MINISTERO D EL LAVORO E D ELLE POLITICHE SOCIALI DIREZIONE GENERA LE PER L’INNOVAZI ONE TECN OLOG ICA Progetto Borsa Continua Nazionale del Lavoro / SIL Specifiche tecniche dell’ambiente di esercizio della BCNL Ministero del Lavoro SOMMARIO 1 INTRODUZIONE .............................................................................................................................. 4 2 ZONE DI SICUREZZA...................................................................................................................... 5 2.1 2.2 2.3 2.4 2.5 3 ARCHITETTURA LOGICA ............................................................................................................... 8 3.1 3.2 3.3 3.4 4 La classificazione delle zone......................................................................................................... 5 Classificazione delle zone in base alla sicurezza dei dati................................................................. 5 Classificazione delle zone in base alla sicurezza del network. ......................................................... 6 Zone di Sicurezza del sistema SIL................................................................................................. 6 Considerazioni per la Sicurezza del sistema SIL. ............................................................................ 7 Architettura BCNL........................................................................................................................ 8 Architettura – Sottosistema di Cooperazione Applicativa................................................................. 9 Architettura - Data Warehouse...................................................................................................... 9 Architettura - SIL Locale ............................................................................................................... 9 FLUSSI OPERATIVI .......................................................................................................................11 4.1.1 BCNL................................................................................................................................................................................11 4.1.2 CoAP .................................................................................................................................................................................11 4.1.3 Data Warehouse..................................................................................................................................................................11 5 INFRASTRUTTURA TECNOLOGICA ..............................................................................................12 5.1 Sistema di Dispatching............................................................................................................... 12 5.2 Nodi BCNL................................................................................................................................ 13 5.2.1 5.2.2 5.2.3 5.2.4 5.2.5 5.2.6 5.2.7 5.2.8 5.2.9 5.2.10 5.2.11 5.2.12 ND1 - ND3 – Network Dispatcher DMZ.........................................................................................................................13 ND2 - ND4 – Network Dispatcher (zona sicura)...............................................................................................................13 PX1 - PX2 – Reverse Proxy – Web Server .........................................................................................................................14 WPS1. WPS2 – WebSphere Portal Server ..........................................................................................................................14 WAS1. WAS2 – WebSphere Application Server................................................................................................................15 MG1. MG2 – Messaging e Collaboration............................................................................................................................15 TR1 - TR2 – Server di traduzione.......................................................................................................................................15 MC1 - MC2 – Server di Multicanalita................................................................................................................................15 DB1 - DB2 – Database Oracle...........................................................................................................................................16 LDAP1 – Directory Server LDAP ....................................................................................................................................16 SEC1 – SSO Security Server ..............................................................................................................................................16 GIS Server ..........................................................................................................................................................................17 5.3.1 5.3.2 5.3.3 5.3.4 5.3.5 5.3.6 5.3.7 5.3.8 ND1 - ND3 – Network Dispatcher (DMZ)......................................................................................................................18 ND2 - ND4 – Network Dispatcher (Zona Sicura) ............................................................................................................18 PX4 - PX5 – Reverse Proxy/Web Server............................................................................................................................18 WAS3 - WAS4 – Porta di Dominio..................................................................................................................................19 WAS5 - WAS6 – WebSphere Workflow...........................................................................................................................19 WAS7 - WAS8 – WebSphere Registri Centrali..................................................................................................................19 DB3 - DB4 – Database Oracle Registri