फेसिंग डेवलपर्स: प्राइवेट क्लाउड का आधुनिकीकरण

क्या क्लाउड में वर्चुअल मशीन (VM) बनाना मुश्किल है? चाय बनाने से ज्यादा मुश्किल कुछ भी नहीं. लेकिन जब बड़े निगम की बात आती है, तो इतनी सरल कार्रवाई भी कष्टदायक रूप से लंबी हो सकती है। वर्चुअल मशीन बनाना ही पर्याप्त नहीं है; आपको सभी नियमों के अनुसार काम करने के लिए आवश्यक पहुंच भी प्राप्त करनी होगी। प्रत्येक डेवलपर के लिए एक परिचित दर्द? एक बड़े बैंक में, इस प्रक्रिया में कई घंटों से लेकर कई दिनों तक का समय लगा। और चूंकि प्रति माह इसी तरह के सैकड़ों ऑपरेशन होते थे, इसलिए इस श्रम-खपत योजना के पैमाने की कल्पना करना आसान है। इसे ख़त्म करने के लिए, हमने बैंक के निजी क्लाउड का आधुनिकीकरण किया और न केवल वीएम बनाने की प्रक्रिया को स्वचालित किया, बल्कि संबंधित संचालन को भी स्वचालित किया।

कार्य क्रमांक 1. इंटरनेट कनेक्शन के साथ क्लाउड

बैंक ने नेटवर्क के एक खंड के लिए अपनी आंतरिक आईटी टीम का उपयोग करके एक निजी क्लाउड बनाया। समय के साथ, प्रबंधन ने इसके लाभों की सराहना की और निजी क्लाउड अवधारणा को बैंक के अन्य परिवेशों और क्षेत्रों में विस्तारित करने का निर्णय लिया। इसके लिए निजी क्लाउड में अधिक विशेषज्ञों और मजबूत विशेषज्ञता की आवश्यकता थी। इसलिए, हमारी टीम को क्लाउड को आधुनिक बनाने का काम सौंपा गया।

इस परियोजना की मुख्य धारा सूचना सुरक्षा के एक अतिरिक्त खंड - विसैन्यीकृत क्षेत्र (डीएमजेड) में वर्चुअल मशीनों का निर्माण था। यह वह जगह है जहां बैंक की सेवाएं बैंकिंग बुनियादी ढांचे के बाहर स्थित बाहरी प्रणालियों के साथ एकीकृत होती हैं।

लेकिन इस पदक का एक दूसरा पहलू भी था. डीएमजेड की सेवाएँ "बाहर" उपलब्ध थीं और इसमें सूचना सुरक्षा जोखिमों का एक पूरा सेट शामिल था। सबसे पहले, यह हैकिंग सिस्टम का खतरा है, इसके बाद डीएमजेड में हमले के क्षेत्र का विस्तार और फिर बैंक के बुनियादी ढांचे में प्रवेश। इनमें से कुछ जोखिमों को कम करने के लिए, हमने एक अतिरिक्त सुरक्षा उपाय - एक सूक्ष्म-विभाजन समाधान - का उपयोग करने का प्रस्ताव रखा।

सूक्ष्म-विभाजन सुरक्षा

क्लासिक विभाजन फ़ायरवॉल का उपयोग करके नेटवर्क की सीमाओं पर संरक्षित सीमाएँ बनाता है। माइक्रोसेगमेंटेशन के साथ, प्रत्येक व्यक्तिगत वीएम को एक व्यक्तिगत, पृथक खंड में विभाजित किया जा सकता है।

