विकासकर्ताहरूको सामना गर्दै: निजी क्लाउडलाई आधुनिकीकरण गर्दै

क्लाउडमा भर्चुअल मेसिन (VM) बनाउन गाह्रो छ? चिया बनाउन भन्दा गाह्रो छैन। तर जब यो ठूलो निगममा आउँछ, यस्तो साधारण कार्य पनि पीडादायी रूपमा लामो हुन सक्छ। यो भर्चुअल मेसिन सिर्जना गर्न पर्याप्त छैन; तपाईंले सबै नियमहरू अनुसार काम गर्न आवश्यक पहुँच प्राप्त गर्न आवश्यक छ। प्रत्येक विकासकर्ताको लागि परिचित दुखाइ? एउटा ठूलो बैंकमा, यो प्रक्रिया धेरै घण्टा देखि धेरै दिन लाग्थ्यो। र त्यहाँ प्रति महिना सयौं समान कार्यहरू भएकोले, यो श्रम-उपभोग योजनाको स्केल कल्पना गर्न सजिलो छ। यसलाई अन्त्य गर्न, हामीले बैंकको निजी क्लाउडलाई आधुनिकीकरण गर्‍यौं र VMs सिर्जना गर्ने प्रक्रिया मात्र होइन, सम्बन्धित कार्यहरू पनि स्वचालित बनायौं।

कार्य नम्बर १। इन्टरनेट जडान संग क्लाउड

बैंकले नेटवर्कको एकल खण्डको लागि आफ्नो आन्तरिक आईटी टोली प्रयोग गरेर निजी क्लाउड सिर्जना गर्यो। समय बित्दै जाँदा, व्यवस्थापनले यसको फाइदाहरूको प्रशंसा गर्‍यो र निजी क्लाउड अवधारणालाई बैंकका अन्य वातावरण र खण्डहरूमा विस्तार गर्ने निर्णय गर्‍यो। यसका लागि निजी क्लाउडहरूमा थप विशेषज्ञहरू र बलियो विशेषज्ञता चाहिन्छ। त्यसैले, हाम्रो टोलीलाई क्लाउडलाई आधुनिकीकरण गर्ने जिम्मा दिइएको थियो।

यस परियोजनाको मुख्य स्ट्रिम सूचना सुरक्षाको अतिरिक्त खण्डमा भर्चुअल मेसिनहरूको निर्माण थियो - डिमिलिटराइज्ड जोन (DMZ) मा। यहीँबाट बैंकका सेवाहरू बैंकिङ पूर्वाधारभन्दा बाहिरका बाह्य प्रणालीहरूसँग एकीकृत हुन्छन्।

तर यो पदक पनि एक फ्लिप पक्ष थियो। DMZ का सेवाहरू "बाहिर" उपलब्ध थिए र यसले सूचना सुरक्षा जोखिमहरूको सम्पूर्ण सेट समावेश गर्यो। सबैभन्दा पहिले, यो ह्याकिङ प्रणालीको खतरा, DMZ मा आक्रमण क्षेत्रको पछि विस्तार, र त्यसपछि बैंकको पूर्वाधारमा प्रवेश। यी मध्ये केही जोखिमहरू न्यूनीकरण गर्न, हामीले अतिरिक्त सुरक्षा उपाय प्रयोग गर्ने प्रस्ताव राख्यौं - एक माइक्रो-सेगमेन्टेसन समाधान।

माइक्रो-विभाजन संरक्षण

क्लासिक विभाजनले फायरवाल प्रयोग गरेर सञ्जालहरूको सीमामा सुरक्षित सीमाहरू बनाउँछ। माइक्रोसेग्मेन्टेसनको साथ, प्रत्येक व्यक्तिगत VM लाई व्यक्तिगत, पृथक खण्डमा विभाजन गर्न सकिन्छ।

