Unité 4.4 : Private Cloud (Serveurs dédiés VMware)

Introduction

Les classes de calcul standard des unités 4.1 à 4.3 sont le tissu élastique et multi-locataire de la plateforme. Certaines charges de travail ne sont pas adaptées à cet environnement : un patrimoine réglementé qui doit fonctionner sur un matériel mono-locataire, un grand empreinte existante de VMware dont le modèle d'exploitation et les compétences que l'entreprise souhaite conserver, ou une charge de travail qui nécessite la prévisibilité d'une capacité dédiée. Pour ces cas, IONOS offre un produit différent, le VMware Private Cloud dédié, et il est présenté dans ce module comme une unité de conception uniquement, car il n'y a pas de console d'auto-service : la mise en service est une opération guidée. Les questions architecturales que cette unité répond sont de savoir quand y recourir, comment le positionner et comment il se compose avec la plateforme élastique qui l'entoure. Les mécanismes de migration d'un grand patrimoine vers celui-ci sont reportés à l'unité 7.4.

1. Ce qu'est le produit et la limite de responsabilité

IONOS Private Cloud est un centre de données dédié VMware défini par logiciel, livré en tant que service sur un matériel à locataire unique. Un Cluster est un minimum de trois hôtes physiques dédiés, et la pile logicielle VMware et ses licences sont incluses dans le prix (ce n'est pas apporter-votre-propre-licence) : vSphere Enterprise Plus 8.0 en tant que hyperviseur et couche de calcul, vSAN 8.0 en tant que couche de stockage hyperconvergé, NSX-T 3.2 en tant que couche de réseau et de sécurité définie par logiciel, et vCenter 8.0 en tant que plan de gestion. Vous gérez votre propre environnement VMware (créer, redimensionner et supprimer des machines virtuelles ; définir des réseaux, des règles de stockage, de taille et d'utilisateurs) via les outils natifs VMware, tandis que IONOS possède le support, la maintenance, la correction et les mises à jour de la SDDC sous-jacente.

Cette division est la caractéristique déterminante et la chose à faire correctement dans une conception. IONOS gère le cycle de vie de la plateforme ; tout ce qui se trouve à l'intérieur des machines virtuelles et du réseau virtuel est la responsabilité du client. Le service est explicitement hors de portée pour la provision et la gestion des machines virtuelles elles-mêmes, les mises à jour et la correction du système d'exploitation à l'intérieur des machines virtuelles, la gestion des rôles et des droits, les logiciels supplémentaires, la licence des systèmes d'exploitation et des applications installés, la surveillance des machines virtuelles et du réseau virtuel, la sécurité des données, les règles de pare-feu externes et les equilibreurs de charge. En d'autres termes, Private Cloud vous donne un substrat VMware entièrement géré et dédié, et vous remet les clés pour opérer au-dessus de celui-ci. L'utiliser correctement nécessite de véritables compétences VMware ; il ne s'agit pas d'un service de gestion d'applications.

Le Cluster peut être mis à l'échelle en ajoutant des hôtes. Le plafond du catalogue de services est de 24 hôtes par Cluster (la documentation de Private Cloud cite un plafond technique plus élevé de 64 hôtes), un vCenter gère jusqu'à 2 500 hôtes, et un Cluster prend en charge jusqu'à 8 000 machines virtuelles. Un seul VM peut être dimensionné jusqu'à 256 vCPUs, 6 To RAM, et un disque virtuel de 62 To. Private Cloud est provisionné à la demande en tant que service auto-géré, et la facturation est à la minute. Les forfaits sont vendus par profil d'hôte (par exemple, un profil Silver-48 Cluster de trois hôtes, un profil Gold-512, ou un profil XL-1024), avec un hôte supplémentaire facturé séparément ; il s'agit d'une capacité dédiée, donc le coût est prévisible plutôt que soumis à des pics d'utilisation.

