Une grande entreprise étrangère devait se jeter
dans notre cloud en raison de la loi sur les données personnelles. Etant eux-mêmes impliqués dans l'audit d'autres sociétés, ils ont abordé la question comme d'habitude: ils ont étudié le marché, compilé une liste d'exigences pour le cloud et ont commencé à vérifier qui et comment y correspondaient.
Transféré tous les systèmes: environnements de test, test + prod, préprod, toutes les machines virtuelles, serveurs virtuels et tous les systèmes d'infrastructure virtuelle. Même leur soutien est apparu en Russie. De nous - seulement louer des ressources.
Ils nous ont notamment vérifié, en termes d'échelle: un audit presque complet du data center. Mais ils n'ont pas examiné les spécifications matérielles et techniques en général, mais la façon dont les processus IB sont construits et comment différents SLA sont observés. De leur point de vue, ce sont les processus de stabilité du SLA qui indiquent la qualité de l'entreprise. Et nous leur avons parlé de chacun des composants en détail.
Je souhaite partager une liste de critères de vérification. Parce qu'il y avait au moins une sorte de méthodologie, car avant cela, peu de clients avaient une approche aussi systématique du problème.
Options générales
Les principaux besoins étaient d'environ deux douzaines. Parmi ceux-ci figurent des éléments de base tels que le placement de la plate-forme sur deux centres de données, une console de gestion des ressources, la possibilité de travailler via l'API, le paiement des services à l'utilisation avec une granularité ne dépassant pas une heure et la disponibilité d'outils d'automatisation, par exemple, Terraform. Les autres exigences ne sont pas de dire que nous avons été très surpris, elles ne les montrent tout simplement pas sans exception. Parmi ces exigences figure la nécessité de posséder un bâtiment dans lequel un centre de données cloud fonctionne.
Mais ici, tout est clair en général. Ce client a apparemment également lu l'histoire du marché russe de la colocalisation. Ou certains de leurs clients se sont déjà rencontrés quelque part à l'étranger. Tout le reste est standard en général. L'exigence du centre de données est à Moscou (c'était également sur la liste) - c'est pour l'opportunité de venir à l'administrateur et pour la vitesse des appels pendant la réplication. Le point le plus important après deux centres de données est la métrique détaillée du SLA. Comme je l'ai dit, cela les inquiétait le plus pour chaque article.
Besoins en personnel
Ce fut l'un des blocs les plus difficiles, car le client, ayant une grande expérience des activités de projet (ils ont des centaines de clients de production et de vente au détail dans le monde), l'a transféré dans une certaine mesure sur l'informatique. En général, c'est une bonne approche, mais les exigences se sont avérées «lourdes».
Voici ce pour quoi nous avons été testés:
- La présence de trois niveaux de support technique pour la plate-forme: la première ligne est la solution des incidents au niveau de la plate-forme (HW, virtualisation), la deuxième ligne est la solution des problèmes dans l'infrastructure du client située dans la plate-forme cloud (OS, DBMS et autres logiciels d'application), la troisième ligne est la connexion les développeurs et / ou les fournisseurs de plate-forme cloud des fournisseurs pour résoudre les problèmes.
- Mode de fonctionnement 24x7x365 de la première ligne de support technique.
- Connaissance obligatoire des langues russe et anglaise par des spécialistes de tous niveaux.
- La possibilité de déposer des demandes pour l'incident par e-mail ou en appelant le service d'assistance technique.
- La possibilité de déposer des demandes d'incident en appelant le service d'assistance technique.
- Le temps de réaction des spécialistes du support technique à un incident est de 10 à 15 minutes selon la priorité de l'application (le fournisseur doit enregistrer une description détaillée des priorités des incidents dans le contrat de service).
- Le temps de résolution de l'incident est de 90 à 240 minutes, selon la priorité de l'application (le fournisseur est tenu d'enregistrer une description détaillée des priorités des incidents dans le contrat de service).
- Présence obligatoire d'une équipe projet dédiée, qui comprend: chef de projet, chef de projet, architecte technique, ingénieurs.
