Dane dokumentu Nazwa Projektu: Konsolidacja i Centralizacja Systemów Celnych i Podatkowych Studium Projektowe Konsolidacji i Centralizacji Numer wersji Kontrakt Systemów Celnych i Podatkowych (SPKiCSCP) dokumentu: Umowa MF: C/123/09/DI/B/140 Data wersji dokumentu: 2.0 15.12.2011 Strona 1 z 96
SPIS TREŚCI: 1. Wstęp... 8 1.1 Cel dokumentu... 8 1.2 Odbiorcy dokumentu... 8 1.3 Dokumenty powiązane/referencyjne... 8 2. Architektura referencyjna systemów realizujących usługi biznesowe... 8 3. Opis usług... 13 3.1 Usługi dostępowe... 13 3.1.1 Dostęp HTTP/HTTPS... 13 3.1.1.1 Metryka usługi... 13 3.1.1.2 Historia zmian... 13 3.1.1.3 Opis usługi... 13 3.1.1.4 Atrybuty usługi... 13 3.1.1.5 Wsparcie dla klas bezpieczeństwa... 13 3.1.1.6 Realizacja usługi... 14 3.1.1.7 Model logiczny usługi... 16 3.1.2 Dostęp SMTP... 18 3.1.2.1 Metryka usługi... 18 3.1.2.2 Historia zmian... 18 3.1.2.3 Opis usługi... 18 3.1.2.4 Atrybuty usługi... 18 3.1.2.5 Wsparcie dla klas bezpieczeństwa... 18 3.1.2.6 Realizacja usługi... 18 3.1.2.7 Model logiczny usługi... 20 3.2 Usługi bezpieczeństwa... 21 3.2.1 Podpis elektroniczny... 21 3.3 Pozostałe usługi... 21 3.3.1 Usługi terminalowe... 21 4. Opis bloków architektonicznych... 21 4.1 Bloki Proxy... 21 4.1.1 Proxy HTTP... 21 4.1.1.1 Metryka bloku... 21 4.1.1.2 Historia zmian... 21 4.1.1.3 Opis bloku... 21 4.1.1.4 Atrybuty bloku... 21 4.1.1.5 Wsparcie dla klas bezpieczeństwa... 22 4.1.1.6 Komponenty bloku architektonicznego... 23 4.1.1.7 Model logiczny bloku... 25 4.1.2 Proxy SMTP... 27 4.1.2.1 Metryka bloku... 27 4.1.2.2 Historia zmian... 27 4.1.2.3 Opis bloku... 27 4.1.2.4 Atrybuty bloku... 27 4.1.2.5 Wsparcie dla klas bezpieczeństwa... 27 4.1.2.6 Komponenty bloku architektonicznego... 28 4.1.2.7 Model logiczny bloku... 30 4.2 Bloki aplikacyjne... 32 4.2.1 Blok w technologii Java EE... 32 4.2.1.1 Metryka bloku... 32 Strona 2 z 96
4.2.1.2 Historia zmian... 32 4.2.1.3 Opis bloku... 32 4.2.1.4 Atrybuty bloku... 32 4.2.1.5 Ograniczenia na wartości atrybutów... 32 4.2.1.6 Wsparcie dla klas bezpieczeństwa... 33 4.2.1.7 Komponenty bloku architektonicznego... 34 4.2.1.8 Model logiczny bloku... 37 4.2.2 Blok w technologii Servlets/JSP... 38 4.2.2.1 Metryka bloku... 38 4.2.2.2 Historia zmian... 38 4.2.2.3 Opis bloku... 38 4.2.2.4 Atrybuty bloku... 38 4.2.2.5 Ograniczenia na wartości atrybutów... 38 4.2.2.6 Wsparcie dla klas bezpieczeństwa... 39 4.2.2.7 Komponenty bloku architektonicznego... 40 4.2.2.8 Model logiczny bloku... 44 4.2.3 Blok w technologii.net... 45 4.2.3.1 Metryka bloku... 45 4.2.3.2 Historia zmian... 45 4.2.3.3 Opis bloku... 45 4.2.3.4 Atrybuty bloku... 45 4.2.3.5 Ograniczenia na wartości atrybutów... 45 4.2.3.6 Wsparcie dla klas bezpieczeństwa... 46 4.2.3.7 Komponenty bloku architektonicznego... 47 4.2.3.8 Model logiczny bloku... 49 4.3 Bloki bazodanowe... 50 4.3.1 Blok w technologii ORACLE RDBMS... 50 4.3.1.1 Metryka bloku... 50 4.3.1.2 Historia zmian... 51 4.3.1.3 Opis bloku... 51 4.3.1.4 Atrybuty bloku... 51 4.3.1.5 Ograniczenia na wartości atrybutów... 52 4.3.1.6 Wsparcie dla klas bezpieczeństwa... 53 4.3.1.7 Komponenty bloku architektonicznego... 54 4.3.2 Blok w technologii Microsoft SQL Server... 59 4.3.2.1 Metryka bloku... 59 4.3.2.2 Historia zmian... 60 4.3.2.3 Opis bloku... 60 4.3.2.4 Atrybuty bloku... 60 4.3.2.5 Ograniczenia na wartości atrybutów... 60 4.3.2.6 Wsparcie dla klas bezpieczeństwa... 61 4.3.2.7 Komponenty bloku architektonicznego... 62 4.3.2.8 Model logiczny bloku... 64 4.3.3 Blok w technologii Sybase... 65 4.3.3.1 Metryka bloku... 65 4.3.3.2 Historia zmian... 66 4.3.3.3 Opis bloku... 66 4.3.3.4 Atrybuty bloku... 66 4.3.3.5 Ograniczenia na wartości atrybutów... 66 4.3.3.6 Wsparcie dla klas bezpieczeństwa... 66 Strona 3 z 96
4.3.3.7 Komponenty bloku architektonicznego... 68 4.3.3.8 Model logiczny bloku... 70 Rysunek 13 Model logiczny bloku architektonicznego B.DB.SYB... 71 4.3.4 Blok w technologii MySQL... 71 4.3.4.1 Metryka bloku... 71 4.3.4.2 Historia zmian... 72 4.3.4.3 Opis bloku... 72 4.3.4.4 Atrybuty bloku... 72 4.3.4.5 Ograniczenia na wartości atrybutów... 72 4.3.4.6 Wsparcie dla klas bezpieczeństwa... 72 4.3.4.7 Komponenty bloku architektonicznego... 73 4.3.4.8 Model logiczny bloku... 76 4.3.5 Blok w technologii PostgreSQL... 77 4.3.5.1 Metryka bloku... 77 4.3.5.2 Historia zmian... 78 4.3.5.3 Opis bloku... 78 4.3.5.4 Atrybuty bloku... 78 4.3.5.5 Ograniczenia na wartości atrybutów... 78 4.3.5.6 Wsparcie dla klas bezpieczeństwa... 78 4.3.5.7 Komponenty bloku architektonicznego... 80 4.3.5.8 Model logiczny bloku... 82 4.4 Systemy operacyjne... 83 4.4.1 Linux... 83 4.4.1.1 Metryka bloku... 83 4.4.1.2 Historia zmian... 84 4.4.1.3 Opis bloku... 84 4.4.1.4 Atrybuty bloku... 84 4.4.1.5 Ograniczenia na wartości atrybutów... 84 4.4.1.6 Wsparcie dla klas bezpieczeństwa... 84 4.4.1.7 Komponenty bloku architektonicznego... 85 4.4.1.8 Model logiczny bloku... 87 4.4.2 Microsoft Windows Server... 88 4.4.2.1 Metryka bloku... 88 4.4.2.2 Historia zmian... 89 4.4.2.3 Opis bloku... 89 4.4.2.4 Atrybuty bloku... 89 4.4.2.5 Ograniczenia na wartości atrybutów... 89 4.4.2.6 Wsparcie dla klas bezpieczeństwa... 90 4.4.2.7 Komponenty bloku architektonicznego... 91 4.4.2.8 Model logiczny bloku... 94 4.5 Indeks odnośników... 95 Wykazy Tabele Tabela 1 Atrybuty usługi G013.PX.HTT... 13 Tabela 2 Wartości atrybutów dla warstwy Internet, środowiska produkcyjne, klasa bezpieczeństwa B1... 14 Tabela 3 Wartości atrybutów dla warstwy Internet, środowiska produkcyjne, pozostałe klasy Strona 4 z 96
