Nuvem: características NIST, IaaS × PaaS × SaaS, modelos de implantação, regiões/AZs

A ideia que organiza o assunto

Antes da nuvem, quem ia colocar um sistema no ar tinha de responder a uma pergunta impossível: quanta máquina eu vou precisar daqui a três anos? Errar para cima significava comprar onze meses de servidor ocioso; errar para baixo, cair no único dia que importava. E entre a decisão de comprar e o servidor rodando havia licitação, entrega e instalação — meses. Recurso de TI era bem de capital, e bem de capital se compra antes de saber se você vai precisar dele.

A nuvem desfaz esse nó trocando a natureza do recurso: de bem comprado para serviço consumido. Você não compra capacidade, aluga pelo tempo em que ela existe e devolve quando não precisa mais.

Mas para a prova isso ainda é vago demais. O que organiza o assunto é a estrutura que o NIST SP 800-145 deu a essa ideia, e ela cabe em três números: 5 características essenciais, 3 modelos de serviço, 4 modelos de implantação.

Essa estrutura é o método de resolver o item. As cinco características são o teste de admissão: faltando uma, aquilo não é nuvem — e é por isso que hosting e co-location, mesmo rodando em datacenter alheio, ficam de fora. Os três modelos de serviço respondem a uma pergunta só: onde passa a linha entre o que o provedor administra e o que você administra. Os quatro modelos de implantação respondem a outra: para quem essa infraestrutura existe. Antes de julgar qualquer item, identifique qual das três listas ele está tratando. Metade das questões cai sozinha quando você percebe que o item pegou um elemento de uma lista e o apresentou como se fosse de outra.

Por que se usa (e o que custa)

Tudo o que se ganha decorre da mesma troca. Se é serviço, você paga pelo que usou e não pelo que reservou; sobe um piloto na sexta e o destrói na segunda sem ter comprado nada; testa uma arquitetura nova sem convencer ninguém a assinar ordem de compra. Daí a agilidade para publicar aplicações, daí a redução do TCO, daí a melhora do ROI — e daí até a redução de emissão de carbono, porque um datacenter compartilhado entre milhares de clientes opera com taxa de ocupação muito maior que o seu.

O que se paga vem do mesmo lugar. Recurso compartilhado é recurso sobre o qual você perde controle: não se sabe em qual máquina física os dados estão, com frequência nem em qual prédio. A independência de localização é parte da definição de nuvem, não um defeito dela. A fronteira de segurança deixa de coincidir com a parede da sua sala — é a desperimetrização, listada como risco, não como benefício. E há a dependência do provedor: migrar para fora custa mais do que migrar para dentro.

A formulação honesta, que a banca gosta de cobrar pelos dois lados: a nuvem não elimina os problemas de infraestrutura, transfere-os para um contrato. O que era problema de engenharia vira problema de acordo de nível de serviço.

Como funciona

As cinco características essenciais

Autoatendimento sob demanda. O consumidor provisiona capacidade — tempo de servidor, armazenamento — unilateralmente, conforme a necessidade, sem interação humana com o provedor. Não se abre chamado nem se renegocia contrato: clica-se.

Amplo acesso à rede. Os recursos estão disponíveis pela rede e são acessados por mecanismos padronizados, de qualquer dispositivo — celular, tablet, estação de trabalho. É daqui que sai a palavra ubíquo.

Agrupamento de recursos. Os recursos do provedor são reunidos em um reservatório comum para servir a vários consumidores, em modelo multi-inquilino (multi-tenant), atribuídos e reatribuídos dinamicamente. É aqui que mora a independência de localização: o cliente em geral não tem controle nem conhecimento da localização exata dos recursos, podendo no máximo especificá-la em nível alto — país, estado, datacenter.

Elasticidade rápida. A capacidade é provisionada e liberada elasticamente, em alguns casos automaticamente, acompanhando a demanda. Para o consumidor, a capacidade disponível parece ilimitada e apropriável em qualquer quantidade a qualquer momento. Repare no verbo: parece.

Serviço mensurado. O uso é monitorado, controlado e relatado automaticamente, o que dá transparência tanto ao provedor quanto ao consumidor. Sem medição não há pagamento por uso; sem medição individualizada por cliente não há nuvem.

Duas palavras que a banca embaralha o tempo todo. Escalabilidade é a capacidade de o sistema crescer para suportar mais carga — propriedade de projeto, que um sistema mal concebido não adquire só por mudar de lugar. Elasticidade é ajustar dinamicamente, para cima e para baixo, os recursos alocados conforme a demanda observada, em tempo de execução. Toda elasticidade pressupõe escalabilidade; o contrário não vale.

