SAP-workloads in Azure: Controlelijst voor planning en implementatie
Artikel
Deze controlelijst is ontworpen voor klanten die SAP-toepassingen verplaatsen naar Azure Infrastructure as a Service. SAP-toepassingen in dit document vertegenwoordigen SAP-producten waarop de SAP-kernel wordt uitgevoerd, waaronder SAP NetWeaver, S/4HANA, BW en BW/4 en andere. Gedurende de duur van het project moet een klant en/of SAP-partner de controlelijst controleren. Het is belangrijk om te weten dat veel van de controles aan het begin van het project en tijdens de planningsfase worden voltooid. Nadat de implementatie is voltooid, kunnen eenvoudige wijzigingen in de geïmplementeerde Azure-infrastructuur of SAP-softwarereleases complex worden.
Bekijk de controlelijst op belangrijke mijlpalen tijdens uw project. Hierdoor kunt u kleine problemen detecteren voordat ze grote problemen worden. U hebt ook voldoende tijd om de benodigde wijzigingen opnieuw te ontwerpen en te testen. Houd er niet rekening mee dat deze controlelijst is voltooid. Afhankelijk van uw situatie moet u mogelijk extra controles uitvoeren.
De controlelijst bevat geen taken die onafhankelijk zijn van Azure. Sap-toepassingsinterfaces veranderen bijvoorbeeld tijdens een overstap naar het Azure-platform of naar een hostingprovider. SAP-documentatie en ondersteuningsnotities bevatten ook verdere taken, die niet specifiek zijn voor Azure, maar die deel moeten uitmaken van uw algemene controlelijst voor planning.
Deze controlelijst kan ook worden gebruikt voor systemen die al zijn geïmplementeerd. Nieuwe functies of gewijzigde aanbevelingen kunnen van toepassing zijn op uw omgeving. Het is handig om de controlelijst regelmatig te bekijken om ervoor te zorgen dat u op de hoogte bent van nieuwe functies in het Azure-platform.
De hoofdinhoud in dit document is ingedeeld op tabbladen, in de chronologische volgorde van een typisch project. Bekijk de inhoud van elk tabblad en bekijk elk volgend tabblad om te bouwen op acties die zijn uitgevoerd en geleerd in de vorige fase. Voor productiemigratie moet de inhoud van alle tabbladen worden overwogen en niet alleen het productietabblad. Raadpleeg de onderstaande tabel om u te helpen bij het toewijzen van typische projectfasen met de fasedefinitie die in dit artikel wordt gebruikt.
Implementatiecontrolefasen
Voorbeeldprojectfasen of mijlpalen
Voorbereidings- en planningsfase
Project kick-off/ontwerp- en definitiefase
Testfase
Vroege validatie / proof of concept / pilot
Niet-productiefase
Voltooiing van de gedetailleerde ontwerp-/niet-productieomgevingsbouw/testfase
Tijdens deze fase plant u de migratie van uw SAP-workload naar het Azure-platform. Documenten zoals planningshandleiding voor SAP in Azure en Cloud Adoption Framework voor SAP behandelen veel onderwerpen en helpen als informatie in uw voorbereiding. In deze fase moet u minimaal de volgende documenten maken, definiëren en de volgende elementen van de migratie bespreken:
Ontwerpdocument op hoog niveau
Dit document moet het volgende bevatten:
De huidige inventaris van SAP-onderdelen en -toepassingen en een doeltoepassingsinventaris voor Azure.
Een verantwoordelijkheidstoewijzingsmatrix (RACI) die de verantwoordelijkheden en toewijzingen van de betrokken partijen definieert. Begin op hoog niveau en werk aan gedetailleerdere niveaus tijdens de planning en de eerste implementaties.
Een oplossingsarchitectuur op hoog niveau. Aanbevolen procedures en voorbeeldarchitecturen van Azure Architecture Center moeten worden geraadpleegd.
Een netwerkarchitectuur om vanuit on-premises verbinding te maken met Azure. Begin vertrouwd te raken met het azure enterprise-landingszoneconcept .
Beveiligingsprincipes voor het uitvoeren van zakelijke gegevens met een hoge impact in Azure. Als u meer wilt weten over gegevensbeveiliging, begint u met de Azure-beveiligingsdocumentatie.
