Technology layer2

Het fysieke ontwerp beschrijft de fysiek technische aspecten van de oplossing. Het geeft weer hoe de logische componenten beschreven in het logisch ontwerp technisch opgezet zijn en/of geplaatst worden op fysieke componenten/bouwstenen/nodes in de infrastructuur.
Het fysieke ontwerp wordt uitvoerig weergegeven in de Visio HLD (vHLD) van AMO. In dit document worden de technische onderwerpen geschetst.

Technologie ontwerp per omgeving

h2.AMO Systeem omgeving
In deze paragraaf worden de technische ontwerpen van de verschillende AMO Systeem omgevingen weergegeven. Hierbij wordt onderscheid gemaakt tussen datacenter locaties en soorten platformen. Op dit moment wordt enkel gebruik gemaakt van vertrouwde zone.

Figuur 3: Overzichtstekening AMO

Netwerk

In onderstaand figuur staat een algemeen Technisch Model van het Architectuur Modellering & Ontwerp (AMO) landschap voor alle oplossingen met poorten en protocollen.

Figuur 4: Algemeen Technisch Model AMO poorten en protocollen
De applicatie Sparx Enterprise Architect die op de client (KA omgeving) draait, heeft verbinding met de modeldatabases (op de database server) via de Pro Cloud Server service, die op de applicatieserver draait.
De volgende verbindingen zijn nodig:

• De client heeft verbinding met de Pro Cloud Server via een https verbinding via de Netscaler via poort 804.
• De PCS Config Client staat op de applicatieserver zelf en praat via local host met de Pro Cloud Server Service via poort 803 (TCP protocol).
• Deze service wordt ook door de Prolaborate service (die ook op de applicatieserver draait) gebruikt om de modeldatabases te benaderen. Daarnaast heeft de Prolaborate service een eigen database op de databaseserver.
• De Prolaborate service luistert naar poort 443 en heeft een https verbinding binnen intranet.
• Applicatie server heeft een HTTPS verbinding naar buiten toe over 443 om updates op te halenKlopt dit?.

Figuur 5: Gedetailleerd Technisch Model AMO poorten en protocollen

Protocollen en poorten

Oplossing maakt hoofdzakelijk gebruik van HTTPS verkeer over 443 en 804. Voor mail wordt gebruik gemaakt van het SMTP protocol. Connectie met het AD verloopt via een LDAP koppeling. Tussen applicatie machine en database wordt gebruik gemaakt van de standaard database protocollen.

Load balancers

Niet van toepassing.

Wide Area Networks

De actuele nodes bevinden zich binnen hetzelfde (productie) netwerk/Vlan. In DC 1.5 is het één VLAN per DC.

Firewalls

Door het zoneringsmodel en de inrichting van de netwerken van RWS wordt er gebruik gemaakt van de firewalls. In verschillende omgevingen (Datacenterconcepten) zijn hiervoor verschillende technologieën gebruikt. De benodigde verbindingen moeten aan de NORA zoneringseisen voldoen.
De volgende verbindingen zijn benodigd:

• Verkeer verloopt via Citrix naar de applicatie server (intern verkeer);
• Verkeer verloopt via Stepping stone SSH naar de applicatie server (intern verkeer);
• Verkeer verloopt via het Intranet naar de webclient via websocket (intern verkeer).
• Verkeer verloopt van applicatie server naar mail server via SMTP (intern verkeer).

Autorisatie en Authenticatie

Autorisatie en authenticatie gebeurt tegen de RWS IAM bouwsteen. Dit gebeurt via ADFS met het SAML protocol (ADFS voor interne gebruikers en andere rijks overheden en OpenAm voor externe gebruikers-derden). Wanneer de RWS IAM bouwsteen verder is ontwikkeld en er een enkel koppelvlak is voor zowel ADFS als OpenAm komt ook eHerkenning beschikbaar binnen Enterprise Architect.
Voor Enterprise Architect is authenticatie middels SAML ingericht.

MonitoringWorden VM gegevens doorgezet naar Splunk? Hoe wordt de VM monitoring gedaan?

In onderstaande overzicht wordt het monitor landschap bij Rijkswaterstaat weer gegeven zoals toegepast bij de afdeling CIV. In het overzicht staan vier actor disciplines met elk een eigen dashboard die vanuit drie verschillende inventarisaties, security – Infra – applicatie, worden gevoed. In dit hoofdstuk wordt het doel van elk type monitoring beschreven.
Figuur 6: Overzicht monitoring AMO applicatie

Security

Binnen het Security Information & Event Management (SIEM) platform (ten behoeve van het Security Operations Centre (SOC)) wordt alle log data vanuit alle domeinen en assets binnen Rijkswaterstaat verwerkt en beschikbaar gesteld voor de security analisten van het SOC. De security analisten zijn dan in staat om de systemen te monitoren op cyberincidenten/-aanvallen en daarbij het bijbehorende proces te beveiligen.
Om de applicatie volgens de BIO normen in te richten worden de applicatie logs volgens de SIEM (Splunk) aansluitwaarden opgeleverd.

Infra

De applicatie wordt op IV Infra gemanagede server bouwstenen geïnstalleerd of als Infra Virtual Appliance (IVA). De managed server bouwstenen wordt door IV Infra tot aan het OS of Database beheerd en gemonitord, voor de IVA wordt een VM ter beschikking gesteld.
Basis monitoring bestaat uit het CPU-, Geheugen-, Schijfruimtegebruik op basis van thresholds naast een check of de server en database in de lucht zijn. Op het moment van schrijven wordt Splunk gebruikt.

IV Tooling Technisch Beheer

Voor applicatie monitoring is CheckMK het standaard product en wordt op dit moment voor Infra-applicatie specifieke zaken, zoals beschikbaarheid, hiervoor gebruikt. CheckMK geeft de mogelijkheid aan de "buitenkant" van de applicatie te kijken en monitort of de applicatie buiten de opgegeven tresholds loopt. Dit is waardevolle informatie voor beheer maar geeft nog niet aan waarom dit gebeurt en of er verbeteringen van de omgeving mogelijk zijn. Om meer proactief en kwaliteit gericht te werken is een applicatie specifieke monitor tool nodig, voor het beheer wordt dit geleverd door de management portaal van de applicatie. Het totale doel van de applicatie monitoring is om de performance, beschikbaarheid, kwaliteit en het gebruik van de omgeving inzichtelijk te maken en proactief te beheren. Vanwege de AVG gevoelige informatie over gebruik moet deze dienst intern worden gehost.

Management rapportage

Management rapportage is standaard onderdeel van het Sparx Enterprise Architect portaal.