Leistungsbeschreibung Dynamic Services for Infrastructure with vcloud (DSI vcloud)

Transkript

1 Leistungsbeschreibung Dynamic Services for Infrastructure with vcloud (DSI vcloud) T-Systems International GmbH Hahnstraße 43d Frankfurt am Main, Deutschland - nachfolgend T-Systems genannt - V1.6 vom

2 DYNAMIC SERVICES FOR INFRASTRUCTURE WITH VCLOUD (DSI VCLOUD) DSI VCLOUD IM ÜBERBLICK DSI VCLOUD BASIS Serviceabgrenzung Virtualisierungs- und Abstraktionsebenen Cloudvarianten (Hybrid, Private) Virtuelle Organisationen (vorg) Virtuelle Rechenzentren (vdc) Reservierungsmodelle für vdcs Self-Service Portal vcloud API Benutzer- und Rollenmanagement Provisionierung und Verwaltung von Objekten Virtual Application Landscapes (vapps) Konsolenzugriff auf virtuelle Maschinen Virtuelle Netzwerke (VXLANs) Virtuelle Firewalls und Loadbalancer in vcloud IPv6-Support Desaster Recovery Fähigkeit Import/Export von Workloads & vcloud Connector Vorlagenmechanismen Lizenzierung Backup und Wiederherstellung von VMs Reporting Technischer Support DSI VCLOUD OPTIONEN Datenspeicher (Disk Storage) Backup as a Service Managed OS Secure Internet Access (eingehend) Flexible Internet Access (ein- und ausgehend) Netzwerkanbindungen (z.b. Managed Internet VPN / Managed MPLS) Betriebssystemlizenzen (Guest OS) Erweiterter telefonischer Support Unterstützung von Sicherheitsaudits Consulting DSI VCLOUD MITWIRKUNGSPFLICHTEN UND VERANTWORTUNG DES KUNDEN Mitwirkungspflichten des Kunden bei der Einrichtung Mitwirkungspflichten / Verantwortung des Kunden während der Nutzung Mitwirkungspflichten / Verantwortung des Kunden bei Vertragsbeendigung DSI VCLOUD SERVICELEVEL Leistungsübergabepunkte Definitionen Servicelevel DSI VCLOUD PREISLISTE, MINDESTBESTELLMENGEN, MINDESTLAUFZEITEN UND RECHNUNGSLEGUNG DSI VCLOUD DATENSCHUTZHINWEIS DSI VCLOUD GLOSSAR

3 Dynamic Services for Infrastructure with vcloud (DSI vcloud) 1. DSI vcloud im Überblick Mit Dynamic Services for Infrastructure with vcloud (DSI vcloud) erweitert T-Systems die Dynamic Services Produktfamilie um eine sichere Infrastructure-as-a-Service-Cloud, welche in zwei Varianten zur Verfügung steht: hybrid und virtual private. DSI vcloud ist komplett am VMware vcloud Datacenter-Zertifizierungsprogramm ausgerichtet und verfügt über eine integrierte Internetverbindung (Secure und Flexible) mit den bewährten VMware vcloud-apis und eine komfortable webbasierte Benutzeroberfläche für das Management der Ressourcen durch den Anwender. Der Hauptanwendungsfall sind Szenarien, für die Kunden eine sichere hybride Cloud (DSI vcloud Hybrid) oder eine sichere virtual private Cloud (DSI vcloud Private) zum Hosting von Produktions-, Test- und Entwicklungsworkloads benötigen. DSI vcloud bietet folgende Kernfunktionen: Hybrid oder Virtual Private Variante: Bei DSI vcloud Hybrid: Zugriff auf die Self-Service Portale und APIs aus dem Internet. Bei DSI vcloud Private: Zugriff auf die Self-Service Portale und APIs ausschließlich über das Kunden-Intranet, bei ansonsten gleichem Leistungsumfang und Optionen. Virtual Data Center (vdc): Die Bereitstellung von virtuellen Rechenzentren (vdcs) in einem Twin-Core Rechenzentrum der T-Systems. Der Kunde definiert hierbei die gewünschten Lokationen und bestellt die erforderlichen Kapazitäten (Performance Units, RAM, Datenspeicher). Zusätzlich zu den Rechenkapazitäten, können optionale Leistungen wie Betriebssystemlizenzen, Management von virtuellen Maschinen (VMs) oder Internet Access flexibel durch den Kunden bestellt und innerhalb des Kunden vdcs genutzt werden. Reservierungsmodelle: Drei bedarfsgerechte Modelle (Committed, Dedicated, Basic) für die virtuellen Rechenzentren stehen zur Verfügung. Storage: Datenspeicherung auf Basis unterschiedlicher Leistungs- und Verfügbarkeitsstufen, die durch den Kunden wählbar sind. Backup & Restore: Snapshot-, Backup- und Restore-Funktionen für Workloads (VMs und vapps), die über das Self-Service Portal flexibel durch den Kunden genutzt werden können. Managed OS: Optional betreibt T-Systems virtuelle Maschinen inklusive der Microsoft, SuSE und RedHat Betriebssysteme auf Basis standardisierter Images. Das Management des Betriebssystems beinhaltet Monitoring und Incident Management, Backup und Security Management, das Bereitstellen von Patches, Antivirus Schutz für Microsoft Windows Betriebssysteme und Release Management. Der Kunde verwaltet ausschließlich die Applikation. Self-Service Portal: Zugriff via https auf das vcloud-self-service-portal aus dem Internet (DSI vcloud Hybrid) oder Intranet (DSI vcloud Private). Application Programming Interface (API): Zugriff auf gängige VMware vcloud-apis, ermöglichen dem Kunden eine eigene Leistungszusammenstellung aus dem Produktportfolio der T-Systems auf Basis des IaaS-Angebots. vcloud Connector: Nahtlose Integration in die vorhandenen privaten VMware-basierten virtuellen Umgebungen / Clouds des Kunden. Template Mechanismen: o Die Möglichkeit zur Erstellung von Kunden-Workloads (VMs oder vapps) innerhalb eines vdc, flexibel über ein Self-Service-Portal, das vom Kunden über das Internet erreicht werden kann. 3