Opslagstrategie voor blokapparaten (Managed Disk) en gedeelde bestandssysteemen (zoals Azure Files of Azure NetApp Files) die verder moeten worden verfijnd naar bestandssysteemgrootten en indelingen in het technisch ontwerpdocument.
Technisch ontwerpdocument
Dit document moet het volgende bevatten:
Een blokdiagram voor de oplossing met de SAP- en niet-SAP-toepassingen en -services
Een SAP Quicksizer-project op basis van zakelijke documentvolumes. De uitvoer van de Quicksizer wordt vervolgens toegewezen aan reken-, opslag- en netwerkonderdelen in Azure. U kunt ook SAP Quicksizer gebruiken om de grootte te bepalen op basis van de huidige workload van bron-SAP-systemen. Rekening houdend met de beschikbare informatie, zoals DBMS-workloadrapporten, SAP EarlyWatch-rapporten, reken- en opslagprestatie-indicatoren.
Architectuur voor bedrijfscontinuïteit en herstel na noodgevallen.
Gedetailleerde informatie over versies van het besturingssysteem, db, kernel en SAP-ondersteuningspakket. Het is niet noodzakelijkerwijs waar dat elke versie van het besturingssysteem die wordt ondersteund door SAP NetWeaver of S/4HANA wordt ondersteund op Azure-VM's. Hetzelfde geldt voor DBMS-releases. Controleer de volgende bronnen om sap-releases, DBMS-releases en besturingssysteemreleases uit te lijnen en indien nodig uit te lijnen en zo nodig uit te voeren om SAP en ondersteuning voor Azure te garanderen. U moet releasecombinaties hebben die worden ondersteund door SAP en Azure om volledige ondersteuning te krijgen van SAP en Microsoft. Indien nodig moet u plannen voor het upgraden van bepaalde softwareonderdelen. Meer informatie over ondersteunde SAP-, OS- en DBMS-software wordt hier beschreven:
SAP-notitie 2039619. Deze opmerking definieert de Oracle-ondersteuningsmatrix voor Azure. Oracle ondersteunt alleen Windows en Oracle Linux als gastbesturingssystemen in Azure voor SAP-workloads. Deze ondersteuningsverklaring is ook van toepassing op de SAP-toepassingslaag waarop SAP-exemplaren worden uitgevoerd, zolang ze Oracle Client bevatten.
Sap HANA ondersteunde Azure-VM's worden vermeld op de SAP-website. Details voor elke vermelding bevatten specifieke gegevens en vereisten, inclusief ondersteunde versie van het besturingssysteem. Dit komt mogelijk niet overeen met de nieuwste versie van het besturingssysteem volgens sap-notitie 2235581.
Overwegingen voor DBMS-implementatie van Azure Virtual Machines voor SAP-workloads en gerelateerde documenten. In Azure wordt het gebruik van een gedeelde schijfconfiguratie voor de DBMS-laag, zoals bijvoorbeeld beschreven voor SQL Server, niet ondersteund. Gebruik in plaats daarvan oplossingen zoals:
Bekijk voor herstel na noodgevallen in Azure-regio's de oplossingen die worden aangeboden door verschillende DBMS-leveranciers. De meeste ondersteunen asynchrone replicatie of logboekverzending.
Bepaal voor de SAP-toepassingslaag of u uw bedrijfsregressietestsystemen uitvoert, die idealiter replica's van uw productie-implementaties zijn, in dezelfde Azure-regio of in uw DR-regio. In het tweede geval kunt u dat bedrijfsregressiesysteem als dr-doel voor uw productie-implementaties richten.
Bekijk Azure Site Recovery als een methode voor het repliceren van de SAP-toepassingslaag naar de Azure DR-regio. Zie een herstel na noodgeval voor een SAP NetWeaver-app met meerdere lagen voor meer informatie.
Voor projecten die om nalevingsredenen in één regio moeten blijven, kunt u een gecombineerde HADR-configuratie overwegen met behulp van Azure Beschikbaarheidszones.
Een inventaris van alle SAP-interfaces en de verbonden systemen (SAP en niet-SAP).
Ontwerp van basisservices. Dit ontwerp moet de volgende items bevatten, waarvan veel worden gedekt door de landingszoneversneller voor SAP:
Netwerktopologie binnen Azure en toewijzing van verschillende SAP-omgevingen
Active Directory- en DNS-ontwerp.
