Перейти к основному содержимому

Облачные сервисы в РФ

Разработчику Инженеру Аналитику

После 2022 года многие команды в России мигрировали или дублировали инфраструктуру на отечественные и локальные провайдеры. Облачные концепции остаются теми же — меняются консоли, квоты, compliance и экосистема.

Термины, которые встретите в любом облаке:

  • IaaS (Infrastructure as a Service) — виртуальные машины, сети, диски; вы управляете ОС и приложением;
  • PaaS (Platform as a Service) — managed БД, Kubernetes, serverless; провайдер управляет платформой;
  • SaaS (Software as a Service) — готовое приложение (почта, CRM);
  • VPC (Virtual Private Cloud) — изолированная виртуальная сеть;
  • Object Storage — хранилище файлов по S3-подобному API.

Базовые модели — 8.01/1, shared responsibility — 8.01/12.

Не юридическая консультация

Требования 152-ФЗ, КИИ (критическая информационная инфраструктура), реестр ПО и локализация ПДн (персональных данных) — согласовывайте с юристами и ИБ. Здесь — техническая карта сервисов для разработчиков и инженеров.


Зачем отдельная карта для РФ

Hyperscale-провайдеры (AWS, Azure, GCP) задают "язык" облака — EC2, S3, RDS, EKS. Российские провайдеры используют те же идеи, но другие названия, лимиты и интеграции. Если вы знаете AWS, переход на Yandex Cloud обычно занимает дни — при условии, что стек не завязан на проприетарные сервисы вроде Lambda + DynamoDB streams.

Типичные причины выбора облака РФ:

  • хранение и обработка данных на территории РФ;
  • оплата в рублях и локальные договоры;
  • интеграция с госсистемами и отраслевыми регуляторами;
  • поддержка на русском языке и локальный NOC (Network Operations Center).

Основные провайдеры (ориентир 2025–2026)

ПровайдерСильные стороныТипичные сервисы
Yandex CloudЗрелая документация, managed K8s, Object Storage, экосystem ЯндексаCompute Cloud, MDB (PostgreSQL, ClickHouse), ALB, IAM, Lockbox
VK Cloud (бывш. Mail.ru Cloud)Корпоративный сектор, OpenStack-наследиеВМ, Kubernetes, DBaaS, S3-совместимое хранилище
SelectelIaaS, colocation, прозрачные тарифы, bare metalVPS/выделенные серверы, object storage, managed DB
Cloud.ru (SberCloud)Enterprise, гибридEvolution, Advanced, реестровые образы
Ростелеком / RT CloudГоссектор, крупный enterpriseОблако под отраслевые требования

Документация провайдеров:

Сравнение моделей IaaS/PaaS/SaaS — 8.01/1.


Yandex Cloud — обзор для разработчика

Yandex Cloud (YC) — один из наиболее документированных провайдеров. Консоль, CLI (yc) и Terraform provider зрелые.

Ключевые сервисы

Сервис YCАналог AWSНазначение
Compute CloudEC2ВМ, GPU, группы instances
Managed Service for KubernetesEKSK8s без control plane ops
Managed Service for PostgreSQLRDSPostgres с бэкапами, PgBouncer
Object StorageS3Статика, бэкапы, data lake
Application Load BalancerALBHTTP/HTTPS балансировка
Cloud FunctionsLambdaServerless функции
Yandex LockboxSecrets ManagerСекреты, версии
Cloud Logging / MonitoringCloudWatchЛоги, метрики, алерты
Virtual Private CloudVPCПодсети, NAT, security groups

Иерархия ресурсов YC

Organization
└── Cloud (облако)
└── Folder (каталог) — dev / prod
└── Resources (ВМ, K8s, БД...)

Folder — граница для IAM и billing. Разделяйте prod и dev разными folder, не полагаясь только на labels.

