Uma grande empresa estrangeira precisava entrar
na nossa nuvem por causa da lei sobre dados pessoais. Como eles próprios estão envolvidos na auditoria de outras empresas, abordaram a questão como de costume: estudaram o mercado, compilaram uma lista de requisitos para a nuvem e começaram a verificar quem e como correspondia a ela.
Transferiu todos os sistemas: ambientes de teste, teste + prod, pré-produto, todas as máquinas virtuais, servidores virtuais e todos os sistemas de infraestrutura virtual. Até o apoio deles apareceu na Rússia. De nós - apenas alugando recursos.
Eles nos verificaram notavelmente, em termos de escala: uma auditoria quase completa do data center. Mas eles não examinaram as especificações técnicas e de hardware em geral, mas sobre como os processos de IB são criados e como os SLAs diferentes são observados. Do ponto de vista deles, são os processos de estabilidade do SLA que indicam a qualidade da empresa. E dissemos a eles sobre cada um dos componentes em detalhes.
Quero compartilhar uma lista de critérios para verificação. Porque havia pelo menos algum tipo de metodologia, porque antes isso poucos clientes tinham uma abordagem tão sistemática do problema.
Opções gerais
Os principais requisitos eram cerca de duas dúzias. Entre eles, estão os básicos, como colocar a plataforma em dois data centers, ter um console para gerenciar recursos, a capacidade de trabalhar com a API, pagar serviços após o uso com uma granularidade de não mais de uma hora e a disponibilidade de ferramentas de automação, por exemplo, Terraform. Outros requisitos não são para dizer que ficamos muito surpresos, eles simplesmente não mostram todos sem exceção. Entre esses requisitos, está a necessidade de possuir um edifício no qual um data center em nuvem opera.
Mas aqui tudo está claro em geral. Aparentemente, esse cliente também leu a história do mercado de colocação russo. Ou alguns de seus clientes já se encontraram em algum lugar no exterior. Tudo o resto é padrão em geral. O requisito do data center está em Moscou (isso também estava na lista) - é para a oportunidade de chegar ao administrador e para a velocidade das chamadas durante a replicação. O ponto mais importante após dois data centers são as métricas detalhadas no SLA. Como eu disse, isso os preocupava mais com todos os itens.
Requisitos de pessoal
Esse foi um dos blocos mais difíceis, porque o cliente, com vasta experiência em atividades de projeto (possui centenas de clientes de produção e varejo em todo o mundo), transferiu-o em certa medida em TI. Em geral, essa é uma abordagem sólida, mas os requisitos acabaram sendo "pesados".
Aqui está o que fomos testados:
- A presença de três níveis de suporte técnico para a plataforma: a primeira linha é a solução de incidentes no nível da plataforma (HW, virtualização), a segunda linha é a solução de problemas na infraestrutura do cliente localizada na plataforma de nuvem (SO, DBMS e outro nível de software de aplicativo), a terceira linha é a conexão desenvolvedores de plataforma de nuvem de fornecedores e / ou fornecedores para resolver problemas.
- Modo operacional 24x7x365 da primeira linha de suporte técnico.
- Conhecimento obrigatório dos idiomas russo e inglês por especialistas de todos os níveis de suporte.
- A capacidade de arquivar aplicativos para o incidente por email ou ligando para o serviço de suporte técnico.
- A possibilidade de arquivar aplicativos para um incidente ligando para o serviço de suporte técnico.
- O tempo de reação dos especialistas em suporte técnico para um incidente é de 10 a 15 minutos, dependendo da prioridade do aplicativo (o fornecedor deve registrar uma descrição detalhada das prioridades dos incidentes no contrato de serviço).
- O tempo para resolver o incidente é de 90 a 240 minutos, dependendo da prioridade do aplicativo (o fornecedor deve registrar uma descrição detalhada das prioridades dos incidentes no contrato de serviço).
