Está aqui

home / A Faculdade / Campus / Apoio Informático / Serviços disponíveis / Suporte a Infraestruturas Informáticas /
Voltar ao Topo

Suporte a Infraestruturas Informáticas

← Voltar ao Menu Anterior

Sumário

Por regra, os recursos computacionais de apoio à investigação utilizam equipamentos próprios, adquiridos por indicação dos docentes e investigadores, independentemente da entidade que materializa a aquisição. A utilização dos recursos próprios da DSI para atividades de investigação é muito excecional e avaliada caso-a-caso. Como requisitos mínimos, considera-se que as necessidades sejam bem definidas, de curta duração, claramente delimitados no tempo, que não possam ser atendidas de outra forma e que a sua satisfação não introduza perturbações nos serviços pelos quais a DSI é responsável.

O apoio às atividades de investigação é materializado pela DSI disponibilizando as condições materiais e os recursos humanos necessários para alojar e gerir os equipamentos informáticos no centro de dados de Ciências. A racionalização dos recursos, quer de alojamento quer humanos, e a necessidade de coabitação (física e lógica) dos recursos de diferentes entidades no centro de dados de Ciências obriga à definição de um conjunto de normas que, sem comprometer a plena exploração dos equipamentos dedicados à investigação, permita a reutilização de procedimentos, o aproveitamento do espaço e faça uma utilização racional dos recursos humanos disponíveis.

O apoio à gestão dos equipamentos de investigação alojados no centro de dados de Ciências é por isso dividido em dois modelos apresentados neste documento. Os modelos têm qualidades de serviço e distribuição de responsabilidades distintas. A Sec. 1 deste documento apresenta o modelo designado Servidores com Gestão Limitada (SGL), aplicável por omissão a todos os equipamentos e onde os investigadores assumem a maioria das responsabilidades de gestão dos equipamentos. São também apresentados os requisitos e condições que todos os equipamentos têm que satisfazer. A Sec. 2 apresenta os requisitos e serviços prestados no modelo Servidores com Gestão Controlada (SGC) onde uma boa parte dessas responsabilidades é transferida para a DSI.

 

Serviços e Condições Gerais

Alojamento

A admissão de novos equipamentos no centro de dados está sujeita à aprovação técnica da DSI, que poderá rejeitar fundamentadamente equipamentos que, pelas suas características, estado ou disponibilidade de espaço e recursos, coloquem em causa a operacionalidade do centro de dados. A aprovação deve ser solicitada antes da aquisição dos equipamentos, bastando o titular do equipamento apresentar as características técnicas do equipamento a adquirir.

A DSI disponibiliza-se a prestar serviços de consultoria na aquisição de servidores. Além disso, e de acordo com a sua disponibilidade, aconselhará e examinará propostas de fornecedores, tendo em consideração as orientações externas, as orientações estratégicas definidas pela DSI, as necessidades do titular, assim como a avaliação de compatibilidade face à arquitetura existente.

Todas as alterações ao hardware deverão ser comunicadas pelo titular, podendo a DSI recusar, fundamentadamente, a aplicação das alterações caso daqui resulte uma violação dos critérios definidos para a instalação de novos equipamentos no centro de dados.

Ponto de Contacto

Todos os equipamentos alojados no centro de dados de Ciências terão associados dois pontos de contacto, necessariamente registados nos sistemas de pessoal internos, e que serão os únicos reconhecidos pela DSI como habilitados para solicitar as operações indicadas neste documento.

O titular do equipamento tem plenos poderes sobre o equipamento, podendo solicitar todas as operações. Nomeia ou altera a nomeação do responsável técnico e do titular do equipamento.

O responsável técnico é a pessoa que faz a gestão operacional do equipamento e que será contactada pela DSI sempre que seja detetada alguma anomalia no seu funcionamento ou seja necessária alguma intervenção.

Por forma a simplificar o registo de todas as operações efetuadas, o titular e o responsável técnico devem comunicar preferencialmente com a DSI através de meios eletrónicos, seja utilizando os formulários disponibilizados para a realização das operações, seja através do endereço de correio eletrónico suporte@ciencias.ulisboa.pt. O contacto presencial e/ou telefónico deve ser limitado exclusivamente ao esclarecimento de dúvidas ou resolução de problemas imediatos. Todas as mensagens de correio eletrónico enviadas e recebidas utilizam necessariamente os endereços de Ciências associados aos sistemas de pessoal internos.