Пример Terraform (фрагмент)

terraform {
required_providers {
yandex = {
source = "yandex-cloud/yandex"
}
}
}

resource "yandex_vpc_network" "main" {
name = "app-network"
}

resource "yandex_vpc_subnet" "private" {
name = "private-a"
zone = "ru-central1-a"
network_id = yandex_vpc_network.main.id
v4_cidr_blocks = ["10.0.1.0/24"]
}

Логика Terraform та же, что в 8.04/22 — меняется только provider block.


VK Cloud — обзор

VK Cloud (ранее Mail.ru Cloud Solutions) ориентирован на enterprise и telecom. Наследие OpenStack — знакомо тем, кто работал с private cloud.

ОсобенностьДетали
OpenStack APIЧасть сервисов через Nova, Neutron, Cinder
KubernetesManaged K8s, интеграция с registry
S3 storageСовместимость с S3 API — проверяйте edge cases
BillingПакеты для крупных контрактов

Подходит для компаний с уже существующими OpenStack-навыками и long-term enterprise-контрактами.


Selectel — обзор

Selectel силён в IaaS и bare metal — выделенные серверы без гипервизора. Прозрачные тарифы, дата-центры в РФ.

СценарийПочему Selectel
Predictable loadDedicated дешевле облака на 3 года
ColocationСвое железо в стойке провайдера
HybridОблако + bare metal в одной сети
Простой VPSБыстрый старт без сложной консоли

Managed DB и object storage есть, но экосystem уже, чем у YC — закладывайте время на R&D.


Cloud.ru (SberCloud) — обзор

Cloud.ru — enterprise-платформа с линейками Evolution (публичное облако) и Advanced (гибрид/on-prem интеграция). Акцент на реестровое ПО и отраслевые сертификаты.

Типичный клиент — крупный банк, госкорпорация, холдинг с требованиями к импортозамещению стека.


Сопоставление с hyperscale-провайдерами

Таблица — словарь; точное соответствие API не гарантируется. Всегда читайте документацию перед миграцией.

Концепция AWSYandex CloudVK CloudЗаметка
EC2Compute CloudInstancescloud-init, SSH, security groups
S3Object StorageObject StorageS3 API частично совместим — тестируйте SDK
RDS PostgreSQLManaged PostgreSQLDBaaS Postgres8.11 практикум PG
EKSManaged KubernetesManaged K8sGitOps тот же — 8.13
IAMIAM / SAIAMPrefer short-lived keys, federated auth
Secrets ManagerLockboxSecret Managerпрактикум Vault
VPCVPCVPC / NeutronПодсети, NAT, peering
Route 53Cloud DNSDNSTTL, health checks
CloudWatchMonitoringMonitoringPrometheus export часто доступен
SQS / SNSYMQОчередиVendor lock-in — абстрагируйте

Полный справочник AWS — 8.04/3118 — полезен как словарь, даже если prod в YC.


Импортозамещение и мультиоблако

Импортозамещение — переход с зарубежного стека на отечественный или self-hosted. Мультиоблако — работа с двумя провайдерами одновременно (например, DR-копия в Selectel, prod в YC).

Что переносится легко

  • Контейнеры и Helm — образ тот же, registry другой;
  • Terraform — другой provider block (yandex, vkcs, selectel);
  • 12-factor app — конфиг через env, stateless — 8.07/1153;
  • PostgreSQL — dump/restore или logical replication;
  • Prometheus + Grafana — стек observability переносим;
  • GitOps — Argo CD/Flux одинаковы в любом K8s.

Что переносится тяжело

  • Vendor-specific serverless (привязка к триггерам провайдера);
  • Managed очереди с proprietary API;
  • Propietary AI/ML сервисы без open API;
  • Глубокая интеграция IAM (SSO mapping, custom roles);
  • CDN + WAF bundle — переконфигурация DNS и сертификатов.

