White paper SOLUÇÕES DE ARMAZENAMENTO HOME DIRECTORY DO EMC ISILON PARA AMBIENTES NFS E SMB Prática recomendadas para capacidade e desempenho Resumo Este white paper apresenta informações técnicas para planejamento e implementação de uma solução NAS do EMC Isilon para diretórios de usuários, inclusive gerenciamento de acesso, proteção de dados, capacidade de armazenamento e desempenho de cluster. Esta solução dá suporte a acesso de rede baseada em SMB e NFS para centralização de provisionamento, gerenciamento e suporte de diretório de usuário final. dezembro de 13
Copyright 2013 EMC Corporation. Todos os direitos reservados. A EMC assegura que as informações apresentadas neste documento estão corretas na data de sua publicação. As informações estão sujeitas a alterações sem prévio aviso. As informações nesta publicação são fornecidas "no estado em que se encontram". A EMC Corporation não garante nem representa qualquer tipo de informação contida nesta publicação e especificamente se isenta das garantias implícitas de comercialização ou uso a um propósito específico. O uso, a cópia e a distribuição de qualquer software da EMC descrito nesta publicação exigem uma licença de software. Para obter uma lista mais atualizada de produtos da EMC, consulte EMC Corporation Trademarks no site brazil.emc.com. EMC2, EMC, o logotipo da EMC, Isilon, OneFS, SmartCache, SmartConnect, SmartPools, SmartQuotas, SnapshotIQ e SyncIQ são marcas registradas ou comerciais da EMC Corporation nos Estados Unidos e em outros países. VMware é marca registrada ou comercial da VMware, Inc. nos Estados Unidos e/ou em outras jurisdições. Todas as outras marcas comerciais aqui utilizadas pertencem a seus respectivos proprietários. Número da peça H11152 2
Índice Resumo executivo... 5 Introdução... 5 Sobre este guia... 6 Público-alvo... 6 Premissas... 6 Requisitos para o diretório de usuários... 6 Premissas de público-alvo... 6 Pré-requisitos... 7 Histórico de revisões... 7 Visão geral dos recursos do Isilon... 7 Compartilhamento de arquivo em um cluster de armazenamento Isilon... 8 Acesso e compatibilidade do NFS... 8 Acesso e compatibilidade do SMB... 8 Gerenciamento de acesso e de provedores de autenticação... 9 Active Directory... 9 Recursos e funções de integração... 10 Integração do LDAP... 12 Considerações e diretrizes para autenticação de diretório... 13 Práticas recomendadas para autenticação de diretório... 13 Planejamento e gerenciamento de capacidade... 14 Perfis de uso do diretório de usuário... 14 Orientações de dimensionamento para capacidade de armazenamento... 15 Gerenciar a utilização da capacidade com SmartQuotas... 15 SnapshotIQ... 16 Considerações sobre planejamento de capacidade... 17 Práticas recomendadas do planejamento de capacidade... 18 Diretrizes de desempenho e dimensionamento... 19 Diferenças de protocolo dos serviços de arquivo... 19 Conexões de usuário ativas versus total... 19 Planejamento de gerenciamento e desempenho de pool de disco... 19 Pools de discos... 20 Políticas de pool de arquivo... 20 Gerenciamento de pool de arquivos... 21 Tipos de carga de trabalho... 22 Informações adicionais... 22 Considerações e diretrizes para o gerenciamento do pool de arquivos... 22 Práticas recomendadas para gerenciamento de pool de arquivos... 22 Planejamento para desempenho e throughput de rede... 23 Visão geral do SmartConnect... 23 Uso do SmartConnect para gerenciar conexões de client... 23 Opções de configuração... 24 Informações adicionais... 26 Diretrizes e considerações do SmartConnect... 26 3
Práticas recomendadas para gerenciamento do SmartConnect... 26 Conclusão... 27 Referências... 28 Sobre o EMC Isilon... 28 Fale com a equipe do EMC Isilon... 29 4
Resumo executivo Organizações em todos os setores são desafiadas pela escala sem precedentes de crescimento de dados empresariais do usuário final. Ao mesmo tempo, os departamentos de TI precisam garantir que, à medida que o espaço físico do armazenamento do usuário final principal cresce, ele pode aumentar a plataforma de armazenamento subjacente, minimizando a interrupção resultante das expansões e migrações de armazenamento, enquanto protege a disponibilidade, a capacidade e o desempenho. O armazenamento scale-out do EMC Isilon trata desses desafios ao fornecer uma plataforma de armazenamento altamente dimensionável que se integra de maneira perfeita aos ambientes existentes empresas baseadas em Windows e em UNIX enquanto habilita a consolidação de serviços de arquivo empresarial a um ponto de acesso único. Além de facilitar a capacidade de expansão e o gerenciamento, um cluster de armazenamento Isilon também fornece proteção e recuperação perfeitas de dados, simplificando o gerenciamento de armazenamento para usuários finais e administradores. A simplicidade da implementação, do gerenciamento e do dimensionamento de armazenamento do Isilon aumenta a eficiência dos negócios enquanto reduz a sobrecarga administrativa e operacional para a TI e para usuários empresarias. Um cluster de armazenamento Isilon trata dos desafios de compartilhamentos de arquivos e diretórios de usuário em grande escala à medida que consolida ambientes existentes, elimina a proliferação do servidor de arquivos, aperfeiçoa a utilização do armazenamento e reduz os custos administrativos. A facilidade de implementar, gerenciar e expandir um cluster Isilon resulta em alta eficiência de negócios com pouca ou nenhuma alteração nos esforços ou no tempo dos administradores à medida que um cluster de armazenamento Isilon cresce. O armazenamento do Isilon elimina as migrações de dados as complexas tarefas de gerenciamento de armazenamento necessárias para minimizar pontos mais ativos, expandir capacidade existente e balancear a capacidade entre diversos sistemas de arquivo ou volumes de grupo de RAID. A classificação automatizada por níveis do armazenamento baseado em políticas reduz o custo total de propriedade movendo arquivos inativos para o nível mais econômico. O gerenciamento de cotas e o provisionamento thin são simplificados e flexíveis. Introdução Este white paper descreve os princípios e conceitos para implementar um cluster de armazenamento Isilon como um repositório de armazenamento/servidor de arquivo para diretórios de usuário final em um ambiente empresarial. Ele inclui explicações arquiteturais sobre as tecnologias e recursos associados ao fornecimento de serviços de arquivo baseados em, assim como configurações de recomendações técnicas e práticas recomendadas da EMC para gerenciamento, suporte e desempenho ideais. Muitas das informações relevantes para o planejamento, provisionamento e suporte a diretórios de usuários do usuário final em um cluster de armazenamento Isilon estão disponíveis por meio de white papers e guias existentes do EMC Isilon. Como tal, este guia tentará minimizar o volume de conteúdo duplicado ao incluir apenas as informações relevantes para serviços de arquivo de diretórios de usuários. A seção de referências no final deste guia inclui links a outros guias e white papers para informações adicionais. 5
