বিকাশকারীদের সাথে মুখোমুখি: ব্যক্তিগত ক্লাউডকে আধুনিক করুন

ক্লাউডে একটি ভার্চুয়াল মেশিন (ভিএম) তৈরি করা কি কঠিন? চা বানানোর চেয়ে কঠিন কিছু নয়। কিন্তু যখন এটি একটি বৃহৎ কর্পোরেশনের ক্ষেত্রে আসে, এমনকি এই ধরনের একটি সাধারণ পদক্ষেপ বেদনাদায়ক দীর্ঘ হতে পারে। এটি একটি ভার্চুয়াল মেশিন তৈরি করার জন্য যথেষ্ট নয়; আপনাকে সমস্ত প্রবিধান মেনে কাজ করার জন্য প্রয়োজনীয় অ্যাক্সেসও পেতে হবে। প্রতিটি বিকাশকারীর জন্য একটি পরিচিত ব্যথা? একটি বড় ব্যাঙ্কে, এই পদ্ধতিটি কয়েক ঘন্টা থেকে কয়েক দিন পর্যন্ত সময় নেয়। এবং যেহেতু প্রতি মাসে শত শত অনুরূপ অপারেশন ছিল, তাই এই শ্রম-ভোগকারী প্রকল্পের মাত্রা কল্পনা করা সহজ। এটির অবসান ঘটাতে, আমরা ব্যাঙ্কের ব্যক্তিগত ক্লাউডকে আধুনিকীকরণ করেছি এবং শুধুমাত্র ভিএম তৈরির প্রক্রিয়াই নয়, সংশ্লিষ্ট ক্রিয়াকলাপগুলিকেও স্বয়ংক্রিয় করেছি৷

টাস্ক নং 1। ইন্টারনেট সংযোগ সহ ক্লাউড

ব্যাঙ্ক নেটওয়ার্কের একটি একক অংশের জন্য তার অভ্যন্তরীণ আইটি টিম ব্যবহার করে একটি ব্যক্তিগত ক্লাউড তৈরি করেছে। সময়ের সাথে সাথে, ব্যবস্থাপনা এর সুবিধার প্রশংসা করেছে এবং ব্যক্তিগত ক্লাউড ধারণাটি ব্যাংকের অন্যান্য পরিবেশ এবং বিভাগে প্রসারিত করার সিদ্ধান্ত নিয়েছে। এর জন্য ব্যক্তিগত ক্লাউডগুলিতে আরও বিশেষজ্ঞ এবং শক্তিশালী দক্ষতার প্রয়োজন। অতএব, আমাদের দলকে ক্লাউডের আধুনিকীকরণের দায়িত্ব দেওয়া হয়েছিল।

এই প্রকল্পের মূল প্রবাহ ছিল তথ্য সুরক্ষার একটি অতিরিক্ত বিভাগে ভার্চুয়াল মেশিন তৈরি করা - ডিমিলিটারাইজড জোনে (DMZ)। এখানেই ব্যাঙ্কের পরিষেবাগুলি ব্যাঙ্কিং অবকাঠামোর বাইরে অবস্থিত বাহ্যিক সিস্টেমগুলির সাথে একত্রিত হয়।

তবে এই পদকেরও একটি উল্টো দিক ছিল। DMZ-এর পরিষেবাগুলি "বাইরে" উপলব্ধ ছিল এবং এতে তথ্য নিরাপত্তা ঝুঁকির একটি সম্পূর্ণ সেট অন্তর্ভুক্ত ছিল। প্রথমত, এটি হ্যাকিং সিস্টেমের হুমকি, পরবর্তীকালে ডিএমজেডে আক্রমণের ক্ষেত্রের সম্প্রসারণ এবং তারপরে ব্যাঙ্কের অবকাঠামোতে অনুপ্রবেশ। এই ঝুঁকিগুলির কিছু কমানোর জন্য, আমরা একটি অতিরিক্ত নিরাপত্তা পরিমাপ ব্যবহার করার প্রস্তাব করেছি - একটি মাইক্রো-সেগমেন্টেশন সমাধান।

মাইক্রো-সেগমেন্টেশন সুরক্ষা

ক্লাসিক সেগমেন্টেশন একটি ফায়ারওয়াল ব্যবহার করে নেটওয়ার্কের সীমানায় সুরক্ষিত সীমানা তৈরি করে। মাইক্রোসেগমেন্টেশনের মাধ্যমে, প্রতিটি পৃথক ভিএমকে একটি ব্যক্তিগত, বিচ্ছিন্ন বিভাগে বিভক্ত করা যেতে পারে।

