SOLUTIONS EMC ISILON DE STOCKAGE DES RÉPERTOIRES PERSONNELS POUR LES ENVIRONNEMENTS NFS ET SMB

Transcription

1 Livre blanc SOLUTIONS EMC ISILON DE STOCKAGE DES RÉPERTOIRES PERSONNELS POUR LES ENVIRONNEMENTS NFS ET SMB Bonnes pratiques recommandées en matière de capacité et de performances Résumé Ce livre blanc contient des informations techniques visant à faciliter la planification et l implémentation d une solution NAS EMC Isilon pour les répertoires personnels, englobant la gestion des accès, la protection des données, la capacité de stockage et les performances de cluster. Cette solution offre une prise en charge des accès réseau de type SMB (Small Message Block) et NFS (Network File System) dans le but de centraliser le provisionnement, la gestion et la prise en charge des répertoires personnels des utilisateurs. Décembre 2013

2 Copyright 2013 EMC Corporation. Tous droits réservés. EMC estime que les informations figurant dans ce document sont exactes à la date de publication. Ces informations sont modifiables sans préavis. Les informations contenues dans cette publication sont fournies «en l état». EMC Corporation ne fournit aucune déclaration ou garantie d aucune sorte concernant les informations contenues dans cette publication et rejette plus spécialement toute garantie implicite de qualité commerciale ou d adéquation à une utilisation particulière. L utilisation, la copie et la diffusion de tout logiciel EMC décrit dans cette publication nécessitent une licence logicielle en cours de validité. Pour obtenir la liste actualisée des noms de produits, consultez la rubrique des marques EMC via le lien Législation, sur EMC2, EMC, le logo EMC, Isilon, OneFS, SmartCache, SmartConnect, SmartPools, SmartQuotas, SnapshotIQ et SyncIQ sont des marques déposées ou des marques commerciales d EMC Corporation aux États-Unis et dans d autres pays. VMware est une marque déposée ou une marque commerciale de VMware, Inc. aux États-Unis et/ou dans d autres juridictions. Toutes les autres marques citées dans le présent document sont la propriété de leurs détenteurs respectifs. Référence H

3 Sommaire Résumé analytique... 5 Introduction... 5 À propos de ce guide... 6 Audience visée... 6 Hypothèses... 6 Exigences relatives aux répertoires personnels... 6 Hypothèses concernant l audience... 7 Conditions préalables... 7 Historique des révisions... 7 Présentation des fonctions d Isilon... 8 Partage de fichiers au sein d un cluster de stockage Isilon... 8 Accès et compatibilité NFS... 9 Accès et compatibilité SMB... 9 Fournisseurs d authentification et gestion des accès... 9 Active Directory Caractéristiques et fonctions d intégration Intégration avec le protocole LDAP Points à prendre en compte et recommandations pour l authentification de répertoires Bonnes pratiques recommandées en matière d authentification des répertoires Planification et gestion de la capacité Profils d utilisation des répertoires personnels Dimensionnement recommandé concernant la capacité de stockage Gestion du taux d utilisation de la capacité avec SmartQuotas SnapshotIQ Points à prendre en compte en matière de planification de la capacité Bonnes pratiques en matière de planification de la capacité Recommandations en matière de performances et de dimensionnement Différences entre les protocoles de services de fichiers Connexions utilisateur totales et actives Planification des performances et de la gestion des pools de disques Pools de disques Règles de pools de fichiers Gestion des pools de fichiers Types de charge de travail Informations complémentaires Points à prendre en compte et recommandations en matière de gestion des pools de fichiers Bonnes pratiques recommandées en matière de gestion de pools de fichiers Planification des performances et du débit réseau Présentation de SmartConnect Gestion des connexions client à l aide de SmartConnect Options de configuration

4 Informations complémentaires Points à prendre en compte et recommandations concernant SmartConnect Bonnes pratiques recommandées en matière de gestion de SmartConnect Conclusion Références À propos d EMC Isilon Contacter EMC Isilon

5 Résumé analytique Les entreprises, tous secteurs confondus, sont confrontées à la croissance exponentielle sans précédent des données d entreprise des utilisateurs. Parallèlement à cette tendance, les départements informatiques doivent s assurer, à mesure que l encombrement du stockage de données critiques augmente, de pouvoir faire évoluer la plate-forme de stockage sous-jacente. Il s'agit de trouver de limiter les interruptions résultant des migrations et des extensions de stockage, tout en garantissant la disponibilité des données, la capacité et les performances. La solution de stockage scale-out EMC Isilon permet de relever ces défis en proposant une plate-forme de stockage hautement évolutive, qui s intègre de manière transparente avec les environnements existants (qu ils reposent sur Windows ou UNIX) tout en permettant la consolidation des services de fichiers d entreprise sur un point d accès unique. En plus de la simplicité d évolutivité et de gestion, un cluster de stockage Isilon offre des fonctions transparentes de protection et de restauration des données, simplifiant de fait la gestion du stockage pour les utilisateurs comme pour les administrateurs. La simplicité de mise en œuvre, de gestion et d évolutivité du stockage Isilon permet d augmenter l efficacité de l entreprise tout en réduisant les frais administratifs et les coûts opérationnels supplémentaires pour le département informatique comme pour les utilisateurs professionnels. Un cluster de stockage Isilon résout les problèmes liés aux partages de fichiers et aux répertoires personnels à grande échelle en consolidant les services de fichiers existants, en éliminant la prolifération des serveurs de fichiers, en améliorant le taux d utilisation du stockage et en réduisant les coûts administratifs. La facilité de mise en œuvre, de gestion et d extension d un cluster Isilon permet de gagner en efficacité dans l entreprise en n accroissant que très peu, voire pas du tout, les efforts et le temps que l administrateur consacre à la gestion du cluster de stockage Isilon à mesure que celui-ci augmente. Une solution Isilon permet d éliminer les migrations de données, autrement dit les tâches complexes de gestion du stockage, indispensables pour limiter les points sensibles, étendre la capacité existante et équilibrer la capacité entre plusieurs volumes de groupes RAID ou de systèmes de fichiers. La hiérarchisation automatisée du stockage basée sur des règles réduit le coût total de possession en permettant le déplacement des fichiers inactifs vers le niveau le plus économique. La gestion des quotas et l allocation dynamique sont simples et flexibles. Introduction Ce livre blanc présente les principes et concepts liés au déploiement d un cluster de stockage Isilon en tant que serveur de fichiers/référentiel de stockage pour les répertoires personnels des utilisateurs au sein d un environnement d entreprise. Il décrit d un point de vue architectural les technologies et les fonctions associées à la fourniture de services de fichiers NFS et SMB. Ce document présente par ailleurs les recommandations techniques et les bonnes pratiques d EMC permettant d'optimiser les performances, la gestion et la prise en charge. 5

