Multi-cloud: svoboda v cloudu

Co je multi-cloud

Multi-cloud je strategický přístup k IT infrastruktuře a aplikacím, při kterém organizace cíleně využívá služby dvou a více veřejných cloudů současně (např. kombinaci IaaS/PaaS/SaaS od různých poskytovatelů). Cílem je optimalizovat náklady, výkon, inovace a odolnost, minimalizovat riziko závislosti na jednom dodavateli (vendor lock-in) a splňovat regulační či datově-suverénní požadavky napříč geografickými oblastmi.

Multi-cloud vs. hybridní cloud

Aspekt	Multi-cloud	Hybridní cloud
Definice	Více veřejných cloudů	Kombinace privátního a veřejného cloudu
Motivace	Optimalizace služeb a funkcí, odolnost	Využití existujících investic a compliance
Síťový model	Interconnecty mezi cloudy	Propojení DC ↔ veřejný cloud
Řízení	Federace politik napříč CSP	Rozšířené on-premise governanční postupy

Hlavní důvody pro multi-cloud

Odolnost a kontinuita: snížení dopadů výpadků jednoho poskytovatele; možnost failoveru.
To nejlepší z obou světů: využití specializovaných PaaS (ML, analytika, serverless) podle silných stránek CSP.
Regulace a suverenita: umístění dat v konkrétních regionech, separace rizik.
Vyjednávací pozice: zlepšení licenčních a cenových podmínek díky alternativám.
Snižování lock-inu: technologická přenositelnost a standardizace.

Architektonické vzory multi-cloudu

Rozdělení podle domén: každý cloud hostí odlišnou doménu (např. datová platforma vs. digitální front-endy).
Aktivně-aktivní: rovnoměrné rozložení zátěže mezi cloudy; vysoké nároky na konzistenci a síť.
Aktivně-pasivní: primární cloud a teplá/záložní kapacita v druhém; levnější, pomalejší přechod.
Regionální zrcadlení: mapování obchodních regionů na různé CSP kvůli compliance/latenci.
Edge + multi-cloud: zpracování dat na hraně s replikací do různých cloudů.

Síť a připojení mezi cloudy

Privátní propojení: dedikované linky/partner interconnect; nižší latence, stabilita, SLA.
Šifrované tunely: IPSec/VPN mezi VPC/VNet; rychlá implementace, vyšší overhead.
Transit hub: centrální síťová vrstva (hub-and-spoke) s firewally a routováním mezi cloudy a on-prem.
DNS a názvosloví: sjednocená strategie rozlišení jmen (privátní zóny, split-horizon DNS).

Data: gravitace, konzistence a přesuny

Datová gravitace: velké datasety přitahují výpočty; přesuny jsou nákladné (egress) a časově náročné.
Konzistenční model: volba mezi eventual, bounded staleness a strong; dopad na UX a byznys logiku.
Vzor synchronizace: CDC (Change Data Capture), event-driven replikace, streamování logů, periodický batch.
Formáty a kompatibilita: otevřené formáty (Parquet, Iceberg/Delta) pro přenositelnost analytiky.
Suverenita a klasifikace: tagování dat (PII, citlivé, regulované) a směrovací politiky dle klasifikace.

Výpočetní vrstvy a přenositelnost aplikací

Kubernetes jako transportní vrstva: standardizuje nasazení (pod, service, ingress), umožňuje schedulovat do různých CSP.
Service mesh: mTLS, traffic shaping, policy enforcement napříč klustry (multi-cluster/virtual mesh).
IaC a GitOps: Terraform/OPA/Crossplane + Argo CD/Flux pro deklarativní životní cyklus v různých cloudech.
12-factor/Cloud-native: bezstavové komponenty, externí konfigurace, horizontální škálovatelnost, idempotentnost.
Serverless portabilita: abstraktní vrstvy nebo kontejnery pro funkce (build once, run on multiple).

Identita, přístupy a tajemství

Federace identity: centrální IdP (OIDC/SAML) s rolemi mapovanými do IAM modelů jednotlivých CSP.
Jednotné politiky: least privilege, ABAC/RBAC, jemně zrnité autorizace a auditní stopy.
Správa tajemství: KMS/HSM a trezory tajemství; rotace klíčů a podepsané požadavky (workload identity).
Zero trust: verifikace identity a stavu zařízení při každém přístupu; segmentace sítí (micro-segmentation).

Observabilita, SRE a provoz

Telemetrie: OpenTelemetry pro sběr metrik, logů a trace napříč cloudy do kompatibilních backendů.
SLI/SLO a error budget: definujte dostupnost, latenci a úspěšnost požadavků pro každý cloud a globálně.
Incident management: centralizované runbooky, chat-ops, post-mortem bez viny, cvičení chaos engineeringu.
Konfigurační drift: GitOps policy, periodická konvergence, kontrola mutujících webhooků a admission pravidel.

Bezpečnost a compliance

Politiky a kontrolní rámce: mapování na normy (ISO/PCI/SoC) a automatizované policy-as-code (OPA/Conftest).
Šifrování: at-rest a in-transit, zákaz plaintext tajemství; zákaz sdílených účtů.
Data loss prevention: klasifikace, tokenizace, detekce úniků, sandboxy pro analýzu.
Audit a evidence: jednotné logování admin akcí, nepodepisovatelná (append-only) úložiště.

