CLOUD COMPUTING VAN HYPE NAAR STRATEGIE

CLOUD COMPUTING VAN HYPE NAAR STRATEGIE 1-5-2010 Een JANWIERSMA.COM whitepaper Versie 0.2

DISCLAIMER De ideeën en meningen die gepubliceerd worden in deze whitepaper zijn mijn eigen ideeën en meningen en niet noodzakelijkerwijs die van mijn huidige of vorige werkgevers. De in deze whitepaper geboden informatie is informatief en is niet bedoelt om producten of diensten van wie dan ook aan te bevelen. Gebruik van de informatie is op eigen risico. De inhoud word aangeboden onder een Creative Commons Attribution-Non- Commercial-Share Alike 3.0 Netherlands License. Deze is te vinden op http://creativecommons.org/licenses/by-nc-sa/3.0/nl/ VOORWOORD Cloud computing is op het top van zijn hype. We kunnen geen (IT) magazine open slaan of het woord Cloud computing valt wel een paar keer. Gartner ondersteund dit in hun hype cycle; Cloud zit op de "Peak of Inflated Expectations". Pagina 1

In deze fase is er een storm loop aan publiciteit rond het Cloud onderwerp en dit zal leiden tot te hoog gespannen verwachtingen en over enthousiasme. Met tientallen definities van Cloud computing en leveranciers die al hun producten dopen tot Cloud is het lastig om aan te geven wat Cloud computing nu echt is. In basis draait Cloud computing om de controle bij de eind gebruiker. Deze eind gebruiker krijgt directe controle over honderden servers of een modern ontwikkel platform. Hier voor behoeft hij of zij enkel een account aan te maken en een creditcard beschikbaar te stellen. Vervolgens word er afgerekend op basis van verbruik. Cloud computing levert de gebruiker direct, schaalbare naar verbruik afgerekende IT. Deze controle over honderden servers in een Microsoft, Google of Amazone datacenter levert de eindgebruiker mogelijkheden die hij eerder niet had omdat de kapitaalsinvesteringen hier voor niet op te brengen waren. Nu dit wel beschikbaar is, voor bijvoorbeeld software ontwikkelaars, levert dat een heel pallet aan nieuwe diensten en functionaliteit op die ook via internet aangeboden word. Twitter, Facebook en andere konden groeien door de bovenstaande ontwikkeling en kunnen hun functionaliteit bijna ongelimiteerd blijven uitbereiden. Deze explosie in functionaliteit levert ook zijn effecten op in onze samenleving en cultuur. Apparaten zoals de IPhone en Blackberry zijn onderdeel van het dagelijks leven geworden en dat is slechts het begin. De hoeveelheid en mogelijkheden van digitale services die nu en in de komende jaren ontwikkeld worden in Cloud omgevingen zullen massaal zijn. De mogelijkheden van Cloud computing hebben ook hun effect op het bedrijfsleven. Een startende ondernemer behoeft niet langer servers te komen, software te installeren en zelf zijn backups te maken, of iemand in te huren om dat voor hem te regelen. Met een aantal muisklikken is een domein opgezet, een mail account aangemaakt en kan hij aan de slag met een tekstverwerker in een web omgeving (Google Apps of Microsoft Office 2010) en opslag van zijn documenten op internet. Dat is uiteraard ook aantrekkelijk voor business units van grote bedrijven. Het feit dat zij per direct toegang kunnen krijgen tot grote verwerkingskracht, een ontwikkelplatform of een enterprise applicatie klinkt aantrekkelijker dan de lange doorlooptijden en beleidskaders die de eigen IT afdeling hanteert. Het is lastig om je als IT organisatie te positioneren in deze onverbiddelijke en alom vertegenwoordigde verschuiving naar een meer digitale cultuur. Zodra duidelijk is waar Cloud voor staat en waar heen deze zich ontwikkeld, is het mogelijk om hier een strategie op te creëren en aan te sluiten bij de ontwikkelingen. Dit document beschrijft de ontwikkeling die hebben geleid tot Cloud computing, de rol van virtualisatie, de stappen die een rol spelen rond de inzet van Cloud computing en de wijze waarop de IT organisatie de eindgebruiker kan helpen bij het gebruik van Cloud computing. Pagina 2

INHOUDSOPGAVE VOORWOORD... 1 INHOUDSOPGAVE... 3 VOLWASSENHEIDSONTWIKKELING VAN TECHNOLOGIE.... 4 Ontwikkeling IT infrastructuur.... 6 INLEIDING VIRTUALISATIE.... 7 Virtualisatie impact... 8 Virtualisatie en de klant/eind-gebruiker.... 8 Virtualisatie soorten.... 8 Virtualisatie volwassenheid... 9 Virtualisatie en hardware & besturingssysteem.... 9 Van virtualisatie naar Cloud?... 10 CLOUD COMPUTING... 11 Intern en extern Clouds... 12 Voordelen en risico s... 14 Voordelen... 14 Risico... 14 Smeltende barrières... 16 Het migratie pad.... 16 Welke applicatie is geschikt?... 18 CLOUD V.S. KLANT/EINDGEBRUIKER V.S. IT ORGANISATIE.... 18 BRONNEN EN ACHTERGROND... 20 BIJLAGE: CLOUD DEFINITIE NIST... 20 Pagina 3