4 o Import und Export von Workloads (VMs oder vapps) in und aus der DSI vcloud Umgebung über standardisierte offene Virtualisierungsformate (OVF/OVA). o Nutzung und Verwaltung von Katalogen, die vordefinierte Workloads (VMs oder vapps) enthalten. Hierbei können ebenfalls komplexe Anwendungslandschaften (Verbund aus mehreren VMs) mit vollständigen System- und Netzkonfigurationen hinterlegt und durch den Kunden über das Self- Service Portal genutzt werden. o Nutzung von öffentlichen Katalogen, die alle gängigen Betriebssysteme als Vorlage für neue VMs (Microsoft Windows, Red Hat Enterprise Linux und SuSE Linux Enterprise Server) beinhalten. Die Kataloge werden, für Managed und Self-Managed Betriebssysteme von der T-Systems bereitgestellt und gepflegt. Identity & Access Management: Ein Benutzer- und Zugangsmanagement zu virtuellen Organisationen (vorgs), wobei der Kunde die Möglichkeit hat, Benutzer, Gruppen und Berechtigungen für verschiedene Objekte in der Cloud über das bereitgestellte Self-Service Portal oder die API zu verwalten (z.b. VMs/vApps/Kataloge). Dies umfasst ebenfalls die optionale Möglichkeit, eine vorhandene Identitäts- und Benutzermanagement-Lösung in die DSI vcloud zu integrieren, z.b. SAML oder LDAP. Netzwerk Separierung & Management: o VLANs für sicheren Netzbetrieb, hauptsächlich zur Separierung unterschiedlicher Kunden. o Netzwerk Virtualisierung (VXLANs) für die sichere Trennung, von Kunden-Landschaften (VMs oder vapps). Virtualisierte Netzwerke können auf Anfrage zu Pools zusammengefasst und vollständig über das Self-Service-Portal verwaltet werden. o Virtuelle Netz- und Sicherheitsleistungen einschließlich Load Balancer, Firewalls, Routing und anderen Funktionen, die ausschließlich durch den Kunden über das Self Service Portal verwaltet werden können. Internet Access: Internetzugang für Kunden-VMs in den Ausprägungen Secure Internet Access und Flexible Internet Access als Option. Rechenzentrumsanbindung: Einfacher Zugang zum Backbone-Netz der Deutschen Telekom mit umfassender Telekomunikationserfahrung und moderner MPLS/VPN/WAN-Technologien. 7x24 Betrieb: o 7x24 Betrieb, um die Anforderungen von Geschäftskunden, sowohl an unternehmenskritischen Workloads, als auch an Test- und Entwicklungs-Workloads zu erfüllen. Der Betrieb umfasst den betreuten Service durch das Personal der T-Systems für die IaaS-Cloud Infrastruktur sowie einen Support via . o Hochsichere Umgebung mit physischen und logischen Sicherheitsebenen, die ausschließlich in TwinCore-Rechenzentren gehostet werden. o Hohe Verfügbarkeits-SLAs für die Plattform und eine kurze Mindestlaufzeit Datenschutz und Sicherheit: o Vertrag und Betrieb nach deutschem Recht und Datenschutzvorschriften. o Unterstützung komplexer kundengesteuerter Sicherheit und Compliance-Audits im Einklang mit den VMware vcloud Datacenter-Regelungen mit Zugriff auf verschiedene Aktivitätsprotokolle. Consulting Services: Consulting Dienstleistung zur Unterstützung des Kunden auf dem Weg in die Cloud auf Stundenbasis optional buchbar. 4

5 2. DSI vcloud Basis 2.1 Serviceabgrenzung Dynamic Services for Infrastructure with vcloud ist ein Infrastructure-as-a-Service-Angebot. Die folgende Darstellung zeigt die Verteilung der Zuständigkeiten (vereinfacht). Der Kunde ist bei der Nutzung der Reservierungsmodelle Committed und Dedicated für das Kapazitätsmanagement innerhalb seiner virtuellen Rechenzentren zuständig. Er trägt die Verantwortung dafür, notwendige Kapazitätserweiterungen/-reduktion mit entsprechender Vorlaufzeit zu bestellen. Die Art und Qualität der gewählten Netzverbindung (Internet vs. VPN vs. MPLS vs. Bandbreite) sollte die Anforderungen der Kunden-Workloads und Anwendungsfälle widerspiegeln. Bei Beauftragung von DSI vcloud erbringt die T-Systems folgende Leistungen für den Kunden: Ein VLAN-separiertes Netz (einschließlich aller Konfigurationen von Firewalls und Switches) mit kundenzugewiesenem IP-Adressbereich, falls private Netzanbindungen geordert wurden. URL für den Zugriff auf kundenspezifische virtuelle Organisation/Rechenzentrum über das vcloud-portal. Vorkonfigurierte vshield Firewall (standardmäßig auf Blocking-Mode für externe Netze ) Die T-Systems legt ein erstes Kundenkonto einschließlich automatisch generiertem initialen Kennwort an, das dem Kunden über die T-Systems Secure Mail-Plattform übergeben wird (entweder per verschlüsselte oder über verschlüsseltes -Web-Portal). Diese enthält alle relevanten Informationen für den Zugriff auf das DSI vcloud Self-Service-Portal. Von diesem Zeitpunkt an kann der Kunde zusätzliche Benutzer und Gruppen selbst anlegen und sehr granulare Berechtigungen für verschiedene Objekte vergeben. 5

6 2.2 Virtualisierungs- und Abstraktionsebenen Mit DSI vcloud wird das bewährte Konzept der Computevirtualisierung um Storagevirtualisierung und Netzwerkvirtualisierung, sowie Security erweitert und in Form eines virtuellen Rechenzentrums (vdc) zur Verfügung gestellt, bei dem die Ressourcen der zugrunde liegenden Infrastruktur bedarfsorientiert in Pools zusammengefasst und über einen Self-Service dynamisch verwaltet werden können. Ein oder mehrere vdcs können einer virtuellen Organisation (vorg) zugewiesen werden, die zusammen mit zusätzlicher Vernetzung/FW-Trennung für die geeignete Mandantentrennung sorgt. Derzeit stehen neben den auf Performance optimierten Rechenleistungen, Datenspeicher in den Kategorien Entry (Bronze), Normal (Silber) und High (Gold) zur Verfügung. Alle Datenspeicher Kategorien stehen zusätzlich noch in der Option Backup Integrated Disk Storage (BIS) zur Verfügung. 2.3 Cloudvarianten (Hybrid, Private) DSI vcloud steht abhängig von der Rechenzentrums-Lokation in 2 Varianten zur Verfügung: DSI vcloud Hybrid und DSI vcloud Private. Beide Varianten sind aus Sicherheitsgründen physikalisch voneinander getrennt aufgesetzt und unterscheiden sich lediglich in den Zugriffsoptionen auf die Self-Service Portale und APIs: DSI vcloud Hybrid: Der Zugriff auf die Portale und APIs ist über das Internet möglich. Damit kann DSI vcloud Hybrid ohne Buchung von Netzwerkoptionen (wie z.b. Managed Internet-VPN oder MPLS) stand-alone betrieben werden. DSI vcloud Private: Der Zugriff auf die Portale und APIs ist ausschließlich über private Netzverbindungen (Kunden-Intranet) möglich. Hierbei ist die Buchung von Managed Internet-VPN oder MPLS als private Netzanbindung zwingend notwendig. 6

