להימנע מנעילת ספקים בעזרת קוד פתוח: נקודת המבט של מפתח

השאלה עד כמה חברה תלויה בספקי הטכנולוגיה שלה יצאה מזמן מדיון ארכיטקטוני אל סדר היום של תקציבים ודרישות רגולציה. בניתוח שפורסם ב-The New Stack בתמיכת SUSE טוענים המחברים שנעילת ספקים כמעט לעולם אינה מתחילה בהחלטה אחת שגויה, אלא מצטברת מהרבה החלטות סבירות.

מה באמת עולה נעילת ספקים

הבעיה אינה השימוש במוצרים של צד שלישי, שכן כל מערכת ייצור תלויה בספקים. הבעיה היא תלות שהתרתה יקרה מדי או בלתי מעשית: בצוות פלטפורמה היא מצטברת ב-API-ים, בחוזים, בתוכניות פיתוח, בתבניות זהות ובמודלי נתונים.

החלק המסוכן הוא מה שאף אחד לא בדק. בסיס נתונים מנוהל צובר הרחבות קנייניות שקוד האפליקציה מתחיל להניח, וסביבת Kubernetes נקשרת ל-IAM, לרשת ולמאזן העומסים של ענן אחד. יחד הן מייקרות את היציאה, שמתבטאת בהמשך בהגירות מזורזות, בשיבושי שירות ובהכשרה מחדש של הצוות.

רישיונות פתוחים ומי רשאי לשנות את הכללים

קוד פתוח עומד היטב במבחן הזה, משום שהוא נבנה כך שאפשר לבדוק, להעביר ולהחליף מערכות, אך המחברים מדגישים שאין בכך הבטחה: אפשר לבנות צימוד הדוק גם על יסודות פתוחים. הרישיון משנה דבר אחד בכל זאת, את מי שמוסמך לשנות את התנאים. ליבת Linux אינה דורשת העברת זכויות יוצרים, ולכן קוד שמוזג שומר על בעליו המקוריים ולליבה יש אלפי בעלים. Kubernetes מופץ תחת רישיון Apache 2.0 ומנוהל בידי Cloud Native Computing Foundation, ולכן שום ספק לא יכול לשלול בדיעבד זכויות שכבר ניתנו.

הפיצול של Terraform ל-OpenTofu ממחיש זאת. ב-2023 שינתה HashiCorp את רישיון Terraform מ-Mozilla Public License 2.0 ל-Business Source License 1.1, והקהילה פצלה את בסיס הקוד הפתוח האחרון ל-OpenTofu, כיום פרויקט של Linux Foundation שנשאר תחת MPL 2.0.

ריבונות דיגיטלית והפער של 52%

ריבונות דיגיטלית, מידת השליטה של ארגון בתשתיות, בנתונים ובבחירות הטכנולוגיות שלו, הופכת את אותן שאלות לדחופות. מחקר של SUSE שמובא במאמר מצא שכמעט כל הארגונים מציבים את הריבונות הדיגיטלית בעדיפות, אך רק 52% נוקטים צעדים ממשיים לקראתה.

המחברים מציגים את הריבונות כתכונה של הארכיטקטורה ולא כמסלול רגולציה נפרד: עומסי עבודה ניידים, ממשקים נקיים, פריסה משוכפלת והתנהגות ניתנת לביקורת משתלמים גם בלי רגולציה. הריבונות לא יוצרת עבודה חדשה, היא קובעת דדליין לעבודה שהיה כדאי לעשות מלכתחילה.

ארבע יכולות לבדיקה

ההפיכות מתפרקת לארבע יכולות: שליטה אמיתית בכל שכבה במערכת, ביקורת עצמאית של מה שהתוכנה עושה, מהירות יציאה שנמדדת בבדיקות סדירות, ויכולת לשנות כיוון כשמשתנות דרישות רגולציה או תוכניות של ספק.

המסקנה חדה: המחיר האמיתי של כל פלטפורמה כולל את מחיר היציאה ממנה, ואת המחיר הזה יש להבין לפני ההתחייבות.