Präsentation /ch/open

Transkript

1 Präsentation /ch/open Linux im professionellen Software-Engineering-Umfeld Stefan Wengi, CTO, AdNovum Informatik AG, Dipl. Informatik Ing. ETH 20. September stefan.wengi@adnovum.ch

2 Agenda Kurzvorstellung AdNovum Ausgangslage und Motivation für Linux System Setup und Administration Integration von LDAP und NFS Java & C/C++ Entwicklungsumfeld Security Lessons Learned Q&A 1

3 AdNovum = SW-Engineering Eigenständige AG, seit 1988 in Privatbesitz mit Hauptsitz in Zürich. Standorte: Bern / Budapest / Örebro, SE / San Mateo, CA US. 107 Mitarbeiter, 70% ETH-/FH-Ingenieure AdNovum: Entrepreneur of the Year 2003 Entwicklungsumgebung: Solaris / Linux / Windows Fokus: High-End Software/Security Engineering e-gov-/finanz-/telecom-/versicherungs-bereich: EJPD A-2000, Swisscom Powergate/eGate, Telekurs Services WebEntry, UBS e-banking, Wegelin Online,... Strategische Partnerschaften: BEA, Chrysalis-ITS, IBM, Oracle, Sun Microsystems, Vasco,... 2

4 Entwickler-Desktop Traditionell Performante UNIX Workstations Homogen, Solaris, SunOS Anbindung an NIS+ Solaris dominierend im Hochschul- und OSS-Umfeld Kontinuität bei AdNovum über insgesamt 15 Jahre Vorteil: Entwicklung auf der Zielplattform Resultat: verbreitet tiefes Know-how der Primärplattform Flexibilität durch lokale, individuelle Plattform-Setups der einzelnen Entwickler 3

5 Motivation für Desktop-Wechsel Prioritär J2EE-Entwicklung im Bereich Applikationen dadurch Plattformunabhängigkeit Konzept RISC-Workstation hat ausgedient Preis/Leistung ist nicht mehr kompetitiv KOSTEN Productivity Tools (Entwicklung UND Office) immer weniger unterstützt (z.b. Mozilla) Solaris-Dominanz im Hochschul- und OSS-Umfeld hat signifikant abgenommen Kunden prüfen auch für ihre Produktion Alternativen zu den traditionellen teureren Server-Plattformen Solaris bleibt Server-Referenzplattform 4

6 kriterien für Linux-Entscheid UNIX ist ein MUST / Windows ist ein MUST NOT Preis/Leistung von IA-32 ist ungeschlagen Hauptplattform im Bereich OSS Development Support durch alle relevanten Vendors Productivity Tools sind vorhanden und werden weiterentwickelt Gute Integration mit anderen UNIX-Plattformen Potential für Alternativplattform in der Produktion interner Aufbau von Know-how 5

7 Roadmap Einführung Guerilla Experiments LDT Projekt Einarbeitung Feedback 2. Phase Rollout Entscheid für Linux Rollout 1. Phase Komplettierung Rollout 09/ / / / /2004 Phase 0: Prototyping mit System-Administratoren und einem Java- Entwickler Phase 1: ~ 20 Entwickler mit Java-/J2EE-Schwerpunkt Phase 2: Mixed: Entwickler, Doc, Projektleiter, Release Engineers Phase 3: Gesamte Firma 6

8 System Setup Intel Xeon, 1 GB RAM (Option auf 2 GB), 2x80 GB Disk, Floppy, CD-RW/DVD, nvidia, Linux zertifiziert! SuSE Professional 9.0 (Entscheid vor Novell-Übernahme) Installation: Developer, KDE, Kernel Sources,... (full Install führt teilweise zu Konflikten) Software: Diverse Software und Tools aus SuSE Distribution Mozilla ( möglichst viele web-basierte Applikationen) OpenOffice Wine für MS Word X11 für Remote Applications (z.b. von Solaris Server) 7