Sobre este guia Enquanto os serviços de diretórios de usuários são frequentemente categorizados e tratados como simplesmente um subconjunto de serviços de arquivo em geral, o workflow e as características de desempenho muitas vezes diferem de maneira significativa dos serviços de arquivos como uma solução generalizada em muitos casos. Este guia pretende auxiliar administradores de serviços de arquivo e armazenamento no planejamento para os casos de uso e recomendações técnicas específicas para provisionamento e suporte a diretórios de usuário final em um cluster de armazenamento Isilon. Público-alvo Este guia foi criado para administradores experientes de armazenamento e sistema que estão familiarizados com serviços de arquivo e administração de armazenamento em rede. Premissas As premissas a seguir fazem parte deste guia. Requisitos para o diretório de usuários Este guia se baseia na premissa de que, como um serviço de rede, os diretórios de usuários têm as seguintes características em comum que as diferenciam dos serviços de arquivos empresariais: Os Diretórios de usuários normalmente são usados para armazenamento de dados organizacionais ou até mesmo pessoais menos críticos em escala menor (e geralmente têm requisitos gerais de throughput menos rigorosos) que os serviços de arquivos empresariais. O acesso do usuário final aos diretórios de usuários é muito mais intermitente, com curtos picos periódicos de tráfego de um determinado usuário seguidos por longos períodos de inatividade. Os SLAs (Service-Level Agreements, contratos de nível de serviço) para suporte de diretórios de usuário, particularmente na área de solicitações de recuperação de dados, tendem a ser menos rigorosos que os serviços de arquivos empresariais. A capacidade de armazenamento por usuário é restrita a um tamanho padrão de espaço de armazenamento, com limites severos de aplicação evitando que usuários excedam sua capacidade alocada. Diretórios de usuário individuais têm configurações exclusivas de permissões que restringem o acesso do usuário pretendido. Acesso adicional é fornecido para suporte administrativo e serviços de backup quando necessário. Premissas de público-alvo Este guia presume que o leitor tenha entendimento e conhecimento prático sobre o seguinte: Protocolos de armazenamento NFS e/ou SMB, conforme adequado para os requisitos organizacionais específicos Arquitetura de armazenamento scale-out do Isilon e sistema operacional EMC Isilon OneFS Software adicional de gerenciamento e proteção de dados do Isilon, inclusive SmartConnect TM, SmartPools TM, SnapshotIQ TM e SmartQuotas TM 6
Conceitos e práticas de gerenciamento de sistema de arquivo, inclusive provisionamento, permissões e otimização de desempenho. Práticas de integração para conexão e estabelecimento de relacionamentos de autenticação com Active Directory ou outras plataformas baseadas em LDAP, conforme apropriado Embora este guia tenha como objetivo fornecer um ponto de referência consolidado para administradores de sistemas e gerentes que buscam implementar diretórios de usuário final em um cluster de armazenamento Isilon, ele não pretende ser a fonte consagrada de informações sobre as tecnologias e os recursos usados para fornecer e dar suporte a uma plataforma de serviços de arquivo. Consulte a documentação de referência na seção Referências no fim deste guia para obter mais informações. Pré-requisitos Alguns dos recursos recomendados e descritos neste documento podem requerer licenciamento adicional por nó da EMC para habilitar o uso. Para obter mais informações, entre em contato com um representante da EMC ou um revendedor autorizado. Histórico de revisões Tabela I: Histórico de revisões Data Versão Autor Resumo da alteração Setembro de 2012 0.9 Brad Garvey Documento inicial Outubro de 2012 1.0 James Walkenhorst Conteúdo expandido para incluir práticas recomendadas e orientações sobre dimensionamento e desempenho. Visão geral dos recursos do Isilon O sucesso da administração e do suporte de serviços de diretório de usuário em um ambiente corporativo exige que a sobrecarga de gerenciamento seja minimizada e automatizada o máximo possível Para obter o sucesso em grande escala, os serviços corporativos de diretório de usuário exigem que a carga de gerenciamento seja aliviada das equipes de TI de uma organização o máximo possível. Na maioria dos casos, as despesas gerais de gerenciamento podem ser reduzidas por meio de uma combinação de simplicidade de ambiente e recursos de gerenciamento automatizado. O Isilon simplifica o gerenciamento de petabytes de file data por meio de processos automatizados que equilibram cargas de trabalho e capacidades internas e do client: provisionamento rápido e simples de capacidade de armazenamento e serviços relacionados ao armazenamento; geração automática de serviços de snapshot e de cota para proteger os dados do usuário e a utilização da capacidade de armazenamento. A arquitetura exclusiva de um cluster de armazenamento Isilon habilita o seguinte: Armazenamento de dados de diretório de usuário baseado em NAS dimensionado com múltiplos petabytes gerenciado por um administrador único. 7