bezpieczeństwa... 15 Tabela 4 Wartości atrybutów dla warstwy Intranet resortu finasów, środowiska produkcyjne, klasa bezpieczeństwa B1... 15 Tabela 5 Wartości atrybutów dla warstwy Intranet resortu finansów, środowiska produkcyjne, pozostałe klasy bezpieczeństwa... 15 Tabela 6 Wartości atrybutów dla warstwy Internet, środowiska pomocnicze... 15 Tabela 7 Wartości atrybutów dla warstwy Intranet resortu finansów, środowiska pomocnicze... 16 Tabela 8 Atrybuty usługi G013.PX.SMT... 18 Tabela 9 Wartości atrybutów dla warstwy Internet, środowiska produkcyjne, klasa bezpieczeństwa B1... 19 Tabela 10 Wartości atrybutów dla warstwy Internet, środowiska produkcyjne, pozostałe klasy bezpieczeństwa... 19 Tabela 11 Wartości atrybutów dla warstwy Internet, środowiska pomocnicze... 20 Tabela 12 Atrybuty bloku architektonicznego B.PX.HTT... 22 Tabela 13 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.PX.HTT... 22 Tabela 14 Komponenty bloku architektonicznego B.PX.HTT... 24 Tabela 15 Wartości atrybutów bloku B.VSR.PX realizującego infrastrukturę sprzętową bloku B.PX.HTT... 25 Tabela 16 Atrybuty bloku architektonicznego B.PX.SMT... 27 Tabela 17 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.PX.SMT... 28 Tabela 18 Komponenty bloku architektonicznego B.PX.SMT... 30 Tabela 19 Wartości atrybutów bloku B.VSR.PX realizującego infrastrukturę sprzętową bloku B.PX.SMT... 30 Tabela 20 Atrybuty bloku architektonicznego B.AP.JBO... 32 Tabela 21 Dopuszczalne kombinacje wartości atrybutów vcpu/ram bloku architektonicznego B.AP.JBO... 33 Tabela 22 Dopuszczalne kombinacje wartości atrybutów HA/Grupowanie bloku architektonicznego B.AP.JBO... 33 Tabela 23 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.AP.JBO... 34 Tabela 24 Komponenty bloku architektonicznego B.AP.JBO... 36 Tabela 25 Wartości atrybutów bloku B.VSR.AP realizującego infrastrukturę sprzętową bloku B.AP.JBO... 36 Tabela 26 Atrybuty bloku architektonicznego B.AP.JSP... 38 Tabela 27 Dopuszczalne kombinacje wartości atrybutów vcpu/ram bloku architektonicznego B.AP.JSP... 39 Tabela 28 Dopuszczalne kombinacje wartości atrybutów HA/Grupowanie bloku architektonicznego B.AP.JSP... 39 Tabela 29 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.AP.JSP... 40 Tabela 30 Komponenty bloku architektonicznego B.AP.JSP... 42 Tabela 31 Wartości atrybutów bloku B.VSR.AP realizującego architekturę sprzętową bloku B.AP.JSP... 42 Tabela 32 Atrybuty bloku architektonicznego B.AP.NET... 45 Tabela 33 Dopuszczalne kombinacje wartości atrybutów HA/Grupowanie bloku architektonicznego B.AP.NET... 45 Tabela 34 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.AP.NET... 46 Tabela 35 Komponenty bloku architektonicznego B.AP.NET... 48 Tabela 36 Wartości atrybutów bloku B.VSR.AP realizujacego infrastrukturę sprzętową bloku B.AP.NET... 49 Tabela 37 Atrybuty bloku architektonicznego B.DB.ORA... 51 Tabela 38 Dopuszczalne kombinacje wartości atrybutów vcpu/ram dla bloku architektonicznego Strona 5 z 96
B.DB.ORA... 52 Tabela 39 Dopuszczalne kombinacje wartości atrybutów ccpu/ram dla bloku architektonicznego B.DB.ORA... 52 Tabela 40 Dopuszczalne kombinacje wartości atrybutów ccpu/ram dla bloku architektonicznego B.DB.ORA w konfiguracji klastra wydajnościowego... 52 Tabela 41 Dopuszczalne kombinacje wartości atrybutów HA/Grupowanie dla bloku architektonicznego B.DB.ORA... 52 Tabela 42 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.DB.ORA... 53 Tabela 43 Komponenty bloku architektonicznego B.DB.ORA... 56 Tabela 44 Wartości atrybutów dla bloku B.SRV.DB realizującego infrastrukturę sprzętową bloku B.DB.ORA... Błąd! Nie zdefiniowano zakładki. Tabela 45 Wartości atrybutów dla bloku B.PSR.DB realizującego infrastrukturę sprzętową bloku B.DB.ORA... 57 Tabela 46 Atrybuty bloku architektonicznego B.DB.SQL... 60 Tabela 47 Dopuszczalne kombinacje wartości atrybutów vcpu/ram bloku architektonicznego B.DB.SQL... 60 Tabela 48 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.DB.SQL... 61 Tabela 49 Komponenty bloku architektonicznego B.DB.SQL... 63 Tabela 50 Wartości atrybutów dla bloku B.VSR.DB realizującego infrastrukturę sprzętową bloku B.DB.SQL... 64 Tabela 51 Atrybuty bloku architektonicznego B.DB.SYB... 66 Tabela 52 Dopuszczalne kombinacje wartości atrybutów vcpu/ram dla bloku architektonicznego B.DB.SYB... 66 Tabela 53 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.DB.SYB... 67 Tabela 54 Komponenty bloku architektonicznego B.DB.SYB... 69 Tabela 55 Wartości atrybutów dla bloku B.VSR.DB realizujacego infrastrukturę sprzętową bloku B.DB.SYB... 70 Tabela 56 Atrybuty bloku architektonicznego B.DB.MYS... 72 Tabela 57 Dopuszczalne kombinacje wartości atrybutów vcpu/ram dla bloku architektonicznego B.DB.MYS... 72 Tabela 58 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.DB.MYS... 73 Tabela 59 Komponenty bloku architektonicznego B.DB.MYS... 75 Tabela 60 Wartości atrybutów dla bloku B.VSR.DB realizujacego infrastrukturę sprzętową bloku B.DB.MYS... 76 Tabela 61 Atrybuty bloku architektonicznego B.DB.PGS... 78 Tabela 62 Dopuszczalne kombinacje wartości atrybutów vcpu/ram dla bloku architektonicznego B.DB.PGS... 78 Tabela 63 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.DB.PGS... 79 Tabela 64 Komponenty bloku architektonicznego B.DB.PGS... 81 Tabela 65 Wartości atrybutów dla bloku B.VSR.DB realizujacego infrastrukturę sprzętową bloku B.DB.PGS... 82 Tabela 66 Atrybuty bloku architektonicznego B.OS.LNX... 84 Tabela 67 Dopuszczalne kombinacje wartości atrybutów vcpu/ram dla bloku architektonicznego B.OS.LNX... 84 Tabela 68 Dopuszczalne kombinacje wartości atrybutów HA/Grupowanie dla bloku architektonicznego B.OS.LNX... 84 Tabela 69 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.OS.LNX... 85 Tabela 70 Komponenty bloku architektonicznego B.OS.LNX... 87 Tabela 71 Wartości atrybutów dla bloku B.VSR.AP realizującego infrastrukturę sprzętową bloku B.OS.LNX... 87 Strona 6 z 96
Tabela 72 Atrybuty bloku architektonicznego B.OS.WIN... 89 Tabela 73 Dopuszczalne kombinacje wartości atrybutów vcpu/ram bloku architektonicznego B.OS.WIN... 89 Tabela 74 Dopuszczalne kombinacje wartości atrybutów HA/Grupowanie bloku architektonicznego B.OS.WIN... 90 Tabela 75 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.OS.WIN... 90 Tabela 76 Komponenty bloku architektonicznego B.OS.WIN... 92 Tabela 77 Wartości atrybutów bloku B.VSR.AP realizującego infrastrukturę sprzętową bloku B.OS.WIN... 93 Rysunki Rysunek 1 Usługi Platformy Aplikacyjnej CPD MF... 9 Rysunek 2 Model logiczny systemu realizujacego funkcje biznesowe... 11 Rysunek 3 Model logiczny usługi G013.PX.HTT... 17 Rysunek 4 Model logiczny usługi G013.PX.SMT... 20 Rysunek 5 Model logiczny bloku architektonicznego B.PX.HTT... 26 Rysunek 6 Model logiczny bloku architektonicznego B.PX.SMT... 31 Rysunek 7 Model logiczny bloku architektonicznego B.AP.JBO... 37 Rysunek 8 Model logiczny bloku architektonicznego B.AP.JSP... 44 Rysunek 9 Model logiczny bloku architektonicznego B.AP.NET... 50 Rysunek 10 Model logiczny bloku architektonicznego B.DB.ORA zbudowanego w oparciu o serwer wirtualny... 58 Rysunek 11 Model logiczny bloku architektonicznego B.DB.ORA zbudowanego w oparciu o serwer fizyczny... 59 Rysunek 12 Model logiczny bloku architektonicznego B.DB.SQL... 65 Rysunek 13 Model logiczny bloku architektonicznego B.DB.SYB... 71 Rysunek 14 Model logiczny bloku architektonicznego B.DB.MYS... 77 Rysunek 15 Model logiczny bloku architektonicznego B.DB.PGS... 83 Rysunek 16 Model logiczny bloku architektonicznego B.OS.LNX... 88 Rysunek 17 Model logiczny bloku architektonicznego B.OS.WIN... 94 Zastrzeżenie poufności Rozdział usunięty intencjonalnie. Strona 7 z 96