Oplossing voor identiteitsbeheer voor zowel eindgebruikers als beheer
Beveiligingsbewerkingen voor Azure-resources en -workloads binnen
Beveiligingsconcept voor het beveiligen van uw SAP-workload. Dit omvat alle aspecten: netwerk- en perimeterbewaking, toepassings- en databasebeveiliging, beveiliging van besturingssystemen en alle vereiste infrastructuurmaatregelen, zoals versleuteling. Identificeer de vereisten met uw compliance- en beveiligingsteams.
Microsoft raadt een Professional Direct-, Premier- of Unified Support-contract aan. Identificeer uw escalatiepaden en contactpersonen voor ondersteuning met Microsoft. Zie sap-notitie 2015553 voor sap-ondersteuningsvereisten.
Gegevensreductie en gegevensmigratieplan voor het migreren van SAP-gegevens naar Azure. Voor SAP NetWeaver-systemen heeft SAP richtlijnen voor het beperken van het volume van grote hoeveelheden gegevens. Raadpleeg deze SAP-handleiding over gegevensbeheer in SAP ERP-systemen. Sommige inhoud is ook van toepassing op NetWeaver- en S/4HANA-systemen in het algemeen.
Een geautomatiseerde implementatiebenadering. Veel klanten beginnen met scripts, met behulp van een combinatie van PowerShell, CLI, Ansible en Terraform.
Microsoft ontwikkelde oplossingen voor SAP-implementatieautomatisering zijn:
Definieer een regelmatig ontwerp- en implementatiebeoordelingsritme tussen u als klant, de systeemintegrator, Microsoft en andere betrokken partijen.
Testfase (sterk aanbevolen)
U kunt een pilot uitvoeren vóór of tijdens de planning en voorbereiding van het project. U kunt ook de testfase gebruiken om benaderingen en ontwerpen te testen die tijdens de plannings- en voorbereidingsfase zijn gemaakt. En u kunt de testfase uitbreiden om het een echt concept te maken.
U wordt aangeraden een volledige HADR-oplossing en beveiligingsontwerp in te stellen en te valideren tijdens een testimplementatie. Sommige klanten voeren schaalbaarheidstests uit tijdens deze fase. Andere klanten gebruiken implementaties van SAP-sandboxsystemen als testfase. We gaan ervan uit dat u al een systeem hebt geïdentificeerd dat u wilt migreren naar Azure voor de testfase.
Gegevensoverdracht naar Azure optimaliseren. De optimale keuze is sterk afhankelijk van het specifieke scenario. Als privéconnectiviteit is vereist voor databasereplicatie, is Azure ExpressRoute het snelst als het ExpressRoute-circuit voldoende bandbreedte heeft. In elk ander scenario is overdracht via internet sneller. U kunt eventueel een toegewezen migratie-VPN gebruiken voor privéconnectiviteit met Azure. Elk migratienetwerkpad tijdens de pilot moet het gebruik voor toekomstige productiesystemen spiegelen, waardoor de gevolgen voor workloads , SAP of niet-SAP, die al in Azure worden uitgevoerd, worden geëlimineerd.
Voor een heterogene SAP-migratie waarbij gegevens worden geëxporteerd en geïmporteerd, test en optimaliseert u de export- en importfasen. Voor migratie van grote SAP-omgevingen doorloopt u de beschikbare aanbevolen procedures. Gebruik het juiste hulpprogramma voor het migratiescenario, afhankelijk van uw bron- en doel-SAP-releases, DBMS en als u de migratie combineert met andere taken, zoals een release-upgrade of zelfs Unicode- of S/4HANA-conversie. SAP biedt migratiemonitor/SWPM, SAP DMO of DMO met systeem verplaatsen, naast andere benaderingen om downtime te minimaliseren die beschikbaar is als afzonderlijke service van SAP. In de nieuwste versies van SAP DMO met systeemverplaatsing wordt het gebruik van azcopy voor gegevensoverdracht via internet ook ondersteund, waardoor het snelste netwerkpad systeemeigen wordt ingeschakeld.
Zeer grote databases (VLDB) migreren naar Azure voor SAP
Technische validatie
Compute-/VM-typen
Bekijk de resources in sap-ondersteuningsopmerkingen, in de SAP HANA-hardwaremap en in de SAP PAM opnieuw. Zorg ervoor dat deze overeenkomen met ondersteunde VM's voor Azure, ondersteunde besturingssysteemreleases voor deze VM-typen en ondersteunde SAP- en DBMS-releases.
