OpenStack Extended Počítačový Kurz

1. Úvod do OpenStacku – 2 hodiny
● Historie cloudových technologií a systému OpenStack
● Klíčové vlastnosti cloudových prostředí
● Modely cloudového nasazení
○ privátní, veřejný a hybridní cloud
○ lokální instalace, IaaS, PaaS, SaaS
● Možnosti nasazení OpenStacku – jak v prostředí veřejného, tak privátního cloudu
● Různé distribuce OpenStacku – open-source i komerční verze
● Možnosti a modely nasazení systému OpenStack
● Struktura ekosystému OpenStacku
○ Systémové komponenty
○ Související nástroje
○ Integrace mezi jednotlivými systémy
● Životní cyklus OpenStacku

● Certifikace v rámci OpenStacku
● Testovací prostředí (virtuální stroje) určené k tomuto kurzu

2. Praktická cvičení ze správy OpenStacku
● Seznámení s OpenStackem – cca 0,5 hodiny
○ Základní komponenty OpenStacku (Keystone, Glance, Nova, Neutron, Cinder, Swift, Heat)
○ Interakce s cloudovým prostředím OpenStacku
○ Komunikace mezi démony a API systému OpenStack
● Keystone – služba pro správu identit – cca 1 hodina
○ Architektura služby Keystone
○ Autentizace a dostupné typy backendů
○ Druhy tokenů a jejich správa
○ Autorizace v OpenStacku – role uživatelů a konfigurace oslo.policy
○ Základní entity Keystone: domény, projekty, uživatelé
○ Konfigurace klientů přes soubory openrc a clouds.yaml
○ Katalog dostupných služeb OpenStacku
○ Jak přidat novou službu do systému
○ Systém kvót v OpenStacku
● Glance – služba pro správu obrazů – cca 1,5 hodiny
○ Upravování obrazů tak, aby vyhovovaly požadavkům cloudu
○ Vlastnosti obrazů: atributy, metadata, formáty a typ kontejneru
● Nahrávání a stahování obrazů
● Sdílení obrazů mezi uživateli a projekty
○ Typy úložišť používaných pro uložení obrazů v Glance
● Ochrana důležitých obrazů před neoprávněným přístupem
○ Správa kvót u služby pro správu obrazů
○ Testování správného fungování služby Glance
● Neutron – síťové řešení – cca 2–3 hodiny
○ Architektura systému Neutron a jeho komponenty
○ Plugin ML2 a jeho využití
○ Analýza síťového vybavení na výpočetních uzlech
○ Základní síťové koncepty a nástroje používané Neutronem
● Typy zdrojů pro tvorbu sítí v Neutronu
● Správa sítí a podsítí jednotlivých tenantů
● Konfigurace skupin bezpečnosti a jejich pravidel
● Směrování provozu mezi různými segmenty sítě
○ Využití síťových „namespace“
● Správa externích a providerovských sítí
● Směrování provozu mezi interními a vnějšími segmenty sítě
● Nastavení a správa dynamických IP adres (floating IP)
○ Správa kvót pro síťové zdroje
● Základní postupy při diagnostice síťových problémů (např. použití nástrojů jako tcpdump)
○ Kontrola správného fungování služby Neutron
● Nova – výpočetní modul – cca 2–3 hodiny
○ Rozhraní pro komunikaci s hypervizory