এটি পুরো সিস্টেমের নিরাপত্তা বাড়ায়। এমনকি যদি আক্রমণকারীরা একটি DMZ সার্ভার হ্যাক করে, তাদের পক্ষে আক্রমণটি নেটওয়ার্ক জুড়ে ছড়িয়ে দেওয়া অত্যন্ত কঠিন হবে - তাদের নেটওয়ার্কের মধ্যে অনেকগুলি "লক করা দরজা" ভেদ করতে হবে। প্রতিটি ভিএম-এর ব্যক্তিগত ফায়ারওয়ালে এটি সম্পর্কিত নিজস্ব নিয়ম রয়েছে, যা প্রবেশ এবং প্রস্থান করার অধিকার নির্ধারণ করে। আমরা VMware NSX-T ডিস্ট্রিবিউটেড ফায়ারওয়াল ব্যবহার করে মাইক্রো-সেগমেন্টেশন প্রদান করেছি। এই পণ্যটি কেন্দ্রীয়ভাবে VM-এর জন্য ফায়ারওয়াল নিয়ম তৈরি করে এবং ভার্চুয়ালাইজেশন অবকাঠামো জুড়ে সেগুলি বিতরণ করে। কোন গেস্ট ওএস ব্যবহার করা হয়েছে তা বিবেচ্য নয়, নিয়মটি নেটওয়ার্কে ভার্চুয়াল মেশিনগুলিকে সংযুক্ত করার স্তরে প্রয়োগ করা হয়।

সমস্যা N2। গতি এবং সুবিধার সন্ধানে

একটি ভার্চুয়াল মেশিন স্থাপন? সহজে ! কয়েকটা ক্লিক এবং আপনার কাজ শেষ। কিন্তু তারপর অনেক প্রশ্ন উঠছে: কিভাবে এই VM থেকে অন্য বা সিস্টেমে অ্যাক্সেস পেতে? অথবা অন্য সিস্টেম থেকে VM ফিরে?

উদাহরণস্বরূপ, একটি ব্যাঙ্কে, ক্লাউড পোর্টালে একটি VM অর্ডার করার পরে, প্রযুক্তিগত সহায়তা পোর্টালটি খুলতে এবং প্রয়োজনীয় অ্যাক্সেসের বিধানের জন্য একটি অনুরোধ জমা দেওয়া প্রয়োজন ছিল। অ্যাপ্লিকেশনে একটি ত্রুটি পরিস্থিতি সংশোধন করার জন্য কল এবং চিঠিপত্রের ফলে। একই সময়ে, একটি VM-এ 10-15-20 অ্যাক্সেস থাকতে পারে এবং প্রতিটি প্রক্রিয়া করতে সময় লাগে। শয়তানের প্রক্রিয়া।

উপরন্তু, দূরবর্তী ভার্চুয়াল মেশিনের জীবন ক্রিয়াকলাপের চিহ্ন "পরিষ্কার" করার জন্য বিশেষ যত্ন প্রয়োজন। তাদের সরানোর পরে, হাজার হাজার অ্যাক্সেসের নিয়ম ফায়ারওয়ালে রয়ে গেছে, সরঞ্জাম লোড হচ্ছে। এটি একটি অতিরিক্ত বোঝা এবং নিরাপত্তা গর্ত উভয়.

আপনি ক্লাউডে নিয়ম দিয়ে এটি করতে পারবেন না। এটা অসুবিধাজনক এবং অনিরাপদ।

VM-এ অ্যাক্সেস প্রদান করতে যে সময় লাগে তা কমাতে এবং সেগুলি পরিচালনা করা সুবিধাজনক করতে, আমরা VM-এর জন্য একটি নেটওয়ার্ক অ্যাক্সেস ম্যানেজমেন্ট পরিষেবা তৈরি করেছি।

প্রসঙ্গ মেনুতে ভার্চুয়াল মেশিন স্তরের ব্যবহারকারী একটি অ্যাক্সেসের নিয়ম তৈরি করতে একটি আইটেম নির্বাচন করে এবং তারপরে যে ফর্মটি খোলে সেটি পরামিতিগুলি নির্দিষ্ট করে - কোথা থেকে, কোথায়, প্রোটোকল প্রকার, পোর্ট নম্বর। ফর্মটি পূরণ এবং জমা দেওয়ার পরে, প্রয়োজনীয় টিকিটগুলি স্বয়ংক্রিয়ভাবে HP পরিষেবা ব্যবস্থাপকের উপর ভিত্তি করে ব্যবহারকারীর প্রযুক্তিগত সহায়তা সিস্টেমে তৈরি হয়৷ তারা এই বা সেই অ্যাক্সেস অনুমোদন করার জন্য দায়ী এবং, যদি অ্যাক্সেস অনুমোদিত হয়, এমন বিশেষজ্ঞদের কাছে যারা এখনও স্বয়ংক্রিয় নয় এমন কিছু ক্রিয়াকলাপ সম্পাদন করে।

বিশেষজ্ঞদের জড়িত ব্যবসা প্রক্রিয়ার পর্যায়ে কাজ করার পরে, পরিষেবার অংশটি শুরু হয় যা স্বয়ংক্রিয়ভাবে ফায়ারওয়ালের নিয়ম তৈরি করে।

চূড়ান্ত জ্যা হিসাবে, ব্যবহারকারী পোর্টালে একটি সফলভাবে সম্পন্ন অনুরোধ দেখতে পান। এর অর্থ হল নিয়মটি তৈরি করা হয়েছে এবং আপনি এটির সাথে কাজ করতে পারেন - দেখুন, পরিবর্তন করুন, মুছুন।

