Area Gestione Sistemi e Sicurezza LNF - INFN-LNF

Area Gestione
Sistemi e Sicurezza LNF
Plenaria Servizio Sistema Informativo INFN
27 Maggio 2016
Dael Maselli - Responsabile Ufficio
Gestione Sistemi e Sicurezza LNF
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
Compiti dell'ufficio
• Coordinamento, gestione e ottimizzazione dell'infrastruttura dei sistemi
• Coordinamento delle analisi di sicurezza
• Progettazione e gestione backup e alta disponibilità dei sistemi a livello
locale e geografico
• Collegamento con le analoghe strutture competenti della sede dei LNF
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
2
High Availability
• Il datacenter del Servizio di Calcolo LNF garantisce la tolleranza ai guasti su
tutti i livelli infrastrutturali:
• Network
o Cluster di 2 Cisco Catalyst
o Nodi e Switch periferici dual attached
o TCP/IP Load Balancer
• Load Balancing & Fail over TCP/UDP
• Computing
o Ridondanza a livello applicativo tramite cluster
o Gestione delle VM in cluster di virtualizzazione
• oVirt
• VMWare
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
• Storage
o Due reti Fibre Channel indipendenti
o Nodi dual attached
• Rete Elettrica
o Doppia alimenazione: diretta + UPS / Gruppo
elettrogeno
• Condizionamento
o Doppio impianto: centrale LNF + seconario
dedicato Calcolo
3
Componenti HW
Rete
Cisco
Catalyst
Sistemi
Cluster
KVM
Cluster
Xen
VZ
Cluster
Xen
VZVZ oVirt
Cluster
Xen
Cluster
Xen
VZ
SISINFO
Database
Storage
ODA
Storage
Area
Network
5 nodi
Oracle
Server
Load
Balancing
Database
Cluster KVM oVirt
Cluster
Xen
VZVZ
Cluster
Xen
Cluster
Xen
VZVZ
Calcolo
Cluster
Xen
7 nodi
Serv Calcolo LNF
Appliance
Fibre
Channel
(NSPOF)
EMC2/Hitachi
Cluster KVM oVirt
Cluster
Xen
VZVZ
Cluster
Xen
Cluster
Xen
VZVZ
Calcolo2
Cluster
Xen
4 nodi
Serv Calcolo LNF
SXGEST2
Sun/Solaris
Libreria
Backup
StorageTek
Libreria
Backup
IBM
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
4
Componenti SW @LNF
App.
Server
Cluster
Xen
VZVZ
Cluster
Xen
Cluster
Xen
VZVZ
GODIVA
Cluster
Xen
INTERACTIVE + BATCH
8 nodi
App.
Server
Cluster
Xen
VZVZ
Cluster
Xen
Cluster
Xen
VZVZ
Cluster
Xen
IAM
4 nodi
Oracle
Database
Real Application Cluster
2 nodi
App.
Server
Cluster
Xen
VZVZ
Cluster
Xen
Cluster
Xen
VZVZ
Cluster
Xen
RECLUTAMENTO
Gestione
Processi Batch
Backup
4 nodi
SIBATCH
4 livelli
App. Server
Sistema Stipendiale
INFN-AAI
PHP
2 nodi
Database
MySQL
master/slave
Sipert
Cezanne
BusObj
Access
(Gruppo CCR )
Infrastruttura di
Autenticazione e
Autorizzazione
Ridondanza:
4 nodi @LNF
3 nodi @CNAF
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
Razionalizzazione Web App
• Negli ultimi anni molti siti web sono passati da pagine custom a CMS
• La sicurezza diminuisce per l'uso di sw di terze parti spesso non pensato
per l'ambito enterprise (Joomla, Wordpress, ecc.)
