SOLUCIONES DE ALMACENAMIENTO DE DIRECTORIOS PRINCIPALES DE EMC ISILON PARA AMBIENTES NFS Y SMB

Transcripción

1 Informe técnico SOLUCIONES DE ALMACENAMIENTO DE DIRECTORIOS PRINCIPALES DE EMC ISILON PARA AMBIENTES NFS Y SMB Recomendaciones de mejores prácticas para la capacidad y el rendimiento Resumen Este informe técnico proporciona información técnica para planear e implementar una solución de NAS de EMC Isilon para directorios principales, incluidos temas de administración del acceso, protección de datos, capacidad del almacenamiento y rendimiento del cluster. Esta solución ofrece soporte de acceso a la red basado en SMB y NFS para centralizar el aprovisionamiento, la administración y el soporte de directorios principales de usuarios finales. Diciembre de 2013

2 Copyright 2013 EMC Corporation. Todos los derechos reservados. EMC considera que la información de esta publicación es precisa en el momento de su publicación. La información está sujeta a cambios sin previo aviso. La información contenida en esta publicación se proporciona tal como está. EMC Corporation no se hace responsable ni ofrece garantía de ningún tipo con respecto a la información de esta publicación y específicamente renuncia a toda garantía implícita de comerciabilidad o capacidad para un propósito determinado. El uso, la copia y la distribución de cualquier software de EMC descrito en esta publicación requieren una licencia de software correspondiente. Para obtener una lista actualizada de nombres de productos de EMC, consulte las marcas comerciales de EMC Corporation en mexico.emc.com (visite el sitio web de su país correspondiente). EMC2, EMC, el logotipo de EMC, Isilon, OneFS, SmartCache, SmartConnect, SmartPools, SmartQuotas, SnapshotIQ y SyncIQ son marcas registradas o marcas comerciales de EMC Corporation en los Estados Unidos y en otros países. VMware es una marca registrada o una marca comercial de VMware, Inc. en los Estados Unidos y en otras jurisdicciones. Todas las demás marcas comerciales incluidas en este documento pertenecen a sus respectivos propietarios. Número de referencia H

3 Índice Resumen... 5 Introducción... 5 Acerca de esta guía... 6 Público objetivo... 6 Supuestos... 6 Requisitos de los directorios principales... 6 Supuestos relacionados con el público... 7 Requisitos previos... 7 Historial de revisiones... 7 Descripción general de las funciones de Isilon... 8 Uso compartido de archivos en un cluster de almacenamiento Isilon... 8 Acceso y compatibilidad de NFS... 9 Acceso y compatibilidad de SMB... 9 Proveedores de autenticación y administración del acceso... 9 Active Directory Características y funciones de integración Integración con el protocolo ligero de acceso a directorios Consideraciones y reglas para la autenticación de directorios Recomendaciones de mejores prácticas para la autenticación de directorios Planificación y administración de la capacidad Perfiles de uso de los directorios principales Orientación sobre el dimensionamiento para la capacidad del almacenamiento Administración de la utilización de la capacidad con SmartQuotas SnapshotIQ Consideraciones de planificación de la capacidad Mejores prácticas para la planificación de la capacidad Reglas de rendimiento y dimensionamiento Diferencias con los protocolos de los servicios de archivos Total de conexiones de usuario frente a conexiones activas Administración y planificación del rendimiento del pool de discos Pools de discos Políticas de pools de archivos Administración de pools de archivos Tipos de carga Información adicional Consideraciones y reglas para la administración de pools de archivos Recomendaciones de mejores prácticas para la administración de pools de archivos Planificación del rendimiento y la eficacia de la red Descripción general de SmartConnect Uso de SmartConnect para administrar las conexiones de clientes Opciones de configuración Información adicional

4 Consideraciones y reglas de SmartConnect Recomendaciones de mejores prácticas para la administración de SmartConnect Conclusiones Referencias Acerca de EMC Isilon Póngase en contacto con EMC Isilon

5 Resumen Las organizaciones de todos los sectores enfrentan el reto de la escala de crecimiento sin precedentes de los datos empresariales de los usuarios finales. Al mismo tiempo, los departamentos de TI deben garantizar, a medida que crece el espacio físico de almacenamiento de los usuarios finales críticos, el escalamiento horizontal de la plataforma de almacenamiento subyacente de un modo que minimice la interrupción producto de expansiones y migraciones del almacenamiento, junto con proteger la disponibilidad de datos, la capacidad y el rendimiento. Para abordar estos retos, el almacenamiento de escalamiento horizontal de EMC Isilon proporciona una plataforma de almacenamiento altamente escalable que se integra de manera transparente a los ambientes existentes (para empresas que usan Windows y Unix) y permite la consolidación de servicios de archivos empresariales en un único punto de acceso. Además de la facilidad de escalabilidad y administración, un cluster de almacenamiento Isilon también ofrece protección y recuperación transparentes de los datos, lo que simplifica la administración de almacenamiento para los usuarios finales y los administradores. La simplicidad de implementación, administración y escalamiento del almacenamiento Isilon aumenta la eficacia del negocio y reduce la sobrecarga operacional y administrativa tanto para la TI como para los usuarios del negocio. El cluster de almacenamiento Isilon aborda los retos de los recursos compartidos de archivos y los directorios principales a gran escala, ya que consolida los servicios de archivos existentes, elimina la proliferación descontrolada de servidores de archivos, mejora la utilización del almacenamiento y reduce los costos administrativos. La facilidad de implementación, administración y crecimiento de un cluster Isilon produce una gran eficiencia del negocio con pocos o ningún cambio en el tiempo o los esfuerzos de los administradores a medida que crece el cluster de almacenamiento Isilon. El almacenamiento Isilon elimina las migraciones de datos, las complejas tareas de administración de almacenamiento necesarias para moderar los puntos problemáticos, ampliar la capacidad existente y balancear la capacidad entre múltiples volúmenes del sistema de archivos o grupos RAID. La organización en niveles del almacenamiento automatizada y basada en políticas reduce el costo total de propiedad ya que mueve los archivos inactivos al nivel más rentable. La administración de cuotas y el aprovisionamiento delgado se vuelven simples y flexibles. Introducción Este informe técnico describe los principios y los conceptos necesarios para implementar un cluster de almacenamiento Isilon como un repositorio de servidor de archivos/almacenamiento para directorios principales de usuarios finales en un ambiente empresarial. Incluye explicaciones arquitectónicas de las tecnologías y las funciones asociadas al suministro de servicios de archivos basados en NFS y SMB, así como también recomendaciones técnicas y configuraciones de mejores prácticas de EMC para obtener un rendimiento, una administración y un soporte óptimos. 5