Os três modelos de serviço

Monte a pilha de baixo para cima e a linha aparece.

camada	IaaS	PaaS	SaaS
aplicação	cliente	cliente	provedor
dados	cliente	cliente	cliente/provedor
runtime, middleware	cliente	provedor	provedor
sistema operacional	cliente	provedor	provedor
virtualização, servidores, armazenamento, rede, instalações	provedor	provedor	provedor

IaaS entrega os blocos de infraestrutura — processamento, armazenamento, rede — cada recurso como componente de serviço separado, contratável isoladamente e cobrado por uso. O consumidor escolhe e configura o sistema operacional, e é ele quem o mantém atualizado e seguro. É a fronteira mais cobrada de todas.

PaaS entrega o ambiente pronto de execução e desenvolvimento — sistema operacional, runtime, middleware, banco de dados, ferramentas — sobre o qual o consumidor implanta aplicações que ele mesmo escreveu ou adquiriu. Pelo NIST, o consumidor não administra nem controla a infraestrutura subjacente: nem rede, nem servidores, nem sistema operacional, nem armazenamento.

SaaS entrega a aplicação pronta, executando na infraestrutura do provedor. O consumidor não administra nada da pilha — e, em consequência direta, a infraestrutura de nuvem SaaS executa apenas as aplicações disponibilizadas pelo provedor: implantar software próprio ali seria PaaS.

Um corolário que resolve muito item: a responsabilidade é compartilhada, e essa linha não coincide com a de administração. O provedor responde pela segurança da nuvem — instalações, hardware, camada de virtualização. O cliente responde pela segurança na nuvem: tudo o que provisionou acima da virtualização, inclusive no IaaS, e sobretudo os dados. Nenhum modelo transfere ao provedor a responsabilidade pelos dados do cliente.

Os quatro modelos de implantação

modelo	para quem existe	quem pode operar
privada	uma única organização, com suas várias unidades de negócio	a própria organização, um terceiro, ou ambos
comunitária	um grupo específico de organizações com preocupação comum — missão, segurança, conformidade	uma ou mais das organizações, um terceiro, ou ambos
pública	uso aberto ao público em geral	organização empresarial, acadêmica, governamental, ou combinação
híbrida	composição de duas ou mais das anteriores, que permanecem entidades distintas, ligadas por tecnologia que permite portabilidade de dados e aplicações	conforme as nuvens componentes

Três observações que a banca transforma em item. Pública qualifica a quem o serviço é ofertado, não quem o opera: nuvem pública não é nuvem de órgão público, nem é gratuita, nem é aberta. Privada não exige operação própria — o NIST admite expressamente que um terceiro a opere e a hospede fora das instalações da organização. E a VPC é um recorte logicamente isolado dentro de uma nuvem pública, entregue como nuvem privada — o que não a torna híbrida.

Regiões e zonas de disponibilidade

Esta camada não está no NIST; é como os grandes provedores materializam o agrupamento de recursos.

Uma região é uma área geográfica que contém várias zonas de disponibilidade. É a unidade que o cliente escolhe, e escolhe olhando conformidade e soberania de dados, latência até os usuários, catálogo de serviços e preço, que varia de região para região.

Uma zona de disponibilidade é um ou mais datacenters discretos dentro da região, com energia, refrigeração e rede independentes e não compartilhadas com as outras zonas. Ela pertence a exatamente uma região. A distância entre zonas é calculada para que um mesmo evento — enchente, incêndio, falta de energia — não atinja duas, e ao mesmo tempo curta o bastante para manter latência de poucos milissegundos, o que viabiliza replicação síncrona. Dentro de uma mesma zona o critério é o oposto: proximidade.

Daí o padrão de projeto: alta disponibilidade se faz com múltiplas zonas dentro da região; recuperação de desastre se faz com múltiplas regiões. E replicação entre regiões custa dinheiro e tem efeito jurídico — por isso é configurada e contratada pelo cliente, nunca acontece sozinha.

O que decide os itens

Característica essencial × característica essencial — o item descreve uma corretamente e assina o nome da vizinha:

se o item fala em…	a característica é
provisionar sozinho, sem falar com ninguém, sem aditivo contratual	autoatendimento sob demanda
acesso de qualquer dispositivo, ubíquo, por mecanismos padronizados	amplo acesso à rede
reservatório comum, vários consumidores, multi-tenant, localização desconhecida	agrupamento de recursos
alocar e liberar conforme a demanda, em tempo de execução	elasticidade rápida
monitorar, controlar e relatar uso; transparência para os dois lados	serviço mensurado

Elasticidade × escalabilidade — o par mais explorado do tópico, e a banca ataca nos dois sentidos. Liberar recurso e acompanhar a demanda em execução é elasticidade; suportar crescimento é escalabilidade. Se o item só fala em aumentar, desconfie do rótulo.

