Системные требования#

Требования к окружению для компонента продукта

Настройки безопасности окружения и перечень платформенных (дополнительных внешних) продуктов, используемых для установки, настройки и контроля в конечной информационной системе, выбираются при разработке конечной ИС, исходя из характера обрабатываемой в ней информации и иных требований информационной безопасности, предъявляемых к ней.

Системное программное обеспечение#

Для функционирования IDMX необходима установка следующего программного обеспечения сторонних правообладателей.

*

• Да — категория ПО обязательна для функционирования сервиса (это означает, что сервис не может выполнять свои основные функции без установки данной категории ПО).

• Нет — категория ПО необязательна для функционирования сервиса (это означает, что сервис может выполнять свои основные функции без установки данной категории ПО).

**

• Рекомендовано — рекомендованный правообладателем АО «СберТех» продукт.

• Опционально — альтернативный по отношению к рекомендованному правообладателем АО «СберТех» продукт.

Платформенные зависимости#

Для настройки, контроля и функционирования компонента реализована интеграция с программными продуктами, правообладателем которых является АО «СберТех»:

Примечание:

***

• Да — компонент или продукт необходим для функционирования сервиса (это означает, что сервис не может выполнять свои основные функции без установки данного компонента).

• Нет — необязательный для функционирования сервиса компонент или продукт (это означает, что сервис может выполнять свои основные функции без установки данного компонента).

**** — Рекомендуется установка программного продукта, правообладателем которого является АО «СберТех», при этом не исключена возможность (допускается правообладателем) использования аналога других производителей. Аналоги, в отношении которых продукт успешно прошел испытания и подтвердил свою работоспособность, указаны в разделе «Системное программное обеспечение».

Аппаратные требования#

Для компонента продукта требуется следующая минимальная конфигурация аппаратного обеспечения.

Компоненты с префиксом idmx разворачиваются в едином пространстве имен (namespace). Компонент idmx-engine хранит данные в БД.

• Требования для контейнеров компонентов IDMX

  Для поддержания стабильной работоспособности IDM необходимо обеспечить следующую квоту ресурсов:

  	Минимальная конфигурация
  Количество ядер процессора (шт.)	3
  Оперативная память (ГБ)	6
  Дисковое пространство (ГБ)	2

  Обратите внимание, данные квоты ресурсов указаны для компонентов IDMX (idmx-engine, idmx-ui, idmx-connector-server) с учетом sidecar интеграций с компонентом LOGA Platform V Monitor, с продуктом Platform V Synapse Service Mesh (Istio) и системой хранения секретов Secret Management System. В случае использования дополнительных интеграций, выделяемую квоту ресурсов для компонентов и пространства имен следует увеличить согласно требованиям, указанным в документации на используемые интеграции.

  В приведенной выше таблице размеров приведены значения для одного контейнера (узла) IDM. Как правило, количество активных узлов определяется исходя из предполагаемого объема потока операций и требований к отказоустойчивости системы (резервным узлам). В таком случае, для пространства имен IDM потребуется выделить количество ресурсов, достаточное для всех развертываемых узлов.

  Приблизительное количество требуемых узлов IDM можно рассчитать по следующей формуле:

  2^n=5*1,7^n

  , где:

  • n - степень в которую надо возвести 2, чтобы получить итоговое число узлов;

  • 5 - пропускная способность одного узла, в операциях в секунду.

  Например, посчитаем примерную пропускную способность для 2 серверов.

  Для того, чтобы получить 2, необходимо возвести 2 в 1 степень. Подставим значение в формулу:

  2^1 = 5 * 1,7^1

  2=5 * 1,7 = 8,5

  Таким образом, для двух узлов пропускная способность при квоте ресурсов из таблицы выше равна ~8,5 операциям в секунду.

  Приведенные в таблице значения применимы лишь к минимальной конфигурации IDM. В зависимости от требований заказчика к сложности конфигурации и количеству операций в секунду может потребоваться увеличить квоту выделяемых на один контейнер ресурсов. Однако универсального правила определения размеров такой системы не существует. В этом случае требуется индивидуальный анализ и измерения. Однако цифры, приведенные в таблице выше, можно использовать в качестве отправной точки.

• Требования базы данных IDMX

  Для поддержания стабильной работы базы данных, использующейся для хранения данных IDM необходимо обеспечить следующие требования к ресурсам сервера:

  	Минимальная конфигурация
  Количество ядер процессора (шт.)	4
  Оперативная память (ГБ)	8
  Дисковое пространство (ГБ)	200, также смотрите ниже

  Обратите внимание, рост требуемого дискового пространства для БД обусловлен следующими причинами:

  • При линейном росте количества пользователей объем данных по каждому из них занимает больше дискового пространства, чем 1 к 1. Так, например, для одного пользователя кроме учетной карточки создается от одной до нескольких (в зависимости от требований бизнеса) учетных записей. Также для пользователя может создаваться более одной учетной карточки, что влечет за собой дополнительные траты дискового пространства.

