Nuvem¶

Esta página reúne o que é computação em nuvem, como contratar, quanto custa, como se organizam identidade, computação, armazenamento, rede, monitoração e segurança — sempre pensando em conceitos que existem em qualquer provedor (AWS, Azure, Google Cloud, Oracle, Huawei, Alibaba, IBM). Os nomes dos produtos mudam; a ideia por trás deles, não. Para detalhes específicos da AWS, veja AWS.

O que é computação em nuvem¶

A definição mais usada vem do NIST (órgão de padrões dos EUA): computação em nuvem é um modelo que permite acesso via rede, de forma conveniente e sob demanda, a um conjunto compartilhado de recursos configuráveis (redes, servidores, armazenamento, aplicações, serviços) que podem ser provisionados e liberados rapidamente, com o mínimo de esforço de gerenciamento.

Definição: nuvem (NIST)

Recursos de computação consumidos como serviço: o cliente pede (por console web, linha de comando ou API), usa e paga pelo que consumiu, sem comprar nem operar o hardware. Por trás, o provedor mantém datacenters em vários países, com recursos compartilhados e virtualizados.

Despesa de capital x despesa operacional¶

Montar um datacenter próprio custa muito mais do que servidores: imóvel, energia, refrigeração, redundância (energia, links, armazenamento), segurança física e de rede, mobiliário e equipe especializada. É o custo total de propriedade (TCO). A nuvem troca esse investimento por consumo.

Definição: CapEx x OpEx

CapEx (Capital Expenditures): investimento antecipado em ativos (comprar servidores, montar datacenter). OpEx (Operational Expenditures): gasto recorrente conforme o uso (aluguel, assinatura, consumo). Nuvem pública desloca o gasto de CapEx para OpEx — a analogia é a água e a energia: consumimos sem operar estação de tratamento nem usina.

Vantagens¶

Vantagem	O que significa
Alcance	Replicar a aplicação para outras regiões/continentes em minutos, ou usar cache distribuído, para ficar perto do usuário
Agilidade	Provisionar recursos em minutos (console ou código), aproveitando janelas de oportunidade
Economia	Troca custo fixo por variável; o provedor repõe tecnologia obsoleta sem custo extra ao cliente
Elasticidade	Aumentar ou reduzir a infraestrutura conforme a demanda real (automática, por evento ou programada), em vez de dimensionar para o pico teórico

Tipos de implantação¶

Tipo	Quem usa/possui	Típico
Pública	O provedor é dono de toda a infraestrutura; qualquer cliente pode usar	Empresas, órgãos de governo, universidades
Privada	Uma única organização é dona, responsável e usuária	Aproveitar infraestrutura legada, conformidade; softwares como OpenStack e Apache CloudStack montam uma nuvem privada
Comunitária	Grupo de entidades com interesses comuns	Federação de nuvens privadas de instituições parceiras
Híbrida	Combinação de dois ou mais tipos	Parte on-premises, parte no provedor; expansão sob demanda

Região e zona de disponibilidade¶

Os provedores mantêm datacenters espalhados pelo mundo e ligados por uma malha de links próprios, sem passar pela internet pública.

Definição: região e zona de disponibilidade (AZ)

Região é a presença do provedor em uma localidade (por exemplo, "São Paulo" ou "Santiago"). Zona de disponibilidade (AZ) é um agrupamento de datacenters dentro da região, com energia, refrigeração, segurança física e links redundantes e de baixa latência entre si. Distribuir a aplicação em várias AZs (Multi-AZ) elimina pontos únicos de falha — mas multiplica o custo na mesma proporção.

flowchart TB
    subgraph R[Região: São Paulo]
        AZ1[AZ 1<br/>datacenters] --- AZ2[AZ 2<br/>datacenters] --- AZ3[AZ 3<br/>datacenters]
    end
    R <-->|backbone do provedor| R2[Região vizinha]
    U[Usuário] -->|menor latência| R

Fatores para escolher a região:

Latência: quanto mais perto do usuário, melhor a experiência.
Conformidade: certas organizações (como órgãos federais brasileiros) só podem usar provedores com infraestrutura e representação oficial no país, por soberania de dados e legislação.
Custo: o mesmo serviço pode custar muito mais numa região (por tributos) do que em outra próxima.
Disponibilidade de serviços: nem todo serviço novo chega a todas as regiões ao mesmo tempo.