- Presença obrigatória de uma equipe de projeto dedicada, que inclui: gerente de contas, gerente de projetos, arquiteto técnico, engenheiros.
- A capacidade de usar vários meios de comunicação entre a equipe do fornecedor e a equipe do cliente para uma solução mais rápida dos problemas (por exemplo, usando Telegram, WhatsApp e outros mensageiros).
- Corrigindo a lista da equipe do projeto em um contrato assinado para o fornecimento de serviços de plataforma em nuvem. A lista deve incluir o nome completo, números de contato de telefones celulares, endereços de e-mail de todas as pessoas envolvidas na atividade do cliente e fornecedor.
Aqui, um dos pontos mais importantes para o cliente foi o fornecimento de exatamente três linhas de suporte. Todo mundo sempre tem a primeira linha, a segunda linha de suporte geralmente está lá, mas os requisitos para isso já são bastante embaçados. Mas há também um terceiro, que de fato vira vários chips. E nada é terceirizado, como às vezes os pequenos fornecedores. O projeto lida apenas com seus funcionários. Nenhuma equipe de serviço é alocada para um grande projeto de cliente, mas uma equipe de projeto separada, e isso é registrado nos documentos.
Uma equipe de projeto dedicada é um ponto importante separado. Para um provedor de serviços em nuvem normal, isso geralmente vem em algum tipo de serviço. Mas, novamente, não há um requisito explícito direto para isso e não há padrões. Em geral, há pessoas diretamente envolvidas no suporte ao cliente, há uma pessoa que gerencia um projeto específico, há engenheiros. É caro para o cliente reservar um tempo para essas pessoas, mas é necessário, porque na maioria dos casos, além de "apenas hospedar", você precisa resolver problemas bastante complexos. Ou simples, mas rápido e pela primeira vez. Portanto, essas pessoas da equipe estarão ativas 24x7, sempre em contato e prontas para ajudar. Com qualquer tipo de comunicação que seja conveniente para o cliente. Este é um serviço que geralmente é fornecido a clientes "amados", mas conosco - a todos. E está documentado.
Na comunicação: é muito importante ter telefones pessoais nos contatos em caso de estado de emergência diferente. Em projetos sérios, a comunicação passa por mensageiros para acelerar (alguns anos atrás, não era assim, todos se comunicavam pelo correio). O diretor de vendas forneceu um número pessoal que não desliga à noite e de férias - essa é a norma. Mas nem todo mundo pode dizer isso.
Agora um pouco mais detalhadamente - sobre os requisitos para subsistemas e processos individuais.
Requisitos de certificação
Ver- O sistema contábil dos recursos consumidos deve cumprir os requisitos estabelecidos nas "Regras para o uso de sistemas de pagamento automatizados, aprovadas. Despacho do Ministério da Informação e Comunicações da Rússia de 07.07.2007, n. 73. "
- O provedor deve ter um certificado atualizado de conformidade dos sistemas de gerenciamento de segurança da informação da empresa com os requisitos da norma ISO / IEC 27001: 2013 em relação ao fornecimento de serviços de terceirização para data centers e data centers virtuais.
- Disponibilidade do certificado atual para a plataforma em nuvem PCI DSS v3.2.
- O certificado de conformidade do PCI DSS 3.2 deve incluir suporte de TI, segurança física, segurança de serviços do sistema, equipamentos físicos, redes e armazenamento.
- Certificados de datacenters de design de nível III, de datacenter de instalações de nível III, de datacenter de sustentabilidade operacional de nível III.
Não há surpresas aqui: PCI DSS para dados financeiros e T-III para três certificados. Isso é importante para os negócios do cliente. Para sua empresa, você precisa criar sua própria lista de certificação. Mas o primeiro ponto merece atenção especial. Como se viu, era importante para o cliente fornecer um documento que indique o trabalho competente do nosso sistema de cobrança. Felizmente para nós, apenas um ano antes disso, nós o certificamos no Ministério das Comunicações.
