Protegendo o acesso

A segurança é uma das maiores preocupações quando você executa os seus aplicativos críticos de negócios em um ambiente de nuvem. Para proteger a sua conexão com as suas IBM® Virtual Servers, uma chave SSH pública pode ser transferida por upload para a sua conta, por região. Essas chaves públicas são implementadas em suas instâncias de servidores virtuais para permitir o acesso aos servidores.

Antes de continuar, crie uma chave pública SSH que possa ser transferida por upload posteriormente para a região de sua escolha ao criar a instância de servidor virtual. Siga as etapas que estão documentadas aqui.

Você usa grupos de segurança para restringir o acesso a e por meio dos intervalos de IP, protocolos e portas. Os grupos de segurança não estão dentro do escopo dessa orientação e o grupo de segurança padrão que é implementado com a sua VPC de amostra pode ser suficiente. No entanto, poderá ser necessário incluir portas adicionais para exceções às restrições de acesso, como o SAP Software Provisioning Manager, e para as portas sendo usadas pelo seu aplicativo baseado no SAP NetWeaver.

Criando uma IBM Cloud VPC e uma sub-rede

Os recursos de cálculo do IBM Cloud® são mantidos em uma região global dentro de uma VPC. Use as etapas a seguir para criar uma VPC e a sua sub-rede.

1. Faça login no console IBM Cloud com suas credenciais exclusivas.
2. Clique em Ícone do menu > Infraestrutura do VPC > Rede > VPCs e clique em Nova nuvem privada virtual > Criar VPC para Gen 2.

1. Insira um Nome exclusivo para a VPC, por exemplo, sap-test-inst.

2. Mantenha o Grupo de recursos padrão. Use grupos de recursos para organizar os recursos de sua conta para fins de controle de acesso e faturamento. Para obter mais informações, consulte Melhores práticas para organizar recursos em um grupo de recursos. Para este exemplo, é possível usar o valor padrão.

3. Opcional: tags. Insira tags para ajudá-lo a organizar e localizar os seus recursos. É possível incluir mais tags posteriormente. Para obter mais informações, consulte Trabalhando com tags.

4. Mantenha as configurações Grupo de segurança padrão, que permitem o tráfego SSH de entrada e o ping para instâncias de servidor virtuais nessa VPC.

5. Opcional: acesso clássico. Selecione se você deseja ativar a sua VPC para acessar recursos de infraestrutura clássica. Para obter mais informações, consulte Configurando o acesso à infraestrutura clássica.

   É possível ativar uma VPC para acesso clássico apenas enquanto você a está criando. Além disso, é possível ter apenas um VPC de acesso clássico em sua conta a qualquer momento.

6. Opcional: prefixos de endereço padrão. Desative esta opção se você não desejar designar prefixos de endereço de sub-rede padrão para cada zona em sua VPC. Após criar sua VPC, será possível acessar sua página de detalhes e configurar seus próprios prefixos de endereço de sub-rede. Se você desativar essa opção, a seção Nova sub-rede para VPC será oculta e exigirá definição manual depois que a VPC for criada. Deixe o valor padrão.

   Para criar a sub-rede e os seus próprios prefixos de endereço de sub-rede mais tarde, familiarize-se com detalhes importantes da rede VPC. Para obter mais informações, consulte Sobre a rede para VPC e Projetando um plano de endereçamento para uma VPC.

Criando uma Instância de servidor virtual

Use as etapas a seguir para criar uma instância de servidor virtual.

1. Clique em Instâncias de servidor virtual > Nova instância.

2. Insira um Nome exclusivo para o servidor virtual, por exemplo, sap-app-vsi. O nome que você insere torna-se o nome do host.

   Os nomes do host do SAP devem consistir em um máximo de 13 caracteres alfanuméricos. Consulte SAP Nota 611361 para obter mais detalhes.

3. Selecione a Nuvem privada virtual à qual anexar a instância de servidor virtual, por exemplo, sap-test-inst.

4. Mantenha o padrão Grupo de recursos.

5. Opcional: tags. Insira tags para ajudá-lo a organizar e localizar os seus recursos. É possível incluir mais tags posteriormente. Para obter mais informações, consulte Trabalhando com tags.

