Skip to content

超越遠端監控管理:為什麼託管服務提供者需要真正的分層安全

RMM 的迷思:為什麼託管服務供應商 (MSP) 必須進化其安全堆疊

重點摘要

  • 虛假的安全感:RMM 平台的設計初衷是為了維運衛生 (operational hygiene),而非全面的威脅偵測。
  • 攻擊表面已轉移:網路犯罪分子現在完全繞過端點,將目標集中在雲端基礎架構、身分識別與電子郵件上。
  • 獵人成為獵物:由於具備大規模的特權存取權限,RMM 工具現在已成為供應鏈攻擊的首要目標。
  • 缺失的環節:真正的保護需要分層式的方法,以 EDR、ITDR 和雲端原生安全協定來擴充 RMM 的不足。

RMM「內建」安全性的真相

對大多數託管服務供應商 (MSP) 而言,遠端監控與管理 (RMM) 平台是日常維運的核心。隨著時間推移,這些平台吸收了基本的安全功能:防毒軟體部署、修補程式管理、腳本自動化以及基準策略檢查。雖然這些功能非常實用,但這種綑綁卻製造了一種安全性已「被妥善處理」的危險錯覺。

殘酷的事實是,這些功能植根於 IT 維運,而非網路安全。它們擅長確保裝置得到更新與正確設定。然而,對於被劫持的 Microsoft 365 工作階段、複雜的商務電子郵件入侵 (BEC) 活動,或是暗網上流傳的遭竊憑證,它們卻完全視而不見。RMM 安全性只是一個衛生層,而非主動的防禦機制。

如今 RMM 顯得不足的三個原因

1. 現代攻擊鏈中的盲點

當今的威脅份子很少會費心去破解已經嚴密修補的端點,因為他們可以直接「登入」。根據微軟 2025 年數位防禦報告,以身分為中心的攻擊激增了 32%,其中基於密碼的攻擊佔了驚人的 97%。由於 RMM 本質上是以裝置為中心,當攻擊者在雲端租戶中操縱電子郵件轉寄規則或繞過 MFA 時,MSP 會完全無法察覺。

2. 不斷升級的合規性與保險要求

監管與保險環境已發生了根本性的轉變。SOC 2 和 HIPAA 等框架,以及網路保險核保人,現在都要求提供主動偵測與回應能力的具體證明。僅僅在「修補程式管理」的方格裡打勾已經不夠了。未能實施進階控制措施可能會帶來災難性的後果;IBM 的 2025 年資料外洩成本報告指出,美國的平均外洩成本高達 1,022 萬美元——這對大多數中小企業 (SMB) 來說無疑是敲響了喪鐘。

3. 跨媒介關聯分析的需求

RMM 缺乏將各個點連結起來的能力。一次複雜的攻擊可能始於一封釣魚郵件,接著轉向被入侵的身分,最後以惡意負載 (payload) 結束。由於 RMM 僅監控裝置,它們迫使安全團隊只能調查攻擊中孤立的片段。真正的防禦需要多租戶的能見度,在感染擴散之前關聯所有環境中的事件。


RMM 漏洞的矛盾

諷刺的是,MSP 用來保護客戶的工具,竟成了一個利潤豐厚的攻擊媒介。入侵單一客戶只是小勝;但入侵 MSP 的 RMM,就等於拿到了通往整個王國的鑰匙。

  • 2026 年 Verizon DBIR (資料外洩調查報告) 指出,威脅份子武器化 RMM 工具的比例出現了驚人的 240% 年增率,而傳統惡意軟體的使用量則下降了 27%。
  • 供應鏈的數學題:入侵一個 MSP 工具,可能會產生數十個或數百個下游受害者。
  • 披著合法的外衣:RMM 代理程式在白名單內且備受信任。當駭客劫持它們時,其惡意活動會無縫融入正常的管理流量中,毫不費力地繞過傳統的安全掃描。