  • Вне зависимости от требований бизнеса к количеству учетных карточек и записей у пользователей, удвоение количества пользователей приведет к кратному увеличению количества действий в системе, из чего следует увеличение количества записей аудита, записываемых IDM в эту же системную БД.

  При этом необходимо понимать, что нагрузка на СУБД наиболее чувствительна к размеру и характеру данных, а также к шаблонам использования, а также к типу и конфигурации используемой системы баз данных. Для точной оценки необходимо проводить расчеты под конкретные требования к системе.

  Для примерного расчета размера базы данных необходимо воспользоваться следующей формулой:

  Размер БД = (количество пользователей * (количество ролей * вес одной роли))+вес БД без пользователей

  , где:

  • вес одного пользователя = 14823,720 Байт

  • вес одной роли = 11607,741 Байт

  • размер БД, в которой присутствует только базовая конфигурация, до созданя пользователей = 21939181 Байт

  Данная формула позволяет получить лишь приблизительнй размер требуемой базы данных (но не дисковое пространство, которое потребуется выделить под нее). Она не учитывает операции UPDATE/DELETE, так как размер БД с учетом этих операций сложно предсказать из-за специфики работы внутренних механизмов БД (работа вакуума, MVCC, и так далее).

• Требования БД для раздельного хранения данных аудита

  В случае, если для экземпляра IDMX требуется выделить хренение данных аудита IDMX в отдельную БД, для этой БД потребуются следующие квоты ресурсов:

  	Минимальная конфигурация
  Количество ядер процессора (шт.)	4
  Оперативная память (ГБ)	8

  Дисковое пространство для выделенной БД аудита можно приблизительно рассчитать по следующей формуле:

  V = A * T * V1

  , где:

  • V — размер БД, в байтах;

  • A — интенсивность потока операций, в операциях в день;

  • T — время хранения записей аудита, в днях;

  • V1 — размер одной операции, в байтах.

  Для приблизительного прогнозирования требуемых квот дискового пространства для аудита потребуется провести нагрузочное тестирование конкретного экземпляра IDMX, так как на количество записей аудита и их размер сильно влияет количество управляемх систем, сложность интеграционных взаимодействий и расчетов при интеграции с управляемыми системами, а также количество атрибутов в объектах.

  Например, расчитаем примерный размер БД аудита для следующего стенда:

  Характеристика	Значение
  Пользователей в IDM (после создания)	300
  - атрибутов в пользователе	12
  - extended атрибутов в пользователе	2
  - назначений у пользователя	5
  - родительских организаций у пользователя	1
  Всего управляемых ресурсов	6
  Кол-во УЗ у каждого пользователя (после создания)	3
  Атрибутов в УЗ	9
  DB Page size	8 kB

  На данном стенде были проведены следующие действия, с измерением размера в МБ и количества строк в таблицах ma_audit_event и ma_audit_delta:

  1. Создание 300 пользователей с provisioning-ом.

  2. Блокировка 300 пользователей.

  3. Разблокировка 300 пользователей.

  4. Сброс пароля для 300 пользователей.

  5. Назначение роли с созданием УЗ для 300 пользователей.

  6. Назначение роли с модификацией УЗ для 300 пользователей.

  7. Отзыв роли с модификацией УЗ для 300 пользователей.

  8. Отзыв роли с блокировкой УЗ для 300 пользователей.

  После выполнения всех действий сценария и проведения расчетов, был получен размер одной операции V1 = 14735,36 Байт. Исходя из этого, для хранения записей аудита в течение 3 месяцев при интенсивноти в 100 операций в день, потребуется следующий размер отдельной БД для хранения записей аудита:

  V = 100 операций/день * 90 дней * 14735,36 Байт/операция = 132618240 Байт, что приблизительно равно 127 ГБ.

  Следует учитывать, что это только объем данных записей аудита, без учета требований специфики работы внутренних механизмов БД (работа вакуума, MVCC, и так далее).

Состав дистрибутива#

Пререквизиты#

При настройке среды окружения IDMX все системное ПО следует устанавливать согласно документации на это ПО. IDMX не накладывает каких-либо дополнительных требований к настройке среды окружения.

Механизмы безопасности среды функционирования настраиваются согласно документации на эти продукты, и исходя из требований департамента информационной безопасности.