- La possibilité d'utiliser différents moyens de communication entre l'équipe du fournisseur et l'équipe du client pour résoudre plus rapidement les problèmes (par exemple, en utilisant Telegram, WhatsApp et d'autres messagers).
- Fixation de la liste de l'équipe de projet dans un contrat signé pour la fourniture de services de plateforme cloud. La liste doit inclure le nom complet, les numéros de téléphone des téléphones portables, les adresses e-mail de toutes les personnes impliquées dans l'activité du client et du fournisseur.
Ici, l'un des points les plus importants pour le client est qu'il a fourni exactement trois lignes d'assistance. Tout le monde a toujours la première ligne, la deuxième ligne de support est généralement là, mais les exigences sont déjà assez floues. Mais il y en a aussi un troisième, qui scie en fait diverses puces. Et rien n'est externalisé, comme le font parfois de petits prestataires. Le projet ne concerne que ses employés. Pas une équipe de service n'est affectée à un grand projet client, mais une équipe de projet distincte, et cela est enregistré dans les documents.
Une équipe de projet dédiée est un point important distinct. Pour un fournisseur de services cloud normal, tout cela se présente généralement sous une forme de service. Mais encore une fois, il n'y a aucune exigence explicite directe pour cela, et il n'y a pas de normes. En général, il y a des gens qui sont directement impliqués dans l'accompagnement du client, il y a une personne qui gère un projet spécifique, il y a des ingénieurs. Il est coûteux pour le client de réserver du temps à ces personnes, mais c'est nécessaire, car dans la plupart des cas, en dehors de «l'hébergement», vous devez résoudre des problèmes assez complexes. Ou simple, mais rapide et la première fois. Par conséquent, ces membres de l'équipe seront actifs 24h / 24 et 7j / 7, toujours en contact et prêts à aider. Avec tout type de communication qui convient au client. Il s'agit d'un service qui est généralement fourni aux clients "bien-aimés", mais avec nous - à tout le monde. Et c'est documenté.
Sur la communication: il est très important d'avoir des téléphones personnels dans les contacts en cas d'état d'urgence différent. Dans les projets sérieux, la communication passe par des messagers pour accélérer (il y a quelques années ce n'était pas comme ça, tout le monde communiquait par mail). Le directeur des ventes a donné un numéro personnel qui ne s'éteint pas la nuit et en vacances - c'est la norme. Mais tout le monde ne peut pas dire cela.
Maintenant, un peu plus en détail - sur les exigences pour les sous-systèmes et processus individuels.
Exigences de certification
Afficher- Le système de comptabilité des ressources consommées doit être conforme aux exigences établies des "Règles d'utilisation des systèmes de paiement automatisé, approuvées. Ordonnance du Ministère de l'information et des communications de la Russie du 02.07.2007 n ° 73. "
- Le fournisseur doit disposer d'un certificat de conformité à jour des systèmes de gestion de la sécurité de l'information de l'entreprise aux exigences de la norme ISO / IEC 27001: 2013 concernant la fourniture de services d'externalisation pour les centres de données et les centres de données virtuels.
- Disponibilité du certificat actuel pour la plateforme cloud PCI DSS v3.2.
- Le certificat de conformité PCI DSS 3.2 doit inclure le support informatique, la sécurité physique, la sécurité des services système, l'équipement physique, les réseaux, le stockage.
- Certificats des centres de données Tier III Design, des centres de données Tier III Facility, des centres de données Tier III Operational Sustainability.
Pas de surprise ici: PCI DSS pour les données financières et T-III pour trois certificats. Ceci est important pour l’entreprise du client. Pour votre entreprise, vous devez créer votre propre liste de certification. Mais le premier point mérite une attention particulière. En fin de compte, il était important pour le client que nous fournissions un document qui indique le travail compétent de notre système de facturation. Heureusement pour nous, environ un an avant cela, nous l'avons certifié au ministère des Communications.
