Sécurisation des accès

La sécurité est l'une des principales préoccupations lorsque vous exécutez vos applications stratégiques dans un environnement de cloud. Pour sécuriser votre connexion à vos IBM® Virtual Servers, vous pouvez télécharger une clé SSH publique sur votre compte, par région. Ces clés publiques sont déployées sur vos instances de serveur virtuel pour autoriser l'accès aux serveurs.

Avant de continuer, créez une clé publique SSH que vous pourrez télécharger ultérieurement dans la région de votre choix lors de la création de l'instance de serveur virtuel. Suivez les étapes documentées ici.

Vous utilisez des groupes de sécurité pour restreindre l'accès à des plages d'adresses IP, aux protocoles et aux ports. Les groupes de sécurité n'entrent pas dans le cadre de ces instructions et le groupe de sécurité par défaut déployé avec votre exemple de VPC peut suffire. Cependant, vous devrez peut-être ajouter des ports pour les exceptions aux restrictions d'accès, telles que SAP Software Provisioning Manager et pour les ports utilisés par votre application basée sur SAP NetWeaver.

Création d'un IBM Cloud VPC et d'un sous-réseau

Les ressources de calcul IBM Cloud® sont conservées dans une région globale au sein d'un VPC. Procédez comme suit pour créer un VPC et son sous-réseau.

1. Connectez-vous à la console IBM Cloud avec vos identifiants uniques.
2. Cliquez sur Icône de menu > Infrastructure VPC > Réseau > VPC et cliquez sur Nouveau nuage privé virtuel > Créer un VPC pour Gen 2.

1. Entrez un Nom unique pour le VPC, par exemple, sap-test-inst.

2. Conservez le groupe de ressourcespar défaut. Utilisez des groupes de ressources pour organiser vos ressources de compte à des fins de contrôle d'accès et de facturation. Pour plus d'informations, voir Meilleures pratiques pour l'organisation des ressources dans un groupe de ressources. Pour cet exemple, vous pouvez utiliser la valeur par défaut.

3. Facultatif: Étiquettes. Entrez des étiquettes pour faciliter l'organisation et la recherche de vos ressources. Vous pourrez ajouter d'autres balises ultérieurement. Pour plus d'informations, voir Utilisation d'étiquettes.

4. Sélectionnez le groupe de sécurité par défaut, qui autorise le trafic SSH entrant et ping vers les instances de serveur virtuel dans ce VPC.

5. Facultatif : Accès classique. Indiquez si vous souhaitez permettre à votre VPC d'accéder aux ressources de Classic Infrastructure. Pour plus d'informations, voir Configuration de l'accès à l'infrastructure classique.

   Vous pouvez activer un VPC pour un accès à Classic Infrastructure uniquement lorsque vous le créez. En outre, vous ne pouvez avoir qu'un seul VPC avec accès à Classic Infrastructure dans votre compte à tout moment.

6. Facultatif : Préfixes d'adresse par défaut. Désactivez cette option si vous ne souhaitez pas attribuer de préfixes d'adresse de sous-réseau par défaut à chaque zone de votre VPC. Après avoir créé votre VPC, vous pouvez accéder à sa page de détails et définir vos propres préfixes d'adresse de sous-réseau. Si vous désactivez cette option, la section Nouveau sous-réseau pour VPC est masquée et nécessite une définition manuelle après la création du VPC. Conservez la valeur par défaut.

   Si vous souhaitez créer ultérieurement le sous-réseau et vos propres préfixes d'adresse de sous-réseau, vous devez vous familiariser avec les détails importants de la mise en réseau pour VPC. Pour plus d'informations, voir A propos de la mise en réseau pour VPC et Conception d'un plan d'adressage pour un VPC.

Création d'une instance de serveur virtuel

Procédez comme suit pour créer une instance de serveur virtuel.

1. Cliquez sur Instances de serveur virtuel > Nouvelle instance.

2. Entrez un Nom unique pour le serveur virtuel, par exemple, sap-app-vsi. Le nom que vous entrez devient le nom d'hôte.

   Les noms d'hôte SAP doivent être composés de 13 caractères alphanumériques maximum. Voir SAP Note 611361 pour plus de détails.

3. Sélectionnez le cloud privé virtuel dans lequel vous souhaitez connecter l'instance de serveur virtuel, par exemple, sap-test-inst.

4. Conservez la valeur par défaut Groupe de ressources.

5. Facultatif: Étiquettes. Entrez des étiquettes pour faciliter l'organisation et la recherche de vos ressources. Vous pourrez ajouter d'autres balises ultérieurement. Pour plus d'informations, voir Utilisation d'étiquettes.

