Technologie und Infrastruktur → Hybrid Cloud und Umgebung

Hybride Cloud und Interaktion von Umgebungen

1) Was ist eine Hybrid Cloud

• Einhaltung der Anforderungen an die Souveränität/Datenlokalisierung;
• reibungslose Migration und Modernisierung des Monolithen auf Cloud-Dienste;
• Elastizität und Spitzen (burstable capacity) ohne Eisenrückfluss;
• cost-control: permanente on-prem Basis + variable Lasten in der Cloud.

2) Typische Szenarien (für iGaming/Fintech)

Payment Core/Wallet on-prem (geringe Latenz zu Bankkanälen, HSM), Fronten und Verzeichnisse - in der Cloud.
Reporting und Analytik: CDC von on-prem OLTP zu Cloud DWH/Lackhaus mit SLO für Frische.
KYC/AML: private On-Prem-Integrationen, Orchestrierung und Skalierung von Prüfungen in der Cloud.
Promo/Events/Turniere: elastische Skalierung des öffentlichen Teils ohne Kernwechsel.
Migration „Stück für Stück“: strangler-pattern - alte APIs mit einem Gateway umwickeln und nach und nach Funktionen in die Cloud bringen.

3) Netzwerkgrundlage

3. 1 Transport und Topologien

IPsec VPN: schneller Start, höhere Latenz/Overhead.
Direct Connect/ExpressRoute: vorhersagbare Bandbreite und Verzögerungen.
Hub-and-Spoke: on-prem как Hub; Cloud VPC/VNet - Spoke.
Dual-Hub: Separate Hubs in On-Prem und Cloud, verbunden durch einen dedizierten Kanal.

3. 2 Adressraum und Routing

Einheitliche IPAM-Richtlinie, wir schließen Überschneidungen von Subnetzen aus.
SD-WAN/Cloud Router für dynamisches Routing und Beobachtbarkeit.
Egress-Control: feste NAT-IPs unter der Allow-Liste externer Anbieter (PSP/KYC).

3. 3 Perimeter-Sicherheit

WAF/Bot-Schutz am Rand (Cloud Edge).
mTLS Service-to-Service über mesh/ingress-gateway.
Segmentierung: separate Zonen für prod/stage, „warme“ Sandkästen.

4) Daten und Konsistenz

4. 1 Datenklassen

Strikte Konsistenz (Wallet/Balance, Betrieb): Speicherung und Aufzeichnung lokal (on-prem), Ereignisse in der Cloud.
Endgültige Konsistenz (Verzeichnisse, Profile, Bewertungen): bidirektionale Replikation/Caching.
Sensible Daten (PAN/PII): Speicherung auf on-prem, in der Cloud - Token/algorithmische Projektionen.

4. 2 Synchronisationstechniken

CDC von OLTP → Broker/Stream → Cloud DWH/Lackhaus; SLA pro Lag (z.B. P95 ≤ 5 min).
Outbox/Inbox für Domain-Events (Idempotenz, Deduplizierung).
Caches und Edge: Near-Cache/TTL, Aufwärmen vor Spitzen.
CRDT/Zähler für Leaderboards/Statistiken (bei Asset-Asset-Lesungen).

5) Plattform und Rentimes

Kubernetes-Two: On-Prem-Cluster und Cluster in der Cloud; GitOps (Argo/Flux) als einheitlicher Liefermechanismus.
Service Mesh (multi-cluster): mTLS, retry/breaker, locality-aware routing; Begrenzung von Cross-Environment-Herausforderungen.
Serverless/Batch in der Cloud: elastische Funktionen/Batches für Peaks und Hintergründe.
Servicekatalog: einheitliche Metadaten (Eigentümer, SLO, Abhängigkeiten, Platzierung).

6) Identität, Zugänge, Geheimnisse

IAM Federation durch Corporate IdP (OIDC/SAML), Rolle-Mapping in beide Richtungen.
Least Privilege Policy: Separate Rollen für On-Prem/Cloud + Cross-Domain-Übersetzerrollen.
KMS/HSM: Schlüssel in on-prem HSM, Cloud-KMS - für Cloud-Artefakte; Wir „exportieren“ niemals die Hauptschlüssel.
Secret-Management: Synchronisation von Geheimnissen über Broker/Operatoren, Audit von Rotationen.

