Planowanie wdrożenia struktury automatyzacji SAP

Istnieje wiele zagadnień dotyczących planowania wdrożeń SAP przy użyciu struktury SAP Deployment Automation Framework. Obejmują one planowanie subskrypcji, projektowanie sieci wirtualnej zarządzania poświadczeniami.

Aby zapoznać się z ogólnymi zagadnieniami dotyczącymi projektowania oprogramowania SAP na platformie Azure, zobacz Wprowadzenie do scenariusza wdrażania oprogramowania SAP.

Planowanie subskrypcji

Należy wdrożyć plan sterowania i strefy obciążenia w osobnych subskrypcjach. The control plane should reside in a hub subscription that is used to host the management components of the SAP automation framework.

Systemy SAP powinny być hostowane w subskrypcjach typu 'spoke', które są dedykowane dla systemów SAP. Przykładem partycjonowania systemów byłoby hostowanie systemów deweloperskich w oddzielnej subskrypcji z dedykowaną siecią wirtualną, a systemy produkcyjne będą hostowane we własnej subskrypcji z dedykowaną siecią wirtualną.

Takie podejście zapewnia zarówno granicę zabezpieczeń, jak i pozwala na wyraźne rozdzielenie obowiązków i obowiązków. Na przykład zespół SAP Basis może wdrażać systemy w strefach obciążeń, a zespół infrastruktury może zarządzać płaszczyzną sterowania.

Planowanie płaszczyzny sterowania

You can perform the deployment and configuration activities from either Azure Pipelines or by using the provided shell scripts directly from Azure-hosted Linux virtual machines. To środowisko jest określane jako płaszczyzna sterowania. Aby skonfigurować usługę Azure DevOps dla platformy wdrażania, zobacz Konfigurowanie usługi Azure DevOps dla platformy SAP Deployment Automation Framework. Aby skonfigurować maszyny wirtualne z systemem Linux jako narzędzie do wdrażania, zobacz Konfigurowanie maszyn wirtualnych z systemem Linux dla platformy SAP Deployment Automation Framework.

Przed zaprojektowaniem płaszczyzny sterowania należy wziąć pod uwagę następujące pytania:

• W których regionach należy wdrożyć systemy SAP?
• Is there a dedicated subscription for the control plane?
• Is there a dedicated deployment credential (service principal) for the control plane?
• Czy istnieje istniejąca sieć wirtualna, czy potrzebna jest nowa sieć wirtualna?
• W jaki sposób jest udostępniany wychodzący Internet dla maszyn wirtualnych?
• Czy zamierzasz wdrożyć usługę Azure Firewall na potrzeby wychodzącej łączności z Internetem?
• Are private endpoints required for storage accounts and the key vault?
• Czy zamierzasz użyć istniejącej prywatnej strefy DNS dla maszyn wirtualnych, czy skorzystać z płaszczyzny sterowania w celu hostowania prywatnych stref DNS?
• Czy zamierzasz używać usługi Azure Bastion do bezpiecznego dostępu zdalnego do maszyn wirtualnych?
• Czy zamierzasz użyć aplikacji internetowej konfiguracji programu SAP Deployment Automation Framework do wykonywania działań związanych z konfiguracją i wdrażaniem?

Control plane

The control plane provides the following services:

• Maszyny wirtualne do wdrażania, które realizują wdrożenia narzędzia Terraform i konfigurację narzędzia Ansible. Acts as Azure DevOps self-hosted agents.
• A key vault, which contains the deployment credentials (service principals) used by Terraform when performing the deployments.
• Usługa Azure Firewall do zapewniania wychodzącej łączności z Internetem.
• Usługa Azure Bastion zapewnia bezpieczny dostęp zdalny do wdrożonych maszyn wirtualnych.
• Konfiguracja programu SAP Deployment Automation Framework — aplikacja internetowa platformy Azure do wykonywania działań związanych z konfiguracją i wdrażaniem.

Płaszczyzna sterowania jest definiowana przy użyciu dwóch plików konfiguracji, po jednej dla narzędzia wdrażania i jednej dla biblioteki SAP.