Centrali.................................................................................................................20 MB1. MB2 – Message Broker.............................................................................................................................................20 5.4.1 5.4.2 5.4.3 5.4.4 ND1 - ND3 – Network Dispatcher (DMZ)......................................................................................................................21 ND2 - ND3 – Network Dispatcher (zona Sicura)..............................................................................................................21 PX1 - PX2 – Reverse Proxy...............................................................................................................................................21 BO1 - BO2 – Server Business Object...................................................................................................................................21 5.3 Nodi CoAP ................................................................................................................................ 18 5.4 Nodi Data Warehouse................................................................................................................ 21 Specifiche ambiente esercizio BCNL – nazionale Pag. 2 di 29 Ministero del Lavoro 5.4.5 SP1 – Server SPSS.............................................................................................................................................................22 5.4.6 DM1 – Server Data Mining................................................................................................................................................22 5.4.7 DW1. DW2 – Database Server Data Warehouse ...............................................................................................................22 5.5 Nodi di Servizio ......................................................................................................................... 23 5.5.1 5.5.2 5.5.3 5.5.4 5.5.5 5.5.6 SEC2 – WAS Server Security............................................................................................................................................23 SEC3 – DB Server Sicurezza.............................................................................................................................................23 CRM1 – Server CRM Remedy............................................................................................................................................24 TIV1 – TIV2 – Server network management......................................................................................................................24 DC1 – Server Antivirus. .....................................................................................................................................................24 GOV1 – Sistema di Governo e Controllo.............................................................................................................................24 6 APPENDICE A ...............................................................................................................................26 7 APPENDICE B ...............................................................................................................................28 8 ACRONIMI .....................................................................................................................................29 INDICE DELLE FIGURE FIGURA 1 - ZONE DI SICUREZZA ...........................................................................................................................................................5 FIGURA 2 -- LO SCHEMA FISICO DI ALTO LIVELLO DELLA RETE.......................................................................................................7 FIGURA 3 - BCNL - CO AP......................................................................................................................................................................8 FIGURA 4 - DATA W AREHOUSE ...........................................................................................................................................................10 FIGURA 5 - DISPATCHING MULTILIVELLO ..........................................................................................................................................12 FIGURA 6 - NODI OPERATIVI BCNL ..................................................................................................................................................13 FIGURA 7 - NODI OPERATIVI CO AP...................................................................................................................................................18 FIGURA 8 - NODI DATA W AREHOUSE ................................................................................................................................................21 FIGURA 9 - SOTTOSISTEMI DI SERVIZIO ..............................................................................................................................................23 Specifiche ambiente esercizio BCNL – nazionale Pag. 3 di 29 Ministero del Lavoro 1 Introduzione Questo documento descrive l’infrastruttura tecnologica sulla quale opera la Borsa Continua Nazionale del Lavoro (BCNL) nel suo livello nazionale, collocato presso il Centro Servizi di Roma del Ministero del Lavoro e delle Politiche Sociali (MLPS), Direzione per l’innovazione tecnologica. In particolare, esso contiene al suo interno quattro sezioni: • Zone di Sicurezza – In cui vengono indicati i razionali che determinano la distribuzione della infrastruttura su differenti LAN e vengono individuate le zone di sicurezza in cui è partizionato il sistema, in relazione alla tipologia di dati che contengono ed alle caratteristiche di sicurezza intrinseca del network su cui essi si appoggiano; • Architettura Logica di Sistema – con le indicazione dei macro sottosistemi che implementano le funzionalità delle BCNL; • Flussi operativi fra i vari sottosistemi – In questa sezione vengono analizzati brevemente solo i