Microsoft breidt Sovereign Cloud uit met lokale AI en GitHub

Microsoft breidt zijn Sovereign Cloud uit met lokale AI, GitHub Enterprise en extern sleutelbeheer, maakte het bedrijf op 20 oktober bekend. Een deel is beschikbaar; andere onderdelen volgen als preview of staan gepland voor Ignite.

Voor organisaties die broncode, AI-verzoeken of encryptiesleutels onder eigen beheer willen houden, verschuift de grens van wat lokaal kan draaien. Dat vergroot de controle over de uitvoeringsplek, maar vraagt eigen Azure Local-hardware en beheer. Het is een mix van bestaande functies, previews en plannen, geen complete omgeving die elk bedrijf vandaag kan activeren.

Sleutels blijven buiten Azure

De concreetste wijziging is External Key Management (EKM) voor Azure Managed HSM, nu algemeen beschikbaar in alle publieke Azure-regio’s. Met EKM bewaart de organisatie de hoofdsleutel in een eigen hardware security module (HSM), op locatie of bij een vertrouwde derde partij. Azure-diensten versleutelen en ontsleutelen de data, maar halen de sleutel via een EKM-proxy op. EKM werkt alleen voor Azure-diensten die via Managed HSM klantbeheerde sleutels ondersteunen. Microsoft legt de beschikbaarheid en technische grens van EKM uit.

ITdaily beschrijft dat EKM tot deze aankondiging in beperkte preview zat. De algemene beschikbaarheid neemt de operationele last niet weg: de klant blijft de externe HSM en proxy beheren. Microsofts Managed HSM-SLA dekt de externe HSM en proxy niet; de klant beheert ook netwerk en beschikbaarheid. Een storing kan Azure-werkbelastingen onderbreken; extra netwerkverkeer naar de proxy kan vertraging geven. Wie de sleutel buiten Azure houdt, beheert dus ook de route die Azure nodig heeft om ermee te werken.

De AI-stack draait op eigen hardware

Microsoft brengt GitHub Enterprise Server als gevalideerde oplossing naar Azure Local. GitHub Enterprise Local moet bij Ignite in november algemeen beschikbaar komen. Ontwikkelteams kunnen dan GitHub Enterprise en Copilot met lokaal gehoste modellen gebruiken op klantbeheerde hardware. Foundry Local krijgt volgens Microsoft eveneens algemene beschikbaarheid bij Ignite, zowel voor verbonden als losgekoppelde omgevingen. Lokale modellen voeren de AI-berekening uit; agents kunnen antwoorden baseren op bedrijfsdata die daar blijft.

De status verschilt per product. SQL Server op Azure Local is al algemeen beschikbaar; DocumentDB en Blob Storage zijn in publieke preview. Microsoft 365 Local is in preview voor goedgekeurde klanten. De Foundry Local-documentatie, bijgewerkt op 14 september, vermeldt nog preview en noemt North Europe, West Europe en UK South als ondersteunde Azure Arc-regio’s. De productdocumentatie noemt die Europese regio’s en houdt Foundry Local op preview. Dat maakt de aankondiging geen bewijs dat ieder onderdeel al in iedere Europese regio kan worden ingezet.

Voor de publieke cloud rolt Microsoft Data Guardian en Production Touch Ledger gefaseerd uit in de EU en EFTA. Data Guardian laat een Europese, vertrouwde partner toezicht houden op bepaalde externe toegang door Microsoft-technici. Production Touch Ledger legt acties vast in een logboek waarin wijzigingen achteraf zichtbaar zijn. Microsoft beschrijft beide controles als onderdelen van de Sovereign Cloud-uitrol. Techzine telt 29 partners in Microsofts soevereine-cloud-ecosysteem, waaronder Mistral, NVIDIA en de Cronos Groep.

Lokaal heeft meerdere betekenissen

Microsofts Windows-aanpak laat Copilot per taak kiezen tussen een model op de pc en de cloud, met MAI Code 1.1 Flash van 53 GB als lokale optie. De Copilot-routering tussen een lokaal model van 53 GB en cloudverwerking beschrijft die desktoplaag. Azure Local gaat over de infrastructuur waarop een organisatie GitHub, modellen en data kan draaien. Microsoft koppelt aan die inrichting ook een overstap van verbonden naar losgekoppelde werkbelastingen, nu in publieke preview.

Losgekoppeld betekent hier geen instelling die elk bedrijf zelf kan aanzetten. Microsoft noemt als voorwaarden een geschikt enterprise-contract, een gedocumenteerde zakelijke of wettelijke reden, operationele voorbereiding, ondersteunde hardware in eigendom en een aparte beheercluster. De voorwaarden voor disconnected Azure Local bepalen dus mede of de optie praktisch haalbaar is. Dat hoort in de kosten- en architectuurkeuze naast de aanschaf van hardware en het beheer van updates.

Europese opslag is niet hetzelfde als lokale uitvoering

Microsofts EU Data Boundary geldt voor bepaalde gegevens in Azure, Dynamics 365, Power Platform en Microsoft 365. Het bedrijf zegt die klant- en persoonsgegevens binnen de EU op te slaan en te verwerken, met beschreven uitzonderingen. De EU Data Boundary omvat opslag en verwerking binnen de EU voor de genoemde clouddiensten. Dat is iets anders dan modellen, ontwikkeltools of sleutels op eigen hardware uitvoeren. In de vergelijking van EU Data Boundary, AWS-sovereign cloud in Brandenburg en zelfgehoste Europese opties staan die keuzes naast elkaar.

Ook AWS laat zien dat soevereiniteit om de operationele grens draait: het bedrijf plant op 24 oktober een oefening waarbij de Europese cloud in Brandenburg enkele uren zonder de wereldwijde AWS-netwerkverbinding draait. Dat is een aangekondigde test, geen bewijs dat die omgeving voortaan permanent losgekoppeld werkt. AWS beschrijft de oefening en mogelijke korte verbindingsonderbrekingen.

Voor Nederlandse organisaties ligt de eerste keuze daarom per werkbelasting: moet alleen de data binnen een regio blijven, moeten beheerdersacties controleerbaar zijn, of moeten ook sleutel, model en ontwikkelomgeving op eigen infrastructuur draaien? Microsofts aankondiging biedt voor elk van die lagen andere functies, met verschillende beschikbaarheidsstatussen. De praktische grens wordt bepaald door wat al algemeen beschikbaar is, welke preview voor de organisatie openstaat en wie de onderliggende hardware en verbinding operationeel houdt. Microsoft geeft geen prijs of complete hardwarelijst voor Europese inzet; die haalbaarheid vraagt dus een check per contract en implementatie.