6. A Localização na qual você criou as suas sub-redes já está selecionada. O local consiste em uma região e uma zona.

7. Selecione Imagem do catálogo > ibm-redhat-7-6-amd64-sap-applications-1 como a imagem do S.O.

For every SUSE Linux® Enterprise and Red Hat® Enterprise Linux® version there are two different Catalog Images available each: one for SAP HANA and one for SAP NetWeaver (Applications). In these images, the specific repositories are enabled, so you can install the OS packages that are required to install SAP HANA or SAP NetWeaver.
{: note}

1. Clique em Todos os perfis > Balanceados e selecione bx2-32x128. Para obter mais informações sobre os perfis certificados por SAP, consulte Perfis certificados do Intel Virtual Server para SAP NetWeaver.

Anexando um volume de armazenamento de bloco

Para ter o espaço do sistema de arquivos disponível além do que é exigido pelo sistema operacional, é necessário anexar um volume de armazenamento de bloco à sua instância de servidor virtual. Esse volume de armazenamento é usado pelo aplicativo que você está instalando. Neste exemplo, o aplicativo é o Relational Database Management System (RDBMS) necessário para uma pilha do SAP NetWeaver.

1. Clique em Novo volume.
2. Insira sap-app-vol1 para Nome.
3. Selecione Custom para Perfil.
4. Insira 500 para Tamanho.
5. Insira 10000 para IOPS. Rendimento é padronizado para 156,25 MiBps.
6. Mantenha os padrões Criptografia e Excluir automaticamente.

1. Clique em Anexar.
2. Mantenha o padrão de Interfaces de rede.
3. Clique em ** Criar instância de servidor virtual**. Depois que o Virtual Servers for VPC estiver provisionado e pronto para logon SSH, será possível começar a instalar os aplicativos SAP NetWeaver.

Preparando a instância de servidor virtual para a sua carga de trabalho

As IBM® Virtual Servers são acessadas por meio de conexões do IPsec em sua VPC. Configurar o acesso baseado em IPsec a instâncias de servidor virtual está além do escopo desta orientação. Para maior simplicidade, e para acessar rapidamente a instância implementada, é possível de atribuir um IP flutuante à instância do servidor virtual. Esse IP é designado para um gateway que encaminha portas e protocolos de acordo com os grupos de segurança definidos.

Ao designar o IP, é possível executar diretamente ssh em sua instância de servidor virtual. Em nosso exemplo, o comando é

ssh -i ~/.ssh/sap-ssh-key root@158.176.180.39

Para atualizar o sistema operacional para a sua instância do servidor virtual para o nível mais recente, execute yum update e reinicie a instância do servidor virtual.

O SAP NetWeaver Software Provisioning Manager (SWPM) não permite que os produtos sejam instalados em nomes do host que não resolvem para um IP externo na instância de servidor. Devido a essa restrição, as configurações padrão na instância do servidor virtual precisam ser adaptadas. Edite /etc/hosts e comente as linhas que resolvem o nome do host para os endereços de host local de Protocolo da Internet versão 4 e de Protocolo da Internet versão 6. Em vez disso, o nome do host deve ser resolvido para o endereço IP externo do seu servidor virtual (veja o exemplo). Em nosso exemplo, o nome do host é resolvido para 10.242.128.8, o IP privado exibido na Figura 6. Neste exemplo, anexamos um domínio padrão de amostra. Adapte esse exemplo ao seu ambiente específico.

Estas linhas são um exemplo de um arquivo /etc/hosts. Tome cuidado para que ambas as referências de host local ao nome do host, Protocolo da Internet versão 4 e Protocolo da Internet versão 6 estejam em comentários (ou excluídas).

  # The following lines are desirable for IPv4 capable hosts

  #127.0.0.1 sap-app-vsi sap-app-vsi
  127.0.0.1 localhost.localdomain localhost
  127.0.0.1 localhost4.localdomain4 localhost4

  # The following lines are desirable for IPv6 capable hosts

  #::1 sap-app-vsi sap-app-vsi
  ::1 localhost.localdomain localhost
  ::1 localhost6.localdomain6 localhost6
  10.242.128.8 sap-app-vsi.saptest.com sap-app-vsi

Para evitar que o processo cloudinit da IBM Cloud reverta o conteúdo de /etc/hosts para os valores anteriores na próxima reinicialização, mude a configuração em /etc/cloud/cloud.cfg. Mude manage_etc_host de True para False.

