फेसिंग डेव्हलपर्स: खाजगी क्लाउडचे आधुनिकीकरण

क्लाउडमध्ये आभासी मशीन (VM) तयार करणे कठीण आहे का? चहा बनवण्यापेक्षा जास्त कठीण नाही. परंतु जेव्हा मोठ्या कॉर्पोरेशनचा विचार केला जातो तेव्हा अशी साधी कृती देखील वेदनादायक लांब असू शकते. व्हर्च्युअल मशीन तयार करणे पुरेसे नाही; आपल्याला सर्व नियमांनुसार कार्य करण्यासाठी आवश्यक प्रवेश देखील प्राप्त करणे आवश्यक आहे. प्रत्येक विकसकासाठी एक परिचित वेदना? एका मोठ्या बँकेत, या प्रक्रियेस अनेक तासांपासून ते अनेक दिवस लागले. आणि दर महिन्याला शेकडो समान ऑपरेशन्स होत असल्याने, या श्रम-उपभोग योजनेच्या प्रमाणाची कल्पना करणे सोपे आहे. याला आळा घालण्यासाठी, आम्ही बँकेच्या खाजगी क्लाउडचे आधुनिकीकरण केले आणि केवळ VM तयार करण्याची प्रक्रियाच नव्हे तर संबंधित ऑपरेशन्स देखील स्वयंचलित केली.

कार्य क्रमांक १. इंटरनेट कनेक्शनसह क्लाउड

बँकेने नेटवर्कच्या एका विभागासाठी अंतर्गत IT टीम वापरून खाजगी क्लाउड तयार केला. कालांतराने, व्यवस्थापनाने त्याच्या फायद्यांचे कौतुक केले आणि खाजगी क्लाउड संकल्पना बँकेच्या इतर वातावरणात आणि विभागांमध्ये विस्तारित करण्याचा निर्णय घेतला. यासाठी खाजगी क्लाउडमध्ये अधिक विशेषज्ञ आणि मजबूत कौशल्य आवश्यक आहे. त्यामुळे क्लाउडचे आधुनिकीकरण करण्याची जबाबदारी आमच्या टीमवर सोपवण्यात आली.

या प्रकल्पाचा मुख्य प्रवाह म्हणजे माहिती सुरक्षेच्या अतिरिक्त विभागात व्हर्च्युअल मशीनची निर्मिती - डिमिलिटराइज्ड झोन (DMZ) मध्ये. येथेच बँकेच्या सेवा बँकिंग पायाभूत सुविधांच्या बाहेर असलेल्या बाह्य प्रणालींसह एकत्रित केल्या जातात.

पण या पदकालाही एक फ्लिप बाजू होती. DMZ कडील सेवा "बाहेर" उपलब्ध होत्या आणि यामध्ये माहिती सुरक्षा जोखमींचा संपूर्ण संच समाविष्ट होता. सर्व प्रथम, हे हॅकिंग सिस्टमचा धोका आहे, त्यानंतर डीएमझेडमधील आक्रमण क्षेत्राचा विस्तार आणि नंतर बँकेच्या पायाभूत सुविधांमध्ये प्रवेश करणे. यापैकी काही जोखीम कमी करण्यासाठी, आम्ही अतिरिक्त सुरक्षा उपाय - मायक्रो-सेगमेंटेशन सोल्यूशन वापरण्याचा प्रस्ताव दिला आहे.

सूक्ष्म-विभाजन संरक्षण

क्लासिक सेगमेंटेशन फायरवॉल वापरून नेटवर्कच्या सीमेवर संरक्षित सीमा तयार करते. मायक्रोसेगमेंटेशनसह, प्रत्येक वैयक्तिक VM वैयक्तिक, पृथक विभागात विभक्त केला जाऊ शकतो.