了解結構性缺陷

安全漏洞根本原因現實世界的風險
基本的端點偵測綑綁的防毒軟體依賴過時的特徵碼模型,缺乏針對無檔案攻擊 (fileless attacks) 的行為分析。現代勒索軟體能繞過這些檢查,而不會觸發任何單一警報。
零身分威脅偵測RMM 監看的是硬體,而非人類行為或 SaaS 登入。帳戶接管與權杖 (token) 竊取在造成損害之前都未被察覺。
缺乏電子郵件安全防護電子郵件流量存在於 RMM 的架構範圍之外。釣魚郵件與 BEC 攻擊毫無阻礙地滑入使用者的收件匣。
無自動化事件回應RMM 可以產生警報,但無法調查或關聯攻擊鏈。引發警報疲勞 (alert fatigue),且威脅的遏制完全依賴緩慢的人工介入。

分層防禦的藍圖

不應拋棄 RMM——而是必須擴充它們。一個穩健、現代的安全態勢,會在裝置管理工具留下的盲點上,疊加專門的防禦措施:

  • 端點偵測與回應 (EDR):超越特徵碼,即時監控處理程序行為與記憶體,並在瞬間隔離受感染的機器。
  • 身分威脅偵測與回應 (ITDR):拼圖中缺失的一塊。ITDR 分析雲端工作空間中的登入模式與權限變更,及早揪出憑證濫用行為。
  • API 驅動的電子郵件安全防護:在郵件環境內部,於使用者看到之前,就攔截釣魚與冒充企圖。
  • 雲端資料與足跡監控:掃描設定錯誤的 SaaS 應用程式、暴露的檔案,以及在暗網中流傳的遭竊憑證。

Guardz 的優勢:專為 MSP 打造的統一安全防護

為了解決工具碎片化的問題,Guardz 提供了一個專為 MSP 設計的統一、代理式 (agentic) 安全平台。它不會取代您的 RMM;它是補足 RMM。

  • 企業級的強大效能:具備原生整合的 SentinelOne Singularity EDR、適用於 M365/Google Workspace 的 ITDR,以及由 Check Point 驅動的電子郵件安全防護。
  • 代理式 AI 分流 (Agentic AI Triage):使用 AI 關聯端點、電子郵件和雲端資料間的訊號,消除警報疲勞,僅升級已驗證的威脅。
  • 單一管理介面 (Single Pane of Glass):從一個直覺、多租戶的儀表板管理您整個客戶群。
  • 24/7 MDR 與事件工作流程:自動描繪完整的攻擊鏈,並有 24/7 全天候 SOC 分析師團隊作為後盾,隨時準備立即遏制威脅。
  • 內建的人為防禦:自動化的資安意識培訓與 AI 生成的釣魚模擬,讓終端使用者保持警覺與責任意識。

透過採用全面的分層策略,MSP 可以充滿信心地保護其客戶的身分、收件匣與雲端資料,將其安全服務從基本的衛生檢查表轉變為堅不可摧的堡壘。

關於 Guardz

Guardz 為管理服務提供商 (MSP) 和 IT 專業人士提供一個人工智能驅動的網絡安全平台,專門設計來保護小型企業免受網絡攻擊。我們的統一檢測與響應平台能夠全面保護用戶、電子郵件、設備、雲端目錄和數據。透過簡化網絡安全管理,我們讓企業能夠專注於發展業務,同時減少安全管理的複雜性。Guardz 結合強大的網絡安全技術和豐富的專業知識,確保安全措施持續受到監控、管理和改進,預防未來的攻擊並降低風險。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

2026年影子人工智慧治理指南

駕馭影子 AI 治理:2026 年買家指南

總覽:隨著企業在 2026 年評估影子 AI 治理解決方案,了解各平台之間的架構差異至關重要。本指南剖析了領先的選項,強調它們的運作方式以及各自的優勢所在,讓您能做出明智且由數據驅動的決策。

