Pianificare la distribuzione SAP con SAP Deployment Automation Framework

SAP Deployment Automation Framework è uno strumento di orchestrazione open source che automatizza le distribuzioni SAP in Azure usando Terraform e Ansible. Prima di distribuire, è necessario pianificare le sottoscrizioni, la gestione delle credenziali e la progettazione della rete virtuale.

Questo articolo descrive le principali decisioni di pianificazione da prendere prima di iniziare la distribuzione. Per considerazioni di progettazione generiche su SAP Azure, vedere Introduzione a uno scenario di adozione SAP.

Pianificazione delle sottoscrizioni

Distribuire il piano di controllo e le zone del carico di lavoro in sottoscrizioni diverse. Il piano di controllo deve trovarsi in una sottoscrizione hub che ospita i componenti di gestione del framework di automazione SAP.

Ospita i sistemi SAP nelle sottoscrizioni "spoke", che sono dedicate ai sistemi SAP. Ad esempio, è possibile ospitare sistemi di sviluppo in una sottoscrizione separata con una rete virtuale dedicata. I sistemi di produzione possono risiedere nella propria sottoscrizione con una rete virtuale dedicata.

Questo approccio fornisce sia un limite di sicurezza che una netta separazione dei compiti e delle responsabilità. Ad esempio, il team SAP Basis può distribuire i sistemi nelle zone del carico di lavoro e il team dell'infrastruttura può gestire il piano di controllo.

Pianificazione del piano di controllo

Eseguire le attività di distribuzione e configurazione da Azure Pipelines o usando gli script della shell forniti direttamente dalle macchine virtuali Linux ospitate Azure. Questo ambiente è noto come piano di controllo. Per configurare Azure DevOps per il framework di distribuzione, vedere Impostare Azure DevOps per SAP Deployment Automation Framework. Per configurare le macchine virtuali Linux come deployer, vedere Configurare macchine virtuali Linux per SAP Deployment Automation Framework.

Prima di progettare il piano di controllo, tenere in considerazione le domande seguenti:

• In quali aree è necessario distribuire i sistemi SAP?
• Esiste una sottoscrizione dedicata al piano di controllo?
• Esiste una credenziale di distribuzione dedicata (principale del servizio) per il piano di controllo?
• Esiste una rete virtuale esistente o è necessaria una nuova rete virtuale?
• Come viene fornito Internet in uscita per le macchine virtuali?
• Si intende distribuire Firewall di Azure per la connettività Internet in uscita?
• Gli endpoint privati sono necessari per gli account di archiviazione e il Key Vault?
• Si userà una zona di private DNS esistente per le macchine virtuali o si userà il piano di controllo per ospitare DNS privato?
• Si userà Azure Bastion per proteggere l'accesso remoto alle macchine virtuali?
• Si vuole usare la configurazione dell’applicazione Web di SAP Deployment Automation Framework per eseguire le attività di configurazione e distribuzione?

Piano di controllo

Il piano di controllo fornisce i servizi seguenti:

• Macchine virtuali di distribuzione, che eseguono distribuzioni Terraform e la configurazione di Ansible e fungono da agenti self-hosted Azure DevOps.
• Un key vault, che contiene le credenziali di distribuzione (principali di servizio) usate da Terraform durante le distribuzioni.
• Firewall di Azure per fornire connettività Internet in uscita.
• Azure Bastion per fornire l'accesso remoto sicuro alle macchine virtuali distribuite.
• Una configurazione dell'applicazione web Azure del SAP Deployment Automation Framework per l'esecuzione di attività di configurazione e distribuzione.

Il piano di controllo viene definito usando due file di configurazione, uno per il deployer e uno per la libreria SAP.