Plik konfiguracji narzędzia wdrażania definiuje informacje o regionie, nazwie środowiska i sieci wirtualnej. Na przykład:

# Deployer Configuration File
environment = "MGMT"
location = "westeurope"

management_network_logical_name = "DEP01"

management_network_address_space = "10.170.20.0/24"
management_subnet_address_prefix = "10.170.20.64/28"

firewall_deployment = true
management_firewall_subnet_address_prefix = "10.170.20.0/26"

bastion_deployment = true
management_bastion_subnet_address_prefix = "10.170.20.128/26"

use_webapp = true

webapp_subnet_address_prefix = "10.170.20.192/27"
deployer_assign_subscription_permissions = true

deployer_count = 2

use_service_endpoint = false
use_private_endpoint = false
public_network_access_enabled = true

Zagadnienia dotyczące systemu DNS

Podczas planowania konfiguracji DNS dla platformy automatyzacji należy wziąć pod uwagę następujące pytania:

• Czy istnieje istniejący prywatny system DNS, z którym można zintegrować rozwiązania, lub czy należy użyć niestandardowej prywatnej strefy DNS dla środowiska wdrażania?
• Czy zamierzasz używać wstępnie zdefiniowanych adresów IP dla maszyn wirtualnych lub zezwolić platformie Azure na ich dynamiczne przypisywanie?

Możesz zintegrować z istniejącą prywatną strefą DNS, podając następujące wartości w plikach tfvars :

management_dns_subscription_id = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
#management_dns_resourcegroup_name = "RESOURCEGROUPNAME"
use_custom_dns_a_registration = false

Bez tych wartości prywatna strefa DNS jest tworzona w grupie zasobów biblioteki SAP.

Aby uzyskać więcej informacji, zobacz szczegółowe wyjaśnienie sposobu konfigurowania narzędzia do wdrażania.

Konfiguracja biblioteki SAP

Grupa zasobów biblioteki SAP udostępnia magazyn dla nośników instalacyjnych SAP, plików Bill of Material, plików stanu programu Terraform i, opcjonalnie, prywatnych stref DNS. Plik konfiguracji definiuje region i nazwę środowiska dla biblioteki SAP. Aby uzyskać informacje o parametrach i przykłady, zobacz Konfigurowanie biblioteki SAP na potrzeby automatyzacji.

Planowanie strefy obciążenia

Większość poziomów aplikacji SAP jest partycjonowana w różnych warstwach. W programie SAP Deployment Automation Framework te warstwy są nazywane strefami obciążenia. Na przykład mogą istnieć różne strefy obciążenia dla systemów programistycznych, jakościowych i produkcyjnych. Aby uzyskać więcej informacji, zobacz Strefy obciążenia.

Strefa obciążenia udostępnia następujące usługi udostępnione dla aplikacji SAP:

• Usługa Azure Virtual Network dla sieci wirtualnych, podsieci i sieciowych grup zabezpieczeń.
• Usługa Azure Key Vault do przechowywania poświadczeń maszyny wirtualnej i systemu SAP.
• Azure Storage accounts for boot diagnostics and Cloud Witness.
• Magazyn udostępniony dla systemów SAP— Azure Files lub Azure NetApp Files.

Przed zaprojektowaniem układu strefy obciążenia należy wziąć pod uwagę następujące pytania:

• In which regions do you need to deploy workloads?
• Ile stref obciążenia wymaga twój scenariusz (programowanie, kontrola jakości i produkcja)?
• Are you deploying into new virtual networks or are you using existing virtual networks?
• Jakiego typu magazynu potrzebujesz dla magazynu udostępnionego (Azure Files NFS lub Azure NetApp Files)?
• Czy zamierzasz wdrożyć bramę NAT w celu zapewnienia wychodzącej łączności z Internetem?

Domyślna konwencja nazewnictwa stref obciążenia to [ENVIRONMENT]-[REGIONCODE]-[NETWORK]-INFRASTRUCTURE. Na przykład DEV-WEEU-SAP01-INFRASTRUCTURE jest to środowisko projektowe hostowane w regionie Europa Zachodnia przy użyciu sieci wirtualnej SAP01. PRD-WEEU-SAP02-INFRASTRUCTURE jest przeznaczony dla środowiska produkcyjnego hostowanego w regionie Europa Zachodnia przy użyciu sieci wirtualnej SAP02.

