Empfohlen
Empfohlen
Weitere ähnliche Inhalte
Was ist angesagt?
Was ist angesagt? (19)
Andere mochten auch
Ähnlich wie 第一回Soft layer勉強会 グローバル分散アーキテクチャ
Ähnlich wie 第一回Soft layer勉強会 グローバル分散アーキテクチャ (20)
Mehr von Maho Takara
Mehr von Maho Takara (16)
第一回Soft layer勉強会 グローバル分散アーキテクチャ
- 1. © 2014 IBM Corporation SoftLayer による 多地域分散型システムの構築例 2014/07/04 日本アイ・ビー・エム 株式会社 クラウド事業統括 新規事業開発 高良 真穂 Twitter @MahoTakara
- 2. © 2014 IBM Corporation2 自己紹介 髙良 真穂 ( たから まほ ) 日本アイ・ビー・エム株式会社 クラウド事業統括 新規事業開発 エキスパート・テクノロジー・アーキテクト 担当部長 技術情報提供ブログ ソフトレイヤー探検隊 隊長 http://goo.gl/Au2lUS Twitter @MahoTakara 中途入社以来、金融、航空、海運、物流、自動車業界などの SI プロジェクトにお いて、技術リーダーを担当してきました。近年 3 年程前から、クラウド・コンピュ ーティングを利用したシステム構築を担当しており、現在は、 SoftLayer を活用し た、新規ビジネス開拓を担当しています。 ソフトレイヤー探検隊 検索検索 クリック
- 3. © 2014 IBM Corporation3 目次 本事例の背景 要件に対する従来型システム構築の課題 クラウドによって解決できたビジネス課題 クラウド活用上の考慮点 取り組み • セキュリティ • 可用性 ＆ 継続性 • アプリ設計＆開発 • システム運用（監視、バックアップ） • 連続的開発 (DevOps & Continuous Delivery ) まとめ
- 4. © 2014 IBM Corporation4 本事例の背景 多地域分散型システムが求められた背景 IMO （国際海事機関）の定めた国際条約が強制化（２０１６年新規建造契約分から） • 船舶の衝突事故や海難事故による、人命の保護、汚染物質流出による環境破壊防止を目的 とした、目的指向型 (Goal Based Standards) 設計基準に基づく、船体構造の強化、およ び、設計の透明性 • 第三者機関の運営のもとで、船舶建造図書（ Ship Construction File ）の保管が義務化 船舶建造図書 (SCF) を陸上で保管（アーカイブ）して、船上に提供するシ ステムの構築が求められた。 • 大型の外航船は、世界の海を航行し、寄港地で、検査、保守、改造などが行われ、就航か ら２０年から３０年利用され、その期間、船舶建造図書のアーカイブを維持する必要があ る。 画像出展：日本海事協会ホームページ、 Wikipedia
- 5. © 2014 IBM Corporation5 要件に対する従来型システム構築の課題 俊敏性 世界４大船級の中で、先行してシステムを構築し、業界デファクトスタンダードを目指す。 サービス早期開始と継続的改良が必須である。 事業継続性 地震多発地帯の日本において、世界に向けて図面アーカイブサービスを提供するために、 災害対策は、国際的信頼を得るための必須条件である。 利便性 多地域（中東、欧州、南米等）に、船体図面（大きなサイズのファイル）のダウンロード サービスを提供するため、距離遅延の少ない高速ダウンロードが必須である。 従来型システム基盤 では、経済性や運用性 などの障壁が多く 簡単に実現できない。
- 6. © 2014 IBM Corporation6 要件に対する従来型システム構築の課題 （利便性 距離遅延） 距離 往復時間 1Gファイルの Km ミリ秒 (Hr)転送時間 日本（大手町） 5 16 0.2 ニューヨーク 10850 198 11.3 ロンドン 16420 276 15.7 G https基点 東京都内、 １ ファイルは、 を用いた場合の実測に基づく計算値 サーバ場所 実測値＆計算値 距離遅延の課題 パケットの伝送距離に比例して遅延が発生する。 これにより、ファイル転送時間も 長くなる。 特に大きなサイズのファイルは、利用者の近くに、サーバーを配置する必 要がある。 200msec 280msec 10850Km 5570Km 都市間距離計算 http://gakusyu.ne.jp/linksyu/earth.htm パケット往復時間と距離の関係