2026 年市場領導者

目前在影子 AI 治理領域的頂尖競爭者包含 dope.security、Zscaler、Netskope、Palo Alto 與 Cisco Umbrella。雖然每個平台的設計都是為了揭露 AI 使用情況並執行組織策略,但它們根本的分歧點在於資料檢查「在哪裡」實際發生。舉例來說,dope.security 直接在端點處理資料(一種「直飛 (fly direct)」的方法),而競爭對手則依賴基於雲端的檢查或 DNS 層級的過濾。

真正 AI 治理的三大支柱

要被視為完整的影子 AI 治理解決方案,平台必須成功執行三個核心功能:

  • 全面的探索 (Comprehensive Discovery):它必須偵測環境中使用的每一個 AI 應用程式,並準確區分個人帳戶與企業授權的租戶。
  • 細緻的存取控制 (Granular Access Control):它必須具備在單一工具層級上,允許企業登入同時封鎖個人帳戶存取的能力。
  • 資料保護 (DLP):它必須在提示詞與檔案上傳中,主動攔截敏感資訊(如 PII、PCI、PHI 與智慧財產權),且必須在這些資料接觸到 AI 模型「之前」進行。

架構比較:頂尖工具的優劣分析

AI 治理工具的底層架構決定了它的速度、隱私性與有效性。以下是主要參與者的比較:

平台檢查點 (Inspection Point)帳戶層級控制(個人 vs. 企業)
dope.security裝置端 (端點) – 直接連線,零回傳 (zero backhauling)。是(透過雲端應用程式控制)
Zscaler & Netskope雲端 – 流量會回傳至供應商的資料中心。是
Palo Alto網路路徑 (Network Path) – 主要依賴網路層級的檢查。視配置而定
Cisco UmbrellaDNS 層 – 只能看到網域,無法看見提示詞/帳戶。否(無法區分同一網域上的不同帳戶)

關鍵功能深入探討

1. 強制僅限企業版 ChatGPT 存取

組織通常希望封鎖個人版 ChatGPT 的使用,同時允許其付費的企業執行個體。dope.security、Zscaler 與 Netskope 能夠成功區分帳戶以執行此規則。Cisco Umbrella 在這方面則力有未逮;因為它基於 DNS 的方法只會記錄頂級網域(個人和企業 ChatGPT 共用同一網域),所以它無法區分使用者帳戶。dope.security 直接在裝置上處理此問題,在不到一分鐘內將執行策略同步到整個設備機隊。

2. 無需雲端繞道的提示詞安全防護

如果資料隱私是首要考量,您必須考慮您的 AI 提示詞是在哪裡被檢查的。傳統的雲端 SWG(安全網頁閘道)會在他們自己的資料中心內解密並分析您的流量。dope.security 消除了這種繞道。它使用其 Dopamine DLP 引擎,透過零保留 API (zero-retention APIs) 直接在本地裝置上對提示詞和上傳內容進行分類,在敏感資料離開端點之前就阻斷其傳輸。

3. 瀏覽器之外:保護桌面應用程式與 IDE

影子 AI 不僅僅發生在網頁瀏覽器中。使用者也會利用原生桌面客戶端(如 ChatGPT 或 Claude Desktop)、IDE 程式碼助手以及 API 腳本。瀏覽器擴充功能與 DNS 工具對這些活動幾乎是盲目的。雲端 SWG 可以管理它,前提是它們的代理程式成功地將該特定流量引導到它們的雲端。dope.security 透過直接在作業系統的網路層執行策略,在源頭擷取並解密支援應用程式的流量,原生地覆蓋了這些應用程式。

結論:選擇正確的平台

在選擇您的影子 AI 治理工具時,請問自己三個關鍵問題:

  1. 您希望提示詞在使用者的裝置上進行本地檢查,還是您可以接受將它們路由到供應商的雲端?
  2. 允許企業 AI 執行個體同時封鎖個人帳戶,是否為嚴格的需求?
  3. 考慮到影子 AI 蔓延的爆炸性速度,您需要多快完成部署?