O alojamento de todos os equipamentos fica sujeito a uma taxa mensal, a determinar anualmente por despacho do diretor, indexada à potência dos equipamentos e ao volume ocupado, medido em rack units (Us).

Conectividade e Endereçamento

A atribuição de endereços é realizada utilizando necessariamente o protocolo DHCP, devendo os servidores aceitar no mínimo os parâmetros de default gateway e máscara de rede.

Todos os equipamentos poderão aceder à Internet desde que a ligação seja iniciada no equipamento localizado em Ciências, ou seja, por princípio, são bloqueados todos os pedidos de ligação de equipamentos ou serviços externos. O acesso remoto dos Investigadores aos servidores no centro de dados de Ciências, será efetuado através do serviço de rede privada virtual (VPN) pelo que só será possível a utilizadores que detenham uma conta de Ciências.

A atribuição de endereços públicos permite aos servidores aceitarem ligações do exterior, mas fica sujeita a fundamentação do pedido. Por omissão, são apenas atribuídos endereços IPv6, embora possam ser atribuídos endereços IPv4 em situações excecionais e devidamente justificadas, sujeitas à disponibilidade destes endereços na gama atribuída a Ciências.

Restrições ao Tráfego

As boas práticas de segurança exigem que todo o tráfego seja filtrado por uma Firewall, por forma a dificultar tanto quanto possíveis ações maliciosas a partir de entidades externas a Ciências.

Os equipamentos são considerados como “não confiáveis” pelo que nas tentativas de ligação a outros servidores (incluindo servidores no modelo SGC) alojados em Ciências são aplicadas as mesmas restrições que ao tráfego proveniente da Internet.

Por omissão, não existe uma barreira que limite a comunicação entre equipamentos que pertençam ao mesmo modelo de gestão (SGC e SGL). O estabelecimento de redes físicas mais finas, que interliguem equipamentos particulares alojados no centro de dados pode ser apoiada pela DSI, cabendo sempre aos titulares a aquisição do equipamento necessário para a concretização desse isolamento. Nestas redes não poderão coabitar equipamentos em modelos de gestão distintos.

Por omissão, todos os portos não essenciais para o funcionamento do sistema operativo e para a operacionalidade de programas usados para investigação serão bloqueados. Para os serviços ou software que justificadamente necessitem que a comunicação não seja afetada pela função da Firewall, o pedido de abertura da Firewall terá de ser efetuado pelo titular ou responsável técnico.

A DSI reserva-se o direito de negar fundamentadamente qualquer pedido de abertura de portos que possa constituir um risco elevado de intrusão ou que não seja essencial para a comunicação com o exterior, devendo nestas circunstâncias ser sugerido outro tipo de acesso.

Domínios e Certificados

A DSI disponibiliza-se para participar na gestão de domínios externos e internos, como identidade gestora e como responsável técnica junto da DNS.pt ou outros.

Para domínios diferentes de ciencias.ulisboa.pt, o investigador será responsável pela aquisição do domínio. A atribuição de subdomínios de ciencias.ulisboa.pt está sujeita às regras em vigor, podendo ser solicitada diretamente à DSI.

A DSI disponibiliza certificados para todos os servidores sob o domínio ciencias.ulisboa.pt. Certificados para outros domínios terão que ser adquiridos e instalados pelo titular.

Websites

A DSI disponibiliza os servidores de Ciências para o alojamento de páginas Web de projetos, eventos e ações de caráter científico ou de divulgação de Ciências e das Unidades de Investigação. O design, produção e gestão dos conteúdos é responsabilidade dos próprios, havendo disponibilidade para cooperar com entidades externas a quem sejam atribuídas estas tarefas. O alojamento é realizado numa de duas plataformas à escolha, nomeadamente Wordpress e Drupal.

Os novos websites são necessariamente criados na major version mais recente da plataforma indicada. A DSI assegura a manutenção das versões anteriores enquanto suportadas pelo fabricante, após o que o website terá de ser atualizado pelo investigador por forma a garantir a compatibilidade com a major version mais recente ou migrado para uma plataforma de arquivo.

O arquivo.pt é uma plataforma gratuita da FCCN com a qual Ciências tem um acordo e que permite pesquisar e aceder a páginas da web arquivadas com o objetivo de preservar a informação publicada na Web para fins de investigação. A migração das páginas web dos Investigadores e/ou Unidades de Investigação para o arquivo.pt mantém o URL originalmente atribuído ao website, mas não permite a sua edição. Pode ser realizada a pedido do responsável da página ou compulsivamente pela DSI quando a versão em que o website se encontra alojado termina o seu tempo de vida.