Modelos de contratação de nuvem¶

Contratar um serviço de nuvem não é uma decisão de "tudo ou nada" — existem níveis diferentes de quanto da infraestrutura o provedor assume, e quanto fica sob responsabilidade de quem contrata.

Modelo	Sigla	O provedor de nuvem entrega
On-Premises	On Prem	Nada — a empresa monta e mantém sua própria infraestrutura interna, sem contratar fornecedor de nuvem nenhum.
Infrastructure as a Service	IaaS	A máquina (servidor virtual) — a conexão e tudo que roda nela é responsabilidade de quem contrata.
Platform as a Service	PaaS	Uma plataforma de desenvolvimento pronta, abstraindo completamente o conceito de "máquina" — quem contrata só entrega o código, a plataforma cuida do resto (deploy, escalonamento, ...).
Software as a Service	SaaS	Uma aplicação completa e pronta para uso — a única personalização possível é configuração da própria aplicação, não do código por trás dela.

Definição: Quanto mais alto o nível, menos controle (e menos responsabilidade)

A progressão On-Prem → IaaS → PaaS → SaaS troca controle por conveniência: On-Prem dá controle total (e exige cuidar de tudo, do hardware para cima); SaaS não exige cuidar de nada de infraestrutura, mas também não permite customizar nada além do que a aplicação já oferece pronta. A escolha depende do quanto a equipe precisa (ou quer) controlar cada camada.

O modelo PaaS foi pioneiro por provedores como o Heroku, antes mesmo de gigantes como Amazon ou Google consolidarem suas próprias ofertas de nuvem — um lembrete de que boa parte dos padrões usados hoje em plataformas cloud native não nasceu nas maiores empresas do setor.

Modelo de responsabilidade compartilhada¶

Em nuvem pública, a gestão é dividida entre provedor e cliente, e a divisão muda conforme o modelo de serviço:

Camada	On-premises	IaaS	PaaS	SaaS
Hardware, virtualização, datacenter	Cliente	Provedor	Provedor	Provedor
Sistema operacional, patches	Cliente	Cliente	Provedor	Provedor
Plataforma/runtime, banco de dados	Cliente	Cliente	Provedor	Provedor
Aplicação e código	Cliente	Cliente	Cliente	Provedor
Dados, identidades e acessos	Cliente	Cliente	Cliente	Cliente

A conformidade que o provedor tem (ISO 27001, PCI DSS etc.) vale só para as camadas dele. Tudo acima — dados, acessos, configuração, segurança da aplicação — continua sendo do cliente.

Duas formas de migrar para a nuvem, com impactos diferentes:

Lift and shift (rehosting): levar a aplicação como está, sem mudar arquitetura. Rápido e simples, mas aproveita pouco os recursos da nuvem e mantém a equipe responsável por quase tudo acima da virtualização.
Cloud native: aplicações desenhadas para a nuvem (microsserviços, contêineres, serviços gerenciados, elasticidade). Dão mais retorno, mas exigem redesenho.

Quanto custa: precificação¶

Todo provedor oferece uma calculadora de preços (pricing calculator) para simular o custo antes de contratar. Aprender a usá-la é obrigação de quem projeta nuvem: dá para comparar regiões, modalidades de pagamento e até provedores (estratégia multicloud, que também pode buscar alta disponibilidade, recuperação de desastres e redução de lock-in).

Modalidade	Como funciona	Quando usar
Pay-per-use (sob demanda)	Paga por hora/segundo, preço de tabela, sem compromisso	Cargas imprevisíveis, provas de conceito
Instância reservada / plano de economia	Compromisso de 1 a 3 anos em troca de desconto (frequentemente acima de 50%)	Carga estável e previsível, depois de validada
Spot / preemptível (complemento)	Capacidade ociosa com grande desconto, mas que pode ser retomada	Tarefas tolerantes a interrupção (lotes, processamento)

Pontos de atenção:

O custo de uma máquina é a soma dos serviços básicos: computação + disco + (se houver) IP público e tráfego. Um recurso opcional como o IP elástico pode multiplicar o valor mensal de uma instância pequena.
A mesma instância custa mais ou menos conforme a região; às vezes vale usar uma região vizinha mais barata, se não houver exigência legal de ficar no país e depois de medir a latência (benchmark).
Replicar em várias AZs ou regiões aumenta o custo na mesma proporção.
Revisitar as instâncias periodicamente (excelência operacional e otimização de custos) e automatizar essa verificação conforme a infraestrutura cresce — prática hoje chamada de FinOps (veja SRE).

