Dienstbeschrijving SURFcumulus Managed

Transcriptie

1 Dienstbeschrijving SURFcumulus Managed Auteur(s): Michel Wets Versie: 1.2 Datum: September 2017 Moreelsepark EP Utrecht Postbus DA Utrecht ING Bank NL54INGB KvK Utrecht BTW NL B01

2 Inhoudsopgave 1 Inleiding Achtergrond SURFcumulus: van beheer naar regie in de communitycloud ICT-infrastructuurdiensten in eigen beheer of uitbesteden? Communitycloud biedt best of both worlds Van beheer naar regie vereist andere competenties SURFnet helpt als tussenpersoon Inrichting SURFcumulus Managed Regieorganisatie SURFnet Cloud Management Portal Publieke IaaS-aanbieders SURFnet Virtualisatieplatform Netwerkverbindingen Overige diensten SURFcumulus Managed Gebruikersondersteuning Trainingen en workshops Wat je verder moet weten over SURFcumulus Managed Privacy Beveiliging Continuïteit dienstverlening voor de instellingen Bring your own Licencing (BYOL) Roadmap dienstontwikkeling Voorwaarden SURFcumulus opzeggen Patchingbeleid Tarieven SLS en karakteristieken Contactgegevens bij aanvraag, wijziging en storing Deze publicatie is gelicenseerd onder een Creative Commons Naamsvermelding 4.0 Internationaal licentie Meer informatie over deze licentie vindt u op

3 11 SURFcumulus-varianten: Managed en Basic Bijlage 1: Het KUBUS-project Bijlage 2: Dienstverlening KPN Bijlage 3: Dienstverlening Vancis Bijlage 4: SURFnet Virtualisatie Platform Bijlage 5: Afkortingen en terminologie /27

4 1 Inleiding SURFcumulus in het kort Met SURFcumulus kun je als instelling je datacenter veilig en makkelijk naar de cloud brengen. SURFcumulus heeft een breed aanbod van IaaS-diensten, waar je rechtmatig (zonder aanbesteding), tegen de juiste condities en garanties virtuele machines kunt aanschaffen. Hierbij kun je kiezen of je de leveranciers zelf aanstuurt, of dit uitbesteedt aan SURFnet. De SURFcumulus-dienst is grotendeels via een Europese aanbesteding tot stand gekomen, in nauwe samenwerking met een aantal instellingen. Uitgangspunt van SURFnet is dat op de geboden IaaSinfrastructuur in een volgende fase ook Platform-as-a-Service (PaaS) en Software-as-a-Service (SaaS) worden aangeboden. Beschikbaar in twee varianten: Basic en Managed Via SURFcumulus Basic neem je via SURFmarket IaaS-diensten af bij leveranciers en verzorgt SURF het contractmanagement. Je regelt verder zelf het beheer en de aansturing van de leveranciers. Bij SURFcumulus Managed stuurt SURF daarnaast ook de IaaS-leveranciers voor je aan en ondersteunt actief de instellingen, waardoor je je als instelling meer kunt richten op de regievoering. Afnemers van de SURFcumulus Managed bepalen gezamenlijk de roadmap van de dienst. In hoofdstuk 6 vind je de verschillen tussen de twee varianten. Wat vind je in deze dienstbeschrijving? Deze dienstbeschrijving is een functionele beschrijving van de dienst SURFcumulus Managed, en gaat dus niet over SURFcumulus Basic. De dienstbeschrijving is geschreven voor de ICTverantwoordelijke(n) van bij SURFnet aangesloten instellingen. Ze zal tweemaal per jaar worden aangepast op het gebied van dienstonderdelen, roadmap en tarieven. 4/27

5 2 Achtergrond SURFcumulus: van beheer naar regie in de communitycloud 2.1 ICT-infrastructuurdiensten in eigen beheer of uitbesteden? Betere, gestandaardiseerde ICT-dienstverlening begint bij het verbeteren en harmoniseren van de ICT-infrastructuurdiensten. Denk aan hogere beschikbaarheid van de dienstverlening (7 x 24 uur) maar ook aan het voldoen aan hogere eisen op het gebied van beveiliging, betrouwbaarheid, duurzaamheid en flexibiliteit. Deze eisen vragen om forse investeringen. SURF-leden staan voor de vraag of op middellange termijn de levering en continue verbetering van ICT-infrastructuurdiensten nog in eigen beheer moet plaatsvinden. Ze vragen zich met name af of de infrastructuurdiensten die op de markt beschikbaar zijn, al voldoen aan voorwaarden op het vlak van privacy en beveiliging. 2.2 Communitycloud biedt best of both worlds De markt speelt met Cloud computing sterk in op standaardisering en automatisering van de volledige ICT-infrastructuur. Organisaties kunnen met een eigen infrastructuur niet meer dezelfde functionaliteit realiseren tegen dezelfde investeringen. Cloudleveranciers bieden diverse mogelijkheden: van dienstverlening vanuit een private omgeving, waar duidelijk is waar alle data staat en waar de beschikbaarheid, security en dus ook de beheerverantwoordelijkheid volledig intern georganiseerd worden, tot een publieke cloudoplossing waarbij de beheerverantwoordelijkheid volledig bij de leverancier ligt. Daartussen bevindt zich de communitycloud, waar SURF-leden ruimte hebben om de vereiste functionaliteit te specificeren en daarmee ook invloed hebben op de invulling van de security- en privacy-eisen. SURFcumulus Managed is een communityclouddienst. 2.3 Van beheer naar regie vereist andere competenties De inzet van de cloud vraagt andere competenties van een ICT-organisatie dan wanneer deze een eigen infrastructuur inricht en beheert. De ICT-organisatie moet meer een regie- dan een beheerorganisatie worden. Een van de belangrijkste rollen van zo n regieorganisatie is de afstemming tussen de vraag van afnemers en het aanbod vanuit de markt. 2.4 SURFnet helpt als tussenpersoon SURF kan helpen bij deze afstemming. SURF ontwikkelt zich namelijk steeds meer als broker van ICT-diensten. Dit heeft grote voordelen voor de SURF-leden, bijvoorbeeld dat bestel-, leverings- en instandhoudingsprocessen uniform en goed beheersbaar zijn en dat er één aanspreekpunt is voor klantcontact. Daarvoor heeft SURF een regieorganisatie ingericht voor SURFcumulus, met als doel de deelnemende instellingen te ontzorgen. 5/27

