隱藏在您的本地檔案傳輸中的雲端依賴性
您在本地的檔案傳輸設置可能默默地依賴於某個供應商的雲端。審查一下您的架構實際上運行的是什麼—使用 Progress Automate MFT 發佈的設計作為工作範例。
打開你的防火牆日誌。過濾出從主機上運行你的「在地」檔案傳輸設置的伺服器所發出的 TLS 連線到你供應商的雲端範圍內的連線。數一下。如果這個數字讓你感到驚訝，那麼你所購買的架構和你實際運行的架構並不是同一回事。
如果你沒有紀錄這些的防火牆日誌，那就是第一個發現。
「Hybrid」悄悄變成了什麼
“Hybrid” 這個詞在管理檔案傳輸 (Managed File Transfer, MFT) 中變得相當彈性。對於某些產品來說，它是指在本地部署的工作流程邏輯，雲端連接器則是可選的附加功能。而對於其他產品，它則是指雲端托管的控制平面搭配本地代理。部屬指南中很少明確區分這兩者的差異。當你的架構審查在分析運行環境時，這個區別就顯得相當重要。
Progress Automate MFT 明確發布了其 混合架構和網路需求。有用的細節是每一層所擁有的內容。
| 層級 | 控制邊界 | 審查應該記錄的內容 |
|---|---|---|
| 雲端管理控制台 | Progress cloud | 工作流程、排程、政策、集中庫、稽核聚合和治理：RBAC、MFA/SSO、金鑰、證書及執行歷史 |
| 自託管 代理 | Windows 或 Linux 主機，由您控制 | 在檔案來源附近執行本地任務，包括防火牆後轉移、僅連接到外網 |
| Progress 託管的代理 | Progress cloud（短暫） | 在可公眾訪問的端點之間進行轉移，自動啟動且無需您管理的主機 |
| 端點 | MOVEit Transfer、SFTP/FTPS/HTTPS、SMB、SharePoint、ShareFile、S3、Azure Blob 或 Google Cloud | 上傳或下載檔案的地方 |
自我託管代理是那些曾經拒絕雲端的團隊最容易接受的部分。它安裝在您自己的 Windows 或 Linux 機器上，位於您的防火牆之後，只能進行外部連線—不需要開放任何入站端口來暴露風險。傳輸過程在您的數據旁邊進行；只有編排和審計的功能會存在於控制台中。您可以獲得集中管理的好處，同時不需要放棄執行路徑，這通常也是讓僅在本地部署的方式感覺更安全的主要原因。
實際檢驗：“Hybrid”並不是一種部署模型。它是分散控制的描述。如果工作流程編排存在於雲端控制台，且代理程式的更新自動進行，那麼你所運行的是一個雲端管理的平台，並在本地執行。
這是一個真正的架構模式，帶來實際的好處。這個權衡是對於供應商雲端的真實依賴—當你有文件記錄並進行規劃時，這是可接受的，但如果沒有這些準備，就會成為問題。危險不在於使用混合產品，而是在於你卻不知道自己正在使用它。
自動更新實際上拉取的內容
自動更新機制是廠商在不打擾你的情況下推送補丁的方式。這也是雲端依賴在架構中出現，而不用進行架構審查的方式。
對於 Automate MFT，文件中說明的更新路徑是代理程式的更新機制（根據每個代理程式在 自動更新設定 中配置）：更新可以自動應用、依照時間表進行或按需進行。這樣的過程是透明的，因為 Progress 會公開更新選項和代理程式架構。
這裡是價值展現的地方。傳統工作流程是透過 PowerShell 在應用伺服器上執行：從 SFTP 拖取、使用 PGP 解密、解壓縮、重新命名、複製到 SMB，並在檔案未達成其 SLA 時通知應付帳款。將 MFT 的搬移流程從「那個在作者離職前編輯過的腳本」轉變為一個受管理的任務：點擊即設計的工作流程、內建的壓縮/解壓縮及加密/解密步驟、必要時的條件邏輯或自訂腳本、具日曆意識的排程、版本歷史、執行歷史及審計追蹤。
重點不是自動更新不好。它們可以比變更管理更快地修補問題。重點在於「自動化」應該納入架構記錄中。當工作流程定義、端點憑證、排程和代理程式二進位檔存放在一個受管理的平台上時，你的審核就有一些具體的內容可以檢查，而不是一個裝滿名為 final_v2_REALLY_FINAL.ps1 的腳本資料夾。
部署模式不是可以互換的
在各類混合型 MFT 產品中，市場行銷往往將部署模式視為可以互換的。然而，架構文件通常並不這樣看待。