Il file di configurazione del deployer definisce l'area, il nome dell'ambiente e le informazioni sulla rete virtuale. Ad esempio:

# Deployer Configuration File
environment = "MGMT"
location = "westeurope"

management_network_logical_name = "DEP01"

management_network_address_space = "10.170.20.0/24"
management_subnet_address_prefix = "10.170.20.64/28"

firewall_deployment = true
management_firewall_subnet_address_prefix = "10.170.20.0/26"

bastion_deployment = true
management_bastion_subnet_address_prefix = "10.170.20.128/26"

use_webapp = true

webapp_subnet_address_prefix = "10.170.20.192/27"
deployer_assign_subscription_permissions = true

deployer_count = 2

use_service_endpoint = false
use_private_endpoint = false
public_network_access_enabled = true

Considerazioni sul DNS

Quando si pianifica la configurazione del DNS per il framework di automazione, tenere in considerazione le domande seguenti:

• È presente un DNS privato esistente al quale possono venire integrate le soluzioni o è necessario usare una zona DNS privata personalizzata per l'ambiente di distribuzione?
• Userai indirizzi IP statici per le VM o lascerai che Azure li assegni in modo dinamico?

Per eseguire l'integrazione con una zona DNS privata esistente, specificare i valori seguenti nei tfvars file:

management_dns_subscription_id = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
#management_dns_resourcegroup_name = "RESOURCEGROUPNAME"
use_custom_dns_a_registration = false

Senza questi valori, viene creata una zona DNS privata nel gruppo di risorse della libreria SAP.

Per altre informazioni, vedere la spiegazione approfondita di come configurare il deployer.

Configurazione libreria SAP

Il gruppo di risorse della libreria SAP fornisce spazio di archiviazione per i supporti di installazione SAP, i file Bill of Material, i file di stato Terraform e, facoltativamente, le zone DNS private. Il file di configurazione definisce l'area e il nome dell'ambiente per la libreria SAP. Per informazioni sui parametri ed esempi, vedere Configurare la libreria SAP per l'automazione.

Pianificazione delle zone del carico di lavoro

La maggior parte degli scenari applicativi SAP è partizionata in livelli diversi. In SAP Deployment Automation Framework questi livelli sono denominati zone del carico di lavoro. Ad esempio, potrebbero essere presenti zone del carico di lavoro diverse per i sistemi di sviluppo, controllo qualità e produzione. Per altre informazioni, vedere Zone del carico di lavoro.

La zona del carico di lavoro fornisce i servizi condivisi seguenti per le applicazioni SAP:

• Rete virtuale di Azure, per reti virtuali, subnet e gruppi di sicurezza di rete.
• Azure Key Vault, per l'archiviazione delle credenziali di sistema SAP e della macchina virtuale.
• Gli account di archiviazione di Azure per la diagnostica di avvio e Cloud Witness.
• Archiviazione condivisa per i sistemi SAP, File di Azure o Azure NetApp Files.

Prima di progettare il layout della zona del carico di lavoro, tenere in considerazione le domande seguenti:

• In quali aree è necessario distribuire i carichi di lavoro?
• Quante zone del carico di lavoro richiede lo scenario (sviluppo, controllo qualità e produzione)?
• Si sta distribuendo in nuove reti virtuali o si stanno usando reti virtuali esistenti?
• Quale tipo di archiviazione è necessario per l'archiviazione condivisa (File di Azure condivisione file di rete (NFS) o Azure NetApp Files)?
• Si vuole distribuire il gateway NAT per la connettività Internet in uscita?

La convenzione di denominazione predefinita per le zone del carico di lavoro è [ENVIRONMENT]-[REGIONCODE]-[NETWORK]-INFRASTRUCTURE. Ad esempio, DEV-WEEU-SAP01-INFRASTRUCTURE è per un ambiente di sviluppo ospitato nell'area Europa occidentale usando la rete virtuale SAP01. PRD-WEEU-SAP02-INFRASTRUCTURE è per un ambiente di produzione ospitato nell'area Europa occidentale usando la rete virtuale SAP02.

Le denominazioni SAP01 e SAP02 definiscono i nomi logici per le reti virtuali di Azure. Possono essere usate per partizionare ulteriormente gli ambienti. Si supponga di avere bisogno di due reti virtuali Azure per la stessa zona del carico di lavoro. Ad esempio, si potrebbe avere uno scenario con più sottoscrizioni in cui si ospitano ambienti di sviluppo in due sottoscrizioni. È possibile usare i diversi nomi logici per ogni rete virtuale. È ad esempio possibile usare DEV-WEEU-SAP01-INFRASTRUCTURE eDEV-WEEU-SAP02-INFRASTRUCTURE.