6 3 Inrichting SURFcumulus Managed Dit hoofdstuk beschrijft de inrichting van SURFcumulus Managed zoals opgenomen in onderstaand figuur. Figuur 1 - SURFcumulus opbouw 3.1 Regieorganisatie SURFnet De regieorganisatie van SURFcumulus Managed bevat de volgende rollen: Productmanagement De productmanager is verantwoordelijk voor de totale dienstverlening en financiën. Hiervoor heeft hij regelmatig op strategisch niveau contact met instellingen en aanbieders. De productmanager besluit, in samenwerking met instellingen en aanbieders, ook over de dienstontwikkeling en zorgt dat deze blijft aansluiten op de wensen van de instellingen. Service delivery management De service delivery manager zorgt voor afstemming tussen afnemers, SURFnet en leveranciers van de dienst SURFcumulus. Het opstellen en bespreken van reguliere rapportages en informatieverstrekking maken deel uit van zijn takenpakket. Je kunt ook bij hem terecht met vragen over SURFcumulus-diensten die je nog niet afneemt. Operational management De operationeel manager is verantwoordelijk voor de dagelijkse aansturing van het SURFnetbeheerteam, de helpdesk en de IaaS-leveranciers van SURFcumulus. Hij zorgt dat de keten goed op 6/27

7 elkaar afgestemd is (ketenbeheer) en de operationele processen (bijv. incidentmanagement) goed ingeregeld zijn. Contractmanagement De contractmanager beheert de contracten met de publieke aanbieders. Hij stemt aanpassingen op diensten af met publieke aanbieders en zorgt dat de periodieke audits worden uitgevoerd. Hij factureert aan SURFcumulus Basic-klanten en betaalt de facturen aan de publieke aanbieders. Deze rol wordt vervuld door SURFmarket. 3.2 Cloud Management Portal Centrale toegang tot diensten Het Cloud Management Portal (CMP) is de centrale, uniforme toegang tot SURFcumulus Manageddiensten. Via dit portaal kunnen beheerders, onderzoekers en docenten bij deelnemende instellingen alle standaardacties (denk aan configureren van nieuwe servers en het aan/uit zetten van servers) uitvoeren voor virtuele servers. Toegang tot het CMP is alleen mogelijk na SURFconext-authenticatie. Instellingen kunnen zelf gebruikers van het CMP aanmaken. Near real-time inzicht in gebruik en Rapportages Via het CMP zullen gedetailleerde rapportages beschikbaar komen met informatie over het gebruik en kosten van alle gebruikte resources. Instellingen krijgen hierdoor (near real-time) inzicht in het gebruik en kunnen later uitgebreide prognoses, trendanalyses en budget uitputtingsoverzichten genereren. Ook kan het CMP bij signalering van overschrijding van ingesteld maximaal gebruik en sms versturen en eventueel automatisch VM s (virtual machines) uitzetten. Deze functionaliteiten komen in de loop van 2017 beschikbaar in het CMP. Facturen van de publieke aanbieders zullen leidend zijn bij het facturatieproces. Daarnaast biedt SURFcumulus de volgende rapportages: Historisch beschikbaarheidspercentage per IaaS-aanbieder: op basis van periodieke metingen, eventueel gecorrigeerd met aangemelde storingen, wordt maandelijks het beschikbaarheidscijfer berekend; Overzicht van lopende en afgehandelde incidenten: de instelling krijgt inzage in de gedetecteerde of aangemelde incidenten; Real-time overzicht van de status van SURFcumulus voor de eigen instelling: het aantal aangemaakte en operationele VM s; Rapportages over back-ups; Logbestanden of overzichten, waarmee de eerstelijnshelpdesk van de instelling zelf beperkt problemen kan oplossen. Geavanceerde opties via portal publieke cloudaanbieder Het CMP zal zelf nooit alle beschikbare diensten en opties van een publieke aanbieder kunnen aansturen, dat is ook niet het doel van het CMP. Zo zullen voor Microsoft Azure enkel de Europese datacenters zichtbaar zijn in het CMP. Centrale ICT-beheerders van instellingen, die geavanceerde opties willen gebruiken, kunnen daarom direct resources/services aanmaken en configureren via het portal van de publieke cloudaanbieder. Hier aangemaakte servers zullen vervolgens binnen een uur in 7/27

8 het CMP zichtbaar zijn. De beheerder kan deze dan eventueel naar de juiste afdeling of kostenplaats verplaatsen. Instellingen moeten wel rekening mee houden dat dit kan leiden tot onvoorziene kosten (wanneer bijvoorbeeld dure configuraties worden gekozen). Dit kan echter ook gebeuren wanneer altijd wordt gewerkt via het portal van de cloudaanbieder. Figuur 2 - Architectuur cloudmanagement Migration Support Het CMP kan ook omgaan met migratietools zoals Platespin om VMs van instellingen te verplaatsen naar de cloudaanbieders. 3.3 Publieke IaaS-aanbieders Europese aanbesteding SURFnet heeft voor de aanbesteding van de publieke IaaS-dienstverlening samengewerkt met andere Europese NREN s (National Research and Education Networks) en vervult hierin een leidende rol. Via de Europese samenwerkingsorganisatie van NREN's GÉANT is in 2016 een Europese aanbesteding voor een raamwerkovereenkomst gepubliceerd voor levering van IaaS-diensten aan Europese NREN s en hun aangesloten instellingen. SURFnet maakt hiervan gebruik voor de SURFcumulusdienstverlening. Deze Europese schaalgrootte levert belangrijke voordelen die instellingen (of SURF) individueel niet hadden kunnen bereiken. Door deze wijze van aanbesteden kunnen instellingen de dienst SURFcumulus afnemen zonder zelf deelgenomen te hebben aan de aanbesteding Rechtmatigheid De aanbiedingen van de publieke aanbieders zijn tot stand gekomen via een openbare Europese Aanbesteding zoals door GÉANT gepubliceerd op 20 april GÉANT is de coöperatieve vereniging waar SURFnet onderdeel van is. Hierdoor kunnen instellingen deze diensten gebruiken zonder deze zelf aan te besteden. 8/27