7 2.4 Virtuelle Organisationen (vorg) Jeder Kunde erhält in der vcloud-umgebung eine eigene virtuelle Organisation (vorg), welche die Mandantentrennung sicherstellt. Diese Organisation nutzt ein gemeinsames Identitätsmanagement und beinhaltet mindestens ein virtuelles Rechenzentrum (vdc). Innerhalb einer vorg können mehrere vdcs zur Verfügung gestellt werden. Diese vdcs können verschiedene Klassen von Rechenressourcen (z.b. Haupt- und Backup-vDC) oder die eigene Segmentierung des Kunden widerspiegeln (z.b. Geschäftsbereiche). Darüber hinaus ist die vorg die oberste Netzabgrenzung. Dadurch wird sichergestellt, dass die Daten des Kunden innerhalb einer mandantenfähigen Plattform geschützt bleiben. 2.5 Virtuelle Rechenzentren (vdc) Die vdcs sind Ressourcenpools, welche die nutzbare Cloud-Kapazität von Performance Units (PU), RAM und Speicher für Leistungen innerhalb einer bestimmten vorg bestimmen. Die PU wird hierbei als GHz-Zahl mit einem Limit und der aktuellen Nutzung im Portal angezeigt (kommerziell sind sie als Performance Units mit tpmc/pu Rechenleistung definiert). Daneben existieren für ein vdc einige Einschränkungen bezüglich der Anzahl der VMs, die innerhalb des vdc gestartet werden können, und der Anzahl der Netze, die bedarfsweise in Pools zusammengefasst werden können. Es kann zudem eine erweiterte virtuelle Netz-Appliance mit der Bezeichnung vshield Edge (für Internetverbindung / Load Balancing, Firewalling) zugewiesen werden. Optional können dem Kunden öffentliche IP-Adressen über den Secure- oder Flexible Internet Access zur Verfügung gestellt werden. Durch Zuweisung der öffentlichen IP Adressen zu Workloads, können Kunden die Erreichbarkeit ihrer Workloads aus und in das Internet realisieren. Der Kunde kann mehrere vdcs gleichzeitig nutzen, wodurch die unterschiedlichen Eigenschaften des vdc widergespiegelt werden (Leistung, Ort, Zweck). Ein vdc kann unterschiedlichen Geschäftsbereichen oder Projekten des Kunden zugeordnet werden und so die Unternehmens-/Geschäftsstrukturen des Kunden nachbilden (einschl. unterschiedlicher Benutzer und Berechtigungen innerhalb der vorg-grenzen). Der Kunde kann wählen auf welcher Seite des Twin-Core Rechenzentrumsverbundes, sein/seine vdc/s bereitgestellt werden sollen. Für eine ordnungsgemäße Betriebsfähigkeit muss zu jedem vdc entsprechend Datenspeicher hinzu gebucht werden. 2.6 Reservierungsmodelle für vdcs Derzeit stehen drei unterschiedliche Reservierungsmodelle für vdcs zur Verfügung, die sich sowohl in den technischen als auch in den kaufmännischen Eigenschaften (Abrechnungsmodelle) unterscheiden. Innerhalb einer vorg können mehrere vdcs mit unterschiedlichen Reservierungsmodellen zur Verfügung gestellt werden. 1) Committed Reservierungsmodell Innerhalb des Committed Reservierungsmodells werden 75 % der RAM-Ressourcen und 50% der CPU- Ressourcen reserviert zur Verfügung gestellt. Additiv können 25% RAM und 50% CPU im sogenannten Burst- Modus verwendet werden, welcher nur bei Nutzung abgerechnet wird. 7

8 Die T-Systems bietet hierbei vordefinierte vdc-größen von XS bis XL an, die sich in der Menge an Rechenleistung (Performance-Units), Arbeitsspeicher (RAM), sowie weiteren Eigenschaften wie z.b. maximale Anzahl VMs, maximale Anzahl vcpus und virtuelle Netzwerke unterscheiden. Auf Kundenwunsch können auch individuelle Pakete (vdc Individual) angeboten werden. In diesem Paket ist es auch möglich ein individuelles Verhältnis von reserviert zu Burst einmalig bei der Einrichtung zu definieren. Der Burstbereich wird im Self-Service Portal als Bestandteil des virtuellen Rechenzentrums dargestellt und wird automatisch in Anspruch genommen, wenn die vom Kunden provisionierten Workloads Ressourcen benötigen, die durch den reservierten Bereich nicht mehr abgedeckt werden können. Während der Provisionierung von Workloads erfolgt hierbei keine gesonderte Information an den Nutzer, dass durch die Provisionierung der Burst-Bereich genutzt wird. Additiv stehen zahlreiche weitere Optionen und Addon-Services zur Verfügung, wie z.b.: Verschiedene Klassen an Datenspeicher mit und ohne snapshot-basierten Backups Secure Internet Access und Flexible Internet Access für die Internetanbindung der VMs Windows, Redhat und SLES-Lizenzen Das Committed Model eignet sich auf Grund seiner technischen als auch kaufmännischen Eigenschaften besonders für den Betrieb von Produktivumgebungen oder gemischten Test-/Entwicklungs-/Produktivumgebungen. 2) Dedicated Reservierungsmodell Innerhalb des Dedicated Reservierungsmodells werden 100 Prozent der vdc Ressourcen als reservierte Kapazität zur Verfügung gestellt. Die dem Kunden zur Verfügung gestellte Rechenleistung (PU) und Arbeitsspeicher (RAM) befinden sich hierbei stets auf ausschließlich für einen Kunden betriebenen physischen Hosts. Das Dedicated Reservierungsmodell setzt eine Mindestabnahme von 3 physischen Hosts voraus, wovon die Ressourcen von 2 Hosts dem Kunden innerhalb des vdcs zur freien Verfügung stehen. Der dritte Host wird für die Gewährleistung der Hochverfügbarkeit benötigt und die Ressourcen stehen dem Kunden nicht im Self- Service zur Verfügung. Additiv stehen zahlreiche weitere Optionen und Addon-Services zur Verfügung, wie z.b.: Verschiedene Klassen an Datenspeicher mit und ohne snapshot-basierten Backups Secure Internet Access und Flexible Internet Access für die Internetanbindung der VMs Windows, Redhat und SLES-Lizenzen Das Dedicated Modell eignet sich auf Grund seiner technischen und kaufmännischen Eigenschaften insbesondere für größere Produktionsumgebungen, bei denen aus Lizenzoptimierungsgründen von Kundenseite ein Betrieb auf dedizierten physischen Servern notwendig ist. 8

9 3) Basic Reservierungsmodell Innerhalb des Basic Reservierungsmodells werden 100 Prozent der vdc Ressourcen als Abruf-Kapazität (nutzungsabhängig) zur Verfügung gestellt. Durch den Kunden sind hierbei keine Ressourcenangaben für ein vdc notwendig, da das Kunden-vDC auf Basis der erstellten Workloads/VMs automatisch wächst. Additiv stehen zahlreiche weitere Optionen und Addon-Services zur Verfügung, wie z.b.: Verschiedene Klassen an Datenspeicher mit und ohne snapshot-basierten Backups Secure Internet Access und Flexible Internet Access für die Internetanbindung der VMs Windows, Redhat und SLES-Lizenzen Das Basic Modell eignet sich auf Grund seiner technischen und kaufmännischen Eigenschaften insbesondere für den Betrieb von Test- und Entwicklungsumgebungen. Leistungsparameter der unterschiedlichen vdc-größen/reservierungsmodelle Die vcloud-dienstleistung besteht aus vordefinierten Rechenkapazitätspaketen in den verschiedenen Reservierungsmodellen für die Ausführung der Kunden-Workloads. PU (res. ) RAM Burst* (max.) PU Burst* (max.) GHz insgesamt verfügbar** RAM insgesamt verfügbar** VMs (max)**,*** RAM GHz per vcpus** Paket (res.) vcpu** (max) Committed VDC XS ,7 10 5,4 0, , Committed VDC S , ,0 0, , Committed VDC M , ,9 0, , Committed VDC L , ,7 0, , Committed VDC XL , , , Committed VDC Individual Auf Anfrage Dedicated Starter Paket ,7 0, Dedicated Erweiterungspaket ,9 0, Basic (Nutzungsabhängig) n/a n/a unbegrenzt unbegrenzt * gibt die maximale Burst-Kapazität im Reservierungsmodell Committed an ** Werte zur Information und nicht abrechnungsrelevant. *** Inkludiert auch inaktive VMs und Templates in den Katalogen VXLANs (max)** unbegrenzt 0,6 unbegrenzt unbegrenzt unbegrenzt unbegrenzt Die Speicherklassen können getrennt von den Rechenleistungen bestellt werden. Der verwendete RAM- Speicher (zugewiesen durch die VMs) verbraucht aufgrund der VMware vcloud-technologie den gleichen Speicherplatz als Speicher-Auslagerungsdateireserve, unabhängig von der Art des verwendeten Zuordnungs- /Reservierungsmodells. Die Workloads (vapps/vms) und Images/ISO-Dateien, die in einem oder mehreren Katalogen innerhalb der Kunden-vDCs gespeichert sind, zählen zum vom Kunden genutzten Datenspeicher. Dies gilt ebenfalls für die VMware vcloud-snapshot-funktionalität. Solche Workloads zählen auf das Gesamtlimit der maximal nutzbaren VMs (z.b. 30 für vdc Paket XS). Die Kapazität für diese katalogbasierten Anwendungsfälle sollte bei der Planung der Speichergröße berücksichtigt und in das bestellte Volumen einbezogen werden. 9