6. L'emplacement dans lequel vous avez créé vos sous-réseaux est déjà sélectionné, c'est-à-dire une région et une zone.

7. Sélectionnez Image de catalogue > ibm-redhat-7-6-amd64-sap-applications-1 comme image de système d'exploitation.

For every SUSE Linux® Enterprise and Red Hat® Enterprise Linux® version there are two different Catalog Images available each: one for SAP HANA and one for SAP NetWeaver (Applications). In these images, the specific repositories are enabled, so you can install the OS packages that are required to install SAP HANA or SAP NetWeaver.
{: note}

1. Cliquez sur Tous les profils > Equilibré et sélectionnez bx2-32x128. Pour plus d'informations sur les profils certifiés SAP, voir Profils certifiés serveur virtuel Intel pour SAP NetWeaver.

Connexion d'un volume de stockage par blocs

Pour que l'espace de système de fichiers soit disponible au-delà de ce qui est requis par le système d'exploitation, vous devez connecter un volume de stockage par blocs à votre instance de serveur virtuel. Ce volume de stockage est utilisé par l'application que vous effectuez l'installation. Dans cet exemple, l'application est le système de gestion de base de données relationnelle (SGBDR) requis pour une pile SAP NetWeaver.

1. Cliquez sur Nouveau volume.
2. Entrez sap-app-vol1 pour le Nom.
3. Sélectionnez Personnalisé pour Profil.
4. Entrez 500 pour Taille.
5. Entrez 10000 pour E-S/s. Débit prend par défaut la valeur 156.25 MiBit/s.
6. Conservez les valeurs par défaut Chiffrement et Suppression automatique.

1. Cliquez sur Associer.
2. Conservez la valeur par défaut pour Interfaces réseau.
3. Cliquez sur Créer une instance de serveur virtuel. Une fois que l'instance Virtual Servers for VPC est mise à disposition et prête pour la connexion SSH, vous pouvez commencer à installer les applications SAP NetWeaver.

Préparation de l'instance de serveur virtuel pour votre charge de travail

Les IBM® Virtual Servers sont accessibles via des connexions IPsec dans votre VPC. La configuration de l'accès basé sur IPsec aux instances de serveur virtuel dépasse la portée de ce guide. Par souci de simplicité, et pour accéder rapidement à l'instance déployée, vous pouvez affecter une IP flottante à votre instance de serveur virtuel. Cette adresse IP est affectée à une passerelle qui achemine les ports et les protocoles en fonction des groupes de sécurité définis.

En affectant l'adresse IP, vous pouvez directement établir une connexion par ssh dans votre instance de serveur virtuel - dans notre exemple, la commande est

ssh -i ~/.ssh/sap-ssh-key root@158.176.180.39

Pour mettre à jour le système d'exploitation de votre instance de serveur virtuel au niveau le plus récent, exécutez yum update et redémarrez l'instance de serveur virtuel.

Le gestionnaire SWPM (SAP NetWeaver Software Provisioning Manager) n'autorise pas les produits à effectuer une installation sur les noms d'hôte qui ne se résolvent pas en une adresse IP externe sur l'instance de serveur. En raison de cette restriction, les paramètres par défaut de l'instance de serveur virtuel doivent être adaptés. Editez /etc/hosts et mettez en commentaire les lignes qui résolvent le nom d'hôte en adresses d'hôte local IPv4 et IPv6. Au lieu de cela, le nom d'hôte doit correspondre à l'adresse IP externe de votre serveur virtuel (voir l'exemple ci-dessous). Dans notre exemple, le nom d'hôte est résolu en 10.242.128.8, l'adresse IP privée affichée à la figure 6. Dans cet exemple, nous ajoutons un exemple de domaine par défaut. Adaptez cet exemple à votre environnement spécifique.

Ces lignes sont un exemple de fichier /etc/hosts. Veillez à ce que les deux références de localhost au nom d'hôte, IPv4 et IPv6, soient mises en commentaire (ou supprimées).

  # The following lines are desirable for IPv4 capable hosts

  #127.0.0.1 sap-app-vsi sap-app-vsi
  127.0.0.1 localhost.localdomain localhost
  127.0.0.1 localhost4.localdomain4 localhost4

  # The following lines are desirable for IPv6 capable hosts

  #::1 sap-app-vsi sap-app-vsi
  ::1 localhost.localdomain localhost
  ::1 localhost6.localdomain6 localhost6
  10.242.128.8 sap-app-vsi.saptest.com sap-app-vsi

Pour empêcher le processus IBM Cloud cloudinit de restaurer le contenu de /etc/hosts aux valeurs précédentes lors du redémarrage suivant, modifiez la configuration dans /etc/cloud/cloud.cfg. Remplacez manage_etc_host par True pour False.