9 3.3.3 Wanneer komen publieke IaaS-aanbieders beschikbaar? Met de volgende 7 aanbieders heeft GÉANT raamoverkomsten afgesloten die in Nederland van toepassing zijn. Aanbieder Contracten klaar Beschikbaar voor instellingen Vancis Afgerond Beschikbaar KPN Afgerond Beschikbaar Microsoft Azure* Afgerond Oktober 2017 Amazon Web Services Afgerond November 2017 Dimension data Afgerond November 2017 Interoute Q Q Cloud Sigma N.t.b. N.t.b. SURFnet Virtualisatieplatform** N.v.t. Beschikbaar * Voor Microsoft Azure kunnen instellingen tot eind 2017 gebruikmaken van het SURFmarket aanbod. ** Het SURFnet Virtualisatieplatform is door SURFnet ontwikkeld als onderdeel van de KUBUS-eisen. Voor meer informatie over het project KUBUS, zie bijlag 1 Voordat instellingen gebruik kunnen maken van de IaaS-diensten van bovenstaande aanbieders, zorgt SURF ervoor dat de benodigde contracten worden getekend door alle betrokken partijen. Bij het aansluiten van cloudaanbieders wordt gestreefd naar: Directe aansluiting op het SURFnet-netwerk (hogere security en lagere latency dan via publieke internet) SAML2-controle zodat instellingen via SURFconext gebruik kunnen maken van het CMP en de SURFcumulus-diensten. Inloggen gebeurt dan via het instellingsaccount van de gebruiker Positionering SURFcumulus-leveranciers In SURFcumulus hebben we publieke cloud aanbieders gepositioneerd voor drie typen gebruik: 1. Lift & shift KPN en Vancis vallen in deze categorie. Dit zijn aanbieders die resources aanbieden op basis van VMWare en HyperV. Deze virtualisatielaag maakt het makkelijk om resources te verhuizen van eigen datacenters naar deze aanbieders (lift & shift). Ze bieden gelijksoortige beschikbaarheid en performance als eigen datacenters. KPN en Vancis maken beide gebruik van Nederlandse datacenters en kunnen beide data met dataclassificatie Hoog verwerken. Doordat diensten en ook de kosten ongeveer gelijk zijn, ontstaat er een gezonde concurrentie. 2. Hyperscale cloud providers Hyperscale cloud providers zijn de grote marktleiders met nagenoeg oneindige beschikbare capaciteit. Dit is het domein van Amazon Web Services en Microsoft Azure. Deze aanbieders bieden een wezenlijk andere dienstverlening dan de aanbieders in de eerste categorie. Om optimaal gebruik te maken van deze diensten zullen instellingen veelal de architectuur van de applicaties en diensten 9/27

10 moeten aanpassen doordat beschikbaarheidsgaranties enkel mogelijk zijn wanneer er meerdere instanties van deze applicatie leven in verschillende zones of datacenters. Resources worden veelal per uur afgerekend waardoor ze uitermate geschikt zijn voor bijvoorbeeld het hosten van test en ontwikkelomgevingen welke (middels scripts) automatisch uitgezet worden aan het eind van de dag. Ook deze aanbieders houden elkaar in concurrentie al heeft het gebruik binnen SURFcumulus hierin weinig invloed op. 3. Enterprise application support Onder Enterprise Application support aanbieders vallen de partijen die zwaar inzetten op het beheren van belangrijke applicaties. In deze categorie vallen straks Dimension Data en Interoute. Zij zijn gespecialiseerd in het hosten en ondersteunen van complexe, bedrijf kritische applicaties waarvoor een hoge beschikbaarheid vastgelegd moet kunnen worden met boeteclausules. Denk aan SAP of Oracle waarop belangrijke processen draaien. Houd rekening met hogere kosten dan bij aanbieders in de overige categorieën Multicloudstrategie SURFcumulus Managed biedt instellingen de mogelijkheid om alle aanbieders op een eenduidige manier te beheren via het Cloud Management Platform (CMP). Het aanmaken en beheren van resources is bij alle aanbieders nagenoeg gelijk. Instellingen kunnen zo een multicloudstrategie ontwikkelen waarbij ze de juiste aanbieder kiezen, op basis van de behoefte aan of gebruik van de applicatie. Hierbij kan gekeken worden naar de volgende parameters: Migratietermijn; Beschikbaarheidsgaranties; Wens of noodzaak om boeteclausules bij niet nakomen beschikbaarheid; Wensen ten aanzien van technisch en/of functioneel beheer; Eisen aan dataclassificatie; Gebruik datacenters binnen/buiten Nederland; Customer intimacy; Kosten. SURFnet zorgt voor transparant inzicht in de mogelijkheden die de cloudproviders kunnen bieden Informatiepakketten over publieke aanbieders SURFnet heeft over elke aanbieder een informatiepakket opgesteld, dat betrokken medewerkers in het beslissingstraject de juiste informatie geeft. Het bevat: De GÉANT-aanbestedingsdocumenten; De door de leverancier ingediende documenten; De gunningsbrief en scores; De Framework Agreement (raamwerkovereenkomst) met daarin de product dienstcatalogus en de kosten; De Call of Agreement (nadere overeenkomst) welke SURF namens de instelling zal tekenen; Het compliancy statement met transparantie over borging Juridisch Normenkader Cloud Services Hoger Onderwijs; De uitkomsten van de uitgevoerde dataclassificatie analyse. Deze informatiepakketten zijn via SURFdashboard te downloaden. 10/27