整體最佳推薦:如果您的優先考量是極速的部署、嚴格的單一工具帳戶控制,以及透過裝置端檢查實現毫不妥協的資料隱私,dope.security 脫穎而出成為 2026 年的首選。藉由在單一控制台中提供 AI 探索、雲端應用程式控制與 Dopamine DLP——且無需代理伺服器繞道——它提供了最簡化且最安全的治理體驗。

親身體驗裝置端的 AI 治理

立即掌控您的環境。發掘每一個 AI 應用程式,將使用權限鎖定在已核准的企業帳戶,並直接在端點上阻止敏感資料外洩。

 

關於 Dope Security

這是一套全面的安全解決方案,旨在保護個人與企業組織免於各種網路威脅和漏洞。Dope Security 專注於主動式防禦和先進技術,提供一系列功能與服務,以保護敏感資料、系統和網路的安全。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

Penta Security WAF 市場勝利

2025-12-09  Real-time log encryption is now essential because logs contain sensitive data and serve as blueprints for sophisticated attackers like APTs and ransomware groups. Following incidents like the Salesforce third-party breach, organizations must treat logs as critical assets requiring protection from the moment they’re created. This proactive approach, exemplified by solutions like Penta Security’s D.AMO, neutralizes damage if storage is compromised and enhances threat detection by preventing attackers from analyzing unencrypted system architecture and account patterns.

Continue reading

重新思考邊緣運算:迷你資料中心時代的終結

重新思考邊緣運算:「迷你資料中心」時代的終結

為什麼真正的架構創新(而非漸進式的縮減)才是分散式企業前進的唯一途徑。

幾十年來,科技產業對於遠端基礎設施的預設策略,僅僅是將龐大、集中的資料中心模型(Hypervisor、管理堆疊與儲存網路)縮減塞進狹小的零售店機房或工廠廠房中。這種策略在根本上是有缺陷的。我們不僅沒有建立本地的韌性,反而將資料中心的脆弱性移植到了需要最高穩定性的環境中,加速將分散式企業推向巨大的總擁有成本 (TCO) 懸崖。

統一邊緣 (Unified Edge) 的黎明

管理分散式企業的傳統教戰守則已正式過時。為了在由人工智慧與即時處理所定義的環境中蓬勃發展,企業必須拋棄漸進式的微調,轉而採用專為邊緣建置、原生的邊緣執行架構 (edge execution fabrics)。

在今年稍早的 SC//Platform™ 2026 高峰會上,GigaOm 現場技術長 (Field CTO) Whit Walters 在其「2026 邊緣運算現況」的主題演講中概述了這項演進。Walters 汲取了廣泛的 GigaOm Radar 研究,介紹了「統一邊緣 (Unified Edge)」的概念——這是一種將安全性、運算與網路無縫融合為單一、自主生態系統的典範。他強調,受管網路與運算的融合已不再是奢侈品,而是市場的絕對必需品。

要實現真正的邊緣成熟度,需要征服三個關鍵的維運支柱:

1. 根除虛擬化額外開銷

傳統的邊緣設定嚴重依賴笨拙地疊加在主機作業系統之上的 Type-2 Hypervisor。這個臃腫的抽象層會吞噬 20% 到 30% 的本地 CPU 和 RAM,僅僅是為了維持自身的運作。雖然龐大的雲端設施可以吸收這些額外開銷,但在邊緣,這卻是災難性的浪費。

這種「虛擬化稅」迫使記憶體經歷多餘的轉換階段,削弱了效能,並為工業遙測、語音 AI 和電腦視覺等即時應用程式注入了致命的延遲。轉向在裸機上執行的 Type-1 Hypervisor 可徹底廢除這項稅賦,釋放關鍵的運算資源,用於邊緣 AI 推論與創造營收的任務。消除這種開銷是為 AI 做好準備的一項不可妥協的先決條件。

2. 通過斷線測試

真正的邊緣韌性是透過單一的二元指標來衡量的:當廣域網路 (WAN) 斷線時,平台能否自我修復並完美運作?