Enfin, vous devez adapter votre stockage en créant un système de fichiers sur le volume de stockage connecté. Vous pouvez identifier le volume nouvellement connecté par sa taille en émettant la commande /sbin/fdisk -l et en vérifiant les tailles. Pour l'identifier en toute sécurité, recherchez l'ID unité en cliquant sur Unité sur les instances de serveur virtuel pour la page du VPC.

1. Sur la page Vue d'ensemble, vérifiez les 20 premiers chiffres de l'Unité et recherchez le même ID sous /dev/disk/by-id. Notre exemple d'unité est 07a7-184b....

   [root@sap-app-vsi ~]# ls -als /dev/disk/by-id/ | grep 07a7-184b4a2f-d768-4
   0 lrwxrwxrwx 1 root root   11 May   3 08:30 virtio-07a7-184b4a2f-d786-4 -> ../../vdb
   

Dans notre exemple, il s'agit de virtio-07a7-184b4a2f-d786-4, qui est lié à /dev/vdb.

1. Créez un système de fichiers sur ce chemin :

   [root@sap-app-vsi ~]# mkfs.xfs /dev/vdb
   

2. Recherchez l'identificateur unique universel associé dans /dev/disk/by-uuid :

   [root@sap-app-vsi ~]# ls -als /dev/disk/by-uuid/ | grep vdb
   0 lrwxrwxrwx 1 root root  11 May 10 08:31 1350230e-8058-4fe5-bbc0-cc27253ff778 -> ../../vdb
   

3. Ajoutez l'identificateur unique universel à /etc/fstab, dans notre exemple :

   UUID=1350230e-8058-4fe5-bbc0-cc27253ff778 /db2 xfs defaults 0 0
   

4. Créez un système de fichiers à utiliser pour la plus grande partie de votre installation, puisque nous utilisons IBM Db2, nous choisissons :

   [root@sap-app-vsi ~]# mkdir /db2
   [root@sap-app-vsi ~]# mount /db2
   

5. Ajouter un espace de permutation pour SWPM. Nous ajoutons un espace de permutation minimum au système.

   [root@sap-app-vsi ~]# dd if=/dev/zero of=/swapfile bs=1M count=8192
   8192+0 records in
   8192+0 records out
   8589934592 bytes (8.6 GB) copied, 24.701 s, 348 MB/s
   
   [root@sap-app-vsi ~]# chmod 0600 /swapfile
   [root@sap-app-vsi ~]# mkswap /swapfile
   Setting up swapspace version 1, size = 8388604 KiB
   no label, UUID=e7a63777-521a-44a7-abcc-0d17e1876a78
   

6. Ajoutez la ligne suivante à votre fichier /etc/fstab.

   /swapfile    none    swap    sw      0 0
   

7. Activez l'espace de permutation :

   [root@sap-app-vsi ~]# swapon -a
   

Vous êtes maintenant prêt à installer le produit SAP de votre choix. L'étape suivante consiste à télécharger et installer vos logiciels et applications SAP si un seul exemple de serveur virtuel suffit à vos besoins.

Installation de deux instances de serveur virtuel dans une configuration à trois niveaux

Un scénario plus complexe implique l'installation de deux serveurs virtuels. L'un est le serveur d'applications SAP NetWeaver (sap-app-vsi) et l'autre est le serveur de base de données pour SAP NetWeaver. Etant donné que nous disposons de deux serveurs virtuels avec le même agencement, pour cet exemple, les figures 8 et 9 représentent une vue d'ensemble des serveurs virtuels.

Les deux serveurs virtuels disposent d'un volume supplémentaire et d'une IP flottante. Un volume plus petit est associé à sap-app-vsi, qui est le serveur d'applications. sap-app2-vsi a un volume légèrement plus grand pour héberger le SGBDR et l'instance de SAP Central Services (ASCS). Un second volume est nécessaire sur sap-app2-vsi pour héberger la pile SAP NetWeaver. Créez un autre volume à partir des volumes de stockage par blocs pour la page VPC et nommez-le sap-app2-vol2. Connectez sap-app2-vol2 à notre serveur virtuel en sélectionnant son écran des détails.

Préparation de votre réseau

Pour séparer le trafic réseau, comme le recommande SAP, déployez un second sous-réseau. Un réseau est utilisé pour l'accès client, l'autre pour la communication entre la pile SAP ABAP et le SGBDR.

