Multi-cloud стратегиясы және көші-қон

1) Неге multi-cloud және қашан ақталады

Мақсаттары: бизнестің үздіксіздігі (провайдер бойынша резерв), деректер/юрисдикция егемендігі, құнды/жеңілдіктерді оңтайландыру, үздік басқарылатын сервистерге қолжетімділік (ML/антифрод/талдау).
Мәмілелер: операциялар күрделілігінің өсуі, құзыреттердің қайталануы, желілік egress-шығындар.
Кілт: қай жерде төзімділік қажет екенін, ал қай жерде жылдамдық/баға үшін vendor lock-in рұқсат етілетінін алдын ала анықтау.

2) Нысаналы сәулет модельдері

Portable Core: сындарлы ядро (API, домендік сервистер, деректер) - тасымалданатын (K8s, Postgres, Kafka, Redis, MinIO/Vault); периферия - natively-managed.
Active-Active Multi-cloud: екі бұлт бір уақытта трафикке қызмет көрсетеді (күрделі: деректер қайшылықтары, жаһандық бағыттау).
Active-Passive (Hot/Warm): біреуі - негізгі, екіншісі - ыстық/жылы DR.
Hybrid: бұлттағы он-прем/бөлік (көбінесе заңды/PII шектеулер үшін).

3) Төзімділік паттерндері

Kubernetes базалық платформа ретінде (алиастар: EKS/GKE/AKS/он-прем K8s).
Service Mesh (mTLS, traffic shifting, locality/failover; Istio/Linkerd).
IaC: Terraform + модульдік абстракциялар; для K8s — Helm/Kustomize + GitOps (Argo/Flux).
Құпиялар: HashiCorp Vault/External Secrets Operator; KMS/HSM-ден абстракция.
Сақтау орындары: Postgres (операторлар/Patroni), Kafka (операторлар/MirrorMaker2), Redis (сентинель/кластер), S3-үйлесімді (MinIO) API біркелкілігі үшін.
Байқалуы: OpenTelemetry + вендор-бейтарап бэкендтер (Prometheus/Tempo/Loki/ClickHouse).
Аутентификация: OIDC/OAuth2 (Keycloak/Auth0/Entra/Google), бірыңғай федерация.
API-қабат: Envoy/NGINX/Contour + жалпы саясат (CORS, мандаттық тақырыптар, rate limits).

4) Көші-қон стратегиясы (7R - қысқаша)

Rehost (Lift-and-Shift): жылдам, өңдеусіз; статлесс/VM үшін жақсы, құны үшін жаман.
Replatform: K8s-ке көшіру/тәуелділікті жеңілдету (refactor-ға қарағанда аз қауіпті).
Refactor/Repurchase: portable-паттерндерге көшіру немесе SaaS қызметімен ауыстыру.
Retain/Retire: тасымалданбайтын нәрсені қалдыру/пайдаланудан шығару.

Практика: сервистер тізілімінен бастау (сындарлылық, RTO/RPO, SLO, тәуелділік), көші-қон толқындарын құру (домендер бойынша).

5) Деректер және консистенттілік

Репликация/CDC: Postgres/MySQL үшін Debezium/страиминг; Kafka топиктер үшін MirrorMaker2.
Екі бағытты синхрондау: тек қатаң теңсіздікте және нұсқалау кілттерінде (vector clock/updated_at).
Dual-write дедуппен: жазбалар кепілді жеткізу үшін 'Idempotency-Key '/' event _ id' + outbox/inbox деп белгіленеді.
Иелікті бөлу: қайшылықтарды болдырмау үшін көшбасшы/өңір/бұлт per key/tenant.
Кэш: жергілікті-аймақтық; тек оқиғалар/TTL арқылы жаһандық (күшті төзімділігі бар «жалпы» жаһандық кэш жоқ).