VOLWASSENHEIDSONTWIKKELING VAN TECHNOLOGIE. Voor de ontwikkeling van technologie is een volwassenheidsproces voor te stellen. Dit proces begint bij het bedenken en creëren van het idee (innovatie). Als deze innovatie aanslaat en meer mensen de waarde zien, word de technologie in maatwerk aangeleverd. Langzaam aan groeit dit door naar een (standaard) product en word uiteindelijke zo gemeen goed dat het te leveren is als een service. De doorlooptijd en kans van slagen van dit proces is afhankelijk van de noodzakelijke drivers (organisaties moeten wel ontvankelijk zijn) en de (vaak technologische) enablers. Figuur 1 Tijdens dit volwassenheidsproces levert de eerste fase (innovatie en maatwerk) vaak een voordeel ten opzichte van de competitie. Het geeft de afnemers van deze nieuwe technologie een duidelijk voordeel ten opzichte van andere spelers op dezelfde markt. De eerste organisaties die een mainframe of PC hadden, hadden een voordeel ten opzichte van de concurrentie. Men neemt daar voor dan wel het risico van leading/bleeding-edge technologie. Op het moment dat deze technologie een standaard product is geworden (en zeker indien het een service is), is de technologie dus danig gemeengoed geworden dat het voor iedereen toegankelijk is. Daar mee vervalt ook het voordeel; als iedereen een PC heeft of kan kopen, levert het geen voordeel meer op ten opzichte van de concurrentie. Een voorbeeld is de kantoor automatisering (KA) functionaliteit. Deze basis functies, zoals een tekstverwerker en spreadsheet programma, zijn beschikbaar en toegankelijk voor iedereen. Het hebben Pagina 4

van een KA omgeving levert dus geen voordeel meer op ten opzichte van de concurrentie. Het is eerder een noodzakelijk kwaad voor de basis bedrijfsprocessen. Het zijn (standaard) producten geworden. Hierbij spreekt men ook wel van Commodity ICT. ICT generiek en IT infrastructuur specifiek, maakt een behoorlijke ontwikkeling door de afgelopen jaren. Binnen enkele jaren zijn we gegroeid van mainframes, via PC s, internet naar service gerichte oplossingen. Deze zijn over de volle breedte van ICT terug te vinden. Figuur 2 Dit is bijvoorbeeld te zien aan de ontwikkeling van CRM naar Database marketing, naar CRM applicaties en uiteindelijk SalesForce.com als CRM-internet-cloud-service. Ook op infrastructuur vlak zien we deze ontwikkeling terug. Dit word vooral duidelijk als we naar enablers kijken als virtualisatie. De groei in volwassenheid van IT brengt ook met zich mee dat bepaalde onderdelen die door IT geleverd worden, gemeen goed worden die gemakkelijk overal te krijgen zijn; commodity IT. Voor dit deel van de IT dienst verlening is de vraag wat de meer waarde voor de organisatie is, als deze het zelf leveren. Dit kan mogelijk goedkoper buiten de deur. De meer waarde van ICT verschuift van kantoor automatisering naar de echte kroonjuwelen van de organisatie zoals business intelligence en datamining. Pagina 5

Ontwikkeling IT infrastructuur. IT Infrastructuur kent een onvermijdelijke wijziging van componenten die fysiek geïntegreerd worden door leveranciers of handmatig geïntegreerd door gebruikers, naar logische groeperingen (fabrics) met rekenkracht, I/O en opslag. Dit is in lijn met de ontwikkeling naar een volgend volwassenheidsniveau. Virtualisatie is daar bij slechts een enabler. Virtualisatie creëert een pool van beheerbare en flexibele capaciteit. Automation en service centralisatie nemen die pool van resources om hier nuttige arbeid uit te halen op basis van bedrijfs policies en SLA eisen. De ontkoppeling die door virtualisatie gerealiseerd word, samen met goed gedefinieerde service beschrijvingen en automation, zijn de enabler voor Cloud computing. De infrastructuur die daar bij ontstaat (Infrastructuur 2.0 (Forrester), Real-time Infrastructure (Gartner)), is de interne (private) cloud motor. Deze volgende generatie IT infrastructuur, leunt zwaar op een viertal organisatie eisen (& drivers): - Adaptive -> Snel nieuwe diensten kunnen leveren aan de interne organisatie en nieuwe technologieën kunnen introduceren. - Policy-driven -> Procesketen op basis van goede afspraken en service levels. - Always-on -> IT is een basis dienst geworden die 24x7 beschikbaar dient te zijn. - Pay-per-use -> Men wil betalen voor de werkelijke afname van de dienst. Pagina 6