不幸的是,許多所謂的「邊緣」產品僅僅是依賴雲端的終端設備。當網路斷線的那一刻,它們就會失去共識、陷入恐慌並停機。在邊緣環境中,網路中斷是必然的,而非例外。如果遠端站點在沒有雲端心跳 (cloud heartbeat) 的情況下無法維持自主運作與容錯移轉,那麼它就是企業的負債。當廣域網路斷線時,您的組裝線、井口設備和收銀機都必須能毫不中斷地持續運作。

3. 融合運算與網路

在對自主性、代理式 AI (agentic AI) 貪得無厭的需求驅動下,現代企業正遭遇嚴重的資料傳輸瓶頸。您根本無法將數十個 4K 攝影機的畫面回傳到集中的雲端進行處理;延遲限制、頻寬成本以及嚴格的資料駐留合規性會瞬間摧毀您的投資回報率 (ROI)。

資料引力 (Data gravity) 要求處理能力必須存在於資料產生的確切位置。透過將 SD-WAN 與受管網路安全性直接內建到 Type-1 運算層中,組織可以放棄碎片化的硬體堆疊,轉而擁抱精簡、自主的現實。

業界認可:引領潮流

為了驗證這種架構上的轉變,GigaOm 最近將 Scale Computing 評為《2026 GigaOm® 全端邊緣部署雷達 (Radar for Full-Stack Edge Deployments)》中的領導者 (Leader) 與卓越表現者 (Outperformer)。這項殊榮凸顯了 Scale Computing 擴展後產品組合的強大威力,它巧妙地將安全的邊緣基礎設施與進階的網路及服務功能相結合,大幅減少了分散式環境中的維運摩擦。

結論

在 2026 年,資料中心已不再是重心——邊緣才是整個宇宙。要避開 TCO 懸崖,意味著我們必須停止將邊緣環境視為傳統企業軟體的微縮版垃圾場。現在是部署原生邊緣架構的時候了,這些架構能保證真正的結構韌性、可預測的成本透明度,以及絕對的本地自主性。

準備好翻轉您的基礎設施了嗎?

深入探索邊緣架構的未來。觀看 Whit Walters 的完整主題演講,並探索 SC//Platform 2026 高峰會的所有分組會議。

關於 Scale Computing

Scale Computing 是邊緣運算、虛擬化及超融合解決方案的領導者。
Scale Computing 的 HC3 軟件整合了傳統的虛擬化軟件、災難復原軟件、伺服器及共享儲存,並將其整合為一個高度可用的應用程式運行系統。
憑藉其專利 HyperCore™ 技術,HC3 自我修復平台能夠實時自動識別、緩解和修復基礎設施問題,讓應用程式實現最長的正常運行時間。若您重視易用性、高可用性及總體擁有成本 (TCO),Scale Computing HC3 將是您理想的基礎設施平台。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

博通的 VMware:2026 年技術長決策框架

 

博通的 VMware:2026 年技術長決策框架

在過去十八個月裡,我與基礎架構架構師們的對話,開場白如出一轍:「我們需要談談我們的 VMware 續約問題。」接下來的話則各有不同。有時是一個數字——4 倍、6 倍,在我印象最深刻的一個案例中是 11 倍。有時是一個期限。越來越多的情況是,兩者皆有。

這些對話的重點已不再是是否要離開 VMware,而是探討該去哪裡、速度該有多快,以及如果專案拖延超過續約日期會有什麼後果。戰略層面的問題早在 2024 年就由博通 (Broadcom) 拍板定案了。現在剩下的,就是執行。

這篇文章是寫給負責執行的專業人士。這不是廠商推銷——雖然 Storware 剛好也涉足這個領域,但無論你最終選擇哪種備份或遷移工具,以下的框架都適用。我試著寫出當我們的客戶開始問我們這些問題時,我希望當時就存在的那份文件。