- 7. © 2014 IBM Corporation7 クラウドによって解決したビジネス課題 早期立上げ市場リード、競争の激化と伴に機能追加 • 迅速な基盤構築が可能となった。 • 開発環境や本番環境の増設は、テンプレートから複製するだけで対応可能 • エラスティック（伸縮自在）な資源割当と相応のコスト発生が可能となった。 サービスの継続性、利便性 • 海外にもサーバーを配置して災害対策が可能になった。 • 欧州、北米に配置することで、距離遅延対策が可能になった。 2013 年 4 月現在 世界の地震発生状況をモニターするサイト サークルの大きさが地震に規模を表し、色が 過去からの時間を表している。 日本は、世界の中でも最も地震の多い地帯に 位置しており、海外に向けてサービスを提供する 上で災害対策が必要であることがわかる。 http://www.iris.edu/dms/seismon.htm
- 8. © 2014 IBM Corporation8 クラウド活用上の考慮点 セキュリティの懸念 可用性の懸念 クラウドに適合したアプリケーション設計＆開発 システム運用（監視＆バックアップ） 拡張と進化 (DevOps & Continues Delivery)
- 9. © 2014 IBM Corporation9 SoftLayer の アーキテクチャを生かす セキュリティ設計
- 10. © 2014 IBM Corporation10 SoftLayerSoftLayer のネットワーク・アキテクチャーのネットワーク・アキテクチャー Public と Private の VLAN を標準で提供。 グローバル・プライベート・ネットワークで DC 間接続 プライベート VLAN パブリック VLAN iSCSI ロードバランサFirewall SoftLayer DNS サーバ インターネット 凡例 サーバ パブリック VLAN プライベート VLAN ロードバランサ ファイアウォール SoftLayer ・セグメント ストレージ SSL VPN SSL VPN オブジェクト ストレージ 仮想専有 サーバー 仮想 サーバー 物理専有 サーバー NAS eVault SoftLayer NTP サーバ ユーザー 管理者 CDN Global LB Portal/ API SoftLayer WAN SoftLayer WAN データ センター
- 11. © 2014 IBM Corporation11 多段ファイアウォールに加え多層防御へ クラウドの利点を損なわない多層防御設計 Hardware Firewall TCP 80 port TCP 443 port OS Firewall 価値の高いデータ Crackers live on the Internet 1st 2nd 3rd 4th クラウド基盤レベル ファイアウォール サーバーレベル ＯＳファイアウォール アプリレベル アクセス制御 データレベル 暗号化保存 Download Area Upload Area ＡＰ サーバ DB サーバ 従来型ＦＷ 80,443 5001 ＡＰ サーバー ＤＢ サーバー プライベート・ネットワーク 5th
- 12. © 2014 IBM Corporation12 Sof t Layer の ネットワーク セキュリティー特長 ・ Li nux, Wi ndows の OS アップデート、 アンチウィルスのパターン更 新は、プライベート・ネットワークのリポジトリ・サーバーから実行でき ます。 すべでのデータセンターは下図のように、パブリック、プライベート、管理用のアク セスルートが分離・独立しています。お客様は、各キャリア経由の VPN接続 （ SSL 、 PPTP 、 I PSec ）で、サーバにアクセスできます。 Sof t Layer は、安心して使えるお客様 環境を構築するためにセキュリティサ ービスを提供しています。