由于有关个人数据的法律，一家大型外国公司需要
加入我们的云 。 由于他们自己参与了其他公司的审计，因此他们照例处理了这个问题：他们研究了市场，编制了对云的要求清单，并开始检查与之对应的人和方式。
转移了所有系统：测试环境，测试+产品，预产品，所有虚拟机，虚拟服务器以及所有虚拟基础架构系统。 甚至他们的支持都出现在俄罗斯。 从我们这里-仅出租资源。
他们在规模方面特别检查了我们：对数据中心的几乎完整的审计。 但是，他们一般不关注硬件和技术规范，而是关注IB流程的构建方式以及如何观察到不同的SLA。 从他们的角度来看，SLA稳定性过程表明了公司的质量。 然后，我们详细介绍了每个组件。
我想分享一个验证标准清单。 因为至少存在某种方法，因为在此之前，很少有客户对问题进行过如此系统的处理。
一般选项
主要要求约为两打。 其中包括一些基本功能，例如将平台放置在两个数据中心上，具有用于管理资源的控制台，通过API进行工作的能力，使用时支付的费用不超过一小时的粒度，以及自动化工具（例如Terraform）的可用性。 其他要求并不是说我们感到非常惊讶，它们只是没有毫无例外地向所有人展示。 在这样的要求中，需要拥有一间运行云数据中心的建筑物。
但是，这里的一切基本上都是清楚的。 该客户显然还阅读了俄罗斯搭配市场的历史。 或者他们的一些客户已经在国外某个地方见过面。 其他所有内容通常都是标准的。 数据中心的需求在莫斯科（也在清单中）-这是为了有机会与管理员联系并在复制过程中加快通话速度。 在两个数据中心之后，最重要的一点是SLA中的详细指标。 正如我所说，这让他们最担心的是每件东西。
员工要求
这是最困难的障碍之一，因为在项目活动中拥有丰富经验的客户（他们在全球范围内有数百个生产和零售客户）已将其某种程度上转移到了IT上。 通常，这是一种合理的方法，但是结果却是“繁重的”。
这是我们经过测试的：
- 该平台具有三个级别的技术支持：第一行是平台级别的事件（硬件，虚拟化）的解决方案，第二行是位于云平台（OS，DBMS和其他应用程序软件级别）的客户基础架构中的问题的解决方案，第三行是连接供应商云平台开发人员和/或供应商解决问题。
- 第一线24x7x365操作模式的技术支持。
- 所有支持级别的专家都必须具备俄语和英语语言知识。
- 通过电子邮件或致电技术支持服务为事件提交申请的功能。
- 通过致电技术支持服务来提交事件申请的可能性。
- 根据应用程序的优先级，事件的技术支持专家的反应时间为10至15分钟（供应商必须在服务合同中记录事件的优先级的详细说明）。
- 解决事件的时间为90到240分钟，具体取决于应用程序的优先级（要求供应商在服务合同中记录事件的优先级的详细说明）。
- 必须有专门的项目团队，其中包括：客户经理，项目经理，技术架构师，工程师。
- 能够使用供应商团队和客户团队之间的各种通讯方式来更迅速地解决问题（例如，使用Telegram，WhatsApp和其他Messenger）。
- 在提供云平台服务的已签订合同中确定项目团队的名单。 该列表应包括与客户和供应商的活动有关的所有人的全名，手机联系方式，电子邮件地址。
在这里，对客户而言最重要的一点就是他们提供了恰好三个支持热线。 每个人总是有第一线，通常都有第二线的支持，但是对它的要求已经很模糊了。 但是，还有三分之一，实际上是各种芯片。 而且，没有什么外包的，就像有时小型提供商一样。 该项目仅与员工打交道。 不是将服务团队分配给大型客户项目，而是将其分配给单独的项目团队，并将其记录在文档中。
一个专门的项目团队是一个单独的重点。 对于普通的云服务提供商，这通常都是某种形式的服务。 但是同样，对此没有直接的明确要求，也没有标准。 通常，有直接参与支持客户的人员，有管理特定项目的人员，有工程师。 客户为这些人留出时间是很昂贵的，但是这是必要的，因为在大多数情况下，除了“只是托管”之外，您需要解决非常复杂的问题。 还是简单，但是又是第一次。 因此，这些团队成员将全天候24x7全天候保持联系，随时为您提供帮助。 与客户方便的任何类型的通信。 这项服务通常提供给“心爱的”客户，但与我们一起提供给所有人。 并记录在案。
关于通信：在紧急情况不同的情况下，保持个人电话联系非常重要。 在严肃的项目中，交流通过信使来加快（几年前并非如此，每个人都通过邮件进行交流）。 销售总监提供了一个在晚上和假期都不会关闭的个人号码-这是正常现象。 但并不是每个人都能这么说。
现在再详细一点-有关各个子系统和流程的要求。
认证要求
检视- 消耗资源的会计系统必须符合“经批准的使用自动付款系统的规则”的既定要求。 俄罗斯信息通信部2007年7月2日第73号命令。”
- 提供商必须拥有有关信息安全管理系统的最新证书，该证书符合为数据中心和虚拟数据中心提供外包服务的ISO / IEC 27001：2013标准的要求。
- 云平台PCI DSS v3.2的当前证书的可用性。
- PCI DSS 3.2合格证书应包括IT支持，物理安全性，系统服务的安全性，物理设备，网络，存储。
- 三级设计数据中心，三级设施数据中心，三级运营可持续性数据中心的证书。
毫不奇怪：用于财务数据的PCI DSS和用于三个证书的T-III。 这对客户的业务很重要。 对于您的公司，您需要创建自己的认证列表。 但是，第一点值得特别注意。 事实证明，对于客户而言，重要的是我们提供一个表明我们的计费系统能胜任工作的文件。 对我们来说幸运的是，在此之前大约一年，我们在通信部进行了认证。