1. Wstęp 1.1 Cel dokumentu Niniejszy dokument opisuje usługi i bloki architektoniczne biznesowych. Zastosowano tu w szerokim zakresie standaryzację komponentów składowych architektury poprzez definicję bloków architektonicznych, zarówno infrastrukturalnych jak i aplikacyjnych dla realizacji systemów biznesowych. 1.2 Odbiorcy dokumentu Niniejszy dokument jest przeznaczony dla osób biorących udział w realizacji zadań związanych z dostarczeniem Platformy Aplikacyjnej dla systemów biznesowych konsolidowanych w CPD MF. Jest podstawą do realizacji zamówień produktowych, budowy Platformy Aplikacyjnej oraz migracji systemów biznesowych do środowiska IT CPD MF. Opisane bloki mogą być również wykorzystywane do budowy Platformy Aplikacyjnej systemów infrastrukturalnych zainstalowanych w CPD MF. 1.3 Dokumenty powiązane/referencyjne Rozdział usunięty intencjonalnie. 2. Architektura referencyjna systemów realizujących usługi biznesowe Architektura referencyjna systemów biznesowych resortu finansów, zlokalizowanych w CPD MF, przyjmuje, że ich Platforma Aplikacyjna budowana jest z wykorzystaniem dedykowanych dla konkretnego systemu informatycznego zestandaryzowanych elementów, nazywanych blokami architektonicznymi. Jedna instancja bloku architektonicznego może być wykorzystywana wyłącznie przez jedno środowisko jednego systemu informatycznego. Pozostałe usługi informatyczne, niezbędne do prawidłowego działania bloków architektonicznych oraz osadzonych w nich komponentów aplikacyjnych zapewniają współdzielone systemy infrastrukturalne. Zarówno bloki architektoniczne jak i współdzielone usługi teleinformatyczne świadczone przez systemy infrastrukturalne są dostarczane przez CPD MF zgodnie z modelem usługowym i Katalogiem Usług (Rysunek 1). Strona 8 z 96
Rysunek 1 Usługi Platformy Aplikacyjnej CPD MFW kolejnych sekcjach dokumentu opisano wymagania na funkcjonalność oraz architekturę tych bloków, uwzględniające obowiązujące w resorcie finansów standardy klasyfikacji systemów oraz klasyfikacji bezpieczeństwa systemów. Bloki architektoniczne, zgodnie z charakterem świadczonych przez nie usług zostały podzielone na następujące kategorie: Bloki proxy, służące do budowy usług dostępowych, Bloki aplikacyjne, stanowiące środowisko uruchomieniowe komponentów aplikacyjnych w technologiach JEE i.net, Bloki bazodanowe, zapewniające usługi zarządzania danymi z wykorzystaniem silników relacyjnych baz danych, Bloki świadczące usługi na poziomie systemu operacyjnego, umożliwiające stosowanie technologii niedostępnych w pozostałych blokach. Typy bloków oraz zakres świadczonych przez nie usług został ściśle dopasowany do wymagań systemów biznesowych objętych procesem KiCSCP. W przypadku zaistnienia takiej potrzeby, proces modyfikacji funkcjonalności lub architektury opisanych bloków oraz dodawania nowych bloków i wycofywania bloków z eksploatacji będzie realizowany przez CPD MF zgodnie z zasadami opisanymi w obowiązującym w nim procesie zarządzania architekturą CPD MF. Strona 9 z 96
Potrzeba wprowadzenia takich zmian może wynikać zarówno z konieczności uwzględnienia wymagań systemów biznesowych uruchamianych lub migrowanych do CPD MF jak i zmian standardów obowiązujących w resorcie finansów, czy też w wyniku działania Procesu Zarządzania Problemami. Każda instancja opisanych poniżej bloków architektonicznych powstaje na podstawie utrzymywanego przez CPD MF Projektu Technicznego LLD (ang. Low Level Design) opisującego sposób instalacji i konfiguracji komponentów wchodzących w skład danego bloku architektonicznego. Dla każdego bloku, CPD MF utrzymuje oprócz dokumentacji projektowej i testowej również dokumentację eksploatacyjną. Opisane powyżej dokumenty powstają zgodnie z obowiązującymi w CPD MF standardami dokumentacji i są utrzymywane zgodnie z obowiązującymi w nim procesami, zarówno procesami ITIL jak i procesem zarządzania architekturą CPD MF. Na diagramie poniżej przedstawiony został uproszczony model logiczny systemu udostępniającego swoje usługi w Internecie i Intranecie resortu finansów. Dostęp do tych usług mają zarówno użytkownicy końcowi jak i inne systemy zlokalizowane poza CPD MF. Usługi dostępowe CPD MF umożliwiają zarówno udostępnienie usług świadczonych przez komponenty aplikacyjne systemu jak i dostęp komponentów aplikacyjnych systemu do systemów zlokalizowanych poza CPD MF. Strona 10 z 96
ce ce ce ce ce ce ce ce ce ce ce ce ce ce ce ce ce ce cmp system orkspace DMZ Internet strefa komunikacyjna DB DMZ Intranet orkspace Załącznik IX do SOPZ orkspace PX1 AP1 AP2 PX2 Strona 11 z 96 Rysunek 2 Model logiczny systemu realizujacego funkcje biznesowe orkspace system1 system2 orkspace Opisywany system informatyczny składa się z bazy danych DB, dwóch komponentów aplikacyjnych AP1 i AP2, oraz dwóch komponentów pośredniczących, pozwalających na bezpieczne orkspace KiC KiC KiC KiC KiC KiC KiC KiC KiC KiC KiC KiC KiC KiC KiC KiC KiC