Стратегия миграции

ФазаДействия
1. ИнвентаризацияСписок сервисов, зависимостей, data flows
2. АбстракцияK8s, стандартные API, убрать hardcode endpoint'ов
3. PilotStaging в облаке РФ, нагрузочные тесты
4. Data migrationБД, object storage, проверка checksum
5. CutoverDNS switch, rollback plan
6. DecommissionЗакрытие старого облака после retention

Первый проект в Yandex Cloud

Пошаговый скелет для типичного web-приложения.

Шаг 1. Организация и folder

Создайте cloud и два folderdev и prod. Не смешивайте среды в одном folder — IAM и billing станут запутанными.

Шаг 2. Service account и IAM

  • создайте service account (SA) для Terraform и CI;
  • выдайте минимальные роли (editor только на нужный folder);
  • root-ключи и SA keys на ноутбуке — запретите; используйте OIDC или временные ключи;
  • включите ** MFA** на человеческих аккаунтах.

Безопасность аккаунта — 8.01/11.

Шаг 3. Сеть VPC

VPC 10.0.0.0/16
├── public subnet 10.0.0.0/24 — ALB, NAT gateway
├── private app 10.0.1.0/24 — K8s nodes / ВМ приложения
└── private db 10.0.2.0/24 — PostgreSQL, без public IP

Security groups — default deny, открывайте только нужные порты. БД никогда в public subnet.

Сеть — 2.03, Zero Trust — 8.07/121.

Шаг 4. Compute

Варианты:

ВариантКогда
Managed KubernetesНесколько сервисов, GitOps, autoscaling
Compute Cloud ВМ + DockerОдин-два сервиса, простой старт
Cloud FunctionsEvent-driven, мало трафика

Шаг 5. База данных

Managed PostgreSQL — бэкапы, failover, патчи ОС. Для pet-проекта — одна instance в dev, HA cluster в prod.

Практикум PostgreSQL — 8.11.

Шаг 6. Object Storage

Отдельный bucket для:

  • статики фронтенда (через CDN);
  • бэкапов БД (offsite от compute);
  • артефактов CI (с lifecycle policy).

Включите versioning и encryption at rest.

Шаг 7. Мониторинг и алерты

  • Yandex Monitoring или self-hosted Prometheus;
  • алерты на disk > 80%, 5xx rate, DB connections;
  • uptime check с внешней точки.

FinOps — 8.16.


Безопасность и compliance (технический угол)

ТемаПрактика
152-ФЗЛокализация ПДн, шифрование, audit log — 8.07/124
КИИКатегорирование, сертифицированные СЗИ — с ИБ и юристами
Реестр ПОПроверяйте, входит ли СУБД/ОС в реестр, если требуется
EncryptionTLS in transit, KMS для secrets
LoggingCentralized logs, retention по политике
Backup3-2-1 rule — 3 копии, 2 носителя, 1 offsite

Облачный чек-лист — 8.01/3.


Стоимость и FinOps

Облако РФ не всегда дешевле VPS — плата за управляемые сервисы, egress (исходящий трафик), диски SSD.

Статья расходовКак контролировать
ComputeRightsizing, spot/preemptible где доступно
Managed K8sAutoscaling node groups, выключение dev ночью
Object StorageLifecycle — cold storage, удаление старых бэкапов
EgressCDN для статики, сжатие
IP addressesОсвобождать неиспользуемые public IP

Billing alerts в консоли + еженедельный review. Подробнее — FinOps pet.


Когда оставаться on-prem или VPS

Облако — не единственный ответ.

  • Физическое размещение железа — жёсткое требование аудита;
  • Predictable load — dedicated на 3 года может быть дешевле;
  • Команда без облачной экспертизысистемное администрирование;
  • Legacy monolith — lift-and-shift на одну fat ВМ проще, чем K8s;
  • Air-gapped среды — облако недоступно по определению.

Гибрид — prod on-prem, burst в облако — возможен, но сложен в сетевой связности.


Managed Kubernetes в облаке РФ

Managed Kubernetes (MK8s) снимает с вас control plane — API server, etcd, scheduler. Вы платите за worker nodes и managed fee.