Valideer opnieuw de grootte van uw toepassing en de infrastructuur die u in Azure implementeert. Als u bestaande toepassingen verplaatst, kunt u vaak de benodigde SAPS afleiden van de infrastructuur die u gebruikt en de SAP-benchmarkwebpagina en deze vergelijken met de SAPS-nummers die worden vermeld in sap-notitie 1928533. Houd ook rekening met dit artikel over SAPS-beoordelingen .
Evalueer en test de grootte van uw Azure-VM's voor maximale opslag en netwerkdoorvoer van de VM-typen die u tijdens de planningsfase hebt gekozen. Details van vm-prestatielimieten zijn beschikbaar, voor opslag is het belangrijk om rekening te houden met de limiet van de maximale niet-cachedoorvoer voor schijfgrootte. Overweeg zorgvuldig de grootte en tijdelijke effecten van bursting op schijf- en VM-niveau.
Test en bepaal of u uw eigen installatiekopieën van het besturingssysteem wilt maken voor uw VM's in Azure of of u een installatiekopieën uit de Azure-rekengalerie wilt gebruiken (voorheen gedeelde installatiekopieëngalerie genoemd). Als u een installatiekopieën uit de Azure-rekengalerie gebruikt, moet u een installatiekopieën gebruiken die het ondersteuningscontract weerspiegelt bij uw besturingssysteemleverancier. Voor sommige leveranciers van besturingssystemen kunt u met Azure Compute Gallery uw eigen licentie-installatiekopieën meenemen. Voor andere installatiekopieën van het besturingssysteem is ondersteuning inbegrepen in de prijs die door Azure wordt vermeld.
Met behulp van eigen installatiekopieën van het besturingssysteem kunt u vereiste bedrijfsafhankelijkheden opslaan, zoals beveiligingsagents, beveiliging en aanpassingen rechtstreeks in de installatiekopieën. Op deze manier worden ze onmiddellijk geïmplementeerd met elke VIRTUELE machine. Als u besluit uw eigen installatiekopieën voor het besturingssysteem te maken, vindt u documentatie in deze artikelen:
Als u Linux-installatiekopieën uit de Azure-rekengalerie gebruikt en beveiliging toevoegt als onderdeel van uw implementatiepijplijn, moet u de installatiekopieën gebruiken die geschikt zijn voor SAP van de Linux-leveranciers.
Als u een installatiekopie van het besturingssysteem kiest, wordt bepaald welk type generatie azure-VM's wordt gegenereerd. ondersteuning voor Azure beide Virtuele Hyper-V-generatie 1 en 2. Sommige VM-families zijn alleen beschikbaar als generatie 2, sommige VM-families zijn alleen gecertificeerd voor SAP-gebruik als alleen van de tweede generatie (SAP note 1928533), zelfs als Azure beide generaties toestaat. Het wordt aanbevolen om generatie 2 VM te gebruiken voor elke VM van SAP-landschap.
Gebruik minimaal Azure Standard SSD-opslag voor VM's die SAP-toepassingslagen vertegenwoordigen en voor de implementatie van DBMS's die niet prestatiegevoelig zijn. Houd er rekening mee dat verschillende Azure-opslagtypen van invloed zijn op de SLA voor één VM-beschikbaarheid.
Raadpleeg voor de verschillende DBMS-typen de algemene DBMS-documentatie en dbMS-specifieke documentatie waarnaar het eerste document verwijst. Gebruik schijfstriping over meerdere schijven met Premium Storage (v1 of v2) voor databasegegevens en logboekgebied. Controleer of lvm-schijfstriping actief is en met de juiste stripegrootte met de opdracht 'lvs -a -o+lv_layout,lv_role,stripes,stripe_size,devices' in Linux, zie de eigenschappen van opslagruimten in Windows.
Gebruik LVM voor alle schijven op Linux-VM's, omdat het eenvoudiger beheer en online uitbreiding mogelijk maakt. Dit omvat volumes op één schijf, bijvoorbeeld /usr/sap.
Netwerken
Test en evalueer uw virtuele netwerkinfrastructuur en de distributie van uw SAP-toepassingen in of binnen de verschillende virtuele Azure-netwerken.