6 La plupart des informations pertinentes concernant la planification, le provisionnement et la prise en charge des répertoires personnels des utilisateurs au sein d un cluster de stockage Isilon sont disponibles dans les livres blancs et guides existants d EMC Isilon. C est pourquoi le présent document vise à limiter la quantité d informations redondantes en retenant uniquement les données concernant les services de fichiers liés aux répertoires personnels. À titre d information supplémentaire, la section Références à la fin du présent document comprend des liens renvoyant aux autres guides et livres blancs. À propos de ce guide Même si les services de répertoires personnels sont fréquemment classés et traités comme un simple sous-ensemble des services de fichiers génériques, le workflow et les performances propres à cette sous-catégorie diffèrent considérablement des «services de fichiers» génériques dans bien des cas. Ce guide se propose d assister les administrateurs de services de fichiers et de stockage dans la planification des exemples d utilisation et des recommandations techniques propres au provisionnement et à la prise en charge des répertoires personnels des utilisateurs au sein d un cluster de stockage Isilon. Audience visée Ce guide s adresse aux administrateurs système et de stockage expérimentés, qui maîtrisent l administration des services de fichiers et du stockage en réseau. Hypothèses Les hypothèses suivantes sont formulées dans le cadre de ce guide. Exigences relatives aux répertoires personnels Ce guide repose sur l hypothèse selon laquelle, en tant que service réseau, les répertoires personnels présentent les caractéristiques suivantes, qui les différencient des services de fichiers d entreprise : Les répertoires personnels sont principalement réservés au stockage à petite échelle de données d entreprise moins critiques (voire de données personnelles) et présentent généralement des exigences de débit globalement moins strictes que les services de fichiers d entreprise. L accès des utilisateurs aux répertoires personnels est nettement plus intermittent. Il se caractérise par de brefs pics d activité périodiques de la part d un utilisateur donné suivis de longues périodes d inactivité. Les contrats de niveau de service (SLA) informatiques concernant la prise en charge des répertoires personnels, tout particulièrement dans le domaine des demandes de restauration de données, sont souvent moins rigoureux que ceux des services de fichiers d entreprise. La capacité de stockage par utilisateur se limite à un espace de stockage standard prédéfini, imposé au moyen de mesures de blocage strictes destinées à empêcher les utilisateurs de dépasser la capacité qui leur a été allouée. Les répertoires personnels sont dotés de paramètres d autorisation uniques, qui restreignent leur accès à l utilisateur concerné. Des autorisations d accès supplémentaires sont prévues comme il convient pour les services de sauvegarde et de prise en charge administrative. 6

7 Hypothèses concernant l audience Ce guide suppose que le lecteur possède une bonne compréhension et des connaissances pratiques des domaines suivants : Protocoles de stockage NFS et/ou SMB, suivant les exigences propres à l entreprise Architecture de stockage scale-out Isilon et système d exploitation EMC Isilon OneFS Autres logiciels Isilon de gestion et de protection des données tels qu Isilon SmartConnect TM, SmartPools TM, SnapshotIQ TM et SmartQuotas TM Concepts et pratiques liés à la gestion des systèmes de fichiers, notamment le provisionnement, les autorisations et l optimisation des performances Pratiques d intégration en matière de connexion et d établissement de relations d authentification avec Active Directory ou d autres plates-formes LDAP, le cas échéant Même si ce guide a pour objectif de servir de point de référence central pour les responsables et les administrateurs système souhaitant déployer des répertoires personnels d utilisateurs au sein d un cluster de stockage Isilon, il n a pas vocation à faire autorité en tant que source d information sur les technologies et fonctions employées dans la fourniture et la prise en charge d une plate-forme de services de fichiers. Pour plus d informations, consultez les documents cités à la section Références figurant à la fin du présent document. Conditions préalables L activation et l utilisation de certaines des fonctions recommandées et décrites dans ce document peuvent nécessiter des licences par nœud supplémentaires de la part d EMC. Pour plus d informations, contactez un responsable de compte EMC ou un revendeur agréé. Historique des révisions Tableau I : Historique des versions Date Version Auteur Récapitulatif des modifications Septembre Brad Garvey Document initial Octobre James Walkenhorst Développement du contenu afin d y inclure des recommandations et des bonnes pratiques en matière de performances et de dimensionnement 7