Identidade e acesso (IAM)¶

O primeiro passo é criar uma conta no provedor; ela é o "guarda-chuva" de todos os recursos. O usuário inicial, o usuário root, tem poder irrestrito.

Definição: autenticação, autorização e auditoria

Autenticação: provar quem você é (usuário e senha, MFA, chave, biometria). Autorização: o que você pode fazer depois de autenticado, definido por políticas. Auditoria: registro de quem fez o quê, para investigar incidentes.

Definição: IAM e princípio do privilégio mínimo

IAM (Identity and Access Management) é o serviço que cria usuários, grupos e políticas de permissão. Privilégio mínimo: conceder só as permissões estritamente necessárias para a tarefa.

Boas práticas, em ordem:

Proteger o root (senha forte + MFA) e usá-lo só para ações pontuais (cobrança, fechamento da conta); o dia a dia é feito por outro usuário.
Criar um usuário administrador e passar a usar o login de usuário IAM (conta + usuário + senha).
Agrupar usuários por função (infraestrutura, desenvolvimento, auditoria) e atribuir políticas ao grupo, não ao usuário individual — fica mais simples e menos sujeito a erros que quebram o privilégio mínimo.
Escolher políticas pré-definidas e granulares (por exemplo, "acesso total só ao serviço de máquinas virtuais" em vez de acesso total a tudo) e definir o escopo (projeto, região).
Distinguir o tipo de acesso: console (pessoas) x programático (scripts e aplicações via API, CLI ou SDK, com chaves de acesso).
Dar acesso temporário a quem não é do quadro (auditores, consultores).
Usar nomes significativos e tags (rótulos chave-valor) em todos os recursos, para filtrar e operar em lote.

Computação¶

Qualquer provedor oferece três famílias de serviços de computação.

Máquinas virtuais (virtualização)¶

São a porta de entrada: servidores virtuais sob demanda. Para criar uma instância, o assistente pede:

Parâmetro	Observação
Região e AZ	Considerar custo, latência e conformidade; Multi-AZ para alta disponibilidade
Modalidade de pagamento	Sob demanda para validar; reservada depois
Tipo de instância	Perfis por uso (propósito geral, otimizada para CPU, memória, GPU/IA, rede) com vCPUs e RAM definidos
Imagem	Sistema operacional pronto, mantido pelo provedor, ou imagem própria customizada
Disco	Tipo (SSD/HD) e IOPS compatíveis com a carga
Rede	VPC, sub-rede, grupo de segurança (portas liberadas) e IP elástico se necessário
Acesso remoto	Par de chaves (não senha)
Nome, tags, acesso temporário	Organização e governança

Definição: snapshot e imagem

Snapshot: "fotografia" de um volume em um instante. Imagem: snapshot de um sistema operacional homologado, restaurável como disco de boot — é por isso que uma máquina fica pronta em minutos, sem instalar o sistema do zero. O cliente pode criar imagens derivadas das públicas, com as customizações que quiser.

Sobre o acesso remoto: com senha, qualquer um que descubra o endereço pode tentar força bruta, especialmente contra o usuário root, cujo nome é público. Por isso o padrão dos provedores é chave SSH (par chave pública/privada) com login por senha desabilitado. Quando senha for inevitável, exija MFA.

Contêineres¶

Contêineres e microsserviços combinam com nuvem (veja Containers e Docker e Microsserviços): ambientes reprodutíveis, início em segundos (um contêiner sobe na velocidade de um processo; uma VM precisa iniciar um sistema operacional inteiro) e escalabilidade rápida. Em produção é preciso orquestrador, e a grande vantagem da nuvem é oferecer Kubernetes gerenciado: o provedor opera o cluster, e a aplicação ganha balanceamento, elasticidade e alta disponibilidade nativos. Complementam o serviço um registry privado de imagens (baixa latência, permissões e tráfego dentro do provedor), integração com pipelines de CI/CD (CI/CD) e a possibilidade de nuvem híbrida, com nós do mesmo cluster no provedor e no datacenter próprio.

Computação orientada a eventos (serverless)¶

Em serverless a pessoa não provisiona nem gerencia servidor: uma função é executada quando um evento acontece, e o provedor cuida de disponibilidade e escala. Exemplo clássico: ao subir uma foto em um bucket de armazenamento, o evento dispara uma função que gera miniaturas — sem nenhuma máquina ligada esperando. Não serve para qualquer aplicação (execuções de longa duração, controle fino do ambiente), mas é ótimo para processamentos pontuais disparados por eventos (veja Arquitetura Orientada a Eventos).