Alta eficiência de negócios por meio da classificação por níveis de armazenamento automatizada, recuperação de dados gerenciados pelo usuário de modo rápido e simples, distribuição automática de conexões de usuário e client em todo o cluster de armazenamento e taxas de utilização de armazenamento inerentes superiores a 80%. Armazenamento de alta disponibilidade, inclusive um elevado grau de resiliência com relação a componente de armazenamento e falhas da rede, e a eliminação de migrações de client e dados Esta seção fornece uma visão geral dos recursos de armazenamento do Isilon e sua aplicabilidade em um ambiente corporativo de serviços de diretório de usuário. Compartilhamento de arquivo em um cluster de armazenamento Isilon O diretório /ifs é o diretório raiz de todos os dados do sistema de arquivo em um cluster de armazenamento Isilon, e é automaticamente compartilhado por meio do NFS e do SMB. Compartilhamentos e exportações adicionais podem ser criados dentro da árvore do diretório /ifs. Sob o diretório /ifs, dois diretórios adicionais são automaticamente criados quando o cluster de armazenamento Isilon é provisionado inicialmente: o diretório /ifs/data para dados de nível organizacional e departamental; e /ifs/home para diretórios de usuário final. Obs.: a localização física dos dados do diretório de usuário pode ser aplicada em uma base por usuário, independente do caminho dos diretórios de usuário na árvore do sistema de arquivos. Mais informações sobre a localização física de file data do Isilon são fornecidas na seção Pool de discos SmartPools deste guia. Acesso e compatibilidade do NFS Para os clients NFS (Network File System, sistema de arquivo de rede), o OneFS é compatível com os protocolos NFS v2, NFS v3 e NFS v4. O ponto de montagem do NFS padrão do cluster Isilon, o diretório /ifs, habilita os clients UNIX e/ou Linux a montar remotamente qualquer subdiretório, inclusive subdiretórios criados por clients Windows. Clients Linux e UNIX também podem montar subdiretórios de ACL protegidos criados por um administrador de armazenamento. Para clients NFS v3 e NFS v4, o OneFS é compatível com sessão kerberizada para autenticação e gerenciamento de acesso. Acesso e compatibilidade do SMB Para clients e usuários Windows, o OneFS é compatível com os protocolos de acesso SMB1 e SMB2. A pasta compartilhada \ifs padrão oferece aos usuários do Windows acesso a recursos do sistema de arquivo por meio da rede, inclusive, diretórios e arquivos criados pelos clients UNIX e Linux. Esse recurso de compatibilidade SMB significa que, para um client Windows, o cluster de armazenamento Isilon tem exatamente a mesma aparência e função de um servidor de arquivo Windows na rede: ele pode ser acessado por meio de um nome de servidor Windows ou um FQDN (Fully Qualified Domain Name, nome do domínio completo), pode ser integrado ao Active Directory para autenticação e gerenciamento de permissões e também age como um nó de servidor de arquivos DFS (Distributed File System, sistema de arquivos distribuídos) na rede. Os usuários SMB veem os dados em um cluster de armazenamento Isilon por meio de um drive de rede mapeada ou um endereço UNC (Universal Naming Convention, convenção de nomenclatura universal) e nome do compartilhamento. Mais informações sobre os controles de acesso e integração do Active Directory para arquivos e diretórios são fornecidas na seção a seguir deste guia. 8
Gerenciamento de acesso e de provedores de autenticação Os serviços de autenticação fornecem segurança de dados ao verificar identidades de usuários antes de conceder acesso aos arquivos e diretórios. O armazenamento Isilon é compatível com diversos métodos de autenticação de usuário. Com base nos resultados dessas políticas de autenticação definidas pelo administrador, um cluster de armazenamento permite ou bloqueia o acesso a dados armazenados. Um cluster de armazenamento Isilon pode ser acessado por meio de qualquer um dos diferentes protocolos de nível de aplicativo inclusive SMB, NFS, HTTP, FTP e SSH e políticas de autenticação podem ser planejadas e implementadas em alguns ou em todos esses protocolos. As configurações de acesso de nível de protocolo e segurança de dados devem ser consistentes com os requisitos específicos da organização e com as políticas gerais de segurança. As permissões de acesso de diretório e de arquivo são aplicadas consistentemente em todos os protocolos, independentemente do modelo de segurança real em uso. O acesso a um arquivo é negado ou concedido a um usuário quando ele usa o SMB ou o NFS. Permissões UNIX (NFS) tradicionais são configuradas no file system por padrão. Ao usar as ferramentas administrativas do Windows Explorer ou do OneFS, permissões padrão ACL (Access Control List, lista de controle de acesso) do Windows podem ser aplicadas aos diretórios e aos arquivos. Em um cenário de provedores múltiplos de autenticação, o OneFS também é compatível com a configuração de ACLs baseados em Windows para grupos de LDAP, NIS e local, assim como grupos e usuários AD. Entretanto, depois que um arquivo ou diretório tiver sido configurado com uma ACL, os bits do modo UNIX anterior desse objeto não serão mais aplicados. O Isilon é compatível com os seguintes provedores de autenticação: Serviços AD (Active Directory) LDAP (Lightweight Directory Access Protocol) Banco de dados baseado em arquivo Banco de dados de segurança local NIS (Network Information Service, serviço de informação da rede) Este guia foca principalmente na integração com os provedores de segurança LDAP e AD. Active Directory Como o cluster do Isilon pode emular continuamente um servidor de arquivos baseado em Windows, ele também pode se integrar do mesmo modo com o Active Directory para fornecer serviços de arquivo e de diretório de usuário como uma plataforma empresarial. Além da funcionalidade SMB nativa que o Isilon oferece, ele também se integra com modelos de permissões de diretório e de arquivo existentes de uma organização e também com mapeamento automatizado de usuários AD com seus diretórios de usuário designados no cluster de armazenamento Isilon. Esta seção analisa os recursos de integração do Active Directory e as práticas recomendadas da EMC para planejamento e provisionamento de serviços de diretório de usuário baseados em AD. 9
