ប្រឈមមុខនឹងអ្នកអភិវឌ្ឍន៍៖ ធ្វើទំនើបកម្មពពកឯកជន

តើវាពិបាកក្នុងការបង្កើតម៉ាស៊ីននិម្មិត (VM) នៅក្នុងពពកមែនទេ? មិនពិបាកជាងធ្វើតែ។ ប៉ុន្តែនៅពេលដែលវាមកដល់សាជីវកម្មធំមួយ សូម្បីតែសកម្មភាពដ៏សាមញ្ញបែបនេះក៏អាចប្រែទៅជាឈឺចាប់យូរដែរ។ វាមិនគ្រប់គ្រាន់ដើម្បីបង្កើតម៉ាស៊ីននិម្មិតទេ អ្នកក៏ត្រូវទទួលបានសិទ្ធិចូលដំណើរការចាំបាច់ដើម្បីធ្វើការស្របតាមបទប្បញ្ញត្តិទាំងអស់។ ការឈឺចាប់ដែលធ្លាប់ស្គាល់សម្រាប់អ្នកអភិវឌ្ឍន៍គ្រប់រូប? នៅក្នុងធនាគារធំមួយ នីតិវិធីនេះចំណាយពេលពីច្រើនម៉ោងទៅច្រើនថ្ងៃ។ ហើយចាប់តាំងពីមានប្រតិបត្តិការស្រដៀងគ្នារាប់រយក្នុងមួយខែ វាជាការងាយស្រួលក្នុងការស្រមៃមើលមាត្រដ្ឋាននៃគ្រោងការណ៍ប្រើប្រាស់កម្លាំងពលកម្មនេះ។ ដើម្បីបញ្ចប់បញ្ហានេះ យើងបានធ្វើទំនើបកម្មលើពពកឯកជនរបស់ធនាគារ និងដំណើរការដោយស្វ័យប្រវត្តិមិនត្រឹមតែដំណើរការបង្កើត VMs ប៉ុណ្ណោះទេ ប៉ុន្តែក៏មានប្រតិបត្តិការពាក់ព័ន្ធផងដែរ។

កិច្ចការទី 1 ។ ពពកជាមួយនឹងការភ្ជាប់អ៊ីនធឺណិត

ធនាគារបានបង្កើតពពកឯកជនដោយប្រើក្រុម IT ខាងក្នុងរបស់ខ្លួនសម្រាប់ផ្នែកតែមួយនៃបណ្តាញ។ យូរ ៗ ទៅ អ្នកគ្រប់គ្រងបានកោតសរសើរចំពោះអត្ថប្រយោជន៍របស់វា ហើយបានសម្រេចចិត្តពង្រីកគំនិតឯកជននៃពពកទៅបរិយាកាស និងផ្នែកផ្សេងទៀតនៃធនាគារ។ នេះតម្រូវឱ្យមានអ្នកឯកទេសបន្ថែមទៀត និងអ្នកជំនាញខ្លាំងនៅក្នុងពពកឯកជន។ ដូច្នេះហើយ ក្រុមរបស់យើងត្រូវបានប្រគល់ឱ្យនូវការធ្វើទំនើបកម្មពពក។

ស្ទ្រីមសំខាន់នៃគម្រោងនេះគឺការបង្កើតម៉ាស៊ីននិម្មិតនៅក្នុងផ្នែកបន្ថែមនៃសុវត្ថិភាពព័ត៌មាន - នៅក្នុងតំបន់គ្មានយោធា (DMZ) ។ នេះគឺជាកន្លែងដែលសេវាកម្មរបស់ធនាគារត្រូវបានដាក់បញ្ចូលជាមួយប្រព័ន្ធខាងក្រៅដែលមានទីតាំងនៅខាងក្រៅហេដ្ឋារចនាសម្ព័ន្ធធនាគារ។

ប៉ុន្តែ​មេដាយ​នេះ​ក៏​មាន​ការ​ត្រឡប់​មក​វិញ​ដែរ។ សេវាកម្មពី DMZ អាចរកបាន "នៅខាងក្រៅ" ហើយនេះរួមបញ្ចូលនូវហានិភ័យសុវត្ថិភាពព័ត៌មានទាំងមូល។ ជាដំបូង នេះគឺជាការគំរាមកំហែងនៃប្រព័ន្ធលួចចូល ការពង្រីកជាបន្តបន្ទាប់នៃកន្លែងវាយប្រហារនៅក្នុង DMZ ហើយបន្ទាប់មកការជ្រៀតចូលទៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធរបស់ធនាគារ។ ដើម្បីកាត់បន្ថយហានិភ័យទាំងនេះមួយចំនួន យើងបានស្នើឱ្យប្រើវិធានការសុវត្ថិភាពបន្ថែម - ដំណោះស្រាយផ្នែកមីក្រូ។