FinOps a optimalizace nákladů

Showback/Chargeback: tagy a alokace podle týmů/produktů; KPI unit economics (€/požadavek, €/GB).
Smluvní páky: závazkové slevy, rezervované instance, spot/překračovací limity s guardraily.
Observabilita nákladů: denní rozpad podle služby/regionu; alerty na odchylky a anomálie.
Right-sizing a architektura: vertikální/horizontální škálování, lazy loading dat, cold/warm tiering.

Řízení (governance) a landing zóny

Landing zóna pro každý cloud: standardní účty/projekty, sítě, politiky, baseline bezpečnosti.
Org-principy: separace prostředí (dev/test/stage/prod), blast radius minimalizace, guardrails.
Katalog služeb: schválené služby a šablony; automatizované CI/CD hooky a kontroly kvality.

Strategie nasazení a migrace

Re-platform: přesun do kontejnerů/Kubernetes s cílem portability.
Re-factor: modularizace monolitů, extrakce domén, event-driven architektura.
Canary/Blue-Green: postupné rozkládání provozu mezi cloudy s měřením dopadů.
Data seeding: bulk seed do cílového cloudu a následná CDC synchronizace do cutover času.

Vysoká dostupnost a obnova po havárii

Úroveň	Popis	RTO/RPO	Poznámky
Záložní kopie	Backup do jiného cloudu/regionu	Hodiny	Nízké náklady, vyšší downtime
Teplý standby	Minimální infra + replikovaná data	Minuty	Vyšší CapEx/Opex, rychlý náběh
Aktivně-aktivní	Live traffic v obou CSP	Sekundy	Komplexní konzistence a síť

Aplikační vzory v multi-cloudu

Stateless front-endy: klastry v obou CSP za globálním DNS a anycast CDN.
Event-driven backend: fronty a brokeri s multi-region replikací; outbox pattern a idempotentnost.
Data mesh: datové domény s jasným rozhraním; přenositelné formáty a katalog.
API gateway federace: jednotný vstup, politiky a throttling napříč CSP.

Antivzory a časté chyby

Nejdřív multi-cloud, pak problém: bez jasného důvodu roste komplexita bez hodnoty.
Nekompatibilní PaaS závislost: těsná vazba na proprietární služby s obtížnou migrací.
Nedostatečné DNS/routing plánování: zpětné smyčky, asymetrické trasy, nečitelná TTL strategie.
Duplicitní týmy a nástroje: tool sprawl a nekonzistentní politiky.
Ignorování egress nákladů: levný compute, drahá data na lince mezi CSP.

Rozhodovací rámec: kdy multi-cloud dává smysl

Regulační požadavky: povinná geolokace dat nebo separace rizik?
Obchodní hodnota: existují unikátní služby v jiném CSP, které přinášejí jasný přínos?
Provozní připravenost: máme kapacity pro síť, identitu, observabilitu a FinOps napříč CSP?
Ekonomika: model TCO včetně inter-cloud trafiku, lidských nákladů a overheadu governance.
Rizikový profil: potřeba DR s RTO/RPO, které jeden CSP region nedokáže splnit?

Případová studie (ilustrativní)

Digitální banka provozuje zákaznický portál a mobilní API ve dvou CSP. Front-end a API jsou nasazeny v Kubernetes klastrech v obou cloudech za globálním DNS. Účetní jádro zůstává v primárním CSP s replikací transakčních eventů do druhého přes CDC a event bus. Observabilita je sjednocená přes OpenTelemetry a centrální SLO. Při výpadku primárního CSP jsou write operace omezeny na kritické transakce s dočasnou eventual consistency, přičemž RTO je pod 10 min a RPO pod 1 min. FinOps sleduje inter-cloud egress a dynamicky mění pravidla routingu dle nákladových prahů.

Technologický katalog pro multi-cloud

Provisioning/IaC: Terraform, Pulumi, Crossplane; modulární šablony a policy-as-code.
Orchestrace: Kubernetes (multi-cluster), Argo CD/Flux (GitOps), Helm/Kustomize.
Service mesh: mTLS, ABR routing, rate limiting, circuit breaking.
Observabilita: OpenTelemetry SDK/collector, centrální logování a tracing, syntetické testy.
Bezpečnost: centrální IdP, MDM/EMM, skenery IaC a kontejnerů, DLP.

Provozní checklist

Jednotný názvoslovný prostor (účty/projekty, sítě, DNS zóny) v obou CSP.
Tagování zdrojů pro FinOps, bezpečnost a automatizaci.
Policy-as-code s povinnými kontrolami v CI (OPA, Sigstore, SBOM).
Runbooky a cvičení failoveru včetně chaos testů a validace RTO/RPO.
Smluvní a licenční rámce s exit strategií a interoperabilitou.

Budoucí trendy

Composable cloud: jednotné API a datové vrstvy nad různými CSP.
Data-centric architektury: table formats s otevřenou správou metadat a cross-cloud query.
Bezserverové multicloud runtime: přenositelné funkce a zpracování událostí.
Suverenita a bezpečná spolupráce: datové čisté místnosti (clean rooms) a důvěryhodné spouštění (confidential compute).

Shrnutí

Multi-cloud není cíl, ale prostředek. Poskytuje vyšší odolnost, přístup k nejlepším službám a lepší vyjednávací pozici, ale přináší složitější síť, správu