Finalmente, é necessário adaptar o seu armazenamento, criando um sistema de arquivos no volume de armazenamento conectado. É possível identificar o volume recém-conectado por seu tamanho, inserindo /sbin/fdisk -l e verificando os tamanhos. Para identificá-lo com segurança, localize o ID do dispositivo, clicando em Dispositivo na página Instâncias do servidor virtual para VPC.

1. Na página Visão geral, verifique os primeiros 20 dígitos em Dispositivo e localize mesmo ID em /dev/disk/by-id. Nosso dispositivo de exemplo é 07a7-184b....

   [root@sap-app-vsi ~]# ls -als /dev/disk/by-id/ | grep 07a7-184b4a2f-d768-4
   0 lrwxrwxrwx 1 root root   11 May   3 08:30 virtio-07a7-184b4a2f-d786-4 -> ../../vdb
   

Em nosso exemplo, ele é virtio-07a7-184b4a2f-d786-4, que é vinculado a /dev/vdb.

1. Crie um sistema de arquivos neste caminho:

   [root@sap-app-vsi ~]# mkfs.xfs /dev/vdb
   

2. Localize o UUID relacionado em /dev/disk/by-uuid:

   [root@sap-app-vsi ~]# ls -als /dev/disk/by-uuid/ | grep vdb
   0 lrwxrwxrwx 1 root root  11 May 10 08:31 1350230e-8058-4fe5-bbc0-cc27253ff778 -> ../../vdb
   

3. Inclua o UUID em /etc/fstab, em nosso exemplo:

   UUID=1350230e-8058-4fe5-bbc0-cc27253ff778 /db2 xfs defaults 0 0
   

4. Crie um sistema de arquivos para usar para a parte maior de sua instalação. Como estamos usando o IBM DB2, escolhemos:

   [root@sap-app-vsi ~]# mkdir /db2
   [root@sap-app-vsi ~]# mount /db2
   

5. Incluir espaço de troca para o SWPM. Estamos incluindo um espaço de troca mínimo no sistema.

   [root@sap-app-vsi ~]# dd if=/dev/zero of=/swapfile bs=1M count=8192
   8192+0 records in
   8192+0 records out
   8589934592 bytes (8.6 GB) copied, 24.701 s, 348 MB/s
   
   [root@sap-app-vsi ~]# chmod 0600 /swapfile
   [root@sap-app-vsi ~]# mkswap /swapfile
   Setting up swapspace version 1, size = 8388604 KiB
   no label, UUID=e7a63777-521a-44a7-abcc-0d17e1876a78
   

6. Inclua a linha a seguir em seu /etc/fstab.

   /swapfile    none    swap    sw      0 0
   

7. Ative o espaço de troca:

   [root@sap-app-vsi ~]# swapon -a
   

Você agora está pronto para instalar o produto SAP de sua escolha. A sua próxima etapa será fazer download e instalar o seu software e aplicativos SAP se uma única amostra de servidor virtual for suficiente para as suas necessidades.

Instalando duas instâncias de servidor virtual em uma configuração de 3 camadas

Um cenário mais complexo envolve a instalação de dois servidores virtuais. Um servidor é o SAP NetWeaver Application Server (sap-app-vsi) e o outro é o servidor de banco de dados para SAP NetWeaver. Tendo em conta que temos dois servidores virtuais do mesmo layout, por exemplo, as Figuras 8 e 9 são uma visão geral dos servidores virtuais.

Ambos os servidores virtuais possuem um volume conectado extra e um IP flutuante. Um volume menor é conectado a sap-app-vsi, que é o servidor de aplicativos. O sap-app2-vsi tem um volume um pouco maior para hospedar o RDBMS e a instância do SAP Central Services (ASCS). Um segundo volume é necessário no sap-app2-vsi para hospedar a pilha do SAP NetWeaver. Crie outro volume por meio dos Volumes de armazenamento de bloco para a página VPC e nomeie-a sap-app2-vol2. Conecte sap-app2-vol2 ao nosso servidor virtual, selecionando a sua tela de detalhes.

Preparando sua rede

Para segregar o tráfego de rede, conforme a SAP recomenda, implemente uma segunda sub-rede. Uma rede é usada para acesso do cliente, a outra para comunicação entre a pilha do SAP ABAP e o RDBMS.

Use a Figura 11 como o seu guia para criar uma nova sub-rede denominada sap-test-net2.