Per altre informazioni, vedere Configurare una distribuzione della zona del carico di lavoro per l'automazione.

distribuzioni basate su Windows

Quando si eseguono distribuzioni basate su Windows, le macchine virtuali nella rete virtuale dell'area del carico di lavoro devono essere in grado di comunicare con Active Directory per aggiungere le macchine virtuali SAP al dominio Active Directory. Il nome DNS specificato deve essere risolvibile da Active Directory.

Il SAP Deployment Automation Framework non crea account in Active Directory, quindi gli account devono essere precreati e archiviati nell'archivio di chiavi della zona di carico di lavoro.

Impostazioni DNS

Per gli scenari a disponibilità elevata, è necessario un record DNS nella Active Directory per il cluster di servizi centrali SAP. Il record DNS deve essere creato nella zona DNS Active Directory. Il nome del record DNS è definito come [sid]>scs[scs instance number]cl1. Ad esempio, w01scs00cl1 viene usato per il cluster, con W01 per il SID e 00 per il numero di istanza.

Gestione di credenziali

Il framework di automazione usa le entità di servizio per la distribuzione dell'infrastruttura. È consigliabile usare credenziali di distribuzione diverse (entità servizio) per ogni zona del carico di lavoro. Il framework archivia queste credenziali nell'archivio di credenziali del deployer. Quindi il framework recupera queste credenziali in modo dinamico durante il processo di distribuzione.

Gestione delle credenziali delle macchine virtuali e SAP

Il framework di automazione utilizza il caveau delle chiavi della zona di carico di lavoro per archiviare sia le credenziali dell'utente di automazione sia le credenziali del sistema SAP. Nella tabella seguente sono elencati i nomi delle credenziali della macchina virtuale.

Creazione del service principal

Per creare l'entità di servizio:

1. Accedi al interfaccia della riga di comando di Azure con un account con autorizzazioni per creare un'entità servizio principale.

2. Creare un nuovo principale del servizio eseguendo il comando az ad sp create-for-rbac. Assicurarsi di usare un nome descrittivo per --name. Ad esempio:

   az ad sp create-for-rbac --role="Contributor" --scopes="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e" --name="DEV-Deployment-Account"
   

3. Prendere nota dell'output. Per il passaggio successivo sono necessari l'identificatore dell'applicazione (appId), la password (password) e l'identificatore del tenant (tenant). Ad esempio:

   {
       "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
       "displayName": "DEV-Deployment-Account",
       "name": "http://DEV-Deployment-Account",
       "password": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
       "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

4. Assegnare il ruolo di Amministratore dell'accesso utenti all'entità di servizio. Ad esempio:

   az role assignment create --assignee <your-application-ID> --role "User Access Administrator" --scope /subscriptions/<your-subscription-ID>/resourceGroups/<your-resource-group-name>
   

Per ulteriori informazioni, consultare la documentazione Interfaccia della riga di comando di Azure per la creazione di un'entità di servizio.

Gestione delle autorizzazioni

In un ambiente con restrizioni, potrebbe essere necessario assegnare un'altra autorizzazione ai principali del servizio. Ad esempio, potrebbe essere necessario assegnare il ruolo di Amministratore dell'accesso degli utenti al principal del servizio.

Autorizzazioni necessarie

Nella tabella seguente vengono illustrate le autorizzazioni richieste per i principal di servizio.

Configurazione firewall

Testare la connettività agli URL da una macchina virtuale Linux in Azure usando uno script di PowerShell che usa la funzionalità run-command in Azure.

L'esempio seguente illustra come testare la connettività agli URL usando uno script di PowerShell interattivo.