9 Management und Policies (migration) Linux momentan erst als NFS Client User Home Directories auf Solaris Server (Migration) (Noch) kein Backup der Linux Workstations Root-Passwort beim Entwickler Freiheit der lokalen Systemadministration, aber kein Support bei zerstörter Installation Install Server installiert System auf Disk1, Disk2 kann als lokaler Workspace genutzt werden Geplante Lebensdauer eines Setups: ~ 1 Jahr Überspringen von Distributions-Releases 8

10 System-Administration Install Server mit SuSE AutoYast: Konfiguration mit Yast GUI Profiles liegen als XML-Datei auf dem Install Server Eigene Config Files können hinzugefügt werden Postinstall Scripts übernehmen den Finish Patch-Mechanismen von SuSE GNU cfengine zur Automatisierung von Admin-Aufgaben Deployment von Productivity Tools lokal auf Desktop Möglichst keine Änderungen an Basis-Distribution Zentraler Name Service: LDAP Directory 9

11 Beispiel für AutoYast Profile I <general> <clock> <hwclock>utc</hwclock> <timezone>europe/zurich</timezone> </clock> <keyboard> <keymap>english-us</keymap> </keyboard> <language>en_us</language> <mode> <confirm config:type="boolean">false</confirm> <forceboot config:type="boolean">false</forceboot> <reboot config:type="boolean">true</reboot> </mode> <mouse> <id>21_imps2</id> </mouse> </general> <!-- Autopartition first IDE drive --> <partitioning config:type="list"> <drive> <device>/dev/hda</device> <use>all</use> </drive> 10

12 Beispiel für AutoYast Profile II <software> <base>default</base> <addons config:type="list"> <addon>x11</addon> <addon>network</addon> <addon>lsb</addon> <addon>basis-devel</addon> <addon>basis-sound</addon> <addon>kde</addon> <addon>kde-desktop</addon> <addon>hacker</addon> <addon>kde-devel</addon> <addon>kernel-devel</addon> <addon>multimedia</addon> <addon>office</addon> </addons> <packages config:type="list"> <package>cups</package> <package>cups-drivers</package> <package>cups-drivers-stp</package> </packages> <remove-packages config:type="list"> <package>samba-winbind</package> <package>epiphany-plugins</package> 11

13 LDAP-Integration Sun ONE Directory Server NIS+ Migration möglich Zentrale Administration Konsistenz LDAP liefert Daten über: Users, Groups, NFS Shares,... Replizierte Directory Server sorgen für Skalier- und Verfügbarkeit: LDAP Replica Subnet 1 ZH.CH LDAP Replica Domain HU LDAP Master Subnet 2 ZH.CH LDAP Replica Domain COM NIS+ Connector LDAP Replica Subnet 3 ZH.CH LDAP Replica 12

14 LDAP Client Setup I /etc/nsswitch/conf: passwd: compat ldap group: compat ldap hosts: files dns ldap services: files ldap protocols: files automount: files ldap /etc/ldap.conf: ldap_version 3 ssl start_tls pam_password crypt scope sub host base o=adnovum,c=ch rootbinddn cn=rootproxyagent,ou=special users,o=adnovum,c=ch binddn cn=proxyagent,ou=special users,o=adnovum,c=ch bindpw ******** 13

15 LDAP Client Setup II /etc/hosts: ldap-master.adnovum.ch ldap-master ldap.adnovum.ch ldap ldap.adnovum.ch ldap ldap.adnovum.ch ldap ldap.adnovum.ch ldap /etc/pam.d/login: auth required pam_securetty.so auth required pam_nologin.so auth sufficient pam_ldap.so auth required pam_unix2.so nullok try_first_pass #set_secrpc account sufficient pam_ldap.so account required pam_unix2.so password required pam_pwcheck.so nullok password required pam_ldap.so use_first_pass use_authok password required pam_unix2.so nullok use_first_pass use_authtok session required pam_unix2.so none # debug or trace session required pam_limits.so session required pam_env.so session optional pam_mail.so 14