11 3.3.7 Aanvullende diensten Publieke aanbieders kunnen naast IaaS ook aanvullende diensten aanbieden, zolang deze binnen de scope van de GÉANT-overeenkomsten vallen. Hierbij valt te denken aan het beheren van operating systemen, applicaties en bijvoorbeeld firewalls en en PaaS (Platform-as-a-Service). Deze aanvullende dienstverlening mag maximaal 50% van de contractwaarde over de looptijd van de overeenkomst bedragen. Omdat het gaat over de hele looptijd, kunnen instellingen beginnen met een verhoudingsgewijs groot deel van aanvullende diensten en dit gedurende de looptijd aanpassen. Instellingen en aanbieders bewaken deze grens gezamenlijk Aanpassing dienstaanbod Clouddiensten ontwikkelen zich continu en instellingen willen gebruik kunnen maken van nieuwe mogelijkheden. Publieke aanbieders kunnen diensten toe voegen of (na vroegtijdige aankondiging) beëindigen. GÉANT beoordeelt dit soort verzoeken, op basis van de scopebepalingen in de overeenkomsten. Nieuwe diensten komen daarna op nationaal niveau beschikbaar. Alleen diensten opgenomen in de overeenkomsten kunnen beschikbaar worden gesteld aan de instellingen. 3.4 SURFnet Virtualisatieplatform Het SURFnet Virtualisatie Platform (SVP) is SURFnet's eigen VMware-omgeving, die bestaat uit high availability blade chassis. Het SVP staat beschreven in Bijlage Netwerkverbindingen SURFcumulus kan zowel via SURFinternet als via SURFlichtpaden gekoppeld worden met het instellingsnetwerk. SURFnet adviseert SURFlichtpaden te gebruiken, omdat op een lichtpadverbinding een gegarandeerde bandbreedte beschikbaar is. Veel instellingen beschikken over een Multi Service Port (MSP). Via een MSP kunnen lichtpaden worden opgezet. Wanneer er nog capaciteit beschikbaar is op de MSP zijn hieraan geen kosten verbonden. Meer informatie over SURFlichtpaden vind je op Koppelingsmethoden zijn afhankelijk van de gekozen achterliggende netwerkomgeving Netwerktoegang CMP Het CMP is altijd via internet toegankelijk. Inloggen is alleen mogelijk via SURFconext. SURFnet streeft ernaar om alle SURFcumulus-onderdelen via SURFconext beschikbaar te maken. Gebruikers kunnen dan bij alle diensten inloggen met hun instellingsaccount. Het CMP en het SURFnet Virtualisatie platform zijn nu al via SURFconext beschikbaar. In de GÉANT-aanbesteding is opgenomen dat alle diensten het SURFconext-authenticatieprotocol SAML2 ondersteunen dan wel dat de aanbieder zich inspant om dit in de nabije toekomst te realiseren. In 2017 zal SURFnet optionele beveiliging met via SURFconext sterke authenticatie voor toegang tot het CMP aanbieden Netwerkverbindingen naar publieke aanbieders Kosten voor netwerkverbindingen met publieke cloud aanbieders verschillen per gewenste bandbreedte en per cloudserviceprovider. De koppelingsmethoden naar de publieke aanbieders zijn beschreven in de Bijlage van die aanbieder Netwerkverbindingen naar SURFnet Virtualisatieplatform De koppelingsmethoden naar het SURFnet Virtualisatie Platform staan beschreven in Bijlage 4. 11/27

12 4 Overige diensten SURFcumulus Managed 4.1 Gebruikersondersteuning De instelling verleent eerstelijnssupport aan de gebruikers van SURFcumulus-diensten. Op verzoek biedt de SURFnet periodiek een training aan voor medewerkers van de eerstelijnssupport (helpdesk/servicedesk). Tweede- en derdelijns support wordt geboden door de SURFnet helpdesk, de leveranciers (en beheerders van) de dienstcomponenten en is bereikbaar via de reguliere kanalen van de SURFnethelpdesk. 4.2 Trainingen en workshops Van beheer naar regie is een lange weg en de transitie vergt veel van een organisatie. Om dit proces te ondersteunen, biedt SURFnet een groot aantal trainingen en workshops gericht op zowel het management als beheerders. Hierbij wordt gebruikgemaakt van SURFnet's eigen expertise, die van gerenommeerde marktpartijen en die van de SURFcumulus-leveranciers. 12/27

13 5 Wat je verder moet weten over SURFcumulus Managed 5.1 Privacy Om vertrouwelijkheid, privacy, eigendom en beschikbaarheid ten aanzien van in SURFcumulus ondergebrachte servers te waarborgen, geeft SURF zich transparantie over de mate waarin de verschillende onderdelen voldoen aan het Juridisch Normenkader Cloud Services Hoger Onderwijs. Voor publieke IaaS-aanbieders binnen SURFcumulus is dit gedaan via compliancy statements die transparant aangeven hoe de bepalingen van de SURF Model Bewerkersovereenkomst Clouddiensten 1.0 uit januari 2016 worden geborgd in wetgeving en overeenkomsten. In deze Model Bewerkersovereenkomst staan de uitgangspunten gedefinieerd ten aanzien van privacy en security welke SURFnet samen met de instellingen heeft opgesteld. SURFnet voert in 2017 een auditprogramma om voor de regieorganisatie vast te stellen dat: SURFnet aan het bepaalde met betrekking tot de bescherming van Gegevens (daar mede onder verstaan Persoonsgegevens) in de Overeenkomst voldoet. SURFnet aan het bepaalde in de Overeenkomst voldoet, ten aanzien van vertrouwelijkheid, integriteit, continuïteit, effectiviteit en efficiëntie van de door SURFnet ter beschikking gestelde dienst SURFcumulus. 5.2 Beveiliging SURFnet besteedt veel aandacht aan privacy- en securityaspecten van de geboden diensten. Het gaat dan om de volgende onderwerpen: 1. Algemeen: algemene maatregelen over het informatiebeveiligingsbeleid van SURFnet, de organisatie van informatiebeveiliging bij SURF, uitgangspunten en verantwoordelijkheden. 2. Bedrijfsmiddelen: omgang met de ICT-middelen en -faciliteiten die beschikbaar worden gesteld aan medewerkers. 3. Informatiebeveiligingsincidenten: waarnemen en melden van incidenten en zwakheden in de beveiliging 4. Cryptografie: de versleuteling van informatie en informatiestromen. 5. Toegangsbeveiliging: de logische beveiliging van Informatiesystemen én de fysieke beveiliging van kantoren, operationele ruimtes en technische ruimtes. 6. Beheer en exploitatie: ingebruikname en beheer van informatiesystemen. 7. Continuïteit: borgen van de continuïteit van interne en externe dienstverlening, en voorkomen van uitval van kritieke onderdelen en processen. 8. Dienstverband: aansluiting van screening, autorisaties en verantwoordelijkheden bij aankomst en vertrek van medewerkers. 9. Leveranciers: contracten met leveranciers om afspraken te maken over de verantwoordelijkheden en taken ten opzichte van informatiebeveiliging. 10. Medewerkers: rechten en plichten voor medewerkers. 11. Ontwikkeling systemen en software: het toepassen van ontwikkel-, test- en productieomgevingen om het niveau van informatiebeveiliging te verhogen. Auditprogramma SURFcumulus wordt zowel vanuit de techniek als organisatorisch periodiek extern getoetst om bij beveiligingsincidenten de impact op de dienstverlening zo laag mogelijk te houden. 13/27