macro flussi applicativi, per quanto necessario alla determinazione dell’infrastruttura tecnologica; • Infrastruttura tecnologica – Comprendente la descrizione logica e fisica dell’ambiente, con i dettagli dei singoli sistemi, delle funzionalità che essi svolgeranno e dell’ambiente Hardware e Software che li costituisce. Per il dimensionamento delle macchine, sono state considerati i seguenti assunti. • Il numero degli utenti potenziali (lavoratori in cerca di impiego e in cerca di diversa occupazione) è stimato in ca. 3.500.000. • Il numero di iscrizioni e comunicazioni di variazione dei curricula è stimato in 4 all’anno, per un totale di 14.000.000 l’anno. • Le comunicazioni obbligatorie di assunzione e cessazione di rapporto di lavoro che devono essere trattate sono stimate in un valore approssimativo di 12.000.000 l’anno, con una distribuzione temporale non lineare che prevede un picco mensile massimo di 1.300.000 comunicazioni. Specifiche ambiente esercizio BCNL – nazionale Pag. 4 di 29 Ministero del Lavoro 2 Zone di Sicurezza La topologia della rete è stata suddivisa per scopi di sicurezza in aree che condividono le stesse caratteristiche di sicurezza. Queste aree vengono chiamate zone di sicurezza. Queste zone sono una delle principali caratteristiche nel disegno dell’architettura operativa e forniscono delle linee guida per la dislocazione dei nodi e dei componenti in funzione dei requisiti di sicurezza di questi ultimi. Forniscono anche delle indicazioni sul controllo dei flussi di dati e sui gateway (router fisici/applicativi) attraverso cui i dati attraversano le frontiere tra le zone 2.1 La classificazione delle zone. Per definire le varie zone in cui è scomponibile la topologia della rete si è guardato sia ai dati che ai servizi e al flusso di informazioni attraverso il network. Trusted Managed Untrusted External Secure Restricted Controlled Uncontrolled Per la classificazione e la convenzione dei nomi si è utilizzato quando riportato nella metodologia MASS di IBM e nell’Architecture Description Standard Vers. 1.1 sempre di IBM. Data Security Classification Network Security Classification Figura 1 - Zone di Sicurezza 2.2 Classificazione delle zone in base alla sicurezza dei dati. Uncontrolled – Un ambiente si definisce non controllato quando qualsiasi cosa è fuori dal controllo del Ministero. Controlled – Questa zona è liberamente accessibile dal pubblico, ma sono attuati dei controlli per limitare gli accessi. Un esempio è la DMZ dove in genere si limita l’accesso al protocollo http/https. Specifiche ambiente esercizio BCNL – nazionale Pag. 5 di 29 Ministero del Lavoro Restricted - L’accesso a questa zona è riservato agli utenti che sono stati autenticati e sono autorizzati ad eseguire operazioni. Secure – E’ l’equivalente di un Data Center e copre tutte le funzionalità del back office. Tipicamente solo processi “trusted” possono connettersi a funzio ni che si trovano all’interno di una zona sicura. Solo un piccolo numero di utenti specializzati (amministratori) può accedere a questa zona. L’accesso ad una zona sicura non necessariamente permette l’ingresso ad una differente zona sicura. External – Una zona esterna è dove un partner esterno al sistema immagazzina dati o fornisce delle funzionalità. Si ha una limitata fiducia sulla protezione dei dati. 2.3 Classificazione delle zone in base alla sicurezza del network. Untrusted – Si ha un untrusted network quando non si può avere nessuna fiducia in termini di confidenzialità, integrità e disponibilità delle informazioni, per es. Internet. Managed – Un managed network ha un certo grado di fiducia, ma non è sotto il diretto controllo del Ministero. Esiste un certo elemento di rischio associato con questo tipo di network che potrebbe essere condiviso con altre organizzazioni. Trusted - Si ha un trusted network quando esso è totalmente controllato dal Ministero. Trusted networks possono essere connessi come un unico logico network a patto che le comunicazioni sulla WAN siano completamente criptate e autenticate. 2.4 Zone di Sicurezza del sistema SIL Zone ID Nome Zona Data Security SZ01 SZ02 SZ03 SZ04 Internet Network RUPA DMZ (da Internet e RUPA) SIL Presentation & Data Layer Uncontrolled Uncontrolled Controlled Restricted/Secure Network Security Untrusted Untrusted Trusted Trusted SZ01 – Ambiente Internet. Il flusso proveniente da questa zona di sicurezza è considerato non sicuro e non controllato. SZ02 – Network RUPA. Nell’ambito del presente progetto, questa zona viene equiparata alla SZ01 per le caratteristiche di sicurezza, e quindi anch’essa viene considerata come non zona non sicura né controllata. SZ03 – Questa zona di sicurezza realizza le cosiddette DMZ verso l’ambiente di produzione. Il livello di sicurezza è superiore alle zone più esterne, essendo possibile il passaggio solo di prestabiliti protocolli di rete su definite porte applicative (80, 443). SZ04 – La zona di sicurezza che contiene i server di produzione è considerata sicura. L’accesso a questa zona è possibile solo dalla SZ03 e unicamente per predefiniti protocolli e su predefinite porte applicative. Specifiche ambiente esercizio BCNL – nazionale Pag. 6 di 29 Ministero del Lavoro 2.5 Considerazioni per la Sicurezza del sistema SIL. Il presente documento, come indicato nell’introduzione, descrive l’implementazione infrastrutturale senza aggiungere macchine o software, rispetto a quanto indicato in sede d’offerta. Per quanto riguarda la sicurezza, considerando che l’infrastruttura del Ministero è oggetto di continui tentativ i di violazioni della sicurezza più o meno voluti e considerando la strategicità del progetto, si consiglia di aumentare il livello di sicurezza con degli accorgimenti ulteriori. Nella zona di sicurezza SZ03 si potrebbero portare i componenti http degli application e dei Portali, in modo da ridurre drasticamente la possibilità d’accesso alla zona sicura. La stima fatta congiuntamente con il personale del Ministero, consiglierebbe l’utilizzo di ulteriori due macchine, e relativo software, per svolgere tale funzione. Figura 2 -- Lo schema fisico di alto livello della rete Specifiche ambiente esercizio BCNL – nazionale Pag. 7 di 29 Ministero del Lavoro 3 Architettura Logica Il paragrafo che segue mostra i macro componenti costitutivi del sistema. Gli schemi sotto riportati riportano i dettagli delle quattro componenti BCNL, Cooperazione Applicativa, SIL Locale e Data Warehouse. 