Планирование
Программное обеспечение приложений
Обычно приложения не зависят от версии HACMP; они даже не знают о функционировании HACMP. Другими словами, HACMP просто запускает и останавливает приложения (HACMP также может осуществлять мониторинг приложений, однако обычно для этого подбирается метод, зависящий от приложения).
Тем не менее существует несколько приложений, в частности Oracle RAC 9i, которые в значительной степени зависят от используемой версии HACMP.
Свяжитесь с производителем приложения, чтобы убедиться в отсутствии проблем (например, с лицензированием) при использовании HACMP 5.3.
Лицензирование
Необходимо принимать во внимание два аспекта лицензирования: лицензирование HACMP (функций) и лицензирование приложения.
HACMP
Начиная с HACMP V5.2 лицензирование HACMP основано на количестве процессоров. Под количеством процессоров понимается суммарное количество процессоров, на которых установлен или выполняется HACMP V5. Наличие лицензий HACMP является обязательным на каждом компьютере, на котором устанавливается и выполняется HACMP.
Лицензирование HACMP/XD V5 основано на количестве процессоров. Под количеством процессоров понимается суммарное количество процессоров, на которых установлен или выполняется HACMP/XD V5. Наличие лицензий HACMP V5 и HACMP/ XD V5 является обязательным на каждом компьютере, на котором устанавливается и выполняется HACMP/XD.
Лицензирование HACMP V5 Smart Assist основано на количестве процессоров. Под количеством процессоров понимается суммарное количество процессоров, на которых установлен или выполняется HACMP V5 Smart Assist. Наличие лицензий HACMP V5 и HACMP V5 Smart Assist является обязательным на каждом компьютере, на котором устанавливается и выполняется HACMP V5 Smart Assist.
Итак, вот что это значит:
- если у вас есть сервер pSeries с четырьмя процессорами, работающими в режиме использования всех ресурсов в одном разделе (full system partition mode), вам необходима лицензия на 4 процессора;
- если у вас есть сервер pSeries с четырьмя процессорами, обрабатывающими логические разделы, и HACMP выполняется только в разделе с двумя процессорами, вам необходима лицензия на 2 процессора;
- конечно же, вам необходима лицензия для каждого сервера, на котором вы планируете запускать HACMP.
Приложение
Некоторые приложения имеют особенные требования по лицензированию, например использование отдельной лицензии для каждого процессора, выполняющего приложение; это означает, что необходимо лицензировать приложение путем включения информации, относящейся к процессору, в приложение при его установке. В результате, несмотря на корректную обработку отказов узла программным обеспечением HACMP, оно может быть неспособно перезапустить приложение на узле перемещения при сбое из-за ограничения на количество лицензий для этого приложения в кластере.
Во избежание этой проблемы, убедитесь в наличии лицензии для каждой системы в кластере, которая потенциально может выполнять приложение.
Заполнение таблицы планирования программного обеспечения
Табл. 3.5 содержит полный список программного обеспечения, установленного в нашем примере.
Аспекты операционной системы
Помимо уровней и наборов файлов операционной системы AIX, существует еще несколько аспектов операционной системы, которые необходимо рассмотреть на этапе планирования.
Требования к дисковому пространству
HACMP требует наличия следующих объемов дискового пространства для установки в группе томов rootvg:
- /usr требует 82 Мб свободного пространства для полной установки HACMP;
- / (root) требует 710 Кб свободного пространства.
Кроме того, рекомендуется выделить приблизительно 100 Мб свободного пространства в /var и /tmp для журналов HACMP. (Требуемое пространство зависит от количества узлов в кластере, которое влияет на размер сообщений, записываемых в различные журналы HACMP.)
Синхронизация времени
Синхронизация времени между узлами кластера важна как для приложения, так и для журналов HACMP. Она относится к стандартным задачам системного администратора, и мы рекомендуем использовать NTP-сервер или другую процедуру синхронизации времени между узлами кластера.
Настройки операционной системы
Для HACMP не требуется дополнительных настроек операционной системы. Используйте обычную настройку AIX в соответствии с рабочей нагрузкой приложений.
Планирование безопасности
Защита узлов кластера (и приложения) от несанкционированного доступа является важным фактором общей доступности системы. Существуют некоторые общие аспекты безопасности, а также аспекты, связанные с HACMP, которые мы рассмотрим в этом разделе.
Безопасность кластера
Кластеру HACMP нужен способ аутентификации на всех своих узлах для выполнения удаленных команд, связанных с верификацией кластера, синхронизацией и некоторыми административными операциями (C-SPOC).
Защита кластера необходима для предотвращения неавторизованного доступа к узлам кластера. Начиная с HACMP 5.1 дополнительная защита кластера обеспечивается новым механизмом безопасности, использующим возможности демона коммуникаций кластера (clcomdES).
Была устранена зависимость от AIX rsh (и таким образом, от файла /.rhosts). Так как некоторые внешние для HACMP команды, например пользовательские скрипты, могут все еще требовать удаленного выполнения команд с использованием r-команд, вам нужно проанализировать, есть ли необходимость оставить файл ~/.rhosts.
Межузловая связь в HACMP осуществляется с использованием демона кластера (clcomdES), что устраняет необходимость в "классических" удаленных командах AIX.