ការការពារការបែងចែកខ្នាតតូច

ការបែងចែកបែបបុរាណបង្កើតព្រំដែនការពារនៅព្រំដែននៃបណ្តាញដោយប្រើជញ្ជាំងភ្លើង។ ជាមួយនឹង microsegmentation VM នីមួយៗអាចត្រូវបានបំបែកទៅជាផ្នែកឯកោផ្ទាល់ខ្លួន។

នេះបង្កើនសុវត្ថិភាពនៃប្រព័ន្ធទាំងមូល។ ទោះបីជាអ្នកវាយប្រហារវាយលុកម៉ាស៊ីនមេ DMZ មួយក៏ដោយ វានឹងពិបាកខ្លាំងណាស់សម្រាប់ពួកគេក្នុងការផ្សព្វផ្សាយការវាយប្រហារទូទាំងបណ្តាញ - ពួកគេនឹងត្រូវទម្លុះ "ទ្វារចាក់សោ" ជាច្រើននៅក្នុងបណ្តាញ។ ជញ្ជាំងភ្លើងផ្ទាល់ខ្លួនរបស់ VM នីមួយៗមានច្បាប់ផ្ទាល់ខ្លួនទាក់ទងនឹងវា ដែលកំណត់សិទ្ធិចូល និងចេញ។ យើងបានផ្តល់ការបែងចែកខ្នាតតូចដោយប្រើ VMware NSX-T Distributed Firewall ។ ផលិតផលនេះបង្កើតជាច្បាប់ជញ្ជាំងភ្លើងសម្រាប់ VMs ហើយចែកចាយវានៅទូទាំងហេដ្ឋារចនាសម្ព័ន្ធនិម្មិត។ វាមិនមានបញ្ហាថាតើ OS របស់ភ្ញៀវត្រូវប្រើទេ ច្បាប់ត្រូវបានអនុវត្តនៅកម្រិតនៃការតភ្ជាប់ម៉ាស៊ីននិម្មិតទៅបណ្តាញ។

បញ្ហា N2. ក្នុងការស្វែងរកល្បឿន និងភាពងាយស្រួល

ដាក់​ឱ្យ​ប្រើ​ម៉ាស៊ីន​និម្មិត? យ៉ាង​ងាយស្រួល! ចុចពីរបីដងហើយអ្នករួចរាល់។ ប៉ុន្តែបន្ទាប់មកសំណួរជាច្រើនកើតឡើង: របៀបដើម្បីទទួលបានការចូលប្រើពី VM នេះទៅប្រព័ន្ធមួយផ្សេងទៀតឬប្រព័ន្ធ? ឬពីប្រព័ន្ធមួយផ្សេងទៀតត្រឡប់ទៅ VM?

ជាឧទាហរណ៍ នៅក្នុងធនាគារមួយ បន្ទាប់ពីបញ្ជាទិញ VM នៅលើ cloud portal វាចាំបាច់ត្រូវបើកវិបផតថលជំនួយបច្ចេកទេស ហើយដាក់សំណើសម្រាប់ការផ្តល់ការចូលប្រើប្រាស់ចាំបាច់។ កំហុសនៅក្នុងកម្មវិធីបណ្តាលឱ្យមានការហៅទូរសព្ទ និងការឆ្លើយឆ្លងដើម្បីកែតម្រូវស្ថានភាព។ ក្នុងពេលជាមួយគ្នានោះ VM អាចមានការចូលប្រើ 10-15-20 ហើយដំណើរការនីមួយៗត្រូវចំណាយពេល។ ដំណើរការរបស់អារក្ស។

លើសពីនេះទៀត "ការសម្អាត" ដាននៃសកម្មភាពជីវិតរបស់ម៉ាស៊ីននិម្មិតពីចម្ងាយតម្រូវឱ្យមានការថែទាំពិសេស។ បន្ទាប់ពីពួកគេត្រូវបានដកចេញ ច្បាប់ចូលដំណើរការរាប់ពាន់នៅតែមាននៅលើជញ្ជាំងភ្លើង ដោយផ្ទុកឧបករណ៍។ នេះគឺជាបន្ទុកបន្ថែម និងរន្ធសុវត្ថិភាព។