Abaixo está uma lista de requisitos para os principais elementos da plataforma em nuvem. Como trabalhamos anteriormente com clientes estrangeiros, já existia uma lista semelhante, mas de uma forma bastante reduzida. Em um grau ou outro, as informações foram indicadas no SLA e em outros documentos. A pedido de um consultor de negócios, escavamos tudo o que tínhamos, organizamos e atualizamos. Como resultado, recebemos um documento bastante sólido em volume, que podemos oferecer para familiarização com outros clientes.
Então, o que é indicado especificamente nas listas de verificação sobre os parâmetros técnicos da plataforma.
Recursos computacionais
Ver- A alocação de recursos de computação (núcleos virtuais, RAM) deve ser garantida, excluindo a possibilidade de influência mútua dos servidores virtuais do cliente localizados em um nó físico um no outro.
- A plataforma em nuvem deve fornecer a capacidade de alterar a quantidade de recursos de computação sem recriar a VM.
- A possibilidade de implantação garantida de VMs em diferentes nós físicos.
- A plataforma em nuvem deve fornecer uma opção de cluster (DC) ao iniciar uma VM.
Discos
Ver- A plataforma em nuvem deve oferecer a capacidade de criar discos virtuais de diferentes desempenhos (IOPS) por meio da interface de gerenciamento e da API baseadas na Web.
- A plataforma em nuvem deve fornecer a capacidade de alterar o desempenho do disco em tempo real.
- Os recursos de disco devem estar disponíveis com garantias de desempenho medidas pelo número de IOPS por disco.
- As garantias de desempenho do disco devem cobrir até 100.000 IOPS.
- A plataforma em nuvem deve oferecer a capacidade de migrar dados entre recursos de disco de desempenho diferente "on the fly" sem interromper o serviço.
Redes
Ver- A plataforma em nuvem deve permitir que você organize ambientes de rede isolados que não estão disponíveis para outros clientes da plataforma em nuvem.
- Os ambientes de rede isolados da plataforma em nuvem devem permitir que você gerencie o endereçamento e o roteamento da rede da infraestrutura de TI do cliente.
- A plataforma em nuvem deve ter funcionalidade para conectar canais de comunicação externos dedicados dos clientes.
- A atribuição ou exclusão de endereços IP externos a servidores virtuais usando a plataforma em nuvem deve ser garantida.
- A plataforma em nuvem deve fornecer uma conexão externa à prova de falhas a uma velocidade de pelo menos 40 Gb / s.
- A plataforma em nuvem deve ter serviços DNS e DHCP integrados.
- A plataforma em nuvem deve fornecer conexões VPN IPSec.
- A plataforma em nuvem deve fornecer acesso à prova de falhas à Internet, independente do provedor, e agregar pelo menos quatro provedores.
- A largura de banda entre as VMs no mesmo datacenter deve ser de pelo menos 10 Gb / s.
- Conectividade L2 entre infraestruturas virtuais implantadas em vários data centers.
Armazenamento de objetos
Ver- A plataforma em nuvem deve ter um serviço de arquivo compatível com a interface do software Amazon S3.
- O armazenamento de objetos deve funcionar de acordo com um protocolo que permita armazenar e receber qualquer quantidade de dados a qualquer momento e de qualquer lugar da Internet.
- O sistema de armazenamento de dados para tolerância a falhas deve ser distribuído entre pelo menos dois locais do contratado.
- O sistema de armazenamento deve poder expandir à medida que os arquivos são adicionados.
- O armazenamento de objetos deve suportar controle de versão.
- Cada objeto no repositório deve ser replicado entre os sites do contratante. No caso de uma única falha de qualquer um dos componentes do armazenamento de objetos, não deve haver impacto na qualidade do serviço.
- Capacidade de trabalhar com armazenamento via HTTPS.
- Suporte para lista de controle de acesso (ACL) e política.
- Suporte para políticas de ciclo de vida do objeto.