● Správa páru klíčů používaných k šifrování
● Nastavování konfigurace „flavor“ – typů virtuálních strojů
○ Vliv rozložení procesorových jader na výkon instance
● Konfigurační parametry při vytváření virtuálních strojů
● Proces tvorby nové instance v OpenStacku
● Kontrola správného spuštění a stavu vytvořených instancí
● Vytváření snímků systému (snapshotů)
● Běžná správa živých instancí – změny parametrů, přidávání prostředků atd.
○ Možnosti změny velikosti již vytvořené instance
● Přiřazování dynamických IP adres instancím
● Používání interaktivní konzole a zobrazení protokolů běhu instancí
● Konfigurace skupin bezpečnosti pro jednotlivé instance
○ Kontrola vyhovujících kvót při využívání výpočetních zdrojů
● Získávání statistik o aktuálním stavu systému Nova
● Využití Placement API a konceptů typu „Cells v2“ pro efektivní rozložení instancí na jednotlivé výpočetní uzly
○ Možnosti komunikace s Placement API pomocí příkazového řádku
● Testování a ověřování správného fungování služby Nova
● Cinder – blokové úložiště – cca 2–3 hodiny
○ Vlastnosti vytvářených diskových jednotek a jejich parametry
● Postup při tvorbě nového disku
● Správa existujících disků – změny, přesuny atd.
● Připojování vytvořených disků k již spuštěným instancím
○ Správa snímků a záloh jednotlivých disků
● Jak systém Cinder ukládá a spravuje informace o snapshotech a zálohách
● Přesuny disků mezi různými projekty v rámci stejného cloudu
● Obnova dat ze starších záloh
○ Řízení kvót týkajících se diskových zdrojů
● Jak přidat do systému nové typy úložišť dat
○ Kontrola a nastavování limitů využívání zdrojů pomocí mechanismů QoS
○ Popis možností různých backendů – např. LVM, externí úložiště či Ceph
● Integrace systému Ceph do prostředí OpenStacku a specifika jeho použití
○ Základní pravidla pro bezpečné nasazení Ceph v cloudu
● Testování správného fungování jednotlivých komponent Cinderu
● Barbican – služba na správu klíčů – cca 2 hodiny
○ Architektura systému Barbican a způsob jeho ukládání dat
○ Uchovávání hesel a dalších citlivých informací v šifrovaném formátu
● Generování a správa symetrických šifrovacích klíčů
● Mechanismy šifrování disků pomocí Barbicanu
● Konfigurace typu úložiště v Cinderu pro využití šifrovaných disků
○ Omezení a rizika spojená s využíváním šifrování u diskových jednotek
● Ukládání balíčků s certifikáty typu X.509 do systému
● Swift – objektové úložiště (stručný přehled pro zkoušku COA) < 1 hodina
○ Struktura a principy činnosti jednotlivých komponent systému Swift
● Správa kontejnerů i jednotlivých objektů uložených v úložišti
● Nastavování pravidel pro přístup k datům a kontrola oprávnění

○ Jak nastavit automatické vymazání nepotřebných objektů po uplynutí určité doby
● Principy fungování systémového „Ring“ a různých strategií rozdělení dat mezi servery
○ Jak monitorovat volné kapacity v celém objektovém úložišti
● Nastavování kvót u jednotlivých projektů v rámci Swiftu
● Testy správného chodu systému a jeho komponent
● Octavia – služba typu Load Balancing-as-a-Service – cca 2–3 hodiny
○ Struktura celého systému Octavia a vzájemné vazby mezi jeho prvky
● Objekty, které tvoří základ služby, a jejich rozsah funkcí při odesílání požadavků uživatelů
○ Možnosti konfigurace různých „flavor“ služby Octavia
● Definování oblastí dostupnosti (Availability Zones) v tomto prostředí
● Postupy při vytváření load balanceru určeného pro HTTP provoz
● Konfigurace systémů load balancing pro TCP protokol a také pro šifrovaný provoz HTTPS
● Využití listenerů, tzv. „pools“ a nástrojů na monitorování stavu služeb
○ Možnosti fungování Layer 7 při rozdělování provozu mezi konkrétní servry
● Jak vytvořit specifickou „image“ určenou pro systém Amphora
● Mechanismy přechodu na záložní load balancer (tzv. Failover)
○ Techniky monitorování síťové komunikace a využívání nástrojů pro kontrolu provozu
● Obvyklé postupy při řešení problémů v prostředí Octavia
● Heat – orchestrace systému – cca 1–2 hodiny
○ Struktura šablon typu Heat Orchestration Template a jednotlivých prvků v nich obsažených
● Jak vytvořit a aktivovat konkrétní „stack“ pomocí nástroje Heat
● Testování správného naplnění vytvořeného stacku informacemi z šablony
● Možnosti aktualizace již existujících „stacků“ podle změn v konfiguračních dokumentech
● Testování a ověření, že služba Heat funguje správně i po uplynutí určité doby
● Základní diagnostika problémů – cca 2 hodiny
○ Postupy při analýze logovacích souborů všech komponent systému
● Centralizovaný systém sběru a prezentace chybových hlášení
● Jak lze vyhodnocovat požadavky odeslané z klientů OpenStacku
○ Správa databází využívaných jednotlivými službami OpenStacku
● Techniky pravidelného zálohování celého systému
● Analýza aktuálního stavu výpočetních uzlů v rámci cloudu
● Kontrola dostupnosti a funkčnosti jednotlivých instancí běžících na daném uzlu
● Testování spolehlivosti brokeru zpráv typu AMQP (např. RabbitMQ)
○ Základní principy a metody kontroly správného fungování služby poskytující metadata
● Obecný postup při identifikaci problémů v celém systému OpenStacku
● Postupy při řešení chyb souvisejících se sítěmi a jejich výkonností
● Techniky obnovy dat z poškozených nebo poškozených instancí pomocí jejich snímků

