制御プレーンの障害からのサービス・データ・プレーンの保護

IBM Cloud サービスアーキテクチャは、データプレーンとコントロールプレーンのコンポーネントを分離している。

データプレーン・コンポーネントは、サービスの主要機能を提供する責任を負う。 データプレーン・コンポーネントは、データ処理、永続化、ロードバランシングなどの実装など、ユーザーやクライアント・アプリケーションからのリクエストを処理する。

例えば、次のようなデータプレーンの責務がある：

• 仮想サーバーインスタンス（VSI）の実行とホスティング
• ブロック・ストレージ・ボリュームへの読み書き
• オブジェクトの Object Storage バケットへの取得と設定
• クエリーの実行、処理、および更新 IBM Cloud Databases for PostgreSQL

コントロールプレーン・コンポーネントは、データプレーン・コンポーネントを管理し、動作するように設定する役割を担う。 制御プレーン・コンポーネントは、管理者からのリクエストを処理し、サービス・インスタンスのリソースの作成、構成、アップグレード、廃止の各フェーズを通じて、データプレーンのライフサイクルを管理する。

例えば、以下はコントロールプレーンの責任である：

• アカウントのVSIをリストアップし、新しいVSIをプロビジョニングし、OSイメージからの仮想マシンの作成、ブロックストレージの作成、ネットワークエンドポイントのアタッチと設定をオーケストレーションする
• ブロック・ストレージ・ボリュームの設定、サイズ変更、マウント
• 新しい Object Storage バケットの作成

弾力性と事業継続性を向上させるため、サービス・データ・プレーンは、コントロール・プレーンに障害が発生した場合でも、主要な機能を提供し続けるように設計されている。 一例として、インフラストラクチャリソースへのデータプレーンアクセスは、プロビジョニングされた場合、コントロールプレーンに依存しないため、コントロールプレーンの問題の影響を受けない。

制御プレーンの障害は、リソースの作成、変更、削除の機能に影響を与えるかもしれないが、利用可能な既存のリソースには影響はない。

ゾーン・サービスの独立性

ゾーン・サービスは、マルチゾーン・リージョンの特定のゾーン、または特定のデータセンターにサービス・インスタンスを配置することを可能にする。

特定のゾーンや特定のデータセンターに配置されたこれらのサービスインスタンスは、他のゾーンやデータセンターのサービスのコンポーネントに依存することなく、その地域内で独立して実装され、運用される。 したがって、あるゾーンで発生した障害は、そのゾーンでホストされているインスタンスに影響を与えるかもしれないが、同じリージョンや他のリージョンにある他のゾーンのインスタンスに影響を与えることはない。

ゾーンサービスアーキテクチャは、リージョンの各ゾーンに配置され、ローカルなリージョン内制御プレーンコンポーネントから管理されるゾーンデータプレーンを使用する。

ユーザーまたはアプリケーションは、各ターゲットゾーンにあるゾーンAPIエンドポイントを使用して、サービスインスタンス機能と対話する。

サービス制御プレーンは、 グローバルサービスの冗長性 で説明する一部の例外を除き、データプレーンの同じリージョンに配置され、リージョンの3つのゾーンにまたがって展開される。 他の地域のコントロールプレーンとは独立している。 そのため、あるリージョンで制御プレーンに障害が発生した場合、そのリージョン内のサービス機能のみに影響を与え、他のリージョン内のサービス機能には影響を与えない可能性がある。

1つのゾーンのコントロールプレーンに障害が発生した場合、またはゾーンが利用できない場合、リソースの作成、設定、アップグレード、廃止などのデータプレーンのライフサイクルフェーズを管理するための管理者の要求は、残りの2つのゾーンのコントロールプレーンによって実行される。

コントロール・プレーンがグローバルに展開される例外的なケースでは、高可用性を確保するために、複数の地域にまたがって展開される。 したがって、ある地域で障害が発生しても、他の地域のサービス機能に影響を与えることはない。

ゾーンサービスを使用するワークロードを配置するための具体的なオプションの詳細については、 リソースの配置場所 と 高可用性のための考慮 事項を参照してください。

地域サービスの冗長性

リージョナル・サービスでは、単一のターゲット・ゾーンやデータ・センターを指定することなく、特定のリージョン全体にサービス・インスタンスのリクエストを展開できる。

1つの地域に展開されるこれらのサービスインスタンスは、同じ地域内の複数のゾーンに展開される冗長コンポーネントで実装され、運用される。 こうすることで、リージョン内の特定のゾーンに単一障害点が発生することはない。