3.1 Architettura BCNL Il sistema Borsa Continua Nazionale del Lavoro (BCNL) è composto da un sistema di front end (reverse proxy ed http server) e da un sistema elaborativo centrale distribuito su più componenti. Quest’ultimo è composto da • Un server di portale (su tecnologia WebSphere Portal Server, WPS). • Un ambiente Application Server, basato su WebSphere AS. • Un sottosistema di Messaging e Collaboration • Un sottosistema di Translation Server • Un sottosistema di supporto multicanalità (Websphere Everyplace Access) • Un Server DB, con Oracle9i in configurazione RAC L’intero ambiente BCNL utilizza un supporto di autenticazione ed autorizzazione basato su LDAP e alimentato dal sottosistema di sicurezza che definisce la profilatura utente e gestisce il Single Sign On. Firewall Firewall BCL Reverse proxy HTTP server SZ03 Messaging Web Portal Svr. Internet Translation DB Server Edge Server IF01 HTTP Server IF03 WebSphere App. Svr. Multicanalità AF01 SZ01 Net Dispat. IF02 AF03 SZ04 LDAP HTTP/WAS Engine SSO Profiling DB Server AF02 Reverse proxy HTTP server IF04 CoAP IF05 RUPA HTTP Server Edge Server Message Broker IF06 WAS Registri Centrali DB Server Registri Centrali WAS Porta di dominio WAS Workflow Mgr. SZ02 Figura 3 - BCNL - CoAP Specifiche ambiente esercizio BCNL – nazionale Pag. 8 di 29 Ministero del Lavoro La vista logica della Figura 3 illustra gli elementi costitutivi dell’infrastruttura ed in particolare i flussi di dati secondo quanto di seguito riportato nel paragrafo Borsa Continua Nazionale del Lavoro4.1.1. 3.2 Architettura Applicativa – Sottosistema di Cooperazione Il sotto sistema della Cooperazione Applicativa (CoAP), basato sull’implementazio ne della Porta di Dominio, è composto da un sistema di Front End e da un sistema elaborativo distribuito in cui è possibile distinguere le seguenti componenti: • WebSphere AS per l’implementazione della porta di dominio • Sottosistema di Workflow manager, sempre basato su WAS • Message broker • Un sottosistema di Registrazione Centrale con un annesso ambiente DBMS Anche l’ambiente CoAP sfrutta il sistema LDAP per l’autenticazione degli “utenti” e la relativa profilatura. 3.3 Architettura - Data Warehouse Il sotto sistema di Data Warehouse è basato su tre sottosistemi server, rispettivamente per le componenti: • Business Object • Data Mining • Analisi statistiche I precedenti server accedono ai dati contenuti nel sottosistema database server, implementato con Oracle9i in configurazione RAC. Nella Figura 4 è definito lo schema di tale architettura. 3.4 Architettura - SIL Locale Per la descrizione dell’infrastruttura tecnologica relativa all’offerta sussidia verso le Regioni di una piattaforma analoga a quella nazionale per la realizzazione delle funzionalità di Borsa continua regionale del Lavoro, si rimanda al documento di dettaglio che analizza tale architettura Specifiche ambiente esercizio BCNL – nazionale Pag. 9 di 29 Ministero del Lavoro Firewall Firewall Reverse proxy HTTPServer Internet DW IF08 HTTP Server Net Dispat IF07 Edge Server Data Mining IF09 Server Business Object DB Server SPSS Server SZ01 SZ03 SZ04 Figura 4 - Data Warehouse Specifiche ambiente esercizio BCNL – nazionale Pag. 10 di 29 Ministero del Lavoro 4 Flussi Operativi 4.1.1 Borsa Continua Nazionale del Lavoro Il flusso utente da internet (IF01) prevede l’utilizzo di un browser che esegue richieste di pagine web all’indirizzo pubblico della BCNL. Un sistema di network dispatching intercetta tali richieste (HTTP,HTTPS) e le rimanda ai reverse proxy (IF02), in questo modo si realizza un bilanciamento del carico sui server di backend. Il reverse proxy rigira la richiesta al vero web server, che è collocato sullo stesso sistema dove si trova il reverse proxy. L’http server è in ascolto su porte differenti da quelle standard. Tramite i reverse proxy, è possibile implementare le politiche di sicurezza previste dalla normale gestione del CED. I gestori del CED potranno implementare sui reverse proxy le politiche di filtering, per evitare eventuali exploit sugli http server. Infine, il plugin dell’application server redirige le richieste all’application server (IF03) all’interno del sistema BCNL. 4.1.2 CoAP Analogamente a quanto indicato per il flusso BCNL, al punto 4.1.1, i messaggi della cooperazione applicativa provengono dalla rete RUPA (IF04) e tramite l’apposito network dispatcher vengono passati ai reverse proxy e all’http server (IF05), quindi giungono ai server che implementano la porta di dominio e da questa ai server (IF06). 4.1.3 Data Warehouse A differenza degli ambienti precedenti, il target del flusso utente non è un Application Server vero e proprio, ma il server http implementato da Business Object, più quelli di Analisi Statistica e Data Mining. Tuttavia anche in questo caso viene implementata una separazione, tramite la tecnologia di reverse proxy, tra gli utenti internet ed i serventi che implementano tale funzionalità applicativa. Specifiche ambiente esercizio BCNL – nazionale Pag. 11 di 29 Ministero del Lavoro 5 Infrastruttura tecnologica 5.1 Sistema di Dispatching Per assicurare la possibilità di una suddivisione del carico operativo tra più nodi che implementano la stessa componente, nel sistema BCNL è stato largamente utilizzato il sistema di smistamento di carico (dispatching). In particolare questo avviene sia per le componenti in DMZ che per quelle operative nel network dei server. Le funzionalità dei sistemi di dispatching è illustrata nella Figura 5. Internet Dispatcher di 1' Livello (ND1) Reverse proxy HTTP Server Dispatcher di 2' Livello (ND2) Application Server LDAP Server Figura 5 - Dispatching multilivello Specifiche ambiente esercizio BCNL – nazionale Pag. 12 di 29 Ministero del Lavoro 5.2 Nodi BCNL Figura 6 - Nodi Operativi BCNL 5.2.1 ND1 - ND3 – Network Dispatcher DMZ Il sistema di network dispatcher della DMZ distribuisce il carico in entrata da Internet tra i proxy/HTTP server. (ND1 è attivo, in caso di guasto subentra ND3 che normalmente è in standby) Hardware: IBM XServer 335 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB Software: Edge Server Network Dispatcher Clustering: Alta affidabilità con ND1 active e ND3 standby Strategia Backup: Questo nodo non contiene e/o gestisce dati. I file di configurazione possono essere salvati a fronte di modifiche della configurazione. 