3. Pokročilá témata
● Požadavky na hardware a plánování kapacity systému – cca 2 hodiny
○ Specifika hardwaru vhodného pro provoz výpočetních uzlů
○ Principy navrhování a plánování síťové infrastruktury cloudu
○ Metody návrhu systémů pro ukládání dat
● Jak správně určit velikost „flavor“ pro konkrétní typy instancí
○ Rizika spojená s nadměrným využíváním jednotlivých zdrojů na úkor efektivity systému

● Systém rolí a autorizace v OpenStacku – cca 2 hodiny
○ Jak vytvořit novou roli rozšiřující standardní seznam dostupných rolí
● Nastavování a ověřování pravidel autorizace u jednotlivých API požadavků prostřednictvím konfiguračního souboru policy.yaml
● Zajištění vysoké dostupnosti řídící roviny – cca 1 hodina
○ Jak docílit spolehlivosti a odolnosti klíčových služeb OpenStacku
● Principy vytvoření vysoce dostupné databáze pro provoz cloudu
● Řešení problematiky spolehlivosti komunikačního brokeru zpráv mezi jednotlivými systémy
● Dělení cloudového prostředí a filtry v rámci plánovače – cca 1 hodina
○ Kdy je vhodné rozdělit cloud na menší části (tzv. „host-aggregates“) a jak tím dosáhnout lepších výsledků
● Konfigurace filtrů používaných plánovačem Nova při vyhodnocování nejvhodnějšího uzlu pro danou instanci
● Migrace pracovních zátěží mezi různými uzly – cca 1 hodina
○ Jak provádět migraci bez vypnutí systému (tzv. „live migration“) i za použití tradičních metod
● Možnosti a nástroje na vylepšení průběhu živé migrace provozu mezi uzly
● Monitoring a sběr informací o stavu cloudu – < 1 hodina
○ Funkce služby Ceilometer při sledování výkonnosti jednotlivých částí systému
● Integrace externích nástrojů určených k monitorování stavu cloudu a vytvoření celkového obrazu o jeho chování
● Rozšířené funkce hypervizorů a cloudového prostředí – < 1 hodina
○ Možnosti přiřazení konkrétních procesorových jader jednotlivým instancím na základě NUMA architektury
● Využití technologie SR-IOV pro rychlejší provozování síťového přenosu v prostředí virtuálních strojů
● Automatizované nastavování instancí a vytváření obrazů – < 1 hodina
○ Principy fungování služby poskytující metadata pro jednotlivé instance při jejich startu
● Typy úložišť diskových zdrojů – < 1 hodina
○ Možnosti použití systémů LVM, cloudového úložiště typu Ceph RBD či specializovaných fyzických řešení pro ukládání dat
● Zohlednění vlivu síťové infrastruktury při volbě konkrétního typu úložiště diskového prostoru
● Proces aktualizace OpenStacku – < 1 hodina
○ Jak vytvořit strategii a konkrétní postupy pro postupnou aktualizaci systému bez narušení provozu
● Techniky umožňující plánované upgrade celého prostředí s využitím metod „zero-downtime“
● Způsoby zprovoznění fyzických strojů pomocí OpenStacku – < 1 hodina
○ Jak pracuje modul Ironic při automatizaci rozmísťování serverů na bázi „bare-metal“
○ Rozdíly a význam konceptů Undercloud a Overcloud v rámci nasazení
● Budoucí směřování celého ekosystému OpenStacku
4. Podrobná analýza systému Neutron a jeho backendu OVN – cca 6–8 hodin
● Architektura využívající prvky OVN pro tvorbu sítí
● Jednotlivé komponenty soustavu OVN a jejich vzájemná provázanost
● Porovnání modulu ML2 s ovlivněním výběru mezi mechanismem OVN a starším OvS driveru
● Postupy při navrhování topologické struktury síťí pomocí nástrojů OVN
○ Jak systém OpenStack interně uchovává informace o jednotlivých sítích a jejich nastavení (databáze Neutron)
○ Co představuje tzv. „Northbound“ databáze, sloužící jako rozhraní pro plánovače v prostředí
○ Jak funguje tzv. „Southbound“ databáze a jakým způsobem přispívá k realizaci síťové konfigurace na fyzických uzlech
○ Principy tvorby logických řetězců („datapath pipelines“) použitých v celém systému Neutronu a OVN
● Jak fungují tzv. „logical flows“ jako základní mechanismus určující rozhodnutí o tom, jaký typ komunikace bude pro daný datový tok povolen či zakázán
○ Vysvětlení a práce s protokolem OpenFlow spolu s jeho použitím v konkrétních scénářích řízení síťového provozu
● Jak funguje propojení logických obvodů a přepínačů v OVN na základě informací o jednotlivých virtuálních sítích v OpenStacku
○ Typy portů, které jsou vytvořeny pomocí nástrojů OVN a jakým způsobem se používají k připojování jednotlivých uzlů sítě
● Vysvětlení postupů spojených s vytvářením specifických logických sekvencí směrování datových paketů (tzv. „switching flows“)