Vanuit IT zelf zijn er drie belangrijke drivers: - Automated -> Elimineren van handmatige interventie, bijvoorbeeld bij de uitrol van systemen. Dit levert kosten reductie op personeels inzet en geeft het, traditioneel hoog gekwalificeerde, IT personeel de mogelijkheid om zit meer op de business en innovatie te richten. - Dynamic -> Flexibel kunnen toewijzen van infrastructuur middelen (hard & software) - Shared -> Diverse (klant)domeinen op 1 gedeelde infrastructuur kunnen huisvesten. Dit reduceert o.a. complexiteit. De IT infrastructuur die aan deze eisen kan voldoen is de infrastructuur die door de meeste organisaties op dit moment gewenst word. Al deze drivers, samen met de nu beschikbare technologieën (enablers), zorgen er voor dat dit nu haalbaar lijkt te worden. De cloud computing concepten komen aardig in de buurt. De stap naar cloud computing lijkt erg groot, maar de invoering van virtualisatie binnen organisatie is een eerste stap op weg hier naar toe. INLEIDING VIRTUALISATIE. Virtualisatie is in basis het proces waarbij een fysieke machine word opgedeeld in meerdere equivalente systemen met behulp van software. Virtualisatie word niet alleen toegepast op servers maar ook binnen netwerk en opslag omgevingen. Hierbij word overal de fysieke omgeving, met behulp van software, ontkoppeld in meerdere logische blokken. De virtuele machines (VM s) werken zelfstandig, maar delen de hardware componenten van een en dezelfde machine. Dit principe is niet nieuw; IBM deed dit al met hun mainframe omgevingen. VMware deze technologie geschikt gemaakt voor de x86 markt (populaire massa productie systemen met Intel of AMD chips). Inmiddels zijn er diverse leveranciers op de markt voor x86 virtualisatie zoals Microsoft (HyperV), Citrix (Xensource) en opensource varianten zoals KVM. Figuur 3 Pagina 7

Virtualisatie technologieën en management kennen inmiddels een hoge mate van volwassenheid. Virtualisatie impact Virtualisatie heeft een grote impact op infrastructuur architecturen, processen en operatie, mensen en competenties, en de organisatie. Het word gezien al de belangrijkste trend voor infrastructuur en zijn operatie en de gene met de meeste impact; het veranderd de manier waar op we beheren, hoe en wat we kopen, hoe we uitrollen, hoe we plannen en hoe we doorbelasten. Het wijzigt het speelveld voor leveranciers in licenties, prijs stelling en component beheer. Virtualisatie en de klant/eind-gebruiker. Virtualisatie is niet slechts een set van technologieën die in de infrastructuur verborgen zitten. Het heeft een belangrijke impact op de manier waar op de organisatie IT gebruikt en op de organisatie zelf. IT eind gebruikers zijn meestal terughoudend om apparatuur te delen met andere bedrijfsonderdelen en de controle over hun applicaties en hun data te verliezen. Idealiter zouden eind gebruikers zich moeten focussen op de gewenste service niveaus en functionaliteit en niet de fysieke locatie en bouw van IT. In realiteit is dit een cultuur kwestie, die overwonnen moet worden. Als dit bereikt word (door bijvoorbeeld een aantal geslaagde interne voorbeelden), is het resultaat een relatie tussen IT en organisatie die gericht is op service. Dit creëert voor IT zelf de flexibiliteit voor de wijze waar op deze service geleverd word (eventueel ge-sourced) en gebouwd. De mogelijkheid om capaciteit te leveren aan de organisatie via virtualisatie levert een snelheidswinst op van ongeveer 30x. Wanneer de eind gebruiker gewend is aan levertijden van enkele maanden voor server capaciteit en het nu beschikbaar kan zijn in enkele dagen, heeft dat impact op de bedrijfsprocessen. In de praktijk blijkt dat er een verdubbeling in capaciteit vraag ontstaat, als men deze leversnelheden kan aanbeiden aan de organisatie. Om deze reden is het belangrijk om een correct kostenmodel en doorbelasting mechanisme te hebben. De snelheid en flexibiliteit die virtualisatie levert aan de organisatie maken een vorm van doorbelasting een verplichting. Op deze manier kan er controle behouden worden op de (wild)groei. Virtualisatie levert als resultaat dat de organisatie IT meer als een leverancier gaat zien en doorbelasting mechanisme is daar een belangrijk component van. Virtualisatie soorten. Virtualisatie is, net als Cloud overigens, een buzzword; een marketing term die te pas en te onpas gebruikt word. In basis creëert virtualisatie een abstractie laag die IT resources en hun huidige beperkingen ontkoppeld van de eind gebruiker van deze resources. Binnen virtualisatie worden een aantal basis soorten onderkent: - Software virtualisatie - applicatie - Platform virtualisatie server en client - I/O virtualisatie opslag en netwerk Pagina 8

Virtualisatie volwassenheid De inzet en gebruik van virtualisatie binnen organisaties kent een aantal fase. In de allereerste stap worden er op kleine schaal geëxperimenteerd met virtualisatie. Meestal begint men met de, redelijk veilige, OTA omgevingen. De focus ligt hierbij op het verhogen van hardware efficiëntie (uitnutting) en server consolidatie. Ook wil men sneller systemen kunnen uitrollen. Figuur 4 Als men deze fase gepasseerd is en ervaring heeft opgedaan, smaakt het vaak naar meer en word er naar productie gekeken. Hierbij speelt beschikbaarheid van de omgeving een grotere rol dan bij OTA en worden diensten zoals disaster recovery (DR) en high availability (HA) belangrijk. Dit levert meestal (geografische)spreiding op. Ook wil men de uitrolsnelheid kunnen verhogen door bijvoorbeeld de invoer van automation op storage en netwerk gebied. In de volgende 2 fase groeit men meer door naar (interne) cloud computing concepten. Virtualisatie en hardware & besturingssysteem. Aangezien server virtualisatie een abstractie creëert tussen de hardware en het besturingssysteem, levert dit interessante mogelijkheden op. Hardware en besturingssysteem moesten in het verleden altijd op elkaar afgestemd zijn. Het besturingssysteem bevatte onderdelen die het mogelijk maakte om met de onderliggende hardware te praten, zoals drivers. Om dit zo stabiel mogelijk met elkaar te laten werken werden deze drivers getest en gecertificeerd op de hardware. Het was voor IT organisaties daarom van Pagina 9