Evalueer de benadering van de architectuur van virtuele netwerken van hub en spoke of virtual WAN met discrete virtuele netwerk(en) spokes voor SAP-werkbelasting. Voor een kleinere benadering van microsegmentatie binnen één virtueel Azure-netwerk. Baseer deze evaluatie op:
Voordelen van een snelle ontkoppeling van de peering tussen virtuele Azure-netwerken in plaats van de netwerkbeveiligingsgroep te wijzigen om een subnet binnen een virtueel netwerk te isoleren. Deze evaluatie is voor gevallen waarin toepassingen of VM's die worden gehost in een subnet van het virtuele netwerk een beveiligingsrisico werden.
Centrale logboekregistratie en controle van netwerkverkeer tussen on-premises, de buitenwereld en het virtuele datacenter dat u in Azure hebt gebouwd.
Evalueer en test het gegevenspad tussen de SAP-toepassingslaag en de SAP DBMS-laag.
Plaatsing van virtuele Azure-netwerkapparaten in het communicatiepad tussen de SAP-toepassing en de DBMS-laag van SAP-systemen waarop de SAP-kernel wordt uitgevoerd, wordt niet ondersteund.
Plaatsing van de SAP-toepassingslaag en SAP DBMS in verschillende virtuele Azure-netwerken die niet zijn gekoppeld, wordt niet ondersteund.
U kunt regels voor toepassingsbeveiligingsgroepen en netwerkbeveiligingsgroepen gebruiken om communicatiepaden naar en tussen de SAP-toepassingslaag en de SAP DBMS-laag te beveiligen.
Test en evalueer de netwerklatentie tussen de VM's van de SAP-toepassingslaag en DBMS-VM's volgens SAP-notities 500235 en 1100926. Naast SAP's niping kunt u hulpprogramma's zoals sokken of ethr gebruiken voor tcp-latentiemeting. Evalueer de resultaten op basis van de richtlijnen voor netwerklatentie in SAP-notitie 1100926. De netwerklatentie moet zich in het gemiddelde of goede bereik bevinden.
Optimaliseer de netwerkdoorvoer op vm's met een hoge vCPU, die doorgaans worden gebruikt voor databaseservers. Met name belangrijk voor het uitschalen van HANA en elk groot SAP-systeem. Volg de aanbevelingen in dit artikel voor optimalisatie.
Voor optimale netwerklatentie kunt u overwegen de richtlijnen in de nabijheidsplaatsingsscenario's van het artikel te volgen. Geen gebruik van nabijheidsplaatsingsgroepen voor zonegebonden of zoneoverschrijdende implementatiepatronen.
Controleer de juiste beschikbaarheid, routering en beveiligde toegang vanuit het SAP-landschap naar een nodig interneteindpunt, zoals opslagplaatsen voor besturingssysteempatchs, implementatiehulpprogramma's of service-eindpunten. En als uw SAP-omgeving een openbaar toegankelijke service biedt, zoals SAP Fiori of SAProuter, controleert u of deze bereikbaar en beveiligd is.
Implementaties voor hoge beschikbaarheid en herstel na noodgevallen
Gebruik altijd standard load balancer voor geclusterde omgevingen. Basic load balancer wordt buiten gebruik gesteld.
Selecteer de geschikte implementatieopties , afhankelijk van de systeemconfiguratie van uw voorkeur binnen een Azure-regio, ongeacht of deze betrekking heeft op meerdere zones, zich in één zone bevindt of in een zoneloze regio werkt.
In regionale implementatie plaatst u de twee knooppunten voor SAP Central Services in één afzonderlijke beschikbaarheidsset en de twee DBMS-knooppunten in een andere beschikbaarheidsset en de twee DBMS-knooppunten in een andere beschikbaarheidsset. Combineer toepassings-VM-rollen niet binnen een beschikbaarheidsset.
Configureer voor implementatie in meerdere zones het systeem met flexibele schaalset met FD=1 en implementeer de actieve en passieve centrale servicesknooppunten en DBMS-laag in twee verschillende beschikbaarheidszones. Gebruik twee beschikbaarheidszones met de laagste latentie ertussen.
Voor implementatie in meerdere zones is het raadzaam om flexibele schaalsets met FD=1 te gebruiken ten opzichte van de standaardimplementatie van de beschikbaarheidszone.
