Planowanie wdrożenia sap przy użyciu programu SAP Deployment Automation Framework

SAP Deployment Automation Framework to narzędzie orkiestracji typu open source, które automatyzuje wdrożenia sap na Azure przy użyciu narzędzi Terraform i Ansible. Przed wdrożeniem należy zaplanować planowanie subskrypcji, zarządzania poświadczeniami i projektowania sieci wirtualnej.

W tym artykule opisano kluczowe decyzje dotyczące planowania, które należy podjąć przed rozpoczęciem wdrażania. Aby zapoznać się z ogólnymi zagadnieniami dotyczącymi projektowania SAP na Azure, zobacz Wprowadzenie do scenariusza wdrożenia SAP.

Planowanie subskrypcji

Wdróż płaszczyznę sterowania i strefy obciążenia w różnych subskrypcjach. Płaszczyzna sterowania powinna znajdować się w subskrypcji centrum, która hostuje składniki zarządzania platformy automatyzacji SAP.

Hostowanie systemów SAP w subskrypcjach typu spoke, które są przeznaczone dla systemów SAP. Możesz na przykład hostować systemy programistyczne w oddzielnej subskrypcji z dedykowaną siecią wirtualną. Systemy produkcyjne mogą znajdować się we własnej subskrypcji z dedykowaną siecią wirtualną.

Takie podejście zapewnia zarówno granicę zabezpieczeń, jak i jasne rozdzielenie obowiązków i obowiązków. Na przykład zespół SAP Basis może wdrażać systemy w strefach obciążeń, a zespół infrastruktury może zarządzać płaszczyzną sterowania.

Planowanie płaszczyzny sterowania

Wykonaj działania związane z wdrażaniem i konfiguracją z Azure Pipelines lub przy użyciu dostarczonych skryptów powłokowych bezpośrednio z hostowanych w Azure maszyn wirtualnych z systemem Linux. To środowisko jest nazywane płaszczyzną sterowania. Aby skonfigurować Azure DevOps dla platformy wdrażania, zobacz Kongurowanie Azure DevOps dla programu SAP Deployment Automation Framework. Aby skonfigurować maszyny wirtualne z systemem Linux jako narzędzie do wdrażania, zobacz Konfigurowanie maszyn wirtualnych z systemem Linux dla platformy SAP Deployment Automation Framework.

Przed zaprojektowaniem płaszczyzny sterowania należy wziąć pod uwagę następujące pytania:

• W których regionach należy wdrożyć systemy SAP?
• Czy istnieje dedykowana subskrypcja płaszczyzny sterowania?
• Czy istnieje dedykowane poświadczenie wdrożenia (jednostka usługi) dla płaszczyzny sterowania?
• Czy istnieje istniejąca sieć wirtualna, czy potrzebna jest nowa sieć wirtualna?
• W jaki sposób jest udostępniany wychodzący Internet dla maszyn wirtualnych?
• Czy zamierzasz wdrożyć Azure Firewall dla wychodzącej łączności z Internetem?
• Czy prywatne punkty końcowe są wymagane dla kont magazynowych i usługi Key Vault?
• Czy zamierzasz użyć istniejącej strefy private DNS dla maszyn wirtualnych lub użyć płaszczyzny sterowania do hostowania Prywatna strefa DNS?
• Czy zamierzasz używać Azure Bastion do bezpiecznego dostępu zdalnego do maszyn wirtualnych?
• Czy zamierzasz użyć aplikacji internetowej konfiguracji programu SAP Deployment Automation Framework do wykonywania działań związanych z konfiguracją i wdrażaniem?

Płaszczyzna sterowania

Płaszczyzna sterowania zapewnia następujące usługi:

• Maszyny wirtualne do wdrażania, które wykonują wdrożenia Terraform i konfigurację Ansible, a także działają jako agenci hostowani lokalnie w Azure DevOps.
• Magazyn kluczy, który zawiera poświadczenia wdrożenia (zasady usługi) używane przez program Terraform podczas realizacji wdrożeń.
• Azure Firewall w celu zapewnienia wychodzącej łączności z Internetem.
• Azure Bastion w celu zapewnienia bezpiecznego dostępu zdalnego do wdrożonych maszyn wirtualnych.
• Konfiguracja aplikacji internetowej Azure dla programu SAP Deployment Automation Framework do wykonywania działań konfiguracyjnych i wdrożeniowych.

Płaszczyzna sterowania jest definiowana przy użyciu dwóch plików konfiguracji, po jednej dla narzędzia wdrażania i jednej dla biblioteki SAP.