belang om een server te kopen bij HP, IBM of Dell die gecertificeerd was voor het besturingssysteem dat men wenste te draaien (Windows, Linux, etc..). Virtualisatie heeft dit echter ontkoppeld en het besturingssysteem merkt hier niets van. Deze communiceert met de virtualisatie laag alsof hij tegen een fysieke machine praat. Deze virtualisatie laag is echter altijd hetzelfde. Hier door maakt het voor het besturingssysteem ook niet meer uit of hij nu op een HP, IBM of Dell systeem draait en zelfs niet of deze gecertificeerd is. Dit geeft organisaties de mogelijkheid om hun server selectie uit te bereiden met andere merken en selecties te doen op basis van andere criteria. Het is veel belangrijker geworden om een server te kiezen op basis van prijs v.s. performance en performance per Watt. Deze laatste is van grote invloed op de OPEX kosten die voortkomen uit energie verbruik. Als we naar het besturingssysteem kijken (Windows of Linux), zien we dat deze standaard rijk is uitgerust met tientallen services. Traditioneel worden servers opgebouwd door IT afdelingen zelf. Zij rapen de losse componenten bij elkaar; server hardware, besturingssysteem, database, applicatie, etc en bouwen hier mee de omgeving. Omdat de leverancier van het besturingssysteem niet weet welke services gevraagd worden van het systeem, worden standaard alle services ondersteund. Omdat systemen niet altijd optimaal werden uitgenut, koos de IT afdeling er ook nogal eens voor om verschillende applicaties of services te combineren op dezelfde fysieke server. Dit was nog een reden voor de leverancier van het besturingssysteem om zoveel mogelijk standaard te ondersteunen. Dit alles geeft uiteraard de nodige overhead op het systeem; er draaien services die mogelijk niet noodzakelijk zijn. Ook vanuit het oogpunt van beveiliging en continuïteit is dit een pijnpunt. De tientallen services geven een hacker veel meer mogelijkheden en aanknopingspunten om een aanval uit te voeren. Al deze services bevatten allemaal programma code, waar een fout (bug) in aanwezig kan zijn die bedreigend is voor beveiliging of stabiliteit van het systeem. Nu virtualisatie de rol overneemt van het huisvesten van meerdere applicatie instanties op een fysieke server, vervalt de noodzaak voor het besturingssysteem om alles te kunnen ondersteunen. Hieruit volgt de trend van enkele applicatie leveranciers, voor het leveren van een virtual appliance. Hierbij levert, bijvoorbeeld, een database leverancier een gestripte versie van een besturingssysteem (Linux) met daar op zijn database platform. De database leveranciers is het beste in staat om te bepalen welke services op het besturingssysteem noodzakelijk zijn voor de werking van zijn applicatie. Hierbij behoeft IT zich dus niet meer druk te maken over installatie en configuratie van het besturingssysteem, en word de druk op het uitrollen van patches ook verminderd. De verwachting is dat deze trend zich in de komende jaren zal doorzetten en met name het besturingssysteem voor servers zich meer zal versmelten met de applicatie of middleware. Van virtualisatie naar Cloud? Virtualisatie is GEEN cloud computing, maar het forceert dezelfde wijzigingen op de organisatie. De technologie wijziging is hierbij misschien zelfs minder belangrijk; het is eigenlijk een cultuur wijziging. Virtualisatie forceert de eindgebruiker bijvoorbeeld om de fysieke implementatie van hun dienst los te laten ( ik wil dit servertje, merk X ) en te vragen om functionele en service termen en beschrijvingen. Veel organisaties hebben geen duidelijke SLA s beschreven en hebben in plaats daar van constant interactie met hun interne leveranciers om te zorgen voor de juiste levering en het oplossen van problemen. Wanneer men het cloud-computing model toepast, wijzigt die relatie en zullen de eind gebruikers duidelijke service en functie beschrijvingen moeten opstellen. Veel organisaties hebben ook geen kostenmodel voor verbruik van ICT. IT is meestal een kostenplaats die centraal gebudgetteerd is. Cloud computing services worden belast op basis van verbruik. Eind Pagina 10

