IT Arkitektur og Sikkerhed

Agenda Hvad er IT Arkitektur? NOS (AD) Applikationsservere Tynde/tykke klienter Server Based Computing Multi-tier applikationer

IT Arkitektur Hvad er det? One of the goals of IT architecture, in the integration stage, is to create applications that can be easily extended to handle new interface devices. However, opening the IT applications is more than just putting a new interface to an old system. Practices that were acceptable in-house are no longer acceptable on the Web or a mobile device. The external user expects a single unified experience; he does not expect or understand many application silos. The external user expects data to be consistent across all the applications. The external user also expects fast access and no downtime, 24 hours a day.

IT Arkitektur Formål??? University XXX has systems and databases for reserving rooms, assigning classrooms to classes, maintaining standard room and building names, keeping up with the location of equipment, and storing the office address of staff. Over the years, as each system was added, a separate, unique interface was created to each of the other systems’ databases to keep them synchronized, resulting in 4 interfaces per system and 10 different pairs of interfaces in all. With this arrangement, each system must know which other systems to contact and when. Also, each system duplicates the processing effort to manage communications and handle errors when a database is not responding. Changes to a database potentially impact all the systems. The complexity of this arrangement makes adding another system or making changes difficult

Directories Grundlæggende er et directory en struktureret måde at gemme information på. En telefonbog er et meget godt eksempel. Hvad er typisk forskellen på et directory og en database? Der er grundlæggende tre typer directories: NOS directories (AD, Novell eDirectory) Applikations directories (Mail, HR Application) Generelle directories (De hvide sider)

LDAP LDAP står for Lightweigth Directory Access Protocol og er en protocol til at snakke med directories på (search, compare, add, delete, modify, modify DN (rename), bind, unbind, abandon) Der findes et hav af LDAP Directory implementeringer: Microsoft Active Directory and ADAM Computer Associates eTrust Directory 8 IBM Tivoli Directory Server 5.x Nexor Directory 5.1 Novell eDirectory 8.7.x Oracle Internet Directory v 10g Sun Microsystems Sun ONE Directory Server 5.2

LDAP forespørgsel Sådan kunne en typisk LDAp forespørgsel se ud: 1. Open connection and bind 2. Result of bind operation 3. Search operation 4. Entries returned 5. Result of search operation 6. Unbind operation 7. Close connection

En LDAP forespørgsel Giv mig: CN=Christian Stahl i OU=Service, OU=Microsoft, OU=COM Hvert object i et LDAP directory har et DN eller Distinguished name Minder det lidt om DNS?

Active Directory Active Directory (AD) er et såkaldt NOS struktureret som et LDAP directory AD indeholder information om netværksressourcer (objekter) og giver netværks authentication, authorization, fysisk placering og applikations services Har været tilgængeligt siden Windows 2000 server (gratis) Supporterer LDAP v2 og v3 standarderne

Informationer i AD AD organiserer netværks ressourcer: Objekter Attributter First Name Last Name Logon Name Printer Name Printer Location Active Directory Printers Printer1 Printer2 Susan hansen Users Per sorensen Attribut værdi Objekter Printere Brugere Printer3

Hvorfor er det smart? Så kan man styre brugere og ressourcer på netværk centralt og give dem relevant adgang Stort set alle virksomheder over 20 mand i Danmark bruger AD… Man snakker om at være ”medlem” af et AD, men hvad betyder det?

Domain Et domain er en administrativ grænse i en AD forest Med det menes at et domain har separate brugere, password policies, sikkerheds policies osv. Et domaine vil typisk svare til et DNS navn og kunne for eksempel være: dr.dk Domain styres fra en domain controller. Min. 1 pr. domain

AD Træ (Tree) AD domainer er typisk logisk organiseret i et træ. Et træ er domainer samenkædet DNS mæssigt:

AF skov (Forest) Skov Træ Træ En skov er et eller flere træer Træer i en skov vil ikke tilhøre samme DNS sti Telia.dk Skov Orange.dk Cph.telia.dk Træ Aarhus.orange.dk Kbh.orange.dk Men hvad er det så en forest giver os? Træ

DNS og AD DNS host record og Active Directory object repræsenterer samme fysiske computer DNS tillader computere at finde objecter i AD “.” dk. Active Directory telia Traning.telia.dk Builtin Computers Computer1 Computer2 salg traning computer1 FQDN = computer1.traning.telia.dk Windows 2000 Computer Name = Computer1

Demo

Typiske serverroller i en virksomhed I stort set alle danske virksomheder vil I møde følgende serverroller: DHCP DHCP serveren uddeler IP adresser + andre ting efter behov En pr. subnet Alle miljøer

Typiske serverroller i en virksomhed Fil og Print Central fildeling Central Printeropsætning Alle miljøer Intern og Ekstern DNS Hvorfor begge dele? Stort set alle miljøer Mail server Er en mail server en maskine?

