Config as Code: Der Weg zu Configuration as Code

Wenn Sie diesen Text lesen können, müssen Sie die Folie im Post-Menü mit der Funktion «Folie
einfügen» erneut einfügen. Sonst kann die Fläche nicht eingefärbt werden!
Der Weg zu Configuration as Code
Ein Erfahrungsbericht aus der Praxis

«Schaffen wir den Tagesdienst ab!»
- Roger Brechbühl, anlässlich eines Vorstellungsgesprächs

PostFinance AG | 06.09.2017 | V1.00 | öffentlich | Configuration as Code | Roger Brechbühl
Vorstellung
Roger Brechbühl, System-Engineer bei PostFinance AG, roger.brechbuehl@postfinance.ch
Abteilung IT Operations & IT Infrastructure Management
Domäne Technology & IT Infrastructure Data
Team Technology Management Middleware
Aufbau von Linux-Servern und deren Provisionierung, Tools für Infrastruktur-Daten wie Log-
Daten, Storage und Backup, Bereitstellen und Wartung von Middleware-Technologien und
Deployment-Routinen für Produkte wie WLS, Tomcat, Apache HTTP und andere.
Im Tagesgeschäft unterstützen wir den Betrieb bei Incidents und Problem-Untersuchungen, sowie
die Entwicklung beim Konfigurieren von Servern und Middleware.
Mit Engineering und Innovation entstehen moderne und selbst entwickelte Tools wie Mule
(Betriebssteuerung) und CES zum zentralen Verwalten von Zertifikaten entstanden.

Musterbild
Tipp «PostFinance-Bild einfügen»:
Post-Menü > Bild > PostFinance
I Die Augangslage

Deploymentportal
Deployment Portal
(DEPO)
Applikations-
Verantwortlicher
(AV)
Konfiguriert und
deployt die
Applikation
Team
Middleware
(MW)
Konfiguriert die
Benutzerrechte
und die
Infrastruktur einer
Applikation
Zielsystem
Remote
Installer (RI)
Applikation
Verteilt und
installiert die
Software mittels RI

Das Deploymentportal ist in dieser Form seit 2004 im Einsatz.
In den letzten 6 Monaten wurden über 42000 Deployments verteilt
auf rund 200 Teilapplikationen durchgeführt. 251 verschiedene
Benutzer haben ein Deployment gestartet. Knapp 94% der
Deployments waren erfolgreich. Im Moment sind Applikationen auf
rund 900 Servern aktiv.
Deploymentportal - Facts and Figures

Hallo Middleware-Team…
…könnt Ihr bitte den Heap der Applikation X, Domain* Y, Plattform «Test» auf 8 GB setzen?
…warum hat die Datei abc die Ownership foo (processowner) und nicht bar (application user)?
…wir haben Probleme mit dem Security-Framework, ist alles korrekt konfiguriert?
…haben wir seit Neustem den Fehler xy, hat sich was an der Konfiguration geändert?
* Eine Domain ist eine Deployment-Einheit je nach Technologie bestehend aus Property- und Konfigurations-Dateien und Scripts.
Vielfach entspricht eine Domain einem laufenden Prozess auf einem Server, im WLS-Umfeld sind es 2 oder mehr. Für eine
Applikation wird je Plattform eine Domain konfiguriert.

Die Applikationen sind abhängig von uns und
Änderungen werden nur von Montag – Freitag
von 8 – 17 Uhr vorgenommen. Zudem entstehen
dabei Wartezeiten, Pendenzen und
Verzögerungen, sei es bei den Applikationen, sei
es bei uns.
Bei der E-Mail-Kommunikation entstehen oft
Missverständnisse oder die Nachricht ist
unvollständig, was die Arbeit weiter verzögert.
Organisatorische Einschränkungen

Technische Einschränkungen
− Unvollständige Versionierung
− Vergleiche nur im Tool möglich
− Kein Search/Replace-Funktion
− Fehlender Überblick (was wurde zuletzt geändert?)
− Fehler werden erst während dem Deployment entdeckt
− Konfigurationen müssen manuell von einer Plattform auf eine
andere Plattform übertragen werden

