Cloud-Lösungen konzipieren und realisieren

Cloud heisst nicht einfach 'Server bei jemand anderem'. Du lernst, zwischen IaaS, PaaS und SaaS abzuwägen und die Wahl mit Anforderungen, Kosten und Datenschutz zu begründen. Du skizzierst eine Architektur mit Netzwerk, Rechenleistung und Speicher, rechnest die monatlichen Kosten in CHF durch und setzt eine kleine Lösung in Azure oder AWS tatsächlich um. Am Ende kannst du einer Kundin erklären, warum deine Lösung so aussieht und was sie kostet.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   IaaS, PaaS und SaaS für einen konkreten Bedarf vergleichen und auswählen

   Kompetenz A

   Du weisst, welche Verantwortung beim Anbieter liegt und welche bei dir, je nachdem ob du eine VM, eine verwaltete Plattform oder eine fertige Software mietest. Damit kannst du für jeden Bedarf das Modell wählen, das am wenigsten Betriebsaufwand bei ausreichender Kontrolle bringt.

   Situation

   Ein Treuhandbüro mit 12 Mitarbeitenden betreibt im Keller einen alten Windows-Server für Dateiablage, eine Branchensoftware und das Intranet.

   Deine Aufgabe

   Ordne jede der drei Anwendungen einem Servicemodell zu und begründe die Wahl.

   Gutes Ergebnis

   Dateiablage wird SaaS (SharePoint/OneDrive), das Intranet PaaS (App Service), die Branchensoftware bleibt vorerst IaaS auf einer VM, weil der Hersteller nur eine Windows-Installation unterstützt. Eine Tabelle zeigt pro Anwendung, wer patcht, sichert und überwacht.

   IaaSPaaSSaaSShared Responsibility ModelVendor Lock-in
2. 2

   Anforderungen an eine Cloud-Lösung inklusive Datenstandort erfassen

   Kompetenz B

   Bevor du etwas klickst, klärst du mit der Kundin: Wie viele Benutzende, welche Verfügbarkeit, welche Daten, welche Wiederherstellungszeit, welches Budget? Besonders wichtig sind Personendaten und wo diese gespeichert werden dürfen.

   Situation

   Eine Physiotherapie-Praxis in Winterthur will ein Online-Terminbuchungssystem mit Patientendaten in der Cloud.

   Deine Aufgabe

   Erstelle eine Anforderungsliste mit funktionalen und nicht-funktionalen Anforderungen.

   Gutes Ergebnis

   Eine Liste mit u.a.: 99,5 % Verfügbarkeit während Öffnungszeiten, Gesundheitsdaten nur in der Region Switzerland North oder West, tägliche Sicherung mit 30 Tagen Aufbewahrung, Budget max. CHF 150 pro Monat, Login mit MFA für das Praxisteam.

   funktionale / nicht-funktionale AnforderungSLARPO / RTODatenstandortbesonders schützenswerte Personendaten
3. 3

   Eine Cloud-Architektur mit Netzwerk, Compute und Speicher skizzieren

   Kompetenz C

   Du zeichnest, welche Cloud-Ressourcen es braucht und wie sie verbunden sind: virtuelles Netzwerk, Subnetze, Webdienst, Datenbank, Speicher, öffentlicher Zugang. Das Diagramm ist die Grundlage für Umsetzung, Kostenschätzung und Sicherheitsprüfung.

   Situation

   Für das Terminbuchungssystem der Praxis ist entschieden: PaaS in Azure, Region Switzerland North.

   Deine Aufgabe

   Zeichne die Zielarchitektur mit allen Ressourcen und Verbindungen.

   Gutes Ergebnis

   Ein draw.io-Diagramm mit Ressourcengruppe, App Service (Webapp), Azure Database for PostgreSQL mit privatem Endpunkt im VNet, Blob Storage für PDF-Bestätigungen, Key Vault für Passwörter und einer eigenen Domain mit TLS-Zertifikat.

   Region / VerfügbarkeitszoneRessourcengruppeVNet / Subnetzprivater EndpunktArchitekturdiagramm
4. 4

   Monatliche Kosten mit dem Preisrechner schätzen und Varianten vergleichen

   Kompetenz D

   Cloud-Kosten entstehen pro Stunde, pro GB und pro Anfrage. Du baust mit dem Preisrechner eine realistische Schätzung, vergleichst mindestens zwei Varianten und erklärst, welche Faktoren die Rechnung treiben.

   Situation

   Der Praxisinhaber fragt, ob eine eigene VM nicht günstiger wäre als PaaS.

   Deine Aufgabe

   Vergleiche die Monatskosten einer VM-Lösung mit der PaaS-Lösung.

   Gutes Ergebnis

   VM B2s mit Disk und Backup rund CHF 55 pro Monat plus geschätzte 2 Std. Wartung pro Monat. PaaS mit App Service B1 und kleinster PostgreSQL-Stufe rund CHF 45 pro Monat ohne Patch-Aufwand. Empfehlung PaaS, mit Hinweis auf Budget-Alarm bei CHF 80.

