В конце 2011 - начале 2012 года компания «Инфосистемы Джет» развернула стенд облачной инфраструктуры в Межрегиональном центре информатизации Банка России. О целях проекта и способах их достижения в интервью НБЖ рассказали руководитель проекта со стороны интегратора Ольга ЗАЙЧЕНКО и начальник управления эксплуатации обеспечивающих систем МЦИ ЦБ РФ Александр ШИБАЕВ.

НБЖ: Как бы вы определили, в чем главная особенность данного проекта, его «изюминка»?

0. ЗАЙЧЕНКО: Облачные технологии сейчас на слуху и, помимо прочего, активно критикуются. В основном претензии к «облакам» касаются выполнения требований информационной безопасности. В банках, как известно, требования к обеспечению ИБ традиционно крайне высоки. Банк России является одной из наиболее строгих с этой точки зрения организаций, нормы информационной безопасности в нем четко регламентированы. Поэтому процесс развертывания, апробации и презентации макета облачного решения в ЦБ был для нас очень интересным опытом.

НБЖ: Расскажите, пожалуйста, каковы были предпосылки проекта? Какие цели ставил перед собой ЦБ РФ?

А. ШИБАЕВ: На момент принятия решения о создании макета частного «облака» в структурах Банка России уже были разработаны и активно использовались системы консолидированных (виртуальных) серверов и данных (СКСД). Виртуализация позволила качественно повысить эффективность использования ресурсов, сократить стоимость и время развертывания приложений, упростить доступ. Расширение использования технологий виртуализации диктовало необходимость выбора дальнейшей стратегии развития, одним из направлений которого являются облачные вычисления. Однако мы задались вопросом: что означает частное «облако» для крупной, территориально распределенной организации?

Опыт эксплуатации систем виртуальных серверов показал, что прямой перенос опыта физического ИТ-мира в виртуальный невозможен. Требуется использование технологий и инструментов, «заточенных» под виртуальную среду. «Облако» - это и есть совокупность таких технологий и инструментов, а виртуализация - это первый шаг к «облакам».

Забегая наперед, скажу, что макет облачной инфраструктуры показал, что «облака»-это не просто ИТ-технология. «Облако» - это идея ИТ-отрасли, оказывающая влияние на всю организацию. Поэтому технические сложности по инсталляции, конфигурированию и т.п. не являются доминирующими во внедрении «облаков».

Основная выгода от использования «облаков» в том, что появляется реальная возможность предоставления ИТ-услуг как сервиса. Облачная технология позволяет пользователю заказать то, что нужно ему, а не то, что может (или навязывает) ИТ-подразделение. Переход на сервисную модель в «облаке» означает, что каждый занят своим делом: экономисту не надо знать о драйверах и патчах, айтишнику - разбираться в бухгалтерии. Появляется возможность и необходимость перестройки всей бизнес-жизни организации.

Наш проект был инициирован поручением Технического совета Банка России в ноябре гон года. Тогда цель работ еще уточнялась. В итоге из первоначально планируемого тестирования облачных   технологий   на   отдельном

стенде, то есть работы внутри и для ИТ-подразделения, она трансформировалась в создание полноценного макета, реализующего облачные вычисления.

НБЖ: То есть появилась необходимость в получении реального опыта построения и эксплуатации элементов облачной инфраструктуры?

А. ШИБАЕВ: Действительно, изучение многочисленных статей и докладов по облачной тематике привело к пониманию необходимости детального ознакомления с новой технологией на стенде в Банке России. Только на основании тестирования можно определить применимость облачной технологии и перспективы ее внедрения в Банке России. Банк выступил в ряду первопроходцев, создав макет облачной системы. Боюсь, формат журнала не позволяет подробно рассказать о полученном опыте, поэтому постараюсь осветить основные результаты.