6 Gran parte de la información pertinente para la planificación, el aprovisionamiento y el soporte de directorios principales de usuarios finales en un cluster de almacenamiento Isilon está disponible en informes técnicos y guías existentes de EMC Isilon. De este modo, esta guía intentará minimizar la cantidad de contenido duplicado con la inclusión de solo la información pertinente a los servicios de archivos de directorios principales. La sección Referencias al final de esta guía incluye enlaces a esas otras guías e informes técnicos que ofrecen información adicional. Acerca de esta guía Aunque los servicios de directorios principales suelen categorizarse y considerarse como un simple subconjunto de servicios de archivos generales, a menudo, las características de flujo de trabajo y rendimiento difieren en gran medida de los servicios de archivos como una solución generalizada en muchos casos. Esta guía tiene como propósito ayudar a los administradores de almacenamiento y servicios de archivos a planear casos de uso y recomendaciones técnicas específicos del aprovisionamiento y el soporte de directorios principales de usuarios finales en un cluster de almacenamiento Isilon. Público objetivo Esta guía está dirigida a administradores del sistema y el almacenamiento con experiencia y familiarizados con la administración de servicios de archivos y almacenamiento en red. Supuestos Como parte de esta guía, se hacen los siguientes supuestos. Requisitos de los directorios principales Esta guía se basa en el supuesto de que, como un servicio de red, los directorios principales tienen las siguientes características en común que los diferencian de los servicios de archivos empresariales: Los directorios principales se usan comúnmente para el almacenamiento a menor escala de datos de menor importancia de la organización, o incluso de datos personales, y en general suelen tener requisitos de rendimiento menos estrictos que los servicios de archivos empresariales. El acceso de los usuarios finales a los directorios principales es mucho más intermitente, con picos de tráfico breves y periódicos de un determinado usuario, seguidos por largos periodos de inactividad. Los acuerdos de nivel de servicio (SLA) de TI para el soporte de los directorios principales, en especial en el área de solicitudes de restauración de datos, tienden a ser menos rigurosos que aquellos de los servicios de archivos empresariales. La capacidad de almacenamiento por usuario se restringe a una cantidad estándar de espacio de almacenamiento, con estrictos límites de cumplimiento que impiden que los usuarios superen su capacidad asignada. Los directorios principales individuales tienen configuraciones de permisos únicos que restringen el acceso al usuario previsto. Se proporciona acceso adicional para soporte administrativo y servicios de respaldo según sea necesario. 6

7 Supuestos relacionados con el público Esta guía supone que el lector tiene comprensión y conocimiento práctico de lo siguiente: Protocolos de almacenamiento NFS o SMB, según corresponda para los requisitos específicos de la organización Arquitectura de almacenamiento de escalamiento horizontal de Isilon y el sistema operativo EMC Isilon OneFS Software de administración y protección de datos adicional de Isilon, incluidos Isilon SmartConnect TM, SmartPools TM, SnapshotIQ TM y SmartQuotas TM Conceptos y prácticas de administración del sistema de archivos, incluido el aprovisionamiento, los permisos y la optimización del rendimiento. Prácticas de integración para conectar y establecer relaciones de autenticación con Active Directory u otras plataformas basadas en LDAP, según corresponda Aunque esta guía tiene como objetivo proporcionar un punto de referencia consolidado para administradores del sistema y administradores que piensan implementar directorios principales de usuarios finales en un cluster de almacenamiento Isilon, su propósito no es ser una fuente de información acreditada sobre las tecnologías y las funciones que se usan para proporcionar y dar soporte a una plataforma de servicios de archivos. Para obtener más información, consulte la documentación que se menciona en la sección Referencias al final de esta guía. Requisitos previos La activación y el uso de algunas de las funciones recomendadas y descritas en este documento pueden requerir licencias por nodo adicionales de EMC. Para obtener más información, póngase en contacto con un representante de EMC o un reseller autorizado. Historial de revisiones Tabla I: Historial de revisiones Fecha Versión Autor Resumen de cambios Septiembre de Brad Garvey Documento inicial Octubre de James Walkenhorst Se amplió el contenido para incluir orientación y mejores prácticas sobre el rendimiento y el dimensionamiento 7