16 NFS und Automounter Automounter-Tabellen werden im LDAP abgelegt Format und Konventionen der Automounter-Tabellen differieren auf den Plattformen leicht Mögliche Lösungen: Beschränkung auf gemeinsame Features Getrennte Trees im LDAP Directory Konzepte von auto_direct und -hosts (/net/<hostname>) existieren auf Linux nicht Browsing implementiert in autofs (Ende September 2003) Verzeichnisnamen im LDAP sind case insensitive Kleine Differenzen der NFS-Implementierungen Fallback auf NFSv2 hilft in vielen Fällen 15

17 Java-Entwicklung.adnhome liefert die Systemumgebung für den User Standard Env: Sun JDK, Eclipse, Ant, JUnit, HttpUnit, JPository JDK und Tools kommen vom NFS Server Lokal auf dem Linux Desktop: develop and build Remote auf einer Solaris-Maschine: deploy and test Gewisse native Libraries nur auf Solaris Seriöser Test muss immer auf Produktionsplattform stattfinden Lizenzen gewisser Produkte (z.b. J2EE Application Server, JProbe) sind plattformabhängig Solaris bleibt die Referenzarchitektur Project build muss uniform auch auf Solaris möglich sein Bedarf für einen uniformen Tools Directory Tree auf beiden Plattformen 16

18 NFS Share für uniformen Directory Tree I Beispiel: Sichten auf /share/java: User View 1.3 Server View java jdk tools 1.4 ide java-tools-sparc-solaris java-jdk-sparc-solaris java-misc-sparc-solaris java-tools-i486-linux java-jdk-i486-linux java-misc-i486-linux misc jpository bea apache sun ibm java jpository bea apache sun ibm.java-noarch.java-noarch : produktionsrelevant 17

19 NFS Share für uniformen Directory Tree II User View jdk tools java misc jpository ide bea apache sun ibm Clientseite mit Symlinks für Beispiel /share/java keine Hardlinks keine absoluten Symlinks JPository (hoher Platzbedarf!) muss nicht doppelt abgelegt und administriert werden Anzahl Mountpoints auf Client reduziert und konstant Symbolische relative links nach.java-noarch sorgen für Konsistenz Separate Automount-Tabellen pro Plattform : produktionsrelevant.java-noarch 18

20 Entwicklung in der C/C++ Welt Haupt-Entwicklung und Test auf Zielplattform Problem: verschiedene Compiler, Qualität der Tools Multi-Plattform-fähiges Build Environment für Single Source Development Problem: Fremd-Libraries (Plattform, C++ Compiler) Wo möglich: Plattformabstraktion als Basis, z.b. NSPR MW-Entwicklung dank Plattformabstraktion immer mehr auf Linux Vorbereitung auf Migration bei Kunden Dank Linux wird mobiles Entwickeln möglich 19

21 Security Alle LDAP-Kommunikation über SSL LDAPS Hosts binden den LDAP Server als proxyagent Das Passwort für Zugriff mit Root User liegt im /etc/ldap.secret (mode 400) und NICHT im /etc/ldap.conf User binden den LDAP Server mit ihrem eigenen Passwort Passwort im crypt-format wegen NIS+ Migration Aufgepasst: PAM-Konfigurationen sind komplex und fehleranfällig Virtual Consoles auf Linux sind gefährlich automatischer inactivity Logout für Root (TMOUT) Verwendung von SSH für alle Interaktion übers Netz Verhindern von Plaintext-Passwörtern auf dem Netz Probleme mit Screenlock von KDE 20

22 Lessons Learned Linux gibt nötigen Boost auf dem Desktop und wird enorm akzeptiert Distributionen und Administrations-Tools sind brauchbar... ABER: nicht so abgerundet wie traditionelle Produkte Solaris als managed Plattform bleibt unerreicht Wichtig: von Beginn weg Fokus auf hohen Automatisierungsgrad Sichere LDAP-Integration ist tricky Solaris/Linux/NIS+/LDAP Setup: Status eines Early Adopters Oft schlechte Unterstützung heterogener Umgebungen (z.b. OpenOffice) Printing kann heute nicht direkt über LDAP integriert werden Signifikante Unterschiede bei den Automounter NFS Interop manchmal problematisch: Cache Problems, Kernel Panics, Client Loops Fallback auf NFSv2 hilft oft 21

23 Q&A Fragen? Antworten & Kontakt: Tel