हे संपूर्ण यंत्रणेची सुरक्षा वाढवते. हल्लेखोरांनी एक DMZ सर्व्हर हॅक केला तरीही, संपूर्ण नेटवर्कवर हल्ला पसरवणे त्यांच्यासाठी अत्यंत कठीण होईल - त्यांना नेटवर्कमधील अनेक “लॉक केलेले दरवाजे” फोडावे लागतील. प्रत्येक व्हीएमच्या वैयक्तिक फायरवॉलमध्ये त्यासंबंधीचे स्वतःचे नियम असतात, जे प्रवेश करण्याचा आणि बाहेर पडण्याचा अधिकार निर्धारित करतात. आम्ही VMware NSX-T वितरित फायरवॉल वापरून मायक्रो-सेगमेंटेशन प्रदान केले. हे उत्पादन केंद्रस्थानी VM साठी फायरवॉल नियम तयार करते आणि व्हर्च्युअलायझेशन इन्फ्रास्ट्रक्चरवर त्यांचे वितरण करते. कोणता अतिथी OS वापरला जातो हे महत्त्वाचे नाही, नियम नेटवर्कशी व्हर्च्युअल मशीन कनेक्ट करण्याच्या स्तरावर लागू केला जातो.

समस्या N2. वेग आणि सोयीच्या शोधात

आभासी मशीन उपयोजित करायचे? सहज! दोन क्लिक आणि तुम्ही पूर्ण केले. परंतु नंतर बरेच प्रश्न उद्भवतात: या व्हीएममधून दुसर्‍या किंवा सिस्टममध्ये प्रवेश कसा मिळवायचा? किंवा दुसर्‍या सिस्टममधून VM वर परत?

उदाहरणार्थ, बँकेत, क्लाउड पोर्टलवर व्हीएम ऑर्डर केल्यानंतर, तांत्रिक समर्थन पोर्टल उघडणे आणि आवश्यक प्रवेशाच्या तरतूदीसाठी विनंती सबमिट करणे आवश्यक होते. अनुप्रयोगातील त्रुटीमुळे परिस्थिती सुधारण्यासाठी कॉल आणि पत्रव्यवहार झाला. त्याच वेळी, VM मध्ये 10-15-20 प्रवेश असू शकतात आणि प्रत्येकावर प्रक्रिया करण्यासाठी वेळ लागतो. सैतानाची प्रक्रिया.

याव्यतिरिक्त, रिमोट व्हर्च्युअल मशीनच्या जीवन क्रियाकलापांचे ट्रेस "साफ करणे" विशेष काळजी आवश्यक आहे. ते काढून टाकल्यानंतर, उपकरणे लोड करत फायरवॉलवर हजारो प्रवेश नियम राहिले. हे एक अतिरिक्त ओझे आणि सुरक्षा छिद्र दोन्ही आहे.

तुम्ही क्लाउडमधील नियमांसह हे करू शकत नाही. ते गैरसोयीचे आणि असुरक्षित आहे.

VM मध्ये प्रवेश प्रदान करण्यासाठी लागणारा वेळ कमी करण्यासाठी आणि ते व्यवस्थापित करणे सोयीचे करण्यासाठी, आम्ही VM साठी नेटवर्क प्रवेश व्यवस्थापन सेवा विकसित केली आहे.

संदर्भ मेनूमधील व्हर्च्युअल मशीन स्तरावरील वापरकर्ता प्रवेश नियम तयार करण्यासाठी एक आयटम निवडतो आणि नंतर उघडलेल्या फॉर्ममध्ये पॅरामीटर्स निर्दिष्ट करतो - कुठून, कोठून, प्रोटोकॉल प्रकार, पोर्ट क्रमांक. फॉर्म भरल्यानंतर आणि सबमिट केल्यानंतर, आवश्यक तिकिटे HP सेवा व्यवस्थापकावर आधारित वापरकर्ता तांत्रिक समर्थन प्रणालीमध्ये स्वयंचलितपणे तयार केली जातात. ते या किंवा त्या प्रवेशास मंजूरी देण्यासाठी आणि, प्रवेश मंजूर झाल्यास, अद्याप स्वयंचलित नसलेल्या काही ऑपरेशन्स करणाऱ्या तज्ञांना जबाबदार आहेत.

तज्ञांचा समावेश असलेल्या व्यवसाय प्रक्रियेच्या टप्प्यावर कार्य केल्यानंतर, सेवेचा भाग सुरू होतो जो आपोआप फायरवॉलवर नियम तयार करतो.

अंतिम जीवा म्हणून, वापरकर्त्याला पोर्टलवर यशस्वीरित्या पूर्ण केलेली विनंती दिसते. याचा अर्थ असा की नियम तयार केला गेला आहे आणि आपण त्याच्यासह कार्य करू शकता - पहा, बदला, हटवा.