Plik konfiguracji narzędzia wdrażania definiuje informacje o regionie, nazwie środowiska i sieci wirtualnej. Na przykład:

# Deployer Configuration File
environment = "MGMT"
location = "westeurope"

management_network_logical_name = "DEP01"

management_network_address_space = "10.170.20.0/24"
management_subnet_address_prefix = "10.170.20.64/28"

firewall_deployment = true
management_firewall_subnet_address_prefix = "10.170.20.0/26"

bastion_deployment = true
management_bastion_subnet_address_prefix = "10.170.20.128/26"

use_webapp = true

webapp_subnet_address_prefix = "10.170.20.192/27"
deployer_assign_subscription_permissions = true

deployer_count = 2

use_service_endpoint = false
use_private_endpoint = false
public_network_access_enabled = true

Zagadnienia dotyczące systemu DNS

Podczas planowania konfiguracji DNS dla platformy automatyzacji należy wziąć pod uwagę następujące pytania:

• Czy istnieje istniejący prywatny system DNS, z którym można zintegrować rozwiązania, lub czy należy użyć niestandardowej prywatnej strefy DNS dla środowiska wdrażania?
• Czy zamierzasz używać wstępnie zdefiniowanych adresów IP dla maszyn wirtualnych lub zezwolić Azure na dynamiczne przypisywanie ich?

Aby zintegrować z istniejącą prywatną strefą DNS, podaj następujące wartości w plikach tfvars :

management_dns_subscription_id = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
#management_dns_resourcegroup_name = "RESOURCEGROUPNAME"
use_custom_dns_a_registration = false

Bez tych wartości prywatna strefa DNS jest tworzona w grupie zasobów biblioteki SAP.

Aby uzyskać więcej informacji, zobacz szczegółowe wyjaśnienie sposobu konfigurowania narzędzia do wdrażania.

Konfiguracja biblioteki SAP

Grupa zasobów biblioteki SAP udostępnia magazyn dla nośników instalacyjnych SAP, plików Bill of Material, plików stanu programu Terraform i, opcjonalnie, prywatnych stref DNS. Plik konfiguracji definiuje region i nazwę środowiska dla biblioteki SAP. Aby uzyskać informacje o parametrach i przykłady, zobacz Konfigurowanie biblioteki SAP na potrzeby automatyzacji.

Planowanie strefy obciążenia

Większość poziomów aplikacji SAP jest partycjonowana w różnych warstwach. W programie SAP Deployment Automation Framework te warstwy są nazywane strefami obciążenia. Na przykład mogą istnieć różne strefy obciążenia dla systemów programistycznych, jakościowych i produkcyjnych. Aby uzyskać więcej informacji, zobacz Strefy obciążenia.

Strefa obciążenia udostępnia następujące usługi udostępnione dla aplikacji SAP:

• Azure Virtual Network dla sieci wirtualnych, podsieci oraz grup zabezpieczeń sieci.
• Azure Key Vault do przechowywania poświadczeń maszyny wirtualnej i systemu SAP.
• Konta Azure Storage na potrzeby diagnostyki rozruchu i Cloud Witness.
• Magazyn udostępniony dla systemów SAP, Azure Files lub Azure NetApp Files.

Przed zaprojektowaniem układu strefy obciążenia należy wziąć pod uwagę następujące pytania:

• W których regionach należy rozmieścić zadania?
• Ile stref obciążenia wymaga twój scenariusz (programowanie, kontrola jakości i produkcja)?
• Czy wdrażasz nowe sieci wirtualne, czy używasz istniejących sieci wirtualnych?
• Jakiego typu pamięci potrzebujesz do udostępniania plików (sieciowy udział plików Azure Files (NFS) lub Azure NetApp Files)?
• Czy zamierzasz wdrożyć bramę NAT w celu zapewnienia wychodzącej łączności z Internetem?

Domyślna konwencja nazewnictwa stref obciążenia to [ENVIRONMENT]-[REGIONCODE]-[NETWORK]-INFRASTRUCTURE. Na przykład DEV-WEEU-SAP01-INFRASTRUCTURE jest to środowisko projektowe hostowane w regionie Europa Zachodnia przy użyciu sieci wirtualnej SAP01. PRD-WEEU-SAP02-INFRASTRUCTURE jest przeznaczony dla środowiska produkcyjnego hostowanego w regionie Europa Zachodnia przy użyciu sieci wirtualnej SAP02.