इससे पूरे सिस्टम की सुरक्षा बढ़ जाती है. भले ही हमलावर एक DMZ सर्वर को हैक कर लें, उनके लिए पूरे नेटवर्क में हमले को फैलाना बेहद मुश्किल होगा - उन्हें नेटवर्क के भीतर कई "बंद दरवाजों" को तोड़ना होगा। प्रत्येक वीएम के व्यक्तिगत फ़ायरवॉल में इसके संबंध में अपने स्वयं के नियम होते हैं, जो प्रवेश और निकास का अधिकार निर्धारित करते हैं। हमने VMware NSX-T डिस्ट्रीब्यूटेड फ़ायरवॉल का उपयोग करके सूक्ष्म-विभाजन प्रदान किया। यह उत्पाद केंद्रीय रूप से वीएम के लिए फ़ायरवॉल नियम बनाता है और उन्हें वर्चुअलाइजेशन बुनियादी ढांचे में वितरित करता है। इससे कोई फर्क नहीं पड़ता कि किस अतिथि ओएस का उपयोग किया जाता है, नियम वर्चुअल मशीनों को नेटवर्क से जोड़ने के स्तर पर लागू किया जाता है।

समस्या N2. गति और सुविधा की तलाश में

एक वर्चुअल मशीन तैनात करें? आसानी से! कुछ क्लिक और आपका काम हो गया। लेकिन फिर कई सवाल उठते हैं: इस वीएम से दूसरे या सिस्टम तक पहुंच कैसे प्राप्त करें? या किसी अन्य सिस्टम से वीएम पर वापस?

उदाहरण के लिए, किसी बैंक में, क्लाउड पोर्टल पर वीएम ऑर्डर करने के बाद, तकनीकी सहायता पोर्टल खोलना और आवश्यक पहुंच के प्रावधान के लिए अनुरोध जमा करना आवश्यक था। एप्लिकेशन में त्रुटि के कारण स्थिति को ठीक करने के लिए कॉल और पत्राचार करना पड़ा। एक ही समय में, एक वीएम में 10-15-20 एक्सेस हो सकते हैं और प्रत्येक को संसाधित करने में समय लगता है। शैतान की प्रक्रिया.

इसके अलावा, दूरस्थ आभासी मशीनों की जीवन गतिविधि के निशानों की "सफाई" के लिए विशेष देखभाल की आवश्यकता होती है। उन्हें हटा दिए जाने के बाद, फ़ायरवॉल पर हजारों एक्सेस नियम बने रहे, जिससे उपकरण लोड हो गए। यह एक अतिरिक्त बोझ और सुरक्षा छेद दोनों है।

आप क्लाउड में नियमों के साथ ऐसा नहीं कर सकते. यह असुविधाजनक और असुरक्षित है.

वीएम तक पहुंच प्रदान करने में लगने वाले समय को कम करने और उन्हें प्रबंधित करना सुविधाजनक बनाने के लिए, हमने वीएम के लिए एक नेटवर्क एक्सेस प्रबंधन सेवा विकसित की है।

संदर्भ मेनू में वर्चुअल मशीन स्तर पर उपयोगकर्ता एक्सेस नियम बनाने के लिए एक आइटम का चयन करता है, और फिर खुलने वाले फॉर्म में पैरामीटर निर्दिष्ट करता है - कहां से, कहां से, प्रोटोकॉल प्रकार, पोर्ट नंबर। फॉर्म भरने और जमा करने के बाद, आवश्यक टिकट एचपी सेवा प्रबंधक पर आधारित उपयोगकर्ता तकनीकी सहायता प्रणाली में स्वचालित रूप से बनाए जाते हैं। वे इस या उस पहुंच को मंजूरी देने के लिए जिम्मेदार हैं और, यदि पहुंच स्वीकृत है, तो उन विशेषज्ञों तक जो कुछ ऐसे ऑपरेशन करते हैं जो अभी तक स्वचालित नहीं हैं।

विशेषज्ञों को शामिल करने वाली व्यावसायिक प्रक्रिया के चरण के पूरा होने के बाद, सेवा का वह हिस्सा शुरू होता है जो स्वचालित रूप से फ़ायरवॉल पर नियम बनाता है।

अंतिम कॉर्ड के रूप में, उपयोगकर्ता पोर्टल पर सफलतापूर्वक पूरा किया गया अनुरोध देखता है। इसका मतलब है कि नियम बना दिया गया है और आप इसके साथ काम कर सकते हैं - देखें, बदलें, हटाएं।