1.1 Les couches de stockage et de réseau

vSAN est la couche de stockage : il regroupe les disques locaux des hôtes en un seul référentiel de données et tolère les défaillances en répartissant les données sur le Cluster, de sorte qu'un disque ou un hôte entier peut défaillir avec des données toujours disponibles ailleurs. vSAN 8.0 ici est configurable pour la tolérance aux défaillances via le mirroring RAID-1 (minimum 3 hôtes), le codage d'effacement RAID-5 (minimum 4 hôtes), ou le codage d'effacement RAID-6 (minimum 6 hôtes), avec un chiffrement AES-256 disponible et des modes d'efficacité de stockage allant de aucun à la compression et à la déduplication-compression. La capacité brute peut être mise à l'échelle jusqu'à 8 Po par Cluster. Lorsque vous avez besoin d'une capacité de fichiers partagés au-delà de vSAN, un module de données NFS est disponible à partir de 2 To.

NSX-T est la couche de réseau et de sécurité : il virtualise le routage, le commutage, le pare-feu et le VPN en logiciel, de sorte que ces fonctions ne dépendent plus d'appareils physiques. Les segments NSX sont des domaines logiques virtuels de couche 2 que vous créez pour construire des réseaux logiques isolés, et ils prennent en charge les plages de IP apportées par l'utilisateur (un sous-réseau de segment NSX doit être plus spécifique que la plage BYOIP, donc une plage BYOIP /24 permet des segments de /25 ou plus petit). L'édition standard NSX-T ici prend en charge des comptes de règles et de commutateurs très importants (jusqu'à 100 000 règles de pare-feu distribuées et 10 000 commutateurs logiques) ; quelques fonctions avancées (IDS/IPS, filtrage d'URL, sandboxing de réseau, accès à distance SSL VPN) nécessitent des licences supplémentaires.

2. Lorsque les serveurs dédiés VMware sont la meilleure option

Private Cloud est la bonne réponse pour un ensemble spécifique et reconnaissable d'exigences, et une mauvaise option en dehors de celles-ci. Il est la meilleure option lorsqu'il s'agit de :

• Single-tenancy et isolement de conformité sont obligatoires. Le matériel est dédié, il n'y a donc pas de voisin multi-locataire au niveau de l'hyperviseur. Pour les charges de travail réglementées où l'isolement est une exigence de contrôle, c'est une histoire plus claire que le calcul partagé.
• Les performances doivent être prévisibles. La capacité dédiée supprime la variabilité de contention de l'infrastructure partagée, ce qui est important pour les charges de travail avec des enveloppes de latence ou de débit serrées.
• L'organisation souhaite conserver les compétences et le modèle d'exploitation VMware. Une équipe déjà familière avec vSphere, vSAN et NSX-T conserve ses outils, ses runbooks et son automation plutôt que de replateformer sur un modèle opérationnel différent.
• Il existe un grand parc existant de VMware. Déplacer une empreinte établie de VMware vers un environnement géré VMware est un changement beaucoup plus petit que de la refondre sur des primitives cloud-native. Le parc continue à fonctionner de la même manière qu'il fonctionnait déjà, avec IONOS prenant en charge le cycle de vie de la plateforme.

C'est la mauvaise option lorsque la charge de travail est vraiment cloud-native et élastique, lorsque le calcul standard multi-locataire est acceptable et moins cher, ou lorsque aucune compétence VMware n'existe et que l'équipe préfère consommer des primitives gérées. Pour ceux-ci, les classes de calcul standard et les services gérés couverts ailleurs dans ce cours sont le meilleur choix. La discipline architecturale consiste à placer uniquement les charges de travail qui nécessitent des serveurs dédiés VMware sur Private Cloud, et à utiliser la plateforme élastique pour tout le reste.

3. Positionnement concurrentiel : souveraineté du plan de contrôle et prévisibilité des coûts

Le facteur de différenciation qui compte pour un client européen réglementé n'est pas la pile VMware elle-même, qui est le même logiciel qu'un hyperscaler américain exécuterait également, mais qui opère le plan de contrôle et sous quelle juridiction il se situe. Comme l'a établi l'unité 1.4, la souveraineté juridique de l'UE est une propriété de la juridiction de l'opérateur, et non seulement de la région : une offre VMware-on-hyperscaler hébergée dans une région européenne mais exploitée par une entreprise américaine est toujours exposée à la loi CLOUD américaine. IONOS exploite le plan de contrôle Private Cloud en tant que fournisseur de l'UE, donc le plan de gestion (vCenter, NSX Manager, la surface de provisionnement et de facturation) se situe sous la juridiction de l'UE plutôt que sous une juridiction étrangère. Pour un client dont la raison principale de faire fonctionner du matériel dédié est l'isolement et la souveraineté, placer le plan de contrôle sous une juridiction étrangère minerait la conception ; le garder exploité par l'UE est le but.