Monitorização e Salvaguarda de Dados

Dentro das disponibilidades existentes, a DSI disponibiliza a plataforma de monitorização Nagios para a vigilância da infraestrutura, encaminhando os alertas recebidos para o responsável técnico. Esta facilidade só poderá ser disponibilizada se utilizados os protocolos NRPE, SNMP ou ICMP. É da responsabilidade do responsável técnico do equipamento, instalar e programar os agentes nos seus equipamentos assim como transmitir à DSI todas as instruções necessárias para o acesso aos agentes pela plataforma. A periodicidade das verificações é determinada pela DSI, em função dos recursos existentes.

Por limitações técnicas, não é possível à DSI disponibilizar mecanismos de salvaguarda de dados para os equipamentos de investigação. É responsabilidade dos investigadores adotarem as medidas necessárias para a salvaguarda dos dados em caso de falha dos equipamentos.

Software

Todas as atividades de aquisição, instalação e controlo de Software, deverão seguir e respeitar os procedimentos legais, de licenciamento e normas em vigor em Ciências. As regras de licenciamento e utilização especificadas pelo fornecedor terão que ser integralmente cumpridas, inclusive no que respeita a software em código aberto com licenças de utilização gratuitas.

As cópias de software licenciado para outros fins que não sejam “cópias de segurança” ou arquivo são proibidas. No caso específico de licenças atribuídas para utilização de múltiplos utilizadores, o número autorizado de cópias/instalações não pode ser excedido.

Antivírus

Sempre que possível, todos os servidores devem ter antivírus licenciado e devidamente atualizado.

Abate

Os procedimentos aplicáveis para o abate do bem são da responsabilidade do titular do equipamento. A seu pedido, a DSI assume a entrega dos equipamentos ao Gabinete de Segurança, Saúde e Sustentabilidade (G3S), que assegura o seu correto tratamento e reciclagem.

Interrupção do Serviço

Sem aviso prévio, a DSI reserva-se o direito de desligar os servidores caso se verifique a ocorrência de um ataque informático ou, se a manutenção do equipamento em funcionamento representar um risco físico para o próprio ou para outros servidores alojados no centro de dados. Nesta eventualidade, será elaborado um relatório explicativo da ocorrência e o equipamento será ligado logo que possível.

Após aviso prévio ao titular e ao dirigente da Unidade de Investigação, a DSI retirará do centro de dados todos os equipamentos obsoletos, sem utilização evidente durante um período de 6 meses ou para os quais o titular não responde a comunicações no prazo de 4 semanas.

Por forma a contribuir para a racionalização da utilização dos recursos, os equipamentos que durante um período superior a duas semanas não revelem qualquer atividade poderão ser desligados se o titular não indicar para eles qualquer utilização nas duas semanas seguintes. A DSI ligará novamente estes equipamentos logo que o titular, justificadamente, o solicite.

Serviços e Condições no Modelo SGC

Nos Servidores de Gestão Controlada (SGC), a DSI assume a gestão e responsabilidade pelo funcionamento do equipamento, oferecendo um conjunto de serviços e facilidades adicionais. Os servidores de gestão controlada podem ser físicos ou virtuais. Por forma a garantir a implementação das políticas e a escalabilidade do esforço de administração, os titulares dos equipamentos abdicam de todas as tarefas de gestão do equipamento. O pedido de adesão ao modelo SGC é formalizado através do preenchimento de um formulário que será utilizado para o levantamento preliminar de requisitos.

O Serviço de Gestão Controlada (SGC) fica sujeito a uma taxa mensal, a determinar anualmente pela FCiências.ID e que acumula com a taxa de alojamento do modelo SGL.