10 Den limitierenden Faktor von traditionellen Workloads definiert in der Regel der Hauptspeicher (RAM). Deshalb ist es zu empfehlen bei der Paketauswahl die Gesamtgröße der vdc Kapazität auf Grundlage des benötigten RAM zusammen mit der geschätzten Anzahl der VMs zu berücksichtigen. Mit der VMware vcloud-technologie, in der Version 5.5 und höher, wurde eine neue Zugangssteuerungsfunktionalität für die Menge an GHz eingeführt, die von kundenaktivierten vcpus verbraucht werden. Die Kombination aus: - Menge aktiver vcpu (Kunden-Self-Service), - GHz-Wert pro vcpu (pro vdc konfigurierbar), - Gesamtbetrag an GHz, die einem bestimmten vdc (wie beauftragt) zugeordnet sind kann die Anzahl der VMs einschränken, welche in der Cloud gestartet werden können. Diese Funktionalität ist der RAM-Zugangssteuerung sehr ähnlich und soll den Kunden vor der übermäßigen Bereitstellung eigener Ressourcen schützen. Diese Umstände sollten bei der vdc-dimensionierung sowie beim Betrieb des Kunden berücksichtigt werden, wenn eine kleinere Anzahl vcpus pro VMs bevorzugt wird. Wenn ein neues virtuelles Netz und/oder eine neue vshield-firewall vom Kunden auf Anfrage implementiert wird, wird ein kleiner Teil der zugewiesenen vdc-kapazität verbraucht (z. B. 2 vcpu, 1 GB RAM, 320 MB Speicher). 2.7 Self-Service Portal Der Kunde kann über das Self-Service Portal Workloads (VMs oder vapps) erstellen. Die bereitgestellten Workloads können aus mehreren VMs oder vapps bestehen. Die für den Workload zur Verfügung stehenden Ressourcen (vcpu, RAM, Datenspeicher, Netzwerke) werden durch den Kunden über das Self-Service Portal frei definiert. Außerdem können VMs mit Anpassungsschritten für die Vernetzung (Zuweisung von IPs), der Anpassung bestimmter Gast-Betriebssystemfunktionen (z. B. Windows-Domänenbeitritt, erfordert installierte VMware-Tools innerhalb der VM) und einigen anderen Funktionen vorkonfiguriert werden. Das Self-Service Portal ist eine Java-basierte Web-Anwendung und ist ausschließlich über https erreichbar. Für die Anmeldung benötigt der Benutzer einen Anmeldenamen und ein Kennwort. Sobald die Sitzung authentifiziert wurde, kann der Benutzer abhängig von seinen Berechtigungen alle Funktionen des virtuellen Servers aufrufen. Im Self-Service Portal können die virtuellen Server komplett per Fernzugriff administriert werden (VMRC oder vom Gast-Betriebssystem vergebener Zugang). Für die Nutzung des Konsolenzugriffs (VMRC) wird ein Client Plug-in zum Download angeboten, das auf dem Kundencomputer installiert werden muss. Für die Installation werden lokale Administrationsrechte benötigt. Das Self-Service Portal unterstützt mehrere Sprachen, die automatisch entsprechend den Browser- Spracheinstellungen der Benutzer angepasst wird. Derzeit sind folgende Sprachen verfügbar: Englisch, Deutsch, Französisch, Chinesisch (vereinfacht), Chinesisch (traditionell), Japanisch, Koreanisch, Italienisch und Spanisch. 10

11 2.8 vcloud API Alle Funktionen, die über das Self-Service Portal verfügbar sind sowie einige weitere Funktionen können über eine REST-basierte API aufgerufen werden. Die APIs von VMware vcloud sind auf dem Markt anerkannt und können über verschiedene Drittanbieter-Orchestrierungs-, Automatisierungs-, Brokerage-, Bestellungs-, Überwachungs- und ähnliche Software-Pakete genutzt werden. Diese sind von VMware, bzw. dem Drittanbieter dokumentiert und stets in der aktuellen Version Online abrufbar. 2.9 Benutzer- und Rollenmanagement Jeder Kunde erhält ein eigenes Administratorkonto für seine virtuelle Organisation (vorg). Über diesen Erstbenutzer kann der Kunde eine vollständige Benutzer- und Rollenmanagement-Strategie implementieren. Hierzu stehen in vcloud vordefinierte Rollen und Berechtigungsmodelle zur Verfügung, welche der Kunde seinen selbstverwalteten Usern zuweisen kann. Optional kann die kundeneigene LDAP- oder Cloud-basierte IAM-Lösung in das vcloud-portal integriert werden. Dadurch wird die Verwaltung neuer Benutzer in der Cloud und das Management des Benutzerlebenszyklus optimiert. Dedizierte Gruppen der kundeneigenen IAM-Lösung (z.b. Windows ADS) können anstelle der lokalen vcloud-benutzerdatenbank verwendet werden Provisionierung und Verwaltung von Objekten Der Kunde kann mehrere Objekte für verschiedenste Zwecke anlegen, z.b. virtuelle Maschinen (VMs), ganze Anwendungslandschaften (vapps), virtuelle Netze, Kataloge für die Speicherung von Vorlagen, Snapshots und Kopien vorhandener VMs, virtuelle Netz-Appliances mit Netz-/Firewall-/Load Balancing-Funktionen. Über die unterschiedlichen Bereiche des vcloud-self-service-portals kann der Kunde verschiedenste Aspekte in Bezug auf die zuvor genannten Objekte verwalten. Die Objekte können auch über die vcloud-api verwaltet werden Virtual Application Landscapes (vapps) Zur Vereinfachung der Arbeit mit komplexen Anwendungen können mehrere VMs in Gruppen kombiniert werden. Diese werden als vapps bezeichnet. vorg-administratoren können die Zugriffsrechte an andere Benutzer delegieren. Es können mehrere VM-Instanzen gruppiert werden, um erforderliche Aktionen zu initiieren (z.b. implementieren/klonen/stoppen/starten usw.). Darüber hinaus können Workloads in verschiedenen Katalogen mit bestimmten Berechtigungen organisiert werden. Dadurch lassen sie sich an die konkrete Organisationsstruktur / das Beschaffungsmodell / die Projektsituation des Kunden anpassen und können erforderliche Rollen und Zuständigkeiten widerspiegeln Konsolenzugriff auf virtuelle Maschinen Benutzer haben die Möglichkeit, unter Windows die vcloud Director-VMRC (Virtual Machine Remote Console) zu nutzen, um direkt auf ihre Konsole oder grafische VM-Benutzeroberfläche zuzugreifen. Hierzu ist die Installation eines Browser-Plug-Ins auf dem PC des Endanwenders notwendig. Für die Installation werden lokale Administrationsrechte benötigt. Nach der Installation kann der Benutzer über einen kompatiblen Browser auf die Konsole zugreifen. Weitere Informationen entnehmen Sie bitte der VMware-Dokumentation. Die Kommunikation mit dem VMRC-Proxy wird über SSL verschlüsselt. Der Benutzer gibt seinen DSI vcloud Benutzernamen und das zugehörige Kennwort ein, um über den Browser auf die VM zuzugreifen. 11