Wir stellten uns dabei immer vor, wie es wäre, wenn diese
Konfigurationen statt in einer Webapp, einfach im Filesystem
vorhanden wären, wie sie in einem gängigen Versionskontroll-
Tool verwaltet würden, dass wir eine globale Suche durchführen
können, oder gar Werte ersetzen könnten oder auch mal
rudimentär ein find | grep | sed-Kommando absetzen , und wie wir
Vergleiche mit unseren Lieblings-Tools durchführen.
Und vielleicht irgendeinmal in ferner Zukunft können die
Applikationen ihre Konfiguration selbstständig verwalten.
Von Träumen und Visionen

Musterbild
Tipp «PostFinance-Bild einfügen»:
Post-Menü > Bild > PostFinance
II Die Veränderung

Configuration as Code
Deployment Portal
(DEPO)
Zielsystem
Remote
Installer (RI)
Applikation
Applikations-
Verantwortlicher
(AV)
Konfiguriert und
deployt die
Applikation
Verteilt und
installiert die
Software mittels RI
Git
Team
Middleware
(MW)
Konfiguriert die
Benutzerrechte
und die
Infrastruktur einer
Applikation
Einmalige Migration
BuildDeploy
Depo-
Bridge
Applikations-
Verantwortlicher
(AV)
Puppet

Configuration as Code

Herausforderungen
− «Tech is easy, humans are hard» (Hannah Foxwell, Devops Days Zurich 2017)
− Verlassen der Komfortzone
− Früher wars besser
− Richtlinien/Compliance der Firma
− Schulung und Information von Kollegen
− Skills aufbauen: System-Engineer bedient Versionskontrolle
− Security: Technische User integrieren, z.B. in zentralen Toolchains
− Umgang mit technischen Schulden bei der Migration

Vorher waren wir bezüglich Konfigurations-
Verwaltung von einem Tool abhängig.
Nun haben wir diesen Teil selber unter Kontrolle
und können ihn entsprechend optimieren und
weiterentwickeln.
Bei der Qualitätssicherung haben wir die
Möglichkeit, x-beliebige Massnahmen zu treffen,
sei es im Testing, sei es im Reporting und können
Findings in den Build-Prozess einfliessen lassen
(«fail fast»).
Zudem haben wir es in der Hand, wie wir in
Zukunft mit der Konfiguration umgehen und diese
in unsere Toollandschaft einbinden.
Erkenntnisse – «we build it, we run it»

Wie und wo werden Passwörter und andere sensitive
Konfigurations-Werte gespeichert?
Im Zuge dieser Transformation habe wir entschieden, dass wir solche
Konfigurationen nicht in der Versionskontrolle haben wollen und
haben parallel dazu eine zusätzliche Lösung erarbeit, die wir
demnächst einführen werden.
Hier konnten wir dank kurzer Wege und mit DevOps-Ansätzen
relativ schnell eine Lösung umsetzen.
Erkenntnisse – «Optimierung der Security»

Gibt’s ein Tool am Markt?
Meistens nicht, aber es gibt viele Tools auf dem
Markt, die einerseits Ihre Vorzüge haben,
andererseits aber nicht alle Anforderungen
abdecken können und wollen.
Gute Tools haben aber Schnittstellen, so dass sie
sich optimal in eine Landschaft einbinden lassen.
Dazu braucht es unter Umständen hier und da eine
kleine Eigenentwicklung, die Brücken schlagen
kann.
>>Ändern der Fusszeile: Im Reiter «Post-Menü» den Befehl «Kopf- und Fusszeile» wählen.
PostFinance AG | Datum | V1.00 | vertraulich/intern/öffentlich | Thema der Präsentation | Verfasser
Erkenntnisse – «Toolfrage»

Wie ist das nun mit dem Tagesdienst?
Tagesdienst macht keinen Spass, wenn man
lediglich Anweisungen ausführen muss.
Tagesdienst kann nicht abgeschafft werden, aber
er kann verändert werden: Reduktion der
Anfragen mittels Anbieten von Self-Service-
Lösungen, Anpassung der Kommunikation, z.B.
via Issue-Tracking statt E-Mail.
>>Ändern der Fusszeile: Im Reiter «Post-Menü» den Befehl «Kopf- und Fusszeile» wählen.
PostFinance AG | Datum | V1.00 | vertraulich/intern/öffentlich | Thema der Präsentation | Verfasser
Tagesdienst abschaffen?

Config as Code: Der Weg zu Configuration as Code

Weitere ähnliche Inhalte

Empfohlen

Config as Code: Der Weg zu Configuration as Code