8 Présentation des fonctions d Isilon Une administration et une prise en charge réussies des services de répertoires personnels dans un environnement d entreprise exigent de réduire et d automatiser au maximum la charge de travail en gestion. Pour garantir la réussite des services de répertoires personnels à grande échelle, il est nécessaire que le département informatique de l entreprise soit déchargé autant que possible des tâches de gestion associées à ces services. Dans la plupart des cas, il est possible de réduire la charge de travail en gestion en associant un environnement simple à des fonctions de gestion automatisées. Isilon permet de simplifier la gestion de pétaoctets de données de fichiers par le biais de processus automatisés destinés à équilibrer les charges de travail et les capacités internes et des clients : provisionnement rapide et simple de la capacité de stockage et des services associés au stockage ; génération automatique de services de quotas et de snapshots en vue de protéger les données utilisateur et le taux d utilisation de la capacité de stockage. L architecture unique d un cluster de stockage Isilon offre les avantages suivants : stockage de données dans des répertoires personnels NAS de plusieurs pétaoctets gérés par un seul administrateur ; efficacité accrue dans l entreprise grâce à la hiérarchisation automatisée du stockage, à la restauration des données gérée par les utilisateurs de manière simple et rapide, à la distribution automatique des connexions utilisateur et des connexions client au sein du cluster de stockage, et à des taux d utilisation du stockage inhérents de plus de 80 % ; stockage haute disponibilité, avec un niveau de résilience élevé par rapport aux pannes réseau et aux défaillances de composants de stockage, et élimination des migrations de clients et de données. Cette section présente une vue d ensemble des fonctions de stockage Isilon et de leurs possibilités d application dans un environnement de services de répertoires personnels d entreprise. Partage de fichiers au sein d un cluster de stockage Isilon Le répertoire /ifs constitue le répertoire racine pour l ensemble des données de système de fichiers d un cluster de stockage Isilon. Il est partagé de manière automatique à la fois via NFS et SMB. Il est possible de créer des partages et des exportations supplémentaires au sein de l arborescence de répertoires /ifs. Le provisionnement initial du cluster de stockage Isilon entraîne la création automatique de deux répertoires supplémentaires sous le répertoire /ifs, à savoir : le répertoire /ifs/data réservé aux données des départements et de l entreprise, et le répertoire /ifs/home dédié aux répertoires personnels des utilisateurs. Remarque : il est possible de procéder au positionnement physique des données de répertoires personnels utilisateur par utilisateur, quel que soit le chemin d accès aux différents répertoires personnels au sein de l arborescence du système de fichiers. La section Pools de disques SmartPools du présent guide contient des informations complémentaires sur l emplacement physique des données de fichiers Isilon. 8

9 Accès et compatibilité NFS Concernant les clients NFS (Network File System), OneFS prend en charge les protocoles NFS v2, NFS v3 et NFS v4. Le point de montage NFS par défaut du cluster Isilon, le répertoire /ifs, permet aux clients UNIX et/ou Linux de monter à distance tous les types de sous-répertoire, y compris ceux créés par les clients Windows. Les clients Linux et UNIX peuvent également monter des sousrépertoires protégés par une liste ACL qu'un administrateur de stockage a créés. Concernant les clients NFS v3 et NFS v4, OneFS assure la prise en charge de sessions Kerberos pour les besoins de l authentification et de la gestion des accès. Accès et compatibilité SMB Concernant les clients et les utilisateurs Windows, OneFS prend en charge les protocoles d accès SMB1 et SMB2. Le dossier partagé \ifs par défaut offre aux utilisateurs de Windows un accès aux ressources de système de fichiers via le réseau, y compris aux répertoires et fichiers créés par des clients UNIX et Linux. Autrement dit, grâce à cette fonction de compatibilité SMB, pour un client Windows, un cluster de stockage Isilon ressemble à et se comporte exactement comme un serveur de fichiers Windows sur le réseau : il est accessible via un nom de serveur Windows standard ou un nom de domaine complet (FQDN) ; il s intègre avec Active Directory à des fins d authentification et de gestion des autorisations ; et il peut jouer le rôle de nœud de serveur de fichiers DFS (Distributed File System) sur le réseau. Les utilisateurs SMB visualisent les données d un cluster de stockage Isilon par le biais d un lecteur réseau mappé ou d une adresse UNC (convention de dénomination universelle) et d un nom de partage. Pour plus d informations sur l intégration avec Active Directory et le contrôle d'accès aux fichiers et répertoires, reportez-vous à la section suivante de ce guide. Fournisseurs d authentification et gestion des accès Les services d authentification permettent de sécuriser les données en vérifiant l identité des utilisateurs avant d octroyer à ces derniers un accès aux fichiers et répertoires. La solution de stockage Isilon prend en charge plusieurs méthodes d authentification des utilisateurs. Un cluster de stockage Isilon autorise ou bloque l accès aux données stockées en fonction des résultats des règles d authentification définies par l administrateur. Un cluster de stockage Isilon est accessible par le biais de l un des multiples protocoles de couche d application (dont SMB, NFS, HTTP, FTP et SSH). Il est par ailleurs possible de planifier et d implémenter des règles d authentification pour chacun de ces protocoles, voire pour tous. Les paramètres appropriés de sécurité des données et d accès au niveau du protocole doivent être conformes aux exigences particulières et aux règles de sécurité globales de l entreprise. Les autorisations d accès au niveau des fichiers et des répertoires sont appliquées de manière uniforme quel que soit le protocole défini et le modèle de sécurité utilisé. Un utilisateur se voit accorder ou refuser l accès à un fichier avec le protocole SMB de la même manière qu avec le protocole NFS. Par défaut, des autorisations (NFS) UNIX traditionnelles sont définies pour le système de fichiers. Grâce à l Explorateur Windows ou aux outils d administration de OneFS, il est possible d appliquer des autorisations ACL (Access Control List) Windows standard aux répertoires et aux fichiers. 9

10 Dans un scénario utilisant plusieurs fournisseurs d authentification, OneFS prend également en charge la configuration de listes ACL Windows pour les groupes locaux, NIS et LDAP, de même que pour les groupes et utilisateurs AD. Cependant, une fois qu un fichier ou un répertoire est configuré avec une liste ACL, les bits en mode UNIX précédents associés à cet objet ne sont plus appliqués. Isilon prend en charge les fournisseurs d authentification suivants : Services AD (Active Directory) LDAP (Lightweight Directory Access Protocol) Base de données de fichiers Base de données de sécurité locale NIS (Network Information Service) Ce guide traite principalement de l intégration avec les fournisseurs de sécurité AD et LDAP. Active Directory Dans la mesure où un cluster Isilon peut émuler de manière transparente un serveur de fichiers Windows, il peut s intégrer tout aussi simplement avec Active Directory en vue de fournir des services de fichiers de répertoires personnels sous forme de plate-forme d entreprise. En plus de la fonction SMB qu il fournit en natif, Isilon s intègre avec les modèles d autorisations sur fichiers et répertoires d une entreprise. Il permet par ailleurs l automatisation du mappage des utilisateurs AD à leurs répertoires personnels désignés sur le cluster de stockage Isilon. Cette section examine les fonctions d intégration d Active Directory et les bonnes pratiques d EMC en matière de planification et de provisionnement de services de répertoires personnels AD. Caractéristiques et fonctions d intégration Lorsqu un cluster de stockage Isilon est lié à un domaine AD, un compte d ordinateur unique est créé dans le domaine. Ce compte sert à établir et à maintenir la relation de confiance entre le cluster et le domaine. Il permet l authentification des utilisateurs à partir de la forêt AD et l autorisation des accès objet sur le cluster, quel que soit le nœud du cluster auquel un utilisateur ou un client se connecte. Sauf mention contraire, la liaison d un cluster de stockage Isilon avec AD active automatiquement l intégration du mode de domaine AD, au sein duquel le cluster tire parti des objets utilisateur et groupe existants afin de créer des listes ACL et de les appliquer aux fichiers et répertoires. Dénomination des clusters Même si un cluster de stockage Isilon est lié à un domaine Active Directory à l aide d un nom unique, la relation de confiance résultante entre le cluster et AD est étendue de manière automatique à tous les noms sous lesquels le cluster est disponible sur le réseau. Prenons un exemple : supposons que des pools réseau SmartConnect soient utilisés pour gérer des connexions client en vue d optimiser les performances et l équilibrage de la charge des clients. Chaque pool SmartConnect nécessite alors un nom de domaine complet unique sur le réseau. En dépit des nombreux noms auxquels un cluster de stockage Isilon peut répondre, un seul compte d ordinateur (celui qui correspond au nom configuré sur la page Cluster Identity Settings) suffit pour le cluster au sein d AD. 10