5.2.2 ND2 - ND4 – Network Dispatcher (zona sicura) Il sistema di network dispatcher della zona sicura distribuisce il carico in entrata proveniente dagli HTTP server agli application server. (ND2 è attivo, in caso di guasto subentra ND4 che normalmente è in standby). Inoltre tale sistema può mandare le richieste LDAP all’apposito cluster applicativo formato dai sistemi LDAP1 e dal nodo MB2. Specifiche ambiente esercizio BCNL – nazionale Pag. 13 di 29 Ministero del Lavoro Hardware: IBM XServer 335 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB Software: Edge Server Network Dispatcher Clustering: Alta affidabilità con ND2 active e ND4 standby Strategia Backup: Questo nodo non contiene e/o gestisce dati. I file di configurazione possono essere salvati a fronte di modifiche della configurazione. 5.2.3 PX1 - PX2 – PX3 1 Reverse Proxy – Web Server Il proxy è posto tra Internet e i web server. Tutto il traffico generato dai browser degli utenti dovrà attraversarlo, verranno filtrati i comandi mandati dal browser, per aumentare la sicurezza. Sugli stessi server che fungono da proxy è anche installato l’http server che resta in ascolto su porte differenti da quelle standard le richieste che gli vengono rigirate dai proxy. Hardware: IBM XServer 335 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB Software: Edge Server Proxy, IBM HTTP Server Clustering: Il sistema di network dispatcher (ND1) provvede a rilevare lo stato dei reverse proxy, disabilitando logicamente il sistema non funzionante. Strategia Backup: Questo nodo contiene gli access log del proxy e dell’http, questi file devono essere registrati in accordo alle politiche di sicurezza per motivi di auditing. La cache locale del database di autorizzazione è sincronizzata ad intervalli predeterminati e può essere completamente ricaricata in caso di necessità. 5.2.4 WPS1. WPS2 – WebSphere Portal Server Questi nodi implementano il Portale del Ministero e costituiscono il punto di accesso primario per gli utenti provenienti da internet. Hardware: IBM XServer 445 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 36 GB RAID-1 Software: WPS, WAS, Ask4Job API. Clustering: Il sistema di network dispatcher (ND2) provvede a rilevare lo stato degli application server disabilitando logicamente il sistema non funzionante. Strategia Backup: Questo nodo non co ntiene e/o gestisce dati, anche i questo caso potrebbe essere possibile registrare su nastro alcuni file di log, per motivi di auditing. Occorre effettuare il salvataggio della directory WAS e WPS con i programmi installati e i file di configurazione. La frequenza consigliata è a fronte di modifiche applicative e/o installazione di applicazioni. 1 il server PX3 è identico come funzionalità ai PX1 e PX2, ma è un xSeries 345 Specifiche ambiente esercizio BCNL – nazionale Pag. 14 di 29 Ministero del Lavoro 5.2.5 WAS1. WAS2 – WebSphere Application Server Questi nodi implementano l’application server per Web Application esterne al portale Hardware: IBM XServer 445 2 Processo ri Xeon DP 3 GHz 2 GB RAM 2 dischi 36 GB RAID-1 Software: WAS Clustering: Il sistema di network dispatcher (ND2) provvede a rilevare lo stato degli application server disabilitando logicamente il sistema non funzionante. Strategia Backup: Questo nodo no n contiene e/o gestisce dati, anche in questo caso potrebbe essere possibile registrare su nastro alcuni filedi log, per motivi di auditing. Occorre effettuare il salvataggio della directory WAS con i programmi installati e i file di configurazione. La frequenza consigliata è a fronte di modifiche applicative e/o installazione di applicazioni 5.2.6 MG1. MG2 – Messaging e Collaboration Questi nodi implementano le componenti basate su Lotus Domino usate dai nodi WPS. Hardware: IBM XServer 445 2 Processore Xeon DP 3 GHz 2 GB RAM 2 dischi 73 GB Software: Domino, SameTime, QuickPlace Clustering: Clustering Domino Strategia Backup: I database domino (NSF) devono essere salvati con frequenza giornaliera. 5.2.7 TR1 - TR2 – Server di traduzione Tali nodi implementano i server di traduzione. Tutte i 4 dizionari previsti saranno installati su entrambi i nodi, e il bilanciamento di carico sarà effettuato dal dispatcher ND2. Hardware: IBM XServer 445 2 Processore Xeon DP 3 GHz 2 GB RAM 2 dischi 36 GB Software: WebSphere Translation Server Clustering: Il sistema di network dispatcher (ND2) provvede a rilevare lo stato dei server, disabilitando logicamente il sistema non funzionante. Strategia Backup: Questo nodo non contiene e/o gestisce dati. Occorre effettuare il salvataggio della directory WAS con i programmi installati e i file di configurazione. La frequenza consigliata è a fronte di modifiche applicative e/o installazione di applicazioni 5.2.8 MC1 - MC2 – Server di Multicanalita Questi nodi implementano le funzioni di accesso multicanale. Specifiche ambiente esercizio BCNL – nazionale Pag. 15 di 29 Ministero del Lavoro Hardware: IBM XServer 445 2 Processore Xeon DP 3 GHz 2 GB RAM 2 dischi 36 GB Software: WebSphere Everyplace Access Clustering: Il sistema di network dispatcher (ND2) provvede a rilevare lo stato dei server, disabilitando logicamente il sistema non funzionante. Strategia Backup: Questo nodo non contiene e/o gestisce dati. Occorre effettuare il salvataggio della directory WAS con i programmi installati e i file di configurazione. La frequenza consigliata è a fronte di modifiche applicative e/o installazione di applicazioni 5.2.9 DB1 - DB2 – Database Oracle Questi nodi implementano la base dati Oracle utilizzata da tutte le applicazioni che compongono la BCNL. Hardware: IBM XServer 445 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 36 GB RAID-1 + 518GB su SAN in RAID-5 Software: MSCS – Oracle 9i in RAC Clustering: Il sistema RAC assicura la continuità di servizio e la distribuzione di carico tra le due macchine. Strategia Backup: Sul database Oracle deve essere effettuato un backup con cadenza giornaliera. 