អ្នក​មិន​អាច​ធ្វើ​វា​ជាមួយ​នឹង​ច្បាប់​ក្នុង​ពពក​បាន​ទេ។ វាជាការរអាក់រអួលនិងមិនមានសុវត្ថិភាព។

ដើម្បីកាត់បន្ថយពេលវេលាដែលវាត្រូវការដើម្បីផ្តល់ការចូលប្រើ VMs និងធ្វើឱ្យវាមានភាពងាយស្រួលក្នុងការគ្រប់គ្រងពួកវា យើងបានបង្កើតសេវាកម្មគ្រប់គ្រងការចូលប្រើបណ្តាញសម្រាប់ VMs ។

អ្នកប្រើប្រាស់នៅកម្រិតម៉ាស៊ីននិម្មិតនៅក្នុងម៉ឺនុយបរិបទជ្រើសរើសធាតុមួយដើម្បីបង្កើតច្បាប់ចូលដំណើរការ ហើយបន្ទាប់មកក្នុងទម្រង់ដែលបើកបញ្ជាក់ប៉ារ៉ាម៉ែត្រ - ពីកន្លែងណា កន្លែងណា ប្រភេទពិធីការ លេខច្រក។ បន្ទាប់ពីបំពេញ និងបញ្ជូនទម្រង់ សំបុត្រចាំបាច់ត្រូវបានបង្កើតដោយស្វ័យប្រវត្តិនៅក្នុងប្រព័ន្ធជំនួយបច្ចេកទេសអ្នកប្រើប្រាស់ដោយផ្អែកលើកម្មវិធីគ្រប់គ្រងសេវា HP ។ ពួកគេមានទំនួលខុសត្រូវក្នុងការអនុម័តការចូលប្រើនេះ ឬនោះ ហើយប្រសិនបើការចូលប្រើត្រូវបានយល់ព្រម ដល់អ្នកឯកទេសដែលអនុវត្តប្រតិបត្តិការមួយចំនួនដែលមិនទាន់ដំណើរការដោយស្វ័យប្រវត្តិ។

បន្ទាប់ពីដំណាក់កាលនៃដំណើរការអាជីវកម្មដែលពាក់ព័ន្ធនឹងអ្នកឯកទេសបានដំណើរការ ផ្នែកនៃសេវាកម្មចាប់ផ្តើមដែលបង្កើតច្បាប់ដោយស្វ័យប្រវត្តិនៅលើជញ្ជាំងភ្លើង។

ជាអង្កត់ធ្នូចុងក្រោយ អ្នកប្រើប្រាស់ឃើញសំណើដែលបានបញ្ចប់ដោយជោគជ័យនៅលើវិបផតថល។ នេះមានន័យថាច្បាប់ត្រូវបានបង្កើត ហើយអ្នកអាចធ្វើការជាមួយវាបាន - មើល ផ្លាស់ប្តូរ លុប។

ពិន្ទុចុងក្រោយនៃអត្ថប្រយោជន៍

សំខាន់ យើងធ្វើទំនើបកម្មទិដ្ឋភាពតូចៗនៃពពកឯកជន ប៉ុន្តែធនាគារបានទទួលឥទ្ធិពលគួរឱ្យកត់សម្គាល់។ ឥឡូវនេះអ្នកប្រើប្រាស់ទទួលបានការចូលប្រើបណ្តាញតែតាមរយៈវិបផតថលប៉ុណ្ណោះ ដោយមិនមានការទាក់ទងដោយផ្ទាល់ជាមួយ Service Desk។ វាលទម្រង់ចាំបាច់ សុពលភាពរបស់ពួកគេសម្រាប់ភាពត្រឹមត្រូវនៃទិន្នន័យដែលបានបញ្ចូល បញ្ជីដែលបានកំណត់រចនាសម្ព័ន្ធជាមុន ទិន្នន័យបន្ថែម - ទាំងអស់នេះជួយបង្កើតសំណើចូលប្រើបានត្រឹមត្រូវ ដែលមានកម្រិតខ្ពស់នៃប្រូបាប៊ីលីតេនឹងត្រូវបានពិចារណា និងមិនត្រូវបានបដិសេធដោយបុគ្គលិកសន្តិសុខព័ត៌មានដោយសារ ដើម្បីបញ្ចូលកំហុស។ ម៉ាស៊ីននិម្មិតមិនមែនជាប្រអប់ខ្មៅទៀតទេ—អ្នកអាចបន្តធ្វើការជាមួយពួកគេដោយធ្វើការផ្លាស់ប្តូរនៅលើវិបផតថល។