udostępnienie aplikacji w Internecie i Intranecie resortu finansów. Realizacja fizyczna systemu zgodnego z przedstawioną na diagramie architekturą logiczną w sposób zgodny z architekturą referencyjną, polegałaby na: osadzeniu bazy danych DB w bloku bazodanowym, zapewniającym wymagany motor bazy relacyjnej, osadzeniu komponentów aplikacyjnych AP1 i AP2, w blokach aplikacyjnych zapewniających wymagany serwer aplikacyjny np. w technologii JEE, udostępnieniu komponentów aplikacyjnych AP1 i AP2 w sieciach zewnętrznych z wykorzystaniem opisanych w dokumencie usług dostępowych. Dostarczenie wymaganych przez system bloków architektonicznych, zapewnienie pomiędzy nimi komunikacji oraz skonfigurowanie usług dostępowych zgodnie z wymaganiami wynikającymi z klasy bezpieczeństwa systemu wchodzi w zakres obowiązków CPD MF. Zapewnienie komunikacji pomiędzy blokiem aplikacyjnym i bazodanowym obejmuje skonfigurowanie w serwerze aplikacyjnym puli połączeń do bazy danych. Konfiguracja usług dostępowych obejmuje wymaganą konfigurację zapór ogniowych CPD MF i jeśli to wynika z wymagań klasy bezpieczeństwa systemu odpowiednie skonfigurowanie sond monitorujących komunikację. Sposób separacji, logiczny lub fizyczny, pomiędzy blokami architektonicznymi należącymi do różnych systemów wynika z klasyfikacji bezpieczeństwa systemów informatycznych, w których skład wchodzą. CPD MF administruje blokami architektonicznymi, od momentu dostarczenia zamówionych bloków użytkownikowi do momentu ich wycofania z eksploatacji. W czasie eksploatacji bloku świadczy użytkownikowi usługi zgodnie zakresem opisanym dla każdego z bloków w Katalogu Usług. Usługi utrzymaniowe zapewniane przez CPD MF obejmują również zabezpieczanie konfiguracji i/lub danych kopiami bezpieczeństwa oraz instalację wymaganych poprawek systemowych (ang. patches) dla wszystkich komponentów wchodzących w skład bloku. Wszelkie zmiany konfiguracyjne w komponentach wchodzących w skład bloku architektonicznego realizowane są wyłącznie przez CPD MF. Zmiany mogą być wprowadzane na wniosek użytkownika bloku lub samodzielnie w przypadku konieczności rozwiązania incydentu lub problemu. Zmiana wprowadzona przez CPD MF bez uzgodnienia z użytkownikiem bloku architektonicznego nie może pogorszyć parametrów usług świadczonych przez ten blok, poniżej wartości uzgodnionych na etapie jego zamawiania. Osadzenie w blokach architektonicznych i skonfigurowanie komponentów aplikacyjnych systemu informatycznego, osadzenie w bloku architektonicznym bazy danych oraz administrowanie systemem informatycznym na poziomie aplikacyjnym pozostaje w zakresie obowiązków użytkownika usług CPD MF. Strona 12 z 96
3. Opis usług 3.1 Usługi dostępowe 3.1.1 Dostęp HTTP/HTTPS 3.1.1.1 Metryka usługi Identyfikator G013.PX.HTT Nazwa Zapewnienie zewnętrznego dostępu do komponentu aplikacyjnego z wykorzystaniem protokołu HTTP/HTTPS Rodzaj usługi PaaS Wsparcie dla I klas systemów II III IV Wsparcie dla B3 klas BX bezpieczeństwa 3.1.1.2 Historia zmian Data Wersja Autor Opis zmian Utworzenie opisu usługi. 3.1.1.3 Opis usługi Usługa oferuje dostęp do funkcjonalności systemu biznesowego poprzez protokół HTTP lub HTTPS. Występuje w wariantach: dostęp z Internetu, dostęp z Intranetu resortu finasów. Usługi dostępowe są realizowane przez odpowiednie warstwy dostępowe, składające się z farm bloków proxy HTTP. 3.1.1.4 Atrybuty usługi Atrybut Dostępne wartości Opis Klasa I, II, III, IV Określa klasę systemu informatycznego, do którego dostęp będzie zapewniany. Klasa bezpieczeństwa B1, B2, B3, BX Określa klasę bezpieczeństwa systemu informatycznego, do którego dostęp będzie zapewniany. Wejście bloku Internet/Intranet MF Określa sieć, z której ma być dostępna funkcjonalność systemu informatycznego. HTTPS Tak, Nie Określa, czy dostęp powinien być szyfrowany. Ilość połączeń N Określa maksymalną ilość równoległych połączeń HTTP do systemu równoległych Lista przekierowań Lista postaci Adres w warstwie dostępowej -> adres w warstwie aplikacyjnej Tabela 1 Atrybuty usługi G013.PX.HTT 3.1.1.5 Wsparcie dla klas bezpieczeństwa biznesowego. Określa, jakie adresy w warstwie dostępowej HTTP są przekierowywane na jakie adresy w warstwie aplikacyjnej. Wsparcie dla klas bezpieczeństwa usług dostępowych jest opisane w opisie bloków, z których budowane są usługi. Strona 13 z 96
Warstwy dostępowe dla środowisk produkcyjnych są odseparowane od warstw dostępowych środowisk pomocniczych zgodnie z mechanizmami klasy B1. Warstwa dostępowa, realizująca usługę dostępu z Internetu jest odseparowana od warstwy, realizującej dostęp z Intranetu resortu finasów. 3.1.1.6 Realizacja usługi Usługa zapewniająca dostęp do funkcjonalności systemu biznesowego poprzez protokół HTTP/HTTPS jest zrealizowana poprzez sześć warstw dostępowych: dla środowisk produkcyjnych: o dostęp z Internetu dla klasy bezpieczeństwa B1 dla pozostałych klas bezpieczeństwa o dostęp z Intranetu resortu finansów dla klasy bezpieczeństwa B1 dla pozostałych klas bezpieczeństwa dla środowisk pomocniczych: o dostęp z Internetu o dostęp z Intranetu resortu finansów Każda warstwa jest farmą bloków architektonicznych B.PX.HTT, zarządzanych przez CPD MF. Bloki proxy, należące do tej samej farmy, mają identyczną konfigurację. Bloki proxy dostępne są w jednej konfiguracji pojemnościowej, obsługującej określoną ilość równoległych połączeń. Ilość bloków w danej farmie determinowana jest sumaryczną ilością wymaganych równoległych połączeń, obsługiwanych przez daną warstwę dostępową. Każdy blok danej warstwy dostępowej przechowuje identyczną konfigurację przekierowań do warstwy aplikacyjnej poprzez zestaw wpisów ProxyPass w definicjach domen wirtualnych (vhost), obsługiwanych przez daną warstwę. Każdy system informatyczny, którego funkcjonalność jest udostępniana, jest definiowany jako oddzielna domena wirtualna. Warstwy dostępowe widoczne są pod wirtualnymi adresami IP (VIP), które obsługiwane są przez urządzenie równoważenia obciążenia. Wartość atrybutu HTTPS wpływa na konfigurację urządzenia równoważącego ruch, które terminuje SSL, jeśli wymagany jest HTTPS. Poniżej przedstawiono wartości atrybutów bloków architektonicznych B.PX.HTT dla poszczególnych warstw dostępowych. Dostęp z Internetu, środowiska produkcyjne, klasa bezpieczeństwa B1 Atrybut Klasa Klasa bezpieczeństwa Wartość I B1 Wejście bloku Internet Lista przekierowań Zgodnie z wartością atrybutu Lista przekierowań usługi G013.PX.HTT Tabela 2 Wartości atrybutów dla warstwy Internet, środowiska produkcyjne, klasa bezpieczeństwa B1 Strona 14 z 96