Utilisez la Figure 11 comme guide pour créer un nouveau sous-réseau nommé sap-test-net2.

Cliquez sur Icône de menu > Infrastructure VPC > Réseau > Sous-réseaux et cliquez sur Nouveau sous-réseau.

Une fois le nouveau sous-réseau créé, il s'affiche dans la page des sous-réseaux pour le VPC.

Les deux serveurs virtuels doivent se connecter au nouveau réseau. Revenez à la présentation du serveur virtuel et cliquez sur Nouvelle interface.

Conservez vos fichiers /etc/hosts en fonction de la configuration ciblée. L'exemple suivant concerne sap-app2-vsi.

  # The following lines are desirable for IPv4 capable hosts

  #127.0.0.1 sap-app2-vsi sap-app2-vsi
  127.0.0.1 localhost.localdomain localhost
  127.0.0.1 localhost4.localdomain4 localhost4

  # The following lines are desirable for IPv6 capable hosts

  #::1 sap-app2-vsi sap-app2-vsi
  ::1 localhost.localdomain localhost
  ::1 localhost6.localdomain6 localhost6
  10.243.128.9 sap-app2-vsi.saptest.com sap-app2-vsi
  10.243.129.6 sap-app2-vsi-priv.saptest.com sap-app2-vsi-priv
  10.243.128.7 sap-app-vsi.saptest.com sap-app-vsi
  10.243.129.4 sap-app-vsi-priv.saptest.com sap-app-vsi-priv

Préparation de votre stockage

Vous devez mettre à disposition deux volumes sur le serveur virtuel de base de données avec un système de fichiers pour la base de données et pour l'installation SAP. En outre, /sapmnt doit être un système NFS (Network File System) exporté vers le serveur virtuel du serveur d'applications.

Le serveur virtuel du serveur d'applications n'a qu'un seul volume de 20 Go connecté. Vous pouvez identifier le volume sans regarder l'ID de ressource.

Disk /dev/vdd: 21.5 GB, 21474836480 bytes, 41943040 sectors
Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes

Vous créez un système de fichiers sur le volume et le montez une fois que vous avez déterminé son chemin /dev/disk/by-uuid.

ls -als /dev/disk/by-uuid/ | grep vdd
0 lrwxrwxrwx 1 root root 9 May 13 03:23 cf5d6692-4176-47c4-b799-039c11103fd4 -> ../../vdd

L'entrée /etc/fstab obtenue se trouve dans l'exemple suivant.

UUID=cf5d6692-4176-47c4-b799-039c11103fd4 /usr/sap xfs defaults 0 0

Vous devez créer le point de montage et le monter.

[root@sap-app-vsi ~]# mkdir /usr/sap
[root@sap-app-vsi ~]# mount -a

Sur le serveur virtuel de la base de données, vous devez créer trois systèmes de fichiers. Un pour l'installation du SGBDR et deux pour /usr/sap et /sapmnt. Les deux volumes connectés sont créés de la même manière et s'affichent en tant que /dev/vdb et /dev/vde. Dans notre exemple, nous avons fractionné le premier système de fichiers en deux partitions.

[root@sap-app2-vsi ~]# /sbin/fdisk /dev/vdb
Welcome to fdisk (util-linux 2.23.2).
Changes will remain in memory only, until you decide to write them.
Be careful before using the write command.
Device does not contain a recognized partition table
Building a new DOS disklabel with disk identifier 0x8f5f8b5e.
Command (m for help): n
Partition type:
p primary (0 primary, 0 extended, 4 free)
e extended
Select (default p): p
Partition number (1-4, default 1): 1
First sector (2048-419430399, default 2048):
Using default value 2048
Last sector, +sectors or +size{K,M,G} (2048-419430399, default 419430399): +100G
Partition 1 of type Linux and of size 100 GiB is set
Command (m for help): n
Partition type:
p primary (1 primary, 0 extended, 3 free)
e extended
Select (default p): p
Partition number (2-4, default 2):
First sector (209717248-419430399, default 209717248):
Using default value 209717248
Last sector, +sectors or +size{K,M,G} (209717248-419430399, default 419430399):
Using default value 419430399
Partition 2 of type Linux and of size 100 GiB is set
Command (m for help): w
The partition table has been altered!
Calling ioctl() to re-read partition table.
Syncing disks.

Créez les trois systèmes de fichiers (la sortie ne figure pas dans cet exemple).