Oznaczenia SAP01 i SAP02 definiują nazwy logiczne sieci wirtualnych Azure. Mogą one służyć do dalszego partycjonowania środowisk. Załóżmy, że potrzebujesz dwóch Azure sieci wirtualnych dla tej samej strefy obciążenia. Na przykład może istnieć scenariusz z wieloma subskrypcjami, w którym hostujesz środowiska deweloperskie w dwóch subskrypcjach. Dla każdej sieci wirtualnej można użyć różnych nazw logicznych. Można na przykład użyć funkcji DEV-WEEU-SAP01-INFRASTRUCTURE i DEV-WEEU-SAP02-INFRASTRUCTURE.

Aby uzyskać więcej informacji, zobacz Konfigurowanie wdrożenia strefy obciążenia na potrzeby automatyzacji.

wdrożenia oparte na Windows

Podczas wykonywania wdrożeń opartych na Windows maszyny wirtualne w sieci wirtualnej strefy obciążenia muszą być w stanie komunikować się z Active Directory, aby dołączyć maszyny wirtualne SAP do domeny Active Directory. Podana nazwa DNS musi być rozpoznawana przez Active Directory.

Platforma SAP Deployment Automation Framework nie tworzy kont w Active Directory, dlatego konta muszą być wstępnie utworzone i przechowywane w magazynie kluczy strefy obciążenia.

Ustawienia DNS

W przypadku scenariuszy wysokiej dostępności rekord DNS jest wymagany w Active Directory dla klastra usług centralnych SAP. Rekord DNS należy utworzyć w strefie DNS Active Directory. Nazwa rekordu DNS jest zdefiniowana jako [sid]>scs[scs instance number]cl1. Na przykład w01scs00cl1 jest używany dla klastra, W01 dla SID, a 00 dla numeru wystąpienia.

Zarządzanie poświadczeniami

Platforma automatyzacji używa zasad usługi do wdrażania infrastruktury. Zalecamy używanie różnych poświadczeń wdrożenia (głównych usług serwisowych) dla każdej strefy obciążenia. Framework przechowuje te poświadczenia w magazynie kluczy wdrażającego. Następnie platforma pobiera te poświadczenia dynamicznie podczas procesu wdrażania.

Zarządzanie poświadczeniami systemu SAP i maszyn wirtualnych

Platforma automatyzacji korzysta z magazynu kluczy w strefie obciążenia do przechowywania zarówno poświadczeń użytkownika platformy automatyzacji, jak i poświadczeń systemu SAP. W poniższej tabeli wymieniono nazwy poświadczeń maszyny wirtualnej.

Tworzenie jednostki usługi

Aby utworzyć obiekt główny usługi:

1. Zaloguj się do Azure CLI przy użyciu konta z uprawnieniami do tworzenia pryncypała usługi.

2. Utwórz nowego głównego użytkownika usługi, uruchamiając polecenie az ad sp create-for-rbac. Pamiętaj, aby użyć nazwy opisowej dla elementu --name. Na przykład:

   az ad sp create-for-rbac --role="Contributor" --scopes="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e" --name="DEV-Deployment-Account"
   

3. Zanotuj dane wyjściowe. Do następnego kroku potrzebujesz identyfikatora aplikacji (appId), hasła (password) i identyfikatora dzierżawy (tenant). Na przykład:

   {
       "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
       "displayName": "DEV-Deployment-Account",
       "name": "http://DEV-Deployment-Account",
       "password": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
       "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

4. Przypisz rolę administratora dostępu użytkownika do podmiotu usługi. Na przykład:

   az role assignment create --assignee <your-application-ID> --role "User Access Administrator" --scope /subscriptions/<your-subscription-ID>/resourceGroups/<your-resource-group-name>
   

Aby uzyskać więcej informacji, zobacz dokumentację Azure CLI dotyczącą tworzenia jednostki usługi.

Zarządzanie uprawnieniami

W zablokowanym środowisku może być konieczne przypisanie innego uprawnienia do jednostek usługi. Na przykład może być konieczne przypisanie roli Administratora dostępu użytkownika do pryncypała usługi.

Wymagane uprawnienia

W poniższej tabeli przedstawiono wymagane uprawnienia dla jednostek usługi.

Konfiguracja zapory

Przetestuj łączność z adresami URL maszyny wirtualnej z systemem Linux w Azure przy użyciu skryptu programu PowerShell, który używa funkcji run-command w Azure.

W poniższym przykładzie pokazano, jak przetestować łączność z adresami URL przy użyciu interaktywnego skryptu programu PowerShell.