● Principy a specifika fungování routerů z hlediska systému Neutron a jaký typ virtuálních přepínačů v tomto ohledu využívá OVN
○ Různé metody implementace mechanismů NAT mezi různými segmenty sítě
● Jak se definují a nastavují pravidla určující možnosti směrování datových toků v tomto systému
● Specifika při konfigurování podsítí i základních funkcí nativního DHCP serveru v rámci prostředí OpenStacku a jeho komunikace s OVN
○ Jaký postup se používá pro implementaci mechanismů bezpečnosti, zejména při tvorbě skupin omezení přístupu v rámci OVN (ACL a Port Groups)
● Principy realizace pravidel ochrany jednotlivých virtuálních portů z hlediska síťového provozu pomocí nástrojů dostupných v prostředí OVN
● Stručný přehled a popis základních „Northbound“ tabulek, ze kterých si systém čerpá informace o jednotlivých komponentách sítě
● Jakým způsobem dochází k distribuci informací v rámci celého ekosystému – mezi databázemi OpenStacku, Northbound a Southbound OVN a ovladačem Open vSwitch
● Techniky při hledání chybových linií v celém systému díky sledování konkrétních směrů a cest „logical flows“
● Jak vytvořit specifické jednotlivé segmenty datového toku známé pod názvem „microflows“ pro detailní řešení složitých konfiguračních situací
○ Postupy při kontrole a vizualizaci komunikace na úrovni L2 pomocí dostupných nástrojů v OVN
● Metody při řešení problémů na síťové úrovni L3 v rámci konkrétních segmentů sítě a jak je lze identifikovat z hlediska datového toku mezi uzly
● Principy analýzy celkových dat o DHCP komunikaci mezi klienty a servery v rámci jednotlivých segmentů sítě
● Konkrétní možnosti tvorby „fyzických flows“ na základě protokolu OpenFlow – princip řízení datových paketů na úrovni fyzické vrstvy sítě
○ Jakým způsobem se sleduje celý životní cyklus jednotlivých paketů vyslaných virtuálním strojem směrem ven do rozvětvené sítě a jaké mechanismy ho řídí
● Techniky a metody fyzického sledování provozních parametrů během přenosu dat mezi jednotlivými uzly sítě pomocí specifických nástrojů OVN
● Jak lze vytvořit modelové scénáře simulující různé podmínky přenosu dat pro lepší pochopení potenciálních problémů nebo specifik pro konkrétní nasazení
● Jakým způsobem lze vizualizovat aktuální databázi a všechny síťové objekty nastavené ovladačem Open vSwitch podle požadavků uživatelů