8 Descripción general de las funciones de Isilon La administración y el soporte correctos de servicios de directorios principales en un ambiente empresarial requieren que la sobrecarga de administración se minimice y se automatice al máximo Para tener éxito a gran escala, los servicios de directorios principales empresariales requieren que se libere la carga de administración de los equipos administrativos de TI de una organización en la mayor medida posible. En la mayoría de los casos, la sobrecarga de administración se puede reducir con una combinación de simplicidad del ambiente y funciones automatizadas de administración. Isilon simplifica la administración de petabytes de datos de archivos con procesos automatizados que balancean las capacidades y los tipos de carga internos y de los clientes: aprovisionamiento rápido y simple de capacidad de almacenamiento y servicios relacionados con el almacenamiento; generación automática de servicios de snapshots y cuotas para proteger los datos del usuario y la utilización de la capacidad del almacenamiento. La arquitectura única de un cluster de almacenamiento Isilon permite lo siguiente: Almacenamiento de datos de directorios principales basado en NAS con un tamaño de múltiples petabytes administrado por un único administrador Alta eficacia del negocio con la organización en niveles del almacenamiento automatizada, recuperación de datos rápida y simple administrada por los usuarios, distribución automática de conexiones de usuarios y clientes en el cluster de almacenamiento y tasas de utilización del almacenamiento inherentes superiores al 80 % Almacenamiento de alta disponibilidad, incluido un alto grado de resistencia contra fallas de componentes del almacenamiento y la red, y la eliminación de migraciones de clientes y datos Esta sección proporciona una descripción general de las funcionalidades del almacenamiento Isilon y su pertinencia a un ambiente de servicios de directorios principales empresariales. Uso compartido de archivos en un cluster de almacenamiento Isilon El directorio /ifs es el directorio raíz de todos los datos del sistema de archivos en un cluster de almacenamiento Isilon, y se comparte automáticamente a través de NFS y SMB. Es posible crear recursos compartidos y carpetas exportadas adicionales dentro del árbol de directorios /ifs. En el directorio /ifs se crean de forma automática dos directorios adicionales cuando se provisiona inicialmente el cluster de almacenamiento Isilon: el directorio /ifs/data para los datos de los niveles de departamentos y organización, y el directorio /ifs/home para los directorios principales de los usuarios finales. Nota: La colocación física de datos de los directorios principales se puede aplicar por usuario, independientemente de la ruta de los directorios principales de los usuarios dentro del árbol del sistema de archivos. Encontrará más información sobre la ubicación física de los datos de archivos de Isilon en la sección Pools de discos SmartPools de esta guía. 8

9 Acceso y compatibilidad de NFS Para los clientes de Network File System (NFS), OneFS es compatible con los protocolos NFS v2, NFS v3 y NFS v4. El punto de montaje predeterminado de NFS del cluster Isilon, el directorio /ifs, permite que los clientes de UNIX o Linux monten cualquier subdirectorio de manera remota, incluidos subdirectorios creados por clientes de Windows. Los clientes de Linux y UNIX también pueden montar subdirectorios protegidos por ACL creados por un administrador del almacenamiento. En el caso de los clientes de NFS v3 y NFS v4, OneFS ofrece compatibilidad con sesiones kerberizadas para la administración de la autenticación y el acceso. Acceso y compatibilidad de SMB Para los clientes y los usuarios de Windows, OneFS es compatible con los protocolos de acceso SMB1 y SMB2. La carpeta compartida predeterminada \ifs otorga a los usuarios de Windows acceso a los recursos del sistema de archivos a través de la red, incluidos los directorios y los archivos creados por clientes de UNIX y Linux. Esta función de compatibilidad de SMB significa que, para un cliente de Windows, un cluster de almacenamiento Isilon se ve y actúa tal como un servidor de archivos de Windows en la red: se puede obtener acceso a él a través de un nombre de servidor estándar de Windows o un nombre de dominio calificado (FQDN), puede integrarse con Active Directory para la autenticación y la administración de los permisos y también puede actuar como un nodo de servidor de archivos del sistema de archivos distribuido (DFS) en la red. Los usuarios de SMB ven los datos en un cluster de almacenamiento Isilon a través de la unidad de red mapeada o la dirección y el nombre de recurso compartido de la convención de asignación de nombres universal (UNC). Encontrará más información sobre la integración y el control de acceso de Active Directory para archivos y directorios en la siguiente sección de esta guía. Proveedores de autenticación y administración del acceso Los servicios de autenticación proporcionan seguridad de datos con la verificación de las identidades de los usuarios antes de otorgar acceso a archivos y directorios. El almacenamiento Isilon es compatible con varios métodos de autenticación de usuarios. De acuerdo con los resultados de estas políticas de autenticación definidas por el administrador, un cluster de almacenamiento Isilon permite o bloquea el acceso a los datos almacenados. Se puede obtener acceso a un cluster de almacenamiento Isilon mediante cualquiera de varios protocolos de capa de aplicación diferentes, incluidos SMB, NFS, HTTP, FTP y SSH, y las políticas de autenticación se pueden planear e implementar en cualquiera de estos protocolos o en todos ellos. La configuración apropiada de la seguridad de los datos y del acceso en el nivel de protocolos debe ser coherente con los requisitos específicos y las políticas generales de seguridad de la organización. Los permisos de acceso a archivos y directorios se aplican constantemente en todos los protocolos, sin importar el modelo de seguridad real que se usa. Cuando se usa SMB, el acceso de un usuario a un archivo se otorga o se niega al igual que en NFS. Los permisos de UNIX (NFS) tradicionales se configuran de manera predeterminada en el sistema de archivos. Mediante el uso del Explorador de Windows o de herramientas administrativas de OneFS, es posible aplicar permisos de lista de control de acceso (ACL) estándares de Windows a directorios y archivos. 9

