Prechod na iný zdroj zabezpečenia Cognos

Keď potrebujete prekonfigurovať existujúce prostredie Cognos na iný externý zdroj zabezpečenia (napr. Active Directory, LDAP atď.), Môžete použiť niekoľko prístupov. Rád ich nazývam „dobrí, zlí a škaredí“. Predtým, než preskúmame tieto dobré, zlé a škaredé prístupy, pozrime sa na niektoré bežné scenáre, ktoré v prostredí Cognos zvyčajne vedú k zmenám priestoru názvov autentifikácie.

Bežní obchodní vodiči:

Aktualizácia hardvéru alebo operačného systému - Častým ovládačom môže byť modernizácia hardvéru/infraštruktúry BI. Aj keď zvyšok systému Cognos môže fungovať ako šampión vášho elegantného nového hardvéru a moderného 64-bitového operačného systému, veľa šťastia pri migrácii vašej verzie Access Manager z roku 2005 na túto novú platformu. Access Manager (prvé vydanie so sériou 7) je úctyhodným pozdržaním minulých dní pre mnohých zákazníkov Cognos. Je to jediný dôvod, prečo mnoho zákazníkov uchováva túto starú verziu systému Windows Server 2003. Písanie je pre nástroj Access Manager už nejaký čas na stene. Jedná sa o starší softvér. Čím skôr sa z toho dostanete, tým lepšie.

Štandardizácia aplikácií- Organizácie, ktoré chcú konsolidovať autentifikáciu všetkých svojich aplikácií s jedným centrálne spravovaným podnikovým adresárovým serverom (napr. LDAP, AD).

Fúzie a akvizície- Spoločnosť A kupuje spoločnosť B a potrebuje prostredie Cognos spoločnosti B, aby ukazovalo na adresárový server spoločnosti A bez toho, aby spôsobovalo problémy s ich existujúcim obsahom alebo konfiguráciou BI.

Firemné odpredaje- Toto je opak scenára fúzií, časť spoločnosti sa oddelí od jej vlastnej entity a teraz musí nasmerovať svoje existujúce prostredie BI na nový zdroj zabezpečenia.

Prečo môže byť migrácia menného priestoru neporiadna

Nasmerovanie prostredia Cognos na nový zdroj zabezpečenia nie je také jednoduché ako pridanie nového menného bloku s rovnakými používateľmi, skupinami a rolami, odpojenie starého priestoru názvov a VOILA!- všetci vaši používatelia Cognos v novom priestore názvov sú zosúladení s ich obsah. V skutočnosti môžete často skončiť s krvavým neporiadkom na rukách, a tu je dôvod, prečo ...

Na všetky princípy zabezpečenia Cognos (používatelia, skupiny, roly) odkazuje jedinečný identifikátor nazývaný CAMID. Aj keď sú všetky ostatné atribúty rovnaké, CAMID pre používateľa v súbore existujúce priestor názvov autentifikácie nebude rovnaký ako CAMID pre tohto používateľa v súbore nový priestor mien. To môže zničiť existujúce prostredie Cognos. Aj keď máte iba niekoľko používateľov Cognos, musíte si uvedomiť, že referencie CAMID existujú v MNOHA rôznych miestach vo vašom Content Store (a dokonca môžu existovať aj mimo vášho Content Store v modeloch Framework, Transformer Models, TM1 Applications, Cubes, Planning Applications atď. ).

Mnoho zákazníkov spoločnosti Cognos sa mylne domnieva, že CAMID skutočne záleží len na obsahu priečinka My Folder, preferenciách používateľov atď. To nemôže byť ďalej od pravdy. Nejde len o počet používateľov, ktorých máte, ale o množstvo objektov Cognos, s ktorými sa musíte zaoberať. V obchode Content Store je viac ako 140 rôznych typov objektov Cognos, z ktorých mnohé môžu mať viacero odkazov na CAMID.

Napríklad:

1. Nie je neobvyklé, že jeden rozvrh vo vašom obchode s obsahom obsahuje viacero odkazov na CAMID (CAMID vlastníka plánu, CAMID používateľa, ktorého by mal plán spustiť, ako CAMID každého používateľa alebo distribučného zoznamu, na ktorý by mal odoslať výstup správy generovaný e -mailom , atď.).
2. Každý objekt v Cognose má bezpečnostnú politiku, ktorá určuje, ktorí užívatelia majú k objektu prístup (myslite na „Karta Povolenia“). Jedna politika zabezpečenia visiaca z tohto priečinka v aplikácii Cognos Connection má odkaz na CAMID pre každého používateľa, skupinu a rolu, ktorý je v tejto politike špecifikovaný.
3. Našťastie ste pochopili pointu - tento zoznam pokračuje ďalej a ďalej!