14 5.3 Continuïteit dienstverlening voor de instellingen Instellingen hechten terecht veel waarde aan hun data. Goede afspraken over processen en ondersteuning bij het wegvallen een leverancier zijn dan ook van groot belang. De publieke aanbieders binnen SURFcumulus zijn getoetst op financiële stabiliteit, en daarnaast wordt per aanbieder aangegeven hoe hij instellingen kan faciliteren bij het migreren naar een andere aanbieder. Doordat resources binnen SURFcumulus aanbiederonafhankelijk kunnen worden aangemaakt en beheerd, heeft een overstap naar een andere publieke aanbieder geen consequenties voor de manier waarop de resources beheerd worden. 5.4 Bring your own Licencing (BYOL) Het gebruik van eigen licenties in een cloudomgeving is afhankelijk van de mogelijkheden die de cloudaanbieder en de leverancier van de softwarelicentie bieden. Instellingen zijn echter te allen tijde verantwoordelijk voor alle juiste licensering op alle servers, waar deze ook fysiek of virtueel draaien. In de GÉANT-aanbesteding is gevraagd in hoeverre aanbieders BYOL ondersteunen. SURFmarket heeft een overzicht opgesteld waarin de BYOL-mogelijkheden van de meest gangbare zijn weergegeven en zal BYOL ook bij nieuwe onderhandelingen meenemen. Voor het SURFnet Virtualisatieplatform geldt dat SURFnet hier in de Windows Server-templates het SURFmarket licentienummer heeft ingevoerd. 14/27

15 6 Roadmap dienstontwikkeling Nieuwe functies tweede helft 2017 Functies die naar verwachting in deze periode beschikbaar komen: Q3: CMP: opties voor detaildeployment door de instellingen zelf te beheren Q3: CMP: automatisch herstarten van VM's als het CMP een verstoring ontdekt (always-on VM's) Q3: SURFconext Sterke Authenticatie (multifactorauthenticatie) CMP: instellingen kunnen zelf templates importeren en toepassen Containering / Docker of Rocket Firewall-as-a-Service Aanpassingen in de dienstontwikkeling SURFnet kan ontwikkelingen en planning aanpassen wanneer een of meer instellingen hier een duidelijke wens voor hebben. SURFnet werkt bij het bepalen van de eisen en prioritering van aanpassingen in de roadmap actief samen met de instellingen. Afhankelijk van complexiteit, omvang en bredere behoefte aan aanpassing van de roadmap wordt bekeken of (een deel van) de kosten worden doorbelast. 15/27

16 7 Voorwaarden Abonneren op SURFcumulus Wil je instelling van SURFcumulus gebruikmaken, neem dan via telefoon, of SURFdashboard contact op met de service delivery manager van SURFconext (Frank Pinxt, via of ). Via een schriftelijke inventarisatie en een gesprek met een of meer specialisten van SURFnet worden de specifieke wensen en omgeving in kaart gebracht. Op basis van deze gegevens wordt bepaald hoe en wanneer SURFcumulus aan de instelling geleverd kan worden. Instellingen die SURFcumulus Managed willen afnemen, volgen de volgende stappen: 1. Ondertekening van de SURFcumulus Bijlage bij de SURFnet-gebruiksovereenkomst door de instelling; 2. Ondertekening van de Power of Attorney (PoA) volmacht, waarmee SURFnet de overeenkomst met een of meerdere publieke aanbieders kan ondertekenen namens de instelling. Wijzigingen aanbrengen in de afgenomen diensten Standaardwijzigingen kun je binnen SURFcumulus eenvoudig direct zelf uitvoeren. Grote wijzigingen zoals in gebruik nemen van additionele publieke IaaS-leveranciers en/of lichtpaden worden in overleg projectmatig uitgevoerd. Bij grote wijzigingen op initiatief van de instelling kunnen, na akkoord van de instelling, kosten worden doorberekend. 7.1 SURFcumulus opzeggen De instelling kan (onderdelen van) SURFcumulus opzeggen. Hierbij gelden de volgende voorwaarden: De minimale contractduur voor de SURFcumulus Managed dienst is drie jaar; Voor gebruikte publieke IaaS-diensten geldt geen beperking qua groei en krimp. Additionele groei is mogelijk na aanvraag voor zover de direct beschikbare resources bij de aanbieder dit toestaan. Voor het SURFnet Virtualisatieplatform geldt dat een autonome groei en krimp van 10% per kwartaal mogelijk is. Grotere fluctuaties kunnen worden aangevraagd bij de SURFcumulus service delivery manager. 7.2 Patchingbeleid Instellingen worden geacht de virtuele systemen te (laten) beheren en te (laten) voorzien van relevante security patches, zoals van een goede huisvader valt te verwachten. Hiermee wordt in ieder geval bedoeld dat de instelling een beleid heeft opgesteld en naleeft met betrekking tot patching en beheer, systemen onder actief beheer vallen, en op reguliere basis worden geïnspecteerd op mogelijke tekortkomingen en bij voorkomen hiervan passende maatregelen worden getroffen, dan wel dat het hiervoor afspraken heeft gemaakt met een derde partij om dit uit te voeren. Tevens verwacht SURFnet dat systemen waarvoor geen security updates meer beschikbaar worden gesteld, zo snel mogelijk buiten dienst worden gesteld en verwijderd, tenzij hier zwaarwegende redenen voor bestaan. 16/27