Quem administra o quê — leia a tabela de serviço de trás para frente:

se o cliente administra…	o modelo é
sistema operacional, middleware e aplicação	IaaS
aplicação e dados apenas	PaaS
nada da pilha; só configura a aplicação	SaaS

E a pergunta única que decide IaaS × PaaS: quem instala e atualiza o sistema operacional? Se é o cliente, é IaaS.

Modelo de implantação, pelo rótulo trocado — a distorção preferida:

descrição do item	o nome certo
recursos exclusivos de uma organização, isolados de outras	privada
grupo de organizações com missão ou conformidade comum; nuvem de governo	comunitária
aberta ao público em geral, vendida por quem a opera	pública
composição de duas ou mais nuvens que permanecem distintas	híbrida
parte de uma nuvem pública isolada logicamente para um cliente	VPC (privada sobre provedor público)

Região × zona de disponibilidade — região contém zona, zona contém datacenter, e a zona pertence a uma única região. Separação para sobreviver a desastre é entre zonas e entre regiões; dentro da zona, o que manda é a proximidade e a latência.

Virtualização × contêiner × nuvem — a virtualização viabiliza a nuvem, não é exemplo dela; duas VMs no mesmo servidor não são nuvem, porque faltam autoatendimento, elasticidade e medição. Entre VM e contêiner, a pergunta é: há sistema operacional convidado? Se há, é VM; se o núcleo é compartilhado com o hospedeiro, é contêiner — e por isso o contêiner não dá liberdade de escolher sistema operacional.

Possibilidade × garantia — “rodar na nuvem não garante escalabilidade” costuma ser item correto; “migrar para a nuvem garante desempenho e economia” costuma ser errado. É a mesma distinção vista dos dois lados.

Ressalva presente × ressalva suprimida — “escalabilidade praticamente infinita” está certo; “espaço ilimitado” está errado. O advérbio é o item.

Números que caem

A estrutura do NIST é contagem pura, e trocar um desses números é a forma mais barata de escrever um item errado.

características essenciais	5 — sob demanda, acesso à rede, agrupamento, elasticidade, medição
modelos de serviço	3 — IaaS, PaaS, SaaS
modelos de implantação	4 — privada, comunitária, pública, híbrida
norma de referência	NIST SP 800-145 (definição); SP 500-292 (arquitetura de referência)
zonas por região	várias (tipicamente 3 ou mais); cada zona pertence a 1 região
latência entre zonas da mesma região	poucos milissegundos — permite replicação síncrona
camadas da pilha até o cliente	IaaS: cliente cuida de 3 (SO, middleware, aplicação); PaaS: 2; SaaS: 0

Como a CEBRASPE derruba você aqui

Troca de rótulo dentro da mesma lista. É o padrão dominante do tópico: o item descreve perfeitamente um conceito e assina o nome do vizinho. Nos modelos de implantação — “Nuvem pública” para recursos dedicados e isolados de uma só organização, que é a privada; “Nuvem híbrida é aquela compartilhada por diversas organizações”, que é a comunitária; “Na denominada nuvem comunitária” para infraestrutura aberta ao público em geral, que é a pública. Nos modelos de serviço — “SaaS (software como um serviço) é um modelo de serviço em nuvem que tem a capacidade de oferecer uma infraestrutura de processamento e armazenamento”, que é IaaS; “Na plataforma como serviço (PaaS)” para aplicação pronta consumida pelo navegador, que é SaaS; “deverá ser utilizado um PaaS” para instância descrita por CPU, memória e disco, que é IaaS. E nas cinco características — “escalabilidade é a capacidade que um sistema tem de se adaptar às alterações de carga de trabalho” e “a característica pool de recursos” para o provisionamento que acompanha a demanda: as duas descrevem elasticidade. A defesa é uma só: leia a descrição primeiro, decida qual conceito é, e só então olhe o nome que o item deu. Ao contrário, você lê a descrição já de dentro do rótulo.

