Dieses Dokument im Google Cloud Well-Architected Framework: Finanzdienstleistungen (FS) bietet einen Überblick über die Prinzipien und Empfehlungen zum Entwerfen, Bereitstellen und Betreiben zuverlässiger FS-Arbeitslasten in Google Cloud. In diesem Dokument wird erläutert, wie Sie erweiterte Zuverlässigkeitspraktiken und Beobachtbarkeit in Ihre Architekturentwürfe einbinden. Die Empfehlungen in diesem Dokument entsprechen der Säule „Zuverlässigkeit“ des Well-Architected Framework.
Für Finanzinstitute ist eine zuverlässige und robuste Infrastruktur sowohl eine geschäftliche Notwendigkeit als auch eine regulatorische Anforderung. Damit FS-Arbeitslasten inGoogle Cloud zuverlässig sind, müssen Sie potenzielle Fehlerquellen kennen und minimieren, Ressourcen redundant bereitstellen und die Wiederherstellung planen. Betriebliche Ausfallsicherheit ist ein Ergebnis der Zuverlässigkeit. Es ist die Fähigkeit, Störungen zu absorbieren, sich an sie anzupassen und sich von ihnen zu erholen. Die operative Resilienz hilft Finanzdienstleistern, strenge regulatorische Anforderungen zu erfüllen. Außerdem können Sie so unzumutbare Schäden für Kunden vermeiden.
Die wichtigsten Bausteine der Zuverlässigkeit in Google Cloud sind Regionen, Zonen und die verschiedenen Standortbereiche von Cloud-Ressourcen: zonal, regional, multiregional, global. Sie können die Verfügbarkeit verbessern, indem Sie verwaltete Dienste verwenden, Ressourcen verteilen, Hochverfügbarkeitsmuster implementieren und Prozesse automatisieren.
Regulatorische Vorgaben
Finanzdienstleister unterliegen strengen Zuverlässigkeitsanforderungen von Regulierungsbehörden wie dem Federal Reserve System in den USA, der Europäischen Bankenaufsichtsbehörde in der EU und der Prudential Regulation Authority im Vereinigten Königreich. Weltweit legen Regulierungsbehörden Wert auf die operative Resilienz, die für die Finanzstabilität und den Verbraucherschutz von entscheidender Bedeutung ist. Betriebliche Resilienz ist die Fähigkeit, Störungen standzuhalten, sich effektiv zu erholen und kritische Dienste aufrechtzuerhalten. Dies erfordert einen harmonisierten Ansatz für das Management technologischer Risiken und Abhängigkeiten von Dritten.
Die regulatorischen Anforderungen in den meisten Gerichtsbarkeiten haben die folgenden gemeinsamen Themen:
- Cybersicherheit und technologische Resilienz: Stärkung der Abwehr gegen Cyberbedrohungen und Gewährleistung der Resilienz von IT-Systemen.
- Risikomanagement für Drittanbieter: Verwaltung der Risiken im Zusammenhang mit der Auslagerung von Diensten an Anbieter von Informations- und Kommunikationstechnologie (IKT).
- Geschäftskontinuität und Incident Response: Solide Planung, um kritische Abläufe bei Störungen aufrechtzuerhalten und effektiv wiederherzustellen.
- Schutz der Finanzstabilität: Sicherstellung der Solidität und Stabilität des gesamten Finanzsystems.
Die Zuverlässigkeitsempfehlungen in diesem Dokument sind den folgenden Grundprinzipien zugeordnet:
- Bereitstellungen in mehreren Zonen und multiregional priorisieren
- Single Points of Failure (SPOFs) vermeiden
- Aggregierte Verfügbarkeit verstehen und verwalten
- Robuste DR-Strategie implementieren
- Verwaltete Dienste nutzen
- Infrastrukturbereitstellungs- und Wiederherstellungsprozesse automatisieren
Bereitstellungen in mehreren Zonen und multiregionale Bereitstellungen priorisieren
Für kritische Finanzdienstleistungsanwendungen empfehlen wir eine multiregionale Topologie, die auf mindestens zwei Regionen und drei Zonen innerhalb jeder Region verteilt ist. Dieser Ansatz ist wichtig für die Ausfallsicherheit bei Zonen- und Regionsausfällen. Dieser Ansatz wird häufig von Vorschriften vorgeschrieben, da bei einem Ausfall in einer Zone oder Region die meisten Gerichtsbarkeiten eine schwerwiegende Störung in einer zweiten Zone als plausible Folge betrachten. Der Grund dafür ist, dass bei einem Ausfall eines Standorts der andere Standort möglicherweise eine außergewöhnlich hohe Menge an zusätzlichem Traffic erhält.