これらのサ ービスに含まれるものは : 脆弱性 スキャン アンチウィルスとアンチスパイウエア ホスト環境による不正侵入検出 ファイアウォールとネットワークからの脅威 に対する防御 ( I PS, DDoS) 仮想プライベートネットワーク ( VPN) ( I PSec, SSL, PPTP) Sof t Layer カスタマーポータルに対する二 段階認証 配送されるデータの信頼性を保つ SSL 証明書 プライベート・ネットワークからアクセス可 能な Wi ndows 、 Redhat 用の更新サーバー MaAf ee Vi r us Scan と Host I nt r usi on Ser ver RescueLayer ® リソースのリカバリー・ツ ール Net wor k I DS Pr ot ect i on Nessus® 脆弱性アセスメントとレポート Knowl edgeLayer ® ベスト・プラクティス ■ 安心できる環境構築のために 赤：パブリック・ネットワーク 青：プライベート・ネットワーク 緑：管理用ネットワーク
- 13. © 2014 IBM Corporation13 Sof t Layer の と の特長 業界標準 規定 遵守 お客様に安心してご利用いただくため、業界標準と規定に則った標準に対する遵守を進めておりま す。 Sof t Layer のすべてのデータセンターは SSAE16 （データセンターサービスでの内部統制の有効性 を評価する保証基準）に準じ、その報告書は SOC1, SOC2 として認証済みです。その他、以下の業界標準 の規定に対して取得しております Servi ce Organi zat i on Cont rol ( SOC) 2 Sof t Layer は、 SOC 2 Type I I レポートをすべてのデータセンターで取得しています。 セキュリティオーディット、稼働率、プロセスインテグリティ、プライバシー、信頼性につい てのレポートです。 レポートは、 NDA を結んだお客様に提供可能です。 Saf e Harbor この認証は、 Sof t Layer が指針の元、適切なプライバシー保護を提供していることを示して いるものです。 Payment Card Indust ry Dat a Securi t y St andard ( PCI- DSS) Sof t Layer は、 PCI で統制されたデータの取り扱いについて、 PCI Level 3 の認可業者に なっています。 この認証は、お客様のワークロードについて適用可能ではありません。 Federal Inf ormat i on Securi t y Management Act ( FISMA) Sof t Layer は、いくつかのデータセンターで、 FI SMA コンプライアンスを取得済みです。 Heal t h Insurance Port abi l i t y and Account abi l i t y Act ( HIPAA) Cl oud Securi t y Al l i ance ( CSA) Sof t Layer は、 CSA Secur i t y, Tr ust and Assur ance Regi st r y ( STAR) に則って、 セルフアセスメントを公表しております。 Sof t Layer は、 CSA- STAR Cer t i f i cat i on and At t est at i on の有資格者であると認識 されております。 これは、サードパーティから SOC 2 Type I I のアセスメントを取得して いるためです。 CSA- STAR Cont i nuous の認証は、 CSA の元で開発されています 参照： ht t ps: / / www. sof t l ayer . com/ compl i ance
- 14. © 2014 IBM Corporation14 クラウドを生かした 可用性設計
- 15. © 2014 IBM Corporation15 クラウドの可用性対策設計 クラウドの同一共有資源上で、仮想サーバ（インスタンス）２重化 構成では、可用性は向上しない。 仮想サーバ（インスタンス）を異なる共有資源上から取得できれば 有意性があるかもしれないが、１サイトの可用性を超える期待はで きない。他サイトとの間で２重化構成ができれば、災害対策と合せ て一石二鳥である。 ＤＣ設備（自家発電・空調・セキュリティ） クラウド共有資源 (LAN,SAN,CPU, ストレージ） 仮想 サーバ 仮想 サーバ 2 重化構成 !? クラウド共有資源 (LAN,SAN,CPU, ストレージ） 仮想 サーバ 仮想 サーバ 2 重化構成 !?