地域サービスアーキテクチャは、各地域の3つのゾーンに展開される地域データプレーンを使用し、地域内コントロールプレーンから管理される。 1つのゾーンでデータプレーンに障害が発生した場合、またはゾーンが利用できない場合、ユーザーとクライアントアプリケーションからのリクエストは、残りの2つのゾーンのデータプレーンに自動的に迂回される。

ユーザーまたはアプリケーションは、各ターゲット地域にある地域APIエンドポイントを使用して、サービスインスタンス機能と対話する。

サービス・コントロール・プレーンは、 グローバル・サービスの冗長性 で説明するいくつかの例外を除き、データ・プレーンの同じリージョンに配置され、他のリージョンのコントロール・プレーンから独立して、リージョンの3つのゾーンにまたがって展開される。 こうすることで、あるリージョンにおける制御プレーンの障害は、そのリージョンのサービス機能のみに影響を与え、他のリージョンのサービス機能には影響を与えない可能性がある。

あるゾーンでコントロールプレーンに障害が発生した場合、あるいは完全に失われた場合でも、サービスインスタンスのリソース作成、コンフィグレーション、アップグレード、デコミッショニングの各フェーズを通じてデータプレーンのライフサイクルを管理するための管理者からの要求は、残りのゾーンのコントロールプレーンによって実行される。

制御プレーンがグローバルに展開される例外的なケースであっても、高可用性を確保し、ある地域での障害が他の地域のサービス機能に影響を与えないことを保証するために、複数の地域にまたがって展開される。

地域サービスを使用するワークロードを配置するための具体的なオプションの詳細については、 リソースの配置場所 と 高可用性のための考慮 事項を参照してください。

グローバル・サービスの冗長性

IBM Cloud サービスのサブセットは、異なる場所や地域の複数のリージョンに展開されるコンポーネントを持つグローバル展開モデルを使用する。 これらのサービスは、他のゾーンサービスやリージョナルサービスが依存する共通の機能を提供する。 また、サービス内には、グローバルな機能を提供する特定のコントロールプレーン・コンポーネントが存在する。

グローバルデプロイメントモデルを使用するサービスは、複数のリージョンに複製されたコンポーネントを持つ分散アーキテクチャを実装する。 コンポーネントは、自動フェイルオーバー設計により、これらのリージョン間で負荷分散され、オペレーターの操作なしにサービスを稼働させ続けることができる。

以下のセクションでは、グローバル展開モデルを使用するサービスと、他のゾーンまたはリージョンのサービスからの依存性に対するリージョン横断的な影響について詳述する。

このアプローチは、アーキテクチャにおける単一障害点を取り除くのに役立つが、グローバル・サービス・コントロール・プレーンがホスティングされている地域とは異なる地域で運用されている場合でも、地域横断的な影響を受ける可能性がある。

ネットワーク・バックボーンの冗長性

IBM Cloud ネットワークは、単一障害点が発生しないように設計されている。 各地域内で可能な限り同じサービス接続のために多様な通信事業者を利用することで、ネットワークの各ポイントに多様で冗長な接続性が存在する。

IBM Cloudは、多様なダークファイバープロバイダーを使って、エッジサイトをすべての地域のコンピュート施設に接続している。 さらに、各エッジ・サイトは、他の地域との冗長バックボーン接続を持ち、複数のプロバイダーと直接・間接的にローカル・エクスチェンジを通じてピアリングしている。

地域間依存からのゾーンおよび地域サービスの分離

一般的に、ある地域で可用性に影響を与える事象が発生した場合、その地域のゾーンサービスとリージョナルサービスのみが影響を受ける。 その他の地域のサービスには影響はない。

ゾーンサービスやリージョナルサービスのデータプレーンは、インフラ、コンテナオーケストレーション、データベース、セキュリティなどの重要な依存関係を含め、同じリージョン内のリソースに依存している。

リージョンに位置するサービスのデータプレーンも、ユーザーから提供されるサービスインスタンスに依存し、以下のサービス間機能をサポートする：

• BYOK (Bring-your-own-key) 暗号化サポート用の Key Protect インスタンス。
• KYOK (keep-your-own-key) 暗号化対応の Hyper Protect Crypto Services インスタンス。
• Object Storage バックアップ、Security Control Center の証拠と結果、アーカイブされたログなどを保存するためのバケット。一般的に、大量のデータを Object Storage のバケットに保存したり、バケットから取り出したりすることをサポートするあらゆる機能。

利用可能性を確保するために、サービス配分の地域を慎重に選択する。 リージョンをまたぐ故障の影響を防ぐため、依存するサービスと同じリージョンにサービスを配置することが推奨される。

各サービスのドキュメントには、それらをどのように使うか、場所や構成の選択、そして必要なレベルの耐障害性を実現するためのアプリケーションのアーキテクチャまで、明確な指示が記載されている。