На макете реализована парадигма частного «облака». Основным условием проведения работ являлось создание частного «облака» из готовых элементов. Особенность технологии в том, что «облако» нельзя инсталлировать как серверное приложение. Частное «облако» - это сложный набор многочисленных приложений (в нашем случае более 30 наименований). Их инсталляция и настройка согласно требованиям организации - это фактически целый проект. Составные части «облака» - готовые элементы - это приложения для управления «облаком», своего рода кирпичи для строительства, прораб - системный интегратор или вендор, но архитектор - сам заказчик. Облачная технология эффективна, если она рассматривается как стратегическое средство организации. Иначе «облако» может оказаться неожиданно дорогим, очень сложным и только автоматизирует работу ИТ-подразделения. Появившиеся решения типа «облако в коробке» - это конструкторы с большей или меньшей функциональностью, удобством сборки и гибкостью в эксплуатации. Возможно, это упрощает инсталляцию и снижает сложность, но стратегический подход не отменяет.

В настоящее время достаточно четко обозначены два типа облачных решений. Первый - перенос в облачную инфраструктуру бизнес-процессов организации.

Этот подход подразумевает создание бизнес-приложений заново, но на облачных принципах. Это самый эффективный, но не самый простой и быстрый путь. Он позволяет коренным образом преобразовать ИТ-инфраструктуру организации, наконец, перейти от предоставления ресурсов (серверов, дисков, портов, приложений и т.д.) к предоставлению ИТ-услуг. Причем ИТ-услуг, четко ориентированных на пользователя. Второй тип облачных решений - перенос используемых в организации клиент-серверных приложений в облачную среду без существенных изменений. Процесс перехода в «облако» выглядит так: создали виртуальную среду -установили облачное ПО - перенесли приложение и организовали виртуальное рабочее место пользователя. По этому пути можно начинать двигаться уже сегодня, так как комплектные облачные решения предлагают фактически все вендоры. Контроль работы систем и степень управляемости ресурсами и приложениями возрастут практически до максимума, нагрузка на администраторов, а значит, и зависимость от них снизятся за счет автоматизации большинства операций по администрированию. На первом этапе эффективность и удобство работы пользователей может не увеличиться, а некоторые приложения будет затруднительно использовать в «облаке». Но вы сможете провести ревизию и структуризацию приложений и повысить качество работы собственно ИТ-службы. Пользователи почувствуют перемены не сразу, а только после доработки или замены приложений. В конечном счете переход к предоставлению ИТ-услуги произойдет плавно, без революций. Проверка второго подхода к созданию «облаков» и являлась целью Банка России.

Создание стендов всегда дорого и сложно: ресурсов нет, быстро найти их трудно, требуются обоснования для покупки и т.д. А для «облака» нужны не просто серверы, а система серверов с реализованной технологией виртуализации. Я уже упомянул, что такие системы развернуты в Банке России, и в частности, в МЦИ. Возможность физически выделить серверы под «облако» имелась, и работа началась.

НБЖ: Для того чтобы перейти к «облаку», должны сложиться некие предпосылки, возникнуть необходимость?

0. ЗАЙЧЕНКО: Современные частные «облака» - это в основном системы автоматизированного управления инфраструктурой. При применении облачного решения оно берет на себя функции сквозного управления всей инфраструктурой, а не только средой виртуализации, что составляет львиную долю рутинной работы администраторов. Поэтому для такой крупной и распределенной структуры, как Банк России, подобное решение с точки зрения функциональности является интересным. Таким образом, было решено апробировать парадигму частного «облака» для банковского сектора.

А. ШИБАЕВ: При определенном уровне сложности ИТ-инфраструктуры встает вопрос управления. В системе виртуальных серверов могут быть сотни серверов, тысячи виртуальных машин. Физические ресурсы могут исчерпываться очень быстро. Возникают вопросы: кто их потребляет, нет ли забытых серверов, потребляющих ресурс, но не используемых. При определенном масштабе системы это превращается в огромную проблему. Поэтому основа облачных решений - интегрированная интеллектуальная система управления ресурсами и учета потребления. В «облаке» управление возведено в абсолют! Учитывается и контролируется все! Именно в этом состоит основная сложность его создания: необходима интеграция продуктов и систем мониторинга, управления, учета и т.д.