10 En un escenario de múltiples proveedores de autenticación, OneFS también es compatible con la configuración de ACL basadas en Windows para grupos locales, NIS y LDAP, así como también grupos y usuarios de AD. Sin embargo, después de la configuración de archivos o directorios con una ACL, los bits del modo UNIX anteriores para ese objeto dejan de aplicarse. Isilon es compatible con los siguientes proveedores de autenticación: Servicios de Active Directory (AD) Protocolo LDAP Base de datos basada en archivos Base de datos de seguridad local Sistema de información de red (NIS) Esta guía se centra principalmente en la integración con proveedores de seguridad AD y LDAP. Active Directory Dado que un cluster Isilon puede emular un servidor de archivos basado en Windows de manera transparente, también puede integrarse del mismo modo con Active Directory para proporcionar servicios de archivos de directorios principales como una plataforma empresarial. Además de la funcionalidad nativa de SMB que proporciona Isilon, también se integra con modelos de permisos de archivos y directorios existentes de una organización y con el mapeo automatizado de usuarios de AD con sus directorios principales designados en el cluster de almacenamiento Isilon. Esta sección analiza las funciones de integración de Active Directory y las mejores prácticas de EMC para planear y provisionar servicios de directorios principales basados en AD. Características y funciones de integración Cuando un cluster de almacenamiento Isilon se une a un dominio de AD, se crea una única cuenta de computadora en el dominio. Esta cuenta se usa para establecer y mantener la relación de confianza entre el cluster y el dominio, y permite la autenticación de usuarios del bosque de AD y la autorización del acceso a objetos en el cluster, independientemente del nodo dentro del cluster al que se conecta un usuario o un cliente. A menos que se especifique de otra manera, la unión de un cluster de almacenamiento Isilon a AD activa automáticamente la integración del modo de dominio de AD, en el cual el cluster aprovecha los objetos de usuarios y grupos existentes para crear y aplicar ACL en archivos y directorios. Asignación de nombres de clusters Mientras un cluster de almacenamiento Isilon está unido a un dominio de Active Directory mediante un único nombre, la relación de confianza resultante entre el cluster y AD se amplía automáticamente para incluir todos los nombres por los cuales el cluster está disponible en la red. Por ejemplo, si se usan pools de red de SmartConnect para administrar conexiones de clientes con el fin de obtener un balanceo de carga de clientes y un rendimiento óptimos, cada pool de SmartConnect requerirá un FQDN único en la red. A pesar de los múltiples nombres a los cuales puede responder un cluster de almacenamiento Isilon, solo se requiere una cuenta de máquina (la que corresponde al nombre configurado en la página de configuración de la identidad del cluster) para el cluster dentro de AD. 10

11 Los pools de SmartConnect se explican de manera más detallada en la sección Descripción general de SmartConnect de esta guía. Permisos Los permisos de ACL, en relación con los archivos y los directorios compartidos a través de SMB, se pueden crear y modificar mediante cualquiera de las siguientes herramientas: Permisos de carpetas compartidas Consola MMC de administración de equipos desde un cliente de Windows Interfaz de usuario web de OneFS File System Explorer Interfaz de la línea de comandos (protocolo SSH): utilería isi smb Interfaz de la línea de comandos (Windows): utilería net share Además de la creación y la edición de permisos en el nivel de recursos compartidos, cualquiera de estas herramientas también se puede usar para crear recursos compartidos en un cluster de almacenamiento Isilon. Permisos de archivos y directorios Explorador de Windows Interfaz de la línea de comandos (protocolo SSH): utilería chmod Interfaz de la línea de comandos (Windows): utilería icacls Nota: El uso de la utilería chmod para modificar ACL para archivos y directorios solo está disponible cuando se inicia sesión a través del protocolo SSH directamente en un cluster Isilon. La función de edición de ACL de chmod no está disponible en sistemas Linux y UNIX que montan una carpeta exportada de OneFS de manera remota. Integración con permisos estilo UNIX Cuando un administrador usa un cliente de Windows para cambiar la configuración de ACL de un archivo, no se pierde información debido a que OneFS almacena la ACL original y la reemplaza. Lo mismo sucede cuando un administrador usa un cliente de Windows para cambiar los permisos de un archivo con bits de modo. OneFS mapea los bits de modo a una ACL sintética y, debido a que el modelo de ACL puede capturar el rango completo de permisos de POSIX, no se pierde información de seguridad. En tales casos, OneFS reemplaza la ACL sintética del archivo por una ACL real que es equivalente a los bits de modo. La situación es diferente cuando un comando chmod o chown modifica los permisos de un archivo protegido por una ACL. En esta circunstancia, OneFS debe mapear los cambios de permisos entre dos modelos de seguridad dispares. Para hacerlo, OneFS, en su configuración predeterminada, combina la ACL con un parche derivado del cambio en los bits de modo. En la mayoría de los casos, esto conserva la información de la ACL y minimiza los conflictos entre los permisos vigentes esperados y reales. OneFS crea un ambiente heterogéneo con cuatro tipos primarios de acceso de red a los archivos. Estos tipos de acceso también se aplican a directorios y otros objetos asegurables del sistema: Cliente de UNIX que obtiene acceso a un archivo almacenado en el cluster Isilon a través de NFS 11

12 Cliente de Windows que obtiene acceso a un archivo almacenado en el cluster a través de SMB Cliente de UNIX que se conecta mediante NFS a un archivo que un cliente de Windows almacenó en el cluster a través de SMB Cliente de Windows que se conecta mediante SMB a un archivo que un cliente de UNIX almacenó en el cluster a través de NFS Cuando un usuario de UNIX solicita un archivo protegido con bits de modo de POSIX a través de NFS, OneFS controla el acceso mediante los permisos POSIX del archivo. El proceso es similar cuando un usuario de Windows solicita un archivo con una ACL: los derechos en el token de acceso del usuario se evalúan con la ACL del archivo bajo el modelo de seguridad de Windows. Cuando un usuario de Windows intenta obtener acceso a un archivo de UNIX, se produce un problema porque los permisos configurados con bits de modo de POSIX son incompatibles con el modelo de seguridad de Windows. De manera similar, cuando un usuario de UNIX solicita acceso a un archivo de Windows, el conjunto de permisos con una ACL no funciona con el modelo de seguridad de UNIX. Debido a que los dos modelos son diferentes y a que el modelo de Windows tiene un conjunto de derechos más amplio, no hay un mapeo personalizado entre los dos tipos de permisos. En consecuencia, la seguridad de un archivo podría estar en riesgo o se podría denegar el acceso a un usuario que espera obtener acceso a un archivo. Encontrará más información sobre la ejecución de un cluster de almacenamiento Isilon en el modo multiprotocolo en el informe técnico EMC Isilon Multiprotocol Data Access with a Unified Security Model, cuyo enlace se incluye en la sección Referencias al final de esta guía. Creación de directorios principales en Active Directory Un cluster de almacenamiento Isilon que funciona como un servidor de archivos de Windows en un bosque de AD es compatible con el mismo método de creación de directorios principales y asociación de usuarios finales, tal como cualquier otro servidor de archivos de Windows. Como el directorio /ifs/home ya está presente en el cluster, la creación de un recurso compartido de SMB que presenta el directorio /ifs/home a clientes de SMB como una carpeta compartida se puede lograr con cualquiera de las herramientas mencionadas anteriormente en Permisos de carpetas compartidas. Una vez que se ha compartido esta carpeta, los directorios principales se pueden completar automáticamente como subdirectorios del directorio /ifs/home mediante métodos estándares de AD: scripts de PowerShell, scripts de modo de lote o Usuarios y equipos de Active Directory (ADUC) por medio de la pestaña Perfiles y la variable %username%. Redireccionamiento de directorios principales en Active Directory Las organizaciones con directorios principales de usuarios finales en un cluster de almacenamiento Isilon pueden usar redireccionamiento de objetos de políticas de grupo (GPO) del directorio Mis documentos del usuario final predeterminado desde el cliente local de Windows a su directorio principal basado en Isilon. Este redireccionamiento facilita el almacenamiento centralizado de documentos de usuarios y la portabilidad de los usuarios finales en múltiples dispositivos de Windows. 12