17 8 Tarieven Inleiding Voor SURFcumulus is een abonnementsstructuur van toepassing. De kosten voor gebruik van resources (zoals processoren, geheugen en storage) worden op basis van kostprijs plus een 5% toeslag op nacalculatie doorbelast. De tarieven welke gelden van 1 juli t/m 31 december 2017 vind je hieronder. Actuele tarieven zijn te vinden in SURFdashboard. Aanpassingen in tarieven De tarieven voor de abonnementen, het SURFnet Virtualisatieplatform en de toeslag kunnen tweemaal per jaar worden bijgesteld. Het is de verwachting dat deze tarieven enkel naar beneden worden bijgesteld. De tarieven voor gebruik van de diensten van de publieke aanbieders kunnen sowieso alleen naar beneden worden bijgesteld. Deelnemende instellingen ontvangen de tariefaanpassingen via de standaard tarievenbrief (uiterlijk 1 september) en eventueel via een extra tarievenbrief in maart. Businesscasetool SURFnet heeft een businesscasetool laten ontwikkelen waarmee instellingen inzicht krijgen in de kostenverschillen tussen een on-premise omgeving en clouddiensten via SURFcumulus. In deze tool zijn marktconforme kosten opgenomen waarbij gebruik is gemaakt van de HO-benchmark, instellingen, SURFnet en externe benchmark-organisaties (Gartner). Abonnementstarieven De abonnementstarieven zijn gebaseerd op het aantal beheerde VM s in het CMP. Kosten jaarabonnement Aantal VM s Jaar 1 Jaar 2 Jaar 3 0 < < < < < < > Tarieven gereserveerde SURFnet VMware-capaciteit Met instellingen worden afspraken gemaakt over de gewenste capaciteit. Deze zal als reservering opgenomen worden in het CMP en is vrij inzetbaar door de instellingen. Omschrijving Kosten per maand Per GB memory 13,23 17/27

18 Per 100 GB Type C, Netapp storage 40,90 Per 1 TB Type E, Open-E storage 150,66 Per 1 TB back-up 85,28 Per 1 TB back-up met replicatie 170,56 Tarieven template VM-configuraties In overleg met de instellingen worden templates aangemaakt voor de volgende configuraties. De tarieven van deze configuraties zijn gebaseerd op de tarieven in de tabel hierboven en dus niet additioneel. NETAPP, type C Open-E, type E Windows VM s CPU RAM (GB) Storage (GB) Kosten per maand Kosten per maand Xsmall ,19 38,52 Small ,66 64,99 Medium ,59 117,93 Large ,47 223,80 Xlarge ,22 435,55 LINUX VM s CPU RAM Storage (GB) Kosten per maand Kosten per maand Xsmall ,65 29,48 Small ,12 55,95 Medium ,05 108,89 Large ,93 214,76 Xlarge ,68 426,51 Tarieven CMP 7,50 euro per VM per maand. Kosten publieke IaaS-aanbieders De kosten voor het gebruik bij de publieke IaaS aanbieders worden op basis van daadwerkelijk gebruik doorbelast. Toeslag Voor alle gebruikte resources geldt een toeslag van 5%, als dekking van administratieve kosten zoals inkoop, juridische ondersteuning, audits, contractmanagement, facturatie, enzovoort. Btw Alle tarieven zijn exclusief btw. Facturatie Facturatie vindt maandelijks achteraf plaats (met uitzondering van de abonnementstarieven), op basis van op het hoogst gemeten aantal VM's gedurende de maand (kosten publieke aanbieders) of gedurende het kwartaal (abonnementstarieven). 18/27

19 9 SLS en karakteristieken Algemene bepalingen De algemene bepalingen uit de SURFnet-SLS zijn op SURFcumulus van toepassing. Deze zijn te vinden op: Rapportage Rapportage over de karakteristieken van SURFcumulus worden gepubliceerd op SURFdashboard. Dienstspecifieke statistieken, logging, troubleshooting informatie en rapportage worden via specifieke SURFcumulus-rapportages aan de instelling beschikbaar gesteld. Beschikbaarheid Beschikbaarheid component Provisioning Waarde per 4 maanden SURFcumulus CMP 99.9% * Beschikbaarheid component Operatie Waarde per 4 maanden SURFnet Virtualisatie Platform VM's op Open-E storage 99.9% SURFnet Virtualisatie Platform VM's op Netapp storage 99.95% Publieke IaaS-diensten via SURFcumulus Volgens individuele SLAs Onder beschikbaarheid wordt verstaan de beschikbaarheid van de VM, exclusief maintenance windows en de netwerkontsluiting naar de instelling. De onderhoudsvensters voor SURFnet diensten zijn standaard op dinsdag van 5:00 tot 07:00 uur. Voor grote aanpassingen aan het SURFnet Virtualisatie Platform kan een extra maintenance window gebruikt worden op donderdag van 00:00 tot 07:00. Zoals gebruikelijk zullen instellingen tijdig geïnformeerd worden wanneer onderbrekingen te verwachten zijn tijdens de maintenance windows. *Beheer zal in de tweede helft van 2017 extern worden belegd. Tot dat moment geldt deze beschikbaarheid gedurende kantoortijden 19/27

20 10 Contactgegevens bij aanvraag, wijziging en storing Wanneer? Door wie? Contactgegevens SURFnet Tijden Bij een aanvraag of wijziging Instelling contactpersoon (ICP) of BVI (Instellingsbevoegde Frank Pinxt, service delivery manager SURFcumulus Kantoortijden T: ; Bij Storing ICP, BVI en bevoegde helpdeskbellers (HDB s) SURFnet helpdesk 24/7 Tel. 088-SURFNET ( ) 20/27