Oznaczenia SAP01 i SAP02 definiują nazwy logiczne dla sieci wirtualnych platformy Azure. Mogą one służyć do dalszego partycjonowania środowisk. Załóżmy, że potrzebujesz dwóch sieci wirtualnych platformy Azure dla tej samej strefy obciążenia. Na przykład może istnieć scenariusz z wieloma subskrypcjami, w którym hostujesz środowiska deweloperskie w dwóch subskrypcjach. Dla każdej sieci wirtualnej można użyć różnych nazw logicznych. Można na przykład użyć funkcji DEV-WEEU-SAP01-INFRASTRUCTURE i DEV-WEEU-SAP02-INFRASTRUCTURE.

Aby uzyskać więcej informacji, zobacz Konfigurowanie wdrożenia strefy obciążenia na potrzeby automatyzacji.

Wdrożenia oparte na systemie Windows

Podczas wykonywania wdrożeń opartych na systemie Windows maszyny wirtualne w sieci wirtualnej strefy obciążenia muszą być w stanie komunikować się z usługą Active Directory w celu przyłączenia maszyn wirtualnych SAP do domeny usługi Active Directory. Podana nazwa DNS musi być rozpoznawana przez usługę Active Directory.

Platforma SAP Deployment Automation Framework nie tworzy kont w usłudze Active Directory, dlatego konta muszą być wcześniej utworzone i przechowywane w magazynie kluczy strefy obciążenia.

Ustawienia DNS

W przypadku scenariuszy wysokiej dostępności rekord DNS jest wymagany w usłudze Active Directory dla klastra usług centralnych SAP. Rekord DNS należy utworzyć w strefie DNS usługi Active Directory. Nazwa rekordu DNS jest zdefiniowana jako [sid]>scs[scs instance number]cl1. Na przykład w01scs00cl1 jest używany dla klastra, W01 dla SID, a 00 dla numeru wystąpienia.

Zarządzanie poświadczeniami

The automation framework uses service principals for infrastructure deployment. Zalecamy używanie różnych poświadczeń wdrożenia (głównych usług serwisowych) dla każdej strefy obciążenia. The framework stores these credentials in the deployer's key vault. Następnie platforma pobiera te poświadczenia dynamicznie podczas procesu wdrażania.

Zarządzanie poświadczeniami systemu SAP i maszyn wirtualnych

Platforma automatyzacji korzysta z magazynu kluczy w strefie obciążenia do przechowywania zarówno poświadczeń użytkownika platformy automatyzacji, jak i poświadczeń systemu SAP. W poniższej tabeli wymieniono nazwy poświadczeń maszyny wirtualnej.

Service principal creation

To create your service principal:

1. Zaloguj się do Azure CLI przy użyciu konta z uprawnieniami do tworzenia głównego obiektu usługi.

2. Create a new service principal by running the command az ad sp create-for-rbac. Pamiętaj, aby użyć nazwy opisu dla elementu --name. Na przykład:

   az ad sp create-for-rbac --role="Contributor" --scopes="/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" --name="DEV-Deployment-Account"
   

3. Zanotuj dane wyjściowe. Do następnego kroku potrzebujesz identyfikatora aplikacji (appId), hasła (password) i identyfikatora dzierżawy (tenant). Na przykład:

   {
       "appId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
       "displayName": "DEV-Deployment-Account",
       "name": "http://DEV-Deployment-Account",
       "password": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
       "tenant": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   }
   

4. Przypisz rolę administratora dostępu użytkownika do podmiotu usługi. Na przykład:

   az role assignment create --assignee <your-application-ID> --role "User Access Administrator" --scope /subscriptions/<your-subscription-ID>/resourceGroups/<your-resource-group-name>
   

Aby uzyskać więcej informacji, zobacz dokumentację Azure CLI dotyczącą tworzenia głównego użytkownika usługi.

Zarządzanie uprawnieniami

In a locked-down environment, you might need to assign another permission to the service principals. For example, you might need to assign the User Access Administrator role to the service principal.

Wymagane uprawnienia

The following table shows the required permissions for the service principals.

Konfiguracja zapory

Możesz przetestować łączność z adresami URL z maszyny wirtualnej z systemem Linux na platformie Azure przy użyciu skryptu programu PowerShell, który używa funkcji "run-command" na platformie Azure, aby przetestować łączność z adresami URL.

W poniższym przykładzie pokazano, jak przetestować łączność z adresami URL przy użyciu interaktywnego skryptu programu PowerShell.