সুবিধার চূড়ান্ত স্কোর

মূলত, আমরা প্রাইভেট ক্লাউডের ছোট ছোট দিকগুলোকে আধুনিকীকরণ করেছি, কিন্তু ব্যাঙ্কটি একটি লক্ষণীয় প্রভাব পেয়েছে। ব্যবহারকারীরা এখন পরিষেবা ডেস্কের সাথে সরাসরি ডিল না করে শুধুমাত্র পোর্টালের মাধ্যমে নেটওয়ার্ক অ্যাক্সেস পান। বাধ্যতামূলক ফর্ম ক্ষেত্র, প্রবেশ করা ডেটার সঠিকতার জন্য তাদের বৈধতা, পূর্ব-কনফিগার করা তালিকা, অতিরিক্ত ডেটা - এই সবগুলি একটি সঠিক অ্যাক্সেসের অনুরোধ তৈরি করতে সহায়তা করে, যা উচ্চ মাত্রার সম্ভাব্যতার সাথে বিবেচনা করা হবে এবং তথ্য সুরক্ষা কর্মীদের দ্বারা প্রত্যাখ্যান করা হবে না। ইনপুট ত্রুটি. ভার্চুয়াল মেশিনগুলি আর ব্ল্যাক বক্স নয়—আপনি পোর্টালে পরিবর্তন করে তাদের সাথে কাজ চালিয়ে যেতে পারেন।

ফলস্বরূপ, আজ ব্যাঙ্কের আইটি বিশেষজ্ঞদের কাছে অ্যাক্সেস পাওয়ার জন্য আরও সুবিধাজনক হাতিয়ার রয়েছে এবং কেবলমাত্র সেই ব্যক্তিরা এই প্রক্রিয়ার সাথে জড়িত, যাদের ছাড়া তারা অবশ্যই করতে পারবেন না। মোট, শ্রম ব্যয়ের পরিপ্রেক্ষিতে, এটি কমপক্ষে 1 জনের দৈনিক পূর্ণ লোড থেকে মুক্তি, সেইসাথে ব্যবহারকারীদের জন্য কয়েক ডজন ঘন্টা সংরক্ষণ করা হয়েছে। নিয়ম তৈরির স্বয়ংক্রিয়তা একটি মাইক্রো-সেগমেন্টেশন সমাধান বাস্তবায়ন করা সম্ভব করেছে যা ব্যাঙ্ক কর্মীদের উপর বোঝা তৈরি করে না।

এবং অবশেষে, "অ্যাক্সেস নিয়ম" ক্লাউডের অ্যাকাউন্টিং ইউনিট হয়ে উঠেছে। অর্থাৎ, এখন ক্লাউড সমস্ত VM-এর নিয়ম সম্পর্কে তথ্য সঞ্চয় করে এবং ভার্চুয়াল মেশিনগুলি মুছে ফেলা হলে সেগুলি পরিষ্কার করে।

শীঘ্রই আধুনিকীকরণের সুফল পুরো ব্যাঙ্কের ক্লাউডে ছড়িয়ে পড়বে। ভিএম তৈরির প্রক্রিয়ার অটোমেশন এবং মাইক্রো-সেগমেন্টেশন ডিএমজেডের বাইরে চলে গেছে এবং অন্যান্য বিভাগগুলিকে বন্দী করেছে। এবং এটি সামগ্রিকভাবে মেঘের নিরাপত্তা বাড়িয়েছে।

বাস্তবায়িত সমাধানটিও আকর্ষণীয় যে এটি ব্যাংককে এই মানদণ্ড অনুসারে আইটি কোম্পানিগুলির মডেলের কাছাকাছি নিয়ে এসে উন্নয়ন প্রক্রিয়াগুলিকে গতিশীল করতে দেয়। সর্বোপরি, যখন মোবাইল অ্যাপ্লিকেশন, পোর্টাল এবং গ্রাহক পরিষেবাগুলির কথা আসে, যে কোনও বড় সংস্থা আজ ডিজিটাল পণ্যগুলির উত্পাদনের জন্য একটি "কারখানা" হওয়ার চেষ্টা করে। এই অর্থে, ব্যাঙ্কগুলি কার্যত শক্তিশালী আইটি সংস্থাগুলির সাথে সমানভাবে খেলছে, নতুন অ্যাপ্লিকেশন তৈরির সাথে সাথে। এবং এটি ভাল যখন একটি প্রাইভেট ক্লাউড মডেলে নির্মিত একটি আইটি অবকাঠামোর ক্ষমতা আপনাকে কয়েক মিনিটের মধ্যে এবং যতটা সম্ভব নিরাপদে এর জন্য প্রয়োজনীয় সংস্থান বরাদ্দ করতে দেয়।

লেখক:
ব্যাচেস্লাভ মেদভেদেভ, জেট ইনফোসিস্টেমসের ক্লাউড কম্পিউটিং বিভাগের প্রধান,
ইলিয়া কুইকিন, জেট ইনফোসিস্টেমের ক্লাউড কম্পিউটিং বিভাগের প্রধান প্রকৌশলী

উত্স: www.habr.com