處理進來的合作夥伴轉移。這是一個在成為代理問題之前的端點問題。進度文檔自動化 MFT 整合，其中 MOVEit Transfer 接收合作夥伴的檔案，然後 Automate MFT 將這些檔案路由到內部目標。
那個交接本身就包含了細節：
- MOVEit Transfer 在安全邊緣接收夥伴檔案。
- Automate MFT 將 MOVEit Transfer 伺服器儲存為可重複使用的端點，並使用可重複使用的身份驗證方法。
- 工作流程將該端點參考為來源或目的地。
- 選定的代理會根據排程或隨需執行檔案傳輸，將檔案導向檔案共享、雲端儲存、SaaS 應用程式或其他 MOVEit 資料夾。
- 集中式日誌顯示來源、目的地、運行狀態及擁有者。
現在架構審核有了一條檢查的途徑。不再是「產品有代理程式。」也不再是「圖示看起來像混合型。」這裡進入了一個檔案，那裡執行了一個代理程式，且審計紀錄證明了發生了什麼事。沒有人需要成為人力合規資料庫，憑記憶背誦日誌應該捕捉到的內容。
專業小撇步：最容易進行審核的供應商是那些清楚公開其架構的廠商。如果文件中明確描述了代理-協調者拓撲、更新機制、資料平面和元資料流，你可以在一個下午內回答以下框架。如果沒有，這個框架就變成了供應商評估工具。
這兩種模式都是有效的。它們不是相同的架構，當你的安全審查詢問檔案在落地與交付之間的位置時，這個差異是很重要的。雖然產品組合相同，但控制邊界卻不同。
相依性分析框架
對於任何混合型 MFT，無論你是有意購買還是透過更新繼承而來，在下次架構審查之前，請寫下以下問題的答案：
- 工作流程邏輯住在哪裡？ 雲端控制平面或本地伺服器。當雲端故障時，什麼會繼續運作？
- 憑證存放在哪裡？ 在代理伺服器的本地保管庫，還是供應商的金鑰管理服務（KMS）？哪一個金鑰輪替政策適用？
- 任務實際上在哪裡執行，什麼資料會離開你的網路？ 是在本地代理伺服器上，還是雲端上？將控制流量——管理資料和審計紀錄——與檔案資料本身分開：是否有任何有效負載被推送到供應商的雲端，或者檔案只在你自己的端點之間移動？記錄兩者的節奏及目的地。
- 自動更新實際上會影響哪些部分，並且這可以在不造成停機的情況下進行嗎？ 只影響二進位檔，還是也包括工作流程定義、連接器、政策和憑證？並且在更新代理時是否會中斷進行中的傳輸，或者可以無需維護窗口而順利更新？
- 哪些元資料會跨境？ 檔名、合作夥伴識別碼、傳輸紀錄和時間戳可能在直接或間接識別個人時符合GDPR下的個人資料定義。如果這些資料跨境，Schrems II時代傳輸指導將成為審查的一部分。
如果有三個或更多的回答是「我得問問設置這個的人」，那麼在審核人需要之前，這個執行手冊需要安排一個星期六的會議。
選擇適合你的款式
建築的問題明確劃分。不同的產品，帶來不同的承諾：
| 需求 | 更符合的選擇 |
| 可接受雲端控制計畫的分散式架構 | 自動化 MFT（加上自架代理） |
| 必須完全保持在內部的自動化—無雲端控制計畫的封閉或受管制網站 | MOVEit Automation（Windows，內部編排） |
| 用於合作夥伴和用戶文件交換的安全傳輸伺服器 | MOVEit Transfer（內部或雲端虛擬機，支援封閉環境） |
| 具有未記錄雲端依賴的舊有系統 | 先進行審核，了解擁有的內容後再進行替換 |
Automate MFT 是一種故意採用雲管理與靈活代理執行的混合架構。雲端依賴性是其架構設計的一部分，這並不意外。如果你需要一個帶有集中庫的雲控管平臺、無需程式碼的工作流程設計、由 MFT 專家管理的更新，以及代理池以增強韌性與負載平衡，那這正是你所需要的。
MOVEit Automation 是在無法將協調放置於雲端控管平台下的解決方案：在封閉的 IT 環境、需要直接基礎設施管控的受監管部署，以及不接受依賴網路的控管平台的場所。它在 Windows 的本地端運行工作流引擎，並依賴 MOVEit Transfer 作為底層的安全傳輸伺服器。相同的 Progress 產品系列，不同的架構承諾。
錯誤在於購買了一個卻假設自己擁有另一個。解決方法是參考上述框架，並花一個下午來檢查防火牆日誌。如果對於「工作流程邏輯實際上位於哪裡」的誠實答案還是個猜測，那麼架構評審就還沒有進行。
了解更多關於 Progress Software 的檔案傳輸解決方案。
文章來源: The Hidden Cloud Dependencies in Your On-Prem File Transfers