Typiske serverroller i en virksomhed Database server Central server Måske cluster Oftest ”Don’t touch” Oracle, MySQL eller MS SQL typisk Stort set alle miljøer ERP system Lige så central Helt sikkert også ”Don’t touch” Concorde, Navision, PeopleSoft, Oracle, SAP

Typiske serverroller i en virksomhed RIS server (Remote Installation Server) Bruges til unattended OS installation af klienter/servere typisk via PXE Boot Kan være Altiris, IBM eller MS Oftest i miljøer med +50 PC’er Overvågningsserver Overvågning af maskiner og services i miljøet Typisk IBM Tivoli, HP OpenView, CA Unicenter eller MS MOM

Typiske serverroller i en virksomhed Software Distribution Distribution af softwarepakker til klienter og servere Oftest i miljøer med +200 PC’er SMS, Altiris, Tivoli, SUS/WSUS??? WWW Web server Stort set alle miljøer IIS, Apache

Typiske serverroller i en virksomhed Firewall Kan enten være en ”sort boks” eller en software firewall Beskytter virksomheden mod angreb udefra Cisco PIX, CheckPoint og Microsoft ISA server Mange hjemmeroutere tilbyder FW funktionalitet Alle steder VPN Server Giver remote adgang til virksomheden Lader folk logge på hjemmefra, som sad de i virksomheden Cisco 3000 VPN, Microsoft RRAS (ISA), Nortel + 40 brugere

Typiske serverroller i en virksomhed Terminal Server… Giver ”terminal adgang” til udvalgte maskiner/applikationer X11, IBM Mainframes (3270), Citrix, MS Terminal Server, MS Remote Desktop Bringer os videre til ”Server Based Computing”

Server Based Computing Idéen bag Server Based Computing er grundlæggende at intelligensen ligger på serversiden, hvor vi nemmere kan styre den Klienter skal være så dumme og tynde så muligt

Server based computing Applikationer eksekverer altid på server: Applikationen tilgås fra en normal desktop eller en tynd klient Det er kun skærmbilleder, musetryk og tastaturtryk, der går over netværket Appliaktionen eksekverer 100% på server

Citrix arkitektur

Båndbredde / Klientkrav Ved Server Based Computing er der stort set ingen krav til klienten. F.eks. supporterer Citrix i dag blandt andet: Symbion, Alle Windows platforme, Linux, BSD, HPUX, Solaris, PalmOS, AIX + mere general purpose Java klienter Virkelig lav ”footprint” og typisk under 2 MB Krav til båndbredde er ca: Citrix 20 kbps MS Terminal Server 128 kbps 3270 14 kbps X11 1 mbps

Mere Citrix Man kan publicere applikationer gennemsigtigt for brugere Redirecte links Mappe printere automatisk Mappe lokale drev Lave loadbalancing mellem servere i ”farm” Isolere applikationer Rent praktisk: installer W2K3, installer applikationer, installer Terminal Server, installer Citrix

Klient-Server arkitektur I et traditionelt program er brugergrænsefladen meget tæt integreret i programmet Selve programmet skal installeres på klientmaskinen Alt dataprogrammet har behov for ligger lokalt Al data procesering foregår lokalt Internt kan programmet typisk være opdelt i moduler Applikations Interface Applikations og Data storage

Klient-Server arkitektur Med Internettet har den tankegang ændret sig noget Da alle computere er bundet sammen har man nu mulighed for at lave rigtigt distribuerede programmer Bedste eksempel er vel en web browser, hvor der ikke er noget lokal intelligens Server (web server) sender HTML til klienten (web browser) som ”dekoder” det og viser det til klienten

Klient-Server arkitektur I dag arbejder man typisk med 4 abstraktionslag (eller 3?):

Klient-Server arkitektur Præsentationslaget Typisk hvor HTML bliver fremstillet Mange gange en web server Står for at ”præsentere” data for klienter (hvad enten det er xml, html etc.) Internet teknologier, der bruges meget på dette lag, er: Shared Technologies Differing Technologies J2EE .NET HTML XML WML DHTML Swing / JFC Java Beans Applets Web Forms Window Forms MFC ActiveX

Klient-Server arkitektur Applikationslaget Det er her den egentlige databehandling foregår services business logic business rules Ordet ”Middleware” kan også være et synonym for dette lag Internetteknologier, der bruges meget på dette lag, er: J2EE .NET Enterprise Java Beans (EJB) Java stored procedures Servlets JSP JFC Applications Applets COM and COM+ as Enterprise Services Stored Procedures MFC Applications Windows Forms ActiveX

Klient-Server arkitektur Ressourcelaget Sørge for at tilgå de relevante ressourcer og frembringe data Bliver nogen gange også fremstillet som ”Data Laget” (er måske en smule for snævert) Kan f.eks. være databasen/data warehouse

Klient-Server arkitektur Når man snakker om klient-server applikationer snakker man oftest også om hvor mange ”tiers”, de er implementeret i Tier-1, Tier-2, Tier-3, Tier-n Hvad er fordele/ulemper og mulige applikationseksempler

Tiers Hvor mange Tiers? Klient UNIX apps ActiveX App Mgt Browser App srv TC srv Encryption & Tunneling Decryption & Routing HTTPS Tunneling MySQL

Tiers… A “tier” can be hardware, software, or logical. The last is the most sensible option from an architectural viewpoint. Therefore: A non-application-specific client (such as a web browser) is not a tier A database with no overlying data access layer is not really considered a tier either – although in web applications we can give it the benefit of the doubt and assume that there is some sort of (prototypical, possibly) data access logic in there somewhere…

Opgaver 