लाभांचा अंतिम स्कोअर

मूलत:, आम्ही खाजगी क्लाउडच्या छोट्या पैलूंचे आधुनिकीकरण केले, परंतु बँकेला लक्षणीय परिणाम मिळाला. वापरकर्ते आता सेवा डेस्कशी थेट व्यवहार न करता केवळ पोर्टलद्वारे नेटवर्क प्रवेश प्राप्त करतात. अनिवार्य फॉर्म फील्ड, प्रविष्ट केलेल्या डेटाच्या शुद्धतेसाठी त्यांचे प्रमाणीकरण, पूर्व-कॉन्फिगर केलेल्या याद्या, अतिरिक्त डेटा - हे सर्व अचूक प्रवेश विनंती तयार करण्यात मदत करते, ज्याची उच्च संभाव्यता विचारात घेतली जाईल आणि माहिती सुरक्षा कर्मचार्‍यांनी नाकारली जाणार नाही. त्रुटी इनपुट करण्यासाठी. व्हर्च्युअल मशीन्स यापुढे ब्लॅक बॉक्सेस नाहीत - तुम्ही पोर्टलवर बदल करून त्यांच्यासोबत काम करणे सुरू ठेवू शकता.

परिणामी, आज बँकेच्या आयटी तज्ञांकडे प्रवेश मिळविण्यासाठी एक अधिक सोयीस्कर साधन आहे आणि केवळ तेच लोक या प्रक्रियेत सामील आहेत, ज्यांच्याशिवाय ते निश्चितपणे करू शकत नाहीत. एकूण, मजुरीच्या खर्चाच्या बाबतीत, हे किमान 1 व्यक्तीच्या दैनंदिन पूर्ण भारातून, तसेच वापरकर्त्यांसाठी डझनभर तास जतन केलेले आहे. नियम निर्मितीच्या ऑटोमेशनमुळे बँक कर्मचार्‍यांवर ओझे निर्माण न करणारे मायक्रो-सेगमेंटेशन सोल्यूशन लागू करणे शक्य झाले.

आणि शेवटी, "प्रवेश नियम" क्लाउडचे अकाउंटिंग युनिट बनले. म्हणजेच, आता क्लाउड सर्व VM च्या नियमांबद्दल माहिती संग्रहित करते आणि व्हर्च्युअल मशीन हटवल्यावर ते साफ करते.

लवकरच आधुनिकीकरणाचे फायदे संपूर्ण बँकेच्या क्लाउडमध्ये पसरतील. व्हीएम निर्मिती प्रक्रियेचे ऑटोमेशन आणि मायक्रो-सेगमेंटेशन डीएमझेडच्या पलीकडे गेले आणि इतर सेगमेंट कॅप्चर केले. आणि यामुळे एकूणच क्लाउडची सुरक्षा वाढली.

अंमलात आणलेले समाधान हे देखील मनोरंजक आहे की ते या निकषानुसार आयटी कंपन्यांच्या मॉडेलच्या जवळ आणून बँकेला विकास प्रक्रियेस गती देण्यास अनुमती देते. शेवटी, जेव्हा मोबाईल ऍप्लिकेशन्स, पोर्टल्स आणि ग्राहक सेवांचा विचार केला जातो तेव्हा कोणतीही मोठी कंपनी आज डिजिटल उत्पादनांच्या निर्मितीसाठी "फॅक्टरी" बनण्याचा प्रयत्न करते. या अर्थाने, नवीन अनुप्रयोगांच्या निर्मितीसह बँका व्यावहारिकदृष्ट्या मजबूत आयटी कंपन्यांच्या बरोबरीने खेळतात. आणि जेव्हा खाजगी क्लाउड मॉडेलवर तयार केलेल्या IT पायाभूत सुविधांची क्षमता आपल्याला यासाठी आवश्यक संसाधने काही मिनिटांत आणि शक्य तितक्या सुरक्षितपणे वाटप करण्याची परवानगी देतात तेव्हा हे चांगले आहे.

लेखक:
व्याचेस्लाव मेदवेदेव, क्लाउड कॉम्प्युटिंग विभागाचे प्रमुख, जेट इन्फोसिस्टम्स,
इल्या कुइकिन, जेट इन्फोसिस्टमच्या क्लाउड कॉम्प्युटिंग विभागाचे प्रमुख अभियंता

स्त्रोत: www.habr.com