1 / 56

Windows Server 2008 R2 : sécurité et haute disponibilité

Windows Server 2008 R2 : sécurité et haute disponibilité. Stanislas Quastana & F abrice Meillon Architecte s Infrastructure Microsoft France http://blogs.technet.com/windows7. Pourquoi mélanger sécurité et haute disponibilité?. La sécurité sert principalement à répondre à 3 besoins :.

minty
Download Presentation

Windows Server 2008 R2 : sécurité et haute disponibilité

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript


  1. Windows Server 2008 R2 : sécurité et haute disponibilité StanislasQuastana & FabriceMeillon Architectes Infrastructure Microsoft France http://blogs.technet.com/windows7

  2. Pourquoi mélanger sécurité et haute disponibilité? • La sécurité sert principalement à répondre à 3 besoins :

  3. Agenda • Quelques rappels • Les nouveautés de Windows Server 2008 R2 • Sécurité • Windows Server FailoverClustering

  4. Windows Server 2008 et la sécurité • Objectifs : • Améliorer la résistance du système par réduction de la surface et des vecteurs potentiels d’attaques. • Protéger les données et les informations

  5. Windows Server 2008 et la sécurité • Investissements • Résilience du système • Fonctions réseaux • User Account Control (UAC) • Internet Explorer 7 • Chiffrement intégral des volumes (BitLocker) • Active Directory Right Management Services • Crypto NextGeneration, AD Certificates Services • Network Access Protection (NAP)

  6. Windows Server Failover Clustering • Le cluster de basculement est un groupe d’ordinateurs connectés ensemble pour garantir la disponibilité des applications et des services hébergés. • Windows Server 2008 • Aide l’administrateur lors de l’installation d’un cluster de ressources • Rationnalise l’outil d’administration du cluster • Étend les scénarios d’usage

  7. Le cluster de basculementArchitecture de haute disponibilité Réseau communication intra cluster NŒUD1 NŒUD2 Attachement iSCSI ou FC Réseau public Disque quorum Disques applicatifs

  8. Caractéristiques de WSFC dans Windows Server 2008 • Jusqu’à 16 nœuds en cluster avec des serveurs x64 • Assistant de validation du Cluster • Assistant d’installation • Nouveaux outils d’administration • Améliorations Réseau • Outil de migration de MSCS 2003 vers WSFC • Nouveau modèle de sécurité • Nouveau modèle de Quorum • Mode de maintenance pour les disques • Support du Géo-Clustering

  9. Quoi de neuf avec Windows Server 2008 R2 ?

  10. Du coté de la sécurité • Un maitre mot : poursuivre les investissements • Protéger les données de l’entreprise… • …et de l’utilisateur • Apporter plus de flexibilité aux infrastructures à clés publiques (PKI) • Adapter les méthodes d’authentification aux besoins • Simplifier la gestion des comptes de services • Enrichir l’audit

  11. Protection des données sur les serveurs • Disque préparé par défaut pour BitLocker dès l’installation du système • Sur Windows Server 2008, il faut prévoir cette organisation des volumes sur le disque • Chiffrement des disques internes • Partition de Boot • Partition(s) de données

  12. Protection des données mobiles • Chiffrement des périphériques externes • BitLocker To Go ™ • Permet de chiffrer intégralement les périphériques amovibles • Ne nécessite pas de matériel spécifique • Est entièrement configurable via stratégies de groupes • L’administrateur peut imposer le chiffrement de tout périphérique avant usage

  13. Active Directory Certificates Services dans Windows Server 2008 R2. • Objectifs: • Apporter plus de flexibilité lors du déploiement d’une infrastructure PKI • Offrir de nouveaux scénarios • Fournir un meilleur support de NAP • Support des demandes de certificats entre forêts • Certificate Enrollment Web Service et Certificate Enrollment Policy Web Service • Optimisation de la gestion des certificats à usage temporaire

  14. Adapter les méthodes d’authentification aux besoins • Aujourd’hui il est difficile de déterminer le type d’authentification fournit par l’utilisateur (mot de passe, carte à puce) lorsqu’il accède à des ressources • Exemple: comment contrôler l’accès aux ressources en fonctions d’informations telles que l’utilisation d’une carte à puce ou le fait que le certificat utilisé ait une clé publique de 2048 bit • Objectif : permettre aux administrateurs de contrôler l'accès aux ressources/applications en fonction du type et de la force de la méthode d'authentification