Le deuxième axe est la prévisibilité des coûts. Private Cloud est une capacité dédiée facturée par bundle d'hôte (granularité à la minute, licence VMware incluse), donc le coût mensuel est une fonction du nombre d'hôtes que vous exécutez, et non de la consommation fluctuante. L'objectif de disponibilité publié par service est de 99,95 %, la même cible de disponibilité de 99,95 % par service qui s'applique au calcul IaaS général d'IONOS, plutôt qu'une amélioration de celui-ci (un document interne liste une cible de 99,9 % pour Private Cloud, une discrepancy non résolue). Pour une équipe financière qui a besoin de prévoir les dépenses sur un patrimoine stable, une capacité dédiée fixe est plus facile à budgétiser qu'un service VMware mesuré à l'utilisation, dont la facture varie en fonction de l'activité et dont la licence peut être facturée séparément.

4. Le modèle hybride et le déplacement des charges de travail

L'architecture la plus solide est rarement entièrement VMware ou entièrement élastique ; il s'agit du modèle hybride. Le VMware Private Cloud dédié est le noyau réglementé et stable pour le domaine qui nécessite une seule locataire et le modèle d'exploitation VMware, tandis que l'élasticité standard IONOS compute (les niveaux d'auto-mise à l'échelle des unités 4.1 à 4.3) gère le bord variable et natif du cloud. Les deux sont liés via les primitives de connectivité hybride de la Module 3 (VPN Gateway, NAT Gateway, Cross-Connect), offrant un seul domaine logique avec chaque charge de travail placée sur le substrat qui lui convient.

Le déplacement d'un domaine existant vers le Private Cloud utilise des outils VMware natifs, et IONOS prend en charge un ensemble spécifique de ceux-ci. Le mécanisme principal est le VMware Cloud Director Availability (VCDA) 4.7.x, un outil de reprise après sinistre en tant que service qui protège les machines virtuelles et les vApps avec une réplication asynchrone, les migre et effectue une bascule et une bascule inverse entre un vCenter local et le Private Cloud IONOS. La migration VCDA est incluse ; la protection continue par VM est facturée à environ 50 EUR par VM par mois, et le point de terminaison cloud utilise le port 55443. Pour étendre un réseau de couche 2 pendant une migration, NSX-T fournit une extension L2 VPN en tant que module complémentaire, de sorte qu'un sous-réseau peut s'étendre sur la source et le Private Cloud pendant que les charges de travail sont déplacées. Dans un Cluster, vMotion déplace une machine virtuelle VM en cours d'exécution entre les hôtes ; il s'agit d'une opération intra-Cluster, et non d'un mécanisme de mobilité en direct entre sites, donc une migration vers le Private Cloud est conçue avec la réplication VCDA et une bascule planifiée plutôt que d'être considérée comme un déplacement en direct sans interruption entre les sites. Ces trois (VCDA, extension L2 VPN NSX-T, vMotion intra-Cluster) sont les outils pris en charge pour déplacer les charges de travail ; les mécanismes complets de planification d'onde, avec des temps d'arrêt honnêtes par chemin, font l'objet de l'Unité 7.4.

Étude de cas d'entreprise (FinCorp)

La contrainte déterminante de FinCorp est un vaste patrimoine existant de VMware sous les obligations GDPR et BSI, et ce patrimoine est la raison pour laquelle Private Cloud est central à son architecture. La réplateforme de l'ensemble du patrimoine sur des primitives cloud-native serait une refonte multi-annuelle avec un risque élevé ; l'exécution sur un VMware SDDC géré et dédié lui permet de conserver son modèle opérationnel tout en déplaçant le cycle de vie de la plateforme vers IONOS. FinCorp dimensionne un Private Cloud Cluster (trois hôtes minimum, mise à l'échelle par hôte à mesure que le patrimoine est déployé) pour le noyau réglementé, conserve le vCenter et le plan de contrôle NSX-T sous exploitation de l'UE pour préserver la position de souveraineté de l'Unité 1.4, et utilise vSAN avec une politique de tolérance aux défauts par codage d'effacement dimensionnée au nombre d'hôtes. Les nouvelles charges de travail élastiques orientées client ne sont pas exécutées sur le Private Cloud ; elles s'exécutent sur le niveau standard de mise à l'échelle automatique des serveurs dédiés (Unité 4.3) au niveau du périphérique, lié au noyau VMware via la connectivité hybride du Module 3. Le patrimoine est déplacé via la réplication VCDA avec l'extension L2 VPN des sous-réseaux pertinents pendant la mise en service, planifiée par vague dans l'Unité 7.4. La décision enregistrée ici, VMware dédié pour le noyau réglementé plus une calcul élastique standard pour le nouveau périphérique, constitue la colonne vertébrale de calcul que la pierre angulaire assemble.