$sdaf_path = Get-Location
if ( $PSVersionTable.Platform -eq "Unix") {
    if ( -Not (Test-Path "SDAF") ) {
      $sdaf_path = New-Item -Path "SDAF" -Type Directory
    }
}
else {
    $sdaf_path = Join-Path -Path $Env:HOMEDRIVE -ChildPath "SDAF"
    if ( -not (Test-Path $sdaf_path)) {
        New-Item -Path $sdaf_path -Type Directory
    }
}

Set-Location -Path $sdaf_path

git clone https://github.com/Azure/sap-automation.git 

cd sap-automation
cd deploy
cd scripts

if ( $PSVersionTable.Platform -eq "Unix") {
 ./Test-SDAFURLs.ps1
}
else {
 .\Test-SDAFURLs.ps1
}

Struktura Metodyki DevOps

Platforma wdrażania używa trzech oddzielnych repozytoriów dla artefaktów wdrażania. W przypadku własnych plików parametrów najlepszym rozwiązaniem jest przechowywanie tych plików w zarządzanym repozytorium kontroli źródła.

Repozytorium główne

This repository contains the Terraform parameter files and the files needed for the Ansible playbooks for all the workload zone and system deployments.

Możesz utworzyć to repozytorium, klonując repozytorium bootstrap platformy SAP Deployment Automation Framework do swojego repozytorium kontroli wersji.

Struktura folderów

Poniższa przykładowa hierarchia folderów pokazuje, jak utworzyć strukturę plików konfiguracji wraz z plikami struktury automatyzacji.

Nazwa pliku parametrów staje się nazwą pliku stanu programu Terraform. Z tego powodu użyj unikatowej nazwy pliku parametrów.

Repozytorium kodu

This repository contains the Terraform automation templates, the Ansible playbooks, and the deployment pipelines and scripts. W większości przypadków użycia należy rozważyć to repozytorium jako tylko do odczytu i nie modyfikować go.

To create this repository, clone the SAP Deployment Automation Framework repository into your source control repository.

Nadaj temu repozytorium sap-automationnazwę .

Przykładowe repozytorium

To repozytorium zawiera przykładowe pliki bill of Materials i przykładowe pliki konfiguracji narzędzia Terraform.

To create this repository, clone the SAP Deployment Automation Framework samples repository into your source control repository.

Nadaj temu repozytorium samplesnazwę .

Obsługiwane scenariusze wdrażania

Platforma automatyzacji obsługuje wdrażanie zarówno w nowych, jak i istniejących scenariuszach.

Azure regions

Przed wdrożeniem rozwiązania ważne jest, aby rozważyć, które regiony platformy Azure mają być używane. Różne regiony Azure mogą wchodzić w zakres w zależności od Twojego konkretnego scenariusza.

Platforma automatyzacji obsługuje wdrożenia w wielu regionach świadczenia usługi Azure. Każdy region gości:

• Infrastruktura wdrażania.
• The SAP library with state files and installation media.
• Strefy obciążenia 1-N.
• 1-N SAP systems in the workload zones.

Środowiska wdrażania

Jeśli obsługujesz wiele stref obciążenia w regionie, użyj unikatowego identyfikatora dla środowiska wdrażania i biblioteki SAP. Nie używaj identyfikatora strefy obciążenia. Na przykład, użyj MGMT do celów zarządzania.

Platforma automatyzacji obsługuje również posiadanie środowiska wdrażania i biblioteki SAP w oddzielnych subskrypcjach niż strefy obciążenia.

Środowisko wdrażania zapewnia następujące usługi:

• Jedna lub więcej maszyn wirtualnych wdrożeniowych, które wykonują wdrożenia infrastruktury przy użyciu narzędzia Terraform oraz konfigurację systemu i instalację systemu SAP przy użyciu Ansible playbooks.
• A key vault, which contains service principal identity information for use by Terraform deployments.
• Składnik usługi Azure Firewall, który zapewnia wychodzącą łączność z Internetem.