$sdaf_path = Get-Location
if ( $PSVersionTable.Platform -eq "Unix") {
    if ( -Not (Test-Path "SDAF") ) {
      $sdaf_path = New-Item -Path "SDAF" -Type Directory
    }
}
else {
    $sdaf_path = Join-Path -Path $Env:HOMEDRIVE -ChildPath "SDAF"
    if ( -not (Test-Path $sdaf_path)) {
        New-Item -Path $sdaf_path -Type Directory
    }
}

Set-Location -Path $sdaf_path

git clone https://github.com/Azure/sap-automation.git

cd sap-automation
cd deploy
cd scripts

if ( $PSVersionTable.Platform -eq "Unix") {
 ./Test-SDAFURLs.ps1
}
else {
 .\Test-SDAFURLs.ps1
}

Struttura DevOps

Il framework di distribuzione usa tre repository separati per gli artefatti della distribuzione. Per i file di parametri personalizzati, è consigliabile mantenere questi file in un repository di controllo del codice sorgente gestito.

Repository principale

Questo repository contiene i file dei parametri Terraform e i file necessari per i playbook Ansible per tutte le zone del carico di lavoro e le distribuzioni di sistema.

Creare questo repository clonando il repository bootstrap del SAP Deployment Automation Framework nel tuo repository di controllo del codice sorgente.

Struttura delle cartelle

La gerarchia di cartelle di esempio seguente illustra come strutturare i file di configurazione insieme ai file del framework di automazione.

Il nome del file di parametri diventa il nome del file di stato Terraform. Per questo motivo assicurarsi di utilizzare un nome univoco per il file dei parametri.

Repository di codice

Questo repository contiene i modelli di automazione Terraform, i playbook Ansible e le pipeline e gli script di distribuzione. Per la maggior parte dei casi d'uso, considerare questo repository come "di sola lettura" e non modificarlo.

Per creare questo repository, clonare il repository SAP Deployment Automation Framework nel tuo repository di controllo del codice sorgente.

Dai un nome a questo repository sap-automation.

Repository di esempio

Questo repository contiene i file di esempio del Bill of Materials e i file di esempio di configurazione Terraform.

Per creare questo repository, clonare il repository di esempio SAP Deployment Automation Framework nel tuo repository di controllo del codice sorgente.

Dai un nome a questo repository samples.

Scenari di distribuzione supportati

Il framework di automazione supporta la distribuzione in scenari nuovi ed esistenti.

Regioni di Azure

Prima di distribuire una soluzione, è importante considerare quali Azure aree da usare. Diverse aree Azure potrebbero trovarsi nell'ambito a seconda dello scenario specifico.

Il framework di automazione supporta le distribuzioni in più aree Azure. Ogni area ospita:

• L’infrastruttura di distribuzione
• La libreria SAP con file di stato e supporti di installazione.
• Zone di carico di lavoro da 1 a N
• Un determinato numero di sistemi SAP distribuiti nelle zone del carico di lavoro.

Ambienti di distribuzione

Se si supportano più zone del carico di lavoro in un'area, usare un identificatore univoco globale per l'ambiente di distribuzione e la libreria SAP. Non usare l'identificatore per la zona del carico di lavoro. Ad esempio, usare MGMT per scopi di gestione.

Il framework di automazione supporta anche la presenza dell'ambiente di distribuzione e della libreria SAP in sottoscrizioni separate rispetto alle zone del carico di lavoro.

L'ambiente di distribuzione offre i servizi seguenti:

• Una o più macchine virtuali di distribuzione, che eseguono le distribuzioni dell'infrastruttura usando Terraform ed eseguono la configurazione di sistema e l'installazione SAP usando i playbook Ansible.
• Un key vault, che contiene informazioni dell'identità del principale servizio per l'utilizzo nelle distribuzioni di Terraform.
• Componente Firewall di Azure che fornisce connettività Internet in uscita.

Il file di configurazione della distribuzione definisce l'area, il nome dell'ambiente e le informazioni sulla rete virtuale. Ad esempio:

# The environment value is a mandatory field, it is used for partitioning the environments, for example (PROD and NP)
environment = "MGMT"

# The location/region value is a mandatory field, it is used to control where the resources are deployed
location = "westeurope"

# management_network_address_space is the address space for management virtual network
management_network_address_space = "10.10.20.0/25"

# management_subnet_address_prefix is the address prefix for the management subnet
management_subnet_address_prefix = "10.10.20.64/28"

# management_firewall_subnet_address_prefix is the address prefix for the firewall subnet
management_firewall_subnet_address_prefix = "10.10.20.0/26"

# management_bastion_subnet_address_prefix is a mandatory parameter if bastion is deployed and if the subnets are not defined in the workload or if existing subnets are not used
management_bastion_subnet_address_prefix = "10.10.20.128/26"

deployer_enable_public_ip = false

firewall_deployment = true

bastion_deployment = true

Per altre informazioni, vedere la spiegazione approfondita di come configurare il deployer.