用白話文說,到底改變了什麼

多數關於博通變革的報導都會用「地震級」、「顛覆性」、「史無前例」等形容詞。但現實情況更為枯燥,也更具永久性。具體發生了四件事:

  1. 永久授權已於 2024 年初終止。所有客戶都轉為訂閱制,期限為一年、三年或五年。
  2. 產品目錄大幅縮減,從 160 多個 SKU 縮減為四個主要組合包——VCF、VVF、vSphere Standard、vSphere Enterprise Plus。獨立的 vSAN、NSX 和 Aria 不再作為單一產品銷售。
  3. 從 2025 年 4 月 10 日起,最低授權購買量從每個產品線 16 核心提高到 72 核心。對於執行小型或邊緣伺服器的企業來說,你現在購買的是物理上不存在的容量。
  4. 延遲續約將面臨 20% 的罰款。如果你錯過了週年紀念日,第一年的訂閱價格將會追溯加上這筆漲幅。

整體的價格影響因人而異。公佈的數字從 150% 到超過 1,000% 不等,受打擊最嚴重的是中端市場的企業,他們以前執行 vSphere Essentials Plus——該產品已停產,取而代之的是包含了他們從未要求的功能的組合包。據報導,AT&T 的續約提案漲幅為 1,050%,這是個吸睛的數字,但這並非中位數。

根據我的經驗,中位數大約是 3 到 6 倍。這足以為一個嚴肅的遷移專案提供資金,但不足以讓你採取五年的觀望態度。

戰略層面的問題早在 2024 年就由博通 (Broadcom) 拍板定案了。現在剩下的,就是執行。

我最常看到技術長犯的錯誤

在這些對話中,最常見的錯誤不是選錯了目標平台,而是先選了目標平台。

供應商很喜歡這種框架,因為這讓他們能以自己的產品為主導。「遷移到 Nutanix。」「遷移到 OpenStack。」「遷移到 Proxmox。」對正確的工作負載來說,這些都是合理的歸宿——但「正確的工作負載」這個部分往往被跳過了。

在討論目標平台變得有意義之前,必須先回答四個問題。這些問題沒有一個是關於目標平台的。

問題 1:工作負載分佈為何?

一個通用的 Linux 網頁層、一個具有多路徑 FC 儲存的狀態 Oracle 資料庫、一個 2014 年遺留下來且沒人想碰的 Windows 單體應用,以及一個具有 GPU 直通的 HPC 叢集,它們都需要不同的目標平台。如果一個遷移計畫把這些都當作可以互換的虛擬機器來處理,那麼簡單的部分會成功,困難的部分會失敗——而且通常是在生產環境中,以非常引人注目的方式失敗。

這裡的原則是,在任何供應商展示之前,將每個虛擬機器歸類到三個類別之一:

  • 原封不動遷移 (Lift-and-shift) 的候選者:大多數通用的 Linux 和 Windows 工作負載。遷移是機械化的——磁碟格式轉換、驅動程式注入、網路重新對應。這些構成了資產的大部分。
  • 重構 (Refactor) 的候選者:那些已經接近生命週期結束或適合容器化的應用程式,遷移是改變架構的好時機。這個類別比人們最初想像的要小。
  • 特殊處理案例:硬體直通、vGPU、NSX 特定的網路、僅限 vSAN 的儲存功能、對延遲敏感的交易型工作負載。這些需要個別處理。有時它們根本不會被遷移——它們會等待硬體更新或重新架構。

在我看過的大多數環境中,比例大約是 70/15/15。這 70% 決定了你的平台決策。另外的 30% 決定了你的特殊處理預算。

問題 2:你的維運團隊已經具備哪些技能?