以下是对云平台主要元素的要求列表。 由于我们以前与外国客户紧密合作，因此已经存在类似列表，但形式大大减少。 在某种程度上，该信息已在SLA和其他文档中指出。 应业务顾问的要求，我们铲平了我们拥有，安排和更新的所有内容。 结果，我们收到了大量可靠的文档，可以提供给其他客户熟悉。
因此，清单中特别指出了有关平台技术参数的内容。
计算资源
检视- 应保证分配计算资源（虚拟核，RAM），但不排除位于一个物理节点上的客户虚拟服务器相互影响的可能性。
- 云平台应具有更改计算资源量的能力，而无需重新创建VM。
- 保证在不同物理节点上部署VM的可能性。
- 启动VM时，云平台应提供集群（DC）选择。
磁碟
检视- 云平台应具有通过基于Web的管理界面和API创建不同性能（IOPS）的虚拟磁盘的能力。
- 云平台应具有动态更改磁盘性能的能力。
- 磁盘资源必须可用，并且性能保证由每个磁盘的IOPS数量来衡量。
- 磁盘性能保证必须覆盖100,000 IOPS。
- 云平台应提供在不停止服务的情况下“动态”在不同性能的磁盘资源之间迁移数据的能力。
网路
检视- 云平台应允许您组织云平台的其他客户无法使用的隔离网络环境。
- 云平台的隔离网络环境应允许您管理客户IT基础架构的网络寻址和路由。
- 云平台应具有用于连接客户的外部专用通信渠道的功能。
- 必须确保使用云平台为虚拟服务器分配或删除外部IP地址。
- 云平台应提供至少40 Gb / s的外部故障安全连接。
- 云平台必须具有内置的DNS和DHCP服务。
- 云平台必须提供IPSec VPN连接。
- 云平台应提供独立于提供程序的对Internet的故障安全访问，并至少聚集四个提供程序。
- 同一数据中心内的VM之间的带宽至少应为10 Gb / s。
- 部署在各个数据中心的虚拟基础架构之间的二级连接。
对象存储
检视- 云平台必须具有与Amazon S3软件界面兼容的文件服务。
- 对象存储应按照一种协议工作，该协议提供了随时随地从Internet上任何地方存储和接收任何数量的数据的能力。
- 用于容错的数据存储系统必须分布在承包商的至少两个站点之间。
- 存储系统应能够随着文件的添加而扩展。
- 对象存储必须支持版本控制。
- 存储库中的每个对象都必须在承包商的站点之间复制。 如果对象存储的任何组件发生单个故障，则不应影响服务质量。
- 能够通过HTTPS处理存储。
- 支持访问控制列表（ACL）和策略。
- 支持对象生命周期对象生命周期策略。
- 服务器端加密。
- 支持静态网站和mysite.ru等网站的用户名
- 存储服务的容错级别至少为99.99％。
IB
检视- 应确保将客户在云平台内的信息环境分隔为几个独立的虚拟网络。
- 应使用免费的内置防火墙在各种端口和协议上实施对虚拟网络的访问管理。
- 必须确保将虚拟平台服务器组合到一个虚拟专用网络（VPN）中，而客户的物理或虚拟服务器位于远程站点或数据中心。
- 必须以不损害安全性的方式提供对云平台软件管理功能（API）的访问，即使使用不安全的传输协议也是如此。
- 必须使用HTTPS协议来访问云平台软件管理功能（API）。 证书必须由受信任的证书颁发机构签名。
- 必须使用SSH协议（使用无密码密钥身份验证）访问Virtual Linux \ UNIX服务器。 虚拟平台应具有管理身份验证密钥（创建和删除）的能力，并提供可从VM访问的机制，以便在其加载期间向VM传递公共密钥。
- 应该使用IPsec VPN连接来组织对IT系统服务器的安全访问。
- 虚拟平台必须具有集成防火墙，该防火墙针对每个虚拟网络以及隔离的云环境的虚拟网络分别配置。
- 渗透测试结果的期限不超过1年。
后备
检视- 备份服务应由客户通过基于Web的管理界面独立管理。
- 通过Web界面，应该可以使用功能来设置单个服务器的备份计划，以及手动备份和还原它们。
- 数据备份服务应按使用情况进行计费，即每月支付千兆字节的受保护数据。
- 数据备份服务应提供备份通用公司系统和应用程序软件的能力。 安装在受保护服务器上的软件代理必须免费。
- 备份管理-通过Web界面和软件代理。
- 使用基于文件的弹性S3存储来存储副本。
- 使用重复数据删除。
开票
检视- 在云平台中，应该可以将VM逻辑划分为组，并可以选择单独计费。
- 仅按实际占用量付款。
结束了什么
这项测试确实使我们筋疲力尽，但是由于它，我们自己学到了很多东西。 例如，他们着眼于外国同事，制定了若干程序，使所有文件都井井有条。 实际上，我们工作了一段时间，然后提出了战略合作伙伴关系。 因为该公司在俄罗斯也有许多客户。 现在所有这些都在讨论中，但是一种验证方法已经出现。 当然，清单没有完全了解业务顾问的外观和外观，但是我尝试卸载主要的清单，这将使您可以自己构建验证方法。 当然，在这里，我有些狡猾，因为我们通过了此测试并获得了胜利，也就是说，检查清单几乎完全适用于我们的云。 因为我们的平台对应于他们的大型项目。 我希望您使用常识并了解平台上项目的需求，并相应地更改需求。
如果突然有其他问题不能发表评论，我的邮件是NiVasilev@croc.ru