  15. Authentication Assurance • Les administrateurs peuvent faire correspondre différentes propriétés, dont le type d’authentification ou sa force avec une identité • En fonction des informations fournies lors de l’authentification, ces identités sont ajoutées au ticket Kerberos pour être utilisées par les applications • Fonctionnalité disponible dans le nouveau niveau fonctionnel de domaine Windows Server 2008 R2

  16. User AccountControl • Toujours présent • Toujours utile • Mais moins visible  • Amélioration de l’expérience utilisateur

  17. Stratégies UAC Windows Vista / Server 2008 Windows 7 / Server 2008 R2

  18. Network Access Protection • Multiples configurations du System HealthValidator (SHV)

  19. Simplifier la gestion des comptes de service • Bref rappel historique • La gestion des comptes de service est souvent source de problèmes / questions • Les opérations de maintenance fréquentes peuvent engendrer des indisponibilités • Exemple: réinitialisation du mot de passe d’un compte de service pour une application critique • La mise en place de la politique de sécurité est rendue plus complexe ou limitée dans son périmètre

  20. Administration simplifiée des comptes de service • « Managed Service Accounts » • Une solution d’administration permettant d’adresser les besoins d’isolation des comptes de services • Un compte de service administré (MSA) par service par machine • Gestion améliorée des Service Principal Names (SPN) en mode fonctionnel Windows Server 2008 R2 au niveau domaine • Amélioration du TCO via une réduction des indisponibilités et de la charge d’administration

  21. Sécuriser DNS • Objectifs • Prouver que l’information provient de la bonne source • Prouver que l’information n’a pas été modifiée Solution : Signatures – Chiffrement à clés publiques DNSSEC = DNS utilisant des certificats émis par une PKI

  22. Simplifier l'audit • Objectifs : • Augmenter le niveau de détail dans l’audit de sécurité • Simplifier la configuration et l’administration des politiques d’audit • Audit global • Registre et système de fichier • Reporting « Raison de l’accès » • Paramètres avancés d’audit • Local Policies\Audit Policy

  23. Sécurité en action Démo

  24. Windows Server FailoverClustering

  25. Failover Cluster dans Windows Server 2008 R2 • Objectifs : • Etendre l’assistant de validation • Améliorer l’outil de migration • Rendre possible le déplacement de machines virtuelles entre nœuds sans interruption de service au niveau de la machine virtuelle (Live Migration d’Hyper-V) • Offrir une administration avancée

  26. Validation des configurations • Extension de la couverture fonctionnelle de l’assistant de validation des configurations • Exécution lors de la configuration initiale et/ou après le déploiement (configuration du cluster) • Exemples de tests supplémentaires : • Informations de configuration destinées au support et à la documentation pour le service IT • Configuration réseau étendue (bindings, réseaux multiples) • Tests n’engendrant pas d’interruption de service • Recommandations en terme de bonnes pratiques • Exécution à distance ou depuis l’un des nœuds du cluster

  27. Validation de laconfiguration Démo

  28. Assistant de migration • Permet de migrer la majorité des applications ou services • DFS-N, DHCP, DTC, serveur de fichiers, application générique, script générique, service générique, iSNS, MSMQ, NFS, Terminal Services Connection Broker, WINS • Les autres applications doivent être migrées avec leur propre mécanisme

  29. Les nouveaux DFS-R Remote Desktop Connection Broker Les plus courants Hyper-V SQL Server Exchange Server Serveur de fichiers Serveur d’impression Tierces parties Différents rôles, ex: base de données Les autres MSMQ DTC DHCP DFS-Namespace NFS iSNS WINS Les génériques Application Générique Script Générique Service Générique Services pouvant être mis en œuvre en cluster avec 2008 R2

  30. Le cluster de basculementPrincipe de fonctionnement • Depuis son origine Windows Server implémente un modèle de cluster de type “sharenothing” • Dans ce modèle chaque disque est la propriété d’un unique nœud à chaque instant, seul ce nœud est capable d’effectuer des I/O sur le disque Un seul nœud peut accéder un LUN à un instant SAN Stockage partagé