在紙面上最便宜的目標平台,在考慮了重新培訓、招募以及陡峭學習曲線帶來的生產力成本後,很少會是真正最便宜的。這是供應商的推銷中不會包含的成本,因為供應商不用付這筆錢。根據我自己的觀察,一個粗略的經驗法則是:

目標平台VMware 管理員達到維運生產力的時間備註
Microsoft Hyper-V數週與 vSphere 的維運模式最接近;重度依賴 Windows 的企業適應最快
Nutanix AHV數週到幾個月設計為提供類似 VMware 的開箱即用體驗
Proxmox VE幾個月與 vSphere 的心智模型不同,但文件齊全;WebUI 成熟
KVM (獨立, OL KVM, RHEL)數個月更接近裸機 Linux 維運;適合重度依賴 Linux 的企業
OpenStack如果沒有外部協助,需要一年以上為了規模是值得的;通常需要 Red Hat / Canonical / Mirantis / Platform9 合作夥伴
OpenShift Virtualization完全取決於現有的 Kubernetes 成熟度如果你的團隊已經在執行 OpenShift,則微不足道;如果沒有,則非常困難

如果你的團隊規模很小,而你的 VMware 環境規模卻很大,那麼授權成本最低的平台,幾乎肯定不是三年內總擁有成本 (TCO) 最低的平台。

問題 3:法律上允許你的資料存放在哪裡?

這是總部位於美國的供應商最常跳過的問題,因為對他們來說,這個問題通常沒有一個乾淨俐落的答案。

對於歐洲組織而言,有三條線索很重要。GDPR 是底線——個人資料必須在歐盟管轄區或同等制度下進行處理。NIS2 於 2024 年 10 月起在歐盟成員國生效,提高了事件通報和供應鏈安全的標準,且適用的組織範圍比其前身更廣。DORA 將於 2025 年 1 月生效,對金融服務實體施加具體的維運彈性要求,並賦予主管機關對關鍵 ICT 第三方供應商(包括資料保護供應商)的直接監督權。

覆蓋在這三者之上的是《雲端法案》(CLOUD Act),該法案為美國當局提供了法律依據,可以迫使總部位於美國的供應商提供保存在世界任何地方的資料。這與 GDPR 第 48 條產生了明文衝突,歐盟監管機構對此也越來越明確。

具體來說:如果你退出 VMware 的時機,也是你更廣泛地重新評估對美國供應商依賴的時機,那麼與新平台並行運作的資料保護供應商也是該決策的一部分。如果主權對你的組織不重要,請忽略本節。如果重要,這不是一個軟性因素——它是一個限制條件。

如果你的團隊規模很小,而你的 VMware 環境規模卻很大,那麼授權成本最低的平台,幾乎肯定不是三年內總擁有成本 (TCO) 最低的平台。

問題 4:你的續約日期何時到來?

20% 的延遲續約罰款改變了專案計畫的計算方式。你的遷移時間表不是由你的專案計畫決定的。它是由你的續約週年紀念日決定的。

有三種情況。你要麼續約(伴隨價格上漲)。你要麼在續約前遷移(這意味著專案有一個硬性期限)。或者你續約,並在下一個訂閱窗口期間遷移(這是大多數大型企業最終選擇的路徑,因為考慮到庫存的複雜性,替代方案是不切實際的)。