$sdaf_path = Get-Location
if ( $PSVersionTable.Platform -eq "Unix") {
    if ( -Not (Test-Path "SDAF") ) {
      $sdaf_path = New-Item -Path "SDAF" -Type Directory
    }
}
else {
    $sdaf_path = Join-Path -Path $Env:HOMEDRIVE -ChildPath "SDAF"
    if ( -not (Test-Path $sdaf_path)) {
        New-Item -Path $sdaf_path -Type Directory
    }
}

Set-Location -Path $sdaf_path

git clone https://github.com/Azure/sap-automation.git

cd sap-automation
cd deploy
cd scripts

if ( $PSVersionTable.Platform -eq "Unix") {
 ./Test-SDAFURLs.ps1
}
else {
 .\Test-SDAFURLs.ps1
}

Struktura Metodyki DevOps

Platforma wdrażania używa trzech oddzielnych repozytoriów dla artefaktów wdrażania. W przypadku własnych plików parametrów najlepszym rozwiązaniem jest przechowywanie tych plików w zarządzanym repozytorium kontroli źródła.

Repozytorium główne

To repozytorium zawiera pliki parametrów Terraform oraz pliki potrzebne do playbooków Ansible dla wszystkich stref roboczych i wdrożeń systemowych.

Utwórz to repozytorium, klonując repozytorium bootstrapowego SAP Deployment Automation Framework do repozytorium systemu kontroli wersji.

Struktura folderów

Poniższa przykładowa hierarchia folderów pokazuje, jak utworzyć strukturę plików konfiguracji wraz z plikami struktury automatyzacji.

Nazwa pliku parametrów staje się nazwą pliku stanu programu Terraform. Z tego powodu użyj unikatowej nazwy pliku parametrów.

Repozytorium kodu

To repozytorium zawiera szablony automatyzacji Terraform, playbooki Ansible oraz pipeline'y i skrypty wdrażania. W większości przypadków użycia należy rozważyć to repozytorium jako tylko do odczytu i nie modyfikować go.

Aby utworzyć to repozytorium, sklonuj repozytorium SAP Deployment Automation Framework do swojego repozytorium kontroli wersji.

Nadaj temu repozytorium sap-automationnazwę .

Przykładowe repozytorium

To repozytorium zawiera przykładowe pliki bill of Materials i przykładowe pliki konfiguracji narzędzia Terraform.

Aby utworzyć to repozytorium, sklonuj repozytorium przykładów SAP Deployment Automation Framework do swojego repozytorium systemu kontroli wersji.

Nadaj temu repozytorium samplesnazwę .

Obsługiwane scenariusze wdrażania

Platforma automatyzacji obsługuje wdrażanie zarówno w nowych, jak i istniejących scenariuszach.

Regiony Azure

Przed wdrożeniem rozwiązania należy rozważyć, które regiony Azure wybrać. Różne regiony Azure mogą być brane pod uwagę w zależności od konkretnego scenariusza.

Platforma automatyzacji obsługuje wdrożenia w wielu regionach Azure. Każdy region gości:

• Infrastruktura wdrażania.
• Biblioteka SAP z plikami stanu i nośnikami instalacyjnymi.
• Strefy obciążenia 1-N.
• 1-N systemów SAP w strefach obciążenia.

Środowiska wdrażania

Jeśli obsługujesz wiele stref obciążenia w regionie, użyj unikatowego identyfikatora dla środowiska wdrażania i biblioteki SAP. Nie używaj identyfikatora strefy obciążenia. Na przykład, użyj MGMT do celów zarządzania.

Platforma automatyzacji obsługuje również posiadanie środowiska wdrażania i biblioteki SAP w oddzielnych subskrypcjach niż strefy obciążenia.

Środowisko wdrażania zapewnia następujące usługi:

• Co najmniej jedna maszyna wirtualna wdrożenia, która wykonuje wdrożenia infrastruktury przy użyciu systemu Terraform i wykonuje konfigurację systemu oraz instalację SAP przy użyciu playbooków Ansible.
• Magazyn kluczy, który zawiera informacje o tożsamości zasobu usługowego wykorzystywane przez wdrożenia Terraform.
• Składnik Azure Firewall, który zapewnia wychodzącą łączność z Internetem.

Plik konfiguracji wdrożenia definiuje informacje o regionie, nazwie środowiska i sieci wirtualnej. Na przykład:

# The environment value is a mandatory field, it is used for partitioning the environments, for example (PROD and NP)
environment = "MGMT"

# The location/region value is a mandatory field, it is used to control where the resources are deployed
location = "westeurope"

# management_network_address_space is the address space for management virtual network
management_network_address_space = "10.10.20.0/25"

# management_subnet_address_prefix is the address prefix for the management subnet
management_subnet_address_prefix = "10.10.20.64/28"

# management_firewall_subnet_address_prefix is the address prefix for the firewall subnet
management_firewall_subnet_address_prefix = "10.10.20.0/26"

# management_bastion_subnet_address_prefix is a mandatory parameter if bastion is deployed and if the subnets are not defined in the workload or if existing subnets are not used
management_bastion_subnet_address_prefix = "10.10.20.128/26"

deployer_enable_public_ip = false

firewall_deployment = true

bastion_deployment = true

Aby uzyskać więcej informacji, zobacz szczegółowe wyjaśnienie sposobu konfigurowania narzędzia do wdrażania.