11 Les pools SmartConnect font l objet d une description plus détaillée à la section Présentation de SmartConnect de ce guide. Autorisations Vous avez la possibilité de créer et de modifier des autorisations ACL, telles qu appliquées aux fichiers et répertoires partagés via le protocole SMB, à l aide de l un des outils suivants : Autorisations portant sur des dossiers partagés Console MMC (Microsoft Management Console) Gestion de l ordinateur à partir d un client Windows Interface Web de l explorateur de système de fichiers OneFS Interface de ligne de commande (SSH) : utilitaire isi smb Interface de ligne de commande (Windows) : utilitaire net share Ces outils permettent non seulement de créer et de modifier des autorisations au niveau du partage, mais aussi de définir des partages au sein d un cluster de stockage Isilon. Autorisations portant sur des fichiers et répertoires Explorateur Windows Interface de ligne de commande (SSH) : utilitaire chmod Interface de ligne de commande (Windows) : utilitaire icacls Remarque : l utilitaire chmod permet uniquement de modifier des listes ACL applicables à des fichiers et répertoires si la connexion au cluster Isilon est établie directement via SSH. La fonction de modification des listes ACL de l utilitaire chmod n est pas disponible sur les systèmes Linux et UNIX avec montage à distance d une exportation OneFS. Intégration avec des autorisations de type UNIX Lorsqu un administrateur modifie les paramètres ACL d un fichier à partir d un client Windows, aucune perte d informations n est à déplorer, car OneFS stocke la liste ACL d origine et la remplace par la version révisée. Il en va de même quand un administrateur décide de modifier, toujours à partir d un client Windows, les autorisations d un fichier doté de bits de mode. OneFS mappe les bits de mode à une liste ACL synthétique et, comme le modèle ACL peut capturer l ensemble des autorisations POSIX, aucune information de sécurité n est perdue. Dans ce type de situation, OneFS remplace la liste ACL synthétique du fichier par une liste ACL réelle équivalant aux bits de mode. La situation change en revanche lorsqu une commande chmod ou chown est exécutée pour modifier les autorisations d un fichier protégé par une liste ACL. Dans ce cas, OneFS doit mapper les changements d autorisation entre deux modèles de sécurité différents. Pour ce faire, OneFS, dans sa configuration par défaut, fusionne la liste ACL avec un correctif dérivé de la modification dans les bits de mode. Dans la plupart des cas, cette méthode permet de conserver les informations ACL et de limiter les conflits entre les autorisations attendues et les véritables autorisations en vigueur. 11

12 OneFS crée un environnement hétérogène composé de quatre types principaux d accès réseau aux fichiers. Ces types d accès s appliquent également aux répertoires et à d autres objets système sécurisables : client UNIX accédant via NFS à un fichier stocké sur le cluster Isilon ; client Windows accédant via SMB à un fichier stocké sur le cluster ; client UNIX se connectant via NFS à un fichier stocké sur le cluster par un client Windows via SMB ; client Windows se connectant via SMB à un fichier stocké sur le cluster par un client UNIX via NFS. Lorsqu un utilisateur UNIX demande un fichier protégé par des bits de mode POSIX via NFS, OneFS contrôle l accès au moyen des autorisations POSIX du fichier. Le principe est à peu près le même dans le cas d un utilisateur Windows demandant un fichier protégé par une liste ACL : les droits contenus dans le jeton d accès de l utilisateur sont comparés à la liste ACL du fichier dans le cadre du modèle de sécurité Windows. Lorsqu un utilisateur Windows tente d accéder à un fichier UNIX, un problème se produit, car les autorisations définies à l aide des bits de mode POSIX sont incompatibles avec le modèle de sécurité Windows. De la même manière, lorsqu un utilisateur UNIX demande l accès à un fichier Windows, les autorisations définies dans la liste ACL ne sont pas reconnues par le modèle de sécurité UNIX. Étant donné que les deux modèles sont différents et que le modèle Windows comprend un ensemble de droits plus complet, il est impossible d établir un mappage un-à-un entre les deux types d autorisation. Deux problèmes peuvent donc découler de cette incompatibilité : la sécurité d un fichier peut être compromise ou un utilisateur se voit refuser l accès à un fichier qu il devrait être habilité à ouvrir. Pour plus d informations sur l exécution d un cluster de stockage Isilon en mode multiprotocolaire, consultez le livre blanc EMC Isilon Multiprotocol Data Access with a Unified Security Model, accessible via le lien figurant à la section Références à la fin de ce guide. Création de répertoires personnels dans Active Directory Un cluster de stockage Isilon jouant le rôle de serveur de fichiers Windows dans une forêt AD prend en charge la même méthode de création de répertoires personnels et d association des utilisateurs que tout autre serveur de fichiers Windows. Comme le répertoire /ifs/home est déjà présent sur le cluster, vous avez la possibilité de créer un partage SMB qui présente le répertoire /ifs/home aux clients SMB comme un dossier partagé au moyen de l un des outils mentionnés à la section Autorisations portant sur des dossiers partagés ci-dessus. Une fois ce dossier partagé, il est possible de créer automatiquement les répertoires personnels en tant que sous-répertoires du répertoire /ifs/home à l aide des méthodes AD standard : scripts PowerShell, scripts chargés par lot ou encore, outil Utilisateurs et ordinateurs Active Directory (ADUC), via l onglet Profils et la variable %username%. Redirection des répertoires personnels dans Active Directory Les entreprises ayant défini des répertoires personnels d utilisateurs sur un cluster de stockage Isilon peuvent faire appel à la fonction de redirection Objet de stratégie de groupe du répertoire Mes documents par défaut des utilisateurs du client Windows local vers leur répertoire personnel Isilon. Cette redirection facilite la centralisation du stockage des documents utilisateur et la portabilité des utilisateurs sur différents périphériques Windows. 12