Nie je neobvyklé, že značný obchod s obsahom obsahuje desaťtisíce referencií CAMID (a videli sme niekoľko veľkých so stovkami tisíc).

Teraz si prepočítajte, o čo ide váš Prostredie Cognos a vidíte, že sa potenciálne stretávate s hordami referencií CAMID. Môže to byť nočná mora! Prepnutím (alebo opätovnou konfiguráciou) vášho priestoru názvov autentifikácie môžete nechať všetky tieto referencie CAMID v neriešiteľnom stave. To nevyhnutne vedie k problémom s obsahom a konfiguráciou Cognos (napr. Plány, ktoré sa už nespúšťajú, obsah, ktorý už nie je zabezpečený tak, ako si myslíte, balíky alebo kocky, ktoré už správne neimplementujú zabezpečenie na úrovni údajov, strata obsahu priečinka a používateľa preferencie atď.).

Metódy prechodu Cognos Namespace

Teraz, keď vieme, že prostredie Cognos môže mať desaťtisíce odkazov CAMID, ktoré budú vyžadovať nájdenie, mapovanie a aktualizáciu na zodpovedajúcu novú hodnotu CAMID v novom priestore názvov autentifikácie, prediskutujme prístupy Good, Bad & Ugly na vyriešenie tohto problému.

Dobrý: Výmena priestoru názvov za osobu

Prvá metóda (Namespace Replacement) používa Motio, S, IQ osobnosti výrobok. Pri použití tohto prístupu bude váš existujúci priestor názvov „nahradený“ špeciálnym priestorom názvov Persona, ktorý vám umožní virtualizovať všetky princípy zabezpečenia, ktoré sú v programe Cognos k dispozícii. Už existujúce princípy zabezpečenia budú vystavené Cognos s rovnakou CAMID ako predtým, aj keď môžu byť podporované ľubovoľným počtom externých zdrojov zabezpečenia (napr. Active Directory, LDAP alebo dokonca databáza Persona).

Krásne na tomto prístupe je, že vyžaduje NULOVÉ zmeny vo vašom obsahu Cognos. Dôvodom je, že Persona môže udržiavať CAMIDY už existujúcich principálov, aj keď sú podporované novým zdrojom. Takže ... všetky tie desaťtisíce referencií CAMID vo vašom obchode s obsahom, externých modeloch a historických kockách? Môžu zostať presne takí, akí sú. Nie je potrebná žiadna práca.

Toto je zďaleka najmenej rizikový prístup s najnižším vplyvom, ktorý môžete použiť na prechod svojho existujúceho prostredia Cognos z jedného externého zdroja zabezpečenia na druhý. Dá sa to zvládnuť za menej ako hodinu s približne 5 minútami prestávky Cognos (jediným výpadkom Cognosu je reštartovanie Cognosu, keď ste nakonfigurovali priestor názvov Persona).

Bad: Migrácia menného priestoru pomocou Persony

Ak ľahký a nízkorizikový prístup jednoducho nie je vašou šálkou čaju, potom áno is ďalšia možnosť.

Personu možno použiť aj na migráciu menného priestoru.

To zahŕňa nainštalovanie druhého priestoru názvov autentifikácie do vášho prostredia Cognos, mapovanie (dúfajme) všetkých vašich existujúcich zásad zabezpečenia (zo starého priestoru názvov) na zodpovedajúce objekty v novom priestore názvov, potom (tu je zábavná časť), nájdenie, mapovanie a aktualizácia každého jedna referencia CAMID, ktorá existuje vo vašom prostredí Cognos: váš obchod s obsahom, rámcové modely, transformátorové modely, historické kocky, aplikácie TM1, plánovacie aplikácie atď.

Tento prístup býva stresujúci a náročný na procesy, ale ak ste typ správcu Cognosu, ktorý potrebuje trochu adrenalínu, aby sa cítil nažive (a nevadili by mu telefonáty neskoro v noci / skoro ráno), potom možno… toto je možnosť, ktorú hľadáte?