5.2.10 LDAP1 – Directory Server LDAP Questo nodo implementa il servizio di directory per tutte le componenti BCNL. della Hardware: IBM XServer 345 1 Processore Xeon DP 2.8 GHz 4 GB RAM 2 dischi 146 GB RAID-5 Software: IBM Directory Server (+ local DB) Clustering: L’LDAP server viene configurato in modalità Master/Slave. Il Network Dispatcher gira le query LDAP fatte dagli application server ad uno dei due serventi a seconda del carico. In caso di indisponibilità di un server LDAP, il Network Dispacter manda le richieste solo a server attivo. Il nodo slave dell’LDAP è posto nella macchina MB2, a quest’ultimo nodo il network dispatcher manderà il 35% delle query, mentre il rimanente 65% verrà mandato al server LDAP1 Strategia Backup: Il database LDAP deve essere salvato in formato esportabile (LDIF), il database locale deve essere salvato con cadenza prefissata. Per entrambi si suggerisce una cadenza giornaliera. 5.2.11 SEC1 – SSO Security Server Fornisce l’ambiente di front end verso il sistema di sicurezza e profilatura utenti Hardware: IBM XServer 445 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 146 GB Specifiche ambiente esercizio BCNL – nazionale Pag. 16 di 29 Ministero del Lavoro Software: IBM HTTP Server, WEB SSO Clustering: Non Presente Strategia Backup: Questo nodo non contiene e/o gestisce dati. Occorre effettuare il salvataggio della directory WAS con i programmi installati e i file di configurazione. La frequenza consigliata è a fronte di modifiche applicative e/o installazione di applicazioni. Vanno archiviate secondo le politiche di sicurezza stabilite gli eventuali log di accesso in funzione di auditing. 5.2.12 GIS Server Tale nodo implementa il servizio GIS Hardware: IBM XServer 345 2 Processore Xeon DP 2.8 GHz 4 GB RAM 2 dischi 73 GB Software: GIS Clustering: Nessuno Strategia Backup: Specifiche ambiente esercizio BCNL – nazionale Pag. 17 di 29 Ministero del Lavoro 5.3 Nodi CoAP Figura 7 - Nodi Operativi CoAP 5.3.1 ND1 - ND3 – Network Dispatcher (DMZ) Si veda quanto riportato al par. 5.2.1 5.3.2 ND2 - ND4 – Network Dispatcher (Zona Sicura) Si veda quanto riportato al par. 5.2.2 5.3.3 PX4 - PX5 – PX6 2 – Reverse Proxy/Web Server Il proxy è posto tra Internet e i web server. Tutto il traffico generato dai messaggi cooperativi in ingresso dovrà attraversarlo. Sugli stessi server che fungono da proxy è anche installato l’http server che resta in ascolto su porte differenti da quelle standard le richieste che gli vengono rigirate dai proxy. Hardware: IBM XServer 335 1 Processore Xeon DP 2,8 GHz 40 GB 2 GB RAM 1 disco Software: Edge Server Proxy, IBM HTTP Server 2 il server PX6 è identico come funzionalità ai PX4 e PX5, ma è un xSeries 345 Specifiche ambiente esercizio BCNL – nazionale Pag. 18 di 29 Ministero del Lavoro Clustering: Il sistema di network dispatcher (ND3) provvede a rilevare lo stato dei reverse proxy, disabilitando logicamente il sistema non funzionante. Strategia Backup: Questo nodo non contiene e/o gestisce dati applicativi. Andranno comunque archiviati i log d’accesso per motivi di auditing. La cache locale del database di autorizzazione è sincronizzata ad intervalli predeterminati e può essere completamente ricaricata in caso di necessità. 5.3.4 WAS3 - WAS4 – Porta di Dominio Questi nodi implementano la porta di dominio e ricevono i messaggi provenienti dalle applicazioni dei nodi della BCNL esterni al Ministero.. Hardware: IBM XServer 445 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 36 GB Software: WAS Clustering: Il sistema di network dispatcher (ND4) provvede a rilevare lo stato degli application server, disabilitando logicamente il sistema non funzionante. Strategia Backup: Questo nodo non contiene e/o gestisce dati, può essere necessario archiviare alcuni file di log. Occorre effettuare il salvataggio della directory WAS con i programmi installati e i file di configurazione. La frequenza consigliata è a fronte di modifiche applicative e/o installazione di applicazioni 5.3.5 WAS5 - WAS6 – WebSphere Workflow Questi nodi implementano il workflow applicativo per il servizio Web Services. Hardware: IBM XServer 445 4 Processori Xeon DP 3 GHz 8 GB RAM 2 dischi 146 GB Software: WAS Clustering: Il sistema di network dispatcher (ND4) provvede a rilevare lo stato degli application server disabilitando logicamente il sistema non funzionante. Strategia Backup: Questo nodo non contiene e/o gestisce dati può essere necessario archiviare alcuni file di log. Occorre effettuare il salvataggio della directory WAS con i programmi installati e i file di configurazione. La frequenza consigliata è a fronte di modifiche applicative e/o installazione di applicazioni. 5.3.6 WAS7 - WAS8 – WebSphere Registri Centrali Questi nodi implementano l’applicazione che gestisce i Registri Centrali della cooperazione applicativa Hardware: IBM XServer 445 2 Processori Xeon DP 3 GHz 2 GB RAM 2 disco 73 GB Software: WAS Clustering: Il sistema di network dispatcher (ND4) provvede a rilevare lo stato degli application server disabilitando logicamente il sistema non funzionante. Specifiche ambiente esercizio BCNL – nazionale Pag. 19 di 29 Ministero del Lavoro Strategia Backup: Questo nodo non contiene e/o gestisce dati, può essere necessario eseguire il backup di file di log. Occorre effettuare il salvataggio della directory WAS con i programmi installati e i file di configurazione. La frequenza consigliata è a fronte di modifiche applicative e/o installazione di applicazioni 5.3.7 DB3 - DB4 – Database Oracle Registri Centrali Questi nodi implementano la base dati Oracle utilizzata per la memorizzazione dei registri centrali delle CoAP , nonché il supporto DB per le applicazioni che implementano la CoAP Hardware: IBM XServer 445 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 73 GB + 222GB su SAN in RAID-5 Software: MSCS – Oracle 9i in RAC Clustering: Il sistema RAC assicura la continuità di servizio e la distribuzione di carico tra le due macchine. Strategia Backup: Sul database Oracle deve essere effettuato un backup con cadenza giornaliera. 