Als u Azure Load Balancer samen met Linux-gastbesturingssystemen gebruikt, controleert u of de linux-netwerkparameter net.ipv4.tcp_timestamps is ingesteld op 0. Deze aanbeveling conflicteert met aanbevelingen in oudere versies van SAP-notitie 2382421. De SAP-notitie wordt nu bijgewerkt om aan te geven dat deze parameter moet worden ingesteld op 0 om te kunnen werken met Azure Load Balancers.
Time-outinstellingen
Controleer de SAP NetWeaver-ontwikkelaarstraceringen van de SAP-exemplaren om ervoor te zorgen dat er geen verbindingseinden zijn tussen de server en de SAP-werkprocessen. U kunt deze verbindingseinden voorkomen door deze twee registerparameters in te stellen:
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\KeepAliveTime = 120000. Zie KeepAliveTime voor meer informatie.
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\KeepAliveInterval = 120000. Zie KeepAliveInterval voor meer informatie.
Als u GUI-time-outs wilt voorkomen tussen on-premises SAP GUI-interfaces en SAP-toepassingslagen die zijn geïmplementeerd in Azure, controleert u of deze parameters zijn ingesteld in de default.vernemen of het exemplaarprofiel:
rdisp/keepalive_timeout = 3600
dhsp/keepalive = 20
Als u onderbreking van tot stand gebrachte verbindingen tussen het SAP-proces en de SAP-werkprocessen wilt voorkomen, moet u de parameter enque/encni/set_so_keepalive instellen op waar. Zie ook SAP-notitie 2743751.
Als u een Configuratie van een Windows-failovercluster gebruikt, moet u ervoor zorgen dat de tijd die nodig is om te reageren op niet-responsieve knooppunten correct is ingesteld voor Azure. In het artikel Drempelwaarden voor het afstemmen van failoverclusternetwerk worden parameters vermeld en hoe deze invloed hebben op de gevoeligheid van failovers. Ervan uitgaande dat de clusterknooppunten zich in hetzelfde subnet bevinden, moet u deze parameters wijzigen:
SameSubNetDelay = 2000 (aantal milliseconden tussen 'heartbeats')
SameSubNetThreshold = 15 (maximum aantal opeenvolgende gemiste heartbeats)
Lees deze notities en documentatie voor het uitvoeren van HANA in SAP, naast de niet-Azure-specifieke documentatie en andere ondersteuningsnotities van SAP:
Azure-specifieke SAP-notities die zijn gekoppeld aan SAP-ondersteuningsonderdelen BC-OP-NT-AZR of BC-OP-LNX-AZR. Doorloop de notities in detail wanneer deze bijgewerkte oplossingen bevatten
Test uw procedures voor hoge beschikbaarheid en herstel na noodgevallen
Simuleer failoversituaties met behulp van een hulpprogramma zoals NotMyFault (Windows) of het in paniek plaatsen van besturingssystemen of het uitschakelen van de netwerkinterface met ifdown (Linux). Deze stap helpt u erachter te komen of uw failoverconfiguraties naar behoren werken.
Meet hoe lang het duurt om een failover uit te voeren. Als de tijden te lang zijn, kunt u het volgende overwegen:
Gebruik voor SUSE Linux SBD-apparaten in plaats van de Azure Fence-agent om failover te versnellen.
Als het opnieuw laden van gegevens te lang duurt voor SAP HANA, kunt u overwegen om meer opslagbandbreedte in te richten.
Test uw back-up-/herstelvolgorde en tijdsinstellingen en breng desgewenst correcties aan. Zorg ervoor dat de back-uptijden voldoende zijn. U moet ook de herstel- en tijdherstelactiviteiten testen. Zorg ervoor dat hersteltijden zich binnen uw RTO-SLA's bevinden, waar uw RTO afhankelijk is van een database- of VM-herstelproces.
Test functionaliteit en architectuur voor herstel na noodgevallen in meerdere regio's, controleer of de RPO en RTO voldoen aan uw verwachtingen
Beveiligingscontroles
Test de geldigheid van uw Azure RBAC-architectuur (op rollen gebaseerd toegangsbeheer). Scheiding van taken vereist dat de toegang en machtigingen van verschillende teams worden gescheiden en beperkt. Teamleden van SAP Basis moeten bijvoorbeeld VM's kunnen implementeren en schijven uit Azure Storage kunnen toewijzen aan een bepaalde virtuele Azure-machine. Het SAP Basis-team mag echter geen eigen virtuele netwerken maken of de instellingen van bestaande virtuele netwerken wijzigen. Leden van het netwerkteam mogen geen VM's implementeren in virtuele netwerken waarin SAP-toepassing en DBMS-VM's worden uitgevoerd. Leden van dit team mogen ook geen kenmerken van VM's wijzigen of zelfs VM's of schijven verwijderen.
