PrivatBankでの企業Linuxの実装

物語

PrivatBankでのLinuxの導入は2007年に始まりました。 この間、長い道のりを歩んできました。実装の経験をコミュニティと共有したいと思います。 現時点では、次の指標を達成しています。5か国にある4,000の支店でLinuxを使用して36,500を超える仕事をしています。
2007年には、ASPLinux 11.2が基盤として採用されました。 時間が経つにつれて、Fedora、openSUSE、Ubuntuなど、他のディストリビューションが代替として選択されました。 その後、独自の配布キットとワークステーション管理システムを作成する必要性が明らかになりました。 開発は2012年1月に始まりました。 ベースとして、Ubuntu 12.04 LTSがGnome Classic作業環境で選択されました（効果なし）。 主な論点：Ubuntu-近年最も一般的なデスクトップディストリビューション。 新たな問題の解決策を見つけやすい広大なコミュニティ。 実装の基礎としてGoogleによって選ばれたのは彼であり、ドイツ、フランスの州および地方自治体での実装の多くの例です。 制御システムの選択はPup​​petで停止しました。
2012年6月に移行が開始され、2013年1月までに、PCの約95％が既に企業OSに移行されました。 この移行のスピードは、従業員がすでにLinuxの経験を持っているという事実によるものです。

現在の実装により解決された主なタスク：

• 従業員の職場でのOSのサポートによるリソースの大幅な節約。
• ソフトウェアを最新の状態に保つ。
• 重要な更新を迅速に適用する機能（すべてのPCで最大1時間）。
• PCフリートと周辺機器に関する統計情報の収集と分析。
• 障害に対する予防的な対応のためのシステムの作成（イベントマネージャー）。

以下は、実装のコンポーネントのより詳細な説明です。

I.インストール

タスク：

• 時間の節約。
• OSをリモートでインストールする機能。
• 代替インストール方法。

OSをインストールして構成するには、4つの段階を経る必要があります。

1. Liveのダウンロード（4つの方法）;
2. 画像を展開します。
3. privat-setup（セットアップウィザード、Puppetへの接続）を実行します。
4. 周辺機器をセットアップします。

ブートメニュー

インストーラー（LIVE）

Ideologyは単なるインストーラーではなく、診断、情報回復、ウィンチェスタークリーニングなどの幅広い機能を備えたツールであり、リモート管理用のOpenSSHとx11vncも含まれています。 さらに、Liveを使用すると、システムの参照イメージが作成されます。 作成の基礎はからのマニュアルでした。 リソース。 Liveを毎回ゼロから作成し、新しいパッケージを追加し、設定をコピーし、いくつかのハッキングを行うスクリプトが作成されました。

LIVE-グラフィックモード

LIVEをダウンロードする方法：

• ネットワーク経由-主な方法、それを使用する場合、ダウンロードはローカルサーバーからdhcp + tftp + nfsを介して行われます（以下を参照）。
• usb-flash-スクリプトを実行して、起動可能なUSBフラッシュドライブを作成し、isolinux + grub4dosを使用します。
• cd-usb-flashに似た、歴史へのオマージュ。
• hdd-grub2からブートしてOSバージョンを更新します-14.04にアップグレードするための使用を計画しています。

システムイメージと展開

私たちの「バイク」は、xz圧縮のsquashfstoolsを使用して作成されています。そのため、そのボリュームは約1GBです。 この方法の主な利点は、ネットワークを介して同期するときに、差分のみがダウンロードされることです。 更新プロセス中にclonezillaまたはtar + xzによって作成されたイメージを使用する場合、イメージは実質的に再びポンピングされました（90％以上）。 xzはアンパック時に多くのメモリを消費し、メモリが少ない場合、システムはスワップし、展開プロセスは時間とともに大幅に伸びるので（少なくとも512 MB- 40分）。
イメージの展開中に、次のアクションが実行されます。

• MBR精製;
• パーティションテーブルの作成。
• スワップパーティションの作成。
• ルートパーティションの作成とフォーマット。
• squashfsイメージの展開;
• ホームパーティションの作成とフォーマット。
• GRUBインストール+ fstab編集。

平均して、一般的なPC（Intel Atom CPU D525以上、2GBのRAM）では、プロセスに約5分かかります。

プライベートセットアップ

実際に配布インストーラーを置き換え、debconfを使用して作成されます。 イメージがデプロイされた後に開始され、PCタイプ、ローカリゼーション、ホスト名、ホストをPuppetに接続する一意のパラメーターを設定できます。

パペットに接続する

II。 ローカルサーバー

Localserverは、キャッシュサーバーおよびネットワークブートとして機能するブランチPCです。 これは、システム全体の非常に重要な要素です。 これがないと、すべてのチャネルが更新トラフィックで過負荷になり、ネットワーク経由でLiveをダウンロードできませんでした。 ほとんどの場合、これらは広告を表示するパネルですが、24時間稼働しているすべてのPCがこの役割を果たすことができます。
次の機能を実行します。