5.3.8 MB1. MB2 – Message Broker Questi nodi implementano il sistema di backend utilizzato dall’ambiente Web Services. Hardware: IBM XServer 335 1 Processori Xeon DP 3 GHz 2 GB RAM 2 dischi 146 GB + 74 GB su SAN in RAID-5 Software: MSCS, IBM HTTP Server , WebSphere Business Integr. Server, Ask4Job Clustering: Il sistema è basato su cluster MSCS in configurazione Active/Active (mutual takeover) Il nodo MB1 è il nodo attivo per il servizio di Message Broker, il nodo MB2 e quello attivo per il servizio di indexing del prodotto Ask4Job, vanno riservati almento 10GB di spazio disco per tenere il file con gli indici. Il nodo MB2 funge anche da Slave per l’LDAP server. Strategia Backup: nel caso il sistema richieda la presenza di una base dati locale, questa deve essere salvata con cadenza giornaliera. Altrimenti il salvataggio può essere effettuato in caso di modifiche applicative e/o di installazione di nuovi componenti. Il dati del nodo MB2 (file di indice di ask4Job e LDIFF dell’LDAP devono essere archiviati giornalmente.) Specifiche ambiente esercizio BCNL – nazionale Pag. 20 di 29 Ministero del Lavoro 5.4 Nodi Data Warehouse Figura 8 - Nodi Data Warehouse 5.4.1 ND1 - ND3 – Network Dispatcher (DMZ) Le caratteristiche di queste unità sono indicate al paragrafo 5.2.1 5.4.2 ND2 - ND3 – Network Dispatcher (zona Sicura) Le caratteristiche di queste unità sono indicate al paragrafo 5.2.2 5.4.3 PX1 - PX2 – Reverse Proxy Le caratteristiche di queste unità sono indicate al paragrafo 5.2.3 5.4.4 BO1 - BO2 – Server Business Object Questi nodi implementano il server centrale di Data Warehouse. Hardware: IBM pServer 630 2-way 1.45 GHz POWER4+ 2GB RAM 2 dischi 36GB + 222GB su SAN in RAID-5 Specifiche ambiente esercizio BCNL – nazionale Pag. 21 di 29 Ministero del Lavoro Software: HACMP Business Object Clustering: HACMP Strategia Backup: nel caso il sistema richieda la presenza di una base dati locale, questa deve essere salvata con cadenza giornaliera. Altrimenti il salvataggio può essere effettuato in caso di modifiche applicative e/o di installazione di nuovi componenti. 5.4.5 SP1 – Server SPSS Questo nodo implementa la funzionalità di server per elaborazioni statistiche Hardware: IBM XServer 360 2 Processori Xeon DP 2.8 GHz 2 GB RAM 2 dischi 146 GB Software: Server SPSS Clustering: non presente Strategia Backup: nel caso il sistema richieda la presenza di una base dati locale, questa deve essere salvata con cadenza giornaliera. Altrimenti il salvataggio può essere effettuato in caso di modifiche applicative e/o di installazione di nuovi componenti. 5.4.6 DM1 – Server Data Mining Questo nodo implementa la funzionalità di server per il data mining Hardware: IBM pServer 630 2-way 1.45 GHz POWER4+ 2 GB RAM 2 dischi 36GB + unità esterne con 12 dischi da 146 GB. Software: Clementine Clustering: non presente Strategia Backup: nel caso il sistema richieda la presenza di una base dati locale, questa deve essere salvata con cadenza giornaliera. Altrimenti il salvataggio può essere effettuato in caso di modifiche applicative e/o di installazione di nuovi componenti. 5.4.7 DW1. DW2 – Database Server Data Warehouse Questi nodi implementano il server centrale di Data Warehouse. Hardware: IBM pServer 630 2-way 1.45 GHz POWER4+ 2GB RAM 2 dischi 146GB + 1200GB su SAN in RAID-5 Software: HACMP, Oracle9i RAC Clustering: HACMP Strategia Backup: Sul database Oracle deve essere effettuato un backup con cadenza giornaliera. Specifiche ambiente esercizio BCNL – nazionale Pag. 22 di 29 Ministero del Lavoro 5.5 Nodi di Servizio Figura 9 - Sottosistemi di servizio 5.5.1 SEC2 – WAS Server Security Il sistema implementa il sistema di sicurezza e profilatura utenti. Hardware: IBM XServer 445 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 146 GB Software: WAS 4.0, Web SSO, Authorization Profile Manager Clustering:Non presente Strategia Backup: Questo nodo non contiene e/o gestisce dati. Occorre effettuare il salvataggio della directory WAS con i programmi installati e i file di configurazione. La frequenza consigliata è a fronte di modifiche applicative e/o installazione di applicazioni. Vanno archiviate secondo le politiche di sicurezza stabilite gli eventuali log di accesso in funzione di auditing. 5.5.2 SEC3 – DB Server Sicurezza Il sistema fornisce il supporto RDBMS al sistema di sicurezza. Hardware: IBM XServer 345 1 Processore Xeon DP 2,8 GHz 4 GB RAM 2 dischi 146 GB Software: Oracle 9i Clustering: Non presente Strategia Backup: Sul database Oracle deve essere effettuato un backup con cadenza giornaliera. Specifiche ambiente esercizio BCNL – nazionale Pag. 23 di 29 Ministero del Lavoro 5.5.3 CRM1 – Server CRM Remedy Il sistema implementa il sistema CRM. Hardware: IBM XServer 445 2 Processori Xeon DP 3 GHz 2 GB RAM 2 dischi 73 GB Software: Remedy Clustering: Non presente Strategia Backup: Per l’ambiente CRM deve essere effettuato un backup con cadenza giornaliera. 5.5.4 TIV1 – TIV2 – Server network management. Il sistema implementa il sistema di Network Management Tivoli Hardware: IBM Xserver 445 2 Processori Xeon DP 3 GHz 2 GB RAM 2 dischi 73 GB Software: Piattaforma Tivoli Clustering: Non presente Strategia Backup: Per l’ambiente di network management deve essere effettuato un backup con cadenza giornaliera. 5.5.5 DC1 – DC2 – Server Antivirus. Il sistema implementa il Domain Controller, il punto di raccolta di patch Microsoft ed aggiornamenti antivirus. Hardware: DC1 IBM XServer 345 1 Processori Xeon DP 2.8 GHz 4 GB RAM 4 dischi 36 GB Hardware: DC2 IBM XServer 345 1 Processori dischi 146 GB Xeon DP 2.8 GHz 2 GB RAM 2 Software: S.O. windows 2003 Clustering: Non presente Strategia Backup: Per l’ambiente di Domain Controller può essere effettuato un backup con cadenza settimanale o mensile. 