Recursos e funções de integração Quando um cluster de armazenamento Isilon é unido a um domínio do AD, uma conta de computador única é criada no domínio. Essa conta é usada para estabelecer e manter relacionamentos de confiança entre o cluster e o domínio, e habilita a autenticação de usuários da floresta AD e a autorização de acesso de objeto em um cluster, independente do nó ao qual um client ou usuário se conecta dentro do cluster. A menos que seja especificado o contrário, juntar um cluster de armazenamento Isilon a um AD habilita automaticamente a integração do modo de domínio do AD, no qual o cluster aproveita objetos de grupos e usuários existentes para criar e aplicar ACLs em arquivos e diretórios Nomenclatura de cluster Quando um cluster de armazenamento Isilon é unido a um domínio usando um nome único, relacionamentos de confiança resultantes entre o cluster e o AD são automaticamente estendidos para incluir todos os nomes pelos quais o cluster está disponível na rede. Como exemplo, se pools de rede SmartConnect forem usados para gerenciar as conexões do client para desempenho ideal e balanceamento de carga do client, cada pool SmartConnect necessitará de um FQDN exclusivo na rede. Apesar dos diversos nomes pelos quais um cluster de armazenamento Isilon pode responder, apenas uma conta de máquina aquela correspondente ao nome configurado na página de configurações de identidade do cluster é necessária para o cluster dentro do AD. Pools SmartConnect são explicados com mais detalhes na seção Visão geral do SmartConnect neste guia. Permissões Permissões de ACL, conforme aplicadas aos arquivos e diretórios compartilhados por meio do SMB, podem ser criadas e modificadas com o uso de qualquer uma das seguintes ferramentas: Permissões de pasta compartilhada Console MMC (Microsoft Management Console) de gerenciamento do computador a partir de um client Windows WebUI do explorador do file system OneFS Interface de linha de comando (SSH): utilitário isi smb Interface de linha de comando (Windows): utilitário net share Além de criar e editar permissões de nível de compartilhamento, qualquer uma dessas ferramentas também pode ser usada para criar compartilhamentos em um cluster de armazenamento Isilon. Permissões de arquivo e de diretório Windows Explorer Interface de linha de comando (SSH): utilitário chmod Interface de linha de comando (Windows): utilitário icacls Obs.: o uso do utilitário chmod para modificar ACLs de arquivos e diretórios só fica disponível quando o log-in é feito diretamente em um cluster Isilon por meio do SSH. O recurso de edição chmod da ACL não está disponível nos sistemas Linux e UNIX que montam remotamente uma exportação de OneFS. 10
Integração com permissões estilo UNIX Quando um administrador usa o client Windows para alterar as configurações de ACL de um arquivo, nenhuma informação se perde, pois o OneFS armazena a ACL original e a substitui. O mesmo é valido quando um administrador usa um client Windows para alterar as permissões de um arquivo com bits de modo. O OneFS mapeia os bits de modo a uma ACL sintética e, como o modelo de ACL pode capturar a gama completa de permissões POSIX, nenhuma informação de segurança se perde. Nesses casos, o OneFS substitui a ACL sintética do arquivo por uma ACL real que é equivalente aos bits de modo. A situação é diferente quando um comando chmod ou chown modifica as permissões de um arquivo protegido por uma ACL. Nessa circunstância, o OneFS precisa mapear as alterações de permissão entre dois modelos de segurança diferentes. Para tal, o OneFS, em sua configuração padrão, mescla a ACL com um patch derivado da alteração nos bits de modo. Na maioria dos casos, isso preserva as informações da ACL e minimiza conflitos entre as permissões efetivas esperada e real. O OneFS cria um ambiente heterogêneo para os arquivos com quatro tipos principais de acesso de rede. Esses tipos de acesso também podem ser aplicados a diretórios e outros objetos de sistema seguro: Client eunix que acessa um arquivo armazenado em um cluster Isilon por meio de um NFS Client Windows que acessa um arquivo armazenado em um cluster por meio de um SMB Client UNIX que se conecta por NFS a um arquivo que foi armazenado em um cluster por um client Windows por meio de um SMB Um client Windows que se conecta por SMB a um arquivo que foi armazenado em um cluster por um client UNIX por meio de um NFS Quando um usuário UNIX solicita um arquivo protegido com os bits de modo POSIX por meio de um NFS, o OneFS controla o acesso usando as permissões POSIX do arquivo. O processo é semelhante quando um usuário Windows solicita um arquivo com uma ACL: Os direitos no token de acesso do usuário são avaliados com relação à ACL do arquivo no modelo de segurança do Windows. Quando um usuário Windows tenta acessar um arquivo UNIX, ocorre um problema, pois as permissões definidas com bits de modo POSIX são incompatíveis com o modelo de segurança do Windows. De maneira semelhante, quando um usuário UNIX solicita acesso a um arquivo Windows, as permissões definidas com uma ACL não funcionam com o modelo de segurança do UNIX. Como os dois modelos são diferentes e o modelo do Windows tem um conjunto de direitos mais elaborado, não existe mapeamento um por um entre os dois tipos de permissões. Como resultado, a segurança de um arquivo pode ser comprometida ou um usuário que espera ter acesso a um arquivo pode ter esse acesso negado. Mais informações sobre como executar um cluster de armazenamento Isilon em um modo de protocolos múltiplos são fornecidas no white paper EMC Isilon Multiprotocol Data Access with a Unified Security Model, cujo link está incluído na seção Referências no final deste guia. 11
Criação de diretórios de usuário no Active Directory Um cluster de armazenamento Isilon que funciona como um servidor de arquivo Windows em uma floresta AD é compatível com o mesmo método de criação de diretório de usuário e associação de usuário final como qualquer outro servidor de arquivo Windows. Como o diretório /ifs/home já está presente no cluster, a criação de um compartilhamento de SMB que apresenta o diretório /ifs/home a clients SMB como uma pasta compartilhada pode ser realizada por meio de qualquer uma das ferramentas mencionadas em Permissões de pasta compartilhada acima. Depois que essa pasta tiver sido compartilhada, os diretórios de usuário poderão ser automaticamente preenchidos como subdiretórios do diretório /ifs/home usando métodos AD padrão: Scripts do PowerShell, do modo de lote ou ADUC (Active Directory Users and Computers, usuários e computadores do Active Directory) que usam a guia Perfis e a variável %username%. Redirecionamento do diretório de usuário no Active Directory Organizações com diretórios de usuário final em um cluster de armazenamento Isilon podem usar o redirecionamento GPO (Group Policy Object, objeto de política de grupo) do diretório padrão Meus Documentos de usuário final do client Windows local para seu diretório de usuário baseado em Isilon. Esse redirecionamento facilita o armazenamento centralizado de documento do usuário e a portabilidade do usuário final em múltiplos dispositivos Windows. Permissões personalizadas e padrão do diretório de usuário Se a variável %username% for usada no ADUC, os diretórios correspondentes serão criados automaticamente no cluster de armazenamento Isilon sob o compartilhamento do diretório