Beachten Sie die folgenden Empfehlungen, um die Ausfallsicherheit gegenüber Zonen- und Regionsausfällen zu erhöhen:
- Bevorzugen Sie Ressourcen mit einem größeren Standortbereich. Verwenden Sie nach Möglichkeit regionale statt zonale Ressourcen und multiregionale oder globale statt regionale Ressourcen. So lässt sich vermeiden, dass Vorgänge mithilfe von Sicherungen wiederhergestellt werden müssen.
- Nutzen Sie in jeder Region drei statt zwei Zonen. Um Failover zu verarbeiten, sollten Sie die Kapazität um ein Drittel mehr als die Schätzung überdimensionieren.
- Minimieren Sie manuelle Wiederherstellungsschritte, indem Sie Aktiv-Aktiv-Bereitstellungen wie die folgenden Beispiele implementieren:
- Verteilte Datenbanken wie Spanner bieten integrierte Redundanz und Synchronisierung über Regionen hinweg.
- Das Hochverfügbarkeitsfeature von Cloud SQL bietet eine Topologie, die nahezu aktiv/aktiv ist, mit Lesereplikaten über Zonen hinweg. Es bietet ein Recovery Point Objective (RPO) zwischen Regionen, das nahe bei 0 liegt.
- Verteilen Sie den Nutzertraffic mithilfe von Cloud DNS auf Regionen und stellen Sie in jeder Region einen regionalen Load Balancer bereit. Ein globaler Load Balancer ist eine weitere Option, die Sie je nach Ihren Anforderungen und der Kritikalität in Betracht ziehen können. Weitere Informationen finden Sie unter Vorteile und Risiken des globalen Load-Balancings für multiregionale Bereitstellungen.
- Verwenden Sie zum Speichern von Daten multiregionale Dienste wie Spanner und Cloud Storage.
Single Points of Failure vermeiden
Verteilen Sie Ressourcen auf verschiedene Standorte und verwenden Sie redundante Ressourcen, um zu verhindern, dass ein Single Point of Failure (SPOF) den gesamten Anwendungs-Stack beeinträchtigt.
Beachten Sie die folgenden Empfehlungen, um SPOFs zu vermeiden:
- Vermeiden Sie die Bereitstellung eines einzelnen Anwendungsservers oder einer einzelnen Datenbank.
- Sorgen Sie dafür, dass fehlerhafte VMs automatisch neu erstellt werden, indem Sie verwaltete Instanzgruppen (MIGs) verwenden.
- Verteilen Sie den Traffic gleichmäßig auf die verfügbaren Ressourcen, indem Sie Load Balancing implementieren.
- Verwenden Sie Hochverfügbarkeitskonfigurationen für Datenbanken wie Cloud SQL.
- Verbessern Sie die Datenverfügbarkeit, indem Sie regionale nichtflüchtige Speicher mit synchroner Replikation verwenden.
Weitere Informationen finden Sie unter Zuverlässige Infrastruktur für Ihre Arbeitslasten in Google Cloudentwerfen.
Aggregierte Verfügbarkeit verstehen und verwalten
Beachten Sie, dass die Gesamt- oder aggregierte Verfügbarkeit eines Systems von der Verfügbarkeit jeder Ebene oder Komponente des Systems beeinflusst wird. Die Anzahl der Ebenen in einem Anwendungsstack hat eine umgekehrte Beziehung zur aggregierten Verfügbarkeit des Stacks. Beachten Sie die folgenden Empfehlungen zum Verwalten der aggregierten Verfügbarkeit:
Berechnen Sie die aggregierte Verfügbarkeit eines mehrstufigen Stacks mit der Formel tier1_availability × tier2_availability × tierN_availability.
Das folgende Diagramm zeigt die Berechnung der Gesamtverfügbarkeit für ein mehrstufiges System, das aus vier Diensten besteht:
Im vorherigen Diagramm bietet der Dienst in jeder Ebene eine Verfügbarkeit von 99,9 %, die Gesamtverfügbarkeit des Systems ist jedoch mit 99,6 % (0,999 × 0,999 × 0,999 × 0,999) niedriger. Im Allgemeinen ist die Gesamtverfügbarkeit eines mehrstufigen Stacks geringer als die Verfügbarkeit der Stufe mit der geringsten Verfügbarkeit.