Plik konfiguracji wdrożenia definiuje informacje o regionie, nazwie środowiska i sieci wirtualnej. Na przykład:

# The environment value is a mandatory field, it is used for partitioning the environments, for example (PROD and NP)
environment = "MGMT"

# The location/region value is a mandatory field, it is used to control where the resources are deployed
location = "westeurope"

# management_network_address_space is the address space for management virtual network
management_network_address_space = "10.10.20.0/25"

# management_subnet_address_prefix is the address prefix for the management subnet
management_subnet_address_prefix = "10.10.20.64/28"

# management_firewall_subnet_address_prefix is the address prefix for the firewall subnet
management_firewall_subnet_address_prefix = "10.10.20.0/26"

# management_bastion_subnet_address_prefix is a mandatory parameter if bastion is deployed and if the subnets are not defined in the workload or if existing subnets are not used
management_bastion_subnet_address_prefix = "10.10.20.128/26"

deployer_enable_public_ip = false

firewall_deployment = true

bastion_deployment = true

Aby uzyskać więcej informacji, zobacz szczegółowe wyjaśnienie sposobu konfigurowania narzędzia do wdrażania.

Struktura strefy obciążenia

Większość konfiguracji sap ma wiele stref obciążenia dla różnych warstw aplikacji. Na przykład mogą istnieć różne strefy obciążenia na potrzeby programowania, zapewniania jakości i produkcji.

Utworzysz lub przyznasz dostęp do następujących usług w każdej strefie obciążenia:

• Wirtualne sieci platformy Azure, obejmujące wszelkie sieci wirtualne, podsieci i grupy zabezpieczeń sieci.
• Azure Key Vault, for system credentials and the deployment service principal.
• Konta Azure Storage dla diagnostyki rozruchu i Cloud Witness.
• Magazyn udostępniony dla systemów SAP— Azure Files lub Azure NetApp Files.

Przed zaprojektowaniem układu strefy obciążenia należy wziąć pod uwagę następujące pytania:

• Ile stref obciążenia wymaga Twój scenariusz?
• In which regions do you need to deploy workloads?
• Jaki jest twój scenariusz wdrażania?

Aby uzyskać więcej informacji, zobacz Konfigurowanie wdrożenia strefy obciążenia na potrzeby automatyzacji.

Konfiguracja systemu SAP

System SAP zawiera wszystkie składniki platformy Azure wymagane do hostowania aplikacji SAP.

Przed skonfigurowaniem systemu SAP należy wziąć pod uwagę następujące pytania:

• Jakiego zaplecza bazy danych chcesz użyć?
• Ile serwerów baz danych potrzebujesz?
• Czy twój scenariusz wymaga wysokiej dostępności?
• Ile serwerów aplikacji potrzebujesz?
• Ile potrzebnych jest dyspozytorów internetowych, jeśli istnieje?
• How many central services instances do you need?
• Jakiego rozmiaru potrzebujesz maszyny wirtualnej?
• Którego obrazu maszyny wirtualnej chcesz użyć? Is the image on Azure Marketplace or custom?
• Czy wdrażasz aplikację w scenariuszu wdrożeniowym nowym czy istniejącym?
• Jaka jest strategia alokacji adresów IP? Czy chcesz, aby platforma Azure ustawiła adresy IP lub używała ustawień niestandardowych?

Aby uzyskać więcej informacji, zobacz Konfigurowanie systemu SAP na potrzeby automatyzacji.

Deployment flow

Podczas planowania wdrożenia należy wziąć pod uwagę ogólny przepływ. Istnieją trzy główne kroki wdrażania sap na platformie Azure przy użyciu struktury automatyzacji.

1. Deploy the control plane. Ten krok umożliwia wdrożenie składników w celu obsługi struktury automatyzacji SAP w określonym regionie świadczenia usługi Azure.

   1. Utwórz środowisko wdrażania.
   2. Utwórz wspólny magazyn danych dla plików stanu programu Terraform.
   3. Utwórz udostępnioną przestrzeń dla nośnika instalacyjnego SAP.

2. Wdróż strefę obciążenia. This step deploys the workload zone components, such as the virtual network and key vaults.

3. Wdróż system. Ten krok obejmuje infrastrukturę wdrożenia systemu SAP oraz konfigurację sap i instalację sap.

Konwencje nazewnictwa

Struktura automatyzacji używa domyślnej konwencji nazewnictwa. Jeśli chcesz użyć niestandardowej konwencji nazewnictwa, zaplanuj i zdefiniuj nazwy niestandardowe przed wdrożeniem. Aby uzyskać więcej informacji, zobacz Konfigurowanie konwencji nazewnictwa.

Ustalanie rozmiaru dysku

Jeśli chcesz skonfigurować niestandardowe rozmiary dysków, pamiętaj, aby zaplanować konfigurację niestandardową przed wdrożeniem.

Następny krok