de usuário designado, como em qualquer servidor Windows. Além de configurar automaticamente as permissões de diretório de usuário a fim de conceder acesso de controle total à conta de usuário correspondente para esse diretório, o AD também propagará as permissões em nível de arquivo do diretório-pai nos diretórios de usuário recém-criados. Domínios e confianças Em um ambiente com múltiplos domínios, o acesso de diretório e arquivo entre o cluster de armazenamento Isilon e qualquer domínio AD considerado confiável pelo domínio-pai do cluster pode ser concedido explicitamente a usuários e grupos nesses domínios de confiança. Usuários e grupos em domínios não confiáveis podem receber acesso a dados em um cluster de armazenamento Isilon por meio da página Advanced Authentication Settings do console administrativo do OneFS, na qual domínios não confiáveis e desconhecidos são mapeados para um domínio confiável. Integração do LDAP Além dos recursos e das configurações integradas de segurança habilitadas pelo Active Directory, um cluster de armazenamento Isilon pode ser configurado para autenticar usuários e grupos em relação a um repositório LDAP para conceder ou bloquear acesso a dados armazenados no cluster. O serviço LDAP de um cluster de armazenamento Isilon é compatível com os seguintes recursos: Usuários, grupos e grupos de rede Mapeamento de atributo de LDAP personalizado Autenticação BIND simples (com ou sem SSL) 12
Redundância e balanceamento de carga em todos os servidores com dados de diretório idênticos Senhas criptografadas Configurar e habilitar a integração do LDAP Em um cluster Isilon, as configurações de LDAP necessárias, inclusive o nome distinto da base (base DN) do cluster, o número da porta e pelo menos um servidor LDAP devem ser configurados no cluster para habilitar o LDAP. Configuração de LDAP O DN base, também referido como base de pesquisa, identifica o registro no diretório a partir do qual as pesquisas iniciadas pelos clients LDAP ocorrem. O DNS base pode incluir um nome comum (nc), uma localização (l), uma controladora de domínio (cd), uma unidade organizacional (uo) ou outros componentes. Habilitar e desabilitar a integração do LDAP Depois que as opções de configuração do LDAP tiverem sido definidas no OneFS, o serviço do LDAP será automaticamente habilitado. Ele pode ser desabilitado a qualquer momento, seja explicitamente ou removendo todos os servidores e o DN base da página de definições de configuração do LDAP. Remover essas entradas fará com que o serviço do LDAP seja automaticamente desabilitado. Criação de diretórios de usuário para usuário do LDAP Como na integração do Active Directory, a criação do diretório de usuário pode ser realizada manualmente ou baseado em script e provisionada automaticamente e montada por meio de uma conexão de protocolo SMB ou NFS. Considerações e diretrizes para autenticação de diretório As seguintes diretrizes estão incluídas e recomendadas dentro deste guia para atender aos requisitos de segurança, desempenho e disponibilidade comuns. A permissão de compartilhamento padrão para um cluster de armazenamento Isilon concede permissão de compartilhamento de Leitura para o grupo Todos e controle total ao grupo Administradores de domínio. A não ser que essa configuração padrão seja alterada, usuários de domínio não administrativo não poderão gravar em seus próprios diretórios de usuário. O redirecionamento do local padrão de cada diretório Meus documentos do usuário para seu respectivo diretório de usuário no cluster de armazenamento do Isilon é recomendado na maioria das vezes. A prática de habilitar perfis de roaming no cluster de armazenamento Isilon deve ser realizada com mais cuidado e consideração com relação ao impacto geral na organização. Enquanto o cluster de armazenamento em si pode ser dimensionado para qualquer nível de espaço de disco necessário, os perfis de roaming provavelmente aumentarão o tempo total de log-on para usuários finais. Práticas recomendadas para autenticação de diretório Esta seção contém recomendações gerais da EMC para otimizar a segurança de diretório e a simplicidade de gerenciamento. Antes de qualquer operação de criação em lote de diretórios de usuário em AD, a EMC recomenda modificar as permissões do diretório-pai para restringir acesso a diretório e arquivo apenas para as contas apropriadas de serviço e administrativas e, em seguida, testar a configuração resultante para garantir a conformidade no repositório do diretório de usuário designado do cluster e também nas políticas de segurança organizacional. 13
O uso do ADUC, juntamente com a variável %username%, para gerenciar diretórios de usuário normalmente simplifica o processo de criar diretórios e gerenciar permissões. Usar scripts para criar novos diretórios, atribuir diretórios para objetos de usuário AD e automatizar configurações de permissões apresenta mais propensão a erro em geral. Se um processo de gerenciamento baseado em script for a abordagem preferencial, a EMC recomenda testar a configuração resultante para garantir a execução correta do processo conforme desejado. Se as alterações de ACL em um arquivo ou um diretório forem necessárias, a EMC normalmente recomenda usar ferramentas nativas do Windows, como Windows Explorer ou utilitário de linha de comando baseada em Windows, para fazer tais alterações. Usar ferramentas baseadas em UNIX pode apresentar configurações conflitantes que exigirão maior esforço para solucionar os problemas. Se os mesmos dados de diretório de usuário forem acessados pelos clients NFS e SMB, a EMC recomenda configurar a política de permissões globais do cluster de armazenamento Isilon para o modo balanceado. Se qualquer uma das políticas de modo balanceado disponíveis não for ideal para um ambiente misto específico, então a configuração manual da política é recomendada. Planejamento e gerenciamento de capacidade Em um alto nível, o planejamento de capacidade envolve o dimensionamento de um cluster de armazenamento Isilon para acomodar as demandas múltiplas e concorrentes das cargas de trabalho combinadas para as quais tais recursos precisarão dar suporte. No caso de diretórios de usuário, requisitos de carga de trabalho são impulsionados por múltiplos fatores: capacidade de disco para acomodar os requisitos de armazenamento de dados combinados de todos os usuários pretendidos; throughput de disco suficiente para dar suporte aos requisitos transacionais combinados de todos os usuários, e