1. apt-cacher（場合によっては、トラフィックの最大98％が保存されます）;
2. システムのインストールイメージと標準（毎晩）の同期。
3. ネットワークブートサーバー（tftp + nfs）;
4. 銀行内ソフトウェア更新の同期用サーバー。

Puppet Managerを使用して、このようなプロパティを追加するだけで、いつでもPCをローカルサーバーにできます。
顧客はどのようにローカルサーバーを見つけますか？ これにはavahiプロトコルが使用されます。 サーバー上でデーモンが起動され、ネットワーク上でサポートされているサービスを通知します。また、クライアント上では、サービスのためにネットワークを定期的に「ポーリング」するデーモンが起動されます。 結果は/ etc / hostsに書き込まれます。
また、defaultlocalserverメカニズムであるミドルオフィスのlocalserverが作成され、サブネット上にないlocalserverが置き換えられます。

作業ローカルサーバー

III。 運営管理

人形
すでに述べたように、Puppetは管理プラットフォームとして選択されました。 主な基準は、マニフェストの作成の容易さ、大規模なコミュニティ、Cisco、Google、Red Hatなどの企業によるプロジェクトサポートです。
クライアントは30分ごとに制御システムに接続します。 レポートを送信したタスクを完了した後、彼らは事実を送信し、タスクを取得します。
パペット機能：

• パスワードと構成ファイルを制御します。
• 重要なパッケージの関連性の監視。
• PCおよび周辺機器のインベントリ。
• PC負荷の監視。
• ソフトウェアおよびハードウェアのエラーを監視します。

パペットマネージャー
実装の時点で、Puppetにはフロントエンドとパペットダッシュボードの2つのフロントエンドがありましたが、どちらも必要な機能を完全に果たすことはできませんでした。 フロントエンドを作成することが決定されましたが、他のオプションを使用した場合には達成できなかった柔軟性が得られたため、非常に正しいことが判明しました。
Puppet Managerの主な機能：

• ホスト構成の生成。
• 事実と報告の分析。
• 領土および機能の理由によるPCのグループ化。
• 管理者権限の分離。
• ハードウェアおよびソフトウェア構成の表示、接続された周辺機器。
• PC負荷（CPU、RAM）のグラフィカル表示。
• フィルター
• イベントマネージャー（レポートおよびファクトの分析と、レベルおよびタイプによるその後のグループ化）。

Puppet Managerのフィルター

また、私たちの最新の開発であるイベントマネージャーについても個別にお知らせします。 監視システムから「借りた」という考え。 Event Managerの主なタスクは、システム管理者にリモートPCのステータスを監視するツールを提供し、ユーザーが報告する前に問題について知ることです。 デバイスから送信されたレポートに基づいて、デバイスのステータスを分析し、重要度に応じて配信したり、事実に基づいてイベントを生成したりできます。

イベントマネージャー

IV。 リポジトリ+タイムシフト

企業ネットワークは、Ubuntuリポジトリのミラーを作成しました。 また、公式ソフトウェアリポジトリに内部および不在用の独自のリポジトリ（100パッケージ）を作成しました。
カテゴリー：

• システムおよびユーザープロファイルの設定。
• 内部専用ソフトウェア。
• アプリケーションソフトウェア-POS端末用のソフトウェア。
• Wi-Fi、Webカメラ、MFPのドライバー。
• 非公式リポジトリソフトウェア-Chrome。

以下を作成する必要性は、企業OSを使用して3か月後に現れました。 次のカーネルアップデートがリリースされ（3.2.0-28）、ATIビデオカードを搭載したPCで、「スリープ状態になった」後、モニターの電源がオンになりませんでした。 このような状況を回避するための解決策は、タイムシフトを作成することでした。
タイムシフト-リポジトリの追加の「フリーズ」を2週間（linux mint debianエディションのフリーズシステムのアナログ）。
実際、3つのリポジトリがあります。

• current-現在のubuntu;
• テスト-1％のPCで2週間更新をテストします。
• 安定-残りの99％の安定バージョン。

タイムシフトの使用中に、パッケージのいくつかのバージョンが数回修正されました。 たとえば、カーネルの更新（3.2.0-38）があり、Intel Sandy Bridgeのビデオが「消えた」。

タイムシフトワークフロー

まとめ

上記に関心がある場合、システムコンポーネントの実装、組織的側面、Windowsプログラムの使用、TeamViewerの置き換え、eap-ttlsを使用したldapでの承認、重負荷に対するPuppetの最適化、正しいブートフラッシュドライブ、周辺機器、Wi-Fiなどのドライバー
企業OS開発およびサポートチームリーダー-Koval Bogdan