13 Autorisations d accès par défaut et personnalisées sur les répertoires personnels Si la variable %username% est utilisée dans l outil ADUC, les répertoires correspondants sont créés automatiquement sur le cluster de stockage Isilon sous le partage de répertoires personnels désigné, comme cela se produirait avec n importe quel serveur Windows. Si AD définit automatiquement les autorisations applicables aux répertoires personnels afin d accorder un accès avec contrôle total au compte utilisateur correspondant pour un répertoire donné, il propage également les autorisations au niveau des fichiers du répertoire parent vers le répertoire personnel nouvellement créé. Domaines et relations de confiance Dans un environnement comprenant plusieurs domaines, il est possible d octroyer de manière explicite les accès aux fichiers et répertoires entre le cluster de stockage Isilon et tous les domaines AD approuvés par le domaine parent du cluster aux utilisateurs et groupes faisant partie de ces domaines de confiance. Les utilisateurs et les groupes situés dans des domaines non approuvés peuvent se voir accorder un accès aux données stockées sur un cluster Isilon via la page Advanced Authentication Settings de la console d administration OneFS, où des domaines inconnus ou non approuvés sont mappés à un domaine de confiance. Intégration avec le protocole LDAP Outre les fonctions et les paramètres de sécurité intégrés activés par Active Directory, il est possible de configurer un cluster de stockage Isilon de manière à authentifier les utilisateurs et les groupes auprès d un référentiel LDAP (Lightweight Directory Access Protocol) en vue d octroyer ou de bloquer les accès aux données stockées sur le cluster. Le service LDAP d un cluster de stockage Isilon prend en charge les fonctions suivantes : utilisateurs, groupes et groupes réseau ; mappage d attributs LDAP personnalisés ; authentification via une LIAISON simple (avec et sans SSL) ; redondance et équilibrage de la charge entre tous les serveurs contenant des données de répertoire identiques ; mots de passe chiffrés. Configuration et activation de l intégration avec LDAP Sur un cluster Isilon, il est impératif, pour que vous puissiez activer le protocole LDAP, de configurer les paramètres LDAP requis (y compris le nom unique de base du cluster, le numéro de port et au moins un serveur LDAP). Configuration LDAP Le nom unique de base, également appelé base de recherche, permet d identifier l enregistrement dans le répertoire à partir duquel les recherches lancées par les clients LDAP sont exécutées. Le DNS de base peut comprendre un nom commun (cn), une localité (l), un contrôleur de domaine (dc), une unité d organisation (ou) ou d autres composants. 13

14 Activation et désactivation de l intégration avec LDAP Dès lors que vous avez défini les options de configuration LDAP dans OneFS, le service LDAP est automatiquement activé. Il peut être désactivé à tout moment, soit de manière explicite, soit par suppression de tous les serveurs et du nom unique de base de la page des paramètres de configuration LDAP. La suppression de ces entrées entraîne automatiquement la désactivation du service LDAP. Création de répertoires personnels pour les utilisateurs LDAP À l instar de l intégration avec Active Directory, vous avez la possibilité de créer des répertoires personnels manuellement ou de les inclure dans un script et de les provisionner de manière automatique, avant de les monter via une connexion SMB ou NFS. Points à prendre en compte et recommandations pour l authentification de répertoires Les recommandations suivantes sont fournies dans le présent guide pour répondre aux exigences courantes en matière de disponibilité, de performances et de sécurité : Par défaut, sur un cluster de stockage Isilon, le groupe Tous se voit octroyer l autorisation de partage Lecture tandis que le groupe Administrateurs de domaine bénéficie de l autorisation Contrôle total. À moins que ce paramètre par défaut ne soit modifié, les utilisateurs de domaine non-administrateurs ne sont pas autorisés à écrire dans leur propre répertoire personnel. Dans la plupart des cas, il est recommandé de rediriger l emplacement par défaut du répertoire Mes documents de chaque utilisateur vers le répertoire personnel correspondant sur le cluster de stockage Isilon. Si vous souhaitez activer les profils itinérants sur le cluster de stockage Isilon, procédez avec une extrême prudence et prenez bien en compte l impact global de cette action sur l entreprise. Même si le cluster de stockage lui-même peut être aisément dimensionné en fonction des niveaux d espace de disque requis, les profils itinérants augmenteront en toute probabilité le temps de connexion total des utilisateurs. Bonnes pratiques recommandées en matière d authentification des répertoires Cette section présente les recommandations globales d EMC pour optimiser la sécurité et la simplicité de gestion des répertoires. Avant toute création en bloc de répertoires personnels dans AD, EMC vous recommande de modifier les autorisations applicables aux répertoires parents afin de restreindre les accès aux fichiers et répertoires aux seuls comptes d administration et de service appropriés. EMC vous conseille ensuite de tester la configuration résultante pour vous assurer de la conformité du référentiel des répertoires personnels désigné sur le cluster aux règles de sécurité de l entreprise. L utilisation combinée de l outil Utilisateurs et ordinateurs Active Directory et de la variable %username% pour gérer les répertoires personnels permet généralement de simplifier la création des répertoires et la gestion des autorisations. En règle générale, le recours aux scripts pour les procédures de création de répertoires, d attribution de répertoires à des objets utilisateur AD et d automatisation des paramètres d autorisation a tendance à générer des erreurs. Si la gestion par script constitue toutefois l approche privilégiée, EMC vous recommande de tester la configuration résultante afin de garantir le bon déroulement du processus et l obtention des résultats souhaités. 14