- 16. © 2014 IBM Corporation16 グローバル ネットワーク バックボーン高速 ・グローバル ネットワーク バックボーン高速 ・グローバル ユーザー の・ 展開 高速無料のプライベート ネットワークを・ 提 します。供 された冗長化 Ti er1 キャリアによる 10Gbps の の以上 複数 高速回線で接 。続 14 データセンター、 19 ネットワーク接続拠点 ( さらに 15 カ国で 40 拠点拡充予定 ) * 上記 は予定図 パブリック、プライベート、 10Gbps 帯域で接続 複数の Ti er 1 キャリアを冗長化接続し、高可用性 接続を実現 プライベート接続は無料利用。 ( パブリック・アウトバウンド : 標準 5TB/ 月まで無料 ) 2014 年に設立 香港 ( 6 月開設） 日本 中国 インド オーストラリア 現在のデータセン ター ダラス ワシントン サンノゼ シアトル シンガポール アムステルダム 2014 年に設立 ロンドン トロント ドイツ パリ メキシコ ブラジル
- 17. © 2014 IBM Corporation17 クラウドの可用性対策設計と災害対策 SoftLayer は、１契約内で世界中の何処のデータセンターを利用しても良い 。 複数 DC と併用することで、災害対策として、データセンタ設備や周辺環境 を含めた冗長化構成を、低コストかつ迅速に構築することができる。 ・利用者の近くに配置される事で、データ転送時間を短縮できる。 ・グローバルロードバランサーで自動振り分けも OK プライベート ネットワーク インターネット クライアント シンガポール ワシントン DC
- 18. © 2014 IBM Corporation18 クラウドに適合する アプリケーション アーキテクチャ
- 19. © 2014 IBM Corporation19 クラウドを生かすデータ連携アーキテクチャ 局地的緊密な通信（セル内）と遠隔地の疎遠な通信（セル間）で使い分ける。 ローカルバスとは、セル内通信であり、相手が応答しないと処理が成立しない同期 型通信である。 グローバルバスとは、セル間通信であり、相手が停止していて応答しなくても、自 己の処理に影響を受けない非同期通信である。 バス（ BUS ）とは、ハードウェアモジュール間で、データや制御信号などをやり取りするための専用の通 信路を示す。 構成ノード間の通信について、この比喩的表現を用いて、グローバルバスとローカルバスと 名付けて、使い分けの概念を決定した。 ローカルバス グローバルバス ローカルバス ローカルバス DB ノード ＡＰ ノード ＬＤＡＰ ノード ファイル ノード DB ノード ＡＰ ノード ＬＤＡＰ ノード ファイル ノード DB ノード ＡＰ ノード ＬＤＡＰ ノード ファイル ノード MQ ノード rsync など MQ ノード rsync など MQ ノード rsync など
- 20. © 2014 IBM Corporation20 ローカルバスとグローバルバスの実装 グローバルバスは、遠隔地との疎遠な通信を対象とし、相手の応答を前提としない 。 ローカルバスは、局地的緊密な通信を対象として、相手の応答を前提とする。 グローバルバス（セル間） メッセージ転送 MQ （業務処理＆データ連携） SMTP （監視通知） ファイル連携＆共有 rsync （ディスクの遠隔同期） ディレクトリ（利用者情報） LDAP （ LDAP サーバ間複製） ローカルバス（セル内） メッセージ転送 RMI-IIOP （業務処理＆データ連携） SI-BUS （ WAS 内包の JMS 転送層） JDBC （ RPC 型 SQL プロトコル） MQ クライアント接続 ファイル連携＆共有 NFS, Samba （ネットワーク・ドライブ） ディレクトリ（利用者情報） LDAP （ディレクトリ・プロトコル
- 21. © 2014 IBM Corporation21 クラウドを生かした ツール＆バックアップ
- 22. © 2014 IBM Corporation22 グローバルシステム運用監視における課題 運用監視の大半の仕組みでは、各サーバーにデプロイされたエージェントが、運用 管理サーバと連携して、運用管理サーバ内に稼動情報やメッセージを蓄積する。 この方式では、運用管理サーバが設置された地域が、被災した場合、他地域のサー バの運用監視が出来なくなる。 先進国の中で、唯一、地震多発地帯に位置する日本固有の問題であり、クラウ ドを活用する点で、考慮が必要な分野である。 Server 日本データセンタ 北米データセンタ Traditional System Operation Center Agent Server Agent Server Agent 欧州データセンタ Monitoring Server Disaster Strike
- 23. © 2014 IBM Corporation23 クラウドモデルでの運用監視の理想像 クラウド環境における仮想サーバーの監視の理想は、自律的自己監視、相互監視、日本と日本 以外に存在するシステム管理者へのイベント通知である。 そして、仮想サーバのテンプレー トに内包されることである。 この方式では、業務量や展開範囲が拡大した場合でも、仮想サーバのテンプレートに包含され る監視ツール群が、ディプロイ後に、インスタンスの稼動とともに、監視が開始される。 アジア 北米 SoftLayer プライベート オペレーション・セン ター システム・オペレータ チェック機能 チェック機能 チェック機能 欧州
- 24. © 2014 IBM Corporation24 各地のサーバー一覧を見て問い合わせが可能