Wählen Sie nach Möglichkeit die Parallelisierung anstelle der Verkettung. Bei parallelisierten Diensten ist die End-to-End-Verfügbarkeit höher als die Verfügbarkeit der einzelnen Dienste.
Das folgende Diagramm zeigt zwei Dienste, A und B, die mit den Ansätzen zur Verkettung und Parallelisierung bereitgestellt werden:
In den vorherigen Beispielen haben beide Dienste ein SLA von 99 %. Je nach Implementierungsansatz ergibt sich daraus die folgende Gesamtverfügbarkeit:
- Verkettete Dienste ergeben eine Gesamtverfügbarkeit von nur 98 % (0,99 × 0,99).
- Parallelisierte Dienste bieten eine höhere Gesamtverfügbarkeit von 99,99 %, da jeder Dienst unabhängig ausgeführt wird und einzelne Dienste nicht von der Verfügbarkeit der anderen Dienste betroffen sind. Die Formel für aggregierte parallelisierte Dienste lautet 1 − (1 − A) × (1 − B).
Wählen Sie Google Cloud -Dienste mit Verfügbarkeits-SLAs aus, die dazu beitragen können, die erforderliche Gesamtverfügbarkeit für Ihren Anwendungsstack zu erreichen.
Berücksichtigen Sie beim Entwerfen Ihrer Architektur die Vor- und Nachteile in Bezug auf Verfügbarkeit, operative Komplexität, Latenz und Kosten. Eine Erhöhung der Anzahl der Neunen der Verfügbarkeit kostet in der Regel mehr, hilft Ihnen aber, die gesetzlichen Anforderungen zu erfüllen.
Eine Verfügbarkeit von 99, 9 % (drei Neunen) bedeutet beispielsweise eine potenzielle Ausfallzeit von 86 Sekunden pro Tag. Im Gegensatz dazu bedeutet 99 % (zwei Neunen) eine Ausfallzeit von 864 Sekunden im selben Zeitraum, was zehnmal mehr Ausfallzeit als bei einer Verfügbarkeit von drei Neunen ist.
Für kritische Finanzdienstleistungen sind die Architekturoptionen möglicherweise begrenzt. Es ist jedoch wichtig, die Verfügbarkeitsanforderungen zu ermitteln und die Verfügbarkeit genau zu berechnen. Eine solche Bewertung hilft Ihnen, die Auswirkungen Ihrer Designentscheidungen auf Ihre Architektur und Ihr Budget zu beurteilen.
Robuste Strategie zur Notfallwiederherstellung implementieren
Erstellen Sie klar definierte Pläne für verschiedene Notfallszenarien, einschließlich zonaler und regionaler Ausfälle. Mit einer gut durchdachten Strategie zur Notfallwiederherstellung (Disaster Recovery, DR) können Sie sich von einer Störung erholen und den normalen Betrieb mit minimalen Auswirkungen wieder aufnehmen.
DR und Hochverfügbarkeit sind unterschiedliche Konzepte. Bei Cloud-Bereitstellungen gilt die Notfallwiederherstellung im Allgemeinen für multiregionale Bereitstellungen und die Hochverfügbarkeit für regionale Bereitstellungen. Diese Bereitstellungs-Archetypen unterstützen verschiedene Replikationsmechanismen.
- HA: Viele verwaltete Dienste bieten standardmäßig eine synchrone Replikation zwischen Zonen innerhalb einer einzelnen Region. Solche Dienste unterstützen ein Recovery Time Objective (RTO) und ein Recovery Point Objective (RPO) von null oder nahezu null. Mit dieser Unterstützung können Sie eine Aktiv-Aktiv-Bereitstellungstopologie ohne SPOF erstellen.
- DR: Für Arbeitslasten, die in zwei oder mehr Regionen bereitgestellt werden, müssen Sie eine Replikationsstrategie definieren, wenn Sie keine multiregionalen oder globalen Dienste verwenden. Die Replikationsstrategie ist in der Regel asynchron. Prüfen Sie sorgfältig, wie sich eine solche Replikation auf die RTO und RPO für kritische Anwendungen auswirkt. Identifizieren Sie die manuellen oder halbautomatischen Vorgänge, die für ein Failover erforderlich sind.
Bei Finanzinstituten kann die Auswahl der Failover-Region durch Vorschriften zur Datenhoheit und zum Datenstandort eingeschränkt sein. Wenn Sie eine Aktiv-Aktiv-Topologie über zwei Regionen hinweg benötigen, empfehlen wir Ihnen, verwaltete multiregionale Dienste wie Spanner und Cloud Storage auszuwählen, insbesondere wenn die Datenreplikation wichtig ist.