ЗадачаYandex Cloud MK8sVK Cloud K8s
Создание clusterConsole / yc managed-kubernetesConsole / Terraform
Node groupAuto scaling groupsАналогично
IngressALB + Ingress controllerLB + nginx
RegistryContainer RegistryHarbor / registry
CNICalico / CiliumЗависит от версии

Типичный поток:

  1. Создать cluster в private subnet.
  2. Node group с autoscaling (min 2, max 10).
  3. Установить ingress-nginx или ALB Ingress.
  4. cert-manager для Let's Encrypt или internal CA.
  5. Argo CD — GitOps и практикум 8.13.

Object Storage — практические паттерны

Object Storage — S3-подобное хранилище для файлов любого размера.

ПаттернBucketLifecycle
Статика фронтаmyapp-static-prodCDN перед bucket
Бэкапы БДmyapp-backupsDelete after 30 days
CI artifactsmyapp-ciDelete after 7 days
Data lakeanalytics-rawTransition to cold tier

Проверьте совместимость SDK — multipart upload, ACL, presigned URL могут отличаться от AWS. Integration test на staging bucket обязателен.

Шифрование — server-side (KMS провайдера). Bucket policy — deny public access по умолчанию.


DNS и TLS

КомпонентПрактика
Cloud DNSA/AAAA на ALB, CNAME для subdomains
Internal DNSPrivate zone для service discovery
TLScert-manager + Let's Encrypt или Yandex Certificate Manager
mTLSService mesh (Istio/Linkerd) для east-west

Wildcard cert для *.dev.example.ru упрощает staging. Prod — отдельные cert per service или wildcard по политике ИБ.

Сеть — 2.03.


Disaster recovery в облаке РФ

КомпонентRPO / RTO ориентирМеханизм
Managed PostgreSQLRPO minutesAutomated backups, PITR
Object StorageRPO hoursCross-region replication
K8s workloadsRTO hoursGitOps + second cluster
SecretsRTO minutesVault replication

DR-тест раз в квартал — поднять restore в отдельном folder, проверить приложение, задокументировать время.


Матрица выбора провайдера

КритерийYandex CloudVK CloudSelectelCloud.ru
Документация★★★★★★★★★★★★★★★★
Managed K8sДаДаОграниченоДа
Bare metalЧерез partnersДа★★★★★Да
Enterprise / госсекторДаДаДа★★★★★
Terraform providerЗрелыйЗрелыйЕстьЕсть
FinOps прозрачностьBilling APIДоговорПубличные тарифыEnterprise quote

Выбор зависит от контракта, compliance, команды и existing skills. Pilot на одном non-critical сервисе перед миграцией prod.


CLI yc — быстрый старт

# Установка CLI — см. yandex.cloud/ru/docs/cli/quickstart
yc init
yc config list

# Создать folder
yc resource-manager folder create --name myapp-dev

# Service account для CI
yc iam service-account create --name terraform-sa
yc iam access-binding add --role editor --subject serviceAccount:...

Используйте authorized key только в CI secrets, ротация каждые 90 дней. Prefer federated credentials где доступно.


Типичные ошибки при переходе

ОшибкаПоследствиеРешение
Assume 100% S3 compatibilityBroken SDK, missing headersIntegration tests на bucket
Один folder prod+devУтечка prod credentials в devРазделение folder + IAM
Public IP на БДScanning, brute forcePrivate subnet only
Нет egress планаSurprise billCDN, cache, compress
Hardcode endpoint'овLock-inConfig через env
Skip load testProd падает в peakk6/Locust на staging

Гибридное облако и on-prem

Многие enterprise в РФ держат core on-prem, а burst и DR — в облаке.