Armazenamento¶

Antes de escolher, descubra quais dados vão para a nuvem e como o uso muda no tempo: no início são consultados muito (dados "quentes"), depois ficam em repouso, depois só precisam ser arquivados por conformidade e, por fim, excluídos conforme a política de segurança da informação. Dois números guiam o custo: quantos GB armazenar e quantos GB saem (tráfego de saída é cobrado; o de entrada, em geral, não).

Tipo	Como é acessado	Características	Uso típico
Blocos	Volume anexado a uma instância, como um disco	Alto desempenho, escolha entre HD/SSD e IOPS, redimensionável (e o sistema de arquivos precisa ser estendido dentro do SO), criptografia, backup e snapshot	Disco de sistema, banco de dados
Arquivos	Sistema de arquivos de rede, montado por várias instâncias ao mesmo tempo (NFS/SMB)	Compartilhamento, redimensionamento sem parada	Conteúdo estático para vários servidores web, diretórios compartilhados
Objetos	API HTTP; dados em buckets (repositórios com nome único)	Capacidade virtualmente ilimitada, gerenciado pelo provedor, versionamento, classes de armazenamento, site estático	Backups, arquivos de mídia, data lake, dados para IA

Definição: bucket e classes de armazenamento

Bucket é o contêiner de objetos no armazenamento de objetos; o nome é único e costuma seguir um domínio DNS. Classes de armazenamento são perfis de custo/desempenho: padrão (acesso frequente), acesso infrequente (armazenamento mais barato, leitura cobrada) e arquivo/archive (muito barato, acesso lento e raro, ideal para backup de longo prazo). Regras de ciclo de vida movem objetos entre classes automaticamente.

Snapshot x backup: o backup mantém cópias recuperáveis dos arquivos (totais ou incrementais) em repositório confiável; o snapshot é uma imagem completa do volume num instante, tipicamente tirada antes de uma operação arriscada para poder voltar atrás. Um não substitui o outro (para estratégias de backup de banco, veja Administração de banco).

Para volumes enormes (de dezenas de TB a petabytes), a transferência pela internet é inviável; os provedores oferecem migração em massa por dispositivos físicos enviados ao cliente e devolvidos com os dados. Tenha em mente também que sair do provedor custa tráfego de saída — uma das fontes de lock-in (seção final).

Rede¶

Planeje a topologia de rede antes de criar recursos — como em qualquer datacenter.

Definição: VPC e sub-rede

VPC (Virtual Private Cloud, chamada VNet na Azure e VCN na Oracle) é uma rede privada virtual isolada dentro do provedor, com um espaço de endereços privados definido pelo cliente (bloco CIDR, como 10.0.0.0/16). Esse bloco é dividido em sub-redes, cada uma com tabela de roteamento e ao menos uma rota (a rota padrão, 0.0.0.0/0). Há uma VPC padrão por região; o cliente pode criar outras para isolar projetos.

Cuidados práticos: faixas privadas padrão são 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16; na maioria dos provedores a VPC é no máximo /16; as faixas não podem se sobrepor se for conectar VPCs ou redes locais; e existem cotas (por exemplo, número de VPCs por conta). Veja os fundamentos em Redes.

Por padrão, uma VPC não conversa com a internet nem com outras VPCs. Os serviços de conectividade são:

Serviço	Para que serve
Internet Gateway	Acesso à internet nos dois sentidos para sub-redes públicas (rota `0.0.0.0/0` apontando para ele)
NAT Gateway	Acesso à internet só de saída para recursos privados (baixar patches), compartilhando um IP público
IP elástico (EIP)	IP público fixo, que pode ser movido entre instâncias. O IP público dinâmico muda quando a instância é parada; reiniciar não muda
IP virtual	IP de serviço compartilhado por duas instâncias (principal e standby) para failover sem ter dois servidores ativos o tempo todo
VPN (host-to-site, site-to-site)	Túnel criptografado pela internet entre a nuvem e o notebook/ datacenter do cliente; base da nuvem híbrida; bom para testes
Conexão dedicada (Direct Connect)	Fibra dedicada ao provedor, com alta banda e baixa latência; recomendada para uso diário em nuvem híbrida (depende de parceiros na região)
VPC Peering	Liga duas VPCs para que se comuniquem de forma privada