- Criptografia do lado do servidor.
- Suporte para sites estáticos e nomes de usuário para sites como mysite.ru
- O nível de tolerância a falhas do serviço de armazenamento é de pelo menos 99,99%.
IB
Ver- A separação do ambiente de informações do cliente dentro da plataforma em nuvem em várias redes virtuais independentes deve ser assegurada.
- O gerenciamento do acesso às redes virtuais deve ser implementado em várias portas e protocolos, usando um firewall interno gratuito.
- Deve-se garantir que os servidores da plataforma virtual sejam combinados em uma rede virtual privada (VPN) com os servidores físicos ou virtuais do cliente localizados em um site remoto ou data center.
- O acesso às funções de gerenciamento de software (APIs) da plataforma em nuvem deve ser fornecido de forma que a segurança não seja comprometida, mesmo ao usar protocolos de transporte não seguros.
- O protocolo HTTPS deve ser usado para acessar as APIs (funções de gerenciamento de software da plataforma em nuvem). Os certificados devem ser assinados por autoridades de certificação confiáveis.
- Os servidores Linux \ UNIX virtuais devem ser acessados usando o protocolo SSH usando autenticação de chave sem senha. A plataforma virtual deve fornecer a capacidade de gerenciar chaves de autenticação (criação e exclusão), além de fornecer um mecanismo acessível a partir da VM para a entrega de chaves públicas à VM durante o carregamento.
- A organização do acesso seguro aos servidores do sistema de TI deve ser realizada usando uma conexão VPN IPsec.
- A plataforma virtual deve ter um firewall integrado, configurado separadamente para cada rede virtual, bem como para redes virtuais de ambientes em nuvem isolados.
- Presença dos resultados de um teste de penetração com prazo não superior a 1 ano.
Backup
Ver- O serviço de backup deve ser gerenciado pelo cliente de forma independente por meio da interface de gerenciamento baseada na Web.
- Por meio da interface da web, a funcionalidade deve estar disponível para definir o agendamento de backup para servidores individuais, bem como para fazer backup e restaurá-los manualmente.
- O serviço de backup de dados deve ser contabilizado e pago mediante o uso, ou seja, Gigabytes de dados protegidos por mês.
- O serviço de backup de dados deve oferecer a capacidade de fazer backup de sistemas corporativos e aplicativos comuns. Os agentes de software instalados em servidores protegidos devem ser gratuitos.
- Gerenciamento de backup - por meio da interface da web e do agente de software.
- Usando armazenamento S3 elástico baseado em arquivo para armazenar cópias.
- O uso da desduplicação.
Faturamento
Ver- Em uma plataforma em nuvem, a divisão lógica de VMs em grupos com a opção de cobrança separada deve estar disponível.
- Pagamento apenas pelo volume realmente ocupado.
O que terminou
O teste foi realmente exaustivo para nós, mas graças a isso nós mesmos aprendemos muito. Por exemplo, concentrando-se em colegas estrangeiros, eles elaboraram vários procedimentos, trouxeram todos os documentos em ordem completa. Na verdade, trabalhamos por algum tempo e propusemos uma parceria estratégica. Porque esta empresa também tem muitos clientes na Rússia. Agora tudo isso está em discussão, mas uma metodologia de verificação já apareceu. Obviamente, as listas de verificação não dão uma idéia completa de como e como os consultores de negócios pareciam, mas tentei descarregar a principal, que permitirá que você construa uma metodologia de verificação por conta própria. Aqui, é claro, há alguma astúcia da minha parte, porque passamos nesse teste e vencemos, ou seja, as listas de verificação são quase totalmente aplicáveis à nossa nuvem. Porque nossa plataforma correspondeu ao seu grande projeto. Espero que você use o bom senso e entenda o que seu projeto precisa da plataforma e altere os requisitos.
Se de repente houver perguntas sem comentários - meu e-mail é NiVasilev@croc.ru