ជាលទ្ធផល សព្វថ្ងៃនេះ អ្នកជំនាញផ្នែកព័ត៌មានវិទ្យារបស់ធនាគារមានឧបករណ៍ងាយស្រួលជាងសម្រាប់ការចូលប្រើ ហើយមានតែមនុស្សទាំងនោះប៉ុណ្ណោះដែលចូលរួមក្នុងដំណើរការនេះ ដោយគ្មានអ្នកណាដែលពួកគេប្រាកដជាមិនអាចធ្វើដោយគ្មានបាន។ សរុបមក បើនិយាយពីតម្លៃពលកម្ម នេះគឺជាការចេញផ្សាយពីបន្ទុកប្រចាំថ្ងៃយ៉ាងហោចណាស់ 1 នាក់ ក៏ដូចជារាប់សិបម៉ោងដែលបានរក្សាទុកសម្រាប់អ្នកប្រើប្រាស់។ ស្វ័យប្រវត្តិកម្មនៃការបង្កើតច្បាប់បានធ្វើឱ្យវាអាចធ្វើទៅបានដើម្បីអនុវត្តដំណោះស្រាយផ្នែកខ្នាតតូចដែលមិនបង្កើតបន្ទុកដល់បុគ្គលិកធនាគារ។

ហើយទីបំផុត "ច្បាប់ចូលដំណើរការ" បានក្លាយជាអង្គភាពគណនេយ្យនៃពពក។ នោះគឺឥឡូវនេះ ពពករក្សាទុកព័ត៌មានអំពីច្បាប់សម្រាប់ VMs ទាំងអស់ ហើយសម្អាតពួកវានៅពេលម៉ាស៊ីននិម្មិតត្រូវបានលុប។

មិនយូរប៉ុន្មានអត្ថប្រយោជន៍នៃទំនើបកម្មនឹងរីករាលដាលដល់ពពករបស់ធនាគារទាំងមូល។ ស្វ័យប្រវត្តិកម្មនៃដំណើរការបង្កើត VM និងការបែងចែកខ្នាតតូចបានផ្លាស់ប្តូរហួសពី DMZ និងចាប់យកផ្នែកផ្សេងទៀត។ ហើយនេះបានបង្កើនសុវត្ថិភាពនៃពពកទាំងមូល។

ដំណោះស្រាយដែលបានអនុវត្តក៏គួរឱ្យចាប់អារម្មណ៍ផងដែរ ដែលវាអនុញ្ញាតឱ្យធនាគារបង្កើនល្បឿនដំណើរការអភិវឌ្ឍន៍ ដោយនាំវាឱ្យកាន់តែខិតជិតទៅនឹងគំរូនៃក្រុមហ៊ុន IT ស្របតាមលក្ខណៈវិនិច្ឆ័យនេះ។ យ៉ាងណាមិញ នៅពេលនិយាយអំពីកម្មវិធីទូរស័ព្ទ វិបផតថល និងសេវាកម្មអតិថិជន ក្រុមហ៊ុនធំណាមួយនាពេលបច្ចុប្បន្ននេះ ខិតខំដើម្បីក្លាយជា "រោងចក្រ" សម្រាប់ការផលិតផលិតផលឌីជីថល។ ក្នុងន័យនេះ ធនាគារអនុវត្តសកម្មភាពស្មើៗគ្នាជាមួយនឹងក្រុមហ៊ុន IT ខ្លាំងបំផុត ដោយបន្តបង្កើតកម្មវិធីថ្មីៗ។ ហើយវាជាការល្អនៅពេលដែលសមត្ថភាពនៃហេដ្ឋារចនាសម្ព័ន្ធព័ត៌មានវិទ្យាដែលបានបង្កើតឡើងនៅលើគំរូពពកឯកជនអនុញ្ញាតឱ្យអ្នកបែងចែកធនធានចាំបាច់សម្រាប់រឿងនេះក្នុងរយៈពេលពីរបីនាទី និងដោយសុវត្ថិភាពតាមដែលអាចធ្វើទៅបាន។

អ្នកនិពន្ធ៖
Vyacheslav Medvedev ប្រធាននាយកដ្ឋាន Cloud Computing, Jet Infosystems,
Ilya Kuikin វិស្វករនាំមុខគេនៃនាយកដ្ឋានកុំព្យូទ័រពពកនៃ Jet Infosystems

ប្រភព: www.habr.com