[root@sap-app2-vsi ~]# mkfs.xfs /dev/vdb1
[root@sap-app2-vsi ~]# mkfs.xfs /dev/vdb2
[root@sap-app2-vsi ~]# mkfs.xfs /dev/vde
[root@sap-app2-vsi ~]# mkdir /usr/sap /sapmnt /db2

Là encore, vous devez déterminer les chemins /dev/disk/by-uuid, comme indiqué précédemment, et gérer les entrées /etc/fstab. Enfin, vous devez configurer le système NFS pour installer SAP.

1. Installez les utilitaires NFS sur les deux serveurs virtuels.

   [root@sap-app-vsi ~]# yum install nfs-utils
   

   [root@sap-app2-vsi ~]# yum install nfs-utils
   

2. Démarrez le serveur NFS sur le serveur virtuel de base de données.

   [root@sap-app2-vsi ~]# systemctl enable nfs-server
   [root@sap-app2-vsi ~]# systemctl start nfs-server
   

3. Utilisez NFS pour exporter /sapmnt et /usr/sap/trans du serveur de base de données vers le serveur d'applications en ajoutant l'entrée requise à /etc/exports du serveur de base de données :

   /sapmnt/C10 10.243.129.0/24(rw,no_root_squash,sync,no_subtree_check)
   /usr/sap/trans 10.17.139.0/24(rw,no_root_squash,sync,no_subtree_check)
   

   Vous devez adapter le sous-réseau de l'exemple précédent à votre plage d'adresses IP et à votre masque de sous-réseau réels. Remplacez la valeur C10 par l'ID système SAP de votre système SAP. C10 est une valeur exemple. Vous devez créer le répertoire avant de l'exporter.

4. Exécutez la commande suivante à partir de la ligne de commande.

   [root@sap-app2-vsi ~]# mkdir /sapmnt/C10
   [root@sap-app2-vsi ~]# mkdir -p /usr/sap/trans
   [root@sap-app2-vsi ~]# exportfs -a
   

5. Montez le partage NFS sur le serveur d'applications en ajoutant l'entrée suivante à son fichier /etc/fstab et montez le serveur d'applications à partir de la ligne de commande à l'aide de la commande suivante.

   [root@sap-app-vsi ~]# vi /etc/fstab
   ...
   sap-app2-vsi-priv:/sapmnt/C10 /sapmnt/C10 nfs defaults 0 0
   sap-app2-vsi-priv:/usr/sap/trans /usr/sap/trans nfs defaults 0 0
   

6. Créez et montez le répertoire cible.

   [root@sap-app-vsi ~]# mkdir /sapmnt/C10
   [root@sap-app-vsi ~]# mkdir /usr/sap/trans
   [root@sap-app-vsi ~]# mount /sapmnt/C10
   [root@sap-app-vsi ~]# mount /usr/sap/trans
   

Vos serveurs sont maintenant prêts à héberger les composants d'une installation SAP distribuée. Pour plus d'informations sur les préparations d'installation supplémentaires, voir Téléchargement et installation du logiciel et des applications SAP.

Installation de votre paysage SAP

Préparation au Software Provisioning Manager (SWPM) de SAP

Selon la bande passante et le temps d'attente de votre réseau, vous devrez peut-être exécuter l'interface graphique SAP SWPM à distance dans une session de réseau virtuel (VNC). Une autre option consiste à exécuter l'interface graphique localement et à la connecter à l'interface SWPM sur la machine cible. Pour la première option, vous devez exécuter X11 sur votre serveur virtuel et installer un serveur VNC et un navigateur. Vous pouvez exécuter le navigateur en local sur votre bureau et vous connecter à SWPM sur le serveur virtuel. Pour vous connecter à SWPM, vérifiez le port sur lequel SWPM est à l'écoute. SWPM affiche le port lors du démarrage lorsqu'il répertorie l'URL d'accès. Le port, généralement 4237, doit s'ouvrir dans le groupe de sécurité de votre VPC. Vous devez ajouter une Nouvelle règle entrante pour votre plage source d'adresses IP (ou 0.0.0.0/0) et le numéro de port. Une autre possibilité, plus sécurisée, consiste à tunnelliser le port ssh.

[root@sap-app-vsi ~]# ssh -L 4237:localhost:4237 <your virtual server IP>

Option -L pour les tunnels locaux et connexion de votre navigateur à ce port de système hôte local, plutôt qu'à l'adresse IP distante. N'oubliez pas d'ajouter les ports requis par votre application SAP (exemple : ports 3200 à 3299, selon votre numéro d'instance SAP NetWeaver) au groupe de sécurité. Pour plus d'informations sur les ports, voir SAP ports.