Gartner預測云計算服務的市場在2013年將超過1500億美元。不同的云計算服務商紛至沓來，他們有由傳統IT廠商演變而來的，也有新型的初創企業，甚至有從在線電子商務公司轉變而來的。他們提供不同的服務類型，服務質量也良莠不齊。企業在選擇這些云計算服務的時候要結合自身需求，從不同的角度進行考察。

　　雖然說云計算能給企業帶來許多好處，但是企業在面對云計算這個相對比較新的IT服務模式的時候還是有許多擔心。由于私有云的服務模式與傳統IT服務方式沒有本質的區別，因此這些擔心主要集中在公有云服務上面。

　　企業對云計算服務商的服務透明度問題，比如到底有哪些功能必須包含在安全因素里，誰可以訪問數據，使用了什么樣的等級加密，我們的數據在哪里，我們的物理機又在哪里，服務水平協議到底是怎樣規定的，技術支持服務是7x24還是5x8等。著名的市場調研機構IDC曾經在2009年9月做過企業對云計算的擔心的調研，圖2.7所示是企業對采用公有云服務的主要擔心。

　　選出最適合的公有云服務商

　　關于私有云解決方案提供商的選擇，我們還是可以遵循傳統IT解決方案的選擇方式來考察各個方案，需要特別注意的一點是這些私有云解決方案提供商自身在云計算服務上有多少實踐經驗，是不是只是把原來的方案包裝一下而已。

　　為了幫助企業選擇一個最適合自己的公有云服務商，編者從以下五個要素闡述。

　　要素一、服務的類別

　　云計算的三大類服務是各不相同的，企業在選擇云計算的時候要注意區別它們之間的差異。如果需要對服務有更多的控制，那么企業應該選取IaaS類服務。但是，更多的控制同時對企業IT的技術要求要更高，因為IaaS服務底層的硬件平臺由服務商管理，但是其上的平臺一般需要客戶自己來管理。如果需要把盡可能多的IT服務外包出去，那么企業應該選擇最上層的SaaS類服務。當然，如果選這類服務，企業對服務環境的控制力就非常有限，而且也不是所有應用需求都有相應的SaaS服務。

　　要素二、計費情況

　　提供商業云計算服務的供應商會根據不同的情況來進行收費，比如有多少使用用戶、具體使用了多少計算資源、使用了什么樣的服務等。與所有購買的服務一樣，企業需要能夠看清所有服務的計費情況，尤其是在所使用的云計算服務能夠動態擴展資源的情況下。大部分云計算服務供應商都會提供一個應用或接口為用戶提供資源計費的具體情況。如果服務提供商不能提供類似的信息，那么企業選擇這樣的供應桑就很可能會有問題。當然，另外一個與計費直接相關的問題就是服務的收費情況，企業需要做兩方面的比較。一個是直接提供服務的成本與一個服務周期內預計服務費用的比較，另外一個就是不同云計算服務商之間收費的橫向比較。

　　要素三、關于標準遵循和認證問題

　　云計算服務的標準遵循會從幾個方面影響客戶。如果云計算服務支持標準，那么用戶就可以通過標準的方式來訪問。比如微軟Windows Azure平臺的存儲訪問是基于標準的REST方式，那么無論用戶使用什么語言在什么平臺上，都可以基于REST來訪問這些存儲。另外一方面，云計算平臺對標準的支持可以讓用戶有選擇的余地，而不至于完全鎖定在一個特定的云計算服務上面。

　　當然，不同層次的云計算服務對用戶的鎖定程度是不一樣的，一般來說PaaS類服務比IaaS類服務更具有鎖定性，而SaaS類服務比PaaS類服務更具有鎖定性，但是用戶至少需要有能夠把數據從云計算服務平臺上遷移或備份出來的能力。

　　云計算服務商所獲得的認證也是一個非常重要的考察指標，認證是第三方對于服務商的一種認可和肯定。有一些認證與IT系統的運維和安全相關，比如ISO/IEC 27001：2500.有一些認證與合規性相關，比如在美國有一個SAS 70(Statement on Auditing Standards)，審計準則說明的認證。

　　SAS70認證是一個關于服務商的內部控制和財務相關的認證，因此對于云計算服務商而言這個認證尤為重要。SAS70認證由美國注冊公共會計師協會創建，這種認證主要包含兩個級別。一種是第一類認證，通過企業自己搜集內部信息，向監管機構證明所做的所有行為、控制目標、流程符合法律法規的監管。第二類認證更加嚴格，是在第一類認證的基礎上，增加了服務監管人對于這個企業審核的意見。有了這兩個認證的企業基本上可以保證在法律法規以及風險管理方面符合企業對于云計算安全的考慮。

　　要素四、安全性問題

　　云計算放大了IT的挑戰，原來放在自己服務器內部的一些服務資料，現在要放到云當中，而云當中的應用可能在任何的地方。如何保證用戶登錄的安全，這個應用能否從某一個點遷移到另外一個點，到底什么人能夠看到什么樣的信息，看到這些信息的資料多少到底是由什么決定的，所有這些問題都是企業在考慮云計算安全時需要考慮的因素。

　　從前面IDC的調研可以看到安全是企業采納云計算時最擔心的地方，但是如果在選擇云計算服務的時候能夠特別關注供應商在安全方面的具體實現情況，并且采用一些安全方面的最佳實踐，那么將可以提高企業使用云計算服務的安全性。

　　公司在使用云計算服務之前應當進行全面的風險評估，其中涉及數據保護、數據完整性、數據恢復和合規性。我們建議企業在評估云計算安全的時候采用類似于金融服務行業的風險管控模式。云計算的風險管控要從安全性、隱私、合規性以及服務的可持續性等方面綜合考慮。

　　企業需要查看云計算服務商有沒有相關的安全認證，相關的安全架構、流程和風險管控的方法等具體情況。另外，根據一些國家監管的規定，企業可能還需要了解服務商物理數據中心的位置，以滿足企業對數據存儲地點的要求。

　　要素五、與企業已有系統的集成問題

　　企業在構建信息系統的時候要盡量避免形成信息孤島的情況。無論是在數據層次、應用層次或者是在界面層次，應用和應用之間都要能夠比較方便地集成，從而讓數據能夠方便地流轉，最終用戶也能有良好的用戶體驗。這就需要企業在選擇公有云服務的時候，要考慮目標公有云服務與自己企業內部的系統如何進行集成。這種集成可以通過多種方式來實現。

　　比如數據交換是一個比較基本的要求，最低的一個要求是可以借助手工操作的方式來進行。當然理想的目標是通過自動化的方式來實現各種集成方式。企業可以從兩個方面來考察云計算服務的集成能力。一個是云計算服務是否提供與企業數據之間的安全傳輸通道來進行集成通信。比如微軟的Windows Azure平臺和亞馬遜的AWS就提供它們的云平臺數據中心與企業數據中心之間基于IPSec的安全通道。

　　另外一方面是看云計算服務供應商有沒有提供一個開放的管理接口或管理工具，以便企業可以把云計算服務集成到自身數據中心中的應用管理中去。微軟的Windows Azure平臺提供了基于REST的服務管理的編程接口(Service Management API)，而且微軟還更進一步擴展了其基于System Center的系統管理工具，讓企業IT管理人員可以在一個管理界面上同時管理其部署在企業內部的應用和部署在Windows Azure平臺上的應用。