СценарийАрхитектура
Active-passive DRProd on-prem, standby в YC
Dev/test в облакеProd on-prem, dev folder в YC
Data residencyБД on-prem, compute в облаке РФ
CDN + originOrigin в Selectel, CDN провайдера

Связность — VPN или dedicated link между DC и VPC. Latency между on-prem DB и cloud app — критичный параметр; измеряйте до миграции.


Реестр ПО и отраслевые требования

Технический инженер проверяет:

  • входит ли ОС, СУБД, K8s distribution в реестр отечественного ПО — если требует контракт;
  • сертификаты ФСТЭК/ФСБ — зона ответственности ИБ;
  • audit log retention — 152-ФЗ.

Cloud.ru и RT Cloud часто поставляют реестровые образы out of the box.


Observability в облаке РФ

СигналYandex CloudSelf-hosted
MetricsYandex MonitoringPrometheus + remote write
LogsCloud LoggingLoki
TracesOpenTelemetry exportTempo/Jaeger
AlertsAlert policiesAlertmanager

Единый Grafana dashboard для multi-cloud — импорт метрик через Prometheus federation или Mimir.

Мониторинг — 8.04/19.


Billing модели провайдеров

МодельSelectelYandex CloudEnterprise VK/Cloud.ru
Pay-as-you-goЧастоДаРедко
Reserved / commitDedicatedCommit discountsОсновной формат
InvoiceЕжемесячноКарта + invoiceДоговор, КП

Закладывайте +15–25% к калькулятору на egress и рост дисков.


Runbook — миграция одного сервиса в Yandex Cloud

ФазаШагиКритерий готовности
DiscoveryInventory зависимостей, DNS, secretsДиаграмма в Confluence
PilotClone staging в folder dev-migrationSmoke tests green
CutoverMaintenance window, DNS TTL 300Rollback plan подписан
ValidateLoad test, мониторинг 24 чError rate < baseline
DecommissionСтарый VPS через 7 днейBackup archived

Checklist перед cutover:

  • Snapshot БД и проверка restore;
  • Lockbox secrets скопированы, старые ключи rotated после;
  • SPF/DKIM для новых IP отправки почты;
  • FinOps alert на бюджет folder.

Runbook — инцидент недоступности региона

ШагДействие
1Подтвердить scope — один AZ или весь region
2Активировать DR runbook (passive standby или cold)
3Переключить DNS на резервный endpoint (TTL заранее снижен)
4Restore БД из cross-region backup
5Коммуникация статус-страница и клиентам
6Post-mortem — сравнение фактического RTO/RPO с планом

DR drill раз в квартал на non-prod. Для КИИ часто требуют документированный тест восстановления.


Compliance — 152-ФЗ и локализация ПДн

ОбластьТехническая мера в облаке РФПримечание
Локализация ПДнFolder и БД только в region ru-central1Проверка geo в Terraform
Учёт доступаIAM audit log → SIEMRetention по политике ИБ
ШифрованиеKMS managed keys, TLS 1.2+YC KMS, Cloud.ru KMS
Резервное копированиеSnapshot в том же legal regionCross-border backup запрещён для ПДн
Удаление по запросуПроцедура erase в ticketDPO согласует срок

Облако РФ не снимает ответственность оператора. Shared responsibility — 8.01/12. Юристы оформляют поручение на обработку ПДн с провайдером.


Compliance — КИИ и гостех

СценарийТипичное требованиеТехнический ответ
ГостехРеестр ПО, сертифицированные СЗИCloud.ru, RT Cloud образы
КИИ cat. 1–2Изоляция сегментов, журналированиеDedicated VPC, no public DB
АттестацияДокументация конфигурацииTerraform state + audit export
Запрет foreign SaaSSelf-hosted Git, мониторингGitLab on Selectel

Инженер готовит техническое описание архитектуры для аттестации. Юристы и аккредитованная лаборатория ведут процесс сертификации.


Расширенный пример — SaaS на мультиоблаке РФ

Стартап B2B держит primary в Yandex Cloud, DR в Selectel, CDN через российского провайдера.