gebruikers hebben daarbij processen nodig om hun verbruik en bij behorende kosten te beheren. De Cloud computing leverancier heeft processen nodig om tijdig te investeren in voldoende capaciteit (voorinvestering). Virtualisatie helpt organisaties bij deze financieringsomslag naar een verbruiksmodel. CLOUD COMPUTING Cloud computing technologie is een significante trend in de IT met impact op IT organisaties en afdelingen wereldwijd. Een groeiend aantal leveranciers is gestart met het leveren van Cloud computing oplossingen en analisten voorspellen dat organisaties een significant deel van hun IT uitgaven zullen spenderen aan applicaties en infrastructuur op basis van Cloud computing in de komende jaren. Cloud computing levert significante voordelen voor organisaties zoals verhoogde flexibiliteit. Er zijn echter ook behoorlijke risico s verbonden aan het gebruik van de Cloud. Bij het bepalen van een Cloud computing strategie is het daarom van belang om te bepalen: - Welke services kunnen verplaatst worden naar Cloud computing en wanneer? - Hoe kan het pad bepaald worden dat leid van de huidige IT omgeving, naar een Cloud computing omgeving. Omdat de Cloud is een nieuw en enigszins verwarrend gebied is, bestaan er tientallen definities. Nu Cloud computing op de top van zijn hype is, grijpen leveranciers elke mogelijkheid aan om hun producten te bestempelen als Cloud. In de bijlage van dit document is de meest gangbare definitie van Cloud opgenomen. Cloud computing komt neer op een verwerkingsparadigma waar diensten (services) en gegevens (data) gehuisvest zijn in een schaalbaar datacenter en deze services en data toegankelijk zijn voor elk geauthenticeerd device via het internet. De belangrijkste unieke eigenschappen van Cloud computing zijn: - Aangeboden als een dienst (service). - Gebouwd op massale, schaalbare infrastructuur. - Gemakkelijk aangekocht en gefactureerd op basis van gebruik. - Gedeeld en Multi-tenant. - Gebaseerd op dynamische, elastische, flexibel configureerbare middelen. - Toegankelijk over het internet via elke apparaat. Cloud computing word geleverd in drie service categorieën: - Software as a Service (SaaS); software die als een online dienst wordt aangeboden. - Platform as a Service (PaaS); platform omgeving waarbinnen applicaties ontwikkeld kunnen worden en aangeboden als Cloud dienst. Meestal Java of.net. - Infrastructure as a Service (IaaS); computer infrastructuur, zoals servers en opslag, die word aangeboden als een Cloud dienst. Meestal via virtualisatie. Pagina 11

Binnen de interne IT omgeving van een organisatie is het mogelijk om een omgeving te bouwen met Cloud computing karakteristieken. Deze word dan een internal of private Cloud genoemd. Voor de Cloud computing omgeving buiten de organisatie bestaat de term external of public Cloud. Zodra de interne en externe omgeving worden gecombineerd spreekt men van een hybrid Cloud. Het is van belang om een gezamenlijke definitie in de organisatie te hanteren voor Cloud computing zodat deze als basis kan dienen voor het bespreken en ontwikkelen van een Cloud computing strategie. Intern en extern Clouds Er bestaan diverse technische en wettelijke beperkingen die de adoptie van externe Clouds in de weg kunnen staan voor enterprise organisaties. Veel van deze beperkingen kunnen weg genomen worden als de Cloud omgeving binnen de eigen organisatie zou staan, waar men een grotere controle heeft over de Cloud omgeving. Hier door is de inzet van een interne Cloud ideaal om te starten en kennis te maken met de technologieën. De inzet van een interne Cloud omgeving levert veel van de eigenschappen en voordelen die een externe Cloud omgeving ook levert en creëert een brug naar toekomstige externe Cloud omgevingen. Zodra applicaties, beleid en protocollen geschikt zijn om op een interne Cloud omgeving te draaien, reduceert dit de complexiteit voor de stap naar een externe Cloud aanmerkelijk. In veel gevallen kan men zelfs overstappen zonder impact op de eindgebruiker. Deze manier van migratie naar een externe Cloud omgeving levert drie computing omgevingen op voor een organisatie: - De huidige, conventionele omgeving. - Interne Cloud. - Externe Cloud. Pagina 12

Figuur 5 De conventionele IT omgeving zal de organisatie de komende jaren nog van diverse IT diensten blijven voorzien. Deze omgeving zal een geleidelijke migratie van de applicaties en diensten kennen naar de interne en externe Cloud omgevingen. Als eerste zullen de applicaties volgen die behoren tot de gangbare (commodity) IT, zoals kantoor automatiseringsomgevingen (KA). Bepaalde specifieke hardware en systemen zullen tot de conventionele IT omgeving blijven behoren. Ook de huidige legacy behoort tot de conventionele omgeving en zal vaak vanuit kosten overweging en verouderde besturingssystemen niet gemigreerd worden naar de Cloud. Interne Cloud omgevingen zullen veel van de eigenschappen kennen die een externe Cloud ook levert. Gelijksoortige technologieën worden ingezet om een dynamische infrastructuur te kunnen leveren. De organisatie kan in deze omgeving nieuwe doorbelastingsmodellen ontwikkelen en op basis hier van vergelijkingen gaan trekken met externe Cloud leveranciers. Virtualisatie kan helpen om deze doelen te realiseren. De bouw van een interne Cloud levert ook een brug naar externe Cloud omgevingen. Applicaties kunnen ontwikkeld worden op basis van Cloud standaarden die ondersteund worden op interne en externe Clouds. Hier door kunnen ze gemakkelijk gemigreerd worden, als de organisatie daar om vraagt. Veel van de benodigde infrastructuur kan geleverd worden uit een enkele interne Cloud omgeving die verspreid is over meerder rekencentra. De interne Cloud kan logisch en fysiek opgedeeld worden als dit nodig is voor de continuïteit of wetgeving. Uiteindelijk zullen externe Cloud omgevingen een belangrijke rol gaan spelen in het leveren van traditionele IT diensten, maar op korte termijn zal de interne Cloud een belangrijk deel van de IT infrastructuur leveren. Pagina 13