यसले सम्पूर्ण प्रणालीको सुरक्षा बढाउँछ। यदि आक्रमणकारीहरूले एउटा DMZ सर्भर ह्याक गरे तापनि, तिनीहरूको लागि नेटवर्कमा आक्रमण फैलाउन धेरै गाह्रो हुनेछ - तिनीहरूले नेटवर्क भित्र धेरै "लक ढोकाहरू" भत्काउनु पर्छ। प्रत्येक VM को व्यक्तिगत फायरवालले यसको सम्बन्धमा आफ्नै नियमहरू समावेश गर्दछ, जसले प्रवेश र बाहिर निस्कने अधिकार निर्धारण गर्दछ। हामीले VMware NSX-T वितरित फायरवाल प्रयोग गरेर माइक्रो-सेगमेन्टेसन प्रदान गर्यौं। यो उत्पादनले केन्द्रीय रूपमा VM हरूका लागि फायरवाल नियमहरू सिर्जना गर्दछ र तिनीहरूलाई भर्चुअलाइजेशन पूर्वाधारमा वितरण गर्दछ। कुन अतिथि ओएस प्रयोग गरिन्छ भन्ने कुराले फरक पार्दैन, नियम नेटवर्कमा भर्चुअल मेसिनहरू जडान गर्ने स्तरमा लागू हुन्छ।

समस्या N2। गति र सुविधा को खोज मा

भर्चुअल मेसिन प्रयोग गर्ने हो? सजिलै! क्लिक को एक जोडी र तपाईं सकियो। तर त्यसपछि धेरै प्रश्नहरू उठ्छन्: कसरी यो VM बाट अर्को वा प्रणालीमा पहुँच प्राप्त गर्ने? वा अर्को प्रणालीबाट VM मा फिर्ता?

उदाहरणका लागि, एउटा बैंकमा, क्लाउड पोर्टलमा VM अर्डर गरेपछि, प्राविधिक समर्थन पोर्टल खोल्न र आवश्यक पहुँचको प्रावधानको लागि अनुरोध पेश गर्न आवश्यक थियो। एप्लिकेसनमा भएको त्रुटिको कारणले स्थिति सुधार्न कल र पत्राचार भयो। एकै समयमा, एक VM मा 10-15-20 पहुँचहरू हुन सक्छ र प्रत्येकलाई प्रशोधन गर्न समय लाग्यो। शैतानको प्रक्रिया।

थप रूपमा, रिमोट भर्चुअल मेसिनहरूको जीवन गतिविधिको "सफाई" ट्रेसहरूलाई विशेष हेरचाह चाहिन्छ। तिनीहरू हटाइए पछि, हजारौं पहुँच नियमहरू फायरवालमा रह्यो, उपकरणहरू लोड गर्दै। यो एक अतिरिक्त बोझ र सुरक्षा छेद दुवै हो।

तपाईंले क्लाउडमा नियमहरूसँग यो गर्न सक्नुहुन्न। यो असुविधाजनक र असुरक्षित छ।

VMs मा पहुँच प्रदान गर्न लाग्ने समयलाई कम गर्न र तिनीहरूलाई व्यवस्थापन गर्न सुविधाजनक बनाउन हामीले VMs को लागि नेटवर्क पहुँच व्यवस्थापन सेवा विकास गरेका छौं।

सन्दर्भ मेनुमा भर्चुअल मेसिन स्तरमा प्रयोगकर्ताले पहुँच नियम सिर्जना गर्न वस्तु चयन गर्दछ, र त्यसपछि खोल्ने फारममा प्यारामिटरहरू निर्दिष्ट गर्दछ - जहाँबाट, कहाँ, प्रोटोकल प्रकारहरू, पोर्ट नम्बरहरू। फारम भरेर पेश गरेपछि, HP सेवा प्रबन्धकमा आधारित प्रयोगकर्ता प्राविधिक समर्थन प्रणालीमा आवश्यक टिकटहरू स्वचालित रूपमा सिर्जना हुन्छन्। तिनीहरू यो वा त्यो पहुँच अनुमोदन गर्न र, पहुँच स्वीकृत भएमा, अझै स्वचालित नभएका केही कार्यहरू गर्ने विशेषज्ञहरूका लागि जिम्मेवार छन्।

विशेषज्ञहरु सम्मिलित व्यापार प्रक्रिया को चरण काम गरे पछि, सेवा को भाग सुरु हुन्छ जसले स्वचालित रूपमा फायरवाल मा नियमहरु सिर्जना गर्दछ।

अन्तिम तारको रूपमा, प्रयोगकर्ताले पोर्टलमा सफलतापूर्वक पूरा भएको अनुरोध देख्छ। यसको मतलब यो नियम बनाइएको छ र तपाईं यसको साथ काम गर्न सक्नुहुन्छ - हेर्नुहोस्, परिवर्तन गर्नुहोस्, मेटाउनुहोस्।