13 Permisos predeterminados y personalizados de los directorios principales Si se usa la variable %username% en ADUC, se crearán automáticamente los directorios correspondientes en el cluster de almacenamiento Isilon en el recurso compartido de directorios principales designado, tal como sucede en cualquier servidor de Windows. Aunque AD configurará automáticamente los permisos de los directorios principales para otorgar acceso de control completo a la cuenta de usuario correspondiente a ese directorio, también propagará los permisos en el nivel de archivo desde el directorio maestro al directorio principal que se acaba de crear. Dominios y confianzas En un ambiente de dominios múltiples, el acceso a archivos y directorios entre el cluster de almacenamiento Isilon y cualquier dominio de AD que sea de confianza para el dominio principal del cluster se puede otorgar explícitamente a usuarios y grupos de esos dominios de confianza. A los usuarios y los grupos de dominios que no son de confianza se les puede otorgar acceso a datos de un cluster de almacenamiento Isilon a través de la página Advanced Authentication Settings de la consola administrativa de OneFS, en la cual los dominios desconocidos o que no son de confianza se mapean a un dominio de confianza. Integración con el protocolo ligero de acceso a directorios Además de las funciones y la configuración de seguridad integrada que permite Active Directory, un cluster de almacenamiento Isilon se puede configurar para autenticar usuarios y grupos en un repositorio del protocolo ligero de acceso a directorios (LDAP) con el fin de otorgar o bloquear el acceso a los datos almacenados en el cluster. El servicio LDAP de un cluster de almacenamiento Isilon es compatible con las siguientes funciones: Usuarios, grupos y netgroups Mapeo de atributos personalizados de LDAP Autenticación BIND simple (con y sin el protocolo SSL) Redundancia y balanceo de carga en todos los servidores con datos de directorios idénticos Contraseñas cifradas Configuración y activación de la integración de LDAP En un cluster Isilon se debe establecer la configuración necesaria de LDAP, incluidos el nombre distinguido base (DN base), el número de puerto y por lo menos un servidor LDAP del cluster, con el fin de activar LDAP. Configuración de LDAP El DN base, al cual también se lo denomina la base de búsqueda, identifica el registro en el directorio desde el cual ocurren las búsquedas que inician los clientes de LDAP. Los DN base pueden incluir un nombre común (cn), la localidad (l), el controlador de dominio (dc), la unidad organizativa (ou) u otros componentes. 13

14 Activación y desactivación de la integración de LDAP Una vez que se establecen las opciones de configuración de LDAP en OneFS, el servicio LDAP se activa automáticamente. Se puede desactivar en cualquier momento, tanto de manera explícita como con la eliminación de todos los servidores y el DN base en la página de ajustes de configuración de LDAP. La eliminación de estas entradas desactivará automáticamente el servicio LDAP. Creación de directorios principales para usuarios de LDAP Tal como sucede con la integración de Active Directory, la creación de directorios principales se puede llevar a cabo manualmente o mediante scripts y aprovisionamiento automáticos, y se puede montar a través de la conexión del protocolo SMB o NFS. Consideraciones y reglas para la autenticación de directorios Las siguientes reglas se incluyen y se recomiendan en esta guía para satisfacer los requisitos comunes de disponibilidad, rendimiento y seguridad: El permiso de recurso compartido predeterminado para un cluster de almacenamiento Isilon otorga el permiso de recurso compartido de lectura al grupo Todos y control completo al grupo Administradores del dominio. A menos que esta configuración predeterminada se modifique, es posible que los usuarios de dominios no administrativos no puedan escribir en sus propios directorios principales. En la mayoría de los casos, se recomienda redireccionar la ubicación predeterminada del directorio Mis documentos de cada usuario a su directorio principal correspondiente en el cluster de almacenamiento Isilon. La práctica de activar perfiles de roaming en el cluster de almacenamiento Isilon se debe adoptar con más cuidado y consideración del impacto general para la organización. Aunque el cluster de almacenamiento en sí puede escalar a los niveles de espacio en disco que se requieran, es probable que los perfiles de roaming aumenten el tiempo total de inicio de sesión de los usuarios finales. Recomendaciones de mejores prácticas para la autenticación de directorios Esta sección contiene recomendaciones generales de EMC para optimizar la seguridad de los directorios y la simplicidad de la administración. Antes de cualquier operación de creación masiva de directorios principales en AD, EMC recomienda modificar los permisos del directorio maestro para restringir el acceso a archivos y directorios solo a las cuentas administrativas y de servicio apropiadas y, a continuación, probar la configuración resultante para asegurar el cumplimiento de normas en el repositorio de directorios principales designado del cluster con y el cumplimiento de las políticas de seguridad de la organización. El uso de ADUC, junto con la variable %username%, para administrar directorios principales generalmente simplifica el proceso de creación de directorios y administración de permisos. Con el uso de scripts para crear nuevos directorios, asignar directorios a objetos de usuario de AD y automatizar la configuración de permisos, generalmente se pueden producir más errores. Si un proceso de administración con scripts es el enfoque recomendado, EMC recomienda probar la configuración resultante para verificar la correcta ejecución del proceso según lo previsto. 14