6) Жаһандық трафик және желі

GSLB/DNS: latency/geo-routing + health-checks, канарейка/фейловер үшін weights.
Пайдаланушыға жақындау үшін Anycast/Edge/CDN, содан кейін - ең жақын сау аймаққа/бұлтқа дейін төсеу.
Тікелей арналар: Interconnect/ExpressRoute/Direct Connect бұлттар арасында/egress/жасырындылықты төмендету үшін он-прем.
Клиенттік саясат: қысқа таймауттар, экспоненциалды backoff + джиттер, итерациялық ретрациялар, write-операциялардың іспеттілігі.

7) Қауіпсіздік және сәйкестік

mTLS барлық жерде (mesh + SPIFFE/SPIRE немесе меншікті PKI).
KMS/HSM: Vault арқылы API абстракциялаңыз; per юрисдикциясы/тенанты кілттерін сегменттеу.
IAM: рөлдер мен топтардың бірыңғай моделі (SCIM/SSO), ең аз артықшылықтар саясаты, уақытша кредитершілер (STS).
Құпиялар/ротация: токендерді/парольдерді автоматты ротациялау; «ұзын» статикалық кілттерді бұғаттау.
Compliance: PCI DSS/GDPR - data residency, оқшауланған аудит журналдары, гео-блоктар.

8) Бақылау, SLO және Error Budgets

RED/USE сигналдары + трейстер + барлық бұлттардағы профильдер; логтардың бірыңғай пішімі (JSON + 'trace _ id').
Trace sampling tail-based: қателерді/p99, 'cloud', 'region', 'tenant' сегменттерін сақтау.
SLO per бұлт/өңір + жалпы агрегат; burn-rate (multi-window) бойынша алерталар.
Канареялық дашбордтар «көші-қонға дейін/кейін», регрестер бойынша есеп.

9) CI/CD және конфигурацияларды басқару

GitOps: сурет артефактілері біртұтас, конфига - per-environment/region Helm values/Kustomize overlays арқылы.
External Secrets Operator арқылы құпиялар (AWS/GCP/Azure құпия-қоймаларына көпірлер).
Промо-ағындар: dev → staging → canary (cloud A) → canary (cloud B) → full.
Release gates: SLO/Synthetic/Contract-tests трафик салмағының өсуінен бұрын.

10) Құны және FinOps

Бұлттар арасындағы egress-тарифтерді, RI/CUD/Savings Plans жеңілдіктерін, marketplace-бандлаларды ескеріңіз.
80/20 ереже: ең үлкен бизнес-тәуекелдің 20% -ын ғана көтеріңіз; қалғаны - қайда арзан/оңай.
Downsampling метрик, cold-storage логтар, трестерге арналған лимиттер (budget-aware sampling).
Ресурстарды тегтеу: 'env', 'team', 'service', 'tenant', 'cost _ center' - мөлдір биллинг үшін.

11) Көші-қон жоспарлары (playbook)

11. 1 Дайындау

1. Сервистер/деректер/тәуелділіктер мүкәммалы; мақсатты RTO/RPO/SLO.
2. Модельді (active-active vs active-passive) және желілік қабатты (GSLB/Anycast) таңдау.
3. Мақсатты бұлтта құмсалғышты дайындау: K8s кластері, mesh, observability, құпиялар.

11. 2 Айдап өту және валидация

4. Shadow-traffic: прод.
5. Негізгі бағыттар бойынша келісім-тест (OpenAPI/gRPC/CDC) және синтетика.
6. CDC/репликалау: деректерді ыстық үндестіру, консистенттілікті салыстыру.

11. 3 Ауыстырып қосу

7. Dual-write (демпотенттік) пайдаланушылардың/тенанттардың шектеулі пайызына.
8. SLO-гейттерімен кезең-кезеңмен traffic shifting (1% → 10% → 50% → 100%).
9. Freeze/stateful; final cutover прокаты; соңғы reconcile дейін ескі контурды «read-only» күйінде ұстап тұру.

