降低依赖性 企业如何防止云厂商应用锁定

  厂商锁定是很多云部署的通病。我们都知道一个历史性的IT难题：如果一家企业所使用特定厂商的产品或服务越多，那么它对于这家厂商及其产品服务的依赖性就越高；同样，企业也就越难以变更厂商。即使是在与现有厂商进行续约时，这也会导致企业在合同谈判过程中缺乏主动性；厂商知道企业变更厂商的代价是非常之高昂，难度是非常之高，因此两者取其轻，企业必然会接受厂商涨价的要求。

  利用率降低是云计算部署的问题，因为很多情况下利用率是谈判桌上的关键“筹码”。云厂商锁定意味着与安全相关的服务和功能具有较低或根本为零的利用率；例如，当要求使用新的安全控件时、当要求提供安全事件的更规范报告时、当要求调整安全操作流程时、当要求提高审计透明度或其他安全性和法规合规性调整时，我们毫无办法都只能听由厂商的摆布。

  所以，很明显，防止云厂商锁定是一个非常有实际意义的命题。但是有一些现实情况会迫使IT部门不这样做。首先，IT部门可能并不总是在一开始就参与到云计算部署中(例如，在签订合同之前)。这就意味着企业要求范围厂商使用开发标准的机会(这在防止云厂商锁定方面是一个非常重要的因素)可能已经丧失。一旦在合作关系建立之后，企业的经济现实情况会迫使企业受制于厂商而无法轻易改变厂商。具体来说，在签署协议后要求额外的预算是极具挑战性的，因为推动很多云计算实施的根本原因就是为了节省成本。因此，之后由于更换厂商而产生额外的成本预算将是难以具有说服力的。

  不过，好消息是可以遵循几个步骤以极低的成本，主动防止云厂商应用锁定的情况出现。这并不是说完全不涉及成本(毕竟总是会有一定的软性成本的，如考虑工作人员时间)，但因为这些策略并不需要另外追加预算，所以可把它们用于避免出现厂商锁定的情况。

  周期性测试数据导出功能

  假定你有合同赋予的相关权利，那么为了云厂商锁定，厂商你能做的第一件事就是测试服务厂商导出其任意数据的能力。如果厂商宣称(或者以合同文本方式或者以在其广告中宣传的服务能力的方式)数据是属于你的，它们将为你提供数据(或者根据需要，或者在合同关系结束时)，那么测试服务厂商的这个能力有几点好处。

  周期性测试数据导出功能将有助于用户理解实际的导出操作程序(并不仅仅是理论上的)。这将帮助用户进一步明确这一工作运行的不同方面：整个工作运行需要多长时间，在服务厂商一方会有哪些人员涉及其中，是否会出现任何的额外成本开支，最终得到的数据格式是什么样的，等等。如果导出数据会产生成本开支(如厂商一方的人员时间或其他专业服务费用)，那么你可能就需要决定是否继续测试，因为你可能还没有做好承担这些成本开支的准备。但是，最起码你会了解这些成本是存在的(并知道成本的大致数额)，这样你就不会在决定更换云服务厂商时感到措手不及了。

  如果数据导出成本是可控的，那么用户就应当定期执行这一操作。以大致相同的方式定期执行备份数据还原操作可让你了解备份操作是否能够正常工作，任何对数据导出方法的改变(如不同的数据格式、不同的导出机制、运行变更、新的费用等等)都会产生立竿见影的影响。

  应用开放API

  第二，可以在新的整合中严格执行开放标准。你可能无法要求厂商在其内部针对其产品或服务使用开放标准(至少不能在建立合同关系之后马上要求他们这么做)，但是你能够在讨论新的整合时强制要求。现在，具体涉及哪些API显然将取决于几个因素：你所使用的特定云模式，你是否将云计算作为一个整体使用，你所讨论整合工作的类型等等。

  例如，如果希望在你的内部虚拟数据中心和基础设施即服务厂商的云计算之间迁移虚拟机镜像，那么可能会要求在交换中使用诸如Open Virtualization Format这样的开放标准。这(最起码)能够确保服务厂商能够以你随后向所选平台导出数据的格式生成镜像。在软件即服务(SaaS)中，你可以制定用户使用SPML的访问配置。具体标准各有不同，这里在字面上有太多的内容需要提及，但是关键在于强制使用开放标准意味着另一个厂商可以更为轻松地替代并承担原厂商所扮演的角色。当你的服务厂商意外停止运行时，这个方法可以让你的公司在意外事件中独善其身，这一点是非常有价值的。

  阅读维护更新和服务公告

  你会很惊讶地发现，很多企业都不会仔细阅读他们的云服务厂商所发布的服务公告。同样，你也会惊奇于你从公告中所获知的内容。他们是通知你厂商的重大服务变更的重要渠道。除了可能对你的数据安全性有一定的影响之外，这些服务变更也可能影响你变更该厂商的能力。

  例如，一个SaaS厂商决定在其数据库中使用加密技术。厂商会通过服务公告、版本发布注释或维护升级通知你这一变更。你可能会对此产生一些问题：当合同终止，用户导出数据时，厂商是否会提供数据解密服务?如果不提供该服务，那么它是否会提供解密密钥以便于让用户自行执行解密操作?在你的企业中应该会有人认真阅读这些通知，同时对于这些变更会否影响你的可移植性保持相当高的敏感性。

  这些并不完全包括了你可以用于杜绝受制于云计算厂商的全部策略。但是，这些策略是具有相对低成本的(至少，大部分情况下都是这样的)，同时也是相当容易完成的。如果你已经拥有了一个全面的计划以避免厂商锁定(其实大部分企业并不具有这样的计划)，那么前文所述这些策略将有助于进一步完善你的计划。如果你没有这样的计划，那么这些策略可以在你形成一个更为全面计划的过程中助你一臂之力。