Voordelen en risico s De afweging hoe en wanneer men diensten naar de externe Cloud kan verplaatsen moeten gebaseerd zijn op de balans tussen risico en opbrengst. De huidige Cloud computing aanbiedingen zijn redelijk onvolwassen, zeker voor grote enterprise omgevingen. Bij grootschalige adoptie weegt het risico nog niet op tegen de verwachte opbrengst. Aangezien de technologie snel evolueert, is te verwachten dat de balans zal verschuiven voor een groeiend aantal applicaties en diensten. Voordelen Een organisatie onderdeel die een nieuwe applicatie wil uitrollen kan dit relatief snel doen met Cloud computing services. Vergeleken met de weken tot maanden die nodig zijn in een traditioneel model waarbij servers gekocht, geïnstalleerd en geconfigureerd moeten worden waarna de applicatie uitgerold kan worden, levert Cloud computing een snelle time-to-market. In veel gevallen is de benodigde IT capaciteit met behulp van een credit card, direct beschikbaar. Aangezien Cloud computing omgevingen gebouwd zijn op schaalbare gedeelde infrastructuren, is de leverancier in staat om snel te kunnen leveren zonder lange doorlooptijden. De afnemers van IAAS capaciteit kunnen hun applicaties laten landen op een grote verscheidenheid aan virtuele machines (VMs) die flexibel en naar wens geconfigureerd kunnen worden. Sommige Cloud computing leveranciers bieden een compleet ecosysteem aan van diensten en dienstverleners die het gebruik van Cloud diensten nog gemakkelijker en sneller maken. Bij leveranciers van SAAS is het openen van een account op het systeem vaak voldoende om direct gebruik te maken van een dienst (denk aan Gmail, Google apps, Salesforce). Cloud computing is ook aantrekkelijk om snel extra rekenkracht in te zetten als er een piek opgevangen dient te worden in capaciteit. In plaats van het bouwen van over capaciteit in de eigen IT omgeving of het snel moet uitbreiden, word er capaciteit afgenomen van een Cloud leverancier. Dit word ook wel Cloudburst genoemd. De algemene perceptie is dat het gebruik van Cloud computing ook geld bespaard. Tot op dit moment zijn deze besparingen voornamelijk aangetoond voor MKB organisaties. SaaS levert op dit moment de meeste financiële voordelen voor enterprise omgevingen. De relatieve lage investeringskosten van IaaS en PaaS diensten, waar onder VM s, opslag en data transmissie, worden steeds interesanter voor enterprise omgevingen. Dit geld vooral voor tactische inzet zoals het opvangen van pieken in belasting van de interne IT omgeving. Men behoeft enkel de reservering van resources te betalen en daadwerkelijk verbruik, en heeft geen CAPEX kosten voor servers en andere hardware. Risico De functionaliteit die Cloud computing zo interessant maakt, gecombineerd met het feit dat de diensten publiekelijk toegankelijk zijn, leveren ook de potentiële risico s. Beveiliging en privacy. Vandaag de dag zijn beveiliging en privacy de grootste risico s als het gaat om het verplaatsen van diensten naar externe Cloud omgevingen. De voordelen van Cloud computing zoals flexibiliteit, gebruiksgemak en de gedeelde infrastructuur, introduceren de zorg dat men de Cloud omgevingen gaat gebruiken op manieren die de bedrijfsinformatie en zaken als intellectueel eigendom bedriegen. Informatie word getransporteerd en opgeslagen via internet koppelingen bij Cloud computing. De eigenaar van de data heeft geen controle over de locatie waar de data opgeslagen word en weet dit vaak ook niet. Er bestaat een reële kans dat de data opgeslagen is op een gedeelde omgeving waar Pagina 14

zich ook de data van een concurrent bevind. In een Multi-user omgeving is het soms moeilijk voor een Cloud leverancier om het zelfde niveau van scheiding en garanties toe te passen zoals die gelden voor een single-user omgeving. Er ontbreken standaarden voor beveiliging en SLA s die behulpzaam kunnen zijn bij het naleven van overheidsregels (compliance), eigen organisatie normen, en de mogelijkheid tot externe audits hier op. Het interne beveiligingsbeleid kan bijvoorbeeld voorschrijven dat alle data die extern opgeslagen word versleuteld moet worden verzonden en opgeslagen. Het IT beleid kan voorschrijven dat bepaalde virtuele applicaties niet dezelfde fysieke server mogen delen. In het algemeen, verstrekken de Cloud leveranciers momenteel geen mogelijkheden tot naleving van dit soort beleid of controle daar op. Daarnaast is er de vraag tot in welke mate Cloud leveranciers wettelijke aansprakelijkheid aanvaarden in geval van bewezen contractbreuk voor een beveiligingsincident. In veel landen is het gebruik en opslag van persoonsgegevens en data zwaar gereguleerd. Zonder adequate bescherming in een externe Cloud, zou deze data in verkeerde handen kunnen vallen. Applicaties binnen een huidige IT omgeving zijn redelijk gemakkelijk te auditen en hier voor zijn bewezen technieken en technologieën voorhanden. Bij applicaties die gehuisvest zijn buiten de eigen IT omgeving zoals in een externe Cloud is dit een stuk moeilijker te controleren. Het gevolg hier van is het bijvoorbeeld lastiger om te bepalen of een applicatie die buiten de firewall, in de externe Cloud, staat een beveiligingsupdate heeft ontvangen en doorgevoerd. Daarnaast is de veilige integratie van data die in de externe Cloud staat met data die intern staat, ook een beveiligingsaandachtspunt. Enterprise ondersteuning en volwassenheid. Cloud computing omgevingen kunnen mogelijk de benodigde niveaus van beschikbaarheid, beheersbaarheid en ondersteuning die nodig is bij enterprise klanten niet leveren. De huidige Cloud diensten zijn gericht op MKB en eind gebruikers en niet op enterprise klanten. Dit betekend dat sommige schikbaarheids SLA s van Cloud leveranciers niet toereikend zijn voor enterprise applicaties en er niet altijd mogelijkheden zijn om het behalen van de SLA te bewijzen. Cloud computing implementaties van bepaalde diensten bevatten nog niet de functionaliteit van de standalone versies die nu in gebruik zijn in enterprise omgevingen. Ook de integratie functies met andere enterprise applicaties ontbreekt vaak. ROI Over het algemeen word gedacht dat externe Cloud computing kan leiden tot kosten reductie voor grote enterprise omgevingen en voor MKB. De kosten voordelen voor grote organisaties vallen echter lager uit dan voor MKB, omdat deze grote organisaties het economisch voordeel van schaalgrote al hebben binnen hun eigen IT omgeving. Hoewel Cloud computing het voordeel kent van een lager initiële investering, ligt de balans op de totale kosten (TCO) vaak genuanceerder. Zeker als men wederkerende kosten en risico s mee rekent. Daarnaast zijn er verborgen kosten die verbonden zijn aan het starten met extern Cloud gebruik; de beschikbare verbinding tussen de huidige IT omgeving, werkplekken en de externe Cloud omgeving is meestal niet toereikend. Denk hierbij aan bandbreedte verbruik en het creëren van veilige koppelvlakken tussen eigen organisatie en externe Cloud. Pagina 15