  31. Cluster Shared Volume • Tous les serveurs “voient” le mêmestockage (LUN)

  32. Activation de CSV

  33. Cluster SharedVolumeMise en oeuvre Démo

  34. Cluster Shared Volume • Permet à de multiples nœuds d’accéder de manière concurrente à un unique LUN partagé • Ne nécessite pas de démonter puis de remonter les volumes • ce qui peut engendrer de 500 à 700 ms d’indisponibilité lors de la modification de propriétaire • Fournit aux VM une transparence complète vis-à-vis du nœud propriétaire d’un LUN • Les VM peuvent être déplacées sans nécessiter de changement de propriété de LUN

  35. En quoi CSV est-il spécifique ? • CSV est basé sur deux constats: • Les requêtes de type lecture/écriture de données sont plus nombreuses que les requêtes d’accès/modification des métadonnées (ex: création de fichier) • Des accès concurrents de différents nœuds à un même fichier ne sont pas nécessaires pour des fichiers de type VHD • CSV propose un accès aux fichiers optimisé pour Hyper-V

  36. Cluster Shared VolumeAperçu Accès distribué aux fichiers coordonné via le nœud coordinateur (modification des métadonnées) VMs effectuant des I/O directes VMs effectuant des I/O directes VMs effectuant des I/O directes Volume propriété d’un seul nœud «Coordinateur»  SAN Disque Autre LUN LUN Volume unique VHD VHD VHD

  37. Cluster Shared VolumeRedirection dynamique des I/O Handle virtuel Les I/O sont dynamiquement redirigées en fonction de la disponibilité du chemin CSV File System Filter

  38. Cluster Shared Volume • CSV fournit un espace de noms de fichiers unique et cohérent • Les fichiers portent le même nom et chemin quelque soit le nœud du cluster depuis lequel ils sont vus • Les volumes CSV sont exposés sous forme de répertoires et sous répertoire du dossier “ClusterStorage” • C:\ClusterStorage\Volume1\<root> • C:\ClusterStorage\Volume2\<root> • C:\ClusterStorage\Volume3\<root>

  39. Cluster Shared Volume • Apporte une tolérance de panne supplémentaire • Indisponibilité de l’accès au stockage SAN • Indisponibilité d’un nœud • Indisponibilité du réseau

  40. Disponibilité accrue avec CSVTolérance aux indisponibilités de la connexion au stockage SAN I/O Redirigée via SMB VM active sur le nœud 2 non affectée Volume monté sur le nœud 1 «Nœud Coordinateur» Indisponibilité de la connexion au SAN SAN Les VMs peuvent faire l’objet d’une Live Migration vers un autre nœud sans indisponibilité VHD

  41. Disponibilité accrue avec CSV Tolérance aux indisponibilités d’un nœud Défaillance du nœud • VM active sur le nœud 2 non affectée Queuing des I/O pendant que la propriété du volume est modifiée Volume monté sur le nœud 1 «Nœud Coordinateur» SAN Bascule du volume vers un nœud en bonne santé VHD

  42. Disponibilité accrue avec CSV Tolérance aux indisponibilités du réseau Indisponibilité de la connexion réseau Mises à jour des Metadatare-routées vers le réseau redondant • VM active sur le nœud 2 non affectée Volume monté sur le nœud 1 «Nœud Coordinateur» Indisponibilité de la connexion réseau SAN Les connexions TCP tolérantes aux pannes rendent l’indisponibilité transparente VHD

  43. Cluster SharedVolumetolérance aux pannes Démo

  44. Cluster Shared VolumeCompatibilité avec l’existant • Absence de pré-requis matériels spécifiques • Pré-requis identiques aux autres volumes en cluster • Accès au stockage en iSCSI, Fibre Channel, SAS • Absence de limitations liées à la structure des répertoires ou des chemins d’accès • Contrairement à d’autres technologies de ce type, CSV ne repose pas sur un nouveau système de fichiers • C’est du NTFS  • Usage réservé pour l’instant à Hyper-V v2

  45. Cluster SharedVolumeLive Migration Démo

  46. Administration via PowerShell • Mode ligne de commande et langage de scripting • Disponible aussi en mode Server Core avec Windows Server 2008 R2 • Administration simplifiée • Exécution de la validation • Création de clusters & ajout des ressources • Génération des rapports de dépendance • Hyper-V et ClusteredShared Volume • Création des VMs, administration VMs, quick migration, live migration • API en lecture seule

More Related