Struttura della zona del carico di lavoro

La maggior parte delle configurazioni SAP ha più zone del carico di lavoro per diversi livelli di applicazione. Ad esempio, potrebbero essere presenti zone del carico di lavoro diverse per lo sviluppo, la garanzia di qualità e la produzione.

È possibile creare o concedere l'accesso ai servizi seguenti in ogni zona del carico di lavoro:

• Reti virtuali di Azure, per reti virtuali, subnet e gruppi di sicurezza di rete.
• Azure Key Vault, per le credenziali di sistema e il principale del servizio di distribuzione.
• Account di archiviazione di Azure, per la diagnostica di avvio e per Cloud Witness.
• Archiviazione condivisa per i sistemi SAP, File di Azure o Azure NetApp Files.

Prima di progettare il layout della zona del carico di lavoro, tenere in considerazione le domande seguenti:

• Quante zone del carico di lavoro richiede lo scenario?
• In quali aree è necessario distribuire i carichi di lavoro?
• Che scenario di distribuzione si presenta?

Per altre informazioni, vedere Configurare una distribuzione della zona del carico di lavoro per l'automazione.

Configurazione del sistema SAP

Il sistema SAP contiene tutti i componenti Azure necessari per ospitare l'applicazione SAP.

Prima di configurare il sistema SAP, tenere in considerazione le domande seguenti:

• Quale database back-end si vuole usare?
• Quanti server di database sono necessari?
• Lo scenario richiede una disponibilità elevata?
• Quante applicazioni server sono necessarie?
• Di quanti dispatcher web hai bisogno, se necessario?
• Quante istanze di servizi centrali sono necessarie?
• Che dimensioni ha la macchina virtuale di cui si ha bisogno?
• Che immagine di macchina virtuale si desidera usare? L'immagine è Azure Marketplace o personalizzata?
• Si esegue la distribuzione in uno scenario di distribuzione nuovo o esistente?
• Qual è la vostra strategia di allocazione IP? Vuoi che Azure imposti gli indirizzi IP o usi impostazioni personalizzate?

Per altre informazioni, vedere Configurare il sistema SAP per l'automazione.

Flusso di distribuzione

Quando si pianifica una distribuzione, è importante tenere in considerazione il flusso complessivo. Esistono tre passaggi principali di una distribuzione SAP in Azure con il framework di automazione.

1. Implementare il piano di controllo Questo passaggio distribuisce i componenti per supportare il framework di automazione SAP in un'area di Azure specificata.

   1. Creare l'ambiente di distribuzione.
   2. Creare una risorsa di archiviazione condivisa per i file di stato di Terraform.
   3. Creare l'archiviazione condivisa per i supporti di installazione SAP.

2. Distribuire la zona del carico di lavoro. Questo passaggio distribuisce i componenti della zona del carico di lavoro, ad esempio la rete virtuale e gli archivi delle chiavi.

3. Distribuire il sistema. Questo passaggio include la distribuzione dell’infrastruttura del sistema SAP e la configurazione e installazione di SAP.

Convenzioni di denominazione

Il framework di automazione utilizza una convenzione di denominazione standard. Se si vuole usare una convenzione di denominazione personalizzata, pianificare e definire i nomi personalizzati prima della distribuzione. Per altre informazioni, vedere Configurare la convenzione di denominazione.

Dimensionamento del disco

Se si vogliono configurare in modo personalizzato le dimensioni del disco, assicurarsi di pianificare la configurazione personalizzata prima della distribuzione.

Contenuti correlati

• Panoramica di SAP Deployment Automation Framework
• Configurare il piano di controllo
• Configurare una distribuzione della zona del carico di lavoro
• Pianificare manualmente la distribuzione del framework di automazione