Blackboard aan de TU Delft

Transcriptie

1 Blackboard aan de TU Delft Ir. W.F. van Valkenburg February 21, Shared Service Centre ICT Ontwikkeling & Innovatie

2 Agenda Load-balancing Custom authentication met A-Select Anti-hijacking patch February 21,

3 Load Balancing, waarom? Schaalbaarheid/Performance Gefaseerd capaciteit bijschakelen Beschikbaarheid Geen single point of failure February 21,

4 Situatie TU Delft 1999 February 21,

5 Situatie TU Delft 2001 February 21,

6 Situatie TU Delft 2003 February 21,

7 February 21,

8 Blackboard.tudelft.nl Load-balancers Application servers Databaseserver Standby databaseserver NFS-server Standby NFS-server SAN A SAN B February 21,

9 February 21,

10 DC-RID DC-IO heartbeat NFS-server Databaseserver NFS-server Databaseserver February 21,

11 Netwerk/Firewall Netwerk 1 GB Tussen DC s 10 GB Firewall 2 X Juniper Is open voor applicatie en realserver February 21,

12 Load-balancers Belangrijkste eisen aan de load-balancing: Persistence Direct access Redundancy Outgoing access Phase-out/Phase-in mogelijkheid February 21,

13 Load balancers 2 x Sun V20z 2 x 2GHz AMD processoren 4 GB geheugen Redhat Linux LVS voor load-balancing (opensource) Ultramonkey voor failover (opensource) LVS is een level-4 oplossing LVS controleert beschikbaarheid app.servers op basis van url in het CS, daarmee check je apache, tomcat, en database. February 21,

14 Applicatieservers 7 x SUN V210 2 x 1 GHz SPARC processoren 4 GB geheugen Solaris 10 loadbalancer 1 loadbalancer 2 (standby) February 21,

15 Applicatieservers Alle app-servers zijn identiek Elke app-server bevat een Blackboard-installatie in /usr/local/blackboard. Onder /usr/local/blackboard zijn 5 directories afkomstig van de NFS server. Worden dit jaar vervangen door nieuwe HW met Linux. Onderzoek naar tomcat-clustering. February 21,

16 Databaseservers Beide database servers identiek Sun Fire X DualCore AMD Opteron 32 GB geheugen RHEL5 loadbalancer 1 loadbalancer 2 (standby) February 21,

17 Databaseservers Oracle 10.2 Active/passive configuratie Passieve host wordt continu gesynchroniseerd met DataGuard Passieve host mode : maximum performance Beide machines gebruiken het SAN als storage Nog te doen: virtueel ip, zodat switchen zonder aanpassing op applicatie kan. February 21,

18 NFS servers Active/passive configuratie 2 x Sun V210 2 x 1 GHz SPARC processoren 2 x 4 GB geheugen Solaris 10 Cisco ISCSI-drivers Failover mbv. scripts (op alle app-servers) Op onze nieuwe SAN zijn geen aparte NFS-servers nodig. loadbalancer 1 loadbalancer 2 (standby) February 21,

19 Storage 2 x EqualLogic iscsi Raid 5 Content: 1 x 4 TeraByte, 1 x 1 TeraByte Database: 300 GB Wordt vervangen door EMC storage. loadbalancer 1 loadbalancer 2 (standby) February 21,

20 A-Select February 21,

21 A-Select Authenticatiedienst voor Web-applicaties Meerdere authenticatiemogelijkheden beschikbaar Federatiemogelijkheden Open-source Eén A-select server; meerdere Authentication Service Providers February 21,

22 A-Select schets February 21,

23 A-Select schets Dit is mijn ticket Authenticatiedialoog Hier is uw ticket Ga naar A-select server Ticket check Nieuwe authenticatie begint February 21,

24 A-Select schets Dit is mijn ticket Hier is uw ticket Ga naar A-select server Ticket check Nieuwe authenticatie begint February 21,

25 Applicatieconfiguratie Per applicatie draait er een A-Select agent Elke applicatie moet aangepast worden om deze agent te gebruiken, deze aanpassing heet een Integratie component (IC) Voor een aantal gangbare applicaties is een IC beschikbaar, ook voor Blackboard! February 21,

26 Wijziging inlogprocedure in Blackboard February 21,

27 Technische wijzigingen Blackboard Installatie A-Select agent (standaard) Installatie en configuratie Blackboard IC February 21,

28 Voordelen A-Select Geen SSL op Blackboard nodig Single-sign-on met andere web-applicaties Meerdere (hardere) authenticatiemethoden mogelijk voor Blackboard Open source Federatiemogelijkheden SAML + Shibboleth ondersteuning February 21,

29 Nadelen A-Select Complexiteit/tests bij upgrades Extra (missie kritiek) element in de authenticatieketen Extra issues bij gebruik van mixed-protocol applicaties (zoals bv. Blackboard + WebDAV). Extra handelingen nodig bij inloggen (usability) Documentatiekwaliteit SURFnet Open source February 21,

30 Wanneer A-Select overwegen Centraal identity management (met LDAP?) op orde Goede provisioning processen Provisioning-proces (aanmaken gebruikers) is feitelijk authorisatie! A-Select is geen vervanging van deze 2 zaken!! Voor federatief gebruik geldt dit nog meer. February 21,

31 Anti-hijacking patch February 21,

32 Aanleiding Een Blackboard sessie bevat niet het IP-adres. Het CS biedt de mogelijkheid om zelf javascript te uploaden. Er is een exploit bekend. February 21,

33 Oplossing i.s.m. Blackboard Consulting een patch ontwikkeld. Deze neemt in de sessie wel het ip-adres mee. Dit betekent dat: Als je ingelogd bent in Bb en je krijgt een ander ip, moet je opnieuw inloggen. Werkt alleen als meeste gebruikers op unieke ip zitten (dus weinig gebruik van NAT). February 21,

34 February 21,