Đám mây công cộng là hạ tầng do nhà cung cấp sở hữu và chia sẻ cho nhiều khách hàng; đám mây riêng là hạ tầng dành riêng cho một tổ chức; đám mây lai là cách kết nối hai loại này thành một môi trường vận hành thống nhất. Khác biệt không nằm ở chữ "đám mây" mà ở ba câu hỏi: ai sở hữu phần cứng, tài nguyên được chia sẻ với ai, và ai chịu trách nhiệm khi có sự cố hay khi nhu cầu tăng đột ngột.
Một hiểu lầm hay gặp là coi một phòng máy chủ có ảo hoá là "đám mây riêng". Theo định nghĩa của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ (NIST SP 800-145, năm 2011), một môi trường chỉ được gọi là đám mây khi có đủ tự phục vụ theo yêu cầu, co giãn nhanh, gộp tài nguyên và đo lường mức sử dụng. Thiếu tự phục vụ và đo lường, đó vẫn là trung tâm dữ liệu truyền thống được ảo hoá.
Bài này đi qua bốn mô hình triển khai theo NIST, so sánh chúng trên các trục chi phí, kiểm soát, co giãn và tuân thủ, rồi đưa ra một khung chọn cho từng nhóm ứng dụng thay vì một câu trả lời chung cho cả doanh nghiệp.
Bốn mô hình triển khai theo định nghĩa của NIST
Đám mây công cộng (public cloud). Hạ tầng thuộc sở hữu và do nhà cung cấp vận hành, mở cho công chúng hoặc mọi doanh nghiệp thuê. Tài nguyên vật lý được chia sẻ giữa nhiều khách hàng (multi-tenant), sự cách ly dựa vào lớp ảo hoá và phần mềm. Bạn trả tiền theo mức dùng và không phải lo mua máy, thay ổ cứng hay mở rộng điện. Đổi lại, bạn chấp nhận quy trình, vị trí trung tâm dữ liệu và lộ trình sản phẩm do nhà cung cấp quyết định.
Đám mây riêng (private cloud). Hạ tầng dành riêng cho một tổ chức, có thể đặt tại trung tâm dữ liệu của chính tổ chức đó hoặc do bên thứ ba vận hành hộ (hosted private cloud). Điều kiện để gọi là "đám mây" vẫn như trên: người dùng nội bộ tự xin tài nguyên qua cổng hoặc giao diện lập trình, không phải gửi phiếu yêu cầu chờ vài tuần.
Đám mây cộng đồng (community cloud). Hạ tầng chia sẻ giữa một nhóm tổ chức có chung yêu cầu, ví dụ các cơ quan nhà nước, các bệnh viện hay các trường đại học trong một hệ thống. Mô hình này ít được nhắc trong tiếp thị nhưng khá gần với các "đám mây chính phủ" hay đám mây ngành ở nhiều nước.
Đám mây lai (hybrid cloud). Hai hay nhiều mô hình trên được nối với nhau bằng công nghệ cho phép dữ liệu và ứng dụng di chuyển giữa chúng. Chữ quan trọng là "nối": một công ty dùng thư điện tử thuê ngoài và một máy chủ kế toán đặt tại văn phòng không có nghĩa là đang chạy đám mây lai, vì hai thứ đó không chia sẻ danh tính, mạng, giám sát hay quy trình triển khai.
So sánh trên sáu trục quyết định
Bảng dưới so sánh ở mức điển hình. Mỗi nhà cung cấp và mỗi cách triển khai có thể lệch khỏi mức này, nên dùng nó để đặt câu hỏi, không để kết luận thay cho một đánh giá cụ thể.