15 Si es necesario hacer cambios en la ACL de un archivo o directorio, EMC recomienda generalmente usar herramientas nativas de Windows, tales como el Explorador de Windows o la utilería de la línea de comandos basada en Windows, para realizar las modificaciones. El uso de herramientas basadas en UNIX puede introducir configuraciones opuestas que requerirán muchos esfuerzos de solución de problemas. Si clientes de NFS y SMB obtendrán acceso a los mismos datos de directorios principales, EMC recomienda configurar la política de permisos globales del cluster de almacenamiento Isilon en el modo balanceado. Si ninguna de las políticas de modo balanceado disponibles es apta para un ambiente mixto específico, se recomienda la configuración manual de la política. Planificación y administración de la capacidad En general, la planificación de la capacidad implica el escalamiento de un cluster de almacenamiento Isilon para cumplir con las múltiples exigencias opuestas de los tipos de carga combinados que tendrán que admitir esos recursos. En el caso de los directorios principales, múltiples factores impulsan los requisitos de los tipos de carga: capacidad de disco para cumplir con los requisitos combinados del almacenamiento de datos de todos los usuarios objetivo, rendimiento suficiente de los discos para admitir los requisitos transaccionales combinados de todos los usuarios y ancho de banda de red suficiente para proporcionar el rendimiento adecuado entre los usuarios y el almacenamiento. La planificación de la capacidad implica el diseño de una configuración del almacenamiento que cumpla simultáneamente con todos estos objetivos de rendimiento y se asegure de que, a medida que crece la población de usuarios finales o que cambian los perfiles de tipos de carga, el cluster de almacenamiento Isilon se vuelva a configurar y se ajuste a los nuevos requisitos de capacidad y rendimiento. Perfiles de uso de los directorios principales Es probable que la mayoría de los perfiles de utilización de servicios de archivos para directorios principales de usuarios finales incluya las siguientes características de tipos de carga: Los directorios de usuario se mapean de forma automática cuando el usuario inicia sesión, generalmente a través de un script de inicio de sesión o la conexión persistente del perfil de usuario. La mayoría de los usuarios almacena archivos tradicionales de Office (documentos, hojas de cálculo, presentaciones, etc.), imágenes y medios en tiempo real en sus directorios principales, en lugar de conjuntos de datos con gran cantidad de transacciones y de alto volumen. En la mayoría de los escenarios, las conexiones por usuario son muy intermitentes, lo que produce breves picos de transferencias de datos por usuario según demanda, seguidos de prolongadas pausas sin actividad entre el usuario y el servidor de almacenamiento de directorios. Los requisitos empresariales y las expectativas de los usuarios en relación con la eficacia y el rendimiento de los directorios principales están sujetos a estándares diferentes de aquellos de los requisitos de servicios de archivos empresariales. Los datos de los directorios principales suelen conservarse durante periodos muy prolongados sin que se obtenga acceso a ellos ni que se modifiquen. 15

16 Generalmente, los snapshots y los respaldos de los directorios principales no se administran conforme a las mismas políticas de captura y retención utilizadas para los datos de servicios de archivos empresariales. Los requisitos de rendimiento específicos para alojar directorios principales de usuarios finales en una plataforma de almacenamiento consolidada varían según la organización, o incluso según el departamento dentro de una organización, pero los patrones de utilización de directorios de usuarios se enmarcan en términos generales en la descripción anterior, con variaciones en grado más que en esencia. Orientación sobre el dimensionamiento para la capacidad del almacenamiento Determinar el requisito de capacidad de disco total es un proceso relativamente sencillo. El objetivo de este proceso es calcular la cantidad de espacio en disco necesaria para proporcionar suficiente capacidad de disco a todos los usuarios previstos durante el lapso que cubrirá el periodo de adquisición inicial, es decir, el tiempo que pasará antes de que una expansión de capacidad agregue más espacio en disco para proporcionar el almacenamiento de los directorios principales. Si el cluster de almacenamiento Isilon experimenta una expansión de capacidad una vez al año, la adquisición inicial de nodos debe proporcionar capacidad de disco suficiente para cubrir el año completo. Los siguientes factores de dimensionamiento son necesarios para calcular exactamente la cantidad de capacidad de disco requerida para el almacenamiento de directorios principales en un cluster de almacenamiento Isilon. Cantidad de usuarios con directorios principales en el cluster. Asignación prevista de capacidad de disco por usuario. Una evaluación exacta de esta cantidad puede requerir la inclusión de factores adicionales, tales como la configuración de snapshots (por ejemplo, el tamaño de cada operación de SnapshotIQ y la velocidad de cambio al conjunto de datos de los directorios principales), así como también el espacio, las políticas de archivo y retención y la configuración de imposición de cuotas, según corresponda. Sobrecarga de protección de SmartPools para el directorio /ifs/home (o el directorio de nivel superior que contendrá los directorios principales de usuarios finales), por ejemplo, N+2:1, N+1, etc. Tasa de crecimiento prevista del conjunto de datos de los directorios principales. Esto puede ser consecuencia de la adición de más usuarios, el aumento de la asignación de capacidad de disco por usuario o el cambio de las políticas de SnapshotIQ para requerir más espacio. Requisito de rendimiento previsto para el conjunto de datos de los directorios principales, según lo que determine el proceso de cálculo de rendimiento anterior. Una vez que se conoce esta información, un consultor técnico de Isilon puede determinar la cantidad total de espacio de almacenamiento que se requiere para los datos de los directorios principales, así como también la configuración y el tipo de nodo específicos que se necesitan para satisfacer el requisito de capacidad. Administración de la utilización de la capacidad con SmartQuotas Para ayudar a las empresas a maximizar el valor a largo plazo de los datos importantes del negocio y a reducir el costo y la complejidad de la administración de almacenamiento, Isilon ofrece SmartQuotas: una aplicación de software de administración y aprovisionamiento de cuotas simple, flexible y escalable que se integra con el sistema operativo EMC Isilon OneFS. 16

