IT-Leitfaden zur Erstellung standardisierter Architekturskizzen

Transkript

1 Michael Hofer, Klopfenstein H.P Eidgenössisches Finanzdepartement EFD Bundesamt für Informatik und Telekommunikation BIT Basisprodukte IT-Unternehmesarchitektur BIT IT-Leitfaden zur Erstellung standardisierter Architekturskizzen Typ: Version: 1.3 Status: IT-Leitfaden Gültig von: Gültig bis: - Ersetzt: Klassifizierung: Themenbereich: Geltungsbereich: Verantwortlichkeit: Autoren: Prüfende: - Genehmigende: Genehmigt zur Nutzung Version 1.2 (IT-Leitfaden zur Erstellung standardisierter Architekturskizzen) Nicht klassifiziert IT-Architektur IT-Vorgaben: IT-Governance, Projektleitung, Engineering, Entwicklung, Betrieb, Lieferant Perroud Thierry, BPUA Hofer Michael, BPUA Klopfenstein Hans-Peter, BPUA AB BIT

2 Änderungskontrolle, Prüfung, Genehmigung Wann Version Wer Beschreibung X0.1 HofM Initiale Version X0.2 HofM Aktualisierung der Shapes und Anleitungen X0.3 HofM Einarbeitung Feedback Per X0.4 HofM Anpassungen Inhalt und Weitere X0.5 HofM Neue Legenden in den Skizzen & gekürzte Tipps Per Finalisierung für die Veröffentlichung HofM Anpassungen der Beispiele & des Deckblatts HofM Finalisierung für die Veröffentlichung KlHa Änderung Namensgebung des Dokuments und entsprechenden Anpassungen im Dokument HofM Anpassungen der Hinweise auf Daten aus dem ISDS bzw. der Sicherheitskonformität. 2/13

3 Inhaltsverzeichnis 1 Einleitung Ziel und Zweck des Dokuments Änderungswesen Sprachgebrauch und Wirkung Geltungsbereich Referenzierte Dokumente und Links Logische Netzwerk- und Datenflussskizze Elemente für die Notation der Architekturskizzen Netzdomänen Komponenten und Verbindungen Beispiel logische Netzwerkskizze Beispiel Datenflussskizze Tipps und Tricks /13

4 Die Bundesverwaltung, vertreten durch das Bundesamt für Informatik und Telekommunikation (BIT), ist Inhaberin der Urheberrechte dieses Dokuments. Die Publikation im Internet oder Intranet, ohne Einverständnis der Autoren, ist untersagt. Die jeweils aktuellste Fassung dieses Dokuments kann vom BIT Vorgabenportal herunter geladen werden. Geschlechtsneutrale Formulierung Aus Gründen der einfacheren Lesbarkeit wird auf die geschlechtsneutrale Differenzierung, z.b. Benutzer/innen, verzichtet. Entsprechende Begriffe gelten im Sinne der Gleichbehandlung grundsätzlich für beide Geschlechter. 4/13

