Cloud Computing Een introductie Algemene informatie voor medewerkers van SYSQA B.V.
Organisatie SYSQA B.V. Pagina 2 van 13 Inhoud 1. Cloud Computing vandaag de dag.... 3 2. Cloud Computing en Services... 4 3. IaaS, PaaS en SaaS... 6 4. Cloud Computing in Service-Oriented Architecture... 8 5. Risico s... 9 6. Cloud Computing in de toekomst....11 Verklarende woordenlijst...12 Almere 1999 Proud of it Pagina 2 van 13
Organisatie SYSQA B.V. Pagina 3 van 13 1. Cloud Computing vandaag de dag. Cloud Computing is sinds eind eerste decennium van deze eeuw een veelgehoorde term in de IT wereld. Er wordt steeds vaker over gesproken, en niet alleen op IT fora en bladen, maar ook in reclames op de radio en TV. Consumenten en zakelijke gebruikers krijgen er al dan niet ongemerkt steeds vaker mee te maken. Gebruikers van bijvoorbeeld Hotmail of Gmail hebben een bepaalde opslagcapaciteit die meegroeit als het nodig is. Deze dienst is uitgebreid met Skydrive (Hotmail) en Googledocs (Gmail) waarmee in de cloud documenten kunnen worden gemaakt, beheerd, opgeslagen en gedeeld met anderen. Google is vanaf 2010 ook bezig zijn Chrome OS te promoten, wat ook wel aangeduid wordt als besturingssysteem voor de cloud. Chrome OS werkt via de cloud, waarbij elke gebruiker inlogt op zijn eigen account en daar alle bestanden en programma s kan vinden, ongeacht op welke computer is ingelogd. Hoewel Chrome OS als besturingssysteem voor de cloud wordt aangeprezen werken de meeste applicaties ook offline. Mobiliteit en flexibiliteit zijn gevraagde eisen van zakelijke gebruikers die Cloud Computing kan bieden. In een werkgroep kan bijvoorbeeld altijd met het meest actuele document gewerkt worden, omdat gebruikers tegelijkertijd in hetzelfde document kunnen werken. Andere voordelen van Cloud Computing voor de zakelijke markt zijn dat door ingebruikname van de cloud (een deel van) het IT beheer uitbesteed wordt, waardoor de organisatie wordt ontlast. Daarnaast kan hardware nu op maat afgenomen worden doordat alleen het daadwerkelijke gebruik van de resources in rekening worden gebracht. Er hoeft geen grote uitgave te worden gedaan voor de aanschaf van hardware want deze wordt als een dienst afgenomen. Almere 1999 Proud of it Pagina 3 van 13
Organisatie SYSQA B.V. Pagina 4 van 13 2. Cloud Computing en Services De term Cloud is afkomstig van de traditionele weergave van het internet, namelijk een wolk. Deze wolk staat voor het enorme onderliggende netwerk van hardware en software in datacenters. Er wordt onderscheid gemaakt in 3 verschillende soorten clouds welke in onderstaande tabel worden weergegeven. Private Clouds Public Clouds Hybrid Clouds Wat? Intern datacenter van een bedrijf Datacenter van bedrijf opengesteld aan publiek Een mix van Privateen Public Clouds Voor wie? Waar en hoe? Intern, bevoegd personeel/klanten Internal en On- Premises Iedereen kan toegang verkrijgen External en Off- Premises Beveiligde en toegankelijke delen Internal en External, On- en Off-Premises Aanvullend op bovenstaande tabel is er de cloud genaamd Community Cloud wat een variant is op de Private Cloud. In de Community Cloud zitten bedrijven met dezelfde afname behoefte. De volgende afbeelding geeft het samenspel van On-Premises (producten) en Cloud Computing (diensten) weer. Een aanzienlijk voordeel is dat bij piekmomenten, in bijvoorbeeld dataverkeer of rekenkracht, dit middels de cloud kan worden opgevangen waardoor gebruikers geen vertraging of uitval ondervinden van de aangeboden services. Daarnaast hoeft er geen dergelijk zware infrastructuur gekocht te worden die in staat is de piekmomenten op te vangen, buiten de piekmomenten blijven deze resources dan vaak onbenut, deze kan de afnemer er tijdelijk bij huren. Als bedrijf heb je dus de beschikking over een infrastructuur op maat die op elk moment, indien gewenst