17 SmartQuotas permite a los administradores controlar y limitar el uso del almacenamiento en toda la organización y, además, provisionar un solo pool de almacenamiento en cluster Isilon para cumplir con sus retos de almacenamiento exclusivos de la mejor manera. Por definición, una cuota es la porción admisible o la parte proporcional de un total. En relación con los requisitos de almacenamiento, es la cantidad de capacidad de almacenamiento que se permite a una cierta entidad dentro del cluster Isilon. En esencia, un sistema de cuotas es una combinación de contabilidad, imposición e informes. La contabilidad se refiere al rastreo de datos que pertenecen a entidades de recursos, tales como usuarios, grupos y directorios. La imposición se refiere a la configuración y el establecimiento de límites para ciertos conteos. Los informes se refieren al mecanismo mediante el cual dicha imposición se puede transmitir a los administradores o los usuarios. Para aplicar SmartQuotas, es necesario considerar dos tipos de cuotas de capacidad: cuotas de contabilidad y cuotas de imposición. Cuotas de contabilidad Las cuotas de contabilidad monitorean, pero no limitan, la utilización del almacenamiento en disco y son útiles para fines de auditoría, planificación o facturación. El uso de cuotas de contabilidad permite las siguientes funcionalidades: Rastrear la cantidad de espacio en disco que usan diversos usuarios o grupos para facturar a cada entidad solo el espacio en disco utilizado. Consultar y analizar informes para identificar patrones de uso del almacenamiento, los cuales se pueden usar posteriormente para planear futuras adquisiciones de almacenamiento o estudiar junto con los usuarios finales sus niveles de uso generales con fines educativos o de planificación. Cuotas de imposición Existen cuatro tipos de cuotas de imposición: Cuotas rígidas, las cuales no se pueden exceder. Las operaciones de escritura que superan el límite de la cuota se bloquean. Cuotas flexibles, las cuales se pueden exceder hasta que transcurre un periodo de gracia predefinido, momento en el que se tratan del mismo modo que las cuotas rígidas. Cuotas de asesoría, las cuales solo tienen fines informativos y se pueden exceder sin límites. Ninguno. Estas son solo cuotas de contabilidad. Encontrará más información sobre SmartQuotas, incluida información detallada sobre la planificación y la administración, en el informe técnico Storage Quota Management and Provisioning with EMC Isilon SmartQuotas, cuyo enlace se incluye en la sección Referencias de esta guía. SnapshotIQ Proteger eficazmente un sistema de archivos de un tamaño de cientos de terabytes o petabytes requiere un gran uso de múltiples tecnologías de disponibilidad y protección de datos. A medida que la demanda de almacenamiento continúa creciendo exponencialmente, la demanda de formas de proteger y administrar ese almacenamiento también aumenta. 17

18 Históricamente, la protección de datos siempre fue sinónimo del respaldo a cintas. Sin embargo, durante la última década, varias tecnologías, como la replicación, la sincronización y los snapshots de datos, se han convertido en la tendencia principal. Los snapshots ofrecen restauraciones rápidas y dirigidas por los usuarios sin necesidad de apoyo administrativo. Los snapshots de OneFS son altamente escalables y generalmente tardan menos de un segundo en crearse. Generan una sobrecarga mínima en el rendimiento sin importar el nivel de actividad del sistema de archivos, su tamaño o el tamaño del directorio que se copia. Además, cuando se actualizan los snapshots, solo se almacenan los bloques modificados de un archivo, lo que asegura una utilización muy eficaz del almacenamiento de snapshots. El acceso de los usuarios a los snapshots disponibles se realiza a través de un directorio /.snapshot oculto bajo cada directorio del sistema de archivos. El software Isilon SnapshotIQ también se puede usar para crear snapshots ilimitados en un cluster. Esto proporciona un importante beneficio en comparación con la mayoría de las implementaciones de snapshots porque los intervalos de snapshots pueden ser mucho más granulares y, por lo tanto, ofrecen marcos de tiempo de RPO mejorados. SnapshotIQ puede tomar copias en un punto en el tiempo de solo lectura de cualquier directorio o subdirectorio dentro de OneFS, lo cual proporciona los siguientes beneficios: Los snapshots se crean en el nivel de directorio y no en el nivel de volumen, lo cual ofrece granularidad mejorada. No hay requisito de espacio reservado para los snapshots en OneFS. Los snapshots pueden usar la cantidad que deseen del espacio disponible del sistema de archivos. La integración con el Servicio de shadow copy de volumen (VSS) de Windows permite que los usuarios finales en clientes de Windows que ejecutan Windows XP y versiones superiores realicen restauraciones mediante la pestaña Versiones anteriores del archivo o el directorio. Esto reduce la cantidad de apoyo que deben proporcionar los recursos de TI, ya que permite que los usuarios recuperen sus propios datos. Los snapshots se administran fácilmente mediante políticas y calendarios flexibles. Con el uso del software Isilon SmartPools, los snapshots pueden residir físicamente en un nivel de disco distinto al de los datos originales. Se pueden crear hasta 1,024 snapshots por directorio y no hay un límite estricto de snapshots en el nivel de cluster. Encontrará más información sobre SnapshotIQ en el informe técnico de EMC, High Availability & Data Protection with EMC Isilon Scale-Out NAS, cuyo enlace se incluye al final de esta guía. Consideraciones de planificación de la capacidad De acuerdo con las características de rendimiento anteriores para la planificación y la administración de servicios de directorios principales, las siguientes reglas se incluyen y se recomiendan en esta guía para satisfacer los requisitos de capacidad de una plataforma de servicios de directorios principales adecuada: Aunque un tipo de carga basado en aplicaciones alojado en un cluster de almacenamiento Isilon puede requerir que el cluster se dimensione primero para el rendimiento y, segundo, para la capacidad, los SLA reducidos que generalmente están vigentes en los directorios principales suelen implicar que el espacio en disco es la principal consideración cuando se planea una solución adecuada de servicios de directorios principales que aprovecha el almacenamiento Isilon. 18

