О том, почему для ГИС нужно специально подготовленное облако, мы уже говорили. А теперь открываем капот и смотрим, как технически устроен наш вариант такого решения. Обо всем расскажет Александр Степанчук, руководитель направления KVM в Облакотеке и архитектор платформы.
1️⃣ На базе каких решений работает платформа?
Если не вдаваться глубоко во внутреннее устройство, основные компоненты — операционная система «Альт СП» и криптошлюз «Континент».
Выбор технологической базы определялся нормативными актами — приказам ФСТЭК №17 и №21, Федеральным законам №152, №187, №242 и другим. Поскольку речь идет о государственной информационной системе, мы должны полностью им соответствовать.
При выборе конкретных решений мы также исходили из того, какие платформы уже поддерживаем. Выбрали те продукты, с которыми хорошо знакомы наши специалисты. Это позволило, во-первых, опираться на уже накопленный опыт и экспертизу, а во-вторых, не тратить дополнительное время на обучение и быстрее запустить платформу.
А еще мы взяли «Альт», потому что у них фактически своя платформа. Они пересобрали Proxmox под свою систему из пакетов, в том числе используют свое ядро. Это дает высокий уровень защиты.
2️⃣ Чем такое облако отличается от обычного коммерческого?
Оно полностью управляется вручную, автоматизации там нет. Клиент получает полностью отделенную, изолированную инфраструктуру. Он оставляет заявку, по ней создаются виртуальные серверы и выделяется VPN-сеть.
Подключение организовано через криптошлюз, и клиент работает только в своем выделенном контуре. Если мы берем обычную неаттестованную платформу, такой изоляции там нет. Здесь выше уровень безопасности самого хостинга: физический доступ к серверам ограничен, как и доступ из внутренних сетей.
Управление осуществляется через отдельный аттестованный компьютер внутри Облакотеки. Он тоже проходит проверку и считается автоматизированным рабочим местом. Если нам нужно что-то сделать для заказчика, это можно сделать только через него.
3️⃣ А что может делать сам заказчик?
Сейчас нет сценария, когда пользователь заходит, нажимает кнопку и у него автоматически разворачивается виртуальная машина. Приходит клиент, мы выделяем ему сеть на криптошлюзе, подключаем к этой сети виртуальные машины, после чего клиент может работать. То есть если требуется, например, увеличить ресурсы — все делается через заявку.
Если нужно что-то изменить внутри операционной системы, у заказчика есть отдельный выделенный контур, внутри которого он может работать самостоятельно. Базовый контроль доступа заказчики тоже настраивают сами.
4️⃣ А что с отказоустойчивостью?
Здесь отличий от коммерческого сегмента нет. У нас все в любом случае строится так, чтобы инфраструктура была отказоустойчивой.
5️⃣ Были ли трудности при проектировании?
Некоторые стандартные для индустрии подходы в отечественных платформах реализованы по-своему. Из-за этого возникали определенные сложности, например, с настройкой сетей: привычный подход здесь мог работать иначе.
6️⃣ Как вы проверяли интеграцию и совместимость компонентов?
Проводили самостоятельные проверки. При этом мы имеем дело с гипервизором KVM, на котором в принципе можно запускать широкий набор операционных систем. Здесь не возникнет проблемы совместимости с какой-то конкретной ОС.
#дорогой_бэклог
😏 Облакотека | TG | MAX