Systemkonfiguration

Allgemeines

Aus Gründen der Ausfallsicherheit wird eine örtlich verteilte Installation der Server empfohlen, wobei für die Cluster- und Services-Kommunikation eine Round Trip Time (RTT) von < 2 ms zwischen den beiden Servern erforderlich ist.

Die Strom- und Netzwerk-Anbindung sollte redundant erfolgen. Jeder Server soll an zwei unterschiedliche Stromkreise angebunden werden. Die Netzwerk-Ports für das Customer-LAN, die Cluster- und Services-Kommunikation sollen an unterschiedliche Switches angeschlossen werden.

Netzwerkübersicht

Die grundlegende Netzwerkarchitektur der Fabasoft Private Cloud sieht folgendermaßen aus:

Auf die Fabasoft Private Cloud wird via Customer-LAN über Port TCP/443 (HTTPS) zugegriffen. Die Services der Fabasoft Cloud benötigen einen Zugriff via Customer-LAN auf DNS, NTP und SMTP, den Backup-Server bzw. sonstige projektspezifische Services, die über Schnittstellen eingebunden werden.

Des Weiteren müssen die Ports UDP/623 bzw. UDP/161 vom Customer-LAN in das Management-LAN freigeschalten werden.

Der Fabasoft app.telemetry Server ist ebenfalls über Port TCP/443 zugänglich.

Für die Administration der Fabasoft Private Cloud Server und Services ist ein Zugang via SSH erforderlich.

Für die Kommunikation zwischen den Services der Fabasoft Private Cloud sowie für die Kommunikation im Cluster ist je ein VLAN zwischen den beiden Cluster-Knoten der Fabasoft Private Cloud einzurichten.

• Für die Cluster- und Services-Kommunikation wird eine MTU von 9000 Byte verwendet, somit müssen auf dem gesamten Pfad zwischen den Servern der Fabasoft Private Cloud Jumbo-Frames aktiviert sein.

Die Netzwerkanbindungen an das Customer-LAN, Services-LAN und Cluster-LAN sind redundant ausgelegt. Die beiden Interfaces je LAN jedes Servers haben ein Bonding, somit ist kein LACP am Switch notwendig.

Beide Server haben je eine eigene IP im Customer LAN. Die „Loadbalancer IP“ wird zusätzlich über den Cluster auf den Server auf dem die „Loadbalancer IP“ läuft zugewiesen. Die „Loadbalancer IP“ macht gegebenenfalls einen Failover somit ist auch dafür kein LACP am Switch notwendig.

Für ein Update der Fabasoft Private Cloud muss auf den Repository-Server https://repo.cloud.fabasoft.com über Port 443 zugegriffen werden können.

Anforderungen für die Inbetriebnahme

• 2 IPv4-Adressen für das Management-LAN (Dell iDRAC)
• 3 IPv4-Adressen für das Customer-LAN (eine je Server in RZ1, RZ2 und eine Cluster IP-Adresse)
• VLAN für Cluster-LAN (verwendet von den Servern in RZ1 und RZ2)
• VLAN für Services-LAN (verwendet von den Servern in RZ1 und RZ2)
• Für die Cluster- und Services-Kommunikation wird eine MTU von 9000 Byte verwendet, somit müssen auf dem gesamten Pfad zwischen den Servern der Fabasoft Private Cloud Jumbo-Frames aktiviert sein.
• Für die Cluster- und Services-Kommunikation wird eine Round Trip Time (RTT) von < 2 ms erwartet.
• Zwischen dem Customer-LAN und dem Management-LAN muss folgende Firewall-Freischaltung gegeben sein:
  • Customer-LAN Management-LAN: UDP Port 623
  • Customer-LAN Management-LAN: UDP Port 161 (SNMP)
• Fully Qualified Domain Name (FQDN) inkl. DNS-Eintrag und Serverzertifikat für den HTTPS-Zugang
• Falls für die Anmeldung Client-Zertifikate zum Einsatz kommen soll: Ein DNS-Eintrag und ein Serverzertifikat für cert.<FQDN> für die Authentisierung mit Client-Zertifikaten. Es muss ein separates Serverzertifikat sein. Das Serverzertifikat des HTTPS-Zugangs darf nicht wiederverwendet werden.
• DNS-Server
• NTP-Server
• SMTP-Server
• Backup-Server

Authentisierung

Administration der Fabasoft Private Cloud Server und Services

Für die Administration der Fabasoft Cloud Server bzw. Services kann über SSH auf die jeweiligen Server bzw. in weiterer Folge auf die Management-VM und von dort auf die unterschiedlichen servicespezifischen VMs als root User eingestiegen werden.

Administration in der Fabasoft Private Cloud Browser-Oberfläche

Für die Administration in der Fabasoft Private Cloud Browser-Oberfläche können entweder Benutzername/Passwort mit E-Mail-PIN, Client-Zertifikate oder ADFS/SAML 2.0 verwendet werden.

Bei der Authentisierung mit Client-Zertifikate werden Benutzer über den CN des Client-Zertifikats zugeordnet. Für die Konfiguration der Anmeldung mit Client-Zertifikaten müssen

• alle Zertifizierungsstellen, die Client-Zertifikate für Ihre Organisation ausstellen dürfen, als CER-Dateien im PEM-Format,
• für die ausstellenden Zertifizierungsstellen die übergeordneten Stamm- und Zwischenzertifizierungsstellen als CER-Dateien im PEM-Format und
• für jede Stamm-, Zwischen- und ausstellende Zertifizierungsstelle die entsprechenden Zertifikatssperrlisten-URLs

in der Fabasoft Private Cloud hinterlegt werden.