flowchart LR
    I((Internet)) --> IGW[Internet Gateway]
    subgraph VPC[VPC 10.0.0.0/16]
        subgraph PUB[Sub-rede pública]
            WEB[Servidor web<br/>IP elástico]
        end
        subgraph PRV[Sub-rede privada]
            APP[Aplicação]
            DB[(Banco de dados)]
        end
    end
    IGW <--> WEB
    WEB --> APP --> DB
    APP -->|somente saída| NAT[NAT Gateway] --> I
    VPC <-->|VPN / conexão dedicada| ONP[Datacenter próprio]

Monitoração e auditoria¶

Em nuvem, a monitoração é um serviço integrado ao restante (complementando o que está em SRE):

Infraestrutura: o provedor coleta automaticamente métricas básicas das instâncias (CPU, rede, disco); métricas do sistema operacional (memória, processos) exigem um agente instalado — muitas imagens já o trazem. Defina quais métricas observar e quais faixas são críticas.
Alarmes: gatilhos disparados por uma condição que persiste por um tempo mínimo (por exemplo, disco com 50% usado → avisar; CPU acima de 60% por 5 minutos → acionar ação). Esperar a persistência evita reagir a um pico isolado. O alarme pode notificar pessoas ou acionar o escalonamento automático.
Logs de serviços: com vários servidores, os logs ficam espalhados; serviços de log centralizado coletam, indexam, permitem busca e geram alarmes por palavra-chave.
Auditoria de usuários: como cada ação no console ou na API é uma chamada autenticada, o provedor registra quem fez, o quê, quando e de onde. Isso garante o não repúdio (a pessoa não pode negar que executou a ação) e permite investigar incidentes.

Serviços gerenciados¶

Quanto mais o provedor assume, menor o custo operacional — equipes de infraestrutura, banco de dados e segurança continuam necessárias em IaaS/lift and shift, o que pode inviabilizar uma startup. Nos serviços totalmente gerenciados (PaaS e SaaS), o cliente cuida só das camadas de cima.

O exemplo canônico é o banco de dados relacional gerenciado (RDS, Cloud SQL, Azure SQL…). Em vez de instalar o SGBD numa VM e cuidar de logs, alta disponibilidade, backup, restauração e escala, o cliente escolhe o engine (MySQL, PostgreSQL, MariaDB, SQL Server) e recebe:

Isolamento em sub-redes privadas com grupos de segurança restritos;
Backups automáticos diários e manuais, com retenção configurável (de dias a cerca de dois anos), guardados em armazenamento de objetos; restauração para um instante dentro do período, para a instância toda ou só tabelas;
Alta disponibilidade: uma réplica standby recebe cada escrita de forma síncrona; se a principal falha, o IP de serviço passa para a réplica automaticamente (verificação de saúde periódica), sem a aplicação trocar o endereço;
Réplicas de leitura (read replicas) para aliviar o banco quando há muita consulta, com um proxy que envia escritas ao cluster principal e leituras às réplicas;
Ferramentas de migração de bancos on-premises para a nuvem.

Existem equivalentes para bancos não relacionais (DynamoDB, Cosmos DB, Bigtable…; veja NoSQL). O custo disso é maior lock-in (próxima seção).

Segurança e conformidade¶

Não existe "bala de prata": segurança em nuvem é uma soma de camadas, com responsabilidade compartilhada e normas como HIPAA (saúde), PCI DSS (cartões) e ISO 27001 (gestão de segurança da informação).

Definição: tríade CID (CIA)

Confidencialidade (só quem deve acessa a informação), Integridade (a informação não é alterada indevidamente) e Disponibilidade (o recurso está acessível quando necessário). Toda ferramenta de segurança atende a um ou mais desses princípios. (Mais em Segurança.)

Camadas de proteção de rede:

Camada	Escopo	Comportamento
VPC	Rede inteira	Isolamento lógico do restante do mundo
Grupo de segurança	Instância	Política fechada: nada entra sem regra permitindo (origem, protocolo, porta). Stateful (a resposta de uma conexão permitida volta sozinha)
ACL de rede	Sub-rede	Filtra o tráfego de todas as instâncias da sub-rede

As camadas se somam. Para acesso remoto, prefira chaves a senhas e ative MFA.