Dostęp z Internetu, środowiska produkcyjne, pozostałe klasy bezpieczeństwa Atrybut Klasa Klasa bezpieczeństwa Wartość I B2 Wejście bloku Internet Lista przekierowań Zgodnie z wartością atrybutu Lista przekierowań usługi G013.PX.HTT Tabela 3 Wartości atrybutów dla warstwy Internet, środowiska produkcyjne, pozostałe klasy bezpieczeństwa Dostęp z Intranetu resortu finasów, środowiska produkcyjne, klasa bezpieczeństwa B1 Atrybut Klasa Klasa bezpieczeństwa Wartość I B1 Wejście bloku Intranet MF Lista przekierowań Zgodnie z wartością atrybutu Lista przekierowań usługi G013.PX.HTT Tabela 4 Wartości atrybutów dla warstwy Intranet resortu finasów, środowiska produkcyjne, klasa bezpieczeństwa B1 Dostęp z Intranetu resortu finansów, środowiska produkcyjne, pozostałe klasy bezpieczeństwa Atrybut Klasa Klasa bezpieczeństwa Wartość I B2 Wejście bloku Intranet MF Lista przekierowań Zgodnie z wartością atrybutu Lista przekierowań usługi G013.PX.HTT Tabela 5 Wartości atrybutów dla warstwy Intranet resortu finansów, środowiska produkcyjne, pozostałe klasy bezpieczeństwa Dostęp z Internetu, środowiska pomocnicze Atrybut Klasa Klasa bezpieczeństwa Wartość IV B2 Wejście bloku Internet Lista przekierowań Zgodnie z wartością atrybutu Lista przekierowań usługi G013.PX.HTT Tabela 6 Wartości atrybutów dla warstwy Internet, środowiska pomocnicze Dostęp z Intranetu resortu finansów, środowiska pomocnicze Atrybut Klasa Wartość IV Strona 15 z 96
Klasa bezpieczeństwa B2 Wejście bloku Intranet MF Lista przekierowań Zgodnie z wartością atrybutu Lista przekierowań usługi G013.PX.HTT Tabela 7 Wartości atrybutów dla warstwy Intranet resortu finansów, środowiska pomocnicze 3.1.1.7 Model logiczny usługi Model logiczny usługi G013.PX.HTT przedstawiono poniżej. Strona 16 z 96
cmp Warstwa dostępowa HTTP Użytkownik biznesowy Warstwa dostępowa HTTP CPD MF::Load Balancer Proxy HTTP 1 Proxy HTTP 2 Proxy HTTP 3 Proxy HTTP n Warstwa aplikacyjna CPD MF::Load Balancer wewnętrzny System biznesowy 1 System biznesowy n Rysunek 3 Model logiczny usługi G013.PX.HTT Strona 17 z 96
3.1.2 Dostęp SMTP 3.1.2.1 Metryka usługi Identyfikator G013.PX.SMT Nazwa Zapewnienie zewnętrznego dostępu do komponentu aplikacyjnego z wykorzystaniem protokołu SMTP Rodzaj usługi PaaS Wsparcie dla I klas systemów II III IV Wsparcie dla B3 klas BX bezpieczeństwa 3.1.2.2 Historia zmian Data Wersja Autor Opis zmian Utworzenie opisu usługi. 3.1.2.3 Opis usługi Usługa oferuje dostęp z sieci do funkcjonalności systemu biznesowego poprzez protokół SMTP. Usługa dostępowa jest realizowana przez warstwę dostępową, składającą się z farmy bloków proxy SMTP. 3.1.2.4 Atrybuty usługi Atrybut Dostępne wartości Opis Klasa I, II, III, IV Określa klasę systemu informatycznego, do którego dostęp będzie zapewniany. Klasa bezpieczeństwa Ilość połączeń równoległych Liczba wiadomości na godzinę/sekundę Lista przekierowań B1, B2, B3, BX Określa klasę bezpieczeństwa systemu informatycznego, do którego dostęp będzie zapewniany. N Określa maksymalną ilość równoległych połączeń SMTP do warstwy dostępowej. n/h, m/s Określa maksymalną liczbę wiadomości email przesyłanych w ciągu godziny/sekundy do systemu informatycznego. Lista postaci Adres w warstwie dostępowej -> adres w warstwie aplikacyjnej Tabela 8 Atrybuty usługi G013.PX.SMT 3.1.2.5 Wsparcie dla klas bezpieczeństwa Określa, jakie adresy w warstwie dostępowej SMTP są przekierowywane na jakie adresy w warstwie aplikacyjnej. Wsparcie dla klas bezpieczeństwa usług dostępowych jest opisane w opisie bloków, z których budowane są usługi. Warstwy dostępowe dla środowisk produkcyjnych są odseparowane od warstwy dostępowej środowisk pomocniczych zgodnie z mechanizmami klasy B1. 3.1.2.6 Realizacja usługi Usługa zapewniająca dostęp do funkcjonalności systemu informatycznego poprzez protokół SMTP Strona 18 z 96
jest zrealizowana poprzez trzy warstwy dostępowe: dla środowisk produkcyjnych: o dla klasy bezpieczeństwa B1 o dla pozostałych klas bezpieczeństwa dla środowisk pomocniczych Każda warstwa jest farmą bloków architektonicznych B.PX.SMT, zarządzanych przez CPD MF. Bloki proxy, należące do tej samej farmy, mają identyczną konfigurację. Bloki proxy dostępne są w jednej konfiguracji pojemnościowej, obsługującej określoną ilość równoległych połączeń oraz wiadomości na godzinę/sekundę. Ilość bloków w danej farmie determinowana jest sumaryczną ilością wymaganych równoległych połączeń i/lub sumaryczną liczbą wiadomości przesyłanych w ciągu godziny/sekundy, obsługiwanych przez daną warstwę dostępową. Każdy blok danej warstwy dostępowej przechowuje identyczną konfigurację przekierowań do warstwy aplikacyjnej poprzez zestaw wpisów w konfiguracji serwera pocztowego, przekierowujących pocztę z danego adresu zewnętrznego na serwer pocztowy w warstwie aplikacyjnej. Każdy system biznesowy, którego funkcjonalność jest udostępniana, jest definiowany w systemie DNS jako poddomena domeny mf.gov.pl lub mofnet.gov.pl. Jako MX (Mail Exchange) w DNS jest podawany adres wirtualny (VIP) farmy bloków proxy w warstwie dostępowej. Warstwy dostępowe widoczne są pod wirtualnymi adresami IP (VIP), które obsługiwane są przez urządzenie równoważenia obciążenia. Poniżej przedstawiono wartości atrybutów bloków proxy dla poszczególnych warstw dostępowych. Dostęp z Internetu, środowiska produkcyjne, klasa bezpieczeństwa B1 Atrybut Wartość Klasa I Klasa bezpieczeństwa B1 Wejście bloku Internet Lista przekierowań Zgodnie z wartością atrybutu Lista przekierowań usługi G013.PX.SMT Tabela 9 Wartości atrybutów dla warstwy Internet, środowiska produkcyjne, klasa bezpieczeństwa B1 Dostęp z Internetu, środowiska produkcyjne, pozostałe klasy bezpieczeństwa Atrybut Wartość Klasa I Klasa bezpieczeństwa B2 Wejście bloku Internet Lista przekierowań Zgodnie z wartością atrybutu Lista przekierowań usługi G013.PX.SMT Tabela 10 Wartości atrybutów dla warstwy Internet, środowiska produkcyjne, pozostałe klasy bezpieczeństwa Dostęp z Internetu, środowiska pomocnicze Atrybut Wartość Klasa IV Klasa bezpieczeństwa B2 Wejście bloku Internet Lista przekierowań Zgodnie z wartością atrybutu Lista przekierowań usługi G013.PX.SMT Strona 19 z 96
Tabela 11 Wartości atrybutów dla warstwy Internet, środowiska pomocnicze 3.1.2.7 Model logiczny usługi Model logiczny usługi G013.PX.SMT przedstawiono poniżej. cmp Warstwa dostępowa SMTP Użytkownik biznesowy Warstwa dostępowa SMTP CPD MF::Load Balancer Proxy SMTP 1 Proxy SMTP 2 Proxy SMTP 3 Proxy SMTP n Warstwa aplikacyjna CPD MF::Load Balancer wewnętrzny PI MCA Rysunek 4 Model logiczny usługi G013.PX.SMT Strona 20 z 96