geautomatiseerd, resources kan op- en afschalen. Sinds het begin van Cloud Computing tot aan het huidig volwassen concept zijn er veel verschillende definities over Cloud Computing ontstaan. Waar moet nou eigenlijk aan voldaan worden om te kunnen spreken van Cloud Computing? Hiervoor moet aan onderstaande voorwaarden worden voldaan: Flexibiliteit: Dit is een belangrijke eigenschap van de verschillende services. Een applicatie die in de cloud draait kan zowel op één server draaien als op honderden. Het verschil hierin is niet meer dan een muisklik. Wanneer de gebruiker dit wilt, kan hij zijn infrastructuur uitbreiden. PaaS (zie volgende paragraaf) gaat hier nog een stap verder door het aanbieden van handige management tools die het toelaten om het gebruikte aantal servers en dergelijke in de gaten te houden en te veranderen. Pay by-use: Bij Cloud Computing betaal je enkel voor de eenheden die worden gebruikt. Denk hierbij aan servers, applicaties of opslagcapaciteit. Op een Almere 1999 Proud of it Pagina 4 van 13
Organisatie SYSQA B.V. Pagina 5 van 13 piekmoment kan de behoefte groot zijn, terwijl deze de rest van de tijd lager ligt. De afname kan op de wisselende behoefte afgestemd worden. Self-service: Als gebruiker heb je controle over de aangekochte Cloud Computing diensten. Een cloud aanbieder regelt veel zaken en voorziet allerhande vormen van ondersteuning maar de uiteindelijke macht ligt bij de gebruiker. Wanneer de gebruiker dit wil kan hij meerdere servers gaan huren. De infrastructuur die wordt gehuurd is een onderdeel geworden van de infrastructuur van de gebruiker die hier op elk gewenst moment gebruik van kan maken. Programmability: De cloud mag dan nog zo abstract zijn, zij is wel programmeerbaar. De resources die verkregen worden in de cloud werken niet zonder onderliggende code. Doordat er gebruik kan worden gemaakt van bijvoorbeeld Java Virtual Machine s ontstaat er platformonafhankelijkheid, bij het uitvoeren van een applicatie wordt deze eerst vertaald naar de specifieke onderliggende machinetaal. Almere 1999 Proud of it Pagina 5 van 13
Organisatie SYSQA B.V. Pagina 6 van 13 3. IaaS, PaaS en SaaS Onderstaande tekening geeft globaal de verschillende diensten van Cloud Computing weer. De drie meest voorkomende diensten die gebaseerd zijn op, of mogelijk gemaakt worden door het Cloud Computing idee, worden vervolgens besproken; IaaS, PaaS en SaaS. IaaS IaaS, (Infrastructure as a Service) is de basis van het Cloud Computing idee. IaaS bestaat uit de onderdelen CaaS (Computing as a Service) en StaaS (Storage as a Service). Benodigde rekenkracht en opslagcapaciteit worden door het gebruik van IaaS verplaatst van de locale computer van de gebruiker naar de computers van aanbieders zoals Microsoft of Amazon. Binnen een bedrijf dat overstapt op Cloud Computing betekent dit dat (een deel van) de infrastructuur die normaal gekocht zou worden nu gehuurd wordt bij de aanbieder. Bedrijven kunnen hier ook eigen On-Premises applicaties (fysieke software op locatie) op draaien en deze openstellen voor haar medewerkers of bijvoorbeeld een klantengroep. Het beheer van de hardware is in handen van de aanbieder waardoor de afnemer slechts hoeft aan te geven hoeveel rekenkracht en opslagcapaciteit deze als dienst wil afnemen om (een gedeelte van) zijn infrastructuur te realiseren. PaaS PaaS (Platform as a Service), vaak Cloudplatforms genoemd, is een dienst die de gebruiker voorziet van een platform waarop software kan worden ontwikkeld, gedraaid en gemanaged. PaaS bestaat uit de resources van IaaS, aangevuld met een extra laag met verschillende ondersteunende diensten die het de gebruiker of ontwikkelaar makkelijker maken om aan de slag te gaan. Een infrastructuur zelf is op zich niet nuttig, het wacht namelijk op een applicatie die er gebruik van gaat maken. Dit kan men vergelijken