5 1 Einleitung 1.1 Ziel und Zweck des Dokuments Dieses Dokument bietet einen Leitfaden zur Nutzung der Vorlage «Architekturskizze» [VLA] für die Erstellung standardisierter Architekturskizzen. Die Vorlage enthält die Muster für eine logische Netzwerk- und Datenflussskizze, sowie vorgefertigte Shapes welche das Erstellen dieser Skizzen erleichtern sollen. Muster und Shapes für weitere Typen von standardisierten Architekturskizzen (z.b. Deployement Diagramme) werden zu einem späteren Zeitpunkt in diesem Leitfaden beschrieben. Die einheitliche Notation von Architekturskizzen gemäss diesem Dokument ist für alle Projekte im BIT verbindlich. Für die Erstellung der Architekturskizzen wird im BIT Microsoft Visio verwendet. 1.2 Änderungswesen Dieses Dokument wurde durch BPUA erarbeitet und ist Teil des BIT IT-Frameworks. Ausnahmen und Änderungen zu diesem Dokument müssen unter Einreichung der geforderten Dokumentation bei BPUA beantragt werden. Die aktuelle Version ist jeweils auf dem Vorgabeportal aufgeschaltet. 1.3 Sprachgebrauch und Wirkung Dieses Dokument ist eine IT-Vorgabe des BIT. Der Sprachgebrauch und die Wirkung des vorliegenden Dokumentes als Gesamtes sowie der Aussagen im Einzelnen basieren auf der Definition der IT-Richtlinie «IT-Vorgabetypen des BIT» auf dem Vorgabenportal. 1.4 Geltungsbereich Dieses Dokument gilt für alle vom BIT entwickelten und umgesetzten IT-gestützten Lösungen. Dabei sind alle strategischen Geschäftseinheiten (SGE) über alle Hierarchiestufen miteinbezogen. 1.5 Referenzierte Dokumente und Links Ref. Dokumententitel Autor Quelle ISB ISB Bundesstandards ISB ISB-Intranet AB BIT Architekturbord BIT BIT Intranet VLA Vorlage Architekturskizze AB BIT Vorgabenportal VSh Vorlage Shapes AB BIT Vorgabenportal ISDS Informations- und Datenschutz-Konzept Je nach Projekt VORG IT-Vorgabetypen des BIT AB BIT Intranet Je nach Projekt Informationen zum ISDS (Intranet) 5/13

6 2 Logische Netzwerk- und Datenflussskizze Die Visualisierung des Aufbaus eines logischen Netzwerkes ist ein wichtiges Mittel zur Kommunikation zwischen verschiedenen Projektbeteiligten (Stakeholder). Eine einfache, klare und BIT-weit einheitliche Darstellung von logischen Netzwerken bildet die Grundlage für eine leichte Kommunikation und wieder erkennbare Elemente ermöglichen ein schnelleres Begreifen und somit ein besseres Verständnis für das Problem oder die Aufgabe. Der Hauptfokus der Architekturskizzen besteht darin, die jeweiligen projektrelevanten Komponenten (Server, Datenbanken, Firewalls und Clients) in ihren Netz-Domänen (BV-Netzdomäne, KomBV-KTV, SSZ usw.) und ihre Beziehungen zueinander darzustellen. Dabei werden zwei Typen von Architekturskizzen (logische Netzwerk- und Datenflussskizze) unterschieden, die eine andere Sicht auf die Architektur zeigen. Für die Erstellung der Architekturskizzen sind die folgenden Begriffe von Bedeutung: Eine Netzdomäne ist eine Domäne im Sinne der Weisung Informatiksicherheit Bund (WIsB) und wird durch eine vom A-IS bewilligten Policy gesteuert. Die Policy regelt den Verkehr auf Netzwerkebene (TCP/IP) und bestimmt so die zulässige Konfigurationen der Firewalls am Übergang zu einer Netzdomäne. Die Shared Services Zone (SSZ) und das BV-Netz sind zwei verschiedene Netze des Bundes. Eine Komponente ist ein physisches oder virtuelles Gerät (Server, Client, Firewall, Proxy usw.). Eine logische Netzwerkskizze zeigt die verschiedenen Komponenten eines Systems und ihrer Verbindungen untereinander auf Grund des Kommunikationsaufbaus auf der Netzwerkebene (TCP/IP) auf. Eine Komponente öffnet eine TCP/IP Verbindung zu einem Zielsystem. Dies wird durch die Angabe eines Verbindungspfeils von der aufrufenden Komponente zum Zielsystem und des benutzen Protokolls dargestellt. Eine Datenflussskizze zeigt wie die Daten von einer Komponente zu einer anderen fliessen. Dies kann unter Umständen entgegengesetzt zur Richtung der logischen Netzwerkskizze sein. Dies wird durch die Angabe eines Verbindungspfeils von der Komponente auf dem sich die Daten befinden zum Zielsystem auf dem die Daten verarbeitet werden und einer Referenz auf die transportierten Daten dargestellt. In den nächsten Abschnitten folgen Ausführungen zu den vordefinierten Visio-Shapes [VSh]. Anschliessend werden für beide Typen von Architekturskizzen je ein Beispiel aufgeführt. 2.1 Elemente für die Notation der Architekturskizzen Zu jedem Element wird die Bezeichnung mit der Nutzung innerhalb einer Skizze beschrieben. Zusätzlich werden mögliche Elemente aufgeführt, die ergänzt werden müssen. Damit die Farbgebung auch in anderen Programmen als Visio die gleiche ist, wurde zusätzlich noch der Farbcode in der RGB-Notation angegeben. 6/13

