Servicios de Infraestructura Utiles al Desarrollo de Aplicaciones Pablo Tloupakis Architectural Consultant pablot@microsoft.com

Agenda 1. Problemática 2. Servicios de Infraestructura 3. Conclusiones 4. Información Adicional

1. Problemática ¿Cuál es el diseño de infraestructura recomendado? Donde ubicar los Web Servers, Application Servers, Bases de Datos,etc. DMZ, redes internas, etc. ¿Qué puertos necesito? ¿Cuál es la arquitectura recomendada? ¿Cómo evitar pelearme con los arquitectos de infraestructura? ¿Cuál es la mejor estrategia de utilización de Active Directory en mi aplicación? ¿En qué casos me conviene Active Directory? ¿Cómo y donde almaceno perfiles en Active Directory? ¿Cómo puedo administrar autorización con roles integrado al directorio? ¿Cómo puedo potenciar Web Services y COM+ con el directorio?

2. Servicios de Infraestructura 2.1. Microsoft Systems Architecture (MSA) 2.2. Application Partitions 2.3. Active Directory Application Mode (AD/AM) 2.4. Application Authorization (AzMan) 2.5. UDDI y Active Directory 2.6. COM+ Partitions y Active Directory

2.1. Microsoft Systems Architecture (MSA) Guía prescriptiva para la implementación de arquitecturas y servicios de infraestructura en plataforma Microsoft Diseños recomendados y “best practices” de infraestructura Forma parte del PAG, Patterns & Practices para infraestructura Más que “whitepapers”: Arquitecturas pre-evaluadas en ambientes de laboratorio Provisión de: Arquitecturas de Referencia Configuración detallada para cada componente de la solución Guía de Planeamiento Guía de Construcción e Implementación Guía de Operaciones Solución desarrollada con Socios de Negocios Microsoft

2.1. Microsoft Systems Architecture (MSA) MSA v2.0 puede ser aplicable a: a) Escenarios específicos Corporate Data Center (CDC)  Satellite Branch Office (SBO) Department  Extranet  Internet Data Center  b) Servicios específicos Network Devices Storage Devices Network Services Firewall Services Directory Service File & Print Services Data Services Web Application Services Infrastructure Mgmt Services Backup & Recovery Services Certificate Services Remote Access Services Middleware Services Enfoque modular y matricial No implica la implementación total de la solución

Aplicaciones en Active Directory Problemática: Microsoft recomienda la utilización de Active Directory como repositorio de información de configuración, datos y perfiles de aplicaciones Pero…. Mas datos en AD implica mayor replicación Impacto en infraestructura Se recomienda que los datos almacenados en AD sean relativamente estáticos No apto para perfiles El Schema es extensible Pero se recomienda ser conservador con los cambios en el Schema… La replicación no es adaptable a necesidades de la aplicaciones sino de la infraestructura No es posible definir por el administrador de una aplicación a que servidores específicos se replican los datos El cronograma de replicación está determinado por la infraestructura y no por las aplicaciones

Aplicaciones en Active Directory Soluciones de Infraestructura: 2.2. Application Partitions 2.3. Active Directory Application Mode (AD/AM)

2.2. Application Partitions Particiones en Windows 2000: Configuration Partition : forest wide Schema Partition : forest wide Domain Partition : domain wide Particiones en Windows 2003: Configuration Partition : forest wide Application Partitions: También llamadas “non-domain naming contexts” ó NDNCs

2.2. Application Partitions Particiones AD orientadas a almacenamiento de información temporaria o de carácter volátil. Ejemplos: Datos de configuración de una aplicación Objetos propios de la aplicación Pueden ser creadas y replicadas a cualquier Domain Controller del forest Definidos por el administrador Cronograma de replicación independiente del de particiones AD “tradicionales” Puede contener objetos AD de cualquier tipo Excepto Security Principals (users, groups, computers) Se pueden asignar permisos a usuarios del dominio/forest en objetos de una Application Partition Utilizadas en Windows 2003 para: Zonas DNS AD/AM COM+ partitions TAPI Applications

2.3. Active Directory Application Mode (AD/AM) Versión “light” de Active Directory: Directorio LDAP de Microsoft Mismo modelo de programación que AD Esquema de replicación y administración similar a AD Storage idéntico a AD Schema reducido Diferencias con Active Directory: No soporta protocolo MAPI No es necesario ejecutar DCPROMO No convierte al equipo en un Domain Controller Se ejecuta en su propio procesos/servicio Restart/reinstall sin reboot

2.3. Active Directory Application Mode (AD/AM) Permite Schema propio de la aplicación No impacta en Schema “estándar” de Active Directory Account y password policies por partición: Account lockout, disable/enable Password complexity, min/max age Permite crear: Windows Security Principals: Cualquier WSP puede ser autenticado/autorizado en ADAM vía LDAP, Kerberos ó NTLM ADAM Security Principals: Users y Groups Usuarios y grupos específicos a la partición No son visibles en otras particiones ó AD Tienen SID con el mismo formato que AD Pueden ser creadas y replicadas a cualquier Domain Controller del forest Definidos por el administrador Cronograma de replicación independiente del de particiones AD “tradicionales”