Personu možno použiť na pomoc pri automatizácii častí tohto procesu. Pomôže vám to vytvoriť mapovanie medzi starými zásadami zabezpečenia a novými zásadami zabezpečenia, zautomatizovať logiku hrubej sily „nájsť, analyzovať a aktualizovať“ obsah vo vašom úložisku obsahu atď. Čo môže Persona v niektorých prípadoch automatizovať niektoré z týchto úloh práca v tomto prístupe zahŕňa „ľudí a proces“, nie skutočnú technológiu.

Napríklad - zostaviť informácie o každom modeli Framework Manager, každom modeli Transformer, každej aplikácii Planning / TM1, každej aplikácii SDK, kto ich vlastní, a naplánovať, ako budú aktualizované a znova distribuované, môže byť veľa práce. Koordinácia výpadkov pre každé prostredie Cognos, o ktoré sa chcete pokúsiť, a okná údržby, počas ktorých sa môžete pokúsiť o migráciu, môžu zahŕňať plánovanie a „prestoje“ Cognos. Vymyslieť (a realizovať) účinný testovací plán po migrácii môže byť tiež veľmi náročné.

Je tiež úplne normálne, že tento proces budete chcieť vykonať najskôr v neproduktívnom prostredí pred skúšať vo výrobe.

Napriek tomu, že migrácia menného priestoru s personou funguje (a je oveľa lepšia ako prístup „Ošklivý“ nižšie), je invazívnejšia, riskantnejšia a vyžaduje si oveľa viac personálu a jej výmena trvá oveľa viac pracovných hodín. Migráciu je zvyčajne potrebné vykonať „mimo prevádzkových hodín“, zatiaľ čo prostredie Cognos je stále online, ale koncoví používatelia majú obmedzené používanie formulárov.

Škaredý: Služby manuálnej migrácie priestoru názvov

Ošklivá metóda zahŕňa nezávideniahodný prístup k pokusu o to ručne migrovať z jedného priestoru názvov autentifikácie do druhého. To zahŕňa pripojenie druhého priestoru názvov autentifikácie k vášmu prostrediu Cognos a potom sa pokúsite manuálne presunúť alebo znova vytvoriť veľkú časť existujúceho obsahu a konfigurácie Cognos.

Pomocou tohto prístupu sa napríklad správca Cognos môže pokúsiť:

1. Znovu vytvorte skupiny a roly v novom priestore názvov
2. Znovu vytvorte členstvo v týchto skupinách a rolách v novom priestore názvov
3. Manuálne skopírujte obsah mojich priečinkov, užívateľské preferencie, karty portálu atď. Z každého zdrojového účtu do každého cieľového účtu
4. Nájdite všetky sady politík v obchode Content Store a aktualizujte ich tak, aby odkazovali na ekvivalentné principály v novom priestore názvov rovnakým spôsobom, akým odkazovali na principály zo starého priestoru názvov.
5. Znova vytvorte všetky plány a naplňte ich zodpovedajúcimi povereniami, príjemcami atď.
6. Resetujte všetky vlastnosti „vlastník“ a „kontakt“ všetkých objektov v obchode Content Store
7. [Asi 40 ďalších vecí v obchode s obsahom, na ktoré zabudnete]
8. Zhromaždite všetky modely FM s bezpečnosťou na úrovni objektu alebo údajov:
   1. Podľa toho aktualizujte každý model
   2. Znovu zverejnite každý model
   3. Redistribuujte upravený model späť k pôvodnému autorovi
9. Podobná práca pre modely Transformer, TM1 Applications a Planning Applications, ktoré sú zabezpečené proti pôvodnému priestoru názvov
10. [a mnoho ďalších]

Zatiaľ čo niektorí masogisti z Cognosu sa môžu tajne chichotať od radosti z myšlienky kliknúť 400,000 XNUMX krát v programe Cognos Connection, pre väčšinu rozumných ľudí je tento prístup spravidla veľmi únavný, časovo náročný a náchylný na chyby. To však nie je najväčší problém tohto prístupu.

Najväčším problémom tohto prístupu je, že takmer vždy vedie k neúplnej migrácii.

Pomocou tohto prístupu (bolestivo) nájdete a pokúsite sa zmapovať tie referencie CAMID, o ktorých viete ... ale spravidla ponecháte všetky tie referencie CAMID, ktoré ste neviem o.

Akonáhle premýšľať S týmto prístupom ste skončili, často nie naozaj hotový.

Vo svojom úložisku obsahu máte objekty, ktoré už nie sú zabezpečené tak, ako si myslíte je to tak, a dokonca môžete mať pri niektorých operáciách nevysvetliteľné chyby nemôžeš poriadne priložiť prst.