largura de banda da rede suficiente para fornecer o throughput adequado entre usuários e armazenamento. O planejamento de capacidade envolve projetar uma configuração de armazenamento que atenda simultaneamente a todos esses objetivos de desempenho e garanta que, enquanto a população de usuários finais cresce ou enquanto os perfis de carga de trabalho mudam, o cluster de armazenamento Isilon seja reconfigurado para se ajustar à nova capacidade e aos requisitos de desempenho. Perfis de uso do diretório de usuário A maioria dos perfis de uso dos serviços de arquivo para diretórios de usuário final tem a probabilidade de incluir as seguintes características de carga de trabalho: Diretórios de usuário são mapeados automaticamente no momento do log-in do usuário, normalmente por meio de script de log-in ou conexão persistente de perfil de usuário. A maioria dos usuários armazena arquivos tradicionais do Office (documentos, planilhas, apresentações etc.), imagens e mídia de fluxo contínuo em seus diretórios de usuário em vez de conjuntos de dados de alto volume e de alta transação. As conexões por usuário, na maioria dos cenários, são altamente intermitentes, o que resulta em curtos picos de transferências de dados por usuário sob demanda seguidos por longas pausas sem atividade entre o usuário e o servidor de armazenamento de diretório. Os requisitos empresariais e as expectativas do usuário com relação ao throughput e ao desempenho do diretório de usuário estão sujeitos a diferentes padrões em comparação a requisitos de serviços de arquivo empresarial. 14
Dados de diretório de usuário são frequentemente retidos por longos períodos de tempo sem serem acessados ou modificados. Os snapshots e backups do diretório de usuário são frequentemente gerenciados em políticas de retenção e captura separadas em comparação a dados de serviços de arquivo empresarial. Os requisitos de desempenho específicos para hospedagem de diretórios de usuário final em uma plataforma de armazenamento consolidado variarão por organização ou até mesmo por departamento dentro de uma organização mas os padrões de utilização do diretório de usuário se ajustarão amplamente à descrição acima, com variações no grau em vez de na substância. Orientações de dimensionamento para capacidade de armazenamento Determinar os requisitos gerais de capacidade de disco é um processo relativamente fácil. O objetivo desse processo é calcular a quantidade de espaço em disco necessário para fornecer capacidade de disco suficiente a todos os usuários previstos durante o período que será coberto pelo período inicial de aquisição, ou seja, quanto tempo antes uma expansão da capacidade adiciona mais espaço em disco para fornecer armazenamento de diretório de usuário. Se o cluster de armazenamento Isilon passar por uma expansão de capacidade uma vez por ano, então a aquisição de nó inicial precisa fornecer capacidade de disco suficiente que dure por um ano inteiro. Os fatores de dimensionamento a seguir são necessários para estimar, de maneira precisa, a quantidade de capacidade de disco necessária para armazenamento de diretório de usuário em um cluster de armazenamento Isilon. Número de usuários com diretórios de usuário no cluster Alocação de capacidade de disco prevista por usuário. Uma avaliação precisa desse número pode requerer a inclusão de fatores iniciais, como configurações de snapshots (p.ex., o tamanho de cada operação de SnapshotIQ e a taxa de alteração do conjunto de dados do diretório de usuário), além de espaço, arquivamento e políticas de retenção e configurações de aplicação de cota, conforme aplicável. Sobrecarga de proteção de SmartPools para /ifs/home (ou seja qual for o diretório de nível superior que conterá os diretórios de usuário final), p.ex., N+2:1, N+1 etc. Taxa prevista de crescimento para o conjunto de dados de diretório de usuário. Este pode ser o resultado da adição de mais usuários, aumentando a alocação da capacidade de disco por usuário ou alterando as políticas de SnapshotIQ para requerer mais espaço. Requisitos de desempenho previsto para o conjunto de dados dos diretórios de usuário, como determinado no processo de cálculo de desempenho acima. Tendo essas informações em mãos, um consultor técnico Isilon pode determinar a quantidade total de espaço de armazenamento necessário para dados de diretório de usuário, além do tipo de nó específico e a configuração necessária para atender ao requisito de capacidade. Gerenciar a utilização da capacidade com SmartQuotas Para ajudar as empresas a maximizar o valor em longo prazo dos dados de negócios críticos e reduzir a complexidade e os custos do gerenciamento de armazenamento, o Isilon oferece o SmartQuotas: um aplicativo de software de gerenciamento e provisionamento de cotas simples, dimensionável e flexível que se integra com o sistema operacional EMC Isilon OneFS. 15
O SmartQuotas permite ao administrador controlar e limitar o uso do armazenamento em toda a organização e provisionar um pool de armazenamento único colocado em ambiente em cluster Isilon para melhor enfrentar seus desafios exclusivos de armazenamento. Uma cota, por definição, é um compartilhamento permitido ou uma parte proporcional de um total. Aplicado aos requisitos de armazenamento, é o total de capacidade de armazenamento permitido a uma determinada entidade dentro do cluster Isilon. Em seu núcleo, um sistema de cota é uma combinação de contabilidade, aplicação e relatórios. Contabilidade se refere a dados de rastreamento que pertencem a entidades de recurso, como usuários, grupos ou diretórios. Aplicação se refere a definir e forçar limites para determinadas contas. Relatórios se refere ao mecanismo pelo qual tal aplicação pode ser transferida para os administradores ou usuários. Para aplicar o SmartQuotas, dois tipos de cotas de capacidade precisam ser considerados: Cotas de contabilidade e cotas de aplicação. Cotas de contabilidade As cotas de contabilidade monitoram, mas não limitam, a utilização do armazenamento em disco, são úteis para propósitos de auditoria, planejamento ou faturamento. O uso das cotas de contabilidade habilita os seguintes recursos: Rastrear o total de espaço em disco usado por diversos usuários ou grupos para cobrar cada entidade apenas pelo espaço em disco usado. Analisar relatórios para ajudar a identificar padrões de uso de armazenamento, que podem ser, então, usados para planejar futuras aquisições de armazenamento ou se unir a usuários finais