3.2 Usługi bezpieczeństwa 3.2.1 Podpis elektroniczny Usługa podpisu elektronicznego została opisane w dokumencie Scenariusz wdrożenia infrastruktury klucza publicznego w środowisku IT CPD MF stanowiącym załącznik XVII do SOPZ. 3.3 Pozostałe usługi 3.3.1 Usługi terminalowe Usługi terminalowe zostały opisane w dokumencie Scenariusz wdrożenia infrastruktury systemu usług terminalowych w CPD MF stanowiącym załącznik XVII do SOPZ. 4. Opis bloków architektonicznych 4.1 Bloki Proxy 4.1.1 Proxy HTTP 4.1.1.1 Metryka bloku Identyfikator Nazwa Rodzaj bloku Wsparcie dla klas systemów Wsparcie dla klas bezpieczeństwa 4.1.1.2 Historia zmian B.PX.HTT Blok architektoniczny Proxy HTTP Blok typu PaaS I II III IV B3 BX Data Wersja Autor Opis zmian Utworzenie opisu bloku. 4.1.1.3 Opis bloku Blok architektoniczny udostępniający usługi serwera proxy HTTP. Blok ten jest wykorzystywany do budowy warstw dostępowych CPD MF, zarówno dla dostępu z Internetu jak i Intranetu resortu finansów. Warstwy dostępowe są wykorzystywane w celu realizacji zapewnienia zewnętrznego dostępu do komponentu aplikacyjnego z wykorzystaniem protokołu HTTP. 4.1.1.4 Atrybuty bloku Atrybut Dostępne wartości Opis Klasa I, II, III, IV Określa klasę systemu informatycznego, w którym wykorzystany będzie blok. Klasa B1, B2, B3, BX Określa klasę bezpieczeństwa systemu informatycznego, w którym bezpieczeństwa wykorzystany będzie blok. Wejście bloku Internet/Intranet MF Określa sieć, z której ma być dostępna funkcjonalność systemu informatycznego. Strona 21 z 96
Lista Lista postaci Adres w Określa, jakie adresy w warstwie dostępowej HTTP są przekierowywane na jakie przekierowań warstwie dostępowej -> adresy w warstwie aplikacyjnej. adres w warstwie aplikacyjnej Tabela 12 Atrybuty bloku architektonicznego B.PX.HTT 4.1.1.5 Wsparcie dla klas bezpieczeństwa W tabeli poniżej przedstawiono wsparcie bloku dla klas bezpieczeństwa w kontekście poszczególnych kategorii, opisanych w definicji klas bezpieczeństwa. Słowem TAK oznaczono możliwe poziomy wsparcia przez blok danej kategorii w obszarze bezpieczeństwa. Symbol oznacza brak wsparcia na danym poziomie. Symbol N/A oznacza, że dana kategoria nie dotyczy tego bloku. Pola oznaczone kolorem szarym oznaczają poziomy, które są mniejsze niż minimalne wspierane przez blok. Kategoria Poziom B3 B2 B1 Czy blok udostępnia mechanizmy ochrony kryptograficznej przesyłanych danych TAK biznesowych? Czy blok wykorzystuje mechanizmy ochrony kryptograficznej przesyłanych danych N/A N/A N/A konfiguracyjnych? Czy blok udostępnia mechanizmy ochrony kryptograficznej przechowywanych danych N/A N/A N/A biznesowych? Czy blok wykorzystuje mechanizmy ochrony kryptograficznej przechowywanych danych TAK TAK konfiguracyjnych? Czy blok udostępnia komponentom aplikacyjnym mechanizmy uwierzytelniania N/A N/A N/A użytkowników biznesowych? Czy blok udostępnia komponentom aplikacyjnym mechanizmy autoryzacji N/A N/A N/A użytkowników biznesowych? Czy blok wykorzystuje mechanizmy uwierzytelniania i autoryzacji użytkowników TAK - do celów administracyjnych? Czy zasoby bloku są odseparowane od zasobów innych systemów? TAK - - Czy blok udostępnia mechanizmy rejestrowania, monitorowania i audytu N/A N/A N/A zdarzeń? Czy blok wykorzystuje mechanizmy rejestrowania, monitorowania i audytu TAK zdarzeń dla celów administracyjnych? Czy blok wykorzystuje mechanizmy ochrony przed oprogramowaniem złośliwym? N/A N/A N/A Czy blok jest dostępny zdalnie (dostęp administracyjny)? 1 N/A N/A N/A Czy dostęp do bloku z innych sieci w celach administracyjnych podlega zabezpieczeniu? N/A N/A N/A Czy wymiana danych biznesowych z systemami w sieciach zewnętrznych TAK TAK podlega zabezpieczeniu? Tabela 13 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.PX.HTT 1 Dostęp zdalny jest zapewniany mechanizmami CPD MF, np. poprzez VPN Strona 22 z 96
Środowiska produkcyjne są odseparowane od środowisk pomocniczych zgodnie z mechanizmami separacji klasy B1. 4.1.1.6 Komponenty bloku architektonicznego Blok B.PX.HTT wchodzi w skład Platformy Aplikacyjnej i stanowi element usługi dostarczanej przez CPD MF w modelu PaaS. Blok zrealizowany jest przez pojedynczy serwer logiczny. Każdy serwer logiczny jest maszyną wirtualną, na której zainstalowany jest system operacyjny wraz z komponentami niezbędnymi do integracji ze wspomagającymi systemami infrastrukturalnymi oraz oprogramowanie serwera HTTP. Każdy serwer logiczny jest zrealizowany z komponentów przedstawionych w tabeli poniżej. Dostęp do bloku, a także konfiguracja komponentów wykorzystuje nazwy DNS. Blok został wyskalowany do obsłużenia 250 równoległych połączeń. Tabela 14 opisuje komponenty programowe bloku B.PX.HTT. Tabela 15 opisuje wartości atrybutów bloku B.VSR.PX realizującego jego infrastrukturę sprzętową. Komponent Standard/Czynnik/Parametr Wymagania szczegółowe Serwer HTTP Wymagania na oprogramowanie: S.SW.PX.HTT C.PX.HTT - oprogramowanie serwera HTTP instalowane w obszarze przestrzeni dla systemu operacyjnego Konfiguracja oprogramowania: - konfiguracja minimalna, wymagana dla zapewnienia funkcjonalności ProxyPass - zestaw przekierowań, podany zgodnie z wartością atrybutu Lista przekierowań, skonfigurowany w dedykowanej sekcji dla danego hosta wirtualnego, reprezentującego system, do którego dostęp jest zapewniany - pozostałe wymagania na konfigurację zgodnie z zaleceniami producenta oprogramowania. systemem monitorowania usług systemem zarządzania infrastrukturą serwerową i aplikacyjną Zgodnie z wymaganiami Systemu monitorowania usług w CPD MF (SZ_03) Zgodnie z wymaganiami Systemu zarządzania infrastrukturą serwerową i aplikacyjną w CPD MF (SZ_02) Bezpieczeństwo: - dostęp kontrolowany przez mod_kerb wraz z modułem mod_authnz_ldap - serwer HTTP zabezpieczony zgodnie z rekomendacjami producenta - jeśli wymagana jest instalacja dodatkowego oprogramowania, oprogramowanie powinno być zainstalowane w podkatalogu katalogu /opt - jeśli wymagana jest instalacja dodatkowego oprogramowania, oprogramowanie powinno być zainstalowane w podkatalogu katalogu /opt Strona 23 z 96
