Выход нового пакета ПО Oracle IAMS 11gR2

На русскоязычной страничке сайта Oracle опубликован пресс-релиз об анонсе Oracle Identity Management 11g Release 2. Англоязычное мероприятие (webcast) состоялось 19 июля и положило начало массовому появлению новых материалов по теме. Наиболее полную информацию можно найти на официальном блоге Oracle Identity Management; в частности, рекомендую посмотреть сессию вопросов и ответов.

В настоящий момент уже обновилась страница сертификации; вы можете посмотреть, что именно вошло в этот релиз, на чем работает и с чем прединтегрированно, скачав таблицу "System Requirements and Supported Platforms for Oracle Identity and Access Management 11g Release 2 (11.1.2.x)". Также доступна новая документация на Oracle IAMS, OUD и OESSO.

Приблизительно через месяц у нас в офисе запланировано мероприятие по знакомству с новым функционалом, но наиболее нетерпеливые могут почитать о нем во множестве только что опубликованных брошюр на страничках продуктов OTN. Интересно, что обновились статьи даже у решений, формально не входящих в релиз 11gR2; например, у OIF.

Корпорация Oracle в очередной раз продемонстрировала способность создавать и развивать новейшие технологии, востребованные заказчиками. Вместе с Партнерской организацией мы готовы внедрять и поддерживать их на нашей территории. Призываем первопроходцев к более глубокому знакомству и тестированию. Дистрибутивы должны быть опубликованы в течение нескольких дней.


ДОПОЛНЕНИЕ ОТ 10 АВГУСТА 2012 Г.

На https://edelivery.oracle.com/ в разделе Oracle Fusion Middleware выложен новый Identity Management 11g R2 Media Pack... В ближайшее время должна обновиться информация по лицензированию Oracle IdM; изменения связаны с появлением нового функционала и общей тенденцией к группировке отдельных продуктов в пакеты решений.

Новости партнеров

Еще один крупный системный интегратор России получил статус специализированного партнера Oracle в сфере информационной безопасности! На сайте компании "Астерос" 28 июня 2012 г. опубликован пресс-релиз, свидетельствующий о подтверждении ими специализаций Oracle Identity Administration and Analytics и Oracle Database Security Options.
Поздравляем команду "Астерос" и желаем новых крупных проектов, таких, как внедрение системы ролевого управления IT-привилегиями в ОАО "Мегафон". Технически сложное территориально-распределенное решение на основе Oracle Identity Manager и Oracle Role Manager потребовало от системного интегратора мобилизации ресурсов, освоения новых технологий и напряженной, но плодотворной работы. Итог - одно из самых крупных внедрений IdM-решений в нашей стране!

Еще один партнер отчитался о успешном завершении пары проектов - на сайте компании Крок появились пресс-релизы о внедрении системы защиты персональных данных в страховой компании РОСНО и системы защиты информации, хранящейся в электронном виде, в банке Уралсиб.
Первый проект примечателен тем, что сразу создавалась комплексная система, включающая модуль управления IT-привилегиями на основе кадровой информации (OIM) и модуль контроля доступа к бизнес-приложениям (OAM). Специалистам Крок одним из первых пришлось строить решение на 11 версии Oracle IAMS, по ходу проекта осваивая новые технологии и разрабатывая специализированные интеграционные плагины.
Ну, а внедренная в Уралсибе система защиты документов на основе политик Oracle Information Rights Management - это вообще первый референс на нашей территории. И тут команде Крок довелось продемонстрировать высокую квалификацию и творческий подход к решению технических и архитектурных вопросов (например, для организации защиты информации корпоративного каталога при доступе к IRM-серверу извне организации).

Последняя на сегодня новость посвящена выходу свежего выпуска информационного бюллетеня Jet Info "Защита банков от мошенничества". Приятно, что сотрудники Центра информационной безопасности компании "Инфосистемы Джет" дали высокую оценку нашему комплексу защиты систем дистанционного банковского обслуживания на базе Oracle Adaptive Access Manager.

Обновление сертифицированного набора ПО Oracle IAMS 11g прошло инспекционный контроль

Выполняя обязательства перед Российскими заказчиками, желающими использовать сертифицированные средства защиты информации, Московское Представительство компании Oracle вместе с ООО "ФОРС-Центр разработки" завершило проверку обновления программного кода Oracle Identity & Access Management Suite 11g.

