વિકાસકર્તાઓનો સામનો કરવો: ખાનગી ક્લાઉડનું આધુનિકીકરણ

શું ક્લાઉડમાં વર્ચ્યુઅલ મશીન (VM) બનાવવું મુશ્કેલ છે? ચા બનાવવા કરતાં વધુ મુશ્કેલ નથી. પરંતુ જ્યારે મોટા કોર્પોરેશનની વાત આવે છે, ત્યારે આવી સરળ ક્રિયા પણ પીડાદાયક રીતે લાંબી થઈ શકે છે. વર્ચ્યુઅલ મશીન બનાવવા માટે તે પૂરતું નથી; તમારે બધા નિયમો અનુસાર કાર્ય કરવા માટે જરૂરી ઍક્સેસ મેળવવાની પણ જરૂર છે. દરેક વિકાસકર્તા માટે એક પરિચિત પીડા? એક મોટી બેંકમાં, આ પ્રક્રિયાને ઘણા કલાકોથી લઈને ઘણા દિવસો સુધીનો સમય લાગ્યો. અને દર મહિને સેંકડો સમાન કામગીરી હોવાથી, આ શ્રમ-વપરાશ યોજનાના સ્કેલની કલ્પના કરવી સરળ છે. આનો અંત લાવવા માટે, અમે બેંકના ખાનગી ક્લાઉડનું આધુનિકીકરણ કર્યું અને માત્ર VM બનાવવાની પ્રક્રિયા જ નહીં, પરંતુ સંબંધિત કામગીરીને પણ સ્વચાલિત કરી.

કાર્ય નંબર 1. ઇન્ટરનેટ કનેક્શન સાથે ક્લાઉડ

બેંકે નેટવર્કના એક સેગમેન્ટ માટે તેની આંતરિક IT ટીમનો ઉપયોગ કરીને ખાનગી ક્લાઉડ બનાવ્યું. સમય જતાં, મેનેજમેન્ટે તેના ફાયદાઓની પ્રશંસા કરી અને ખાનગી ક્લાઉડ કોન્સેપ્ટને બેંકના અન્ય વાતાવરણ અને સેગમેન્ટમાં વિસ્તારવાનું નક્કી કર્યું. આના માટે ખાનગી વાદળોમાં વધુ નિષ્ણાતો અને મજબૂત કુશળતાની જરૂર હતી. તેથી, અમારી ટીમને ક્લાઉડને આધુનિક બનાવવાની જવાબદારી સોંપવામાં આવી હતી.

આ પ્રોજેક્ટનો મુખ્ય પ્રવાહ માહિતી સુરક્ષાના વધારાના સેગમેન્ટમાં વર્ચ્યુઅલ મશીનોની રચના હતી - ડિમિલિટરાઇઝ્ડ ઝોન (DMZ) માં. આ તે છે જ્યાં બેંકની સેવાઓ બેંકિંગ ઇન્ફ્રાસ્ટ્રક્ચરની બહાર સ્થિત બાહ્ય સિસ્ટમો સાથે સંકલિત છે.

પરંતુ આ મેડલની પણ એક બીજી બાજુ હતી. DMZ ની સેવાઓ "બહાર" ઉપલબ્ધ હતી અને આમાં માહિતી સુરક્ષા જોખમોનો સંપૂર્ણ સમૂહ સામેલ હતો. સૌ પ્રથમ, આ હેકિંગ સિસ્ટમ્સ, ડીએમઝેડમાં હુમલો ક્ષેત્રના અનુગામી વિસ્તરણ અને પછી બેંકના ઇન્ફ્રાસ્ટ્રક્ચરમાં ઘૂંસપેંઠનો ભય છે. આમાંના કેટલાક જોખમોને ઘટાડવા માટે, અમે વધારાના સુરક્ષા માપદંડ - માઇક્રો-સેગમેન્ટેશન સોલ્યુશનનો ઉપયોગ કરવાનો પ્રસ્તાવ મૂક્યો છે.

માઇક્રો-સેગમેન્ટેશન પ્રોટેક્શન

ક્લાસિક સેગ્મેન્ટેશન ફાયરવોલનો ઉપયોગ કરીને નેટવર્કની સીમાઓ પર સુરક્ષિત સીમાઓ બનાવે છે. માઇક્રોસેગ્મેન્ટેશન સાથે, દરેક વ્યક્તિગત VM ને વ્યક્તિગત, અલગ સેગમેન્ટમાં અલગ કરી શકાય છે.