AD/AM: Esquema de Replicación Cada instancia de AD/AM puede contener múltiples particiones Cada instancia es un servicio Win32, con su propio puerto Las instancias pueden ser agrupadas en un Configuration Set Cada Configuration Set tiene un Schema común N instancias por servidor

Infrastructure Active Directory AD/AM: Ejemplo Perfil Store/ retrieve data Web portal ADAM Authentication Client Server Infrastructure Active Directory Ejemplo: portal Web con personalización Información de personalización en ADAM Utilización AD para autenticación

AD/AM: Ejemplo Proxy Logon Web portal ADAM Authentication Proxy Logon Authentication Store/ retrieve data Client Server Infrastructure Active Directory Ejemplo: portal Web con personalización Información de personalización en ADAM Logon a AD a través de AD/AM Proxy Logon

2.4. Application Authorization (AzMan) Modelo estándar para administración de autorización en aplicaciones Role Based Administracion Administración de roles mas dinámica que grupos de usuario Active Directory Separación de administración de grupos de infraestructura de grupos de aplicaciones Define: Role: Set of work-units defined by a job description Task: Work-unit that makes sense to admins Operation: Work-unit that makes sense to developers Biz Rule: Runtime script to adjust task permissions Scope: Set of resources where role applies Application group: App specific, Static or LDAP query El store puede ser: Active Directory Requiere dominio en modo Windows Server 2003 Archivos XML

ADAM vs Application Partitions Web portal ADAM LDAP App partition Client Server Infrastructure Active Directory Application Partition en Active Directory Ventaja: backup centralizado, parte de la infraestructura Desventaja: utiliza el mismo Schema que Active Directory ADAM Ventajas: schema, naming y cronograma de replicación independientes de AD Desventaja: no hay administración centralizada

Role={Tasks}, Task={Operations} Web Expense Application Administrator Approver Submitter Change Approver Approve Deny Payment Reject Report Submit Cancel Check Status Web Operation Database Operation Payment System Operation Directory Operation

Role Definitions & Assignments, Scopes Web Expense Application Role Definitions Submitter Approver Administrator Submitter: Employees Scope: Default Web Expense Role Assignments: Approver: QueryGroup_Mgr Administrator: Jane, Liz Dept 01 Role Assignments: Scope: Dept 01 Approver: QueryGroup_Admin Administrator: Jane, Charlie Scope: Dept 02 Dept 02 Role Assignments:

2.5. UDDI y Active Directory Servicios UDDI pueden ser publicados en Active Directory Windows Server 2003 Administración de Autenticación y Autorización a través de Grupos y Usuarios Active Directory Utilización de los mecanismos de resolución de nombres de AD para localización de servidores en la red con servicios UDDI para clientes Discovery de instancias de UDDI Services: Visual Studio.NET AddWebReference UDDI SDK Office System/Infopath

2.6. COM+ Partitions y Active Directory

COM+ Partitions COM+ Partition: Ejemplo: Contenedor lógico que permite la ejecución de una misma aplicación con configuraciones distintas e independientes entre cada partición Ejemplo: Aplicación hosted para múltiples empresas Cada empresa está representada por una COM+ Partition En cada COM+ Partition se ejecuta la versión propia para cada empresa Cada empresa ejecuta código client side de la aplicación localmente y se conecta a su COM+ Partition

COM+ Partitions Beneficios: Reducción de cantidad de servidores físicos para ejecución de múltiples configuraciones de una misma aplicación Permite generación de múltiples ambientes para una aplicación Ejemplos: Desarrollo, Testing, Producción, etc. Administración y delegación de seguridad y roles COM+ a nivel de cada partición individual Hosting de aplicaciones COM+

COM+ Partitions y Active Directory Creación de Partition Set en un dominio Active Directory Cada Partition Set puede contener múltiples COM+ Partitions A efectos de permitir el acceso a la aplicación, las cuentas de usuarios, grupos u Organization Units son asignadas a cada Partition Set Tareas de configuración (alto nivel): En el Domain Controller: Creación de COM+ Partition Creación de Partition Set Asignación de COM+ Partition a Partition Set Asignación usuarios, grupos, OUs a Partition Set En el COM+ Application Server: Link a Partition Set de Active Directory

3. Conclusiones Best Practices Infraestructura MSA v2.0 Windows 2000/2003 Particiones de Directorio específicos de aplicación Active Directory Application Partitions Windows Server 2003 Directorio LDAP, almacenamiento de perfiles Active Directory Application Mode (AD/AM) Windows Server 2003 Mecanismo de Administración de Roles para aplicaciones integrada con el directorio Application Authorization API (AzMan) Windows 2000/2003 Publicación de servicios UDDI en el Directorio Corporativo Windows Server 2003 UDDI Services y Active Directory 2003 Ejecución de una misma aplicación COM+ con múltiples versiones y configuraciones Windows Server 2003 COM+ Partitions y Active Directory 2003

Información Adicional Programa Microsoft Systems Architecture: http://www.microsoft.com/solutions/msa/default.asp Solución MSA v2.0: http://www.microsoft.com/downloads/details.aspx?FamilyId=F2BF7811-F13F-4E70-8F69-5636F2105396&displaylang=en Active Directory Application Mode: http://www.microsoft.com/downloads/details.aspx?FamilyId=9688F8B9-1034-4EF6-A3E5-2A2A57B5C8E4&displaylang=en