21 11 SURFcumulus-varianten: Managed en Basic SURFcumulus Managed soms een stap te ver Er zijn instellingen voor wie het nog niet rendabel is om te kiezen voor SURFcumulus Managed. Bijvoorbeeld als zij nog niet afgeschreven hardware hebben of net geïnvesteerd hebben in een nieuw datacenter. Andere instellingen willen eerst uitgebreid testen of zijn nog bezig met het opstellen van een visie op het gebruik van clouddiensten. Daarom: SURFcumulus Basic Daarom is SURFcumulus ook in een basisvariant beschikbaar: SURFcumulus Basic. Bij SURFcumulus Basic maakt de instelling rechtstreeks gebruik van het IaaS-aanbod van een van de aanbieders, maar niet van de aanvullende diensten van SURFcumulus Managed Hierbij wordt wel gebruik gemaakt van de basiselementen van SURFcumulus: het aanbestedingstraject, contractmanagement, compliancy check en de dataclassificatie-analyse. Hiermee zijn instellingen verzekerd van de gewenste rechtmatigheid. SURFcumulus Basic is via SURFmarket beschikbaar voor alle bij SURFnet of SURFmarket aangesloten instellingen Verschillen tussen SURFcumulus Managed en Basic: onderstaande figuur geeft de belangrijkste verschillen aan tussen de twee varianten. Figuur 3 - Overzicht SURFcumulus Basic & Managed 21/27

22 Bijlage 1: Het KUBUS-project Gezamenlijk ICT-infrastructuur diensten organiseren Het KUBUS-project was de aanleiding tot de dienst SURFcumulus Managed. Zes hogescholen (Hogeschool van Arnhem en Nijmegen, Fontys, Hogeschool Leiden, Inholland, Hogeschool Utrecht en Saxion) uitten eind 2014 de wens om gezamenlijk ICT-infrastructuurdiensten te organiseren. De zes hogescholen hebben hiertoe samen met SURF het project KUBUS uitgevoerd. Doel: voor alle instellingen beschikbaar Het doel was nadrukkelijk om de te organiseren ICT-infrastructuur dienstverlening voor alle bij SURFnet aangesloten instellingen beschikbaar te stellen. De initiële zes deelnemende hogescholen waren de founding fathers. Beschrijving gewenste dienstverlening De gewenste dienstverlening werd beschreven aan de hand van vier aspecten (governance, juridisch, financieel en dienstverlening) met als hoofdlijn: De samenwerking tussen de instellingen en SURFnet is gebaseerd op de inbestedingsrelatie tussen de coöperatieve vereniging SURF en de aangesloten leden; SURFnet treedt op als broker en regisseur van de dienstverlening en is het gezicht naar eventueel in te schakelen marktpartijen; Het dienstenmodel is gebaseerd op IaaS-dienstverlening. Het financiële model is gebaseerd op het pay per use principe waarbij alleen daadwerkelijk afgenomen ICT infrastructuurdiensten in rekening worden gebracht; Dienstontwikkeling SURFcumulus Managed Fase 1 - Programma van Eisen De eerste fase van het KUBUS-project heeft geresulteerd in een Programma van Eisen waaraan de IaaS-dienstverlening van SURF moet voldoen, het al eerdergenoemde rapport ICT-Infrastructuur in de Cloud. Daaruit is gebleken dat de KUBUS-deelnemers hoge eisen stellen aan de kwaliteit van de dienstverlening en van SURF een grote mate van ontzorging verwachten. Verdere kenmerken zijn één aanspreekpunt bij SURF en een professionele regie-organisatie. SURF fungeert daarnaast als contractpartij richting externe leveranciers. Fase 2 - Propositie In de tweede fase van het project heeft SURF in samenwerking met de KUBUS-deelnemers een propositie voor de gevraagde IaaS-dienstverlening opgesteld. Ook is een marktanalyse uitgevoerd om te onderzoeken of het Programma van Eisen haalbaar is. Daaruit blijkt dat SURF in samenwerking met externe leveranciers aan alle uitgangspunten, randvoorwaarden en eisen en wensen kan voldoen. Fase 3 - Dienstontwikkeling Tijdens deze fase zijn de verschillende onderdelen van de dienstverlening ingekocht, opgezet en /of aangepast aan hetgeen beschreven is in de propositie. Vanaf deze fase is gekozen voor een leveringsmodel waarbij SURFnet eindverantwoordelijk is voor de dienstverlening. 22/27

23 Bijlage 2: Dienstverlening KPN Belangrijke aspecten KPN IaaS-diensten binnen SURFcumulus KPN maakt gebruik van Nederlandse datacenters voor de dienstverlening. KPN voldoet aan de voorwaarden voor het bewerken van data met dataclassificatie Hoog. KPN biedt zowel Microsoft Pack als VMware-virtualisatie aan. KPN ondersteunt momenteel enkel IPv4 Netwerkverbindingen Directe verbinding met SURFnet-netwerk via geografisch gescheiden paden. KPN rekent kosten voor de verbinding (bandbreedte) per aangesloten instelling. KPN koppelt enkel op laag 3. Informatiepakket KPN-dienstverlening Op SURFdashboard vind je het complete informatiepakket over de KPN-dienstverlening. Dit bevat onder andere: De complete GÉANT IaaS-aanbestedingsstukken; De inschrijving van de aanbieder, inclusief gestelde aanvullende vragen; De gunningsbrief inclusief scores en argumentatie voor de toegekende score; De door GÉANT en KPN ondertekende Framework Agreement, ook opgenomen in doorzoekbaar formaat met daarin het actuele aanbod; De Call of Agreement; Het compliancy statement waarin de borging van het Juridisch Normenkader Cloud Diensten staat beschreven; Managementrapportage van de uitgevoerde dataclassificatie-analyse. Informatiesessies Je kunt ook via SURFacademy informatie krijgen over het KPN-aanbod. SURFacademy biedt gratis informatiesessies aan voor alle publieke aanbieders binnen SURFcumulus. Kijk op 23/27