systemem backupowym systemem dystrybucji oprogramowania System Operacyjny Zgodnie z wymaganiami Systemu backupowego w CPD MF (AI_05) Zgodnie z wymaganiami Systemu dystrybucji oprogramowania w CPD MF (AI_15) Wymagania na oprogramowanie: S.SW.OS.X86 C.OS.X86.LNX.RH lub C.OS.X86.LNX.SU Backup dotyczy konfiguracji serwera HTTP i robiony jest po zmianie konfiguracji. - jeśli wymagana jest instalacja dodatkowego oprogramowania, oprogramowanie powinno być zainstalowane w podkatalogu katalogu /opt Wymagania infrastrukturalne: - dostęp do usługi DNS - synchronizacja czasu z serwerem NTP - adres IP przydzielony statycznie - system operacyjny oraz oprogramowanie infrastrukturalne: 10 GB Uwierzytelnienie: - w oparciu o mechanizmy Kerberos i centralne Active Directory CPD MF Bezpieczeństwo: - wykonany proces zabezpieczenia (hardeningu) systemu operacyjnego zgodnie z wymaganiami klas bezpieczeństwa Dostęp administracyjny: - za pośrednictwem SSH - granularny przydział uprawnień realizowany w oparciu o grupy użytkowników w Active Directory Audyt zdarzeń: - zgodnie z wymaganiami klas bezpieczeństwa - lokalne rejestrowanie zdarzeń syslog - centralne rejestrowanie zdarzeń syslog Lokalna zapora sieciowa: - zgodnie z wymaganiami klas bezpieczeństwa - iptables Tabela 14 Komponenty bloku architektonicznego B.PX.HTT Blok B.VSR.PX został opisany w załączniku nr VIII do SOPZ (Architektura referencyjna środowiska IT CPD MF). Atrybut Klasa systemu Klasa bezpieczeństwa Wartość Zgodnie z wartością atrybutu Klasa bloku architektonicznego B.PX.HTT B3 Liczba vcpu 2 Pamięć RAM VM 4 GB System Operacyjny Zgodnie z wartością typu komponentu System Operacyjny bloku architektonicznego B.PX.HTT Przestrzeń dyskowa dla OS 10 GB Przestrzeń dyskowa dodatkowa Brak Wymaganie wysokiej dostępności Nie Strona 24 z 96
Lokalizacja wejścia bloku Zgodnie z wartością atrybutu Wejście bloku bloku architektonicznego B.PX.HTT Tabela 15 Wartości atrybutów bloku B.VSR.PX realizującego infrastrukturę sprzętową bloku B.PX.HTT 4.1.1.7 Model logiczny bloku Model logiczny bloku architektonicznego B.PX.HTT przedstawiono poniżej. Strona 25 z 96
deployment Blok architektoniczny Proxy HTTP Użytkownik bloku CPD MF::Load Balancer Systemy infrastrukturalne Serwer wirtualny «executionenvironment» System operacyjny Linux rejestrowania, monitorowania i audytu zdarzeń Serwer proxy HTTP monitorowania usług Agent systemu zarządzania Agent systemu backupu zarządzania infrastrukturą serwerową i aplikacyjną backupu dystrybucji oprogramowania Rysunek 5 Model logiczny bloku architektonicznego B.PX.HTT Strona 26 z 96
4.1.2 Proxy SMTP 4.1.2.1 Metryka bloku Identyfikator Nazwa Rodzaj bloku Wsparcie dla klas systemów Wsparcie dla klas bezpieczeństwa 4.1.2.2 Historia zmian B.PX.SMT Blok architektoniczny Proxy SMTP Blok typu PaaS I II III IV B3 BX Data Wersja Autor Opis zmian Utworzenie opisu bloku. 4.1.2.3 Opis bloku Blok architektoniczny udostępniający usługi serwera proxy SMTP. Blok ten jest wykorzystywany do budowy warstwy dostępowej CPD MF, umożliwiającej dostęp z Internetu do funkcjonalności systemu biznesowego oraz wysyłanie komunikatów email przez systemy biznesowe. Warstwa dostępowa jest wykorzystywana w celu realizacji zapewnienia zewnętrznego dostępu do komponentu aplikacyjnego z wykorzystaniem protokołu SMTP. 4.1.2.4 Atrybuty bloku Atrybut Dostępne wartości Opis Klasa I, II, III, IV Określa klasę systemu informatycznego, w którym wykorzystany będzie blok. Klasa bezpieczeństwa Ilość połączeń równoległych Liczba wiadomości na godzinę/sekundę Lista przekierowań B1, B2, B3, BX Określa klasę bezpieczeństwa systemu informatycznego, w którym wykorzystany będzie blok. n Określa maksymalną ilość równoległych połączeń SMTP do bloku. n/h, m/s Określa maksymalną liczbę wiadomości email przesyłanych w ciągu godziny/sekundy do bloku. Lista postaci Adres w warstwie dostępowej -> adres w warstwie aplikacyjnej Tabela 16 Atrybuty bloku architektonicznego B.PX.SMT 4.1.2.5 Wsparcie dla klas bezpieczeństwa Określa, z których adresów w warstwie dostępowej SMTP i na jakie adresy w warstwie aplikacyjnej wiadomości email są przekierowywane. W tabeli poniżej przedstawiono wsparcie bloku dla klas bezpieczeństwa w kontekście poszczególnych kategorii, opisanych w definicji klas bezpieczeństwa. Słowem TAK oznaczono możliwe poziomy wsparcia przez blok danej kategorii w obszarze bezpieczeństwa. Symbol oznacza brak wsparcia na danym poziomie. Symbol N/A oznacza, że dana kategoria nie dotyczy tego bloku. Pola oznaczone kolorem szarym oznaczają poziomy, które są mniejsze niż minimalne wspierane przez blok. Strona 27 z 96
Kategoria Poziom B3 B2 B1 Czy blok udostępnia mechanizmy ochrony kryptograficznej przesyłanych danych TAK biznesowych? Czy blok wykorzystuje mechanizmy ochrony kryptograficznej przesyłanych danych N/A N/A N/A konfiguracyjnych? Czy blok udostępnia mechanizmy ochrony kryptograficznej przechowywanych danych N/A N/A N/A biznesowych? Czy blok wykorzystuje mechanizmy ochrony kryptograficznej przechowywanych danych TAK TAK konfiguracyjnych? Czy blok udostępnia komponentom aplikacyjnym mechanizmy uwierzytelniania N/A N/A N/A użytkowników biznesowych? Czy blok udostępnia komponentom aplikacyjnym mechanizmy autoryzacji N/A N/A N/A użytkowników biznesowych? Czy blok wykorzystuje mechanizmy uwierzytelniania i autoryzacji użytkowników TAK - do celów administracyjnych? Czy zasoby bloku są odseparowane od zasobów innych systemów? TAK - - Czy blok udostępnia mechanizmy rejestrowania, monitorowania i audytu N/A N/A N/A zdarzeń? Czy blok wykorzystuje mechanizmy rejestrowania, monitorowania i audytu TAK zdarzeń dla celów administracyjnych? Czy blok wykorzystuje mechanizmy ochrony przed oprogramowaniem złośliwym? N/A N/A N/A Czy blok jest dostępny zdalnie (dostęp administracyjny)? 2 N/A N/A N/A Czy dostęp do bloku z innych sieci w celach administracyjnych podlega zabezpieczeniu? N/A N/A N/A Czy wymiana danych biznesowych z systemami w sieciach zewnętrznych TAK TAK podlega zabezpieczeniu? Tabela 17 Wsparcie dla klas bezpieczeństwa bloku architektonicznego B.PX.SMT Środowiska produkcyjne są odseparowane od środowisk pomocniczych zgodnie z mechanizmami separacji klasy B1. 4.1.2.6 Komponenty bloku architektonicznego Blok B.PX.SMT wchodzi w skład Platformy Aplikacyjnej i stanowi element usługi dostarczanej przez CPD MF w modelu PaaS. Blok zrealizowany jest przez pojedynczy serwer logiczny. Każdy serwer logiczny jest maszyną wirtualną, na której zainstalowany jest system operacyjny wraz z komponentami niezbędnymi do integracji ze wspomagającymi systemami infrastrukturalnymi oraz 2 Dostęp zdalny jest zapewniany mechanizmami CPD MF, np. poprzez VPN Strona 28 z 96