लाभ का अंतिम स्कोर

मूलतः, हमने निजी क्लाउड के छोटे पहलुओं का आधुनिकीकरण किया, लेकिन बैंक को ध्यान देने योग्य प्रभाव प्राप्त हुआ। उपयोगकर्ता अब सीधे सर्विस डेस्क से संपर्क किए बिना, केवल पोर्टल के माध्यम से नेटवर्क एक्सेस प्राप्त करते हैं। अनिवार्य फॉर्म फ़ील्ड, दर्ज किए गए डेटा की शुद्धता के लिए उनकी मान्यता, पूर्व-कॉन्फ़िगर सूचियां, अतिरिक्त डेटा - यह सब एक सटीक एक्सेस अनुरोध तैयार करने में मदद करता है, जिस पर उच्च संभावना के साथ विचार किया जाएगा और सूचना सुरक्षा कर्मचारियों द्वारा अस्वीकार नहीं किया जाएगा। त्रुटियों को इनपुट करने के लिए. वर्चुअल मशीनें अब ब्लैक बॉक्स नहीं हैं—आप पोर्टल पर बदलाव करके उनके साथ काम करना जारी रख सकते हैं।

परिणामस्वरूप, आज बैंक के आईटी विशेषज्ञों के पास पहुंच प्राप्त करने के लिए एक अधिक सुविधाजनक उपकरण उपलब्ध है, और केवल वे लोग ही इस प्रक्रिया में शामिल होते हैं, जिनके बिना वे निश्चित रूप से काम नहीं कर सकते। कुल मिलाकर, श्रम लागत के संदर्भ में, यह कम से कम 1 व्यक्ति के दैनिक पूर्ण भार से मुक्ति है, साथ ही उपयोगकर्ताओं के लिए दर्जनों घंटे की बचत भी है। नियम निर्माण के स्वचालन ने एक सूक्ष्म-विभाजन समाधान लागू करना संभव बना दिया जिससे बैंक कर्मचारियों पर बोझ नहीं पड़ता।

और अंततः, "एक्सेस नियम" क्लाउड की लेखा इकाई बन गया। यानी, अब क्लाउड सभी वीएम के नियमों के बारे में जानकारी संग्रहीत करता है और वर्चुअल मशीन हटाए जाने पर उन्हें साफ करता है।

जल्द ही आधुनिकीकरण का लाभ पूरे बैंक के क्लाउड तक फैल जाएगा। वीएम निर्माण प्रक्रिया का स्वचालन और सूक्ष्म-विभाजन डीएमजेड से आगे बढ़ गया है और अन्य खंडों पर कब्जा कर लिया है। और इससे समग्र रूप से क्लाउड की सुरक्षा बढ़ गई।

कार्यान्वित समाधान इस मायने में भी दिलचस्प है कि यह बैंक को विकास प्रक्रियाओं को गति देने की अनुमति देता है, जिससे यह इस मानदंड के अनुसार आईटी कंपनियों के मॉडल के करीब आ जाता है। आख़िरकार, जब मोबाइल एप्लिकेशन, पोर्टल और ग्राहक सेवाओं की बात आती है, तो कोई भी बड़ी कंपनी आज डिजिटल उत्पादों के उत्पादन के लिए "फ़ैक्टरी" बनने का प्रयास करती है। इस अर्थ में, नए अनुप्रयोगों के निर्माण को ध्यान में रखते हुए, बैंक व्यावहारिक रूप से सबसे मजबूत आईटी कंपनियों के बराबर खेलते हैं। और यह अच्छा है जब एक निजी क्लाउड मॉडल पर निर्मित आईटी बुनियादी ढांचे की क्षमताएं आपको कुछ ही मिनटों में और यथासंभव सुरक्षित रूप से इसके लिए आवश्यक संसाधन आवंटित करने की अनुमति देती हैं।

लेखक:
व्याचेस्लाव मेदवेदेव, क्लाउड कंप्यूटिंग विभाग के प्रमुख, जेट इन्फोसिस्टम्स,
इल्या कुइकिन, जेट इन्फोसिस्टम्स के क्लाउड कंप्यूटिंग विभाग के अग्रणी इंजीनियर

स्रोत: www.habr.com