આ સમગ્ર સિસ્ટમની સુરક્ષાને વધારે છે. જો હુમલાખોરો એક DMZ સર્વરને હેક કરે છે, તો પણ તેમના માટે આખા નેટવર્ક પર હુમલાને ફેલાવવાનું અત્યંત મુશ્કેલ હશે - તેઓએ નેટવર્કની અંદરના ઘણા "લૉક કરેલા દરવાજા" તોડવા પડશે. દરેક VM ની વ્યક્તિગત ફાયરવોલ તેના સંબંધિત તેના પોતાના નિયમો ધરાવે છે, જે પ્રવેશ અને બહાર નીકળવાનો અધિકાર નક્કી કરે છે. અમે VMware NSX-T વિતરિત ફાયરવોલનો ઉપયોગ કરીને માઇક્રો-સેગમેન્ટેશન પ્રદાન કર્યું છે. આ પ્રોડક્ટ કેન્દ્રિય રીતે VM માટે ફાયરવોલ નિયમો બનાવે છે અને તેને વર્ચ્યુઅલાઈઝેશન ઈન્ફ્રાસ્ટ્રક્ચરમાં વિતરિત કરે છે. કયા ગેસ્ટ ઓએસનો ઉપયોગ કરવામાં આવે છે તેનાથી કોઈ ફરક પડતો નથી, વર્ચ્યુઅલ મશીનોને નેટવર્ક સાથે કનેક્ટ કરવાના સ્તરે નિયમ લાગુ કરવામાં આવે છે.

સમસ્યા N2. ઝડપ અને સગવડની શોધમાં

વર્ચ્યુઅલ મશીન જમાવવું છે? સરળતાથી! થોડા ક્લિક્સ અને તમે પૂર્ણ કરી લો. પરંતુ પછી ઘણા પ્રશ્નો ઉભા થાય છે: આ VM થી બીજા અથવા સિસ્ટમમાં કેવી રીતે પ્રવેશ મેળવવો? અથવા બીજી સિસ્ટમમાંથી VM પર પાછા?

ઉદાહરણ તરીકે, બેંકમાં, ક્લાઉડ પોર્ટલ પર VM ઓર્ડર કર્યા પછી, તકનીકી સપોર્ટ પોર્ટલ ખોલવું અને જરૂરી ઍક્સેસની જોગવાઈ માટે વિનંતી સબમિટ કરવી જરૂરી હતી. એપ્લિકેશનમાં ભૂલના પરિણામે પરિસ્થિતિને સુધારવા માટે કૉલ્સ અને પત્રવ્યવહાર થયો. તે જ સમયે, VM માં 10-15-20 એક્સેસ હોઈ શકે છે અને દરેકની પ્રક્રિયામાં સમય લાગે છે. શેતાનની પ્રક્રિયા.

વધુમાં, રીમોટ વર્ચ્યુઅલ મશીનોની જીવન પ્રવૃત્તિના નિશાન "સફાઈ" માટે ખાસ કાળજીની જરૂર છે. તેઓને દૂર કર્યા પછી, સાધનોને લોડ કરીને ફાયરવોલ પર હજારો ઍક્સેસ નિયમો રહ્યા. આ એક વધારાનો બોજ અને સુરક્ષા છિદ્રો બંને છે.

તમે ક્લાઉડમાં નિયમો સાથે આ કરી શકતા નથી. તે અસુવિધાજનક અને અસુરક્ષિત છે.

VM ની ઍક્સેસ પ્રદાન કરવામાં લાગતો સમય ઘટાડવા અને તેને સંચાલિત કરવામાં અનુકૂળ બનાવવા માટે, અમે VMs માટે નેટવર્ક એક્સેસ મેનેજમેન્ટ સેવા વિકસાવી છે.

સંદર્ભ મેનૂમાં વર્ચ્યુઅલ મશીન સ્તર પર વપરાશકર્તા ઍક્સેસ નિયમ બનાવવા માટે એક આઇટમ પસંદ કરે છે, અને પછી જે ફોર્મ ખુલે છે તેમાં પરિમાણો સ્પષ્ટ કરે છે - ક્યાંથી, ક્યાં, પ્રોટોકોલ પ્રકારો, પોર્ટ નંબર્સ. ફોર્મ ભર્યા પછી અને સબમિટ કર્યા પછી, HP સર્વિસ મેનેજર પર આધારિત વપરાશકર્તા તકનીકી સપોર્ટ સિસ્ટમમાં જરૂરી ટિકિટો આપમેળે બનાવવામાં આવે છે. તેઓ આ અથવા તે ઍક્સેસને મંજૂર કરવા અને, જો ઍક્સેસ મંજૂર કરવામાં આવે તો, નિષ્ણાતો માટે જવાબદાર છે કે જેઓ હજુ સુધી સ્વચાલિત નથી તેવા કેટલાક ઓપરેશન કરે છે.

નિષ્ણાતોને સંડોવતા વ્યવસાયિક પ્રક્રિયાના તબક્કામાં કામ કર્યા પછી, સેવાનો ભાગ શરૂ થાય છે જે આપમેળે ફાયરવોલ પર નિયમો બનાવે છે.

અંતિમ તાર તરીકે, વપરાશકર્તા પોર્ટલ પર સફળતાપૂર્વક પૂર્ણ કરેલી વિનંતી જુએ છે. આનો અર્થ એ છે કે નિયમ બનાવવામાં આવ્યો છે અને તમે તેની સાથે કામ કરી શકો છો - જુઓ, બદલો, કાઢી નાખો.