15 S il est nécessaire d apporter des modifications ACL à un fichier ou un répertoire, EMC préconise dans la majorité des cas d employer à cet effet des outils Windows natifs, tels que l Explorateur Windows ou l utilitaire de ligne de commande Windows. L utilisation d outils UNIX risque d introduire des paramètres conflictuels nécessitant des efforts de résolution importants. Si les mêmes données de répertoires personnels doivent faire l objet d accès par des clients NFS et des clients SMB, EMC vous recommande de définir sur le mode équilibré la règle d autorisations globales sur le cluster de stockage Isilon. Si les règles de mode équilibré disponibles ne conviennent pas à un environnement mixte donné, il est conseillé de procéder à la configuration manuelle de la règle. Planification et gestion de la capacité De manière générale, la planification de la capacité implique l évolution d un cluster de stockage Isilon en vue de s adapter aux exigences multiples et concurrentes des charges de travail combinées que ces ressources devront prendre en charge. Dans le cas des répertoires personnels, les besoins en matière de charge de travail découlent de plusieurs facteurs : la volumétrie permettant de répondre aux exigences combinées de tous les utilisateurs ciblés en termes de stockage de données ; un débit de disque suffisant pour prendre en charge les exigences transactionnelles combinées de tous les utilisateurs ; et une bande passante réseau suffisante pour assurer un débit adéquat entre les utilisateurs et l emplacement de stockage. La planification de la capacité implique la conception d une configuration du stockage répondant simultanément à tous ces objectifs de performances et l assurance que, à mesure que la population d utilisateurs augmente ou que les profils de charge de travail changent, le cluster de stockage Isilon est reconfiguré de manière à s adapter aux nouvelles exigences en termes de capacité et de performances. Profils d utilisation des répertoires personnels La plupart des profils d utilisation des services de fichiers destinés aux répertoires personnels des utilisateurs présentent les caractéristiques suivantes en matière de charges de travail : Les répertoires de l utilisateur sont mappés automatiquement au moment de l ouverture de session, généralement via un script de connexion ou une connexion de profil utilisateur persistante. La plupart des utilisateurs stockent les fichiers Office traditionnels (documents, feuilles de calcul, présentations, etc.), les images et les médias de lecture en temps réel dans leurs répertoires personnels plutôt que dans des Datasets haut volume à taux élevés de transactions. En général, les connexions par utilisateur sont surtout intermittentes. Cela se traduit par de brefs pics d activité des transferts de données à la demande, suivis de longues périodes pendant lesquelles aucune activité n a lieu entre l utilisateur et le serveur de stockage des répertoires. Les exigences de l entreprise et les attentes des utilisateurs en matière de débit et de performances concernant les répertoires personnels obéissent à d autres règles que celles qui régissent les services de fichiers de l entreprise. Les données des répertoires personnels sont souvent conservées pendant de très longues périodes sans être consultées ou modifiées. 15

16 Les snapshots et sauvegardes des répertoires personnels sont souvent gérés dans le cadre de règles de capture et de rétention différentes de celles des données des services de fichiers de l entreprise. Les performances requises en termes d hébergement de répertoires personnels des utilisateurs sur une plate-forme de stockage consolidée varient en fonction de l entreprise, voire des départements au sein de l entreprise. Cependant, les schémas d utilisation des répertoires personnels correspondent grosso modo à la description précédente, avec des variantes en importance plutôt qu en substance. Dimensionnement recommandé concernant la capacité de stockage La détermination de la volumétrie globale requise est un processus relativement simple. Ce processus a pour objectif de calculer la quantité d espace disque nécessaire pour fournir une volumétrie suffisante à l ensemble des utilisateurs prévus pendant la durée couverte par la période d acquisition initiale, c.-à-d. avant qu une extension de capacité n ajoute de l espace disque dédié au stockage des répertoires personnels. Si le cluster de stockage Isilon subit une extension de capacité une fois par an, alors l acquisition de nœuds initiale doit pourvoir à la volumétrie requise pour une année entière. Les facteurs de dimensionnement suivants sont incontournables pour estimer de manière précise la volumétrie nécessaire au stockage des répertoires personnels sur un cluster de stockage Isilon. Nombre d utilisateurs disposant de répertoires personnels sur le cluster. Allocation de volumétrie attendue par utilisateur. Pour évaluer ce paramètre de manière précise, il peut s avérer nécessaire de prendre en compte des facteurs supplémentaires, tels que la configuration des snapshots (p. ex., la taille de chaque opération SnapshotIQ et la fréquence de modification du Dataset des répertoires personnels), les règles de gestion de l espace, d archivage et de rétention, et les paramètres d application des quotas, selon le cas. Frais supplémentaires de protection SmartPools concernant le répertoire /ifs/home (ou tout répertoire de premier niveau destiné à héberger les répertoires personnels des utilisateurs), p. ex. N+2:1, N+1, etc. Taux de croissance prévu du Dataset des répertoires personnels. Ce facteur peut correspondre au résultat de l ajout d utilisateurs supplémentaires, à l augmentation de l allocation de volumétrie par utilisateur ou encore à la modification des règles SnapshotIQ afin d exiger davantage d espace. Performances requises attendues du Dataset des répertoires personnels, conformément au calcul de performances décrit ci-dessus. Dès que ces informations sont connues, un consultant technique Isilon est en mesure de déterminer la quantité d espace de stockage totale requise pour héberger les données des répertoires personnels, de même que le type et la configuration des nœuds nécessaires pour répondre aux exigences de capacité. Gestion du taux d utilisation de la capacité avec SmartQuotas Pour aider les entreprises à optimiser la valeur à long terme de leurs données métier critiques et réduire la complexité et le coût de gestion du stockage, Isilon propose SmartQuotas, une application logicielle de provisionnement et de gestion des quotas simple, évolutive et flexible qui s intègre avec le système d exploitation EMC Isilon OneFS. 16