• Negli anni si sono createsistuazioni in cui dei server web ospitano sia
applicazioni custom ad uso amministrativo che CMS
• Stiamo procedendo alla separazione dei due ambienti per migliorare
o Sicurezza
o Performance
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
6
Application Server Java
• Attualmente utilizziamo server Tomcat
o Impressione di un software non di livello enterprise
• Oggi si sviluppano sempre più applicazioni web Java
• È necessario indagare soluzioni più evolute e affidabili
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
7
A L T R E
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
S L I D E
Disaster Recovery
• Tutti i componenti sono sottoposti a backup settimanale o giornaliero
• Tutti i backup vengono inviati al CNAF per disaster recovery
• Ospitiamo anche le repliche dei backup del CNAF per lo stesso scopo
• L'istanza DB Oracle GODIVA è replicata in tempo reale al CNAF
o Prossimamente lo saranno tutte le istanze residenti su ODA
o ODA ospiterà la replica delle istanze Oracle in produzione al CNAF
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
9
Oracle Database Appliance
• Sistema all-in-one per la fornitura di DB Oracle
o 2 nodi ognuno con 24 Core Intel; 48GB RAM; 2x10Gb Ethernet
o Real Application Cluster
o Storage SAS + SSD
• Ospita le istanze dei database di:
o GODiVA (prod/preprod/devel)
• DB PROD in replica real-time (DataGuard) verso un'istanza al CNAF
o Cezanne
• Backup giornaliero su appliance Oracle/7320 (nasetto) dei LNF
o Retention policy 20 giorni
o storicizzato su libreria a nastri via TSM
o sincronizzato verso il cnaf per disaster recovery
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
10
Cisco Blades
• Nuovo sistema di server blade Cisco UCS
• Sistema di virtualizzazione in alta affidabilità Ovirt
o versione FOSS di RedHat RHEV
• Storage Fibre Channel su SAN del Calcolo
• Backup VM settimanale su appliance NAS Oracle/7320 (LNF)
o inviati al CNAF per disaster recovery
• Ospita la produzione del nuovo sistema stipendiale
o 2 VM per software ADP (Sipert, Cezanne)
• Dati su database Oracle (ODA)
o 2 VM per la gestione (BusObj, Access)
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
11
Backup
• Tutti i nodi relativi al SSI sono sottoposti a backup periodico
• Software: Tivoli Storage Manager
• Hardware: Libreria a nastri Storagetek
o StorageTek L1400M
o Acquistata dal SSI nel 2005
o 2 x Drive STK T9940B (Fiber Channel)
• Le specifiche di affidabilità sono comunque superiori ad LTO6
o Gestita dal Calcolo LNF
o 100 nastri (limite licenza) da 200GB (lordi non compressi)
o Manutenzione: ~9kEuro/anno
• Acquisto di un upgrade enterprise >50kEuro
o Attualmente non necessario in termini di performance o capacità
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
12
Backup Database Oracle
• È stata modificata la politica di backup dei DB Oracle a Frascati
• In passato veniva fatto backup giornaliero incrementale su nastro della Fast
Recovery Area (FRA), che contiene dati per una recovery window di 20 giorni
o Vuol dire moltiplicare per la retention su nastro lo spazio occupato dalla FRA (2,7 TB), inutilmente.
• Ora viene fatto il backup di export DataPump ogni weekend (45 GB)
Risultato:
• 72 ore di Flashback per rollback e query a qualsiasi istante
• 20 giorni di FRA per il restore dei datafile a qualsiasi istante
(in sync con CNAF per DR)
• 10 anni di Export DataPump per il restore con granularità settimanale
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
13
Sistema
Scopo
Dedicato
Storage
Disaster Recovery
Espand.
Assistenza
oVirt Cluster
SISINFO
Virtualizzazione:
Stipendiale,
GODiVA,
INFN-AAI,
web, batch...
Sì
2 TB
Sì: rsync export VM
Sì
NBD
Oracle Database
Appliance ODA
Database:
Godiva,
Stipendiale
Sì
2TB
(max 6TB)
Sì: Dataguard +
rsync backup
No
NBD
+ Online
Libreria nastri
StorageTek
Backup su nastro dei
servizi dedicati
Sì
20TB
(max 40TB)
n/a
Sì
NBD
Libreria nastri
IBM
Backup su nastro dei
servizi condivisi
No: Calcolo LNF
n/a
n/a
Si
NBD
oVirt Cluster
Calcolo LNF
Virtualizzazione:
Servizi LNF
WEB Nazionali
No: Calcolo LNF
~ 2TB
No
Sì
NBD
SXGEST2
Stipendiale,
protocollo
Sì
~ 450 GB
Sì
No
No
AFS
Storage applicazioni
web
No: Calcolo LNF
~ 300GB
Sì (a breve)
Sì
NBD
SAN
Storage FC sistemi
No: tutto in
condivisione
Calcolo LNF
oVirt + RHCS + AFS
Vedi sopra
Sì su storage
EMC/Hitachi/Oracle
NBD
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
14
Sxgest2
• Server Sun/Solaris architettura SPARC
• La macchina è gestita dal Calcolo LNF
o insieme a Nunzio Amanzi
• Ospita (per poco) il software per il calcolo degli stipendi INFN
• Vi risiede anche l'archivio del protocollo centrale dell'ente
o Database e Allegati
• Il sistema non ridondato
• La macchina è da considerarsi (ir)ragionevolmente obsoleta
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
15
HW Obsoleto
• SXGEST2
o Server Sun/Solaris architettura SPARC
o La macchina è gestita dal Calcolo LNF
• insieme a Nunzio Amanzi
o Ospita il DB HR per il calcolo degli stipendi INFN
o Vi risiede anche l'archivio del protocollo centrale dell'ente
• Database e Allegati
o Il sistema non è ridondato
o La macchina è da considerarsi (ir)ragionevolmente obsoleta
• 2 nodi Windows per il protocollo INFN (gestdoc1-2)
o Gestiti unicamente da Nunzio Amanzi
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
16
G
R
Servizio Sistema Informativo - Area Gestione Sistemi e Sicurezza – LNF – Dael Maselli
A
Z
I
E