met het wegennetwerk dat zich pas nuttig maakt indien de mensen er gebruik van maken. De gebruiker bouwt zelf zijn auto (de applicatie) en gebruikt deze op de infrastructuur. De PaaS aanbieder geeft je toegang tot de infrastructuur, stelt daarnaast een grote hoeveelheid standaardauto s voor en indien je toch een andere auto wil, geeft hij je de tools om deze auto te bouwen. Verder stelt de provider zich ook volledig verantwoordelijk voor het onderhoud en de juiste werking van de auto. Deze extra laag aan diensten is het verschil tussen IaaS en PaaS. SaaS SaaS (Software as a Service) is een relatief nieuwe wijze van het aanbieden van software door leveranciers waarbij de afnemer geen fysieke software ontvangt, maar middels een Almere 1999 Proud of it Pagina 6 van 13
Organisatie SYSQA B.V. Pagina 7 van 13 abonnement het gebruik van de software afneemt. De software is beschikbaar voor de gebruiker als een gehoste service die toegankelijk is via bijvoorbeeld internet of een VPN verbinding. Een voordeel hiervan is het wegvallen van de onderhouds- en beheeractiviteiten bij de afnemer, want deze verschuiven naar de leverancier. Denk hierbij aan het maken van back-ups, onderhoud, installatie van nieuwe versies en updates, beveiliging tegen ongeautoriseerde toegang etc. Ook de hardware eisen nemen af daar de software rekenkracht in de wolk gebruikt en niet van de locale PC. Vaak is een internetbrowser voldoende om gebruik te kunnen maken van een SaaS- dienst. Soms wordt er bij SAAS nog gesproken van ASP (Application Service Provider), de voorganger van SaaS. Ook ASP levert software als een dienst, daarin verschilt het weinig van SaaS en wordt het gezien als een verbeterd concept dat opnieuw in de markt is gebracht. Duidelijke verschillen zijn er echter wel: Voor ASP-dienstverlening werd vaak een systeem ingericht voor één klant, op afstand. Vaak was zowel de hardware als de software dedicated voor die klant ingericht en alleen voor hem beschikbaar. Elke klant had zijn eigen database. Hoewel voor het gebruik betaald werd, werden de kosten van de infrastructuur doorbelast richting eindgebruiker. Bij een volledige SaaS-dienst is geen fysieke of logische infrastructuur meer toe te wijzen aan een klant of eindgebruiker. Bij de meeste SaaS-diensten is de applicatie multi-tenant opgezet, ofwel: één installatie van de applicatie, die door alle klanten wordt gebruikt. Bij een volledige SaaS implementatie, waarbij alle voordelen van SaaS worden behaald, is ook de database multi-tenant neergezet. Dit wil zeggen, alle gebruikers maken gebruik van een en dezelfde database. Dit brengt bijvoorbeeld het voordeel met zich mee dat in het geval van een SaaS product de leverancier vanaf één centrale plek met één handeling updates en upgrades kan doorvoeren wat in een ASP situatie niet mogelijk is. Veel bedrijfssoftware wordt tegenwoordig ook als een SaaS dienst aangeboden. Denk hierbij aan toepassingen voor CRM, HRM, Payroll, elektronisch bankieren, tijdsregistratie of call center software. Almere 1999 Proud of it Pagina 7 van 13
Organisatie SYSQA B.V. Pagina 8 van 13 4. Cloud Computing in Service-Oriented Architecture Mede door het economisch klimaat worden IT organisaties steeds vaker geconfronteerd met minder operationeel personeel en gedwongen om manieren te vinden om de kosten voor het beheer van hun datacenter terug te dringen. De afgelopen jaren is er een zichtbare trend waarneembaar van het herstructureren van de IT infrastructuur naar een Service-Oriented Architecture (SOA). Door deze trend vinden Cloud Computing technologieën steeds meer hun weg in het IT landschap en in datacenter omgevingen, beide delen namelijk het Service Oriented gedreven concept. De volgende afbeelding geeft de ontwikkeling van SOA en Cloud Computing weer. Zij dragen samen bij aan een flexibele infrastructuur. Cloud