7 2.1.1 Netzdomänen BV-Netz: Dieser Shape repräsentiert das gesamte BV-Netz inklusive allfälliger Subdomänen. Alle Datenflüsse in oder aus der Bundesdomäne passieren eine und dieselbe Firewall. Firewall (zwingend) Subdomänen Server Clients Proxies usw. Positionierung: unten rechts in der Skizze RGB-Code: {0,0,128} Subdomäne des BV-Netzes: Diese werden innerhalb des BV- Netzes platziert und verfügen jeweils über eine Firewall. Firewall (zwingend) Server Clients Proxies usw. Positionierung: innerhalb des BV-Netz, ansonsten frei. RGB-Code: {0,0,255} Central Access Zone (CAZ): Die CAZ kontrolliert die Zugriffe auf die verschiedenen Netzdomänen. Der Verkehr wird sicherheitstechnisch gefiltert und die Authentisierung und Autorisierung wird bei Bedarf ermöglicht. Benötigte Gateways Positionierung: zwischen den Partnerdomänen und den Bundesnetzen (BV-Netz und SSZ). RGB-Code: {255,153,0} Shared Services Zone (SSZ): Dieses Netz hat eine Admin-Firewall (SGA) und eine produktive Firewall (SGS). Admin-Firewall (SGA) & produktive Firewall (SGS) (beide zwingend) Server Clients Proxies usw. Positionierung: unten links in der Skizze. RGB-Code: {0,128,0} 7/13

8 Subdomäne der SSZ: Die Subdomänen SSZ werden innerhalb der SSZ platziert und sind mit der Firewall der SSZ verbunden. Server Clients Proxies usw. Positionierung: innerhalb der SSZ, ansonsten frei. RGB-Code: {128,128,0} Partnerdomäne: Beinhaltet Partnerdomänen (z.b.: Kantonsnetze, AHV-Netz usw.). Firewall(s) Server Clients Proxies Positionierung: links oben in der Skizze Internet: Beinhaltet Systeme (Server und Clients) die aus der Sicht des Bundes im Internet sind. Server Clients Positionierung: rechts oben in der Skizze RBG-Code: {255,0,0} Komponenten und Verbindungen Client und Server: Diese Shapes müssen mit Informationen aus der Kommunikationsmatrix des [ISDS] ergänzt werden. S.XX: Nummerierung der Komponente (Umsystem): Handelt es sich um eine Komponente die vom Projekt nicht tangiert wird, so ist die mit der Ergänzung (Umsystem) hinter der Systemnummer zu ergänzen. D.XX: Werden auf der Komponente Daten gespeichert, so müssen diese gemäss der Nummerierung in der jeweiligen Projektdokumentation ergänzt werden, Beschreibung: Zweck der Komponente gemäss ISDS oder falls nicht vorhanden Einsatzzweck der Komponente (DB, Applikation usw.) Je nach Bedürfnis kann die Beschreibung von Servern auch detaillierter sein. Positionierung: frei 8/13

