Частное облако для критической инфраструктуры Росатома

Построить для закрытого контура Росатома частное облако, которое работает без подключения к внешним сетям, на российском оборудовании и российской ОС, проходит сертификацию и даёт командам разработки готовые платформенные сервисы, от Kubernetes до управляемых СУБД.

VK Private Cloud в отчуждаемой поставке на двух площадках и объектное хранилище VK Object Storage. Платформа передаётся дистрибутивом, инженеры «Гринатома» разворачивают и обновляют её по методике VK Tech и с его сопровождением. Релизы проходят сертификацию, в составе платформы межсетевой экран с сертификатом ФСТЭК России.

Единая облачная платформа для систем закрытого контура: более 800 серверов, свыше 9 ПБ хранения, IaaS и набор платформенных сервисов. Фактическая доступность 99,9% при целевом уровне 99,8%. Три крупных обновления платформы на каждой площадке проведены штатно, силами инженеров заказчика.

АО «Гринатом», ИТ-интегратор Госкорпорации «Росатом», создаёт и сопровождает ИТ-ландшафт предприятий атомной отрасли: разрабатывает и внедряет информационные системы, отвечает за их эксплуатацию и поддержку пользователей. Часть систем отрасли работает в закрытом контуре обработки, изолированной среде без подключения к внешним сетям. Размещённые там системы относятся к объектам критической информационной инфраструктуры, поэтому требования распространяются на всё: оборудование, операционные системы, платформу виртуализации, порядок обновлений.

К 2020 году перед «Гринатомом» стояли три задачи, с которыми классическая виртуализация в закрытом контуре справлялась лишь частично. Масштаб. Предприятиям отрасли нужны вычислительные ресурсы для десятков информационных систем, и выдавать их нужно быстро, единым способом для всех, с квотами и учётом потребления. Скорость разработки. Командам разработки нужны платформенные сервисы того же уровня, что в публичных облаках: Kubernetes, СУБД, балансировщики. Внутри изолированного контура такие сервисы не появляются сами собой, их должна давать платформа. Технологическая независимость. Отрасль последовательно переходит на российские технологии. Платформа виртуализации в закрытом контуре должна быть российской, проходить сертификацию и работать на российском оборудовании и операционной системе.

Архитектура и модель поставки должны были обеспечивать: - отчуждаемую поставку: заказчик владеет инсталляцией и управляет ей самостоятельно; - работу без подключения к внешним сетям, включая обновления; - совместимость с российским серверным оборудованием и российской операционной системой; - сертифицированные релизы и сертифицированные средства защиты в составе платформы; - платформенные сервисы поверх IaaS: контейнеры, СУБД, балансировка, файловые и объектные хранилища; - распределённую инсталляцию на нескольких площадках с возможностью добавлять новые контуры.

Частное облако развёрнуто в двух центрах обработки данных. Помимо двух продуктивных контуров работают отдельный контур под новые сервисы и тестовая зона, на которой обновления проверяются до выхода в продуктив. В сумме под управлением платформы более 800 серверов и свыше 9 ПБ полезной ёмкости хранения. Объектное хранилище VK Object Storage развёрнуто на обеих площадках, его полезная ёмкость 2,9 ПБ. **Сервисы платформы:** - виртуальные машины и сети (IaaS); - управляемый Kubernetes; - управляемые СУБД, включая PostgreSQL и ClickHouse; - балансировщики нагрузки; - файловые хранилища; - объектное хранилище с S3-совместимым API; - маркетплейс приложений; - биллинг и учёт потребления ресурсов по проектам. - Инфраструктура построена на российском серверном оборудовании и работает под управлением РЕД ОС.

В закрытом контуре платформа поставляется отчуждаемо: все операции внутри контура выполняют инженеры «Гринатома», команда VK Tech сопровождает эксплуатацию. Техническая поддержка работает в режиме 24×7: реакция на критические обращения в течение 30 минут, решение в течение 6 часов. Инженеры VK Tech консультируют специалистов заказчика, готовят методику и планы работ, разбирают нестандартные ситуации. Отчёты и статистика по обращениям передаются заказчику еженедельно. Обновления проходят по единой схеме: новая версия разворачивается на тестовой зоне и проходит приёмочные испытания, затем дистрибутив передаётся в контур, обновляется продуктивная среда и испытания повторяются. Целостность дистрибутива проверяется по контрольным суммам, состав компонентов сертифицированных релизов передаётся службе информационной безопасности заказчика. По этой схеме на каждой площадке проведены три крупных обновления платформы. Поддержка операционной системы организована совместно с РЕД СОФТ: инженеры двух вендоров работают в общем контуре заявок, и вопросы на стыке платформы и ОС решаются в одном окне.

- Шестой год частное облако остаётся основой для систем закрытого контура и растёт вместе с ними: к двум продуктивным контурам добавлены контур под новые сервисы и тестовая зона. - Фактическая доступность платформы 99,9% - Три крупных обновления на каждой площадке проведены на сертифицированных релизах, платформа соответствует требованиям регуляторов. - Команды разработки работают с платформенными сервисами внутри контура: Kubernetes, СУБД, балансировщики, хранилища, маркетплейс приложений. - По итогам совместной работы Департамент информационных технологий «Гринатома» направил VK Tech благодарственное письмо.

Следующие шаги: растянутое объектное хранилище S3 между двумя площадками, референсный контур для отработки новых версий и переход всех контуров на новое поколение платформы.