На первый взгляд парадоксально, но переход к облачным технологиям не означает утрату понимания, где лежат данные, чего боятся многие, а, наоборот, предполагает полный контроль информации. Разгадка парадокса проста, и состоит она из двух частей. Первая часть - сервис предполагает контроль. Если ИТ-служба предоставляет услугу, то необходимо ее тарифицировать. Неважно, в каких единицах - в баллах, рублях или бонусах. Главное - это оценить труд ИТ-подразделения. И лишние гигабайты, «бесплатно» занятые пользователем, означают убытки. С другой стороны, пользователь контролирует, за что он платит. Поэтому выделение и учет ресурсов - главная и, как показал макет, решаемая задача.

Вторая часть - безопасность. Администратор информационной безопасности должен знать, кто и как использует ресурс вплоть до контроля доступа к отдельным файлам. Эта функциональность не входит в базовые решения вендоров, поскольку существует заблуждение, что подобный контроль нужен только в публичных «облаках». Тезис о том, что в организации «все свои», давно опровергнут. Поэтому, повторюсь, частное «облако» без ИБ «не летает».

«Облако» в своей базовой части представляет собой интегрированное решение по автоматизации управления ИТ-ресурсами. Всеми ресурсами! Поэтому инсталляция «облака» очень сложна и под силу только представителям вендора и интегратора. Квалификации ИТ-администраторов заказчика для конфигурирования «облака» не хватит. Зато администрирование виртуальных машин и приложений существенно упростится, а для создания и настройки виртуальных серверов, мониторинга и учета ресурсов, управления приложениями будет достаточно администратора средней квалификации. Нагрузка на него как минимум не увеличится, поскольку большая часть рутинного администрирования будет выполняться с помощью облачной системы управления.

Конфигурацию элементов «облака» определяет только заказчик с учетом своего опыта в области информационных технологий. Это, в свою очередь, означает, что роль ИТ-подразделения при переходе к «облакам» не снижается.
Так мы приходим к важнейшему выводу: облачные технологии - это революционный, но логичный шаг в развитии ИТ. Весь опыт организации по созданию и развитию ИТ должен быть использован при переходе к облачным технологиям. Это позволит сделать следующий шаг - перейти к предоставлению пользователям сервиса взамен подгонки их требований под возможности ИТ.

НБЖ: Каковы особенности архитектуры решения?

0. ЗАЙЧЕНКО: В данном случае важной особенностью архитектуры частного «облака» является то, что при реализации такого решения мы используем существующую инфраструктуру, повышаем ее управляемость и функциональность, а не строим новую. Нет требования «поменять все на новое» или поставить рядом «облако из коробки». Такое частное «облако» как бы «втягивает» в себя всю существующую ИТ-инфраструктуру, становится надстройкой, которая сохраняет инвестиции, при этом добавляя новые качества.

Что касается «кирпичиков», из которых состояло решение, - перед нами стояла задача построить комплексное решение, отвечающее требованиям заказчика. Не обязательно обладающее высокими количественными характеристиками, но позволяющее опробовать на деле все требуемые базовые облачные функции.

Заказчик должен был увидеть, каким образом решаются или не решаются основные вопросы и проблемы, возникающие при рассмотрении облачного варианта развития ИТ. Это означает, что, во-первых, необходимо было реализовать базовый функционал, прототип частного IaaS-облака на основе существующей инфраструктуры МЦИ. В итоге пользователь должен получить систему автоматизированного управления виртуальной, а также физической инфраструктурой с порталом самообслуживания и интерфейсом администратора «облака». Проектируемое решение должно было предоставить возможность провижининга виртуальных машин с заданными параметрами, такими как количество виртуальных процессоров, объем оперативной памяти, ОС, а также машин с набором доступного для пользователя ПО (например, Sharepoint, MS SQL).