СлойPrimaryDR
ComputeMK8s 3 AZMK8s single region
DBManaged PostgreSQL HAAsync replica + manual promote
Object StorageYC bucket + versioningSelectel bucket sync nightly
DNSGeo DNS health checkFailover to DR IP
SecretsLockboxVault self-hosted replica

Стоимость DR — ~35% от primary при cold standby. FinOps dashboard показывает cost per environment еженедельно.


Сравнение managed PostgreSQL в облаках РФ

КритерийYandex MDBVK Cloud DBaaSSelectel managed DB
HA failoverАвтоАвтоЗависит от тарифа
PgBouncerВстроенПроверять tierОпция
Point-in-time recoveryДаДаУточнять SLA
Private endpointДаДаДа
Terraform providerЗрелыйЕстьЕсть
Минимальный порогСреднийСреднийНизкий для MVP

Pilot — поднять один staging instance, прогнать pgBench и backup restore до выбора для prod.


Сравнение Ingress и балансировки

ПродуктПровайдерКогда выбирать
Application Load BalancerYandex CloudK8s Ingress + TLS termination
Cloud Load BalancerVK CloudOpenStack legacy + K8s
Self-hosted nginxЛюбой VPSPet-project, полный контроль
CDN + originSelectel, EdgeCenterСтатика, снижение egress

Для API с mTLS между сервисами ALB терминирует только edge TLS. Внутри mesh — 8.05/111.


Региональная специфика — оплата и договоры

Тип клиентаТипичная модельРекомендация
СтартапPay-as-you-go, картаYandex Cloud, Selectel
SMBInvoice + commitСравнить commit discount
Enterprise госсекторКП, реестр, NDACloud.ru, RT Cloud
Иностранный филиал в РФРублёвый договорЮридическое лицо в РФ обязательно

Закладывайте время на согласование договора 2–8 недель для enterprise. Технический pilot можно начать на pay-as-you-go параллельно.


Расширенный пример — lift-and-shift за 30 дней

НеделяЗадачаРезультат
1Inventory, Terraform modules VPCStaging folder
2Migrate stateless appsCI deploy to YC
3Managed PostgreSQL, cutover DNSProd traffic 10%
4Full cutover, decommission VPSProd 100%

Rollback window — держите старый VPS 14 дней с read-only DB replica.


Runbook — превышение квоты cloud

ШагДействие
1Alert FinOps — quota CPU/RAM/IP
2Request increase через support ticket
3Temporary scale down non-prod
4Review orphan resources — unused disks, IPs
5Post-mortem — quota planning в roadmap

Закладывайте quota headroom 30% перед Black Friday и batch jobs.


Сравнение backup managed DB

КритерийYandex MDBVK DBaaSSelf-managed on VPS
Automated backupDaily + PITRDailyВы настраиваете
Cross-region copySame region policyCheck SLAManual rsync
Restore testQuarterly drillQuarterly drillОбязательно
RPO типичный5–15 min15–30 minЗависит от cron
Ops burdenНизкийНизкийВысокий

Restore test обязателен — backup без проверенного restore не считается backup.


Compliance — трансграничная передача

ДанныеРазрешеноЗапрет
ПДн граждан РФХранение в РФPrimary DB в EU/US
Обезличенные метрикиAggregated exportRaw logs с IP
BackupSame legal regionCross-border snapshot
Support ticketVendor DPA РФForeign без DPA

При мультиоблаке — metadata в РФ, приложение stateless может burst abroad только без ПДн в payload.


Runbook — Object Storage bucket accidentally public

ШагДействие
1Block public ACL immediately
2Audit access logs — suspicious GET
3Rotate keys для affected integrations
4Scan bucket listing — PII exposure
5Notify DPO if ПДн affected
6Policy-as-code deny public buckets

Terraform aws_s3_bucket_public_access_block equivalent — включите на уровне org policy YC/VK.


Связанные материалы


Содержание