7) CI/CD und Änderungsmanagement

Einheitliches Mono-Spec-/Mono-Repository mit Parametrierung nach Medium.
Förderung von Artefakten: dev → stage-cloud → prod-on-prem/prod-cloud (Matrix).
Canary/Blue-Green separat für jedes Medium; Vergleich von SLI.
Vertragstests zwischen On-Prem und Cloud (API und Events).
Infra-as-Code: Terraform/Crossplane für beide Konturen, Policy-as-Code (OPA).

8) Beobachtbarkeit und SLO

9) DR-Strategien (für Hybridmodell)

Führen Sie regelmäßig DR-Drill durch: Trennen Sie den Kanal/Knoten, überprüfen Sie die Ranbooks.

10) Sicherheit und Compliance

Segmentierung von Netzwerken, Ost-West-Mikrosegmentierung, Steuerung von Intermediate ACLs.
Minimierung von PII in die Cloud: Tokenisierung, Logmaskierung.
Unveränderliche Protokolle (WORM) on-prem und in der Cloud, End-to-End-Maßnahmenaudit.
Regulatorisch: Speicherung im Land, Datenexport über Whitelists, Nachweisbarkeit der SLO/SLA-Ausführung.

11) FinOps und das Wirtschaftsmodell

Die Grundleistung ist on-prem (vorhersehbar/günstig), die Peaks sind Cloud (variabel/teurer).
Metriken: $/RPS mittwochs, $/GB egress, $/min CDC delay.
Warm-Pools in der Cloud zu den Spitzenfenstern (Turniere/Matches).
Vermeiden Sie „Chat“ zwischen den Medien: Aggregieren Sie Ereignisse, machen Sie lokale Projektionen.

12) Integrationsmuster

12. 1 Strangler-Fig (Umschlingung eines Monolithen)

[Client] → [API Gateway] →│→ [Cloud microservice v2]
└→ [On-prem legacy v1]

Routing über Pfade/Versionen, Telemetrie und A/B für einen sicheren Drecksack.

12. 2 Outbox/Inbox (Idempotenz)

BEGIN TX apply(domain_command)
insert outbox(event_id, aggregate_id, payload, hash)
COMMIT
// Репликатор читает outbox (on-prem), публикует в шину (cloud).
// Приемник в облаке дедуплицирует inbox по event_id/hash.

12. 3 Local-first writes

Schreiben Sie kritische Befehle lokal (on-prem), in die Cloud - Ereignis/Projektion.
Lesungen von Benutzerseiten - aus dem nächstgelegenen Cache/Projektion.

13) Checkliste Umsetzung

1. Datenklassifizierung (streng/endgültig/sensibel), Flussdiagramm zwischen den Medien.
2. Ausgewählter Transport (VPN/Direct) und IPAM-Plan, keine Überschneidungen.
3. Mesh/mTLS, Egress-Steuerung, feste NAT-IP zu den Anbietern.
4. CDC und outbox/inbox mit Deduplizierung, SLO auf freshness und inter-env lag.
5. GitOps/CI-Pipeline für beide Medien, canary per-env, contract-tests.
6. Ein einziges Verzeichnis von Diensten, Eigentümern, SLOs, Abhängigkeiten.
7. Beobachtbarkeit: Pass-Through-Traces, On- prem↔cloud-Synthetik, Kanalalerts.
8. DR-Drill und Ranbooks, regelmäßige Umschaltproben.
9. FinOps: egress/channel budgets, $/RPS und $/GB Berichte mittwochs.
10. Sicherheitsrichtlinien, Audits, PII-Tokenisierung, WORM-Protokolle.

14) Anti-Muster

Synchrone Hot-Path-Anrufe zwischen den Medien (Wallet/Write) → P99-Schwänze und Zerbrechlichkeit.
Überlappende Subnetze und „graue“ Routen → die Debugging-Hölle.
Replizieren Sie alles ohne Filterung → Egress-Konten und Verzögerungen.
Geheimnisse in Umgebungsvariablen, „Umzüge“ durch unsichere Bakette.
Ein einzelner DB-Master auf einer der Schleifen → SPOF über das Netzwerk.
Das Fehlen von DR-Drills sei „ein Plan auf Papier“.

15) Das Ergebnis

1. Netzwerke und Sicherheit (vorhersagbare Kanäle, mTLS, Segmentierung),

2. Daten und Konsistenz (CDC/Outbox, lokale Einträge, Caches),

3. Prozesse (GitOps, Beobachtbarkeit, DR-Drill, FinOps).

Mit einer solchen Basis erhalten Sie eine kontrollierte Evolution, halten Spitzen aus und erfüllen die Anforderungen der Regulierungsbehörden - ohne Schockmigrationen oder nächtliche Zwischenfälle.