12 Unter MacOS ist für die Verwendung der Remote Console keine Installation des Plug-Ins notwendig. Der Zugriff ist hier direkt aus dem Browserfenster über HTML5 möglich Virtuelle Netzwerke (VXLANs) Im Self-Service-Portal können logisch voneinander getrennte Netze definiert werden. Diese Funktionalität sorgt dafür, dass derartige virtuelle vapp-netze bedarfsorientiert mit VXLAN-Technologie angelegt werden können. Sie können im Voraus erstellt und mit neuen VMs verbunden werden, oder sie können zusammen mit einer kompletten Anwendungslandschaft bereitgestellt werden (vapp und vapp-netz). Den in einem vapp-netz gestarteten VMs kann über einen DHCP-Server eine IP-Adresse zugewiesen werden. Die IP-Zuweisung kann auch über den IP-Pool des vapp-netzes (vshield-funktionalität) erfolgen. Darüber hinaus können diese vapp-netze (über VXLAN): - isoliert werden, um beispielsweise sich wiederholende IPs zu unterstützen (so genanntes umgrenztes Netz) oder - direkt mit dem übergeordneten Organisationsnetz verbunden werden (so genannte geroutete Netze) oder - über die vshield-basierte FW mit festgelegten Zugangsberechtigungen und NAT verbunden werden (so genannte NATed Networks ). Die Fähigkeit, ganze Anwendungslandschaften mit mehreren VMs in einer vapp, einschließlich des vapp- Netzes mit detaillierter Netzkonfiguration und Netzdiensten für eine bestimmte Anwendung zu integrieren und danach einfach in der Cloud zu implementieren oder zurück in die Kundenumgebung am Standort zu verlagern, ermöglicht enorme Flexibilität und zusätzliche geschäftliche Agilität Virtuelle Firewalls und Loadbalancer in vcloud Innerhalb des virtuellen Rechenzentrums stehen dem Kunden VMware basierte Firewall&Loadbalancer- Funktionalitäten im Self-Service zur Verfügung (vshield Edge). Dadurch können vapp-netzbezogene Sicherheitseinstellungen (z.b. Routing, Portfiltering, NAT) vom Kunden selbst konfiguriert werden. Jeglicher externe Netzwerkverkehr (z.b. private Netzanbindungen, Secure Internet Access, Flexible Internet Access) terminieren ebenfalls auf einer vshield Edge, so dass der Kunde dort weitergehende Einstellungen (Routing, NAT, Portfiltering, Loadbalancing) im Self-Service vornehmen kann IPv6-Support Das Self-Service Portal und die zugrunde liegenden Netzwerkmanagement-Komponenten sind derzeit nicht vollständig mit IPv6 kompatibel (Einschränkung der VMware-Technologie Version 5.5). Der Kunde kann jedoch seine Gast-Betriebssysteme manuell und unabhängig von vcloud auf IPv6 konfigurieren und seine eigenen virtuellen Routing/Firewall-Appliances einsetzen und selbst die vorliegende Einschränkung der VMware vshield-technologie umgehen. Neben den oben genannten Komponenten ist die physische Netzausstattung grundsätzlich IPv6-kompatibel. Zur weiteren Klärung kann der kundenspezifische IPv6-Anwendungsfall mit den Experten der T-Systems vor Ort besprochen werden (optional). 12

13 2.16 Desaster Recovery Fähigkeit Das Angebot von DSI vcloud bietet dem Kunden umfassende Desaster Recovery Fähigkeiten im Self- Service. DSI vcloud ist mit voll redundanten Komponenten auf allen Ebenen ausgelegt um die Hochverfügbarkeit zu gewährleisten. Durch die Möglichkeit vdcs sowohl im Datacenter A, als auch im Datacenter B des Twin-Core- Rechenzentrumsverbundes zu bestellen, bietet DSI vcloud zusätzlich die Möglichkeit für die Umsetzung von DR-Konzepten im Self-Service. DR-Konzepte können vom Kunden auf Applikationsebene umgesetzt werden, in dem er zwei vdcs in unterschiedlichen Datacentern (A/B) bestellt, die zugehörigen VMs zu einer Applikation auf beide Datacenter verteilt und unter Verwendung von applikationsspezifischen DR-Mechanismen konfiguriert. Des weiteren stehen dem Kunden Loadbalancing-Funktionalitäten von DSI vcloud zur Verfügung um DR-Toleranz über mehrere VMs in verschiedenen vdcs (A/B) abzubilden. Nutzt der Kunde lediglich die Spiegelungsfunktionen der optionalen Storage-Klassen (Klasse high), so sind manuelle Interaktionen auf Seiten der T-Systems und des Kunden notwendig, um im Desaster-Fall die Daten wieder sichtbar zu machen. Eine Bereitstellung kann hierbei nur erfolgen, wenn der Kunde auch im zweiten Rechenzentrum vdc-ressourcen geordert hat und seitens T-Systems für die gesamte Plattform der Desaster Fall ausgerufen wurde (kompletter Rechenzentrumsschwenk). Sollte der Kunde neben dem DR-Schutz gegen einen Rechenzentrumsausfall auch einen DR-Schutz gegen softwarebasierte Ausfälle (z.b. Cloudmanagement-Software) wünschen, oder eine größere Distanz zwischen den beiden Datacentern notwendig sein, so empfiehlt sich der Aufbau eines DR-Konzeptes über zwei vollständig getrennte DSI vcloud Regionen (z.b. DSI vcloud München, DSI vcloud Wien, DSI vcloud Barcelona) Import/Export von Workloads & vcloud Connector Benutzer können vorhandene Workloads (VMs und vapps) in DSI vcloud hochladen. Images oder Vorlagen können direkt über das Internet (DSI Hybrid) oder Intranet (DSI Private) hochgeladen werden. Nach dem erfolgreichen Upload in den Katalog können sie konfiguriert und implementiert werden. Dafür steht die integrierte Upload-Funktionalität des vcloud-portals als manueller benutzerbasierter Prozess zur Verfügung. Es kann jedoch auch ein automatisierter Prozess mit den vcloud-apis genutzt werden (z. B. eingeleitet durch Kunden-Workflow/Shopping/Broker-Portal). Der Transfer kann ebenfalls über das Tool VMware vcloud Connector (vcc) ausgeführt werden. Dieses Tool ermöglicht dem Kunden den Transfer von VMs und vapps zwischen verschiedenen vsphere/vcloud-basierten Clouds. Das Tool kann auch zum Starten einfacher Abläufe (starten/stoppen/kopieren/importieren) auf den hochgeladenen VMs genutzt werden. Die grafische Benutzeroberfläche vcloud Connector (vcc) kann in die vorhandene vsphere-umgebung im Kundenrechenzentrum integriert werden. Dadurch kann das lokale VMware-Management des Kunden (grafische Benutzeroberfläche von vsphere mit vcc) um die DSI vcloud - Ressourcen erweitert werden. Der vcloud-connector sorgt für zusätzliche Katalogsynchronisations - Funktionalitäten. Der Kunde kann so Workloads und Katalogvorlagen (VMs oder vapps) zwischen mehreren Clouds in einem offline jedoch automatisch ausgeführten Prozess synchronisieren. Dies allein stellt jedoch keine Online-DR-Lösung dar. Der Benutzer ist dafür verantwortlich sicherzustellen, dass die hochgeladene VM den Anforderungen der Plattform entspricht. Diese werden hauptsächlich durch das standardisierte OVF-Format und die technischen 13