Во-вторых, стояло требование по реализации подсистемы предоставления виртуальных рабочих мест. Строго говоря, это отдельный проект, но с точки зрения архитектурной концепции он аналогичен частному «облаку» в серверной части. Просто в качестве услуги здесь выступают виртуальные десктопы определенной конфигурации, выдаваемые по запросу. Для данной подсистемы были выбраны шаблоны следующих типовых виртуальных рабочих мест сотрудников МЦИ ЦБ: рабочее место сотрудника отдела кадров, финансиста и разработчика.

Третьей необходимой составляющей решения является подсистема информационной безопасности, поскольку в облачной парадигме возникают принципиально новые угрозы ИБ, с которыми связано множество опасении заказчиков. Требовалось их явно обозначить, спроектировать решение по нейтрализации облачных угроз и реализовать базовые механизмы защиты.

НБЖ: Не секрет, что именно угрозы ИБ становятся камнем преткновения для многих банков при рассмотрении облачной модели...

А. ШИБАЕВ: Конечно, информационная безопасность - это главный вопрос в использовании облачных технологий. Служба ИБ должна проверить и поверить в наличие и работоспособность облачных аналогов физических решений, таких как антивирусная защита, средства защиты информации от несанкционированного доступа, межсетевое экранирование и т.д.

Готовых и всеобъемлющих продуктов, позволяющих решить все вопросы информационной безопасности в «облаке», обнаружить не удалось. На макете мы проверили набор решений, совместное применение которых позволяет в большой мере устранить проблему информационной безопасности в «облаке».

Решения по информационной безопасности в «облаке» основаны на идее централизации контроля и защиты. Продукты ИБ либо используют специальный интерфейс гипервизора (VMsafe API), либо полностью контролируют доступ к механизму администрирования «облака». Система ИБ на макете состоит из двух частей - комплексной защиты виртуальной машины и системы администрирования информационной безопасности в «облаке».

В системе ИБ «облака» реализованы механизмы контроля доступа к виртуальной инфраструктуре, регистрации событий ИБ, анализа хостов VMware ESX на соответствие политикам безопасности в части конфигурации. Важно, что ПО работает прозрачно, то есть абсолютно незаметно и не затрудняя работу пользователей и системного администратора. Отдельная консоль управления и мониторинга позволяет контролировать все вопросы ИБ, причем в режиме реального времени. Сотрудник службы ИБ превращается из проверяющего, разбирающегося с нарушениями, в непосредственного участника ИТ-процесса, предотвращающего нарушения!

Облачная безагентная защита виртуальных машин работает на уровне гипер-визора, что позволяет снизить технические требования к виртуальному рабочему месту и снимает нагрузку по данному виду защиты с конечного пользователя. Обеспечены защита от вредоносного кода, функции файервола, IDS/IPS и т.д.

0. ЗАЙЧЕНКО: Что касается обеспечения информационной безопасности в «облаке», хочется отметить два важных момента. Во-первых, «облако», как правило, построено на виртуальной среде, которая позволяет гибко и быстро создавать и уничтожать виртуальные машины. Традиционными средствами защиты периметра (как в физической инфраструктуре) защитить их уже становится невозможно, поскольку этих средств недостаточно. Поэтому необходимо выявить новые облачные угрозы и проработать способы защиты от них.

Во-вторых, есть интересная облачная особенность: одним из определяющих свойств «облака» является multitenancy, то есть «многопользовательность». Она позволяет разделить полномочия администраторов инфраструктуры и администраторов данных и прикладного ПО. В «облаке» одновременно работают его пользователи и администраторы, при этом каждому нужно выполнять свои функции и не иметь доступа к данным, которые не используются им в работе. Например, администратор безопасности может поставить и администрировать антивирус во всей виртуальной среде, тем самым защищая все виртуальные машины, но он не имеет прав доступа к самим виртуальным машинам. Таким образом, каждый может выполнять свои должностные обязанности, не имея доступа к ненужной информации и инфраструктуре.