   Pay-as-you-goReserved InstancesEgress-KostenBudget / KostenwarnungTCO
5. 5

   Eine Webanwendung mit Datenbank in der Cloud bereitstellen

   Kompetenz E

   Du legst die geplanten Ressourcen im Portal oder per CLI an, verbindest Anwendung und Datenbank und machst die Lösung über eine URL erreichbar. Dabei achtest du auf eine saubere Benennung und Tags, damit später klar ist, wem was gehört.

   Situation

   Die Architektur ist abgenommen, und du hast ein Azure-for-Students-Konto mit Guthaben.

   Deine Aufgabe

   Stelle eine kleine Node- oder PHP-Anwendung mit PostgreSQL-Datenbank bereit.

   Gutes Ergebnis

   Ressourcengruppe 'rg-praxis-test-chn' mit App Service, Datenbank und Storage. Die App liest den Connection String aus einer App-Einstellung, die Seite ist unter https://praxis-test.azurewebsites.net erreichbar, alle Ressourcen tragen die Tags 'kunde' und 'umgebung'.

   Azure Portal / Azure CLIApp-EinstellungenConnection StringNaming ConventionTags
6. 6

   Zugriffe mit Rollen, MFA und Netzwerkregeln absichern

   Kompetenz F

   Nicht jede Person braucht Besitzer-Rechte. Du vergibst Rollen nach dem Prinzip der minimalen Rechte, erzwingst MFA und sorgst dafür, dass die Datenbank nicht offen im Internet steht.

   Situation

   Ein externer Entwickler soll Logs der Webapp lesen, aber nichts löschen können. Gleichzeitig ist die Datenbank-Firewall auf 0.0.0.0/0 offen.

   Deine Aufgabe

   Passe Berechtigungen und Netzwerkzugriff an.

   Gutes Ergebnis

   Der Entwickler erhält auf der Ressourcengruppe nur die Rolle 'Reader' und für die Logs zusätzlich 'Log Analytics Reader' auf dem Log-Workspace. Die Datenbank ist nur noch über den privaten Endpunkt erreichbar, die öffentliche Firewall-Regel ist gelöscht. Für alle Admin-Konten ist MFA per Conditional Access aktiv.

   RBACLeast PrivilegeMFANetwork Security Group / Firewall-RegelKey Vault

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Yara ist im 2. Lehrjahr als Informatikerin Plattformentwicklung bei der Lindenhof IT GmbH in Wetzikon, einem IT-Dienstleister mit 25 Mitarbeitenden. Ein Hörakustik-Geschäft mit drei Filialen im Zürcher Oberland will ein Kundenportal für Termine und Nachbestellungen von Zubehör und dafür keinen weiteren Server im Hinterzimmer betreiben. Yara erarbeitet mit ihrem Berufsbildner das Konzept und setzt einen ersten Prototyp in Azure um.

1. Kapitel 1

   Was der Kunde wirklich braucht

   Im Workshop mit der Geschäftsführerin erfasst Yara, dass rund 4000 Kundinnen und Kunden das Portal nutzen werden und Hörtestergebnisse als Gesundheitsdaten darin vorkommen. Daraus folgt eine klare Anforderung: Alle Daten bleiben in der Schweiz. Die Geschäftsführerin wünscht sich eine Verfügbarkeit von 100 Prozent, worauf Yara fragt, was eine Stunde Ausfall am Sonntag tatsächlich kostet. Sie einigen sich auf ein Ziel von 99.9 Prozent und halten fest, was das für die Architektur bedeutet.

   Ziel 2

2. Kapitel 2

   Selbst betreiben oder mieten?

   Yara vergleicht drei Wege: eine eigene VM mit Webserver, eine PaaS-Lösung mit App Service und eine fertige SaaS-Terminsoftware. Die SaaS-Lösung fällt weg, weil ihr Anbieter die Daten in den USA speichert. Zwischen VM und PaaS empfiehlt sie PaaS, weil das Geschäft niemanden hat, der Betriebssystem-Updates einspielt.

   Ziel 1

3. Kapitel 3

   Ein Bild und eine Zahl

   In draw.io skizziert Yara die Architektur in der Region Switzerland North: App Service, PostgreSQL Flexible Server mit privatem Endpunkt, Blob Storage für Dokumente und Entra ID für das Personal. Im Preisrechner kommt sie ohne hochverfügbare Datenbank auf rund CHF 210 pro Monat. Weil App Service und Datenbank so zusammen nur etwa 99.85 Prozent garantieren, rechnet sie die hochverfügbare Datenbank als Option dazu und lässt den Kunden bewusst entscheiden. Der Kunde fragt, ob eine VM nicht billiger wäre. Yara zeigt, dass die VM zwar CHF 60 günstiger ist, aber pro Monat etwa drei Stunden Wartung im Wert von CHF 400 dazukommen.

   Ziel 3Ziel 4

4. Kapitel 4

   Der Prototyp läuft

   Mit ihrem Azure-for-Students-Konto baut Yara den Prototyp auf und deployt die Portal-App aus dem Git-Repository. Die Verbindung zur Datenbank schlägt zuerst fehl, weil die App nicht ins virtuelle Netz mit dem privaten Endpunkt eingebunden ist. Nach der VNet-Integration klappt der Zugriff, und Yara hält alle Schritte in einer Anleitung fest, damit der Aufbau beim Kunden reproduzierbar ist.