14 Einschränkungen vorgegeben, die vom VMware-Hypervisor und Cloudmanager spezifiziert werden (siehe VMware/vCloud-Hardware-Kompatibilitätsliste). OVF steht für offenes Virtualisierungsformat und ist ein offener Standard, der von der Normungsorganisation Distributed Management Task Force (DMTF) herausgegeben wird. Darüber hinaus müssen auf den Kunden-Images die neuesten VMware-Gast-Betriebssystem-Treiber installiert sein (VMware-Tools). Durch das Einbinden der VMware-Gast-Betriebssystem-Treiber in die Kunden-Images wird sichergestellt, dass die Kunden-VMs von den neuesten Leistungs- und Stabilitätsfunktionen profitieren können, die erweiterten vcloud-funktionen wie Snapshots oder Gast-Betriebssystem-Anpassung unterstützt werden, sowie mögliche Performanceprobleme minimiert werden Vorlagenmechanismen Das Self-Service Portal verfügt über einen umfangreichen Vorlagenmechanismus (Templates). Eine Vorlage ist ein schreibgeschütztes Image und wird als Grundlage für die Erstellung von VMs und vapps genutzt. Benutzer und Administratoren können entweder VM-Images hochladen, die als Vorlagen verwendet werden, oder VMs in Vorlagen kopieren/umwandeln. Die Zugangsrechte für Vorlagen, die im Katalog gespeichert sind, können auf bestimmte Benutzer oder Gruppen begrenzt sein. Der Kunde kann selbst mehrere Kataloge anlegen. Optional kann die Laufzeit dieser Vorlagen durch die Leases -Funktionalität begrenzt werden Lizenzierung Das DSI vcloud Kernangebot beinhaltet keine Lizenzen für die Softwareprodukte des Kunden, die innerhalb der vom Kunden provisionierten VMs genutzt werden. Erforderliche Gast-Betriebssystemlizenzen können je nach Betriebssystem und Reservierungsmodell optional und gegen Entgelt von der T-Systems bezogen werden. Der Kunde gewährleistet, dass er die für die Verwendung der von ihm auf der VM eingesetzten Softwareprodukte erforderlichen wirtschaftlichen Verwertungsrechte besitzt. Dies gilt auch für etwaige Änderungen / Updates oder Upgrades. Der Kunde stellt insofern die T-Systems von jeder Haftung frei. Erkennt oder muss der Kunde erkennen, dass ein solcher Verstoß droht, besteht die Pflicht zur unverzüglichen Unterrichtung der T-Systems. Der Kunde übernimmt die alleinige Haftung gegenüber den Schutzrechtsinhabern und erstattet der T-Systems deren notwendige Verteidigungskosten. Für Betriebssysteme, die durch die T-Systems verwaltet werden (Managed OS), stellt T-Systems immer die Lizenzen bereit (Windows Server, RedHat Enterprise Linux und SuSE Enterprise Linux). Die Lizenzen werden entsprechend der Preisliste separat verrechnet und sind nicht im Managed OS Preis enthalten. Ebenso ist T- Systems in diesem Rahmen für den Hersteller Support verantwortlich. Innerhalb eines Dedicated vdcs, können die Lizenzen für Microsoft Windows optional auch vom Kunden bereitgestellt werden (BYOL) Backup und Wiederherstellung von VMs Es besteht die Möglichkeit, über die VMware-Snapshot-Funktionalität eine Online-Kopie einer VM zu erstellen, die dann als Vorlage im Katalog gespeichert und/oder in den Backup-Katalog kopiert werden kann. Um die Standorttrennung des Backups hierbei sicherzustellen, ist es notwendig dass der Kunde zwei vdcs nutzt, wovon eines im Datacenter A und eines im Datacenter B bestellt sein muss. VMs aus Datacenter A sollten in diesem Fall in einen Katalog im Datacenter B gesichert werden, und umgekehrt. 14

15 Hat der Kunde seine VMs auf einer BIS-Storage-Klasse abgelegt, besteht auch die Möglichkeit, eine VM aus dem Snapshot des Filers wiederherstellen zu lassen. Dies ist ein manueller Task, der durch das Betriebsteam der T-Systems durchgeführt werden muss (best-effort). Optional steht mit Backup as a Service ein weiterer Dienst zur Verfügung, über den regelbasierte und vollautomatische Backups und Restores in vollständiger Kundenverantwortung durchgeführt werden können. Zudem kann der Kunde das Backup in eine Umgebung außerhalb von DSI vcloud auslagern, z.b. über das private Kundennetz direkt auf eine Backup-Infrastruktur im Kundenrechenzentrum. Der Kunde sollte beim Kopieren und erneuten Bereitstellen existierender VMs vorsichtig vorgehen. Bei derartigen Aktivitäten kann es beispielsweise zur Verdoppelung von IPs oder Systemnamen/IDs kommen. Dies kann Probleme auf den anderen Systemen oder Anwendungen verursachen. Im Hinblick auf diese schwierige Aufgabe bietet DSI vcloud dem Kunden folgende Möglichkeiten: - Implementierung von VMs in so genannten isolierten Netzen, die entweder keine Verbindung zur umliegenden Umgebung haben oder hinter einer virtuellen Firewall mit NAT-Funktionalität abgeschirmt sind. - Ändern der Identität des Systems (z.b. Namen oder ID) vor der Bereitstellung. - Scripting-Ausführung vor und nach der Bereitstellung des Systems, zur Anpassung der VM- Konfiguration Reporting Das Self-Service Portal bietet eine grafische Echtzeitübersicht der genutzten Gesamtressourcen aufgeteilt nach CPU, RAM und Datenspeicher pro vdc. Darüber hinaus werden die von den Benutzern des Kunden eingeleiteten Aktionen protokolliert und können zur detaillierteren Analyse des technischen Verbrauchs herangezogen werden (Zugriff über API). Zudem werden monatliche maschinenlesbare Reports erstellt, welche Detailinformationen zur technischen vcloud-nutzung auf Grundlage monatlicher Durchschnittswerte (z. B. VMs mit CPU/RAM/Speicher) enthalten, und auf Wunsch dem vom Kunden benannten Ansprechpartner per zur Verfügung gestellt. 15