Режимы аутентификации подключения в HACMP
- Стандартный режим безопасности:
- стандартный режим безопасности (standard security mode) используется по умолчанию;
- реализуется непосредственно демоном коммуникаций кластера (clcomdES);
- использует информацию об узлах и адаптерах, хранящуюся в ODM-классах HACMP и файле /usr/es/sbin/cluster/etc/rhosts, для определения допустимых партнеров.
- Расширенный режим безопасности (kerberos):
- режим безопасности Kerberos (enhanced security mode) доступен только для кластеров HACMP, реализованных в кластере SP;
- используется метод аутентификации Kerberos.
Для повышения безопасности можно также использовать VPN-туннели между узлами кластера. В этом случае трафик clcomdES для IP-интерфейсов/адресов, сконфигурированных в HACMP, направляется через VPN-туннели, предоставляемые AIX. При использовании VPN следует применять постоянные адреса для VPN-туннелей. Конфигурирование VPN сначала выполняется в AIX, а потом в HACMP. Для упрощения конфигурирования HACMP предоставляет меню SMIT.
В стандартном режиме безопасности при удаленном выполнении команд HACMP в /usr/es/sbin/cluster используется принцип наименьших привилегий. При этом ни одна команда не может быть выполнена на удаленном узле с привилегиями "root", кроме команд, перечисленных в /usr/es/sbin/cluster. Эти команды HACMP считаются доверенными, и для них допускается запуск с привилегиями "root"; все остальные команды выполняются под учетной записью "nobody".
Для управления межузловыми коммуникациями демону коммуникаций кластера необходим список допустимых IP-меток или адресов кластера. Существует два способа предоставить эту информацию:
- автоматическое конфигурирование узлов (используется по умолчанию);
- индивидуальное конфигурирование узлов (вручную).
Автоматическое конфигурирование узлов
Если вы впервые осуществляете конфигурирование HACMP, файл /usr/es/sbin/cluster/ etc/rhosts на узле является пустым. Демон clcomdES должен выполнить аутентификацию IP-адреса входящего подключения, чтобы убедиться, что оно исходит от узла в кластере; правила проверки адресов основаны на следующем процессе:
- Если файл /usr/es/sbin/cluster/etc/rhosts пуст и на этом узле не определен кластер HACMP, то первое подключение с другого узла будет аутентифицировано и принято. Содержимое файла /usr/es/sbin/cluster/etc/rhosts будет изменено; оно будет включать все базовые адреса сетевых адаптеров, доступные для ping-опроса с запрашивающего узла.
- Если на узле уже определен кластер (ODM-класс HACMPcluster не пуст), то clcomdES ищет путь для связи (IP-адрес) в ODM-классе HACMPnode, а затем в HACMPadapter. Если он находит допустимый путь для связи, он берет первое вхождение (сначала из HACMPnode, затем из HACMPadapter); в противном случае выполняется поиск допустимого IP-адреса в файле /usr/es/sbin/cluster/etc/rhosts.
- Если clcomdES не может выполнить аутентификацию входящих подключений, он выдаст ошибку и вам нужно будет вручную исправить файл /usr/es/sbin/cluster/ etc/rhosts, после чего повторно запустить демон clcomdES (stopsrc -s clcomdES, startsrc -s clcomdES)
Обычно пользователю не приходится вручную заполнять файл rhosts; это делает clcomdES. Так как после установки этот файл пуст, он будет заполнен при первом подключении с другого узла. Первое подключение обычно выполняется с целью верификации и синхронизации, после чего происходит заполнение ODM-классов HACMPnode и HACMPadapter. После синхронизации кластера файл rhosts можно очистить, но не удалить. Информация из классов HACMPnode и HACMPadapter затем используется для аутентификации clcomd.
- Чтобы гарантировать, что неавторизованный хост не подключится к узлу между установкой программного обеспечения HACMP и инициированием подключения от одного узла кластера к другому, можно вручную заполнить (отредактировать) файл /usr/es/sbin/cluster/etc/rhosts, добавив в него одну или несколько IP-меток/ адресов (являющихся частью кластера).
- Если впоследствии вы решите переделать конфигурацию кластера (начать с самого начала или изменить базовые IP-адреса узлов), рекомендуется также очистить содержимое файла rhosts (НЕ УДАЛЯЯ ЕГО) на ВСЕХ узлах, на которых планируется реализовать кластер.
Индивидуальное конфигурирование узлов
В качестве альтернативного решения, если вас в особенности интересует сетевая безопасность (построение кластера может выполняться на основе незащищенной сети), можно поместить все IP-адреса/метки в файл /usr/es/sbin/cluster/etc/rhosts до конфигурирования кластера.
При установке HACMP этот файл создается пустым и имеет разрешения чтения и записи только для пользователя "root".
Настройка файла /usr/es/sbin/cluster/etc/rhosts
- Откройте файл /usr/es/sbin/cluster/etc/rhosts на узле под учетной записью "root".
- Отредактируйте файл, добавив в него все возможные IP-адреса сетевых интерфейсов каждого узла.
- Вводите по одной IP-метке или адресу в каждой строке.