| Trục | Công cộng | Riêng | Lai |
|---|---|---|---|
| Cấu trúc chi phí | Chi phí vận hành theo mức dùng, gần như không vốn ban đầu | Vốn đầu tư lớn, chi phí cố định cao, rẻ hơn khi tải đều và cao | Cả hai; thêm chi phí kết nối và công cụ quản lý chung |
| Co giãn | Rất nhanh, gần như không giới hạn với doanh nghiệp vừa | Bị giới hạn bởi số máy đã mua | Co giãn phần đỉnh sang công cộng (cloud bursting) nếu ứng dụng được thiết kế cho việc đó |
| Kiểm soát vị trí dữ liệu | Chọn được vùng, không chọn được máy cụ thể | Toàn quyền | Phân loại dữ liệu để đặt đúng chỗ |
| Năng lực đội ngũ cần có | Kiến trúc đám mây, quản trị chi phí | Vận hành phần cứng, ảo hoá, lưu trữ, mạng | Cao nhất: phải giỏi cả hai và phần nối |
| Tốc độ ra tính năng mới | Nhanh, nhiều dịch vụ quản lý sẵn | Chậm, phải tự dựng | Tuỳ phần |
| Rủi ro chính | Phụ thuộc nhà cung cấp, hoá đơn khó dự đoán | Dư công suất, lỗi thời phần cứng, thiếu người | Độ phức tạp, lỗ hổng ở chỗ nối |
Dòng "năng lực đội ngũ" thường bị bỏ qua khi lập phương án. Đám mây lai nghe như lựa chọn an toàn vì "lấy được ưu điểm của cả hai", nhưng trong thực tế nó đòi hỏi đội ngũ hiểu sâu hai môi trường và vận hành được lớp kết nối giữa chúng. Với một doanh nghiệp chỉ có ba đến năm người làm công nghệ, độ phức tạp đó có thể lớn hơn lợi ích.
Dòng "cấu trúc chi phí" cũng cần đọc kỹ: đám mây riêng không rẻ hay đắt một cách tuyệt đối. Nó rẻ hơn khi tải lớn, ổn định, dự đoán được trong nhiều năm, và đắt hơn khi tải thất thường hoặc khi tổ chức mua dư để phòng đỉnh.
Đám mây lai trong thực tế: ba kiểu kiến trúc phổ biến
Từ "lai" bao trùm nhiều kiến trúc rất khác nhau. Kiểu thứ nhất là phân tầng theo ứng dụng: hệ thống lõi như ngân hàng lõi, ERP sản xuất hay hồ sơ bệnh án nằm ở đám mây riêng, còn website, ứng dụng di động, phân tích dữ liệu chạy trên đám mây công cộng và gọi về hệ thống lõi qua giao diện lập trình. Đây là kiểu phổ biến nhất ở các ngân hàng và doanh nghiệp lớn, vì nó cho phép đổi mới ở rìa mà không đụng vào lõi.
Kiểu thứ hai là co giãn phần đỉnh (cloud bursting): ứng dụng chạy bình thường ở hạ tầng riêng, khi tải vượt ngưỡng thì mở thêm máy trên đám mây công cộng. Ý tưởng hấp dẫn, ví dụ một trang tra cứu kết quả thi chỉ đông trong vài ngày mỗi năm. Nhưng nó chỉ chạy được khi ứng dụng không giữ trạng thái trên từng máy, cơ sở dữ liệu chịu được độ trễ giữa hai nơi và hai môi trường dùng chung ảnh máy, cấu hình, giám sát. Rất nhiều dự án dừng ở bản thiết kế vì cơ sở dữ liệu là nút thắt.
Kiểu thứ ba là dữ liệu ở lại, tính toán đi xa: dữ liệu nhạy cảm nằm tại chỗ, chỉ dữ liệu đã ẩn danh hoặc tổng hợp được đẩy lên đám mây công cộng để huấn luyện mô hình hay chạy báo cáo nặng. Kiểu này hợp với bệnh viện, cơ quan thống kê, doanh nghiệp có ràng buộc về lưu trữ dữ liệu trong nước. Điểm khó là quy trình phân loại và ẩn danh phải đáng tin, nếu không dữ liệu nhạy cảm vẫn lọt lên theo đường báo cáo.