НБЖ: Расскажите непосредственно о реализации проекта: из каких этапов он состоял, кто его участники?

0. ЗАЙЧЕНКО: После короткой «разведки на местности» (благо инфраструктуру заказчика мы знали достаточно хорошо) и выбора конкретного технического решения в середине ноября прошлого года мы приступили к параллельной реализации первых двух этапов - созданию системы автоматизированного управления виртуальной средой и VDI. Вместе с архитектором решения и специалистом по VDI от нашей компании в проекте участвовал также консультант от вендора облачного решения - компании HP. Это было необходимо, поскольку работа шла с новым программным продуктом и требовались специфические знания данного ПО.

Основной облачный функционал был реализован и протестирован в течение месяца, также был сформирован отчет о тестировании, и в самом конце декабря, накануне Нового года, была произведена презентация решения и результатов департаменту информационных систем Банка России. В дальнейшей дискуссии участвовали представители нескольких ИТ-подразделений заказчика, в том числе подразделения, занимающегося информационной безопасностью. С большим удовлетворением могу отметить живой интерес участников к облачной теме в общем и к реализованному функционалу и результатам этапа в частности.

В начале этого года мы приступили к третьей части - проработке вопросов ИБ в «облаке». На данном этапе в команду влился еще один наш специалист -архитектор по ИБ. Была разработана модель угроз, сформировано техническое решение для подсистемы ИБ. После этого несколько продуктов, устраняющих основные типично облачные угрозы, были внедрены в тестовую эксплуатацию.

В марте и апреле 2012 о результатах проекта уже было доложено на нескольких внутренних и внешних мероприятиях Банка России. Наш опыт совместной работы был оценен как положительный и плодотворный.

НБЖ: Достигнуты ли ожидаемые результаты, реализованы ли цели проекта?

А. ШИБАЕВ: Во-первых, мы получили ответы на интересующие нас вопросы и новый опыт, новое понимание того, в каком направлении развивать ИТ-инфраструктуру. Во-вторых, была создана система автоматизированного управления виртуальной средой и VDI. В-третьих, определены следующие этапы: внедрение VDI и переход к модели SaaS - использование приложений как сервиса по мере необходимости.

Облачные решения очень сложные и очень дорогие. Постепенный переход на облачную технологию возможен, но эффект от внедрения будет получен только при комплексном подходе и переосмыслении использования ИТ в организации.

0. ЗАЙЧЕНКО: Хочется отметить три основных вывода по результатам этого проекта. Во-первых, наглядно доказана идея, что частное «облако» может быть построено с максимальным использованием существующей инфраструктуры заказчика. Во-вторых, основной целью первого этапа при развертывании подобного «облака» должно стать создание системы сквозного управления ИТ-инфраструктурой (как физической, так и виртуальной), что позволит максимально снизить нагрузку на администраторов. И в-третьих, мы вместе с заказчиком убедились, что, несмотря на скепсис в области обеспечения информационной безопасности «облаков», на сегодняшний день существуют средства, которые могут быть рассмотрены для защиты и обеспечения требований информационной безопасности даже в такой структуре, как Банк России.

Важно отметить, что в этом проекте мы очень тесно работали со специалистами МЦИ: не везде можно было провести четкую грань между заказчиком и исполнителем. Высокая вовлеченность и заинтересованность заказчика в реализации проекта существенно помогали нам быстро решать как технические, так и организационные вопросы. Как показывает практика, именно на решение административных и прочих вопросов тратится уйма времени. В данном случае все проблемы решались «на лету», что позволило двигаться практически семимильными шагами.