Verificación de conocimientos - Visión general de la arquitectura de la plataforma
Un arquitecto de soluciones se está incorporando a IONOS y necesita el modelo mental correcto para la plataforma. Un colega se refiere a "el Data Center Designer" y a "un centro de datos virtual" de manera intercambiable. ¿Cómo debería el arquitecto corregir esta confusión?
El Data Center Designer es la superficie de control gráfica (cómo crear y administrar recursos), mientras que un centro de datos virtual es el límite organizativo donde residen los recursos, y está anclado a una sola región. Tratarlos como la misma cosa oculta el hecho de que la colocación de VDC fija la región, la segmentación y la red compartida en una decisión casi permanente.
FinCorp está diseñando una aplicación regulada orientada al cliente. El arquitecto quiere la forma empresarial predeterminada de IONOS para que la base de datos relacional nunca sea accesible desde internet. ¿Cuál debería ser el punto de partida de la topología?
La forma canónica reduce la confianza desde un ALB de capa 7 público a una capa de cómputo sin estado a un NLB de capa 4 privado a una capa de datos privada solo, por lo que la base de datos no tiene interfaz pública en absoluto. Los distractores exponen la capa de datos o confían en un grupo de seguridad para proteger un equilibrador de carga gestionado, lo cual es imposible porque los NSGs y los firewalls de NIC no se vinculan al ALB o NLB gestionado.
Un arquitecto nota que los firewalls de IONOS y el Network Security Groups se vinculan a las NIC de los servidores a nivel de VDC y no se aplican al Managed ALB, el Managed NLB, o la abstracción del Kubernetes Cluster. ¿Cuál es la conclusión de diseño que sigue?
Dado que los equilibradores de carga gestionados y la abstracción del Cluster no pueden estar protegidos por firewalls de NIC o NSG, el nivel de red en el que se encuentra un recurso es lo que determina su exposición, lo que hace que la segmentación sea el control principal. Una LAN es privada hasta que se conecta explícitamente a Internet, por lo que dejar el nivel de datos en una LAN privada es el aislamiento correcto y de bajo esfuerzo.
La base de datos relacional Workload de FinCorp es intensiva en lecturas y el equipo solicita al arquitecto que proporcione réplicas de lectura, como lo harían en un proveedor de hipercalculo. Las bases de datos gestionadas de IONOS no ofrecen réplicas de lectura. ¿Cuál es el enfoque nativo correcto?
El sustituto nativo para las réplicas de lectura es una caché más una agrupación de conexiones: la caché absorbe el tráfico intensivo en lecturas y el agrupador mantiene la cuenta de conexiones dentro del límite de la base de datos derivado de RAM. La plataforma compone esta capacidad a partir de elementos básicos en lugar de vender una función de réplica de lectura gestionada, y no hay una secuencia de captura de datos de cambio gestionada desde las bases de datos para reutilizar.
FinCorp debe garantizar que ninguna jurisdicción extranjera pueda obligar a revelar sus datos, y sus auditores examinarán cada reclamación de cumplimiento. ¿Cuál es la declaración que refleja la posición correcta y defendible?
La soberanía legal es una propiedad de la jurisdicción del operador, por lo que una región de la UE de un proveedor operado por EE. UU. aún conlleva una exposición a la Ley CLOUD, mientras que IONOS es operado por la UE. C5 es una acreditación y IT-Grundschutz es una certificación, sus alcances de servicio difieren (Cubes está en C5 pero no en IT-Grundschutz; copia de seguridad y Managed Kubernetes están en IT-Grundschutz pero no en C5), por lo que una reclamación debe nombrar el servicio, la credencial, el tipo y la fecha en lugar de generalizar a toda la plataforma.