लाभहरूको अन्तिम स्कोर

अनिवार्य रूपमा, हामीले निजी क्लाउडका साना पक्षहरूलाई आधुनिकीकरण गर्यौं, तर बैंकले उल्लेखनीय प्रभाव प्राप्त गर्‍यो। प्रयोगकर्ताहरूले अब सेवा डेस्कसँग प्रत्यक्ष व्यवहार नगरी पोर्टल मार्फत मात्र नेटवर्क पहुँच प्राप्त गर्छन्। अनिवार्य फारम क्षेत्रहरू, प्रविष्ट गरिएको डाटाको शुद्धताको लागि तिनीहरूको प्रमाणीकरण, पूर्व-कन्फिगर गरिएको सूचीहरू, अतिरिक्त डाटा - यी सबैले सही पहुँच अनुरोध तयार गर्न मद्दत गर्दछ, जुन उच्च स्तरको सम्भावनाको साथ विचार गरिनेछ र सूचना सुरक्षा कर्मचारीहरूले अस्वीकार गर्दैनन्। त्रुटिहरू इनपुट गर्न। भर्चुअल मेसिनहरू अब ब्ल्याक बक्सहरू छैनन्—तपाईँ पोर्टलमा परिवर्तनहरू गरेर तिनीहरूसँग काम गर्न जारी राख्न सक्नुहुन्छ।

नतिजाको रूपमा, आज बैंकका आईटी विशेषज्ञहरूसँग पहुँच प्राप्त गर्न थप सुविधाजनक उपकरणहरू छन्, र केवल ती व्यक्तिहरू प्रक्रियामा संलग्न छन्, जसको बिना तिनीहरू निश्चित रूपमा गर्न सक्दैनन्। कुल मिलाएर, श्रम लागतको सन्दर्भमा, यो कम्तिमा 1 व्यक्तिको दैनिक पूर्ण लोडबाट रिलीज हो, साथै प्रयोगकर्ताहरूको लागि सुरक्षित दर्जनौं घण्टा। नियम निर्माणको स्वचालनले बैंक कर्मचारीहरूमा बोझ नबनाउने माइक्रो-सेगमेन्टेसन समाधान लागू गर्न सम्भव बनायो।

र अन्तमा, "पहुँच नियम" क्लाउडको लेखा इकाई बन्यो। त्यो हो, अब क्लाउडले सबै VM हरूको लागि नियमहरूको बारेमा जानकारी भण्डारण गर्छ र भर्चुअल मेसिनहरू मेटाउँदा तिनीहरूलाई सफा गर्छ।

चाँडै नै आधुनिकीकरणको फाइदाहरू सम्पूर्ण बैंकको क्लाउडमा फैलिनेछ। VM सिर्जना प्रक्रियाको स्वचालन र माइक्रो-सेगमेन्टेसन DMZ भन्दा बाहिर गएको छ र अन्य खण्डहरू कब्जा गरेको छ। र यसले समग्र रूपमा क्लाउडको सुरक्षा बढायो।

कार्यान्वयन गरिएको समाधान पनि चाखलाग्दो छ कि यसले बैंकलाई यो मापदण्ड अनुसार आईटी कम्पनीहरूको मोडेलको नजिक ल्याएर विकास प्रक्रियाहरूलाई गति दिन अनुमति दिन्छ। आखिर, जब यो मोबाइल अनुप्रयोगहरू, पोर्टलहरू, र ग्राहक सेवाहरूमा आउँछ, कुनै पनि ठूलो कम्पनीले आज डिजिटल उत्पादनहरूको उत्पादनको लागि "कारखाना" बन्न प्रयास गर्दछ। यस अर्थमा, बैंकहरूले व्यावहारिक रूपमा सब भन्दा बलियो आईटी कम्पनीहरूसँग बराबरी खेल्छन्, नयाँ अनुप्रयोगहरू सिर्जना गर्दै। र यो राम्रो छ जब एक निजी क्लाउड मोडेलमा निर्मित IT पूर्वाधारको क्षमताहरूले तपाईंलाई यसका लागि आवश्यक स्रोतहरू केही मिनेटमा र सकेसम्म सुरक्षित रूपमा आवंटित गर्न अनुमति दिन्छ।

लेखकहरू:
व्याचेस्लाभ मेदवेदेव, क्लाउड कम्प्युटिङ विभाग प्रमुख, जेट इन्फोसिस्टम,
इल्या कुइकिन, जेट इन्फोसिस्टमको क्लाउड कम्प्युटिङ विभागका प्रमुख इन्जिनियर हुन्

स्रोत: www.habr.com