По результатам инспекционного контроля 25 мая 2012 г. в ТУ и Формуляр сертифицированного по требованиям ФСТЭК России программного обеспечения Oracle IAMS 11g внесены изменения, позволяющие заказчикам использовать версию 11.1.1.5 (11g R1 PS1) наряду с изначально испытанной версией 11.1.1.3.

Номер (2238), срок действия сертификата соответствия (до 23 декабря 2013 г.), а также общее число дистрибутивов (200) не изменились. Новые заказчики ПО Oracle Identity & Access Management Suite могут получить сертифицированные наборы по опубликованному регламенту, сразу указав интересующую их версию. Пользователи сертифицированного набора версии 11.1.1.3, желающие перейти на версию 11.1.1.5, могут сдать старый набор и получить взамен новый.

Обновление рекомендовано для заказчиков, желающих расширить функциональность Oracle Access Manager (новые модули аутентификации, ASDK, прединтегрированный Security Token Service и пр.) или Oracle Identity Manager (поддержка Identity Connector Framework, готовые сценарии апгрейда с версии 9.1 и пр.) для усиления защиты своей серверной инфраструктуры.

ДОПОЛНЕНИЕ ОТ 28 ДЕКАБРЯ 2012 Г.
См. сообщение Уточнения Регламента получения сертифицированных дистрибутивов.

IdM-платформа Oracle

Давно я не маркировал сообщения ярлыком "Books", и вот появился повод - вышла полезная брошюра "The Oracle IdM Platform - Identity Services at Internet Scale".

Примерно год назад тема IdM-платформы Oracle промелькнула в маркетингово-экономическом исследовании "IAM Integrated - Analyzing the Platform vs. Point Solution Approach". На основе опроса и разбора финансовых показателей аналитики Aberdeen Group подводили читателей к мысли о полезности комплексного подхода, давали замечательные советы по выбору решения и отмечали достижения Oracle в этой области.

На этот раз г-н Mike Neuenschwander, бывший VP & Research Director at Burton Group, бывший Senior Product Manager at Novell Inc., а ныне - Senior Director of Product Management for Oracle's Identity Portfolio, развивает тему унифицированных и масштабируемых сервисов безопасности с использованием более технических аргументов.

Проведено позиционирование отдельных решений, представлены несколько сценариев работы и планы развития продуктов (честно говоря, не слишком далекие; релиз описанного IAMS 11gR2 намечен на июль).



В общем, рекомендую; жмите на ссылку

Встроенная безопасность в приложениях Oracle FWM

В конце марта обновилась брошюра Oracle Fusion Middleware Licensing Information; и это обновление прекрасно иллюстрирует то, "о чем так долго говорили большевики" - наши программные решения все глубже проникают друг в друга. В данном случае речь пойдет о наиболее глубоком проникновении одной из технологий безопасности в продукты FMW для разработки, интеграции, отчетности и совместной работы. Но давайте обо всем по-порядку...
Долгое время наши IdM-решения являлись потребителями "дружественных" технологий, которые поставлялись в виде ограниченных лицензий. Подробно об этом написано в соответствующей главе, а кратко проиллюстрировано на картинке ниже (указаны не все продукты).

Но постепенно ситуация менялась; сначала заказчикам (старого) Oracle Internet Application Server разрешили ограниченно использовать новые технологии аутентификации и контроля доступа через лицензии OAM Basic, затем добавились ограниченные лицензии на наш каталог и вот недавно - на средство внешней авторизации OES Basic. Подробности смотрите в описаниях продуктов, а кратко - на картинке ниже.

А это значит, что, например, заказчик WebCenter Portal без дополнительных лицензионных затрат сможет использовать OAM для организации SSO между компонентами портала, OID - для хранения пользовательских атрибутов и OES для защиты всевозможных элементов страницы - закладок, портлетов, таблиц, текстовых полей, кнопок, графиков, элементов меню и структурированной информации - с помощью гибких, легко модифицируемых политик авторизации.

Что же касается разработчиков, то они получат возможность выбора механизма авторизации - через OPSS JAZN или с помощью OES. После миграции политик безопасности из файла jazn-data.xml в хранилище политик OES на базе СУБД вместо существующих инструментов авторизации ADF они смогут использовать удобные интерфейсы APM (он же - Authorization Policy Manager, он же - OES Admin Server). Кроме того, задумана авторизация OES на уровне строк СУБД через TopLink; при этом строки должны быть помечены с помощью меток Virtual Private Database или Label Security.