Vous trouverez ci-dessous une liste des exigences pour les principaux éléments de la plateforme cloud. Comme nous travaillions auparavant en étroite collaboration avec des clients étrangers, une liste similaire, mais sous une forme considérablement réduite, existait déjà. À un degré ou à un autre, l'information était indiquée dans le SLA et dans d'autres documents. À la demande d'un consultant en affaires, nous avons pelleté tout ce que nous avions, arrangé et mis à jour. En conséquence, nous avons reçu un document volumineux assez solide, que nous pouvons proposer à d'autres clients.
Donc, ce qui est spécifiquement indiqué dans les listes de contrôle concernant les paramètres techniques de la plateforme.
Ressources informatiques
Afficher- L’allocation des ressources informatiques (cœurs virtuels, RAM) doit être garantie, excluant la possibilité d’influence mutuelle des serveurs virtuels du client situés sur un nœud physique les uns sur les autres.
- La plate-forme cloud doit permettre de modifier la quantité de ressources informatiques sans recréer la machine virtuelle.
- La possibilité d'un déploiement garanti de VM sur différents nœuds physiques.
- La plateforme cloud doit fournir un choix de cluster (DC) lors du démarrage d'une machine virtuelle.
Disques
Afficher- La plate-forme cloud doit permettre de créer des disques virtuels de performances différentes (IOPS) via l'interface de gestion Web et l'API.
- La plateforme cloud devrait permettre de modifier les performances du disque à la volée.
- Les ressources de disque doivent être disponibles avec des garanties de performances mesurées par le nombre d'IOPS par disque.
- Les garanties de performances des disques doivent couvrir jusqu'à 100 000 IOPS.
- La plate-forme cloud devrait fournir la possibilité de migrer des données entre des ressources de disque de performances différentes "à la volée" sans arrêter le service.
Réseaux
Afficher- La plateforme cloud devrait vous permettre d'organiser des environnements réseau isolés qui ne sont pas disponibles pour les autres clients de la plateforme cloud.
- Les environnements réseau isolés de la plate-forme cloud devraient vous permettre de gérer l'adressage réseau et le routage de l'infrastructure informatique du client.
- La plate-forme cloud devrait avoir des fonctionnalités pour connecter les canaux de communication externes dédiés des clients.
- L'attribution ou la suppression d'adresses IP externes à des serveurs virtuels à l'aide de la plateforme cloud doit être assurée.
- La plate-forme cloud doit fournir une connexion de sécurité externe à une vitesse d'au moins 40 Gb / s.
- La plate-forme cloud doit avoir des services DNS et DHCP intégrés.
- La plateforme cloud doit fournir des connexions VPN IPSec.
- La plate-forme cloud doit fournir un accès de sécurité à Internet, indépendamment du fournisseur, et regrouper au moins quatre fournisseurs.
- La bande passante entre les machines virtuelles au sein du même centre de données doit être d'au moins 10 Gb / s.
- Connectivité L2 entre infrastructures virtuelles déployées dans différents centres de données.
Stockage d'objets
Afficher- La plateforme cloud doit avoir un service de fichiers compatible avec l'interface du logiciel Amazon S3.
- Le stockage d'objets doit fonctionner selon un protocole qui permet de stocker et de recevoir n'importe quelle quantité de données à tout moment et de n'importe où sur Internet.
- Le système de stockage des données pour la tolérance aux pannes doit être réparti entre au moins deux sites de l'entrepreneur.
- Le système de stockage doit pouvoir s'étendre à mesure que des fichiers sont ajoutés.
- Le stockage d'objets doit prendre en charge la gestion des versions.
- Chaque objet du référentiel doit être répliqué entre les sites de l'entrepreneur. En cas de défaillance unique de l'un des composants du stockage d'objets, il ne devrait y avoir aucun impact sur la qualité de service.
- Possibilité de travailler avec le stockage via HTTPS.
- Prise en charge de la liste de contrôle d'accès (ACL) et de la stratégie.
- Prise en charge des stratégies Object Lifecycle Object Lifecycle.
- Cryptage côté serveur.
- Prise en charge des sites Web statiques et des noms d'utilisateur pour les sites Web tels que mysite.ru
- Le niveau de tolérance aux pannes du service de stockage est d'au moins 99,99%.
