Microsoft fremlægger tirsdag den 20. oktober et nyt udspil for Sovereign Cloud. Blandt nyhederne er ekstern nøglestyring med Azure Managed HSM, som ifølge selskabet nu er generelt tilgængelig. Den giver mulighed for at opbevare den overordnede krypteringsnøgle på hardware, kunden selv eller en betroet tredjepart driver.

I dagens meddelelse annoncerer Microsoft også, at Sovereign Control Panel kommer i offentlig preview ved Ignite. Kontrolpanelet skal samle overblik over blandt andet kontrolforanstaltninger og afhængigheder. Muligheden for at skifte systemer fra forbundet til frakoblet drift går ligeledes i offentlig preview.

Det er vigtigt at skelne disse statusser fra hinanden. En preview er en mulighed for afprøvning, ikke en meddelelse om, at alle kunder allerede har en færdig løsning. Microsoft oplyser desuden, at Foundry Local på Azure Local bliver generelt tilgængelig ved Ignite til både forbundet og frakoblet drift.

Offline-cloud er ikke opfundet i dag

En central skelnen er forskellen mellem dagens udvidelser og funktioner, der eksisterede i forvejen. I sin meddelelse fra 24. februar beskrev Microsoft allerede Azure Local med frakoblet drift som tilgængelig. Her var pointen, at infrastrukturen kunne drives uden forbindelse til den offentlige cloud.

At virksomheden nu taler om flere muligheder for suverænitet, betyder derfor ikke, at lokal drift først bliver mulig denne uge. Det nye skal vurderes funktion for funktion. Ellers risikerer en bred overskrift om en cloud uden internet at skjule, hvad kunderne faktisk får adgang til, og hvornår de får det.

Hvad betyder frakoblet drift?

Microsofts tekniske oversigt over disconnected operations beskriver en model, hvor styringen af infrastrukturen flyttes ind i organisationens eget miljø. Systemet kræver ikke løbende forbindelse til Azure eller internettet, og centrale arbejdsopgaver kan fortsætte lokalt.

Der følger dog ikke hele det offentlige Azure-katalog med. Dokumentationen beskriver et udvalg af cloudfunktioner. Identitet, overvågning og adgangsstyring skal håndteres med understøttede lokale integrationer, mens opdateringer og vedligeholdelse kræver offline eller trinvise arbejdsgange.

Oversigten stiller også krav til organisationens forberedelse: relevant aftale, dokumenteret behov, personale eller partnerstøtte samt planlagt kapacitet og understøttet hardware. Det er således en driftsmodel for organisationer med særlige behov, ikke en simpel knap, som enhver abonnent kan aktivere.

Flere servere løser ikke alle afhængigheder

Den praktiske kompleksitet bliver tydelig i Microsofts installationsvejledning. Den beskriver fysisk hardware, mindst tre maskiner til den dokumenterede opsætning og særskilt planlægning af netværk, identitet og certifikatinfrastruktur. Selve etableringen kan tage flere timer, og styringslaget kan opleve nedetid ved genstarter og opdateringer.

For en it-afdeling er dette en væsentlig forskel fra blot at placere data i en anden cloudregion. Man skal kunne drive et miljø, ikke kun vælge en adresse til filerne. Kapacitet, fejlretning og vedligeholdelsesvinduer bliver konkrete opgaver, der kræver både ejerskab og tid.

Databasen skal stadig sikres særskilt

Et illustrativt eksempel findes i vejledningen til SQL Server på frakoblet Azure Local. Her understreger Microsoft, at sikkerhedskopiering af styringslaget ikke automatisk sikkerhedskopierer SQL Server-systemerne. Databaserne skal have deres egen backup og afprøvede gendannelse.

Dokumentationen angiver også, at SQL Server-udvidelsen til Azure Arc ikke understøttes i denne driftsform. Administration og overvågning må derfor ske med understøttede lokale værktøjer. Det er et konkret eksempel på, at den samme produktfamilie ikke nødvendigvis giver de samme funktioner i alle opsætninger.

Vejledningen advarer desuden mod at sidestille lokal AI-inferens med en fuldt offline udviklingsproces. At en model kan svare lokalt, dokumenterer ikke, at alle udviklerværktøjer kan fungere uden cloudforbindelse. Deres login, klienter og øvrige afhængigheder skal undersøges hver for sig.

Et tænkt driftsstop viser forskellen

Forestil dig en organisation, der har flyttet sin database og sin applikation til egne servere. Begge dele fungerer normalt. Under en øvelse afbrydes forbindelsen til eksterne tjenester, og medarbejderne opdager, at de ikke længere kan logge ind i applikationen. I det tænkte eksempel er data lokale, men brugerens adgang er stadig afhængig af noget udenfor.

Eksemplet er ikke en rapport om en konkret fejl i Microsofts produkter. Det viser, hvorfor en gennemgang af afhængigheder er mere oplysende end et enkelt mærkat som lokal eller suveræn. En funktion, som virker under normal drift, kan have andre forudsætninger, når netværket ændrer sig.

Det samme spørgsmål kan stilles til arbejdsgangen omkring systemet. Kan vagtholdet finde instruktionerne? Kan en ny medarbejder få de nødvendige rettigheder? Kan virksomheden genoprette data på andet udstyr? Det er relevante spørgsmål i en øvelse, også selv om den oprindelige årsag til investeringen var ønsket om større kontrol.

Kontrol kræver et præcist mål

Elektronikas vurdering er, at organisationer får mest ud af udspillet ved først at definere, hvilket problem de vil løse. Ønsket om at kunne arbejde under et netværksnedbrud er ikke identisk med ønsket om at flytte til en anden softwareleverandør. Den ene egenskab dokumenterer ikke automatisk den anden.

En lokal installation af en leverandørs software kan fortsat være baseret på netop den leverandørs formater, værktøjer og kompetencer. At kontrollere maskinerne er derfor ét spørgsmål; at kunne erstatte systemet er et andet. Det er en analytisk skelnen, ikke en konklusion om bestemte kunders aftaler.

En fornuftig afprøvning bør begynde med en afgrænset opgave og på forhånd fastlagte succeskriterier. Hvilke funktioner skal fortsætte? Hvor længe? Hvilke manuelle handlinger accepteres? Først når de spørgsmål er besvaret, bliver det muligt at afgøre, om en demonstration svarer til et reelt driftsbehov.

Prøven bør også beskrive, hvem der træffer beslutninger undervejs. Hvis en ændring kræver godkendelse fra en person, som ikke kan kontaktes, kan en teknisk fungerende løsning stadig være vanskelig at bruge. Ansvarsfordeling er derfor en del af vurderingen, ikke blot et bilag til servernes specifikationer.

Leverandørløfter skal møde en praktisk prøve

Microsofts materiale er en primær kilde til, hvad virksomheden annoncerer og dokumenterer. Det er ikke en uafhængig test af, hvor let løsningen er at implementere, eller hvor godt den fungerer hos en bestemt kunde. Elektronika har ikke gennemført en sådan test.

For danske organisationer er næste skridt derfor ikke nødvendigvis en flytning. Det kan være en konkret afklaring af nuværende afhængigheder, bemanding og krav til genopretning. Mere valgfrihed er nyttig, når det står klart, hvilket valg der faktisk skal træffes.

Nyheden peger på en clouddebat, der handler om mere end lagerplads: Hvem kan holde systemet i gang, når den normale driftsform ikke længere er tilgængelig? Det spørgsmål besvares bedst med dokumentation og øvelser, ikke med produktnavnet alene.