Utilizando estrutura de PKI interna para gerenciar o Microsft Azure.
Category: Azure, Azure Backup, Certificado Digital, Cloud, Hybrid Cloud, PKI Leave a Comment
Muitos clientes que estão utilizando o Microsoft Azure me perguntam sobre o gerenciamento integrado com System Center ou até mesmo alguns modelos de implementação de Nuvem Híbrida. E em diversas vezes esses clientes são de grandes empresas que já possuem uma infraestrutura de PKI implementada. E em alguns casos, para que você possa fazer essa integração ou implementação, será necessário emitir Certificados Digitais com características específicas que não vem configuradas por padrão em uma CA tradicional.
Para solucionar essa questão, em alguns casos, você terá que criar um novo template de emissão de certificados em sua CA. Veja abaixo alguns exemplos:
- Microsoft Azure Backup:
Para que você possa identificar quais servidores poderão fazer backup no Microsoft Azure em um Backup Vault, você precisa emitir um certificado digital para este servidor.
Tradicionalmente, você imaginaria que um certificado de Server Authentication funcionará, mas este certificado precisa atender a alguns requisitos para poder ser utilizado. No caso do Backup, se você tentar utilizar um certificado de Server Authentication tradicional, você receberá a seguinte mensagem:
Veja que o certificado tem que ter uma chave de no mínimo 2048 bits e a utilização de chave tem que estar configurada para Client Authentication. Veja um certificado de Server Authentication tradicional:
Para que o certificado possa ser utilizado. Você deve criar um template de certificado que atenda a estes requerimentos. Veja que o procedimento a seguir entende que você tem uma CA interna que não possui templates de certificados conforme o necessário. Se você tem alguma dúvida sobre isso, ou não é a pessoa que gerencia a infraestrutura de PKI, NÃO SIGA OS PASSOS ABAIXO:
Dentro da console de Certification Authority, clique com o botão direito em Certificate Templates. Você deverá criar um Template novo, a partir de um template já existente. Para isso, clique com o botão direito no Template desejado e selecione Duplicate Template. No meu caso, utilizei o certificado de WebServer, mas você poderia selecionar outro que acredita que atende melhor.
Na aba General, você deverá colocar as configurações de Nome do Template para sua organização. Na aba cryptography, você deverá especificar que o tamanho mínimo da chave deverá ser de 2048, veja:
Além disso, na aba Extensions, selecione Application Policies e clique em Edit. Veja que a política de aplicação está configurada para Server Authentication. Clique em Add e selecione Client Authentication. Ao final, a configuração deverá ficar da seguinte forma:
Obviamente, outras configurações podem ser feitas e você deve sempre seguir a política de Segurança e PKI de sua organização. Mas com estas configurações, o certificado será aceito pelo Azure.
Após configurar o template, faça a solicitação, mas quando for selecionar o template, selecione o template que foi criado no processo acima:
O arquivo com a chave privada (pfx) deve ser importado na máquina que será utilizada para executar o agente de backup do Azure, e o arquivo sem a chave privada (cer) deve ser importado no portal do Azure.
Espero que a dica tenha ajudado a entender melhor os requisitos de Certificado Digital do Azure e como utilizar uma PKI interna para isso.
Endpoints, Virtual Network e Máquinas Virtuais no Microsoft Azure.
Quando trabalhamos com o modelo de Máquinas Virtuais dentro do Azure, uma coisa que muitos clientes fazem é criar VMs que vão hospedar uma aplicação e publicar essa aplicação na Web. Para isso, simplesmente criar uma VM vai atender pois essa VM terá o que chamamos de Endpoint.
Endpoints são basicamente portas que serão abertas no endereço público que a VM receberá. Toda VM no Azure tem um endereço público que é o Cloud Service desta VM. Por exemplo, se a VM está hospedando uma aplicação Web que será acessada via porta 80, basta criar um Endpoint na porta 80 deste Cloud Service que a aplicação está disponível. Veja os exemplos abaixo:
Repare que no exemplo acima, além da porta 80, há também a porta 53 de DNS configurada apenas para UDP, além dos protocolos para Remote Desktop e Powershell. Estes 2 últimos são automaticamente configurados para que você possa gerenciar a VM.