- 25. © 2014 IBM Corporation25 高速プライベート N/W を生かすデータバックアップ バックアップデータは、 rsync を用いて、遠隔地サーバで保管する。 rsync は、差分符号化技術により転送量を最小化しつつ、遠隔地間の同期を実現する。 DB サーバ ＡＰサーバ Direct nfs cifs Win バッチ サーバ /scfac1 /fstore1.0 /vhost0345 /data_backup /log_archive /config_saving /backup1 DB サーバ ＡＰサーバ Direct nfs cifs Win バッチ サーバ /vhost0267 /db2inst1 /ldapX /logs /scfac1 /fstore1.0 /vhost0345 /data_backup /log_archive /config_saving /backup1 rsync rsync 北米へバックアップ アジアへバックアップ 相互同期 rsync ブロック・ストレージ ブロック・ストレージ 詳細 詳細 /vhost0267 /db2inst1 /ldapX /logs SoftLayer の高速プライベートネットワークを利用
- 26. © 2014 IBM Corporation26 システムの拡張と進化 DevOps & Continues Delivery
- 27. © 2014 IBM Corporation27 Dev ＆ Ops 取り組みへの考慮 ＤｅｖＯｐｓとは、 • 開発と運用を密に連携させるための手法や概念などを総称したもの。例えば、ソフトウェ アの新機能や改修などの開発からリリースまでの期間を大幅に短縮し、サイクルを早く回 すことで、ソフトウェア品質を向上させる、あるいは、エンドユーザーに対するサービス を強化するといった効果がある。 市場リードのため早期リリースと継続的改良 ( 開発と運用の並行） • クラウドのミドルウェア従量課金対象外の製品が課題 • Dev&Ops の課題として、ソフトウェア・ライセンス費の制約がある。 制約を回避する策 • DB2,WAS,IBM LDAP,MQ は、ひとつのＯＳ上で複数のインスタンス作成可能 • 環境番号の概念を取り入れ、１仮想サーバ上に、複数のインスタンスを識別し て構成できるコンフィグレーションの概念を導入
- 28. © 2014 IBM Corporation28 Dev ＆ Ops を支援する 仮想環境 on 仮想ホスト １サーバーに複数インスタンスが共存できるため、環境の統廃合が容易となる。 インターネット DC ファイア ウォール DC ファイア ウォール シンガポール ワシントン DC 本番環境 AP サーバ HTTPS HTTPS 本番環境 DB サーバ 本番環境 バッチサーバ テスト・開発環境 AP サーバ テスト・開発環境 DB サーバ テスト・開発環境 バッチ 業務用 インスタンス 訓練用 インスタンス 業務用 インスタンス 訓練用 インスタンス テスト用 インスタンス 開発用 インスタンス テスト用 インスタンス 開発用 インスタンス 本番環境 AP サーバ 本番環境 DB サーバ 本番環境 バッチサーバ テスト・開発環境 AP サーバ テスト・開発環境 DB サーバ テスト・開発環境 バッチサーバ 業務用 インスタンス 訓練用 インスタンス 業務用 インスタンス 訓練用 インスタンス テスト用 インスタンス 開発用 インスタンス テスト用 インスタンス 開発用 インスタンス データ同期 データ同期 業務用 インスタンス 訓練用 インスタンス 業務用 インスタンス 訓練用 インスタンス テスト用 インスタンス 開発用 インスタンス テスト用 インスタンス 開発用 インスタンス
- 29. © 2014 IBM Corporation29 まとめ
- 30. © 2014 IBM Corporation30 まとめ クラウドで、多地域分散の設計を行うことで、事業継続性の向上、高い可 用性、利便性の向上（ダウンロード時間の短縮）を達成することがきた。 SoftLayer は、基本契約範囲内で、各国のデータセンタ上に、仮想サーバー （インスタンス）を稼動させることができるため、従来式の基盤構築では 障壁が高く実現できなかった設計が可能となった。 セキュリティでは、オンプレミスと同等以上のセキュアなシステムとする ことができた。 地震多発国にある日本にとって、ＩＴサービスを提供する上で、クラウド および、多地域分散の設計は、強力な手法となる。 今後、クラウド業界の標準化が進むため、クラウド上の多地域分散アーキ テクチャー設計は、ますます重要となる。
- 31. © 2014 IBM Corporation31 + ソフトレイヤー探検隊 検索検索 クリック
- 32. © 2014 IBM Corporation32
Hinweis der Redaktion
- 参照： https://www.softlayer.com/compliance SOC 2 Compliance (server organization Control): Reports on the data Centers controls: Security: protected against both physical and logical unauthorized access Availability: the system is up and running as the committed agreed Processing integrity: process is complete, accurate, timely and authorized Confidentially: information deemed confidential is protected as committed or agreed. (Personal information is collected, used, retained, disclosed and disposed of correctly). SOC requires a written statement of description of all the above and how it relates in the environment. More can be found here: http://www.trustnetinc.com/Compliance/soc-2-report-what-is-it.html http://www.ssae16.org/white-papers/soc-1-vs-soc-2.html (SOC 