Monitorização

A DSI assegura a monitorização dos servidores no modelo SGC por forma a detetar e mitigar eventuais falhas de componentes ou software. A monitorização implica uma perda residual de rendimento dos equipamentos, uma vez que parte do esforço computacional é necessariamente realizado pelo próprio equipamento. A monitorização do estado dos servidores é realizada a intervalos regulares, verificando um conjunto de parâmetros de funcionamento que variam de acordo com a capacidade de disponibilizar informação do próprio equipamento. A lista básica de funcionalidades a serem monitorizadas serão:

  • Disponibilidade do equipamento
  • Utilização da Unidade Central de Processamento (CPU)
  • Utilização de memória
  • Utilização de armazenamento (Disco)
  • Temperatura
  • Disponibilidade de ligação ao exterior pelo protocolo HTTP (se aplicável)
  • Vigilância de vírus
  • Atualização do software

A monitorização, inventário e deteção de software é realizada diariamente num horário específico, tipicamente fora dos horários de trabalho, e consiste em testes de análise e verificação de software, validade das licenças e outras informações mais especificas. Não é possível a remoção, bloqueio ou inutilização das ferramentas utilizadas pela DSI para monitorizar e controlar o software instalado nos recursos informáticos do titular.

A plataforma de monitorização informa automaticamente a DSI e o responsável técnico dos problemas encontrados. A DSI reporta ao titular do equipamento e ao responsável técnico as ações tomadas para a resolução do problema (se possível) ou as ações necessárias para a sua resolução caso estas sejam responsabilidade do titular. Os valores recolhidos durante o processo de monitorização estão disponíveis para consulta pelo titular e pelo responsável técnico do equipamento.

Segurança

De forma a proteger tantos os servidores como os dados neles presentes, a DSI impõe um conjunto de medidas de segurança. Os servidores serão integrados na Active Directory (AD) da DSI, para assegurar e mediar a autenticação, assim como monitorizar e gerir todos os acessos e as autorizações respetivas.

A DSI reserva-se o direito de aplicar filtragens específicas de tráfego ou impor determinados protocolos de comunicação, que justificadamente contribuam para o aumento da segurança dos dados e das comunicações. Do ponto de vista de aplicação de políticas, o tráfego proveniente de servidores em modelo SGL para servidores em modelo SGC está sujeito às mesmas restrições do tráfego proveniente da Internet. Esta medida poderá dificultar a comunicação entre servidores em modelos distintos.

Gestão de Contas de Utilizador e Permissões

A DSI é responsável pela gestão de contas e das quotas atribuídas a cada utilizador, respeitando as solicitações do titular ou do responsável técnico. As contas estão integradas no sistema de autenticação de Ciências. A pedido do titular ou do responsável técnico, poderão ser criados grupos de acessos/perfis, de forma a facilitar a gestão de utilizadores e de servidores e a atribuição de privilégios.

A DSI deterá a conta única de administrador, não a partilhando com terceiros, onde se incluem o responsável técnico e o titular. A conta de administrador é a única que terá privilégios de gestão do equipamento, detendo por isso o direito exclusivo de criação de utilizadores, ativação e desativação de serviços, instalação e configuração de software e implementação de políticas de segurança.

Aquisição, Instalação e Gestão de Software

No modelo SGC todos os processos de instalação, atualização e remoção de software terão o envolvimento da DSI, que pode fundamentadamente recusar a sua instalação caso não sirva objetivos de investigação ou apresente um risco de segurança excessivo. A aquisição de licenças deve por isso ser discutida antecipadamente com a DSI.

O software instalável divide-se em duas categorias com políticas distintas. No caso dos sistemas operativos e aplicações transversais a todas as áreas de investigação as opções dos responsáveis técnicos e titulares estão limitadas por um conjunto predefinido de alternativas. Esta limitação justifica-se pela necessidade de reduzir a heterogeneidade e consequentemente a complexidade da gestão dos equipamentos. A instalação de software específico para a realização das atividades de apoio à investigação a que o equipamento está dedicado não têm qualquer limitação desde que satisfeitos os requisitos básicos apresentados abaixo.

Sistemas Operativos e Aplicações de Base

Os sistemas operativos e aplicações de base são apresentados na Tabela 1. Para cada uma das categorias de aplicação base da tabela, o titular do equipamento pode optar por uma das alternativas apresentadas. A DSI assegura a instalação do software que consta da Tabela 1 num período máximo de cinco dias úteis.