Porém, nem todos os cenários são atendidos com essa configuração de VM isolada. Para muitas aplicações, há também a necessidade de se implantar vários componentes como Active Directory, SQL, Web e etc… Nestes cenários, há a possibilidade de criar uma Virtual Network para que estes componentes possa "conversar" entre si. Para criar uma Virtual Network dentro do Azure, dentro do Portal você deverá clicar em New, Network Services e depois em Virtual Network. Selecione a opção Custom Create para ter mais opções de configuração. Você terá a seguinte tela:
Neste momento você precisará nomear a rede e indicar um AffinityGroup. O AffinityGroup é um mecanismo utilizado pelo Azure para garantir que mesmo dentro de um datacenter, os recursos que pertencem ao AffinityGroup estejam sempre próximos. Se não estivessem dentro do mesmo AffinityGroup, apesar de estar no mesmo datacenter os recursos podem acabar ficando longe um do outro e ter até mesmo uma certa latência.
Na tela seguinte, você indica se terá algum servidor DNS que as VMs criadas nesta Virtual Network devem utilizar. Caso você não indique, o Azure irá indicar um servidor DNS para as VMs. Se você tem um cenário com Active Directory, é importante indicar seu servidor DNS/Domain Controller aqui. Outro ponto que você pode configurar é se terá conectividade via VPN à esta Virtual Network, mas falaremos disso em um outro post. Na tela seguinte, você irá indicar o Address Space de sua Virtual Network:
A configuração inicial coloca endereços de classe A, B e C tradicionais, mas você pode alterar esta configuração, além de adicionar múltiplas Subnets. Uma vez que você configurou o Address Space, você pode concluir a criação de sua Virtual Network.
Após a conclusão da criação da Virtual Network, você pode criar VMs, e a partir de agora, basta indicar a Virtual Network que você quer colocar esta VM. A tela abaixo é parte do processo de criação de uma VM, onde podemos indicar a Virtual Network que esta VM estará, veja:
Com a VM criada dentro desta Virtual Network, é possível verificar o IP que foi atribuído a ela, além de verificar todas as VMs que estão se comunicando dentro desta Virtual Network:
Café e Cloud Computing…
Category: Azure, Cloud, Relax da Semana 1 Comment
Há algum tempo, ouvi uma pessoa fazer uma comparação entre café e Cloud Computing, que achei muito interessante pois é uma analogia que qualquer pessoa vai entender facilmente. Basicamente, a ideia é explicar o que é TI On-Premisses e Cloud Computing nos modelos IaaS, PaaS e SaaS.
On-Premisses:
O modelo On-Premisses de TI é o modelo tradicional de TI. Neste modelo, muito trabalho é feito de forma manual para se atingir um resultado satisfatório. Comparando com Café, seria como comparar ao processo de preparar a terra, plantar o café, abrir um buraco no chão para captar água, colher o café, torrar, moer o café e depois disso fazer o café controlando todo o processo para se ter um café mais forte ou fraco dependendo do seu gosto.
O Modelo de IaaS é um modelo de Cloud Computing onde você tem uma abstração da Infraestrutura para se dedicar ao controle apenas da camada de Virtualização para cima. Seria mais ou menos como comparar ao processo de ir ao mercado e comprar um pó de café pronto onde você vai apenas se preocupar em fazer o café e controlar o processo para fazer ao seu gosto. Muito mais simples e inteligente do que On-Premissess, certo?
No modelo de Cloud Computing PaaS, você vai se preocupar apenas com a aplicação. Neste caso, você não precisa se preocupar com Máquina Virtual ou Sistema Operacional. Seria mais ou menos como comparar com uma cafeteira Nespresso. você compra o capsula, coloca na cafeteira, aperta um botão e pronto. Em qualquer lugar do mundo, o café será exatamente o mesmo. Melhor ainda, certo?