Inversão de hierarquia, de papéis e de sinal econômico. Quase um terço dos itens. Hierarquia: “uma região é um subconjunto de recursos de computação dentro de uma zona de disponibilidade” e “uma zona de disponibilidade pode conter várias regiões” — é a região que contém as zonas. Papéis: “o usuário, e não o provedor” para quem administra a infraestrutura no PaaS; “as primeiras usam uma infraestrutura compartilhada” aplicado à nuvem privada; “um dos exemplos de utilização da computação em nuvem é a virtualização”, quando a virtualização sustenta a nuvem, é anterior a ela e existe sem ela. Característica essencial negada: “exige que o contrato de fornecimento de serviço seja alterado” nega o autoatendimento; “não é necessário que o serviço tenha a capacidade de mensurar o uso dos recursos da nuvem de forma individualizada” nega o serviço mensurado; “seja informada sobre a localização geográfica exata de armazenamento dos seus dados” nega a independência de localização. E o sinal econômico: “aumentar o total cost of owership (TCO)”, “demanda grande investimento inicial”. Monte a seta — quem contém quem, quem administra o quê, o que sobe e o que desce — antes de ler o item.

O absoluto disfarçado de característica. “Espaço ilimitado”, “devem necessariamente ser operados e geridos pela própria organização”, “deve sempre fazer parte da rede interna da própria organização”, “oferecido apenas por órgãos públicos”, “garante maior velocidade das informações e melhoria da relação custo-benefício”. O NIST escreveu parece ilimitada e pode ser possuída, gerenciada e operada pela organização, por terceiro ou por ambos; e público qualifica a quem se oferta, não quem opera. As ressalvas estão lá de propósito, e o item que as remove remove o que tornava a frase verdadeira. O mesmo vale para a afirmação que abraça os três modelos de uma vez: “Nos modelos IaaS (infrastructure as a service), PaaS (plataform as a service) e SaaS (software as a service)” o sistema operacional seria entregue e mantido pelo provedor, o que vale em dois dos três — quando o item falar dos três, teste primeiro no IaaS, que é quase sempre o contraexemplo. O espelho também cai: item que mantém a ressalva costuma estar certo.

Ação real, lado errado da responsabilidade compartilhada. A linha no IaaS passa logo acima da virtualização, e o item a desloca. “Além do sistema operacional e dos dados dos clientes” põe duas camadas do cliente na conta do provedor. “Na infraestrutura de tecnologia da informação do cliente do serviço” tira de dentro da nuvem o firewall, o balanceador e os grupos de segurança, que são serviços do provedor configurados pelo cliente. “Que é feita automaticamente pelo serviço de nuvem” transforma a escolha de região do cliente, com efeito de custo e de conformidade, em automatismo. Antes de julgar a frase, decida de quem é a tarefa naquele modelo.

Escopo esticado para fora da nuvem. A regra certa aplicada onde ela não alcança: “quanto hosting e co-location”, que não são nuvem porque lhes faltam as cinco características; “tanto o ambiente computacional convencional como o de computação em nuvem” para a redundância obtida por duplicação de infraestrutura, que é o caminho do ambiente convencional; “de uma mesma zona de disponibilidade” para o afastamento que na verdade separa zonas distintas; “máquinas virtuais e contêineres” para a descrição que só serve à máquina virtual; “não havendo necessidade de pagamento por sua utilização” para a nuvem pública, que é explorada comercialmente e cobrada por uso. Pergunte a que objeto exato a definição pertence antes de deixá-la valer para o vizinho.

Erros clássicos

Achar que nuvem é virtualização com outro nome. Virtualização é a tecnologia que permite agrupar e fatiar recursos; nuvem é o modelo de serviço construído sobre ela, e exige as cinco características. Pela mesma razão, hosting e co-location não são nuvem: rodam na casa de outro, mas sem autoatendimento e sem medição.

Ler “pública” como “do governo” e “privada” como “na minha sala”. Público qualifica a quem se oferta. Nuvem privada pode ser operada e hospedada por terceiro; nuvem pública é majoritariamente operada por empresas privadas. E a nuvem de governo, ofertada a órgãos com requisitos comuns, tende a ser comunitária.

Confundir híbrida com VPC. Híbrida é composição de duas ou mais nuvens que continuam distintas; VPC é recorte isolado dentro de uma nuvem pública. Recorte não é composição — conte as nuvens.

Entregar os dados junto com a infraestrutura. Em nenhum modelo o cliente se livra da responsabilidade pelos seus dados e por quem os acessa. No IaaS ele responde por tudo acima da virtualização, sistema operacional inclusive; no SaaS, o que lhe resta é exigir as garantias no acordo de nível de serviço.

Supor que a nuvem resolve latência. Nuvem é centralizada e distante; demanda de resposta em tempo real — a típica da Internet das Coisas — é atendida por processamento na borda, ficando para a nuvem o armazenamento e a análise posterior.

Contar com replicação e isolamento que ninguém configurou. Dados não se replicam entre regiões por conta própria, zona de disponibilidade não protege contra erro de aplicação, e alta disponibilidade dentro de uma região não é plano de recuperação de desastre. Na nuvem, o que não foi arquitetado não existe — só está mais fácil de contratar.