19 Incluso con políticas de SmartQuotas vigentes, las organizaciones pueden contar con políticas de excepciones que permiten a ciertos usuarios o tipos de datos ignorar las restricciones estándares de imposición de cuotas. Las políticas que son menos restrictivas pueden dar lugar a un crecimiento del conjunto de datos de los directorios principales más rápido que lo que habría sugerido la planificación inicial. Distintos usuarios pueden justificar distintas configuraciones de cuotas. En lugar de una única cuota de capacidad por usuario y una única política de excepciones para todos los usuarios, considere un enfoque de cuotas en niveles, en el cual se asigna a distintas categorías de usuarios (por ejemplo, gerentes, administradores de TI, etc.) una cuota más alta que la de otros. Algunas organizaciones usan un enfoque escalonado de la asignación de políticas de cuotas, por ejemplo, una política base de 10 GB para la mayoría de los usuarios, a continuación una política de 25 GB para el nivel de usuarios siguiente y después 50 GB, 100 GB, etc. Este enfoque permite que los administradores aumenten las cuotas de los usuarios según sea necesario sin eliminarlas por completo para los directorios principales más grandes. Aunque SmartQuotas puede proporcionar un factor restrictivo en el crecimiento de los datos, el uso de snapshots en los directorios principales tiene el efecto opuesto: snapshots más frecuentes dan lugar a aumentos automáticos de la cantidad de espacio en uso, y la duración de la política de retención (es decir, el ciclo de vida estándar de un único snapshot) determina cuánto tiempo permanecerá en uso ese espacio en disco. Las políticas de restricción de la capacidad de SmartQuotas se pueden configurar para incluir o excluir la sobrecarga asociada a los datos de SnapshotIQ. Además del espacio en disco crudo, la arquitectura única de Isilon significa que la planificación de la capacidad también se debe aplicar cuando se considera la cantidad de conexiones de usuarios por nodo que se requerirán para proporcionar el rendimiento aceptable para los datos de los directorios principales. Estas consideraciones y recomendaciones se enumeran en la sección Consideraciones y mejores prácticas de SmartConnect de esta guía. Mejores prácticas para la planificación de la capacidad Esta sección contiene recomendaciones de mejores prácticas generales de EMC para la planificación y la administración de la capacidad de disco de los directorios principales en un cluster de almacenamiento Isilon. EMC recomienda configurar una cuota de contabilidad por separado para el directorio /ifs/home (o dondequiera que se provisionen directorios principales en el cluster) con el fin de monitorear el uso general del espacio en disco y emitir alertas administrativas según sea necesario para evitar el agotamiento inesperado del espacio. Si el SLA de una organización con respecto a los datos de los directorios principales es diferente que el SLA predeterminado de los servicios de archivos generales, la configuración del calendario y la retención de snapshots se puede ajustar según corresponda para reducir la cantidad de capacidad que consumirán las operaciones de snapshots en el cluster. 19

20 Reglas de rendimiento y dimensionamiento Esta sección analiza los conceptos y los procesos de análisis necesarios para determinar el tamaño y la configuración apropiados de un cluster de almacenamiento Isilon que se usará para alojar directorios principales de usuarios. Su propósito no es ser una fuente acreditada para todos los requisitos técnicos y de la organización. Diferencias con los protocolos de los servicios de archivos En términos de la planificación de la sobrecarga por usuario en un cluster de almacenamiento Isilon, las siguientes reglas representan la mayoría de los casos de uso. No tienen como propósito ser una regla definitiva para todos los ambientes, por lo que EMC recomienda validar las características de perfiles y los requisitos individuales del ambiente específico antes de cumplir con un diseño o una configuración específica de un cluster de almacenamiento Isilon. En general, las tasas de rendimiento de la red y los discos dependen más del tipo de carga y el caso de uso específico presentes en un determinado cluster de almacenamiento que del protocolo de red en uso. La sobrecarga por usuario impuesta en los demás componentes de un cluster de almacenamiento Isilon, incluido el CPU, la memoria y el ancho de banda de la red, es de forma más directa resultado del protocolo de servicios de archivos que está en uso. Los servicios de archivos basados en conexiones de clientes de SMB requieren comúnmente una cantidad de sobrecarga por usuario mayor que los tipos de carga comparables de clientes de NFS, en especial NFS v3. El espacio físico exacto por usuario varía de acuerdo con las características del ambiente, la configuración y el tipo de carga. Las diferencias en la sobrecarga por usuario entre los protocolos de conexión NFS y SMB pueden requerir cambios en el diseño del cluster de almacenamiento Isilon con el fin de garantizar que los recursos del cluster sean suficientes para cumplir con los objetivos generales de rendimiento del protocolo correspondiente. Total de conexiones de usuario frente a conexiones activas Los tipos de carga de almacenamiento para los servicios de archivos de directorios principales suelen responder más a la cantidad de conexiones de usuario activas que a la cantidad total de conexiones. Incluso es posible que una organización con más de mil usuarios con directorios principales en un cluster de almacenamiento Isilon no requiera un alto nivel de rendimiento sostenido para el cluster si solo unas cien de esas conexiones de usuario están en uso activo en un determinado momento. Por lo tanto, el factor más importante para asegurarse de que un cluster de almacenamiento Isilon apoye los objetivos de rendimiento requeridos de una organización es una clara comprensión de los patrones de acceso específicos de los usuarios finales: cuántos usuarios tendrá que admitir un cluster de almacenamiento Isilon, qué porcentaje de esas conexiones se puede esperar que estén activas en un determinado momento y qué volumen y tipo de carga transportarán esas conexiones activas. Una vez que estos factores se hayan cuantificado correctamente, se podrá determinar una configuración adecuada para el cluster de almacenamiento que cumplirá con los requisitos de rendimiento correspondientes para el tipo de carga y el volumen específicos. 20