No modelo SaaS, você só se preocupa em utilizar uma aplicação que já esta pronta, não precisando se preocupar com nada do background desta aplicação. Seria mais ou menos como ir a um restaurante ou padaria e simplesmente pedir um café ao garçom. Com certeza, o menor trabalho possível.
E você, prefere seu café como?
Gerenciamento de Discos de Máquinas Virtuais no Azure
Se você está utilizando o recurso de Máquinas Virtuais do Microsoft Azure, um dos pontos que talvez você já tenha percebido é que é possível adicionar discos para estas VMs. Agora, alguns clientes tiveram problemas de perda de dados por má utilização e gostaria de explicar o funcionamento do recurso para você não passe pelo mesmo problema. Para começar, vamos verificar a configuração de uma VM padrão:
A imagem acima mostra o Windows Explorer de uma VM padrão do Azure. Veja que mesmo sendo uma VM padrão existem 2 discos. O Disco C:\ é o disco que foi utilizado para a instalação do Sistema Operacional. Porém, existe também o disco D:\. Esse disco é um disco Temporário e NÃO DEVE DE FORMA ALGUMA SER UTILIZADO PARA ARMAZENAR QUALQUER DADO! A função deste disco é apenas armazenar qualquer configuração temporária desta VM.
Se você precisar de um disco adicional para armazenar os dados de uma aplicação, ou para qualquer outro motivo, você deve adicionar um disco via portal do Azure. Veja:
A tela acima fica disponível quando você seleciona a VM que você quer adicionar o disco. Selecionando a opção "Attach Empty Disk" você poderá informar os parâmetros do disco que você quer adicionar a esta Máquina Virtual. Veja:
Uma vez que você fornece os parâmetros, o disco fica disponível na VM. No exemplo acima, adicionei um disco de 05 GB a VM. No Server Manager da máquina posso então gerenciar o disco:
Neste caso, posso atribuir uma letra desejada a este disco e vê-lo no Windows Explorer. O ponto mais importante aqui é que este disco poderá ser utilizado para armazenar qualquer dado. Mesmo que a VM seja desligada, os dados serão persistentes ao disco, assim como o disco de sistema. Porém os dados do disco temporário, poderão (De fato, serão) perdidos caso você reinicie a VM.
Espero que esta dica ajude-o a evitar perda de dados em VMs do Azure!
Para saber mais sobre como gerenciar discos no Microsoft Azure, confira aqui.
Microsoft Azure Iaas como Visionário no Quadrante Mágico do Gartner!
Como falei há alguns posts atrás, o Windows Azure oferece diversos serviços. Um destes serviços é chamado de "Infraestrutura como Serviço" ou IaaS. Dentro do Azure, isso é conhecido como Azure Virtual Machine. Vale lembrar aqui que o Windows Azure nasceu com a proposta de PaaS ou "Plataforma como Serviço. O Azure Virtual Machine esteve disponível como Preview desde o ano passado e há cerca de 4 meses está em disponibilidade geral.
Ainda assim, no último relatório do Gartner sobre IaaS a Microsoft, com o Windows Azure, foi posicionada como um player Visionário. Isso mostra como a visão de Nuvem Híbrida (IaaS + PaaS + Hibrida) é uma visão acertada e oferece benefícios aos seus clientes. Tenho certeza que essa visão deve levar a Microsoft a uma posição cada vez melhor nestas análises no futuro.
Para conferir o post no Blog do time de produto, veja aqui.
E para conferir o relatório completo do Gartner, veja aqui.
IaaS no Windows Azure – Faça o curso no MVA!
Se você está começando com Windows Azure o melhor ponto de partida, com certeza, é o Microsoft Virtual Academy. No MVA existem academias sobre diversos assuntos, e um deles é Infraestrutura como Serviço (IaaS) no Windows Azure. Se você quer conferir o curso, acesse aqui.
Neste curso, são abordados diversos tópicos como Criação de Máquinas Virtuais, Redes Virtuais, Active Directory no Windows Azure e muito mais.
Espero que gostem do curso. Com tempo iremos atualizando o conteúdo e adicionando mais conteúdo de Azure.