Computing brengt veel voordelen met zich mee, maar kan tevens voor uitdagingen bij integratie zorgen. Dit ontstaat bijvoorbeeld door het ongecoördineerd afnemen van nieuwe Cloud diensten van verschillende aanbieders. Een Cloud aanbieder hanteert veelal zijn eigen standaard voor beheer en datacommunicatie. Doordat Cloud met Cloud integratie nog niet gestandaardiseerd is kan dit problemen opleveren. Vanuit het SOA standaardisatieperspectief is het belangrijk om selectief te zijn bij de keuzes van Cloud Serviceplatforms. Met betrekking tot de reductie van afhankelijkheden kunnen bestaande SOA standaarden toegepast worden. Dat betekent dat er webservices worden gebruikt voor de integratie en onderlinge communicatie. Daarin is een keuze te maken tussen klassieke web services gebaseerd op WSDL** en SOAP-technologie**, en de steeds meer populaire REST-technologie**. Voor het managen van afhankelijkheden vereist Cloud ontwikkeling een defensieve programmeerstijl, omdat de beschikbaarheid niet altijd gegarandeerd is. Daarom zullen applicaties die gebruik maken van services rekening moeten houden met (tijdelijke) non-beschikbaarheid van die services. Een applicatie kan zijn afhankelijkheden bijvoorbeeld beheersen door tijdelijk gegevens te cachen of door uit te wijken naar een vergelijkbare service. Naast deze twee principes, reductie van afhankelijkheid en standaardisatie, is er een concept uit de SOA-wereld die gebruikt kan worden; het denken in communicatiebussen. Een Enterprise Service Bus kan de vertaling naar de Cloud verzorgen. Voorbeelden zijn de Cloud Orchestration Bus van Atos Origin, een Internet Service Bus van Microsoft of de Oracle Service Bus van Oracle. Almere 1999 Proud of it Pagina 8 van 13
Organisatie SYSQA B.V. Pagina 9 van 13 5. Risico s In de VS is een wet aangenomen die het gebruik van Cloud Computing in beursgenoteerde bedrijven bemoeilijkt. Het gaat om de Sarbanes-Oxley (SOX) wet. Deze wet is aangenomen om accountants beter te kunnen controleren. Er moet niet alleen een rapportage komen over de jaarcijfers, maar ook hoe deze cijfers tot stand zijn gekomen. Veel beursgenoteerde organisaties hebben hun eigen software die de logistieke stromen bijhouden. Deze software wordt veelal zelf bijgehouden en geupdate. Ook de vertaalslag naar verschillende computers en systemen moet worden bijgehouden. In veel gevallen zal de organisatie moeten aantonen dat de software op een deugdelijke wijze is beheerd. Hiervoor dienen een aantal bewijzen te worden geleverd: Welke software is aangepast; Wie heeft de software aangepast; Waarom is de software aangepast; Wat is er aangepast (t.o.v. de vorige versie); Wie heeft de software vrijgegeven voor productie. Zolang dit goed gedocumenteerd en bewaakt wordt is er geen probleem met de SOX wet. In een cloud omgeving is dit lastiger te documenteren. Zeker omdat een Cloud vaak public of hybride is ingedeeld. Een organisatie heeft dus liever in eigen hand wat er veranderd wordt en waar de informatie opgeslagen staat. Ook mag volgens de Patriot Act alle informatie ingezien worden door de overheid van de VS. De VS verbieden ook handel met Iran en Noord- Korea, dus in die landen mag ook geen deel van de informatie staan. Buiten deze SOX wet uit de VS is er in Nederland nog de wet op bescherming persoonsgegevens waar rekening mee gehouden moet worden. Persoonsgegevens mogen bijvoorbeeld de landsgrenzen niet verlaten, wat moeilijk te controleren blijkt als deze gegevens in een Cloud staan. Ook in het kader van bedrijfsgeheimen kunnen er haken en ogen zitten aan het overstappen op Cloud Computing. Als er een bedrijfsnetwerk is waar de informatie op beschikbare, fysieke servers staan is dit makkelijker te beveiligen. Je weet als organisatie vrijwel zeker dat de informatie in de database alleen informatie bevat over jouw bedrijf. En