Clique em Ícone do menu > Infraestrutura da VPC > Rede > Sub-redes e clique em Nova sub-rede.

Depois que a nova sub-rede for criada, ela será exibida na página Sub-redes para VPC.

Os dois servidores virtuais precisam se conectar à nova rede. Volte para a visão geral do servidor virtual e clique em Nova interface.

Mantenha os seus arquivos /etc/hosts de acordo com a configuração direcionada. O exemplo a seguir é para sap-app2-vsi.

  # The following lines are desirable for IPv4 capable hosts

  #127.0.0.1 sap-app2-vsi sap-app2-vsi
  127.0.0.1 localhost.localdomain localhost
  127.0.0.1 localhost4.localdomain4 localhost4

  # The following lines are desirable for IPv6 capable hosts

  #::1 sap-app2-vsi sap-app2-vsi
  ::1 localhost.localdomain localhost
  ::1 localhost6.localdomain6 localhost6
  10.243.128.9 sap-app2-vsi.saptest.com sap-app2-vsi
  10.243.129.6 sap-app2-vsi-priv.saptest.com sap-app2-vsi-priv
  10.243.128.7 sap-app-vsi.saptest.com sap-app-vsi
  10.243.129.4 sap-app-vsi-priv.saptest.com sap-app-vsi-priv

Preparando o seu armazenamento

É necessário provisionar dois volumes no servidor virtual de banco de dados com um sistema de arquivos para o banco de dados e para a instalação do SAP. Além disso, o /sapmnt precisa ser o Network File System (NFS) exportado para o servidor virtual do servidor de aplicativos.

O servidor virtual do servidor de aplicativos tem apenas um volume de 20 GB conectado. É possível identificar o volume sem olhar para o ID do recurso.

Disk /dev/vdd: 21.5 GB, 21474836480 bytes, 41943040 sectors
Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes

Nós criamos um sistema de arquivos no volume e o montamos após você determinar o seu caminho /dev/disk/by-uuid.

ls -als /dev/disk/by-uuid/ | grep vdd
0 lrwxrwxrwx 1 root root 9 May 13 03:23 cf5d6692-4176-47c4-b799-039c11103fd4 -> ../../vdd

A entrada /etc/fstab resultante está no exemplo a seguir.

UUID=cf5d6692-4176-47c4-b799-039c11103fd4 /usr/sap xfs defaults 0 0

É necessário criar o ponto de montagem e montá-lo.

[root@sap-app-vsi ~]# mkdir /usr/sap
[root@sap-app-vsi ~]# mount -a

No servidor virtual do banco de dados, é necessário criar três sistemas de arquivos. Um para a instalação do RDBMS e dois para /usr/sap e /sapmnt. Ambos os volumes anexados são criados da mesma forma e são exibidos como /dev/vdb e /dev/vde. Em nosso exemplo, dividimos o primeiro sistema de arquivos em duas partições.

[root@sap-app2-vsi ~]# /sbin/fdisk /dev/vdb
Welcome to fdisk (util-linux 2.23.2).
Changes will remain in memory only, until you decide to write them.
Be careful before using the write command.
Device does not contain a recognized partition table
Building a new DOS disklabel with disk identifier 0x8f5f8b5e.
Command (m for help): n
Partition type:
p primary (0 primary, 0 extended, 4 free)
e extended
Select (default p): p
Partition number (1-4, default 1): 1
First sector (2048-419430399, default 2048):
Using default value 2048
Last sector, +sectors or +size{K,M,G} (2048-419430399, default 419430399): +100G
Partition 1 of type Linux and of size 100 GiB is set
Command (m for help): n
Partition type:
p primary (1 primary, 0 extended, 3 free)
e extended
Select (default p): p
Partition number (2-4, default 2):
First sector (209717248-419430399, default 209717248):
Using default value 209717248
Last sector, +sectors or +size{K,M,G} (209717248-419430399, default 419430399):
Using default value 419430399
Partition 2 of type Linux and of size 100 GiB is set
Command (m for help): w
The partition table has been altered!
Calling ioctl() to re-read partition table.
Syncing disks.

Crie os três sistemas de arquivos (a saída não é mostrada neste exemplo).