લાભોનો અંતિમ સ્કોર

અનિવાર્યપણે, અમે ખાનગી ક્લાઉડના નાના પાસાઓનું આધુનિકીકરણ કર્યું, પરંતુ બેંકને નોંધપાત્ર અસર મળી. વપરાશકર્તાઓ હવે સર્વિસ ડેસ્ક સાથે સીધો વ્યવહાર કર્યા વિના ફક્ત પોર્ટલ દ્વારા જ નેટવર્ક ઍક્સેસ મેળવે છે. ફરજિયાત ફોર્મ ફીલ્ડ્સ, દાખલ કરેલ ડેટાની શુદ્ધતા માટે તેમની માન્યતા, પૂર્વ-રૂપરેખાંકિત સૂચિઓ, વધારાના ડેટા - આ બધું સચોટ ઍક્સેસ વિનંતી ઘડવામાં મદદ કરે છે, જે ઉચ્ચ ડિગ્રીની સંભાવના સાથે ધ્યાનમાં લેવામાં આવશે અને માહિતી સુરક્ષા કર્મચારીઓ દ્વારા નકારવામાં આવશે નહીં. ઇનપુટ ભૂલો માટે. વર્ચ્યુઅલ મશીનો હવે બ્લેક બોક્સ નથી-તમે પોર્ટલ પર ફેરફારો કરીને તેમની સાથે કામ કરવાનું ચાલુ રાખી શકો છો.

પરિણામે, આજે બેંકના IT નિષ્ણાતો પાસે ઍક્સેસ મેળવવા માટે વધુ અનુકૂળ સાધન છે, અને ફક્ત તે જ લોકો પ્રક્રિયામાં સામેલ છે, જેમના વિના તેઓ ચોક્કસપણે કરી શકતા નથી. કુલ મળીને, મજૂરી ખર્ચની દ્રષ્ટિએ, આ ઓછામાં ઓછા 1 વ્યક્તિના દૈનિક સંપૂર્ણ ભારમાંથી મુક્તિ છે, તેમજ વપરાશકર્તાઓ માટે ડઝનેક કલાકો સાચવવામાં આવે છે. નિયમની રચનાના સ્વચાલિતકરણથી માઇક્રો-સેગમેન્ટેશન સોલ્યુશન અમલમાં મૂકવું શક્ય બન્યું છે જે બેંક કર્મચારીઓ પર બોજ પેદા કરતું નથી.

અને અંતે, "એક્સેસ નિયમ" ક્લાઉડનું એકાઉન્ટિંગ યુનિટ બની ગયું. એટલે કે, હવે ક્લાઉડ તમામ VM માટેના નિયમો વિશે માહિતી સંગ્રહિત કરે છે અને જ્યારે વર્ચ્યુઅલ મશીનો કાઢી નાખવામાં આવે છે ત્યારે તેને સાફ કરે છે.

ટૂંક સમયમાં આધુનિકીકરણના ફાયદા સમગ્ર બેંકના ક્લાઉડમાં ફેલાઈ જશે. VM બનાવવાની પ્રક્રિયાનું ઓટોમેશન અને માઇક્રો-સેગમેન્ટેશન DMZ થી આગળ વધ્યું છે અને અન્ય સેગમેન્ટ્સ કબજે કર્યા છે. અને આનાથી સમગ્ર મેઘની સુરક્ષામાં વધારો થયો.

અમલમાં મૂકાયેલ ઉકેલ એ પણ રસપ્રદ છે કે તે બેંકને વિકાસ પ્રક્રિયાઓને ઝડપી બનાવવા માટે પરવાનગી આપે છે, તેને આ માપદંડ અનુસાર IT કંપનીઓના મોડલની નજીક લાવે છે. છેવટે, જ્યારે મોબાઇલ એપ્લિકેશન્સ, પોર્ટલ અને ગ્રાહક સેવાઓની વાત આવે છે, ત્યારે આજે કોઈપણ મોટી કંપની ડિજિટલ ઉત્પાદનોના ઉત્પાદન માટે "ફેક્ટરી" બનવાનો પ્રયત્ન કરે છે. આ અર્થમાં, બેંકો વ્યવહારીક રીતે સૌથી મજબૂત IT કંપનીઓની સમકક્ષ રહીને, નવી એપ્લીકેશનની રચનાને જાળવી રાખે છે. અને તે સારું છે જ્યારે ખાનગી ક્લાઉડ મોડલ પર બનેલ IT ઇન્ફ્રાસ્ટ્રક્ચરની ક્ષમતાઓ તમને થોડી મિનિટોમાં અને શક્ય તેટલી સુરક્ષિત રીતે આ માટે જરૂરી સંસાધનો ફાળવવાની મંજૂરી આપે છે.

લેખકો:
વ્યાચેસ્લાવ મેદવેદેવ, ક્લાઉડ કમ્પ્યુટિંગ વિભાગના વડા, જેટ ઇન્ફોસિસ્ટમ્સ,
ઇલ્યા કુઇકિન, જેટ ઇન્ફોસિસ્ટમ્સના ક્લાઉડ કમ્પ્યુટિંગ વિભાગના અગ્રણી એન્જિનિયર

સોર્સ: www.habr.com