Résumé de la décision

Remarques d'éligibilité importantes : un Cluster est d'au moins trois hôtes ; le provisionnement est un engagement guidé, et non une construction de console ; la licence VMware incluse n'est pas BYOL ; et les seuls outils VMware pris en charge par IONOS pour déplacer les charges de travail sont VCDA, NSX-T L2 VPN, et vMotion intra-Cluster.

Résumé

IONOS Private Cloud est un environnement VMware SDDC (vSphere Enterprise Plus, vSAN, NSX-T, vCenter, tous en version 8.0/3.2, avec licence incluse) géré et dédié, sur du matériel à locataire unique, provisionné dans le cadre d'un engagement guidé plutôt que d'un service auto-géré. IONOS possède le cycle de vie de la plateforme ; le client exploite les machines virtuelles et le réseau virtuel, ce qui nécessite de réelles compétences en VMware. Il est avantageux pour l'isolement de conformité à locataire unique, la prévisibilité des performances, la conservation des compétences en VMware et les grands patrimoines VMware existants, et son avantage concurrentiel pour les clients européens réglementés est un plan de contrôle exploité par l'UE (souveraineté) ainsi que des coûts de capacité fixes prévisibles. La conception la plus solide est hybride : le noyau VMware dédié pour le patrimoine réglementé, ainsi que le calcul standard élastique au bord via une connectivité hybride, avec des charges de travail déplacées via VCDA, NSX-T L2 VPN, et vMotion intra-Cluster (la mécanique complète de migration est présentée dans l'unité 7.4).

Points clés :

• Private Cloud est un environnement VMware SDDC géré et dédié sur du matériel à locataire unique, avec un minimum de trois hôtes, et une licence incluse (et non BYOL) pour vSphere Enterprise Plus, vSAN, NSX-T et vCenter.
• IONOS possède la maintenance, la correction et la mise à jour de la plateforme ; le client possède les machines virtuelles, le système d'exploitation, le réseau virtuel et la sécurité à l'intérieur, donc des compétences en VMware sont requises.
• Il est avantageux pour l'isolement de conformité à locataire unique, la prévisibilité des performances, la conservation des compétences en VMware et les grands patrimoines VMware existants ; il est inadapté pour les charges de travail élastiques cloud-native.
• La position concurrentielle pour les clients européens réglementés est un plan de contrôle exploité par l'UE (souveraineté) et des coûts de capacité fixes prévisibles.
• Le modèle hybride associe le noyau VMware dédié au calcul standard élastique ; l'outil VMware pris en charge par IONOS pour déplacer les charges de travail est VCDA, NSX-T L2 VPN, et vMotion intra-Cluster, avec la mécanique complète dans l'unité 7.4.

Terminologie importante :

• SDDC (centre de données défini par logiciel) : la pile VMware (vSphere, vSAN, NSX-T, vCenter) livrée comme un environnement géré et dédié unique.
• vSAN : la couche de stockage hyper-convergé qui regroupe les disques locaux des hôtes en un magasin de données tolérant les pannes.
• NSX-T : la couche de réseau et de sécurité définie par logiciel qui fournit des segments virtuels, des routes, un pare-feu et VPN.
• VCDA (disponibilité du VMware Cloud Director) : l'outil pris en charge par IONOS pour la réplication, la migration et le basculement asynchrones des machines virtuelles vers le Private Cloud.

Lecture supplémentaire

• Unité 1.4 : Souveraineté et conformité en tant qu'entrées de conception (l'argument de juridiction du plan de contrôle).
• Unité 7.4 : Migration et basculement hybride (les mécanismes de planification en vagues pour déplacer le patrimoine).
• Unité 3.6 : Connectivité hybride (les liens qui relient le VMware noyau à la limite élastique).