Vendor lock-in. Cloud computing is een redelijk jonge markt en kent relatief veel nieuwe technologieën. Omdat de markt nog volop in beweging, is kiezen veel leveranciers voor gesloten (proprietary) oplossingen. Op deze manier probeert met klanten vast te leggen en markt aandeel te winnen. Daar naast ontbreken er voor deze nieuwe technologieën standaarden of normen. Denk hierbij bijvoorbeeld aan het file formaat van virtuele machines (VM s); Microsoft s VHD, VMware s VMDK en Amazon s AMI. Deze vendor-lockin betekend dat bij gebruik van een externe Cloud oplossing men niet makkelijk kan wisselen van aanbieder. De leveranciers van een externe Cloud leveren hun eigen API s ; een verzameling definities op basis waarvan een computerprogramma kan communiceren met een ander programma of onderdeel. Deze API s zijn ook nog niet gestandaardiseerd, maar bieden wel de mogelijkheid voor leveranciers van Cloud management oplossingen om te communiceren met diverse Cloud computing leveranciers. Op deze manier kan er een brug gemaakt worden tussen verschillende externe Cloud computing leveranciers, maar ook tussen de interne en externe Cloud omgeving. Denk hierbij aan de vcloud API van VMware en Cloud management software van RightScale en Eucalyptus Systems. Smeltende barrières De algemene conclusie is echter dat veel van de bovenstaande nadelen en risico s te maken hebben met de onvolwassenheid van de externe Cloud aanbiedingen. Nu alle grote leveranciers (IBM, Microsoft, HP,etc..) zich zo langzaam aan achter de Cloud initiatieven hebben geschaard, zien we dat er snel verandering komt. Diverse standaarden organisaties en belangenverengingen komen met de eerste normen: DMTF (www.dmtf.org) heeft een heeft een open file format uitgebracht voor virtuele machines (OVF). The Cloud Securtiy Alliance (www.cloudsecurityalliance.org ) heeft enkele best practices uitgebracht. Open Grid Forum (www.ogf.org) werkt aan enkele standaarden rond het onderliggende grid computing model. Een verzameling van ontwikkelingen is te vinden op www.cloud-standards.org. Opensource ontwikkelingen zoals de Simple API for Cloud Application Services van Zend (ontwikkelaars van PHP), dragen ook bij aan de mogelijkheid voor de eindgebruiker om vrij te bewegen tussen diverse externe Cloud leveranciers. Het migratie pad. In het virtualisatie hoofdstuk is al aangegeven dat virtualisatie een migratie pad kan bieden naar de bouw van een interne Cloud en extern Cloud gebruik. De migratie naar externe Cloud computing heeft een significante impact op een IT organisatie, de leveranciers rol van de IT organisatie en de manier waar op applicaties ontwikkeld worden en gebruikt. Omdat men groeit vanuit een interne IT omgeving naar meer verbruik van externe Cloud computing omgevingen, moet men rekening houden in de architectuur met samengestelde applicaties. Pagina 16

Figuur 6 Hierbij kan het zijn dat men gebruikt van een samenstelling van diensten uit de interne Cloud en externe Cloud. Ook de dienst uit een externe Cloud kan voor een deel weer uit andere externe Clouds komen. IT organisaties zullen zich bewust moeten zijn van deze opbouw van diensten en afhankelijkheden. IT moet bekend zijn met de verschillende mogelijkheden en onmogelijkheden van intern en externe Cloud computing en bijbehorende technologieën, om zou de juiste mix te kunnen samenstellen. In de nabije toekomst zullen enterpise IT omgevingen bestaan uit diverse Cloud omgevingen. Om deze op een juiste manier aan elkaar te verbinden en te laten samenwerken, dient men bekend te zijn met de ontwikkeling van standaarden op dit gebied. Vooral Cloud API s zijn hierbij belangrijk. Zonder gemeenschappelijke specificaties voor interfaces, protocollen, en de diensten, zal elke Cloud omgeving zijn eigen manier van identificatie en toegang hebben. Dit introduceert het risico om opgesloten te worden in een leveranciers specifieke oplossing (vendor lock-in) en API s. Vanuit een architectuur standpunt is het wenselijk om een enkele logische Cloud te creëren, en hier mee de complexiteit van een mix aan Cloud omgevingen te maskeren en reduceren. Dit vereist het ontwikkelen en adopteren van Cloud standaarden voor identiteit, authenticatie, federatie, en encryptie. Cloud omgevingen moeten in staat zijn of fout meldingen die de SLA of wettelijke regels raken, te rapporteren. Men dient te kunnen rapporteren over de gezondheid van de omgeving op basis van industrie standaarden. Pagina 17