dat gebruikers die informatie uit die database halen, ook gebruikers zijn die toegang hebben tot deze gegevens. In een cloud omgeving staat de informatie op verschillende servers. Zo zou het kunnen zijn dat informatie getoond wordt aan gebruikers die daar geen toegang tot hebben, omdat bijvoorbeeld de blades in de servers niet meer van 1 persoon of bedrijf zijn. In de praktijk zal er dus naar een leverancier gezocht moeten worden die een cloud certificering zoals SAS70, SOC 1 of 2** heeft om de veiligheid van de data te borgen. Daarnaast is het van belang hieromtrent specifieke afspraken te maken middels een SLA**. De onzekerheid over veiligheid en privacy is in zekere mate ongegrond. E-mailverkeer gaat bijvoorbeeld ook over verschillende servers voordat de e-mail bij de ontvanger aankomt. Ook kun je bijvoorbeeld bij Microsoft en Amazon kiezen op welke servers je data wordt opgeslagen. Zo kunnen bedrijven er voor zorgen aan de wettelijke regels te voldoen. Toch blijkt dat schade vaker binnen de organisatie ontstaat dan van buitenaf. Iemand met een USB stick die rechtmatig toegang heeft tot de informatie kan deze heel gemakkelijk ontvreemden. Dit is lastiger te voorkomen dan informatie beveiligen in een Cloud omgeving. Binnen de cloud kan informatie versleuteld worden, waar alleen de eigenaar van de informatie de sleutel heeft. Doordat Cloud Computing steeds groter wordt, en de leveranciers van cloud diensten groeien, wordt er meer en meer aandacht besteed aan de beveiliging van de data die zich in de cloud bevindt. Almere 1999 Proud of it Pagina 9 van 13
Organisatie SYSQA B.V. Pagina 10 van 13 Escrow De Cloud afnemer kan zichzelf extra indekken tegen de eventuele risico s van Cloud Computing middels het afsluiten van Escrow overeenkomsten. Deze zijn bedoeld om de continuïteit van de diensten te waarborgen die zich in de cloud bevinden. Als de leverancier failliet gaat, kom ik dan nog wel aan mijn data? Dit is een vraag waardoor terughoudendheid jegens Cloud Computing ontstaat. Ook dit risico kan ondervangen worden in een Cloud Escrow overeenkomst. Bij een faillissement van de eigenaar van de informatie zal de informatie altijd vallen onder de curator. Die kan dan bepalen of de informatie verkocht, of vernietigd moet worden. Almere 1999 Proud of it Pagina 10 van 13
Organisatie SYSQA B.V. Pagina 11 van 13 6. Cloud Computing in de toekomst. Begin 2011 maakt 41% van de Nederlandse MKB bedrijven reeds gebruik van Cloud Computing of Services (bron XR-magazine.nl, onafhankelijk onderzoek). Geschat wordt dat van alle bedrijven totaal in Nederland begin 2011 zo n 20% gebruik maakt van Cloud Computing. Zodra de wettelijke blokkades zijn weggenomen, en het vertrouwen in leveranciers blijft stijgen lijkt het erop dat Cloud Computing een nieuwe manier van werken wordt. Omdat de schaalbaarheid bijna oneindig is, zijn de groeimogelijkheden dat ook. Cloud Computing zal meer en meer open source gaan werken, waardoor de beveiliging van deze omgevingen ook stappen moet gaan zetten. Ook zal er meer kennis komen van de juridische mogelijkheden en beperkingen van Cloud Computing. Hierdoor worden de drempels verlaagd om gebruik te maken van Cloud Computing. De Europese Commissie heeft een plan opgesteld om binnen 10 jaar (na 2010) één standaard voor open source Cloud Computing op te stellen en wil hiermee een leidende rol krijgen binnen de IT wereld. Almere 1999 Proud of it Pagina 11 van 13