24 Bijlage 3: Dienstverlening Vancis Belangrijke aspecten Vancis IaaS-diensten binnen SURFcumulus Vancis maakt gebruik van Nederlandse datacenters voor de dienstverlening. Vancis voldoet aan de voorwaarden voor het bewerken van data met dataclassificatie Hoog. Vancis biedt VMware-virtualisatie aan. Ook mbo-instellingen kunnen, wanneer ze gebruik maken van Private Cloud, gebruik maken van hun Microsoft-licenties die niet aangeschaft zijn via SURFmarket. Private Cloud biedt ook de mogelijkheid om VMware-licenties in te brengen waardoor de kosten lager zijn. Vancis ondersteunt IPv4 en IPv6. Netwerkverbindingen Directe verbinding met SURFnet-netwerk via meerdere paden. Vancis brengt geen kosten in rekening voor verbindingen tot 1 Gbit/s per instelling. Vancis ondersteunt koppeling op laag 2 en laag 3. Standaard (gratis) bandbreedte is per instelling 1 Gbit/s. Tegen betaling kun je kiezen voor extra bandbreedte (2, 3, 4, 5 of 10 Gbit/s). Informatiepakket Vancis-dienstverlening Op SURFdashboard vind je het complete informatiepakket vinden over de Vancis-dienstverlening. Dit bevat onder andere: De complete GÉANT IaaS-aanbestedingsstukken; De inschrijving van de aanbieder, inclusief gestelde aanvullende vragen; De gunningsbrief inclusief scores en argumentatie voor de toegekende score; De door GÉANT en KPN ondertekende Framework Agreement, ook opgenomen in doorzoekbaar formaat met daarin het actuele aanbod; De Call of Agreement; Het compliancy statement waarin de borging van het Juridisch Normenkader Cloud Diensten staat beschreven; Managementrapportage van de uitgevoerde dataclassificatie-analyse. Informatiesessies Je kunt ook via SURFacademy informatie krijgen over het Vancis-aanbod. SURFacademy biedt gratis informatiesessies aan voor alle publieke aanbieders binnen SURFcumulus. Kijk op 24/27

25 Bijlage 4: SURFnet Virtualisatie Platform SURFnet's eigen VMware-platform bestaat uit high availability blade chassis en georedundante storage in datacenters van InterXion en NIKHEF. Op dit platform draaien momenteel diensten zoals SURFconext, SURFmailfilter, SURFwireless en SURFdomeinen. Storage Binnen het SURFnet Virtualisatie Platform worden twee typen storage aangeboden: voor gemiddelde performance en lagere performance. Meer informatie hierover vind je op de SURFdashboard. Andere typen opslag zijn te realiseren wanneer hiervoor een duidelijke vraag is vanuit de afnemers van de dienst. Netwerkverbindingen SURFnet Virtualisatie Platform Koppeling met SURFnet Virtualisatieplatform is mogelijk op drie manieren, waarbij de naamgeving verwijst naar het OSI-model. Laag 2-koppeling via lichtpad Bij een laag 2-koppeling worden de netwerken van SURFnet Virtualisatieplatform en de instelling gekoppeld. Door deze koppeling vormen de netwerken een transparant geheel, waardoor verhuizingen met behoud van IP-adressen eenvoudig te realiseren zijn. Het is mogelijk om meerdere laag 2-koppelingen tegelijk te maken, waarbij voor iedere laag 2-koppeling een aparte bandbreedteafspraak geldt. Figuur 4 - Laag 2-koppelingen Laag 3-koppeling via lichtpad Bij een laag 3-koppeling worden de netwerken van het SURFnet Virtualisatieplatform en de instelling door een beschermde, redundante verbinding gekoppeld. Verhuizingen met behoud van IP-adressen zijn niet eenvoudig te realiseren, doordat er voor het netwerksegment binnen SURFnet Virtualisatieplatform een ander netwerk (subnet) geldt dan voor het netwerksegment binnen de instelling. De instelling gebruikt echter wel haar eigen methodiek voor netwerkadressering. Vooral bij real-time toepassingen kan latency en jitter ook een reden zijn om voor lichtpaden te kiezen 25/27

26 Figuur 5 - Laag 3 Koppeling Laag 3-koppeling via IP Koppeling via lichtpaden verdient de absolute voorkeur. Indien expliciet gewenst kunnen koppelingen via IP worden aangeboden (via SURFinternet). SURFnet creëert hierbij een VPN-functionaliteit die toegang geeft tot de VM's. De VM's zelf zijn niet rechtstreeks vanaf het internet benaderbaar. Hierbij moet je wel rekening houden met hogere latency, beperktere (en niet-gegarandeerde) bandbreedtes (maximaal enkele honderden Mbit/s) en een lagere beschikbaarheidsgarantie van de verbinding. Back-up Binnen het Cloud Management Portal kun je kenbaar maken dat er een back-up gemaakt moet worden van een VM op het SURFnet Virtualisatieplatform. Deze back-up wordt 28 dagen behouden. De data van de back-up zijn opgeslagen in een ander datacenter dan InterXion of NIKHEF, en er is de mogelijkheid om een secundaire kopie van de back-up te maken. Voor het terugzetten van VM's is een portal beschikbaar gesteld. Additionele back-up storagefunctionaliteiten op een extra locatie kunnen ingeregeld worden wanneer hiervoor kwantificeerbare vraag en commitment komt vanuit de afnemers van de dienst. Meer informatie is te vinden op de SURFcumulus info wiki en SURFdashboard. 26/27

27 Bijlage 5: Afkortingen en terminologie Afkorting/term Betekenis CMP GÉANT Instelling MSP Publieke IaaS-leveranciers SURFcumulus Managed SURFcumulus Basic SVP Cloud Management Portal, het toegangs- en beheerportaal van de dienstonderdelen De internationale samenwerkingsorganisatie waarbinnen de centrale inkoop van de publieke IaaS-diensten heeft plaatsgevonden Een instelling met een SURFnetgebruiksovereenkomst Multi Service Port die gebruikt wordt om lichtpaden op te zetten Leveranciers van IaaS-diensten aangesloten via het CMP en gecontracteerd vanuit de GÉANTaanbesteding De hybride IaaS-dienst zoals beschreven in deze dienstbeschrijving De basisversie van SURFcumulus zoals beschreven in hoofdstuk 11 Het SURFnet (op VMware gebaseerde) Virtualisatie Platform als onderdeel van SURFcumulus Managed waar instellingen gebruik van kunnen maken. 27/27