11. 4 Көші-қоннан кейін

10. Аудит-логтарды/журналдарды тексеру, ескі снапшоттар мұрағаты, egress/кэшті оңтайландыру.
11. Runbooks бағдарламасын жаңарту және on-call оқыту.

12) DR және істен шығуға төзімділік тестілері

GameDay: тұтас бұлтты/аймақты өшіру; нақты RTO/RPO өлшеу.
Chaos-инъекциялар: пакеттердің жоғалуы/кросс-линкадағы жасырындылықтың өсуі, брокердің/базаның құлауы.
Автоматты тозу жалаушалары: «қымбат» фичтерді өшіру, 'stale-while-revalidate' кэшіне көшу.

13) Антипаттерндер

Деректерді иелену келісімінсіз «таза» active-active → қайшылықтар/қайталаулар.
Күшті консистентті жалпы жаһандық кэш - жасырындылық/кептеліс.
Теңсіздіксіз ретрайлер → қайта есептен шығару/тапсырыстар.
Бұлттардағы логтардың/трестердің әртүрлі форматтары - корреляцияның жоғалуы.
IAM/құпиялардың бірыңғай моделінің болмауы.
Толқындарсыз және гейтсіз көші-қон.

14) iGaming/Қаржы ерекшелігі

Юрисдикциялар және data residency: PII/төлем логтары «ел/өңір ішінде» қалады, кросс-бұлт - тек агрегаттар/аноним.
Төлем провайдерлері: бұлттар/өңірлер бойынша multi-PSP және smart-routing; вебхактар - дедупликациясы бар жаһандық брокер арқылы.
Санкциялық/комплаенс-сүзгілер: өңірлік профильдер; рұқсат етілген PSP жылдам failover.
SLO «ақша жолдары» жалпы жолдан жоғары; жекелеген алерттар/дешбордтар per провайдер/өңір.
Аудит: өзгермейтін транзакция журналдары, екі тәуелсіз қоймаға синхронды жазба (WORM/S3 Object Lock).

15) Prod-дайындық чек-парағы

• Мақсатты модель таңдалды (portable core/active-active/standby); RTO/RPO/SLO сипатталған.
• IaC/GitOps: модульдік Terraform/Helm/Kustomize; бірыңғай mesh және қауіпсіздік саясаты.
• Бақылау қабілеті: OTel барлық ортада; логтардың жалпы пішімі; tail-sampling қателер бойынша/р99.
• Деректер: CDC теңшелген; dual-write іспеттес; жанжал-қарар жоспары бар.
• GSLB/DNS/Anycast и health-checks; SLO-гейттерімен кезең-кезеңмен traffic shifting.
• Құпиялар және KMS: Vault арқылы абстракция; ротация; өңірлер бойынша сегменттеу.
• FinOps: құн модельдері, egress-лимиттер, тегтер және квоталар; шығындар бойынша есептер.
• DR-жаттығулар өткізілді; нақты RTO/RPO өлшенді; runbooks жаңартылды.
• API/оқиғалар келісімшарттары екі бұлтта да верификацияланады; вебхуктар мониторингі.
• iGaming/Қаржы үшін: data residency, multi-PSP routing, WORM журналдары.

16) TL; DR

portable core (K8s + IaC + mesh + OTel + Vault) жасаңыз және RTO/RPO/SLO бизнес-мақсаттары мен құны үшін көп бұлтты паттернді таңдаңыз. Толқындармен жылжытыңыз: shadow-traffic → CDC → dual-write → SLO-гейттері бар кезең-кезеңмен трафик. Деректерді сәйкестік және outbox/inbox арқылы, трафикті GSLB/Anycast арқылы, қауіпсіздікті mTLS/KMS/Vault арқылы басқарыңыз. iGaming үшін - «ақша» жолдары үшін жеке SLO, data residency және multi-PSP қатаң ережелері.