para analisar seus níveis gerais de uso para propósitos educacionais ou de planejamento. Cotas de aplicação Existem quatro tipos de cotas de aplicação: Cotas fixas, que não podem ser excedidas. Operações de gravação que excedem o limite de cota serão bloqueadas. Cotas flexíveis, que podem ser excedidas até que um período de tolerância pré-definido se esgote; até esse ponto elas são tratadas da mesma forma que as cotas fixas. Cotas de consultoria, que são apenas para propósitos de informação e que podem ser excedidas sem limites. Nenhuma. Essas cotas são apenas de contabilidade. Mais informações sobre SmartQuotas, inclusive planejamento detalhado e informações de gerenciamento, estão disponíveis no white paper Storage Quota Management and Provisioning with EMC Isilon SmartQuotas por meio de um link na seção de Referências neste guia. SnapshotIQ A proteção eficiente de um file system que tem centenas de terabytes ou petabytes de tamanho exige um uso amplo de disponibilidade de dados múltiplos e tecnologias de proteção de dados. Como a demanda por armazenamento continua a crescer exponencialmente, a demanda por maneiras de proteger e gerenciar esse armazenamento também aumenta. 16
Historicamente, a proteção de dados sempre foi sinônimo de backup em fita. Entretanto, durante a década passada, diversas tecnologias, como replicação, sincronização e snapshots de dados, se tornaram comuns. Snapshots oferecem restaurações rápidas e orientadas pelo usuário sem a necessidade de assistência administrativa. Os snapshots do OneFS são altamente dimensionáveis e, em geral, são criados em menos de um segundo. Eles criam pouca sobrecarga de desempenho, independentemente do nível de atividade e do tamanho do file system ou do tamanho do diretório que está sendo copiado. Além disso, apenas os blocos alterados de um arquivo são armazenados durante a atualização dos snapshots, garantindo utilização altamente eficiente do armazenamento de snapshots. O acesso do usuário aos snapshots disponíveis é feito por um diretório oculto /. snapshot em cada diretório do file system. O software Isilon SnapshotIQ também pode ser usado para criar snapshots ilimitados em um cluster. Isso fornece um benefício substancial sobre a maioria de outras implementações de snapshots porque os intervalos de snapshot podem ser muito mais granulares e, portanto, oferecem melhores períodos de RPO (Recovery Point Objective, objetivo de ponto de recuperação). O SnapshotIQ pode tirar cópias "somente leitura" e "point-in-time" de qualquer diretório ou subdiretório dentro do OneFS, oferecendo os seguintes benefícios: Os snapshots são criados no nível de diretório em vez do nível de volume, proporcionando, assim, uma melhor granularidade. Não há nenhuma exigência por espaço reservado para snapshots no OneFS. Os snapshots podem usar muito ou pouco do espaço disponível do file system como desejável. A integração com o VSS (Volume Shadowcopy Service, serviço de cópias de sombra de volume) permite que usuários finais em clients Windows XP e versões posteriores façam restaurações usando a guia Versões anteriores do arquivo ou do diretório. Isso reduz o volume de assistência que os recursos de TI precisam fornecer ao habilitar usuários a recuperar seus próprios dados. Os snapshots são facilmente gerenciados usando políticas e agendamentos flexíveis. Usando o software SmartPools, os snapshots podem residir fisicamente em um nível de disco diferente dos dados originais. Até 1.024 snapshots podem ser criados por diretório, e não há limite fixo de snapshots no nível do cluster. Mais informações sobre o SnapshotIQ estão disponíveis no white paper da EMC High Availability & Data Protection with EMC Isilon Scale-Out NAS cujo link está incluído no final deste guia. Considerações sobre planejamento de capacidade Com base nas características de desempenho acima para gerenciamento e planejamento de serviços de diretório de usuário, as seguintes diretrizes estão incluídas e são recomendadas neste guia a fim de atender aos requisitos de capacidade para uma plataforma de serviços de diretório de usuário bem-sucedida: Enquanto uma carga de trabalho orientada por aplicativos hospedada em cluster de armazenamento Isilon pode requerer que o cluster seja dimensionado primeiro para desempenho e depois para capacidade, os SLAs reduzidos normalmente ativos em torno dos diretórios de usuário muitas vezes significam que o espaço em disco é a consideração principal ao planejar uma solução adequada de serviços de diretório de usuário que aproveite o armazenamento do Isilon. 17
Mesmo com as políticas de SmartQuotas ativas, as organizações podem ter políticas de exceção que permitem a determinados usuários ou tipos de dados ignorar as restrições padrão de aplicação de cotas. Políticas que são menos restritivas podem fazer com que conjunto de dados de diretórios de usuário cresça mais rápido do que o planejamento inicial sugeriu. Diferentes usuários podem permitir configurações diferentes de cota. Em vez de uma cota única de capacidade por usuário e uma política única de exceções para todos os usuários, considere uma abordagem de cota hierárquica na qual diferentes categorias de usuários (p.ex., gerentes, administradores de TI etc.) recebem uma cota mais alta que os outros usuários. Algumas organizações usam uma abordagem de construção em degraus para alocação de política de cota, p.ex., uma política básica de 10 GB para a maioria dos usuários, depois uma política de 25 GB para o próximo nível de usuários, em seguida, 50 GB, 100 GB e assim por diante. Essa abordagem permite aos administradores aumentar as cotas de usuário conforme a necessidade sem removê-las completamente para os maiores diretórios de usuário. Enquanto o SmartQuotas pode fornecer um fator de restrição sobre o crescimento de dados, o uso de snapshots em diretórios de usuários tem o efeito oposto: snapshots mais frequentes levam a um crescimento automático do total de espaço em uso, e o tamanho da política de retenção (isto é, o ciclo de vida padrão de um só snapshot) determina o tempo que esse espaço em disco permanecerá em uso. As políticas de restrição de capacidade do SmartQuotas podem ser configuradas para incluir ou excluir a sobrecarga associada aos dados do SnapshotIQ. Além do espaço bruto em disco, a arquitetura exclusiva do Isilon significa que o planejamento de capacidade também precisa ser aplicado ao se considerar o número de conexões de usuário por nó que será necessário a fim de fornecer