16 2.22 Technischer Support Der technische Support steht in englischer Sprache bei allen Störfällen zur Verfügung. Er ist über die folgende -Adresse erreichbar: Störungen können 7x24 unter Verwendung des von T-Systems vorgegebenen -Templates gemeldet werden. Die Bearbeitung der Störung richtet sich nach der vom Kunden vorgegebenen Kritikalität (Einfluss auf die Geschäftsprozesse des Kunden): a) Kritische Störung: Bearbeitung erfolgt von Montag bis Sonntag, 0.00 Uhr bis Uhr b) Unkritische Störung: Bearbeitung erfolgt von Montag bis Freitag, 8.00 Uhr bis Uhr (MEZ, MESZ) T-Systems ist berechtigt als kritisch gemeldete Störungen herunterzustufen, wenn die Plattform gemäß SLA zur Verfügung steht und die Ursache für die Störung im Verantwortungsbereich des Kunden liegt (z.b. Konfigurationsverantwortung des Kunden). 16

17 3. DSI vcloud Optionen 3.1 Datenspeicher (Disk Storage) Der Kunde kann zwischen drei verschiedenen Online-Speicherqualitäten wählen: 1) Storage entry (designed für ca. 25 IOPS/100GB) 2) Storage normal (designed für ca. 400 IOPS/100GB) 3) Storage high (designed für ca. 400 IOPS/100GB, Synchron gespiegelt) Alle Speicherklassen stehen zusätzlich auch als Backup Integrated Disk Storage (BIS) zur Verfügung 1) Der Online-Datenspeicher befindet sich stets innerhalb einer Rechenzentrumslokation mit den vom Kunden genutzten Compute-Ressourcen. Der Kunde hat die Möglichkeit über das vcloud Self-Service- Portal VMware-Snapshots seiner Workloads/VMs auf seinem gebuchten Datenspeicher zu erstellen. Hierbei wird der verfügbare Datenspeicher um die Snapshot- Größe verringert. Der Snapshot basiert auf einer Kopie über den vcloud Director. In der Speicherqualität high werden die Daten zusätzlich synchron an den anderen Rechenzentrumsstandort gespiegelt. Der Zugriff auf den sekundären Datenspeicher ist nicht im Self- Service möglich. Zugriff auf den sekundären Datenspeicher wird von der T-Systems ausschließlich im DR-Fall für alle Kunden gleichzeitig geschalten. 2) Backup Integrated Disk Storage (BIS) beinhaltet zusätzlich zum Online-Datenspeicher eine snapshotbasierte Datensicherung auf einen sekundären Datenspeicher im zweiten Rechenzentrum. Durch die T-Systems wird täglich automatisiert ein Backup des primären Datenspeichers auf dem sekundären Datenspeicher erstellt. Die durch das Backup anfallenden Daten auf dem Sekundärdatenspeicher verringern nicht den vom Kunden bestellten, zur Verfügung stehenden Datenspeicher im vdc. Betreibt der Kunde Applikationen innerhalb der VM, muss der Kunde sicherstellen, dass diese zum Zeitpunkt des automatisierten Filer-Backups im einen konsistenten Zustand sind, um verwendbare Backups zu erlangen. Die automatische Backuperstellung erfolgt in der Regel um Mitternacht (0:00 +/- 15min) lokaler Zeit am Standort des Rechenzentrums. Die Snapshots werden in der Regel innerhalb von 12h auf den Backupstorage übertragen. Es werden 35 Snapshots (35 Tage) Backup vorgehalten. Der Zugriff auf die snapshot-basierten Backups ist nicht im Self-Service möglich. Ein Restore z.b. einer einzelnen VM muss beauftragt werden und wird best-effort zur Verfügung gestellt. Alle Speicherklassen sind über ein hoch redundantes 10-Gbit-Mehrfach-Netz angebunden, und verfügen über einen Smart-Flash-basierten Cachedienst. Zusätzlich erfüllen alle Speicherklassen die Anforderungen der meisten Unternehmen für Produktions-, sowie für Test-/Entwicklungs-Workloads. Die starke Integration zwischen VMware vcloud und der Speichertechnologie der T-Systems unterstützt schnelle Workload-Bereitstellungsprozesse. Diese Funktionalität ist für die Unterstützung von Tests/Entwicklung/Schulungen und ähnliche Anwendungsfälle optimiert, bei denen ein schnelles Kopieren in den Katalog und mehrmaliges Bereitstellen erforderlich ist. Ein weiterer Anwendungsfall hierfür ist das lastbasierte Bursting, bei dem der Kunde zusätzliche VM/vApp-Instanzen innerhalb kurzer Zeit implementieren kann. Dies geht üblicherweise wesentlich schneller als andere derartige Vorgänge. 17

18 3.2 Backup as a Service Backup as a Service (BaaS) bietet dem Kunden die Möglichkeit Backups und Restores seiner, innerhalb von DSI vcloud betriebenen Workloads (VMs), im Self-Service durchzuführen und rundet damit die bereits bestehenden Backupfunktionalitäten (z.b. VMware Snapshots, Katalogbackups, Backup Integrated Storage) ab. Der Service ermöglicht eine bedarfsgerechte, einfache und sehr effektive Implementierung von Backupstrategien in voller Verantwortung des Kunden. Der Zugriff auf BaaS erfolgt über ein separates Self-Service Portal (ausschließlich Englisch) mit eigenständigem Benutzermanagement, in welchem der Kunde auf einen Blick die bisher konfigurierten Backups für seine Workloads in DSI vcloud einsehen kann. Durch die vollständige Trennung der beiden Portale und dem Benutzermanagement kann der Kunde die übliche organisatorische Trennung von Online- und Backupadministratoren beibehalten, um versehentliches gleichzeitiges Löschen von Online und Backup-Daten zu verhindern. Bei DSI vcloud Hybrid ist das Self-Service Portal über das Internet erreichbar, während bei DSI vcloud Private ausschließlich über die private Netzverbindung des Kunden auf das Portal zugegriffen werden kann. Neben einmaligen Backups und Restores bietet BaaS auch die Möglichkeit regelbasierte automatische Backups für einzelne VMs, vapps und sogar ganze vdcs zu konfigurieren. Die Backup-Lösung setzt hierbei keine Installation von Agenten innerhalb der VMs voraus, sondern sichert die Workloads über die Backendinfrastruktur, ohne hierbei negativen Einfluss auf die Performance von VMs zu haben. Crash-Konsistenz wird hierbei durch die Verwendung von VADP in Verbindung mit den in den VMs installierten VMware-Tools erreicht. Die Übertragung von Folgesicherungen erfolgt hierbei block-levelinkrementell, so dass das anfallende Backupvolumen deutlich reduziert wird. Die Sicherungen werden auf einer separaten Backend-Infrastruktur im gleichen Rechenzentrum wie das virtuelle Rechenzentrum (vdc) gespeichert (z.b. DC-A) und anschließend in das andere Rechenzentrum des TwinCore (z.b. DC-B) gespiegelt. Kernfunktionalitäten Backup Now (einmalig): Hierüber lässt sich innerhalb weniger Schritte einmalig ein vollständiges Backup eines vdcs, einer vapp oder einzelner VMs erstellen. Hierbei kann durch den Kunden die für die Sicherung zu verwendende Aufbewahrungszeit (Retention) auf Basis von vordefinierten Profilen ausgewählt werden. Protect Machine (regelmäßige Backups): Protect Machine bietet dem Kunden die Möglichkeit innerhalb weniger Schritte ein regelmäßiges und vollständig automatisiertes Backup für seine vdcs, vapps oder VMs zu konfigurieren. Auf Basis vordefinierter Profile lassen sich die Backup-Intervalle, sowie die Aufbewahrungszeiten konfigurieren. Nach dem initialen (vollständigen) Backup werden alle weiteren Backups inkrementell durchgeführt. Restore VM: Durch die Funktion Restore VM besteht die Möglichkeit einzelne VMs auf Basis eines erstellten Backups inkl. VM-Metadaten wiederherzustellen. Hierbei ist die Wiederherstellung in die ursprüngliche vapp möglich, als auch die Rücksicherung in einer anderen vapp, die z.b. gezielt für die Rücksicherung angelegt wurde. Achtung: Wenn die Option Overwrite gewählt wird, wird die in vcloud existierende VM durch das Backup unwiderruflich überschrieben. Bei Wiederherstellung von VMs in einer vapp sollte vor dem Starten der VM die Gastanpassungen aktiviert werden, um z.b. doppelte SIDs, Systemnamen, IP- Adressen und damit Einfluss auf Produktivumgebungen zu verhindern. Generell müssen beim Restore die technischen Anforderungen und Restriktionen der innerhalb der VM betriebenen Applikationen 18

