AZ – Verfügbarkeitszone

Abkürzung: AZ

Eine Verfügbarkeitszone — englisch Availability Zone — ist ein Abschnitt einer Cloud-Region, der eigenständig mit Strom, Kühlung und Netz versorgt wird und weit genug von den übrigen Zonen entfernt liegt, dass ein örtliches Ereignis nicht alle zugleich trifft.

Sie ist die Einheit, über die ein Kunde eine Anwendung verteilt, wenn sie den Ausfall eines Standorts überstehen soll.

Eine Zone ist kein Rechenzentrum

Der häufigste Irrtum. Eine Zone besteht aus einem oder mehreren Gebäuden — und wie viele es sind, sagt der Anbieter nicht. Wächst eine Zone, kommen Häuser dazu, ohne dass sich für den Kunden etwas ändert.

Umgekehrt gilt auch nicht, dass jedes Gebäude eine eigene Zone bildet. Zwei Hallen auf demselben Gelände mit derselben Einspeisung wären keine zwei Zonen, weil sie die Abhängigkeit teilen, auf die es ankommt.

Was eine Zone definiert, ist nicht Blech, sondern Unabhängigkeit der Versorgung.

Die Zonennamen sind nicht überall dasselbe

Bei AWS ist der sichtbare Zonenname kontobezogen: eu-central-1a bezeichnet nicht für alle Konten dieselbe physische Zone. Die Zuordnung wird je Konto durchgewürfelt, damit sich die Last nicht in der Zone sammelt, die alle zuerst anklicken. Wer zonengleich platzieren will — etwa zwischen zwei Konten derselben Organisation —, muss die kontounabhängige Zonen-ID verwenden, nicht den Namen.

Andere Anbieter handhaben das anders. Wer über Konten oder Anbieter hinweg plant, sollte sich darauf nicht verlassen, ohne es nachzusehen.

Entfernung und ihr Zweck

Zonen liegen typischerweise einige bis einige Dutzend Kilometer auseinander. Das ist bewusst gewählt und ein Kompromiss in beide Richtungen:

Weit genug für Brand, Stromausfall, Bauarbeiten, Wasserschaden — Ereignisse, die ein Gelände treffen.

Nah genug, dass synchrone Spiegelung praktikabel bleibt. Die Laufzeit über wenige zehn Kilometer liegt im Bereich von Sekundenbruchteilen und lässt sich auf jede Transaktion aufschlagen, ohne dass eine Datenbank unbrauchbar wird. Genau das ist der Grund, warum Zonen nicht weiter auseinanderliegen.

Für großflächige Ereignisse reicht das nicht. Hochwasser entlang eines Flusslaufs, ein überregionaler Netzausfall oder ein Sturmtief erfassen Gebiete, die mehrere Zonen einer Region einschließen. Wer dagegen vorsorgen will, braucht eine zweite Region — Georedundanz im Sinne des BSI beginnt in ganz anderen Größenordnungen.

Wo die Unabhängigkeit endet

Zonen trennen die Versorgung, nicht alles andere. Gemeinsam bleiben in der Regel:

• Die Steuerungsebene der Region. Fällt sie aus, lassen sich in keiner Zone neue Ressourcen starten — die laufenden arbeiten weiter, aber der Ausgleich eines Zonenausfalls braucht genau diese Funktion.
• Regionsweite Dienste. Manche Dienste sind nicht zonal, sondern regional angelegt; ihre Störung betrifft alle Zonen.
• Betrieb und Software. Dieselbe Mannschaft, dieselben Verfahren, dieselbe Softwareversion. Ein fehlerhaftes Update wird in allen Zonen gleich zuverlässig ausgerollt.

Die größeren Cloud-Störungen der letzten Jahre gingen überwiegend auf solche gemeinsamen Teile zurück, nicht auf den Verlust eines Gebäudes. Zonen sind gegen den Fall ausgelegt, der selten eintritt.

Abgrenzung

Verfügbarkeitsklassen beschreiben die Gebäudetechnik eines einzelnen Hauses — Redundanz von Strom und Kühlung. Zonen setzen eine Ebene darüber an und sind kein Ersatz dafür.

Georedundanz verlangt Abstände, die synchrone Spiegelung ausschließen. Zonen und Georedundanz lösen verschiedene Probleme und werden in der Praxis kombiniert: zwei Zonen für den Normalbetrieb, eine zweite Region für den Katastrophenfall.

Hochverfügbarkeit ist die Eigenschaft der Anwendung. Über Zonen verteilt zu laufen, macht eine Anwendung nicht hochverfügbar — sie muss den Ausfall einer Zone auch verarbeiten können.