[root@sap-app2-vsi ~]# mkfs.xfs /dev/vdb1
[root@sap-app2-vsi ~]# mkfs.xfs /dev/vdb2
[root@sap-app2-vsi ~]# mkfs.xfs /dev/vde
[root@sap-app2-vsi ~]# mkdir /usr/sap /sapmnt /db2

Novamente, é necessário determinar os caminhos /dev/disk/by-uuid, como mostrado anteriormente e manter as entradas /etc/fstab. Como uma etapa final, é necessário configurar o NFS para instalar o SAP.

1. Instale os utilitários do NFS em ambos os servidores virtuais.

   [root@sap-app-vsi ~]# yum install nfs-utils
   

   [root@sap-app2-vsi ~]# yum install nfs-utils
   

2. Inicie o servidor NFS no servidor virtual do banco de dados.

   [root@sap-app2-vsi ~]# systemctl enable nfs-server
   [root@sap-app2-vsi ~]# systemctl start nfs-server
   

3. Use o NFS para exportar /sapmnt e /usr/sap/trans do servidor de banco de dados para o servidor de aplicativos, incluindo a entrada necessária em /etc/exports do servidor de banco de dados:

   /sapmnt/C10 10.243.129.0/24(rw,no_root_squash,sync,no_subtree_check)
   /usr/sap/trans 10.17.139.0/24(rw,no_root_squash,sync,no_subtree_check)
   

   É necessário adaptar a sub-rede no exemplo anterior ao seu intervalo de IP real e à máscara de sub-rede. Substitua o valor C10 pelo ID do sistema SAP para o sistema SAP. C10 é um valor de amostra. Deve-se criar o diretório antes de exportá-lo.

4. Execute no comando a seguir na linha de comandos.

   [root@sap-app2-vsi ~]# mkdir /sapmnt/C10
   [root@sap-app2-vsi ~]# mkdir -p /usr/sap/trans
   [root@sap-app2-vsi ~]# exportfs -a
   

5. Monte o compartilhamento do NFS no servidor de aplicativos, incluindo a entrada a seguir em seu /etc/fstab e monte o servidor de aplicativos da linha de comandos usando o comando a seguir.

   [root@sap-app-vsi ~]# vi /etc/fstab
   ...
   sap-app2-vsi-priv:/sapmnt/C10 /sapmnt/C10 nfs defaults 0 0
   sap-app2-vsi-priv:/usr/sap/trans /usr/sap/trans nfs defaults 0 0
   

6. Crie e monte o diretório de destino.

   [root@sap-app-vsi ~]# mkdir /sapmnt/C10
   [root@sap-app-vsi ~]# mkdir /usr/sap/trans
   [root@sap-app-vsi ~]# mount /sapmnt/C10
   [root@sap-app-vsi ~]# mount /usr/sap/trans
   

Os seus servidores agora estão preparados para hospedar os componentes de uma instalação do SAP distribuída. Para obter mais informações sobre mais preparações de instalação, consulte Fazendo download e instalando software e aplicativos SAP.

Instalando o cenário do SAP

Preparando para o Software Provisioning Manager (SWPM) do SAP

Dependendo de sua largura da banda da rede e latência, poderá ser necessário executar a GUI do SAP SWPM remotamente em uma sessão de computação de rede virtual (VNC). Outra opção é executar a GUI localmente e conectá-la ao SWPM na máquina de destino. Para a primeira opção, deve-se executar o X11 no próprio servidor virtual e instalar um servidor VNC e um navegador. É possível executar o navegador localmente em sua área de trabalho e conectar-se ao SWPM no servidor virtual. Para se conectar ao SWPM, verifique a porta na qual o SWPM está atendendo. O SWPM exibe a porta durante a inicialização quando ele lista a URL de acesso. A porta, tipicamente 4237, precisa ser aberta no grupo de segurança de sua VPC. É necessário incluir uma Nova regra de entrada para seu intervalo de origem de IP (ou 0.0.0.0/0) e o número da porta. Outra possibilidade e ainda mais segura é encapsular a porta por meio de ssh.

[root@sap-app-vsi ~]# ssh -L 4237:localhost:4237 <your virtual server IP>

Opção -L para túneis locais e para conectar o seu navegador a essa porta de host local, em vez de ao IP remoto. Lembre-se de incluir as portas que são necessárias para o seu aplicativo SAP (exemplo: portas 3200-3299, dependendo do seu número da instância do SAP NetWeaver) para o grupo de segurança. Para obter mais informações sobre portas, consulte SAP ports para obter detalhes.