القسم السحابي السيادي ليس مسار تحويل تلقائي

الخلاصة

• تقول AWS إن aws-eusc قسم مستقل، ولذلك لا تنتقل إليه حسابات وهوية الأقسام الأخرى بصورة تلقائية.
• لا يعمل S3 Cross-Region Replication ولا الربط بين الأقاليم عبر Transit Gateway عبر حدود القسم، وفق إرشادات AWS؛ لذا يجب بناء النقل والمزامنة بطريقة صريحة.
• الاستقلال التشغيلي للبنية لا يثبت أن عبء عمل العميل قابل للاستعادة. يلزم إثبات سلسلة الثقة والبيانات والشبكة والسعة وسلطة القرار ضمن RTO وRPO محددين.

أول فشل قد يكون في إثبات الهوية

تبدأ كثير من خطط التعافي بتعليمة تبديل تقنية: دخول فريق التشغيل إلى الهدف، تولي دور إداري، تشغيل الموارد، ثم تغيير مسار الحركة. في قسم AWS السيادي الأوروبي، لا يجوز افتراض نجاح الخطوة الأولى.

تصف AWS الأقسام بأنها حدود صلبة. الحساب المقيد بقسم تجاري وهويات IAM التابعة له لا يصبح صالحاً تلقائياً في aws-eusc. يحتاج الهدف إلى حسابات جديدة وهويات وأدوار مستقلة. وهذا يعني أن خطة التعافي لا تحتاج نسخة أخرى من الخوادم والبيانات فحسب، بل تحتاج جهة أخرى قادرة على تعريف من يملك حق تشغيلها.

الحدود مقصودة. تقول AWS إن أول إقليم سيادي، eusc-de-east-1 في براندنبورغ بألمانيا، منفصل مادياً ومنطقياً، ويستخدم مكونات مخصصة للهوية والفوترة والثقة وDNS داخل الاتحاد الأوروبي، ومصمم للاستمرار إذا انقطع الاتصال ببقية العالم. هذه خصائص لاستقلال منصة المزود. وهي لا تضمن أن هوية العميل أو سلطة إصدار شهاداته أو موظفيه ستظل متاحة في السيناريو نفسه.

سلسلة ثقة ثانية، لا نسخة من كلمات المرور

يحتاج الهدف إلى تنظيم حسابات وسياسات وأدوار يمكن مراجعتها من دون الرجوع إلى مستوى التحكم الذي قد يكون هو موضع العطل أو المنع القانوني. كما يحتاج إلى هويات خدمة وأسرار ومفاتيح وشهادات وآليات إصدار وتجديد وإلغاء مستقلة. نقل شهادة قديمة بلا قدرة على تجديدها يؤجل الفشل ولا يزيله.

يجب كذلك الفصل بين صلاحية الإدارة وسلطة التفعيل. قد يتمكن مهندس من تشغيل الموارد لكنه لا يملك قانوناً نقل بيانات منظمة أو تغيير موقع معالجتها. وقد تملك جهة الامتثال حق الإذن لكنها لا تملك وسيلة دخول متاحة أثناء العزل. التعافي القابل للتنفيذ يجمع القرار القانوني والمسار التقني في سجل واحد.

يمكن للبنية التحتية كتعليمة برمجية أن تعيد إنشاء موارد متشابهة. لكنها لا تحمل تلقائياً مؤسسات الحسابات أو الثقة أو الأسرار أو الموافقات عبر حدود القسم. لذلك لا يجوز اعتبار نجاح نشر القالب دليلاً على اكتمال منظومة الهوية.

الشبكة والبيانات لهما حدود مستقلة

تقول إرشادات AWS إن S3 Cross-Region Replication والربط بين الأقاليم بواسطة Transit Gateway لا يعملان بين الأقسام. وبالتالي فإن نقل البيانات والمسار الشبكي يحتاجان إلى تصميم مختلف عن خطة تعافٍ عادية بين إقليمين في القسم نفسه.

تعرض AWS خيارات مثل TLS عبر الإنترنت وIPsec VPN وترتيبات مرتبطة بـ Direct Connect. كل خيار يحتاج عناوين ومسارات وسياسات جدار ناري وDNS ومفاتيح ومسؤول تشغيل. ويجب اختباره أثناء نوع الفشل المقصود: انقطاع تقني أو بشري أو جيوسياسي أو تنظيمي. مسار يعمل في يوم عادي قد يعتمد على مشغل أو هوية أو نقطة تحكم تختفي عند الأزمة.

أما البيانات فتحتاج آلية مزامنة أو تصدير أو استعادة داخلية أو خارجية. لا تكفي عبارة «لدينا نسخة احتياطية». يجب معرفة نقطة الاتساق، وحجم الفقد المقبول، وزمن النقل، والإذن القانوني، وترتيب استعادة الخدمات. قد تكون النسخة سليمة ولكن قديمة؛ أو حديثة ولكن غير قابلة للتحميل؛ أو قابلة للتحميل من دون شبكة أو شهادة تسمح بعرض الخدمة.

نطاق الضمان لا يساوي تماثل القدرة

تنشر AWS قائمة واسعة للخدمات وتشير إلى مصفوفة قدرات متجددة. كما تعرض في صفحة الامتثال خدمات تقع ضمن نطاق الضمان الحالي. هاتان قائمتان مهمتان، لكن أياً منهما لا يثبت أن كل واجهة أو خاصية أو نوع مورد أو حصة أو خدمة تابعة في المصدر متاح بالقدر نفسه في الهدف.

يوفر الإقليم السيادي مناطق توافر متعددة وطاقة وشبكات زائدة وفق AWS. هذا دليل يتعلق بمرونة البنية التحتية. ولا يثبت أن حساب العميل يملك السعة والحصص والموارد الدافئة اللازمة. قد تكون السحابة صامدة بينما يظل التطبيق غير قابل للإقلاع.

تضع إرشادات المسؤولية المشتركة لدى العميل أعمال النشر متعدد المواقع، والتعافي الذاتي، والنسخ والنسخ المتماثل، والشبكات والحصص والمراقبة وكتيبات التشغيل والاختبار المستمر. AWS مسؤولة عن مرونة السحابة، والعميل مسؤول عن بناء مرونة ما يشغله داخلها.

الأهداف لا تصبح نتائج إلا بالاختبار

تعرف AWS هدف زمن الاستعادة RTO بأنه الحد الأقصى المقبول بين الانقطاع واستعادة الخدمة، وهدف نقطة الاستعادة RPO بأنه الحد الأقصى المقبول لعمر آخر نقطة بيانات قابلة للاسترداد. المؤسسة هي التي تحدد الهدفين. لا يمنحهما افتتاح الإقليم ولا شهادة امتثال.

ينبغي أن يبدأ الاختبار من الحالة التي يتركها الفشل الحقيقي. فإذا كان السيناريو يفترض فقدان هوية المصدر، فلا يصح إصلاح صلاحيات الهدف بتلك الهوية قبل تشغيل الساعة. وإذا كان يفترض قيداً قانونياً على النقل، فلا تصح مزامنة يدوية استثنائية قبل العرض.

لا تكشف مصادر AWS المذكورة مخزون عبء عمل أي مشترٍ أو حصصه أو حجم بياناته أو نتائج اختبار أو تراجع أو تكاليفه. كما لا تثبت أن عبء عمل منظم محدداً نفذ تحويلاً ناجحاً بين الأقسام. لذا فالاستنتاج يقتصر على شروط الإثبات، ولا يدعي حالة نجاح غير منشورة.