Для справки, Oracle Entitlements Server - наша реализация референсной архитектуры XACML.

Предрелизная версия OES 11gR2 недавно успешна прошла испытания на соответствие стандартам XACML 3, а совместимый с текущей версией OES Security Module for Microsoft Office SharePoint Server пару недель назад был выложен на сайте поддержки "по просьбам трудящихся" (см. OES Patch 13713980)

Успешное внедрение OAM в Банке ВТБ

Наш партнер РДТЕХ отчитался о завершении очередного этапа проекта по сопровождению подсистемы управления доступом в Банке ВТБ. В этой крупной финансовой организации много внимания уделяется информационной безопасности, и мы рады тому, что банк успешно реализовал несколько проектов на базе технологий Oracle. На сайте РДТЕХ можно найти упоминания о внедрениях решений безопасности на уровне СУБД (Label Security и Audit Vault), сервера приложений (Enterprise Single Sign-On, Identity Manager и Access Manager), а также - об их объединении (Enterprise User Security).
Желаем уважаемому заказчику и нашему специализированному партнеру РДТЕХ дальнейших успехов!

Cервера Exa-стека и лицензирование ПО Oracle по процессорам

Продолжая тему лицензирования ПО Oracle по процессорам, нельзя пройти мимо наших инженерных систем Exa-стека. Интрига заключается в том, что текущие версии Exadata 2-2 и Exalogic 2-2 используют шестиядерные Intel Xeon X5675, а Exadata 2-8 – десятиядерные Intel Xeon E7-8870, т.е. работают на процессорах, которым немного "досталось" в моем предыдущем посте. Давайте пройдемся по Exa-машинам по отработанному сценарию "производительность / стоимость (HW+SW)"...

С публичными тестами на Exa-стеке ситуация не такая прозрачная, как в прошлый раз; фактически, можно найти только отчеты либо о портировании конкретных приложений с фантастическим приростом производительности (например, «Oracle Exadata повышает производительность Oracle Utilities Customer Care and Billing» и «Oracle Exadata и Oracle Exalogic повышают производительность Oracle Communications»), либо пресс-релизы об успешных миграциях на Exa-стек приложений клиентов.

Причина, видимо, не в производительности Exa-систем, а в их стоимости… Если строго следовать правилам тестирования, не хитрить (что позволяют себе многие другие участники), то суммарная стоимость наших передовых аппаратно-программных технологий покажется некоторым потенциальным заказчикам чрезмерной... К огорчению Oracle, в этих тестах у конкурентов гораздо больше лазеек; например, узким местом в большинстве промышленных решений является система хранения данных или канал между сервером базы данных и системой хранения... Стоимость ликвидации этих «бутылочных горлышек» уже включена в цену Exadata, а что и за какие деньги используют другие компании для этих задач, остается загадкой, поскольку формально тестируется только производительность сервера.

Конечно, результаты синтетических тестов могут заинтересовать потенциальных заказчиков; но еще более заманчива для них возможность тестирования производительности конкретных задач и приложений. Корпорация Oracle и ее партнеры готовы к проведению подобных исследований и долгосрочному продуктивному сотрудничеству. Несколько примеров такой работы с конкретными цифрами представлены на нашем сайте: «Программа МАЛИНА повышает лояльность участников с помощью Oracle Siebel CRM на Oracle Exadata», «Oracle Exadata повышает производительность систем «Киевстар» в 3-5 раз», «Банк «Санкт-Петербург» преобразует бизнес с Oracle Exadata», «SquareTwo Financial Goes Live with Oracle Engineered Systems».


По поводу лицензирования ситуация проще с Exalogic – во-первых, есть несколько вариантов поставки в зависимости от требуемой мощности (от осьмушки с 48 процессорными ядрами до полного ящика с 360), и во-вторых, имеется возможность зонирования либо через вычислительные модули (если будет использоваться Linux), либо через уже знакомые зоны Oracle Solaris (см. брошюру «What Oracle Solaris Brings to Oracle Exalogic Elastic Cloud»).

Вычислительный модуль (node) представляет собой самодостаточный микросервер со всеми необходимыми аппаратными ресурсами, включая 12 процессорных ядер. Безо всякого гипервизора (на "голое" железо) каждого модуля устанавливается Linux, а затем - дополнительное ПО... Т.е. пока что (до выхода Oracle VM для Exalogic) шаг лицензирования ПО на Exalogic с Linux - 6 процессорных лицензий, а на Exalogic с Solaris - 1 процессорная лицензия.