1)SSAE no. 16 Audits (Statement on standards for Attestation Engagements no 16): is a more in-depth controls audit of: Security Availability Processing integrity Confidentially SOC 2 was created with the SOC 1 framework. NDA – non discourse agreement US and EU - Swiss safe Harbor Frameworks – The European Commission’s Directive on Data Protection went into effect in October of 1998, and would prohibit the transfer of personal data to non-European Union countries that do not meet the European Union (EU) “adequacy” standard for privacy protection. While the United States and the EU share the goal of enhancing privacy protection for their citizens, the United States takes a different approach to privacy from that taken by the EU. SoftLayer partners with McAfee to scan customer servers and certify compliance to PCI-DSS (free PCI for all of SL customers). PCI-DSS - The PCI Security Standards Council offers robust and comprehensive standards and supporting materials to enhance payment card data security. These materials include a framework of specifications, tools, measurements and support resources to help organizations ensure the safe handling of cardholder information at every step. The keystone is the PCI Data Security Standard (PCI DSS), which provides an actionable framework for developing a robust payment card data security process -- including prevention, detection and appropriate reaction to security incidents. FISMA - requires each federal agency to develop, document, and implement an agency-wide program to provide information security for the information and information systems that support the operations and assets of the agency, including those provided or managed by another agency, contractor, or other source. HIPAA- The Office for Civil Rights enforces the HIPAA Privacy Rule, which protects the privacy of individually identifiable health information; the HIPAA Security Rule, which sets national standards for the security of electronic protected health information; the HIPAA Breach Notification Rule, which requires covered entities and business associates to provide notification following a breach of unsecured protected health information; and the confidentiality provisions of the Patient Safety Rule, which protect identifiable information being used to analyze patient safety events and improve patient safety. SoftLayer will sign a Business Agreement (BA) defined by the customers Risk management framework if agreed upon compliance obligations. To promote the use of best practices for providing security assurance within Cloud Computing, and provide education on the uses of Cloud Computing to help secure all other forms of computing.