19 berücksichtigt werden. T-Systems empfiehlt daher auf Kundenseite ein Backup- und Restorekonzept zu erstellen, so wie in einer Testumgebung zu verproben. Unprotect Machine: Durch Unprotect Machine kann das regelmäßige und automatische Backup für VMs, vapps und vdcs gelöscht werden. Process Monitoring: Für jeden gestarteten Backup-Prozess lässt sich innerhalb des BaaS Self-Service Portal der aktuelle Status der verschiedenen Backup- und Restorevorgänge einsehen. Nach der Durchführung eines manuellen Backups-/Restorevorganges kann optional und automatisiert eine Status- versendet werden. Backup Reporting: Über diese Funktion können detaillierte Reports im PDF-Format heruntergeladen werden. Usermanagement: Im Bereich Usermanagement kann der Kunde eigenständig neue Accounts für den Zugriff auf das Self-Service Portal anlegen, sowie bestehende Accounts verwalten (z.b. Passwörter zurücksetzen) Verfügbare Backup-Profile In Backup as a Service (BaaS) stehen verschiedene Profile für regelmäßige Backups (Protect Machine) zur Verfügung, welche sich im Backupzyklus und Aufbewahrungszeit (Retention) unterscheiden. Aufbewahrungsfrist (Retention) Täglicher Backupzyklus Wöchentlicher Backupzyklus Monatlicher Backupzyklus 7 Tage daily_1week nicht verfügbar nicht verfügbar 14 Tage daily_2weeks nicht verfügbar nicht verfügbar 1 Monat daily_1month weekly_1month nicht verfügbar 2 Monate daily_2months weekly_2months monthly_2months 3 Monate daily_3months weekly_3months monthly_3months 6 Monate daily_6months weekly_6months monthly_6months 12 Monate daily_12months weekly_12months monthly_12months Die Backupfenster (Zeitfenster des Starttermins für Backups je Profil) werden im Self-Service Portal angezeigt. T-Systems kann die zur Verfügung stehenden Backupprofile insbesondere auch in Bezug auf die Backupfenster aus Kapazitätsmanagementgründen der Backupinfrastruktur anpassen. Notwendiger Backup-Benutzer innerhalb von DSI vcloud Für den Zugriff der BaaS-Lösung auf die virtuelle Organisation (vorg) im Kundenkontext wird seitens T-Systems in der lokalen Benutzerdatenbank der vorg ein Backup-User angelegt. Dieser ist für die Funktionsfähigkeit von BaaS zwingend notwendig und darf durch den Kunden weder gelöscht noch verändert werden (z.b. Änderung des Passworts). Abrechnungsmodell: Die Abrechnung von BaaS erfolgt nach gelagertem Datenvolumen (GB) auf der Backup-Infrastruktur. Für die Verrechnung wird hierbei ein monatlicher Mittelwert in GB gebildet. Das gelagerte Datenvolumen wird durch die Größe der zu sichernden Objekte (Initiale Sicherung), der täglichen Änderungsrate (block-inkrementell) sowie der gewählten Aufbewahrungsfrist (Retention) beeinflusst. 19

20 3.3 Managed OS Zusätzlich zu Systemen, bei denen der Kunde das Management des Betriebssystems selbst verantwortet (Self- Managed), bietet DSI vcloud optional die Bereitstellung von virtuellen Maschinen an, bei denen das Betriebssystem durch die T-Systems verwaltet wird (Managed OS). Das Management des Betriebssystems beinhaltet Monitoring und Incident Management, Backup und Security Management, das Bereitstellen von Patches, Antivirus Schutz für Microsoft Windows Betriebssysteme und Release Management. Der Kunde verwaltet ausschließlich die Applikation. Grundlage hierfür sind ausschließlich Templates die von T-Systems bereitgestellt werden. Die Managed OS Templates können in der gleichen Weise wie die Self-Managed OS Templates aus den öffentlichen Katalogen ausgewählt werden. Die Kernfunktionen von Managed OS bestehen aus: Service und Zuständigkeiten T-Systems Kunde Basis Dienste Automatisierte Installation R A/I Bereitstellung der Betriebssystem-Lizenzen * A/R - Wartung des Betriebssystems A/R I/C Backup des Betriebssystems A/R - Monitoring des Betriebssystems A/R I/C Security / Vulnerability-Management / Patch- Management (Bereitstellung von Updates) A/R I/C Security / Vulnerability-Management / Patch - Management (Installation und Aktivierung von Updates) - A/R Release-Management (Bereitstellung von Updates) A/R I/C Release-Management (Installation und Aktivierung von Updates) - A/R Optionale Dienste Root Access R A/I/C Sicherstellen der Konsistenz von Applikationsdaten während des Sicherungsprozesses - A/R R=Responsible (Verantwortlich), A=Accountable (Rechenschaftspflichtig), C=Consulted (Konsultiert), I=Informed (Informiert) * Im Falle von Dedicated vdc, bei denen der Kunde eigene Lizenzen nutzt, obliegt die Verantwortung (A/R) für die korrekte Lizenzierung ausschließlich dem Kunden. Achtung: Managed OS steht aktuell ausschließlich für DSI vcloud Hybrid zur Verfügung. Die Verfügbarkeit für DSI vcloud Private ist für Q3/2015 geplant. Automatisierte Installation: Der Kunde erhält über das DSI vcloud Portal die Möglichkeit sich Managed OS VMs (Microsoft Windows Server, RedHat Enterprise Linux oder SuSE Enterprise Linux) auf Basis der im Katalog verfügbaren Templates anzulegen. Die Installation erfolgt, wie auch bei den Self-Managed Betriebssystemen, automatisiert. 20