o desempenho aceitável para dados do diretório de usuário. Essas considerações e recomendações estão listadas na seção Considerações e práticas recomendadas do SmartConnect neste guia. Práticas recomendadas do planejamento de capacidade Esta seção contém recomendações gerais de práticas recomendadas da EMC para planejamento e gerenciamento da capacidade de disco do diretório de usuário em um cluster de armazenamento Isilon. A EMC recomenda configurar uma cota de contabilidade separada para o diretório /ifs/home (ou onde quer que diretórios de usuário sejam provisionados no cluster) para monitorar o uso geral do espaço em disco e emitir alertas administrativos, quando necessário, para evitar ficar sem espaço inesperadamente. Se o SLA de uma organização, no que se refere a dados do diretório de usuário, for diferente do SLA padrão de serviços de arquivo gerais, então as configurações de programação e de retenção de snapshots podem ser ajustadas adequadamente para reduzir o volume da capacidade que as operações de snapshot consumirão no cluster. 18
Diretrizes de desempenho e dimensionamento Esta seção analisa os conceitos e os processos de análise necessários para determinar o tamanho e a configuração apropriados de um cluster de armazenamento Isilon que serão usados para hospedar diretórios de usuário. Ele não tem como objetivo ser uma fonte de autoria para todas as necessidades técnicas e organizacionais. Diferenças de protocolo dos serviços de arquivo Em termos de planejamento de sobrecarga por usuário em um cluster de armazenamento Isilon, as diretrizes a seguir representam a maioria dos casos de uso. Elas não foram criadas para ser uma regra definitiva para todos os ambientes. Assim, a EMC recomenda validar requisitos e características individuais de perfil do ambiente específico antes de comprometer um projeto ou uma configuração particular do cluster de armazenamento Isilon. Geralmente, as taxas de throughput de disco e de rede são mais uma função do tipo de carga de trabalho e o caso de uso específico ativo em um determinado cluster de armazenamento do que o protocolo de rede em uso. A sobrecarga por usuário colocada em outros componentes de um cluster de armazenamento Isilon inclusive CPU, memória e largura de banda é mais diretamente um resultado do protocolo de serviços de arquivo que está em uso. Serviços de arquivo baseados em conexões de client SMB normalmente requerem um volume maior de sobrecarga por usuário do que fazem as cargas de trabalho comparáveis de clients NFS, em particular o NFS v3. O espaço físico exato por usuário varia de acordo com as características de carga de trabalho, configuração e ambiente. As diferenças na sobrecarga por usuário entre os protocolos de conexão NFS e SMB podem requerer alterações no projeto do cluster de armazenamento Isilon a fim de garantir que os recursos do cluster sejam suficientes para atender aos objetivos gerais de desempenho do protocolo apropriado. Conexões de usuário ativas versus total As cargas de trabalho para serviços de arquivo do diretório de usuário tendem a ser orientadas mais pelo número de conexões ativas de usuário do que pelo número de conexões gerais. Mesmo uma organização com mais de mil usuários com diretórios de usuário em um cluster de armazenamento Isilon pode não requerer um alto nível de throughput sustentado para o cluster se apenas cem dessas conexões de usuário estiverem em uso ativo em um determinado momento. O fator crítico para garantir que um cluster de armazenamento Isilon dê suporte aos objetivos de desempenho exigidos por uma organização, portanto, é um claro entendimento dos padrões de acesso do usuário final: para quantos usuários um cluster de armazenamento Isilon precisará dar suporte, que percentual dessas conexões pode estar ativo a qualquer momento e que volume ou tipo de carga de trabalho essas conexões ativas transportarão. Depois que esses fatores tiverem sido quantificados com êxito, uma configuração adequada de cluster de armazenamento pode ser determinada para atender aos requisitos de desempenho apropriados para o volume e o tipo da carga de trabalho. Planejamento de gerenciamento e desempenho de pool de disco Esta seção fornece uma visão geral dos pools de disco do SmartPools e das políticas de pool de disco com relação a planejamento para proteção de dados e 19
desempenho de armazenamento ideais. Ela não tem como objetivo ser a fonte definitiva de informações de práticas recomendadas sobre SmartPools. Pools de discos Um pool de discos é um agrupamento lógico de discos em nós múltiplos dentro de um cluster. Cada pool de discos é um grupo homogêneo de nós com um cluster de armazenamento Isilon. Por exemplo, nós de série S com drives SAS de 300 GB e SSD (Solid State Drive) de 1.200 GB por nó estariam em um pool, enquanto nós da série NL com drives SATA de 3 TB estariam em outro. Um só cluster de armazenamento Isilon pode ser composto por múltiplos pools de discos, pois o OneFS habilita o agrupamento de tipos de nós múltiplos em um file system único. Cada tipo de nó é otimizado por uma taxa diferente de capacidade para desempenho; assim, é comum para as organizações aproveitar todas essas arquiteturas em um cluster a fim de garantir uma correspondência ideal entre seus diferentes conjuntos de dados e os nós de armazenamento nos quais eles residem. Políticas de pool de arquivo O posicionamento de um determinado arquivo ou diretório em um pool de discos em particular é automatizado pelo cluster de armazenamento Isilon, com base em uma série de políticas de pool de arquivos padronizadas e personalizadas, e ocorre de maneira totalmente transparente para os usuários e clients dentro da hierarquia lógica do sistema de arquivos. Mover um arquivo ou diretório de um pool de discos para outro não altera a localização do arquivo dentro da árvore do sistema de arquivos nem exige que os clients sejam reconfigurados para acessar o arquivo em um novo local. Critérios de seleção de política Políticas de pool de arquivos são criadas e aplicadas no diretório ou no nível de arquivo em um cluster de armazenamento Isilon baseado em um ou mais atributos dos dados. Atributos que podem ser usados para determinar a inclusão ou a exclusão por uma política de pool de arquivos podem incluir: Nome do arquivo Caminho do arquivo Tipo de arquivo, p.ex., extensão Tamanho do arquivo Horário da criação Horário da modificação Horário do acesso Horário da alteração dos metadados Atributos de usuário 20