無論你採取哪種立場,請深思熟慮地做出決定。最糟糕的結果是意外錯過續約日期,並且還要為你原本不想要的訂閱支付額外的罰款。


三種遷移方法,以及它們分別適合哪種環境

一旦回答了上述四個問題,技術對話就變得容易處理了。VMware 到任何平台的遷移主要由三種架構模式主導。這些取捨是真實存在的。

  • 冷遷移 (Cold migration):最簡單也最通用:關閉虛擬機器的電源,匯出磁碟映像,如果需要則轉換格式,再匯入到目標平台。像 virt-v2v 和 qemu-img 這樣的工具可以處理這些工作。每個工作負載的停機時間以小時計算,而不是分鐘。適用於長尾的低重要性工作負載,不適用於任何面向客戶的服務。
  • 暖遷移 (Warm migration):使用 VMware 的異動區塊追蹤 (Changed Block Tracking) 在來源端運作時進行大部分的資料傳輸,然後進行短暫的切換以傳輸增量資料。大多數獨立的商業遷移工具都屬於此類——Coriolis、Hystax,以及特定供應商的工具包。缺點是,在遷移窗口期間,你需要購買和維運一個獨立的產品,然後在遷移結束後將其停用,或者將其作為另一個堆疊元件進行維護。
  • 備份即遷移 (Backup-as-migration):這是我自己公司採用的架構方法,在描述它之前,我會公開聲明這一點。已經在備份 VMware 環境的同一個資料保護引擎,可以將這些備份還原到不同的 Hypervisor 類型上。備份就是遷移來源。目錄保持不變。你用於備份的產品,同時也是你用於遷移的產品——沒有第二個 SKU。

這第三種方法有三個在討論中常被低估的結構性優勢。首先,在遷移之前、期間和之後,你的保護覆蓋是不中斷的——專案期間沒有空窗期。其次,架構本身就包含了回復路徑:如果遷移後的工作負載在目標平台上運作不正常,原始備份仍在目錄中,可以透過相同的機制還原回 VMware。第三,遷移後的維運模式與你之前擁有的模式相同——相同的 WebUI、相同的策略、相同的 RBAC (角色基礎存取控制)、相同的團隊。你保護的平台改變了;保護層則沒有。

但這裡有一個(也是真實的)前提條件——備份即遷移只有在你的資料保護供應商確實將來源和目標都視為具有功能對等的一等平台時才有效。大多數供應商並非如此。這是一個供應商選擇的問題,而不是一個架構問題。

值得明確指出的兩個錯誤

我最常看到的兩種失敗模式:

錯誤一:將遷移專案與保護策略視為兩件獨立的事。團隊先選擇了一個目標平台,接著選擇了一個遷移工具,然後才發現他們現有的備份供應商不支援新平台,最終導致兩個替換專案並行運作。由於預算和注意力都已經被消耗,第二個專案的範圍界定總是比第一個差。

錯誤二:為了遷移窗口(而非穩定狀態)來最佳化架構。遷移只是一個過渡階段。穩定狀態將持續數年。如果一個平台組合在遷移時稍微容易一點,但在專案結束後卻難以維運,那就是錯誤的選擇。先做出穩定狀態的決策;讓它來限制遷移的方法,而不是反過來。

如果我坐在那個位子上,我會怎麼做

把上述四個問題當作第一週的工作成果。將資產清單歸入三個類別。誠實評估維運成熟度。記錄主權限制。將續約日期貼在牆上。

然後,針對原封不動遷移 (lift-and-shift) 類別中最具代表性的工作負載執行範圍限定的概念驗證 (PoC)——不要選最簡單的,也不要選最難的,選最能代表整體情況的。測量它實際花費的時間、需要哪些人工介入、什麼東西損壞了。將這個數字乘以考慮了合理批次假設的總環境規模,這就是你的專案工期。它幾乎總是比供應商最初的估計還要長。

將你的保護策略和遷移策略視為一個決策來處理,而不是兩個。如果它們必須是不同的工具,請接受這一點並為此編列預算。如果它們可以是同一個工具,那這就是一個值得追求的結構性簡化。

然後開始行動。這些專案最困難的部分不是技術問題。而是克服一個已經順利運作了十五年的環境所帶來的慣性。


如果您想針對自己的環境討論上述任何內容,可以透過 storware.eu/book-meeting/ 聯繫 Storware 技術團隊。

關於 Storware

Storware 是一家專注於備份軟件的企業,擁有超過十年的行業經驗。Storware 的備份與還原解決方案適用於各種數據環境,無論是虛擬機、容器、儲存提供商、Microsoft 365 還是運行在本地或雲端的應用程式,均能提供支援。其小巧的設計使其能夠無縫整合進現有的 IT 基礎設施或企業級備份方案中,提供極為便捷的備份保護。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。