Dôvody, prečo môžu byť zlé a škaredé prístupy hrozné:

• Automatizovaná migrácia priestoru názvov kladie veľký dôraz na správcu obsahu. Kontrola a prípadná aktualizácia každého objektu vo vašom obchode Content Store môže často viesť k desaťtisícom hovorov SDK do systému Cognos (prakticky všetky prechádzajú správcom obsahu). Tento abnormálny dotaz zvyčajne zvyšuje využitie / zaťaženie pamäte a vystavuje správcu obsahu riziku zrútenia počas migrácie. Ak už máte vo svojom prostredí Cognos určitú mieru nestability, mali by ste sa tohto prístupu veľmi obávať.
• Migrácie menného priestoru vyžadujú rozsiahle okno údržby. Cognos musí byť spustený, ale nechcete, aby ľudia počas procesu migrácie vykonávali zmeny. To si spravidla bude vyžadovať spustenie migrácie priestoru názvov, keď nikto iný nepracuje, povedzme v piatok večer o 10:10. Nikto nechce v piatok večer začať so stresujúcim projektom o XNUMX. hodine. Nehovoriac o tom, že vaše mentálne schopnosti pravdepodobne nie sú v najlepšom pracovnom noci a cez víkendy na projekte, ktorý robí vyžadujú, aby ste boli ostrí!
• Spomínal som, že menný priestor Migrácie sú náročné na čas a prácu. Tu je o tom niečo viac:
  • Proces mapovania obsahu by mal byť vykonávaný precízne a vyžaduje si tímovú spoluprácu a veľa pracovných hodín.
  • Na kontrolu chýb alebo problémov s migráciou je potrebných viac cyklov na sucho. Typická migrácia neprebieha ideálne na prvý pokus. Budete tiež potrebovať platnú zálohu svojho obchodu s obsahom, ktorú je možné v takýchto prípadoch obnoviť. Videli sme mnoho organizácií, ktoré nemajú k dispozícii dobrú zálohu (alebo majú zálohu, o ktorej si neuvedomujú, že je neúplná).
  • Musíte všetko identifikovať zvonka Obchodu s obsahom, na ktorý môže mať potenciálny vplyv (rámcové modely, transformátorové modely atď.). Táto úloha môže zahŕňať koordináciu medzi viacerými tímami (najmä vo veľkých zdieľaných prostrediach BI).
  • Potrebujete dobrý testovací plán, ktorý bude zahŕňať reprezentatívnych ľudí s rôznym stupňom prístupu k vášmu obsahu Cognos. Tu je dôležité krátko po dokončení migrácie overiť, či je všetko plne migrované a funguje tak, ako očakávate. Je zvyčajne nepraktické overiť všetko, takže nakoniec overíte to, čo dúfate, že sú reprezentatívne vzorky.
• Musíte mať broad znalosť prostredia Cognos a vecí, ktoré od neho závisia. Napríklad historické kocky s vlastnými pohľadmi MUSIA byť prestavané, ak pôjdete cestou NSM.
• Čo keď vy alebo spoločnosť, ktorej ste zadali externú migráciu menného priestoru, na niečo zabudnete, napríklad na ... aplikácie SDK? Keď prepnete prepínač, tieto veci prestanú fungovať, ak nie sú správne aktualizované. Máte zavedené riadne kontroly, aby ste si to okamžite všimli, alebo bude trvať niekoľko týždňov / mesiacov, kým sa príznaky začnú prejavovať?
• Ak ste prešli mnohými inováciami Cognos, vo vašom obchode s obsahom môžete potenciálne mať objekty, ktoré sú v nekonzistentnom stave. Ak nepracujete so súpravou SDK, nebudete môcť vidieť, ktoré objekty sú v tomto stave.

Prečo je výmena priestoru názvov najlepšou možnosťou

Kľúčové rizikové faktory a časovo náročné kroky, ktoré som práve načrtol, sú eliminované, keď sa používa metóda výmeny osobného priestoru. Použitím prístupu Namespace Replacement máte 5 minút prestojov Cognos a žiadny z vášho obsahu sa nemusí meniť. Metóda „Good“ mi pripadá ako rezká a suchá „neúrekom“. Piatkové večery sú určené na relaxáciu, a nie na zdôraznenie skutočnosti, že váš správca obsahu práve zlyhal uprostred migrácie menného priestoru.