsgrenze ist ebenso fest. Es gibt keine native cross-vertragliche Ressourcenfreigabe und keine cross-vertragliche Audit-Aggregation: Ein Activity Log ist auf einen einzelnen Vertrag beschränkt und wird pro Vertrag abgefragt, sodass eine Organisation, die Workloads auf zwei Verträge aufteilt, die Audit-Daten selbst extern aggregieren muss. Die Namensgebung und die Region sind endgültige Entscheidungen in demselben Sinne. Die Region eines VDC ist bei der Erstellung festgelegt und kann später nicht geändert werden, und da diese Region IPs und Images sperrt, ist es richtig, die Namensgebung und die Region als einwegige Türen zu behandeln.

Für FinCorp prägt dies die allererste Entscheidung. Die regulierten, GDPR-/BSI-gesperrten Workloads befinden sich in einem einzelnen Governance-Vertrag, sodass ein Activity Log und eine Abrechnungsbeziehung sie abdecken, und das erste VDC für diesen Besitz ist an eine deutsche Region (der Residenzfilter wurde in Einheit 1.4 festgelegt) mit einer Namenskonvention gepinnt, die Umgebung und Region auf einen Blick signalisiert, beispielsweise fincorp-prod-de, anstatt eines unbeschränkten Labels. Da die Region später nicht geändert werden kann, wird diese Pin bewusst und einmalig gesetzt.

DCD Implementierung Schritt-für-Schritt

Sie erstellen FinCorps erstes virtuelles Rechenzentrum, legen dessen Region und Namen fest. Dies ist nur die Struktur; hier wird kein Rechenressourcen bereitgestellt (der Serverbau ist Modul 4). Das Ziel ist, die regionale Segmentierungsprimitiv, an die sich jeder spätere FinCorp-Bau mit seinen zwei nicht umkehrbaren Attributen anschließt, korrekt zu legen.

Bauziel: Erstellen Sie das erste virtuelle Rechenzentrum des Szenarios, legen Sie Region und Namen fest.

Schritte (in der Data Center Designer):

  1. Wählen Sie in der DCD die Option, ein neues virtuelles Rechenzentrum zu erstellen. Der Erstellungsdialog ist der Ort, an dem die beiden permanenten Attribute festgelegt werden, behandeln Sie also diesen Bildschirm als Entscheidungspunkt.
  2. Geben Sie den Namen des virtuellen Rechenzentrums Name mithilfe der vereinbarten Konvention ein, die Umgebung und Region codiert (zum Beispiel fincorp-prod-de). Der Name sollte auf der Rechnung und im Activity Log später lesbar sein.
  3. Wählen Sie die Region / Standort. Wählen Sie die deutsche Rechenzentrumsregion, die von FinCorps Residenzfilter erforderlich ist. Diese Auswahl ist für die Lebensdauer des virtuellen Rechenzentrums permanent und sperrt die Region für jeden reservierten IP und jedes Bild, das das virtuelle Rechenzentrum enthält, bestätigen Sie also vor dem Fortfahren.
  4. Öffnen Sie das neue virtuelle Rechenzentrum im Arbeitsbereich. Es beginnt leer; Ressourcen werden später durch Ziehen von Elementen aus der Palette hinzugefügt.
  5. Klicken Sie auf Änderungen bereitstellen im Inspector-Bereich, um zu bestätigen. Der Dialog "Rechenzentrum bereitstellen" öffnet sich; überprüfen Sie die Änderungen im Validierungsbereich und bestätigen Sie mit Ihrem Passwort, um die Bereitstellung zu starten.

Häufige Fehler:

  • Die Region als später änderbar zu behandeln. Das ist nicht der Fall; die Region eines virtuellen Rechenzentrums ist bei der Erstellung festgelegt und sperrt IP-Adressen und Bilder, sodass eine falsche Region den Neubau des virtuellen Rechenzentrums bedeutet.
  • Die Verwendung eines zweiten Vertrags, um die Kosten zu trennen. Ein separates virtuelles Rechenzentrum produziert bereits seine eigene Zeile auf der monatlichen Rechnung; reservieren Sie einen neuen Vertrag für Compliance, Eigentum oder rechtliche Entitätstrennung.
  • Das virtuelle Rechenzentrum unbenannt oder generisch benannt zu lassen. Der Name erscheint auf der Rechnung und in Prüfungsanfragen; ein unbeschränkter Name macht beides schwerer lesbar im Unternehmensmaßstab.
  • Die Erwartung, einen reservierten IP oder ein Bild über Regionen hinweg zu teilen. Beides ist regionsspezifisch; planen Sie die Platzierung pro Region von Anfang an.

Zusammenfassung

Der Vertrag ist die kommerzielle, Governance- und Prüfungs-Grenze. Das virtuelle Rechenzentrum ist das regionale Segmentierungsprimitiv darunter, das auf einen Vertrag und eine Region beschränkt ist. Teilen Sie einen Vertrag aus Gründen der Compliance, des Eigentums oder der Rechnungsstellung und teilen Sie ein virtuelles Rechenzentrum aus Gründen der Region, der Umgebung oder der Netzwerktrennung. Da Region und Benennung permanent sind und IP-Adressen, Images und Prüfungsumfang diese Grenzen nicht überschreiten, wird das erste virtuelle Rechenzentrum für das regulierte Anwesen von FinCorp absichtlich erstellt und an eine deutsche Region mit einem namensbasierten Konvention festgelegt.

Wichtige Punkte:

  • Der Vertrag zieht die kommerzielle, Governance- und Prüfungs-Linie. Das virtuelle Rechenzentrum zieht die regionale und umgebungsbezogene Linie innerhalb dessen. Es gibt genau einen (nicht widerruflichen) Vertragsinhaber pro Vertrag.
  • Ein separates virtuelles Rechenzentrum wird bereits als eigenes Posten auf der Rechnung abgerechnet, daher teilen Sie einen neuen Vertrag nur aus Gründen der Compliance, des Eigentums oder der rechtlichen Trennung, nicht nur für die Kostensichtbarkeit.
  • Region und Benennung sind bei der Erstellung des virtuellen Rechenzentrums permanent. Die Region sperrt reservierte IP-Adressen und Images, die nicht über Regionen hinweg als gemanagte Funktion repliziert werden.
  • Es gibt keine native cross-Vertrags-Teilung oder Prüfungszusammenfassung. Ein Activity Log ist pro Vertrag, daher aggregieren multi-Vertrags-Organisationen Prüfungsdaten extern.
  • FinCorps erstes virtuelles Rechenzentrum ist an eine deutsche Region für die Residenz festgelegt und nach Konvention benannt, damit es auf der Rechnung und in Prüfungsanfragen lesbar ist.

Wichtige Begriffe:

  • Vertrag: Die oberste kommerzielle, Governance- und Prüfungs-Grenze. Der Umfang der Rechnungsstellung, des Vertragsinhabers, des IAM-Bereichs und der Activity Log-Anfragen.
  • Virtuelles Rechenzentrum (VDC): Eine regionale Sammlung von Cloud-Ressourcen innerhalb eines Vertrags. Die Einheit der Netzwerk-, Rechen- und Speicherorganisation.
  • Reservierter IP-Block: Eine regionale Zuweisung von öffentlichen IPv4-Adressen, die nur in der Region verwendet werden können, in der sie reserviert wurden.