Tabela 1

Software base suportado pela DSI no modelo SGC

Software base suportado no modelo SGC
Categoria Alternativas
Sistemas Operativos

Microsoft Windows Server

Linux (CentOS, Debian)
Bases de Dados

MariaDB

Microsoft SQL

MySQL

PostegreSQL
Servidores Web

Apache

Nginx
Gestor de Páginas (CMS)

WordPress

Drupal

Plone
Software de virtualização

ESXi (VMware)

Docker

Qemu/KVM

LXC
Gestão de Clusters Rocks

 

Software Específico

A instalação e manutenção de Software específico para a realização de atividades de investigação em Ciências apenas está restringida às regras especificadas neste documento bem como as documentadas e em vigor pela Faculdade de Ciências. As versões a instalar terão obrigatoriamente de se encontrar numa versão estável e suportada para que não comprometa a segurança do servidor. Esta versão poderá ou não ser a mais recente. A atualização do software terá de ser solicitada e fundamentada pelo responsável técnico, no caso de não se tratar de uma atualização obrigatória ou necessária.

O software só poderá ser instalado se devidamente licenciado. O tempo necessário para a instalação destas aplicações depende da complexidade do processo de instalação, do tempo necessário para a avaliação preliminar de risco e da disponibilidade de recursos humanos.

A avaliação preliminar de risco visa garantir que não existem irregularidades que:

  • Comprometam o normal funcionamento do equipamento;

  • Ponham em risco a segurança dos dados alojados nos servidores do titular ou de terceiros;

  • Violem as políticas ou procedimentos de segurança de Ciências;

  • Degradem o desempenho dos recursos informáticos de Ciências.

A recusa na instalação das aplicações solicitadas terá que ser devidamente fundamentada, comprometendo-se a DSI a colaborar na procura de alternativas que mitiguem os problemas encontrados.

A monitorização a que estão sujeitos os servidores o modelo SGC inclui as aplicações instaladas e o seu comportamento, procurando-se de manter um inventário atualizado, a deteção de utilização indevida e a descoberta de novas vulnerabilidades de segurança. 

O responsável técnico será informado de qualquer irregularidade encontrada nas aplicações instaladas.

Quando solicitado, é responsabilidade do titular ou responsável técnico fazer chegar à DSI comprovativos do licenciamento ou da renovação de todo o software adquirido, dos contratos de utilização e respetivas renovações. A não demonstração do licenciamento legitima a sua remoção dos equipamentos.

Utilização

A utilização do software instalado, incluindo a definição das políticas de utilização (no caso em que o software permite tal definição, como gestores de processamento paralelo) é da exclusiva responsabilidade dos utilizadores, cabendo à DSI assegurar ao responsável técnico as condições necessárias para tal.

Reparação, Avarias e Responsabilidades

O titular e o responsável técnico têm autorização para aceder fisicamente aos seus equipamentos, assumindo as responsabilidades pelas ações realizadas. O modelo SGC assume que tal acesso não será necessário já que em caso de avaria, e mediante autorização do titular, a DSI assume a representação do titular no processo que levará à sua reparação. A DSI poderá ainda fazer a gestão de um stock de componentes de substituição e proceder à substituição dos componentes em stock, comunicando-o ao titular do equipamento.

Registos de Acesso

Por razões de segurança e rastreabilidade, a informação sobre as autenticações realizadas nos servidores em SGC, incluindo a hora e o endereço de origem são registadas por um período não inferior a 1 ano. Tratando-se de dados pessoais, a DSI assume a responsabilidade de dar conhecimento do tratamento aos interessados. A sua disponibilização será realizada apenas ao titular, mediante fundamentação, que respeite o Regulamento Geral de Proteção de Dados e outras normas em vigor.

Alterações ao Modelo de Gestão

As transferências de servidores do modelo SGL para o modelo SGC estão sujeitas a verificação e análise dos equipamentos e do software já instalado, para que os mesmos se encontrem em conformidade com as regras descritas neste documento. Além disto, são efetuadas as alterações necessárias nos níveis de acesso e permissões às contas de utilizadores nos servidores. A alteração implicará necessariamente a alteração do endereço dos equipamentos pelo que não poderá ser realizada sem uma interrupção no serviço, em data a acordar entre a DSI e o titular. Os dados presentes nos servidores em transferência nunca irão ser apagados. No entanto, em alguns casos, os mesmos terão de ser removidos e armazenados num backup para, posteriormente, serem reinstalados nos servidores.

A transferência de um servidor do modelo SGL para o modelo SGC apenas será efetivo quando o servidor for analisado e estiver regularizado. A reversão de um servidor em modelo SGC para SGL obriga também a algumas configurações pelo que não poderá ser realizada instantaneamente, estando condicionada à disponibilidade dos recursos humanos necessários.

Referências Externas