Organisatie SYSQA B.V. Pagina 12 van 13 Verklarende woordenlijst IaaS: Infrasturacture as a Service PaaS: Platform as a Service REST: Representational State Transfer. Dit is een software-architectuur voor gedistribueerde mediasystemen zoals het World wide web. SaaS: Software as a Service Sas70: Statement on Auditing Standards (SAS) 70 0 is een internationaal erkende norm die de interne controle van een dienstverlenende organisatie beoordeeld. SAS is ontwikkeld door het American Institute of Certified Public Accountants (AICPA). Een SAS 70 verklaring is bijvoorbeeld vaak vereist voor organisaties die aan de Sarbanes-Oxley Act van 2002 (SOx) moeten voldoen SLA: Service level agreement. In deze overeenkomst wordt tussen leverancier en afnemer bepaald welke diensten worden afgenomen, zoals de beveiligingsgraad en de voorwaarden waaraan moet worden voldaan. Aan deze voorwaarden kan de dienst ten alle tijden getoetst worden. SOA: Service-Oriented Architecture. Een software architectuur model dat gebaseerd is op servicecontracten die platform onafhankelijk zijn. Kenmerkend voor de diensten (en contracten) is: Een service is virtueel: de afnemer heeft geen weet van de implementatie van de dienst. De dienst is onafhankelijk van de afnemer. Scheiding van verantwoordelijkheid is expliciet vastgesteld. Voordeel hiervan is onafhankelijkheid van veranderingen van afnemer en leverancier. Voldoen aan het contract staat immers centraal; Een service is gestandaardiseerd: er is slechts één implementatie aanwezig van een verantwoordelijkheid. Voordeel is het rationaliseren van de standaard. Standaardiseren=massa, massa=kassa. De dienst wordt 'commodity' en eenvoudig te vervangen door een andere leverancier of goedkoper door een efficiëntieslag; Een service is modulair (vervangbaar) en compositioneerbaar. Standaard is niet flexibel. Flexibiliteit wordt bereikt door combineren (componeren) van standaards tot een nieuwe standaard; Een service is abstract: generiek, niet afgestemd voor 1 specifieke afnemer, maar op een doelgroep van afnemers; Losgekoppeld: afnemer en leverancier zijn maximaal onafhankelijk van implementatie van beide. Elke service is daarom autonoom. Er bestaat geen directe link of relatie tussen verschillende services. Services zijn zich ook niet van elkaar bewust. SOAP: Simple Object Acces Protocol is een computerprotocol dat wordt gebruikt voor communicatie tussen verschillende componenten. Het SOAP-protocol bestaat uit drie onderdelen: Een envelop die een raamwerk definieert voor het beschrijven van wat in een bericht staat en hoe het te verwerken. Een set van encodeerregels voor de expressie van 'instanties' van applicatiegedefinieerde datatypen. Een conventie voor de representatie van 'remote procedure calls' en antwoorden. SOAP kan in potentie worden gebruikt in combinatie met een grote verscheidenheid aan andere protocollen. Almere 1999 Proud of it Pagina 12 van 13
Organisatie SYSQA B.V. Pagina 13 van 13 Soc 1: Service on control 1 behelst de controle die wordt uitgevoerd over de financiele rapportages van de dienst. Soc 2: Service on control 2 behelst de controle die wordt uitgevoerd over de beveiliging, beschikbaarheid, verwerkingsintegriteit, betrouwbaarheid en de privacyomgang van de dienst WSDL: De WSDL binding beschrijft hoe de service gebruik maakt van het berichten protocol, met name SOAP. Een WSDL SOAP binding kent 2 stijlsoorten: RPC (Remote Procedure Call) of de style Document. Het gebruik van een SOAP binding is of 'encoded' of 'literal'. Dit uit zich in de structuur van het te verzenden SOAP-bericht. Het is van essentieel belang te weten met welk soort WSDL-bestand je van doen hebt. Sommige technieken, zoals JAX-WS ondersteunen alleen document/literal en niet rpc/encoded. En andere technieken vice versa. WS-I (Web Services Interoperability) Basic Profile schrijft het gebruik van document/literal voor. rpc/encoded wordt beschouwd als verouderd en dient niet meer gebruikt te worden. Een WSDL-document hoeft niet met de hand geschreven te worden. Er zijn voor bijna elke programmeertaal hulpmiddelen aanwezig waarmee WSDL-documenten op eenvoudige wijze gegenereerd kunnen worden, om ze zodoende via SOAP aanroepbaar te maken. Almere 1999 Proud of it Pagina 13 van 13