Beachten Sie die folgenden Empfehlungen:
- Verwenden Sie verwaltete multiregionale Speicherdienste für Daten.
- Erstellen Sie Snapshots von Daten auf nichtflüchtigen Speichern und speichern Sie die Snapshots an multiregionalen Standorten.
- Wenn Sie regionale oder zonale Ressourcen verwenden, richten Sie die Datenreplikation in andere Regionen ein.
- Prüfen Sie die Wirksamkeit Ihrer DR-Pläne, indem Sie sie regelmäßig testen.
- Beachten Sie die RTO und RPO und deren Korrelation mit der Auswirkungstoleranz, die durch die Finanzvorschriften in Ihrer Gerichtsbarkeit festgelegt ist.
Weitere Informationen finden Sie unter Architektur der Notfallwiederherstellung bei Ausfällen der Cloud-Infrastruktur.
Verwaltete Dienste nutzen
Verwenden Sie nach Möglichkeit verwaltete Dienste, um die integrierten Funktionen für Sicherungen, Hochverfügbarkeit und Skalierbarkeit zu nutzen. Beachten Sie die folgenden Empfehlungen für die Verwendung verwalteter Dienste:
- Verwaltete Dienste in Google Cloudverwenden Sie bieten Hochverfügbarkeit, die durch SLAs unterstützt wird. Außerdem bieten sie integrierte Sicherungsmechanismen und Ausfallsicherheitsfunktionen.
- Für die Datenverwaltung können Sie Dienste wie Cloud SQL, Cloud Storage und Spanner verwenden.
- Für das Compute- und Anwendungshosting sollten Sie verwaltete Compute Engine-Instanzgruppen (MIGs) und Google Kubernetes Engine-Cluster (GKE) in Betracht ziehen. Regionale MIGs und regionale GKE-Cluster sind gegen Zonenausfälle resistent.
- Verwenden Sie verwaltete multiregionale Dienste, um die Ausfallsicherheit bei regionalen Ausfällen zu verbessern.
- Ermitteln Sie den Bedarf an Ausstiegsplänen für Dienste mit besonderen Merkmalen und definieren Sie die erforderlichen Pläne. Finanzaufsichtsbehörden wie die FCA, PRA und EBA verlangen von Unternehmen Strategien und Notfallpläne für den Datenabruf und die Aufrechterhaltung des Geschäftsbetriebs, wenn die Beziehung zu einem Cloud-Anbieter endet. Unternehmen müssen die Machbarkeit eines Ausstiegs prüfen, bevor sie Cloud-Verträge abschließen, und sie müssen in der Lage sein, den Anbieter ohne Betriebsunterbrechung zu wechseln.
- Prüfen Sie, ob die von Ihnen ausgewählten Dienste den Export von Daten in ein offenes Format wie CSV, Parquet und Avro unterstützen. Prüfen Sie, ob die Dienste auf offenen Technologien basieren, z. B. GKE-Unterstützung für das OCI-Format (Open Container Initiative) oder Managed Service for Apache Airflow.
Infrastrukturbereitstellungs- und Wiederherstellungsprozesse automatisieren
Durch die Automatisierung werden menschliche Fehler minimiert und der Zeit- und Ressourcenaufwand für die Reaktion auf Vorfälle reduziert. Durch die Automatisierung können Sie schneller auf Fehler reagieren und konsistentere Ergebnisse erzielen. Beachten Sie die folgenden Empfehlungen, um die Bereitstellung und Wiederherstellung von Ressourcen zu automatisieren:
- Minimieren Sie menschliche Fehler, indem Sie IaC-Tools (Infrastruktur als Code) wie Terraform verwenden.
- Reduzieren Sie manuelle Eingriffe durch die Automatisierung von Failover-Prozessen. Automatisierte Antworten können auch dazu beitragen, die Auswirkungen von Fehlern zu reduzieren. Sie können beispielsweise Eventarc oder Workflows verwenden, um automatisch Abhilfemaßnahmen als Reaktion auf Probleme auszulösen, die in Audit-Logs beobachtet wurden.
- Erhöhen Sie die Kapazität Ihrer Cloud-Ressourcen während des Failovers mithilfe von Autoscaling.
- Durch die Einführung von Platform Engineering können Sie Richtlinien und Schutzmaßnahmen für regulatorische Anforderungen während der Dienstbereitstellung automatisch auf Ihre gesamte Cloud-Topologie anwenden.