5.5.6 GOV1 – Sistema di Governo e Controllo Il sistema fornisce il supporto documentale per il cruscotto e monitoraggio della BCNL. Hardware: IBM XServer 345 2 Processore Xeon DP 2,8 GHz 4 GB RAM 2 dischi 146 GB Software: Rational ClearCase LT, Rational ProjectConsole, Rational ClearQuest, Microsoft Project 2003 Server, Oracle 9i. Clustering: Non presente Specifiche ambiente esercizio BCNL – nazionale Pag. 24 di 29 Ministero del Lavoro Strategia Backup: Sul database Oracle deve essere effettuato un backup con cadenza settimanale. Specifiche ambiente esercizio BCNL – nazionale Pag. 25 di 29 Ministero del Lavoro 6 Appendice A Di seguito viene riportata una tabella riassuntiva dei nodi precedentemente elencati e delle loro caratteristiche. Non vi sono macchine o software aggiuntivi, rispetto a quanto indicato in sede d’offerta, e le differenze sono invece unicamente relative alla distribuzione ed alla allocazione delle funzionalità sui singoli nodi. ID. ND1 ND2 PX1 PX2 PX3 WPS1 WPS2 WAS1 WAS2 MG1 MG2 TR1 TR2 MC1 MC2 DB1 Modello xSeries 335 xSeries 335 xSeries 335 xSeries 335 xSeries 345 xSeries 445 xSeries 445 xSeries 445 xSeries 445 xSeries 445 xSeries 445 xSeries 445 xSeries 445 xSeries 445 xSeries 445 xSeries 445 DB2 xSeries 445 LDAP1 GIS xSeries 345 xSeries 345 ND3 ND4 PX4 PX5 PX6 WAS3 WAS4 WAS5 WAS6 WAS7 WAS8 DB3 xSeries 335 xSeries 335 xSeries 335 xSeries 335 xSeries 345 xSeries 445 xSeries 445 xSeries 445 xSeries 445 xSeries 445 xSeries 445 xSeries 445 DB4 xSeries 445 MB1 xSeries 335 MB2 xSeries 335 Descrizione 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 146 GB 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 36 GB 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 36 GB 2 Processori Xeon DP 3 GHz 2 GB RAM 2 dischi 36 GB 2 Processori Xeon DP 3 GHz 2 GB RAM 2 dischi 36 GB 2 Processore Xeon DP 3 GHz 2 GB RAM 2 disco 73 GB 2 Processore Xeon DP 3 GHz 2 GB RAM 2 disco 73 GB 2 Processore Xeon DP 3 GHz 2 GB RAM 2 dischi 36 GB 2 Processore Xeon DP 3 GHz 2 GB RAM 2 dischi 36 GB 2 Processore Xeon DP 3 GHz 2 GB RAM 2 dischi 36 GB 2 Processore Xeon DP 3 GHz 2 GB RAM 2 dischi 36 GB 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 36 GB + 518GB SAN 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 36 GB + 518GB SAN 1 Processore Xeon DP 2.8 GHz 4 GB RAM 2 dischi 146 GB 1 Processore Xeon DP 2.8 GHz 4 GB RAM 2 dischi 73GB 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 40 GB 1 Processore Xeon DP 2,8 GHz 2 GB RAM 1 disco 146 GB 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 36 GB 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 36 GB 4 Processori Xeon DP 3 GHz 8 GB RAM 2 dischi 146 GB 4 Processori Xeon DP 3 GHz 8 GB RAM 2 dischi 146 GB 2 Processori Xeon DP 3 GHz 2 GB RAM 2 dischi73GB 2 Processori Xeon DP 3 GHz 2 GB RAM 2 dischi73 GB 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 73 GB + 222GB SAN 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 73 GB + 222GB SAN 1 Processore Xeon DP 3 GHz 2 GB RAM 2 dischi 146 GB + 74GB SAN 1 Processore Xeon DP 3 GHz 2 GB RAM 2 dischi 146 GB + 74GB SAN Specifiche ambiente esercizio BCNL – nazionale Pag. 26 di 29 Ministero del Lavoro BO1 pSeries 630 BO2 pSeries 630 SP1 DM1 xSeries 360 pSeries 630 DW1 pSeries 630 DW2 pSeries 630 SEC1 SEC2 SEC3 CRM1 TIV1 TIV2 GOV1 DC1 DC2 xSeries 445 xSeries 445 xSeries 345 xSeries 445 xSeries 445 xSeries 445 xSeries 345 xSeries 345 xSeries 345 2-way 1.45 GHz POWER4+ 2 GB RAM 2 dischi 36GB + 222GB SAN 2-way 1.45 GHz POWER4+ 2 GB RAM 2 dischi 36GB + 222GB SAN 2 Processori Xeon DP 2.8 GHz 2 GB RAM 2 dischi da 146 GB 2-way 1.45 GHz POWER4+ 2 GB RAM 2 dischi 36GB + 12 dischi da 146GB 2-way 1.45 GHz POWER4+ 2 GB RAM 2 dischi 146GB + 1,2TB SAN 2-way 1.45 GHz POWER4+ 2 GB RAM 2 dischi 146GB + 1,2TB SAN 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 146 GB 2 Processori Xeon DP 3 GHz 4 GB RAM 2 dischi 146 GB 1 Processore Xeon DP 2,8 GHz 4 GB RAM 2 dischi 146 GB 2 Processori Xeon DP 3 GHz 2 GB RAM 2 dischi 73 GB 2 Processori Xeon DP 3 GHz 2 GB RAM 2 dischi 73 GB 2 Processori Xeon DP 3 GHz 2 GB RAM 2 dischi 73 GB 2 Processore Xeon DP 2,8 GHz 4 GB RAM 2 dischi 146 GB 1 Processore Xeon DP 2,8 GHz 4 GB RAM 4 dischi 36 GB 1 Processore Xeon DP 2,8 GHz 2 GB RAM 2 dischi 146 GB Specifiche ambiente esercizio BCNL – nazionale Pag. 27 di 29 Ministero del Lavoro 7 Appendice B Di seguito viene indicato l’ambiente di sviluppo attualmente implementato per gli ambienti operativi precedentemente descritti. Dall’elenco sono escluse le singole postazioni di lavoro, limitandosi all’elenco dei server. Nome Nodo Modello Sede CFGMGRSRV xSeries 335 Via Fornovo, 8 CRMDOMSRV01 xSeries 335 Via Fornovo, 8 CRMDOMSRV02 xSeries 335 Via Fornovo, 8 INTGMGRSRV01 xSeries 335 Via Fornovo, 8 INTGRWKFMGRSRV xSeries 335 Via Fornovo, 8 REGCENTRSRV xSeries 335 Via Fornovo, 8 DW1SRV xSeries 360 Via G. del Monte, 60 ITALAV01 pSeries 630 Via G. del Monte, 60 HMCAIX xSeries 335 Via G. del Monte, 60 SIL1 xSeries 345 Via G. del Monte, 60 SIL2 xSeries 345 Via G. del Monte, 60 BCL1 xSeries 335 Via G. del Monte, 60 BCL2 xSeries 335 Via G. del Monte, 60 Sviluppo CoAP Data Warehouse SIL Locale BCNL Specifiche ambiente esercizio BCNL – nazionale Pag. 28 di 29 Ministero del Lavoro 8 Acronimi Nella tabella seguente sono indicati, in ordine alfabetico, i significati attribuiti agli acronimi, alle abbreviazioni e alle definizioni utilizzate nel presente documento. Non sono riportate invece quelle abbreviazioni considerate di significato non ambiguo nel settore dell’information technology quali, ad esempio CD, MB, RAM, MHz, GB, etc.. Acronimo Abbreviazione Definizione Significato BCNL Borsa Continua Nazionale del Lavoro CED Centro Elaborazione Dati CNIPA Centro Nazionale Informatica per la Pubblica Amministrazione, ex AIPA OO Object Oriented MASS Methods for Architecting Secure Solutions RUPA Rete Unitaria Pubblica Amministrazione SAN Storage Area Network SIL Siste ma Informativo del Lavoro UML Unified Macro Language WAS WebSphere Advanced Server WPS WebSphere Portal Server XML Extensible Mark-up Language Specifiche ambiente esercizio BCNL – nazionale Pag. 29 di 29