Alta disponibilidade e escalabilidade:

Redundância torna o sistema resiliente a falhas, não infalível — é preciso prever a recuperação.
Duas estratégias: réplica ociosa usada só na falha (standby, mais barata; típica de banco com replicação síncrona e IP virtual com protocolos como o CARP) ou cluster ativo com balanceador de carga distribuindo requisições entre nós saudáveis.
Escala vertical (trocar CPU/RAM por maiores, com parada e limite físico) x escala horizontal (adicionar réplicas idênticas): a nuvem prioriza a segunda, a elasticidade.
Auto Scaling: o monitoramento dispara regras como "CPU média acima de 60% por X minutos → adicionar nó" e "abaixo de Y → remover nó", mantendo o número ideal de instâncias e o custo proporcional ao uso.

flowchart LR
    U[Usuários] --> LB[Balanceador de carga]
    LB --> N1[Nó 1]
    LB --> N2[Nó 2]
    LB --> N3[Nó N]
    M[Monitoração<br/>CPU média] -. alarme .-> AS[Auto Scaling]
    AS -. adiciona / remove .-> N3

Criptografia e chaves: proteja dados em trânsito (TLS/VPN) e em repouso (discos, buckets, backups). Um serviço de gerência de chaves (KMS) cria e guarda chaves; o cliente pode gerenciar as próprias chaves ou delegá-las ao provedor — escolha que pode esbarrar em exigências de conformidade. (Teoria de criptografia em Segurança.)

Appliances e serviços de segurança do provedor (muitos vendidos num marketplace, permitindo reaproveitar soluções que a equipe já conhece):

WAF (Web Application Firewall): inspeciona tráfego HTTP/HTTPS e bloqueia os ataques mais comuns do ranking OWASP (injeção, XSS), mesmo se a aplicação ainda tiver falhas.
Segurança de host: agente instalado no servidor que detecta comportamento suspeito e vulnerabilidades, com alarmes.
Anti-DDoS: absorve ataques de negação de serviço distribuídos; aumentar a infraestrutura sob ataque só geraria custo sem atender usuários reais.

Equivalências entre provedores¶

Os conceitos se repetem com nomes diferentes. Os principais:

Categoria	AWS	Azure	Google Cloud	Oracle (OCI)	Huawei Cloud	Alibaba Cloud
Máquina virtual	EC2	Virtual Machines	Compute Engine	Compute	ECS	ECS
Armazenamento em blocos	EBS	Managed Disks	Persistent Disk	Block Volume	EVS	Block Storage
Armazenamento de arquivos	EFS	Azure Files	Filestore	File Storage	SFS	NAS
Armazenamento de objetos	S3	Blob Storage	Cloud Storage	Object Storage	OBS	OSS
Rede privada	VPC	Virtual Network	VPC	VCN	VPC	VPC
Monitoramento	CloudWatch	Azure Monitor	Cloud Monitoring	Monitoring	Cloud Eye	Cloud Monitor
Auditoria de usuários	CloudTrail	Activity Log	Cloud Audit Logs	Audit	CTS	ActionTrail
Banco relacional gerenciado	RDS, Aurora	Azure SQL	Cloud SQL	Autonomous Database	RDS, GaussDB	ApsaraDB RDS, PolarDB
Banco NoSQL gerenciado	DynamoDB	Cosmos DB	Bigtable	NoSQL Database	Document Database Service	ApsaraDB
Função serverless (complemento)	Lambda	Functions	Cloud Functions	Functions	FunctionGraph	Function Compute
Kubernetes gerenciado (complemento)	EKS	AKS	GKE	OKE	CCE	ACK

Lock-in e building blocks¶

Ao escolher um provedor, avalie o lock-in: o quanto a aplicação e o negócio dependem dele. Pesam o volume de dados (difícil e caro de transferir; muitos provedores não cobram a entrada, mas cobram a saída de dados e a banda) e o código a reescrever para trocar serviços gerenciados (filas, caches, bancos proprietários). Para reduzir o risco, desenhe a arquitetura com building blocks comuns — máquinas virtuais, balanceadores de carga, volumes de armazenamento e imagens — que têm equivalentes em todos os provedores (por exemplo, o balanceador chama-se ELB na AWS e Traffic Manager no Azure), e mantenha um plano do pior caso (migrar para outro provedor ou para infraestrutura própria). Detalhes, deploy blue/green e infraestrutura como código em CI/CD.