oprogramowanie serwera SMTP. Każdy serwer logiczny jest zrealizowany z komponentów przedstawionych w tabeli poniżej. Dostęp do bloku, a także konfiguracja komponentów wykorzystuje nazwy DNS. Blok został wyskalowany do obsłużenia 100 równoległych połączeń oraz 50 wiadomości na sekundę. Tabela 18 opisuje komponenty programowe bloku B.PX.SMT. Tabela 19 opisuje wartości atrybutów bloku B.VSR.PX realizującego jego infrastrukturę sprzętową. Komponent Standard/Czynnik/Parametr Wymagania szczegółowe Serwer SMTP Wymagania na oprogramowanie: S.SW.PX.SMT C.PX.SMT - oprogramowanie serwera SMTP instalowane w obszarze przestrzeni dla systemu operacyjnego - przestrzeń na kolejki serwera SMTP: 5 GB Konfiguracja oprogramowania: - konfiguracja minimalna, wymagana dla zapewnienia funkcjonalności SMTP Relay - zestaw przekierowań, podany zgodnie z wartością atrybutu Lista przekierowań, skonfigurowany w dedykowanej sekcji dla danej domeny wirtualnej, reprezentującej system, do którego dostęp jest zapewniany - pozostałe wymagania na konfigurację zgodnie z zaleceniami producenta oprogramowania. systemem antywirusowym systemem monitorowania usług systemem zarządzania infrastrukturą serwerową i aplikacyjną systemem backupowym systemem dystrybucji oprogramowania Zgodnie z wymaganiami Systemu antywirusowego w CPD MF (AI_14) Zgodnie z wymaganiami Systemu monitorowania usług w CPD MF (SZ_03) Zgodnie z wymaganiami Systemu zarządzania infrastrukturą serwerową i aplikacyjną w CPD MF (SZ_02) Zgodnie z wymaganiami Systemu backupowego w CPD MF (AI_05) Zgodnie z wymaganiami Systemu dystrybucji oprogramowania w CPD MF (AI_15) Bezpieczeństwo: - serwer SMTP zabezpieczony zgodnie z rekomendacjami producenta - jeśli wymagana jest instalacja dodatkowego oprogramowania, oprogramowanie powinno być zainstalowane w podkatalogu katalogu /opt - jeśli wymagana jest instalacja dodatkowego oprogramowania, oprogramowanie powinno być zainstalowane w podkatalogu katalogu /opt - jeśli wymagana jest instalacja dodatkowego oprogramowania, oprogramowanie powinno być zainstalowane w podkatalogu katalogu /opt Backup dotyczy konfiguracji serwera SMTP i robiony jest po zmianie konfiguracji. Bezpieczeństwo: - Jeśli wymagany jest blok w klasie bezpieczeństwa B1, backup jest szyfrowany - jeśli wymagana jest instalacja dodatkowego oprogramowania, oprogramowanie powinno być zainstalowane w podkatalogu katalogu /opt Strona 29 z 96
System Operacyjny Wymagania na oprogramowanie: S.SW.OS.X86 C.OS.X86.LNX.RH lub C.OS.X86.LNX.SU Wymagania infrastrukturalne: - dostęp do usługi DNS - synchronizacja czasu z serwerem NTP - adres IP przydzielony statycznie - system operacyjny, oprogramowanie infrastrukturalne oraz oprogramowanie serwera SMTP: 10 GB Uwierzytelnienie: - w oparciu o mechanizmy Kerberos i centralne Active Directory CPD MF Bezpieczeństwo: - wykonany proces zabezpieczenia (hardeningu) systemu operacyjnego zgodnie z wymaganiami klas bezpieczeństwa Dostęp administracyjny: - za pośrednictwem SSH - granularny przydział uprawnień realizowany w oparciu o grupy użytkowników w Active Directory Audyt zdarzeń: - zgodnie z wymaganiami klas bezpieczeństwa - lokalne rejestrowanie zdarzeń syslog - centralne rejestrowanie zdarzeń syslog Lokalna zapora sieciowa: - zgodnie z wymaganiami klas bezpieczeństwa - iptables Tabela 18 Komponenty bloku architektonicznego B.PX.SMT Blok B.VSR.PX został opisany w załączniku nr VIII do SOPZ (Architektura referencyjna środowiska IT CPD MF). Atrybut Klasa systemu Klasa bezpieczeństwa Wartość Zgodnie z wartością atrybutu Klasa bloku architektonicznego B.PX.SMT B3 Liczba vcpu 2 Pamięć RAM VM 4 GB System Operacyjny Zgodnie z wartością typu komponentu System Operacyjny bloku architektonicznego B.PX.SMT Przestrzeń dyskowa dla OS 10 GB Przestrzeń dyskowa dodatkowa 5 GB Wymaganie wysokiej dostępności Nie Lokalizacja wejścia bloku Internet Tabela 19 Wartości atrybutów bloku B.VSR.PX realizującego infrastrukturę sprzętową bloku B.PX.SMT 4.1.2.7 Model logiczny bloku Model logiczny bloku architektonicznego B.PX.SMT przedstawiono poniżej. Strona 30 z 96
deployment Blok architektoniczny Proxy SMTP Użytkownik bloku Systemy infrastrukturalne CPD MF::Load Balancer antywirusowy Serwer wirtualny «executionenvironment» System operacyjny Linux rejestrowania, monitorowania i audytu zdarzeń Serwer proxy SMTP monitorowania usług Agent systemu zarządzania Agent systemu backupu zarządzania infrastrukturą serwerową i aplikacyjną backupu dystrybucji oprogramowania Rysunek 6 Model logiczny bloku architektonicznego B.PX.SMT Strona 31 z 96
4.2 Bloki aplikacyjne 4.2.1 Blok w technologii Java EE 4.2.1.1 Metryka bloku Identyfikator Nazwa Rodzaj bloku Wsparcie dla klas systemów Wsparcie dla klas bezpieczeństwa 4.2.1.2 Historia zmian B.AP.JBO Aplikacyjny blok architektoniczny w technologii Java EE Blok typu PaaS I II III IV B3 BX Data Wersja Autor Opis zmian Utworzenie opisu bloku. 4.2.1.3 Opis bloku Blok w technologii Java EE dostarcza usługi serwera aplikacji zgodnie ze specyfikacją Java EE, wykorzystując serwer aplikacyjny C.AP.JEE.JBO. Blok ten jest dostarczany celem zapewnienia dostępu do aplikacyjnego bloku architektonicznego w technologii Java EE. 4.2.1.4 Atrybuty bloku Atrybut Dostępne wartości Opis Klasa I, II, III, IV Określa klasę systemu informatycznego, w którym wykorzystany będzie blok. Klasa B1, B2, B3, BX Określa klasę bezpieczeństwa systemu informatycznego, w którym bezpieczeństwa wykorzystany będzie blok. vcpu 2, 4 Określa liczbę wirtualnych procesorów maszyny wirtualnej potrzebną dla instancji serwera aplikacji. RAM 1, 2, 4 Określa wielkość pamięci RAM przeznaczoną na stertę Java. Pozostałe atrybuty pamięci maszyny wirtualnej Java mają wartości standardowe. Przestrzeń 5 GB, 10 GB, całkowite Określa wielkość przestrzeni dyskowej na lokalnym systemie plików, wielokrotności 10 GB dedykowanej na binaria komponentu aplikacyjnego, dane pomocnicze, logi, itd. HA Tak, Nie Określa wymaganie wysokiej dostępności bloku, oznaczające odporność bloku na pojedynczy punkt awarii. Grupowanie Brak, Farma, Klaster Określa sposób grupowania serwerów logicznych w bloku. Grupowanie wydajnościowy podwyższa pojemność bloku. Krotność 1, 2, n Określa liczbę serwerów logicznych w farmie/klastrze wydajnościowym. IDM Tak, Nie Tabela 20 Atrybuty bloku architektonicznego B.AP.JBO 4.2.1.5 Ograniczenia na wartości atrybutów Określa wymaganie zapewnienia dostępu do usług systemu zarządzania tożsamością cyfrową w celu uwierzytelnienia i autoryzacji użytkowników biznesowych komponentu aplikacyjnego. Dopuszczalne kombinacje wartości atrybutów vcpu oraz RAM zaznaczono słowem TAK w tabeli poniżej. Strona 32 z 96