Multi-Cloud-Standardisierung: was festziehen und was flexibel lassen

Ein Provider. Rollen und Federation einmal definieren. Jede Inkonsistenz ist selbstgemacht.

So sieht gut aus: Ein zentraler IdP, federiert zu allen aktiven Providern. Jeder menschliche Access-Eintrag hat einen namentlichen Owner und ein Review-Datum. Keine langlebigen Service-Account-Keys. Siehe: RBAC patterns for production cloud environments. RBAC.

Ein Provider. VPC-Layout, Subnet-Schema und Egress-Pfad standardisieren. Es gibt kein Komplexitätsargument für Divergenz.

So sieht gut aus: Ein Netzwerkdiagramm, das zum Deployed-State passt. Egress über einen kontrollierten Pfad. Private Endpoints für Managed Services in Produktion. Siehe: Network topology in multi-cloud estates. Network topology.

Noch kein IaC, oder ein Provider. Mit einer Standard-Modulstruktur starten. Divergenz vor einer Baseline erzeugt Schulden ab Tag eins.

So sieht gut aus: Keine Produktionsinfrastruktur ausserhalb der Versionskontrolle provisioniert. Neue Environments aus Code reproduzierbar. Remote State mit Locking auf jedem Provider. Siehe: Terraform module patterns for multi-environment cloud estates. Terraform modules.

Ein Provider. Kein Grund zu divergieren. Ein Log-Ziel wählen und durchsetzen.

So sieht gut aus: Jeder Produktionsservice hat ein Log-Ziel und mindestens 90 Tage Retention. Management-Audit-Logs unveränderlich aufbewahrt und für Workload-Accounts unzugänglich.

Ein Provider. Tagging auf jeder Resource erzwingen. Provider-native Cost Allocation. Keine Abstraktion nötig.

So sieht gut aus: Jede Resource mit Team- und Environment-Tag. Täglicher oder wöchentlicher Cost-Report nach Team. Budget-Alerts feuern vor dem Overspend, nicht nach der Rechnung.

Ein Provider oder grosse Teams. CIS-Benchmark-Controls, Vulnerability Scanning und Secret Hygiene standardisieren.

So sieht gut aus: Eine schriftliche Baseline, die in CI automatisch getestet wird. CIS-Benchmark auf allen Providern aktiv. Keine langlebigen Credentials in Code, Images oder CI-Secrets. Siehe: Golden image architecture for production Linux baselines. Golden images.

Ein Provider. Divergenz ist nicht möglich. Runbooks jetzt standardisieren.

So sieht gut aus: Jeder Produktionsservice hat ein Runbook, geschrieben von jemand anderem als dem Primary Engineer. Alle Alerts laufen auf eine einzige On-Call-Plattform.