   Ziel 5

5. Kapitel 5

   Nur so viel Zugriff wie nötig

   Für die Übergabe aktiviert Yara MFA für alle Konten des Personals. Ein externer Entwickler erhält auf der Ressourcengruppe nur die Rolle Leser und auf dem Log-Workspace die Rolle Log Analytics Reader, damit er Konfiguration und Logs ansehen kann. Die Datenbank ist aus dem Internet nicht erreichbar. Mit einem Testkonto zeigt Yara ihrem Berufsbildner, dass der Entwickler die App weder stoppen noch löschen kann.

   Ziel 6

1. 1

   Cloud-Modelle verstehen

   ca. 3 Std.

   Du klärst die Grundbegriffe und lernst, Verantwortung zwischen Anbieter und Kunde sauber aufzuteilen.

   • Für fünf bekannte Dienste (Microsoft 365, Azure VM, Heroku, Dropbox, AWS Lambda) bestimmen, ob IaaS, PaaS oder SaaS
   • Eine Shared-Responsibility-Tabelle für eine VM und eine Webapp ausfüllen
   • Azure for Students oder AWS Free Tier aktivieren und sofort einen Budget-Alarm von rund 10 Franken (oder dem Gegenwert in der Kontowährung) setzen

   Trainiert Kompetenz A1A2

   Lernziel1

2. 2

   Anforderungen sauber erfassen

   ca. 3 Std.

   Du übst, aus einem Kundengespräch messbare Anforderungen abzuleiten, inklusive Datenschutz und Standortfragen.

   • Ein Rollenspiel-Kundengespräch führen und Notizen in Anforderungen umwandeln
   • Für drei Datensätze entscheiden, ob es Personendaten oder besonders schützenswerte Daten sind
   • Prüfen, welche Azure- und AWS-Regionen in der Schweiz liegen und welche Dienste dort verfügbar sind

   Trainiert Kompetenz B1B2

   Lernziel2

3. 3

   Architektur zeichnen und Kosten rechnen

   ca. 4 Std.

   Aus den Anforderungen entstehen ein Architekturdiagramm und eine Kostenschätzung mit zwei Varianten.

   • Mit draw.io und den offiziellen Azure-Icons ein Diagramm erstellen
   • Im Azure Pricing Calculator eine IaaS- und eine PaaS-Variante durchrechnen
   • Die drei grössten Kostentreiber markieren und je eine Sparmassnahme notieren

   Trainiert Kompetenz C1C2D1D2

   Lernziel34

4. 4

   Lösung aufbauen

   ca. 5 Std.

   Du setzt die PaaS-Variante tatsächlich um und dokumentierst jeden Schritt so, dass jemand anderes ihn nachvollziehen kann.

   • Ressourcengruppe, App Service und Datenbank in Switzerland North anlegen
   • Eine Beispiel-App deployen und die Datenbankverbindung über App-Einstellungen setzen
   • Dieselben Ressourcen ein zweites Mal mit der Azure CLI anlegen und die Befehle in einem Skript sammeln

   Trainiert Kompetenz E1E2

   Lernziel5

5. 5

   Absichern und übergeben

   ca. 4 Std.

   Du härtest die Lösung, prüfst die Kosten nach ein paar Tagen und bereitest eine kurze Übergabe an die Kundin vor.

   • Rollen vergeben, MFA aktivieren, Datenbank auf privaten Zugriff umstellen
   • Nach drei Tagen die tatsächlichen Kosten in Cost Management mit der Schätzung vergleichen
   • Eine einseitige Kundendokumentation mit Architektur, Kosten und Zuständigkeiten schreiben
   • Am Ende alle Testressourcen löschen, damit kein Guthaben verloren geht

   Trainiert Kompetenz F1F2D3A3

   Lernziel641

IaaS

Infrastructure as a Service: Du mietest virtuelle Maschinen, Netz und Speicher und betreibst alles darüber selbst.

PaaS

Platform as a Service: Der Anbieter betreibt Laufzeitumgebung und Betriebssystem, du lieferst nur deinen Code und deine Daten.

SaaS

Software as a Service: Fertige Anwendung im Abo, z.B. Microsoft 365.

Shared Responsibility Model

Aufteilung der Sicherheits- und Betriebsverantwortung zwischen Cloud-Anbieter und Kunde.

Region

Geografischer Standort mit einem oder mehreren Rechenzentren eines Cloud-Anbieters.

Ressourcengruppe

Logischer Container in Azure, der zusammengehörige Ressourcen bündelt und gemeinsam verwaltet und gelöscht werden kann.

RBAC

Role-Based Access Control: Rechte werden über Rollen vergeben, die einem Bereich zugewiesen sind.

Egress

Datenverkehr, der das Rechenzentrum des Anbieters verlässt und meist pro GB kostet.

TCO

Total Cost of Ownership: Gesamtkosten inklusive Betrieb, Wartung und Personalaufwand, nicht nur der Mietpreis.

Passende Module