17 Avec SmartQuotas, les administrateurs peuvent contrôler et limiter l utilisation du stockage dans leur entreprise et provisionner un seul pool de stockage en cluster Isilon pour mieux répondre à leurs problèmes uniques de stockage. Par définition, un quota désigne le partage ou la part proportionnelle autorisé(e) d un total. Lorsque ce terme est appliqué au concept du stockage, il correspond à la fraction de capacité de stockage allouée à une certaine entité au sein du cluster Isilon. Fondamentalement, un système de quotas combine des fonctions de comptabilité, de mise en œuvre et de reporting. La comptabilité correspond au suivi des données détenues par les entités ressources (utilisateurs, groupes et répertoires, par exemple). La mise en œuvre désigne la mise en place et l application obligatoire de limites de valeurs. Le reporting fait référence au mécanisme grâce auquel la mise en œuvre peut être communiquée aux administrateurs ou aux utilisateurs. Pour appliquer SmartQuotas, il est nécessaire de prendre en compte deux types de quota de capacité : les quotas de comptabilité et les quotas de mise en œuvre. Quotas de comptabilité Les quotas de comptabilité surveillent mais ne limitent pas le taux d utilisation du stockage sur disque ; ils sont utiles à des fins d audit, de planification ou de facturation. L utilisation de quotas de comptabilité donne accès aux fonctions suivantes : suivi de la quantité d espace disque consommée par différents utilisateurs ou groupes afin de facturer chaque entité pour l espace disque qu elle a effectivement utilisé ; examen et analyse de rapports visant à identifier des schémas d utilisation du stockage, pouvant à leur tour servir à planifier les acquisitions d espace de stockage ultérieures ou à évoquer avec les utilisateurs leur niveau d utilisation global à des fins éducatives ou prévisionnelles. Quotas de mise en œuvre Il existe quatre types de quota de mise en œuvre : les quotas stricts, qu il est impossible de dépasser. Les opérations d écriture dépassant le quota fixé sont alors bloquées ; les quotas souples, qu il est possible de dépasser jusqu à ce que le délai de grâce prédéfini arrive à expiration, après quoi ces quotas sont alors traités comme des quotas stricts ; les quotas consultatifs, définis à titre d information uniquement et qu il est possible de dépasser sans limite ; aucun quota. Il s agit des quotas réservés à la comptabilité. Vous trouverez d autres informations sur SmartQuotas, y compris des renseignements détaillés sur la planification et la gestion, dans le livre blanc Storage Quota Management and Provisioning with EMC Isilon SmartQuotas, disponible via le lien figurant à la section Références de ce guide. SnapshotIQ Afin de protéger efficacement un système de fichiers de plusieurs centaines de téraoctets ou pétaoctets, il est nécessaire de recourir à l emploi massif de différentes technologies de disponibilité et de protection des données. Parallèlement à la demande exponentielle de stockage, on observe une demande croissante de méthodes de protection et de gestion de ce stockage. 17

18 D un point de vue historique, la protection des données a toujours été synonyme de sauvegarde sur bande. Cependant, au cours des dix dernières années, l emploi de plusieurs technologies telles que la réplication, la synchronisation et les snapshots de données s est généralisé. Les snapshots permettent d effectuer des restaurations utilisateur rapides, qui ne nécessitent pas l assistance d un administrateur. Hautement évolutifs, les snapshots OneFS sont généralement créés en moins d une seconde. Ils n ont que peu d impact sur les performances, quels que soient le niveau d activité et la taille du système de fichiers ou la taille du répertoire copié. En outre, seuls les blocs modifiés d un fichier sont stockés lors de la mise à jour des snapshots, ce qui garantit un taux d utilisation du stockage très efficace pour les snapshots. Les utilisateurs accèdent aux snapshots disponibles par le biais d un répertoire /.snapshot masqué, situé sous chaque répertoire de système de fichiers. Le logiciel Isilon SnapshotIQ permet par ailleurs de créer un nombre illimité de snapshots sur un cluster. Cette fonction présente un avantage notable par rapport à la majorité des autres implémentations de snapshots, car les intervalles entre snapshots peuvent être nettement plus granulaires et, de ce fait, offrir de meilleurs délais d objectif de point de restauration. SnapshotIQ permet de prendre des copies en lecture seule de tout répertoire ou sous-répertoire à un point dans le temps au sein de OneFS, entraînant les avantages suivants : Les snapshots sont créés au niveau des répertoires au lieu du volume, ce qui se traduit par une amélioration en termes de granularité. OneFS ne présente aucune exigence particulière en matière d espace réservé pour les snapshots. Les snapshots peuvent utiliser autant ou aussi peu d espace disponible sur le système de fichiers qu il est souhaitable. Grâce à l intégration avec le service de cliché instantané des volumes (VSS) de Windows, les utilisateurs de clients Windows exécutant Windows XP ou des versions supérieures ont la possibilité d effectuer des restaurations à partir de l onglet Versions précédentes associé au fichier ou au répertoire. Conséquence : une diminution nette de l assistance demandée au département informatique, étant donné que les utilisateurs sont en mesure de restaurer leurs propres données. Les snapshots sont gérés en toute simplicité grâce à des règles et des calendriers flexibles. Avec le logiciel Isilon SmartPools, les snapshots peuvent résider physiquement sur un niveau de disque différent de celui des données d origine. Il est possible de créer jusqu à snapshots par répertoire, et il n existe aucune limite définie de snapshots au niveau du cluster. Pour plus d informations sur SnapshotIQ, consultez le livre blanc d EMC, High Availability & Data Protection with EMC Isilon Scale-Out NAS, accessible via un lien figurant à la fin de ce guide. Points à prendre en compte en matière de planification de la capacité Faisant suite aux caractéristiques de performances ci-dessus concernant la planification et la gestion des services de répertoires personnels, les recommandations suivantes sont destinées à satisfaire aux exigences de capacité d une plate-forme de services de répertoires personnels performante : 18