9 Firewall: Muss bei allen Netzwerkdomänen mindestens einmal verwendet werden. Positionierung: Auf den Begrenzungslinien der Netzwerkdomänen - Achtung: Anzahl pro Netzdomäne vorgegeben, daher möglichst zentral setzen! RGB-Code: {255,0,0}. Generischer Shape: Dient z.b. zur Verwendung als Proxy oder ESB. Bezeichnung: ersetzen mit der jeweiligen Bezeichnung Positionierung: frei RGB-Code Linien: {0,0,0}. RGB-Code Füllfarbe: {221,221,221}. Verbindungen für die logische Netzwerkskizze: Stellen den Verbingungsaufbau via TCP/IP dar. Die vorgegebenen Typen sind empfohlen, es kann auch mit Automatischen Verbindern oder anderen Linien / Pfeilen gearbeitet werden. Es ist zu beachten das alle Verbindungen an deren Anfang (i.d.r. Client-Seite bzw. Initiator des Verbindungsaufbaus) einen Punkt und an deren Ende (i.d.r. Server-Seite) einen Pfeil haben und mit Port / Protokollbezeichnung versehen sind. Gestrichelte Verbindungen stehen für geplante Verbindungen. Port Nummer gemäss Projektdokumentation Protokollbezeichnung gemäss Projektdokumantation Positionierung: Frei, müssen jedoch fast immer eine Firewall passieren. [D.XX] [D.XX] RGB-Code: {0,0,0} Verbindungen für die Datenflussskizze: Stellen die Datenflüsse dar. Die vorgegebenen Typen sind empfohlen, es kann auch mit Automatischen Verbindern oder anderen Linien / Pfeilen gearbeitet werden. Es ist zu beachten das ALLE Datenflüsse an deren Anfang (Sender der Daten) einen Punkt und an deren Ende (Empfänger der Daten) einen Pfeil haben und mit den jeweiligen transportierten Daten nach Projektdokumentation versehen sind. Gestrichelte Verbindungen stehen für geplante Datenflüsse. DXX: Transportierte Daten gemäss Projektdokumentation Positionierung: Frei RGB-Code: {0,0,0} Legenden (siehe Muster ): Unverändert zu benutzen! - Positionierung: am rechten Rand der Skizze 9/13

10 Info-Box: Metainformationen zur Architekturskizze Version Ersteller Prüfer Änderer Position: unten rechts auf jedem Zeichenblatt 10/13

11 2.2 Beispiel logische Netzwerkskizze 11/13

12 2.3 Beispiel Datenflussskizze 12/13

13 2.4 Tipps und Tricks Positionieren Sie Netzdomänen und beinhaltete Subdomänen zu Beginn. Fügen Sie Verbindungselemente (Pfeile der logischen Netzwerkskizze und der Datenflussskizze) nach der Positionierung der Netzwerkdomänen und der übrigen Netzwerkkomponenten zur Skizze hinzu. Erstellen Sie die Datenflussskizze auf Basis einer Kopie der logischen Netzwerkskizze oder umgekehrt. Stellen Sie die Datenflüsse möglichst übersichtlich dar. Sie können zum Beispiel den Datenfluss mit einzelnen Linien (Segmenten) zeichnen, wobei sie die Start- und Endpunkte mit «Punkt» und «Pfeil» versehen. Siehe dazu im Muster die Datenflüsse zwischen S.06 und S.01. Prüfen Sie beim Abschluss der Erstellung oder der Aktualisierung von Skizzen, inwieweit alle Informationen in der Info-Box noch stimmen und inwiefern alle Elemente in der Skizze mit den betreffenden Informationen in den Legenden übereinstimmen. Sie können auch weitere Informationen zu den verschiedenen Komponenten aufführen es dürfen jedoch nicht weniger Informationen sein, als in diesem Leitfaden beschrieben. Es ist Ihnen freigestellt, auch ein anderes Programm zur Erstellung der Skizzen zu verwenden einzig die Notation muss korrekt und das Format der Datei muss im BIT lesbar sein. 13/13