Antes de configurar a solução de alta disponibilidade, deverá re-avaliar as actuais estratégias de segurança do seu ambiente e introduzir as alterações necessárias à facilitação da alta disponibilidade. Distribuir informações em todos os conjuntos de unidades:
Obtenha informações acerca das implicações de segurança da utilização e gestão de informações em todos os conjuntos de unidades.
A API Distribuir informações (QcstDistributeInformation) pode ser utilizada para enviar mensagens para um nó num domínio de recuperação do grupo de recursos de conjunto de unidades para outros nós nesse domínio de recuperação. Isto pode ser útil no processamento de programas de saída. No entanto, deverá ter em conta que estas informações não possuem qualquer encriptação. As informações seguras não deverão ser enviadas através deste mecanismo a menos que esteja a utilizar ma rede segura. Os dados não persistentes podem ser partilhados e replicados entre os nós do conjunto de unidades através da utilização das APIs de Tabela de indexações de conjuntos de unidades. Os dados são armazenados num armazenamento não persistente. Isto significa que os dados são retidos apenas até o | | | | | | |
nó do conjunto de unidades já não fazer parte da tabela de indexações do conjunto de unidades. Estas APIs apenas podem ser utilizadas a partir de um nó de conjunto de unidades que esteja definido do domínio da tabela de indexações do conjunto de unidades. O nó do conjunto de unidades tem de estar activo no conjunto de unidades.
Outras informações distribuídas através da utilização do serviço de mensagens do conjunto de unidades não são, geralmente, seguras. Isto inclui o serviço de mensagens de conjunto de unidades de baixo nível. Quando são efectuadas alterações aos dados do programa de saída, não existe qualquer encriptação da mensagem que contém esses dados.
Considerações para utilizar conjuntos de unidades com firewalls:
Se estiver a utilizar a criação de conjuntos de unidades numa rede que utilize firewalls, deverá ter em atenção algumas das limitações e alguns requisitos.
Se estiver a utilizar a criação de conjuntos de unidades com uma firewall, é necessário permitir que cada nó possua a capacidade de enviar mensagens para outros nós do conjunto de unidades e receber
mensagens provenientes dos mesmos. Tem de existir uma abertura na firewall para que o endereço de cada conjunto de unidades em cada nó possa comunicar com todos os endereços do conjunto de
unidades em todos os restantes nós. Os pacotes de IP transmitidos através de uma rede podem consistir em tráfego de vários tipos. A criação de conjuntos de unidades utiliza ping, que consiste num tipo de ICMP, e utiliza também UDP e TCP. Ao configurar uma firewall, é possível filtrar o tráfego com base no seu tipo. Para que a criação de conjunto de unidades possa funcionar, é necessário que a firewall permita a passagem de tráfego ICMP, UDP e TCP. O tráfego transmitido pode ser enviado de qualquer porta e o tráfego recebido é recebido nas portas 5550 e 5551.
Além disso, se estiver a utilizar a detecção avançada de falhas de nós, qualquer nó de conjunto de unidades que receba mensagens de falha da Consola de Gestão de Hardware (HMC) ou do Servidor de E/S Virtual (VIOS) tem de ter capacidade para comunicar com essa HMC ou VIOS. O nó de conjunto de unidades irá enviar dados para a HMC ou VIOS no endereço de IP associado ao nome de domínio da HMC ou do VIOS e para a porta 5989. O nó do conjunto de unidades irá receber dados da HMC ou do VIOS no endereço de IP associado ao nome de sistema do nó do conjunto de unidades e na porta 5989. Manter perfis de utilizador em todos os nós:
Pode utilizar dois mecanismos para manter perfis de utilizador em todos os nós de um conjunto de unidades.
Num ambiente de alta disponibilidade, um perfil de utilizador é considerado o mesmo ao longo dos sistemas, caso os nomes dos perfis sejam idênticos. O nome é o único identificador do conjunto de unidades. Contudo, um perfil de utilizador contém também um número de identificação do utilizador (UID) e um número de identificação do grupo (GID). Para reduzir a quantidade de processamento interno que ocorre durante uma comutação, na qual o conjunto de discos independente fica indisponível num sistema e, em seguida, é disponibilizado num sistema diferente, os valores de UID e GID devem ser sincronizados em todo o domínio de recuperação para o CRG de dispositivo. O domínio administrativo pode ser utilizado para sincronizar perfis de utilizador, incluindo os valores de UID e GID, em todo o conjunto de unidades.
Um dos mecanismos consiste em criar um domínio administrativo do conjunto de unidades para monitorizar recursos partilhados nos nós de um conjunto de unidades. Um domínio administrativo do conjunto de unidades pode monitorizar vários tipos de recursos para além de perfis de utilizador, proporcionando uma fácil gestão dos recursos partilhados pelos nós. Quando os perfis de utilizador são actualizados, as alterações são propagadas automaticamente a outros nós, caso o domínio administrativo do conjunto de unidades esteja activado. Se o domínio administrativo do conjunto de unidades não estiver activo, as alterações são propagadas após a activação do mesmo. Este método é recomendado, uma vez que mantém automaticamente os perfis de utilizador com um ambiente de alta disponibilidade. | | | | | | | | | | | | | | |
Com o segundo mecanismo, os administradores podem utilizar igualmente a Central de gestão no System i Navigator para executar funções em vários sistemas e grupos de sistemas. Este suporte inclui algumas tarefas comuns de administração de utilizadores que os operadores necessitam de executar nos vários sistemas do conjunto de unidades. Com a Central de gestão, é possível executar funções de perfil de utilizador em oposição a grupos de sistemas. O administrador pode especificar um comando
pós-propagação para ser executado nos sistemas destino durante a criação de um perfil de utilizador. Importante:
v Se pretender partilhar perfis de utilizador que utilizem sincronização de palavra-passe dentro de um conjunto de unidades, é necessário definir o valor do sistema Reter segurança do servidor (QRETSVRSEC) como 1.
v Se alterar QRETSVRSEC para 0 depois de adicionar uma entrada de recursos supervisionados (MRE) para um perfil de utilizador e, em seguida, alterar uma
palavra-passe (se a palavra-passe estiver a ser monitorizada), o estado global da MRE é definido como Incoerente. A MRE é assinalada como inutilizável. Quaisquer alterações efectuadas ao perfil de utilizador após esta alteração não são sincronizadas. Para resolver este problema, altere QRETSVRSEC para 1, remova a MRE e volte a adicioná-la.
Tarefas relacionadas
“Criar um domínio administrativo do conjunto de unidades” na página 226
Numa solução de alta disponibilidade, o domínio administrativo do conjunto de unidades faculta o mecanismo que mantém os recursos sincronizados em todos os sistemas e partições de um conjunto de unidades.