Struktura strefy obciążenia

Większość konfiguracji sap ma wiele stref obciążenia dla różnych warstw aplikacji. Na przykład mogą istnieć różne strefy obciążenia na potrzeby programowania, zapewniania jakości i produkcji.

Utworzysz lub przyznasz dostęp do następujących usług w każdej strefie obciążenia:

• Azure sieci wirtualne dla sieci wirtualnych, podsieci i sieciowych grup zabezpieczeń.
• Azure Key Vault dla poświadczeń systemowych i głównego użytkownika usługi wdrażania.
• Azure Storage konta na potrzeby diagnostyki rozruchu i monitora w chmurze.
• Magazyn udostępniony dla systemów SAP, Azure Files lub Azure NetApp Files.

Przed zaprojektowaniem układu strefy obciążenia należy wziąć pod uwagę następujące pytania:

• Ile stref obciążenia wymaga Twój scenariusz?
• W których regionach należy rozmieścić zadania?
• Jaki jest twój scenariusz wdrażania?

Aby uzyskać więcej informacji, zobacz Konfigurowanie wdrożenia strefy obciążenia na potrzeby automatyzacji.

Konfiguracja systemu SAP

System SAP zawiera wszystkie składniki Azure wymagane do hostowania aplikacji SAP.

Przed skonfigurowaniem systemu SAP należy wziąć pod uwagę następujące pytania:

• Jakiego zaplecza bazy danych chcesz użyć?
• Ile serwerów baz danych potrzebujesz?
• Czy twój scenariusz wymaga wysokiej dostępności?
• Ile serwerów aplikacji potrzebujesz?
• Ile potrzebnych jest dyspozytorów internetowych, jeśli istnieje?
• Ile wystąpień usług centralnych potrzebujesz?
• Jakiego rozmiaru potrzebujesz maszyny wirtualnej?
• Którego obrazu maszyny wirtualnej chcesz użyć? Czy obraz jest na Azure Marketplace czy niestandardowy?
• Czy wdrażasz aplikację w scenariuszu wdrożeniowym nowym czy istniejącym?
• Jaka jest strategia alokacji adresów IP? Czy chcesz, aby Azure ustawił adresy IP, czy wolisz użyć ustawień niestandardowych?

Aby uzyskać więcej informacji, zobacz Konfigurowanie systemu SAP na potrzeby automatyzacji.

Przepływ implementacji

Podczas planowania wdrożenia należy wziąć pod uwagę ogólny przepływ. Istnieją trzy główne kroki wdrażania systemu SAP w Azure z platformą automatyzacji.

1. Wdróż płaszczyznę sterowania. Ten krok umożliwia wdrożenie składników w celu obsługi platformy automatyzacji SAP w określonym regionie Azure.

   1. Utwórz środowisko wdrażania.
   2. Utwórz wspólny magazyn danych dla plików stanu programu Terraform.
   3. Utwórz udostępnioną przestrzeń dla nośnika instalacyjnego SAP.

2. Wdróż strefę obciążenia. Ten krok wdraża składniki strefy obciążenia, takie jak sieć wirtualna i skarbce na klucze.

3. Wdróż system. Ten krok obejmuje infrastrukturę wdrożenia systemu SAP oraz konfigurację sap i instalację sap.

Konwencje nazewnictwa

Struktura automatyzacji używa domyślnej konwencji nazewnictwa. Jeśli chcesz użyć niestandardowej konwencji nazewnictwa, zaplanuj i zdefiniuj nazwy niestandardowe przed wdrożeniem. Aby uzyskać więcej informacji, zobacz Konfigurowanie konwencji nazewnictwa.

Ustalanie rozmiaru dysku

Jeśli chcesz skonfigurować niestandardowe rozmiary dysków, pamiętaj, aby zaplanować konfigurację niestandardową przed wdrożeniem.

Treści powiązane

• Omówienie platformy SAP Deployment Automation Framework
• Konfigurowanie płaszczyzny sterowania
• Konfigurowanie wdrożenia strefy obciążenia
• Ręczne wdrażanie struktury automatyzacji