Đám mây chủ quyền và câu hỏi lưu trữ dữ liệu tại Việt Nam
Từ khoảng năm 2020, khái niệm đám mây chủ quyền (sovereign cloud) xuất hiện dày đặc, nhất là ở châu Âu. Nó chỉ những dịch vụ đám mây mà dữ liệu, khoá mã hoá và cả đội ngũ vận hành đều nằm trong một khu vực pháp lý nhất định, nhằm giảm rủi ro dữ liệu bị cơ quan nước khác yêu cầu truy cập. Về kỹ thuật, nó có thể là đám mây công cộng chạy ở trung tâm dữ liệu trong nước, một đám mây riêng do đối tác nội địa vận hành, hoặc một vùng tách biệt của nhà cung cấp quốc tế.
Ở Việt Nam, Luật An ninh mạng 2018 và văn bản hướng dẫn đặt ra yêu cầu lưu trữ dữ liệu trong nước với một số loại dữ liệu và doanh nghiệp nhất định, còn các quy định về bảo vệ dữ liệu cá nhân đặt điều kiện cho việc chuyển dữ liệu ra nước ngoài. Phạm vi áp dụng phụ thuộc vào loại dịch vụ và loại dữ liệu, và văn bản thay đổi khá nhanh, nên bạn cần kiểm văn bản hiện hành hoặc hỏi luật sư thay vì suy ra từ bài viết.
Về mặt quyết định, điều này biến câu hỏi "công cộng hay riêng" thành câu hỏi phân loại dữ liệu: loại nào bắt buộc ở trong nước, loại nào chỉ cần mã hoá với khoá do mình giữ, loại nào để đâu cũng được. Làm bảng phân loại này trước giúp tránh hai thái cực: đưa tất cả về đám mây riêng cho chắc, hoặc đưa tất cả lên một vùng nước ngoài rồi mới phát hiện vướng quy định.
Khung chọn mô hình theo từng nhóm ứng dụng
Thay vì chọn một mô hình cho cả doanh nghiệp, hãy đi qua danh mục ứng dụng và trả lời năm câu hỏi theo thứ tự. Kết quả thường là một bức tranh lai tự nhiên, nhưng mỗi phần lai đều có lý do.
- Dữ liệu của ứng dụng thuộc loại nào? Nếu có ràng buộc pháp lý về vị trí, ghi rõ ràng buộc đó và loại bỏ những lựa chọn không đáp ứng.
- Tải có đều không? Vẽ mức dùng CPU và lưu lượng theo giờ trong ba đến sáu tháng. Tải đều, cao, ổn định nghiêng về hạ tầng riêng hoặc cam kết dài hạn; tải nhọn, theo mùa nghiêng về đám mây công cộng.
- Ứng dụng có cần dịch vụ quản lý sẵn không? Phân tích dữ liệu lớn, học máy, hàng đợi tin nhắn, cơ sở dữ liệu toàn cầu… tự dựng tốn nhiều người. Nếu ứng dụng phụ thuộc vào những thứ này, đám mây công cộng tiết kiệm công sức đáng kể.
- Độ trễ tới người dùng hay máy móc là bao nhiêu? Hệ thống điều khiển dây chuyền hay thiết bị y tế thường phải ở gần nguồn dữ liệu; báo cáo cuối ngày thì không.
- Đội ngũ của bạn vận hành giỏi cái gì? Một mô hình đúng trên giấy nhưng không ai vận hành nổi sẽ tốn hơn một mô hình kém tối ưu nhưng đội ngũ làm chủ.
Sau khi đi hết danh mục, hãy đếm: nếu chín phần mười ứng dụng rơi vào một mô hình, cân nhắc đưa nốt phần còn lại về đó để bớt một môi trường phải vận hành. Đám mây lai nên là kết quả của các ràng buộc thật, không phải điểm xuất phát.
Hiểu lầm phổ biến khi so sánh các mô hình
Năm nhận định dưới đây xuất hiện thường xuyên trong các cuộc họp chọn phương án, và đều cần được đặt lại.