Оправдано ли выделение какой-либо (довольно дорогостоящей) зоны Exalogic под задачи IdM? Все зависит от специфики приложения и интенсивности его использования большим количеством клиентов... Oracle Exalogic создан для консолидации на оптимизированной аппаратной платформе высоконагруженных транзакционных приложений; например, это - идеальная инфраструктура для веб-сайтов, порталов и приложений класса XTP (eXtreme Transaction Processing).

Сбалансированность аппаратной платформы Exalogic (частоты процессоров, пропускной способности шины данных и сетевого стека) вкупе с оптимизацией программного обеспечения (операционной системы, java-машины, сервера приложений, распределенного кеша, балансировщика нагрузки, firewall'а для приложений и т.д.) гарантируют высокую пропускную способность, линейную масштабируемость и гарантированное время отклика бизнес-приложений... И теперь представьте, что все это упирается в маломощную внешнюю систему аутентификации и авторизации клиентов...

Так что размещение на Exalogic наиболее загруженных компонентов IdM-системы (в первую очередь - сервера контроля доступа и каталога) выглядит вполне логично. Неспроста в недавнем тесте каталог Oracle Internet Directory с 10 миллионов пользователей именно на Exalogic X2-2 смог показать производительность 1.7 миллионов операций в секунду! Так что для средних и больших инсталляций приложений (например инфраструктура безопасности на базе OAMsuite+ODS, бизнес приложения или порталы в телекомах, финансовых и государственных организациях) использование Exalogic с оптимизированными под него компонентами Oracle Fusion Middleware полностью оправдано.


Вариантов поставки Exadata X2-2 – тоже несколько – от четвертинки с 24 процессорными ядрами до полного ящика с 96, и Oracle Solaris вроде поддерживается; вот только зонирование тут применяется совсем другое... Надо немного отвлечься от упражнений с процессорным лицензированием (которое, кстати, может оказаться менее выгодным, чем по именованным пользователям) и вспомнить о позиционировании этого аппаратно-программного комплекса. В предыдущей статье я писал, что «чаще всего на мощных серверах одновременно выполняются несколько разных задач»; как раз в отношении Exadata это обычно не так...

Цель Oracle Exadata Database Machine – экстремальная производительность для приложений любых типов (OLTP, DWH или гибридных) и консолидация структурированной информации. Разработчики, стремясь избавиться по максимуму от дополнительных нагрузок, которые вносят любые виртуальные машины, проектировали Exadata так, чтобы возможные вопросы зонирования решались инструментами СУБД Oracle или Exadata Storage Server Software. Задача аппаратного или жесткого программного зонирования Exadata X2-2 чаще всего просто не стоит; даже в минимальной конфигурации четвертинка имеет полное дублирование всех компонентов и является промышленным решением высокой готовности. Любое частичное лицензирование лишит Exadata этого преимущества; в общем, можно сказать, что тема деления Exadata на зоны для более выгодного лицензирования ПО малоактуальна...


В заключение – контакты наших специалистов и партнеров, которые смогут предложить вам оптимальные условия для тестирования и приобретения инженерных систем Exa-стека Oracle: Алексей Лапиров (Exa-стек), Андрей Пивоваров (Exadata), Сергей Суетин (Exalogic), Семен Попов (Exalytics); FORS (Exadata+Exalogic), Jet Infosystems (Exadata), RDTEX (Exadata).


ДОПОЛНЕНИЕ ОТ 4 СЕНТЯБРЯ 2012 Г.

Решил добавить пару ссылок на ресурсы по новому ПО для Exalogic, включающему оптимизированную версию Oracle VM... Итак, пресс-релиз на русском читаем здесь, а технологическую статью на английском - здесь. Там, в частности, описана суть новой технологии PVHVM (paravirtualized drivers on a hardware virtual machine), которая "lets the guest OS talk directly to the host adapter in the physical server through user-space memory", тем самым минимизируя "накладные расходы" от виртуализации...

Ну, а возвращаясь к основной теме статьи, новая Oracle VM 3.x для Exalogic позволяет заказчикам оптимизировать расходы на FMW и приложения Oracle через уменьшение шага лицензирования по процессорам.