IB
Afficher- La séparation de l'environnement d'information du client au sein de la plate-forme cloud en plusieurs réseaux virtuels indépendants doit être assurée.
- La gestion de l'accès aux réseaux virtuels doit être mise en œuvre sur différents ports et protocoles à l'aide d'un pare-feu intégré gratuit.
- Il faut s'assurer que les serveurs de la plate-forme virtuelle sont combinés en un seul réseau privé virtuel (VPN) avec les serveurs physiques ou virtuels du client situés sur un site distant ou un centre de données.
- L'accès aux fonctions de gestion logicielle (API) de la plateforme cloud doit être fourni de manière à ce que la sécurité ne soit pas compromise même lors de l'utilisation de protocoles de transport non sécurisés.
- Le protocole HTTPS doit être utilisé pour accéder aux fonctions de gestion logicielle (API) de la plateforme cloud. Les certificats doivent être signés par des autorités de certification de confiance.
- Les serveurs virtuels Linux \ UNIX doivent être accessibles à l'aide du protocole SSH à l'aide de l'authentification par clé sans mot de passe. La plate-forme virtuelle devrait offrir la possibilité de gérer les clés d'authentification (création et suppression), ainsi que de fournir un mécanisme accessible à partir de la machine virtuelle pour la remise de clés publiques à la machine virtuelle lors de son chargement.
- L'organisation de l'accès sécurisé aux serveurs du système informatique doit être effectuée à l'aide d'une connexion VPN IPsec.
- La plate-forme virtuelle doit avoir un pare-feu intégré, qui est configuré séparément pour chaque réseau virtuel, ainsi que pour les réseaux virtuels d'environnements cloud isolés.
- La présence des résultats d'un test de pénétration avec un délai maximum d'un an.
Sauvegarde
Afficher- Le service de sauvegarde doit être géré par le client indépendamment via l'interface de gestion Web.
- Grâce à l'interface Web, des fonctionnalités doivent être disponibles pour définir le calendrier de sauvegarde de chaque serveur, ainsi que pour les sauvegarder et les restaurer manuellement.
- Le service de sauvegarde des données doit être comptabilisé et payé en fonction de son utilisation, à savoir, des gigaoctets de données protégées par mois.
- Le service de sauvegarde des données doit permettre de sauvegarder le système d'entreprise commun et les logiciels d'application. Les agents logiciels installés sur des serveurs protégés doivent être gratuits.
- Gestion des sauvegardes - via l'interface Web et via l'agent logiciel.
- Utilisation du stockage élastique S3 basé sur des fichiers pour stocker des copies.
- L'utilisation de la déduplication.
Facturation
Afficher- Dans une plate-forme cloud, la division logique des machines virtuelles en groupes avec l'option de facturation distincte doit être disponible.
- Paiement uniquement pour le volume réellement occupé.
Ce qui s'est terminé
Le test a été vraiment épuisant pour nous, mais grâce à lui, nous avons nous-mêmes beaucoup appris. Par exemple, en se concentrant sur les collègues étrangers, ils ont élaboré plusieurs procédures, mis tous les documents en ordre. En fait, nous avons travaillé pendant un certain temps, puis proposé un partenariat stratégique. Parce que cette entreprise a également de nombreux clients en Russie. Maintenant, tout cela est en discussion, mais une méthodologie de vérification est déjà apparue. Bien sûr, les listes de contrôle ne donnent pas une idée complète de quoi et à quoi ressemblaient les consultants en affaires, mais j'ai essayé de décharger la principale, qui vous permettra de construire vous-même une méthodologie de vérification. Ici, bien sûr, il y a de la ruse de ma part, car nous avons réussi ce test et gagné, c'est-à-dire que les listes de contrôle sont presque entièrement applicables à notre cloud. Parce que notre plateforme correspondait à leur grand projet. J'espère que vous utilisez votre bon sens et comprenez ce dont votre projet a besoin de la plate-forme, et modifiez en conséquence les exigences.
Si tout à coup il y a des questions pas pour des commentaires - mon mail est NiVasilev@croc.ru