- "Đám mây riêng an toàn hơn công cộng." An toàn phụ thuộc vào cấu hình, quy trình và con người nhiều hơn vào việc ai sở hữu máy. Nhiều sự cố lộ dữ liệu trên đám mây công cộng đến từ cấu hình sai của khách hàng, nhưng hạ tầng riêng thiếu vá lỗi và thiếu giám sát cũng rủi ro không kém.
- "Đám mây công cộng luôn rẻ hơn." Rẻ hơn khi tính cả chi phí cơ hội của vốn, chi phí người vận hành và khả năng tắt tài nguyên khi không dùng. Với tải lớn chạy liên tục nhiều năm, phép tính có thể ngược lại, và một số công ty đã công khai chuyển một phần hệ thống về hạ tầng riêng vì lý do này.
- "Ảo hoá xong là có đám mây riêng." Thiếu cổng tự phục vụ, hạn mức, đo lường và tính phí nội bộ thì vẫn là trung tâm dữ liệu truyền thống.
- "Lai là trạng thái trung gian, rồi sẽ lên công cộng hết." Với nhiều ngành có ràng buộc dữ liệu hoặc hệ thống lõi rất cũ, lai là trạng thái ổn định lâu dài, cần được thiết kế như vậy ngay từ đầu.
- "Chọn mô hình là quyết định một lần." Tải, giá và quy định đều thay đổi; nên xem lại phân bổ theo chu kỳ, ví dụ mỗi năm một lần cùng kỳ lập ngân sách.
Câu hỏi thường gặp
Đám mây riêng do nhà cung cấp vận hành hộ có khác gì thuê máy chủ vật lý?
Khác ở lớp phần mềm phía trên. Thuê máy chủ vật lý thì bạn nhận máy và tự lo mọi thứ. Đám mây riêng vận hành hộ cung cấp thêm cổng tự phục vụ, ảo hoá, lưu trữ dùng chung, đo lường và thường cả sao lưu, giúp đội ngũ nội bộ xin tài nguyên trong vài phút thay vì vài tuần.
Đa đám mây (multi-cloud) và đám mây lai có phải là một?
Không. Đa đám mây là dùng nhiều nhà cung cấp đám mây công cộng cùng lúc, có thể không nối với nhau. Đám mây lai nhấn vào sự kết nối giữa hạ tầng riêng và công cộng. Một doanh nghiệp có thể vừa lai vừa đa đám mây, nhưng hai khái niệm trả lời hai câu hỏi khác nhau.
Doanh nghiệp nhỏ có nên làm đám mây riêng không?
Hiếm khi có lý. Đám mây riêng đòi hỏi vốn phần cứng, người vận hành ảo hoá, lưu trữ, mạng và kế hoạch thay thiết bị. Với quy mô nhỏ, chi phí cố định này thường vượt xa hoá đơn đám mây công cộng tương đương, trừ khi có ràng buộc pháp lý hoặc tải rất đặc thù.
Đám mây cộng đồng có còn được dùng không?
Có, dù ít khi được gọi bằng tên đó. Các nền tảng dùng chung cho cơ quan nhà nước, mạng nghiên cứu của các trường đại học hay hạ tầng dùng chung trong một tập đoàn nhiều công ty con đều mang đặc điểm của đám mây cộng đồng: nhiều tổ chức, chung yêu cầu, chung chi phí.
Kết nối giữa hạ tầng riêng và đám mây công cộng thường bằng cách nào?
Hai cách chính là mạng riêng ảo mã hoá qua Internet và đường kết nối riêng thuê từ nhà mạng tới điểm kết nối của nhà cung cấp. Đường riêng ổn định, độ trễ thấp hơn nhưng đắt và mất thời gian lắp đặt; mạng riêng ảo rẻ, nhanh nhưng phụ thuộc chất lượng Internet.
Có nên dùng một công cụ quản lý chung cho mọi môi trường?
Nên thống nhất ít nhất ba thứ: danh tính người dùng, giám sát và cách mô tả hạ tầng bằng mã. Còn một bảng điều khiển duy nhất cho mọi thứ thường hứa nhiều hơn làm được, và có thể tự nó trở thành một điểm phụ thuộc mới.