19 Il arrive qu une charge de travail applicative hébergée sur un cluster de stockage Isilon nécessite le dimensionnement initial du cluster à des fins de performances avant son dimensionnement pour des raisons capacitaires. Néanmoins, la plupart des contrats de niveau de service minimum qui couvrent les répertoires personnels aboutissent généralement à ce constat : l espace disque demeure la préoccupation numéro un lorsqu il s agit de planifier une solution de services de répertoires personnels adéquate intégrant le stockage Isilon. Même si des règles SmartQuotas sont en vigueur, les entreprises peuvent avoir mis en place des règles d exceptions qui permettent à certains utilisateurs ou types de données de contourner les restrictions d application de quotas standard. Des règles moins restrictives peuvent entraîner une croissance du Dataset des répertoires personnels plus rapide que la planification initiale ne l avait suggéré. Tous les utilisateurs ne nécessitent pas forcément les mêmes paramètres de quota. Plutôt que de définir un seul quota de capacité par utilisateur et une seule règle d exceptions applicable à tous les utilisateurs, adoptez une approche hiérarchisée des quotas, dans le cadre de laquelle certaines catégories d utilisateurs (p. ex. les responsables, les administrateurs informatiques, etc.) se voient allouer des quotas supérieurs aux autres types d utilisateur. Certaines entreprises préconisent une approche en escalier de l allocation de règles de quotas. Exemple : une règle de 10 Go de base pour la majorité des utilisateurs, une règle de 25 Go pour le niveau d utilisateurs suivant, puis une règle de 50 Go, suivie d une règle de 100 Go, et ainsi de suite. Cette approche permet aux administrateurs d augmenter les quotas des utilisateurs en fonction des besoins sans avoir à les supprimer complètement au profit des répertoires personnels les plus volumineux. Si SmartQuotas peut représenter un facteur contraignant pour la croissance des données, l utilisation des snapshots sur les répertoires personnels a l effet contraire : la prise fréquente de snapshots entraîne l augmentation automatique de l espace utilisé, tandis que la longueur de la règle de rétention (c.-à-d. le cycle de vie standard d un snapshot donné) détermine la durée d utilisation de cet espace disque. Il est possible de configurer les règles de restriction de capacité de SmartQuotas de manière à inclure ou exclure l espace supplémentaire lié aux données SnapshotIQ. Outre son espace disque brut, l architecture unique d Isilon implique l application de la planification de capacité dans le cadre de l évaluation du nombre de connexions utilisateur par nœud nécessaire pour atteindre des performances acceptables au niveau des données de répertoires personnels. Ces considérations et recommandations sont évoquées à la section Points à prendre en compte et bonnes pratiques concernant SmartConnect de ce guide. Bonnes pratiques en matière de planification de la capacité Cette section présente les bonnes pratiques et recommandations globales d EMC en matière de planification et de gestion de la volumétrie des répertoires personnels sur un cluster de stockage Isilon. EMC vous recommande de configurer un quota de comptabilité distinct pour le répertoire /ifs/home (ou l emplacement de provisionnement des répertoires personnels sur le cluster) en vue de surveiller l utilisation globale de l espace disque et d émettre des alertes administratives destinées à empêcher un manque d espace inattendu. 19

20 Si le contrat de niveau de service d une entreprise concernant les données de répertoires personnels diffère des SLA de services de fichiers généraux standard, il est possible d ajuster en conséquence le calendrier et les paramètres de rétention des snapshots. De cette façon, vous pouvez réduire la capacité de stockage utilisée par les opérations de snapshot sur le cluster. Recommandations en matière de performances et de dimensionnement Cette section examine les concepts et analyses nécessaires à la détermination de la taille et de la configuration appropriées d un cluster de stockage Isilon destiné à héberger les répertoires personnels des utilisateurs. Elle n a pas pour vocation de faire autorité en ce qui concerne l ensemble des exigences organisationnelles et techniques. Différences entre les protocoles de services de fichiers En termes de planification de frais supplémentaires par utilisateur sur un cluster de stockage Isilon, les recommandations suivantes rendent compte de la majorité des exemples d utilisation. Elles n ont pas pour objet de servir de règle définitive applicable à tous les environnements. C est pourquoi EMC vous recommande de valider les exigences particulières et les caractéristiques de profil d un environnement donné avant de vous engager dans la conception ou la configuration d un cluster de stockage Isilon spécifique. En général, les débits réseau et de disques dépendent plutôt du type de charge de travail et de l exemple d utilisation appliqué sur un cluster de stockage donné que du protocole réseau en vigueur. Les frais supplémentaires par utilisateur associés aux autres composants d un cluster de stockage Isilon (CPU, mémoire et bande passante réseau compris) résultent plus directement du protocole de services de fichiers utilisé. Les frais supplémentaires par utilisateur sont généralement plus importants pour les services de fichiers basés sur des connexions clientes SMB qu avec des charges de travail comparables de la part de clients NFS (NFS v3 en particulier). L encombrement exact par utilisateur varie selon l environnement, la configuration et les charges de travail. Les différences en termes de frais supplémentaires par utilisateur entre les protocoles de connexion NFS et SMB peuvent nécessiter des modifications dans la conception du cluster de stockage Isilon afin de garantir que les ressources de ce dernier permettront d atteindre les performances globales ciblées pour le protocole choisi. Connexions utilisateur totales et actives Les charges de travail de stockage relatives aux services de fichiers des répertoires personnels ont tendance à découler du nombre de connexions utilisateur actives plutôt que du nombre total de connexions. Même une entreprise comptant plus d un millier d utilisateurs dotés de répertoires personnels sur un cluster de stockage Isilon ne nécessite pas forcément un niveau élevé de débit soutenu en direction du cluster si une centaine seulement de ces connexions utilisateur sont actives à un moment donné. Par conséquent, le facteur primordial pour garantir la prise en charge, par un cluster de stockage Isilon, des cibles de performances requises de l entreprise réside dans une bonne compréhension des schémas d accès des utilisateurs : nombre de personnes que le cluster Isilon devra prendra en charge, proportion de ces connexions pouvant être potentiellement active à un moment donné et volume/type de charge de travail qui seront transportés par ces connexions actives. 20