Leveranciers van Cloud oplossingen moeten hierbij gestimuleerd worden om standaarden te ontwikkelen en adopteren binnen hun oplossingen. Welke applicatie is geschikt? Niet alle applicaties zijn op dit moment geschikt voor een migratie naar een externe Cloud omgeving. Goede kandidaten zijn applicaties die niet missie kritiek zijn, matige tot geen integratie kennen met andere belangrijke applicaties en niet van strategische (competitieve) waarde zijn voor de organisatie. Om beveiligingsrisico s te verminderen, zou de applicatie ook geen sensitieve informatie moeten bevatten. Naar mate de volwassenheid van externe Cloud omgevingen toeneemt, zullen meer applicaties de stap kunnen maken naar deze omgeving. Attributen van applicaties die geschikt zijn voor externe Cloud. - Niet missie kritiek - Geen tot minimale integratie met overige applicaties. - Geen core business applicatie - Bevat weinig tot geen sensitieve data Additionele attributen voor applicaties uit SaaS omgevingen. - Bestaande applicatie zit op het einde van zijn lifecycle en dient herbouwd te worden. - Minimale aanpassing nodig. - Kent een industrie standaard werk proces. - Hebben een minimale afhankelijkheid van netwerk latency of bandbreedte - Levert geen strategisch organisatie voordeel Voor huidig gebruik van externe IaaS en PaaS Cloud omgevingen blijken ontwikkel en test omgevingen (OT) het meest geschikt. Dit is ook zoals virtualisatie begint in veel bedrijven; men kiest een ontwikkel project met lage impact en prioriteit en plaatst deze op een virtuele omgeving. Op deze manier kunnen ontwikkelaars, beheerders en eindgebruikers experimenteren met deze nieuwe technologie zonder dat dit al te hoge impact heeft. De zelfde methodiek kan toegepast worden bij het gezamenlijk verkennen van externe Clouds. CLOUD V.S. KLANT/EINDGEBRUIKER V.S. IT ORGANISATIE. Cloud computing geeft de mogelijkheid om IT op een andere manier te gebruiken dan voorheen. Men kan tenslotte met behulp van een creditcard in eens over meer computer kracht beschikken dan de interne IT organisatie kan leveren en met een snellere time-to-market. De IT organisatie had tot nu toe een monopolie. Het was een soort monolithische leverancier van IT diensten die de organisatie ondersteunde. Nu Cloud computing aanbiedingen meer volwassen worden levert dit voor de bedrijfseindgebruikers een keuze; ze kunnen bij hun interne IT organisatie terecht voor nieuwe initiatieven, maar kunnen ook Cloud diensten zoals SaaS verkennen. Hierbij bestaat de kans dat de eigen IT organisatie buitenspel gezet word. Pagina 18

Onder de vlag van wetgeving en beveiliging kan een IT organisatie de Cloud ontwikkeling heel lang buiten de deur proberen te houden. Dit zal echter op den duur een steeds minder steekhoudend argument worden nu er massaal ontwikkeld word op dit vlak. Standaarden zijn in de maak, technologie word volop ontwikkeld en het is een kwestie van tijd tot de wetgeving volgt. De voordelen van Cloud computing zijn gewoon te lucratief voor organisaties om deze te negeren. De IT organisatie zal, zeker in enterprise omgevingen, in gesprek moeten gaan met de eindgebruiker over de inzet van Cloud computing. Hierbij moet men adviseren vanuit de mogelijkheden en niet vanuit de onmogelijkheden, risico s en bedreigingen. De IT organisatie moet de trusted advisor worden als het op Cloud computing aankomt. Cloud computing moet gezien worden als een uitbereiding van het huidige IT portfolio en de IT organisatie moet de controle nemen over deze nieuwe IT leveringsketen. Strategische stappen voor de IT organisatie zijn hierbij: - Neem de controle over Cloud gebruik. Het gaat hoe dan ook gebeuren, dus bouw beleid rond deze ontwikkeling. - Maak afspraken over de te volgen standaarden rond API s, programma talen, etc, in relatie tot Cloud leveringen. - Kies een externe Cloud provider die past bij de organisatie. (technologisch, organisatorisch en qua processen). - Ontwikkel richtlijnen voor de lokale ontwikkeling van applicaties versus de ontwikkeling van applicaties in de externe Cloud. - Ontwikkel een strategie voor terugkeer (van de Cloud naar lokale IT). - Evalueer ontwikkelingen en upgrades in de eigen IT infrastructuur met in het achterhoofd de ontwikkelingen rond inter-cloud datacenter management. Pagina 19