Zorg ervoor dat alle resources die moeten worden versleuteld, zijn versleuteld. Definieer en implementeer processen voor het maken van back-ups van certificaten, het opslaan en openen van deze certificaten en het herstellen van de versleutelde entiteiten.
Voor opslagversleuteling is versleuteling aan de serverzijde met door het platform beheerde sleutel (SSE-PMK) standaard ingeschakeld voor elke opslagservice die wordt gebruikt voor SAP in Azure, waaronder beheerde schijven, Azure Files en Azure NetApp Files. Sleutelbeheer met door de klant beheerde sleutels kan worden overwogen, indien nodig voor sleutelrotatie in eigendom van de klant.
Versleuteling aan de serverzijde op basis van een host mag niet worden ingeschakeld om prestatieredenen op Linux-VM's uit de M-serie.
Systeemeigen databaseversleuteling wordt geïmplementeerd door de meeste SAP-klanten in Azure om DBMS-gegevens en back-ups te beveiligen. Transparent Data Encryption (TDE) heeft doorgaans geen merkbare prestatieoverhead, verhoogt de beveiliging aanzienlijk en moet worden overwogen. Versleutelingssleutelbeheer en -locatie moeten worden beveiligd. Databaseversleuteling vindt plaats in de VIRTUELE machine en is onafhankelijk van opslagversleuteling zoals SSE.
Prestatietests in SAP, op basis van SAP-tracering en metingen, maken deze vergelijkingen:
Inventariseer en basislijn het huidige on-premises systeem.
SAR-rapporten /prestatie.
STAT traceer top 10 online rapporten.
Verzamel de geschiedenis van batchtaken.
Focus testen om de prestaties van bedrijfsprocessen te controleren. Vergelijk hardware-KPI's in eerste instantie en in een vacuüm niet, alleen bij het oplossen van prestatieverschillen.
Vergelijk waar van toepassing de tien beste onlinerapporten met uw huidige implementatie.
Vergelijk waar van toepassing de top 10 batchtaken met uw huidige implementatie.
Gegevensoverdrachten via interfaces vergelijken met het SAP-systeem. Focus op interfaces waarbij u weet dat de overdracht tussen verschillende locaties gaat, zoals van on-premises naar Azure.
Niet-productiefase
In deze fase gaan we ervan uit dat u na een geslaagde pilot of proof of concept (POC) niet-productie SAP-systemen gaat implementeren in Azure. Neem alles op wat u hebt geleerd en ervaren tijdens de POC voor deze implementatie. Alle criteria en stappen die voor POC's worden vermeld, zijn ook van toepassing op deze implementatie.
Tijdens deze fase implementeert u meestal ontwikkelsystemen, eenheidstestsystemen en bedrijfsregressietests in Azure. We raden u aan dat ten minste één niet-productiesysteem in één SAP-toepassingsregel de volledige configuratie met hoge beschikbaarheid heeft die het toekomstige productiesysteem zal hebben. Hier volgen enkele taken die u tijdens deze fase moet uitvoeren:
Voordat u systemen van het oude platform naar Azure verplaatst, verzamelt u gegevens over resourceverbruik, zoals CPU-gebruik, opslagdoorvoer en IOPS-gegevens. Verzamel deze gegevens met name uit de DBMS-laageenheden, maar verzamel deze ook van de toepassingslaageenheden. Meet ook de netwerk- en opslaglatentie. Pas uw grootte en ontwerp aan met de vastgelegde gegevens. Hulpprogramma's zoals syststat, KSAR, nmon en nmon analyzer voor Excel moeten worden gebruikt om het resourcegebruik gedurende piekperioden vast te leggen en weer te geven.
Noteer de gebruikstijdpatronen voor beschikbaarheid van uw systemen. Het doel is om te bepalen of niet-productiesystemen de hele dag, elke dag beschikbaar moeten zijn of dat er niet-productiesystemen zijn die tijdens bepaalde fasen van een week of maand kunnen worden afgesloten.
Evalueer de keuze voor de installatiekopieën van het besturingssysteem, de generatie van de VM (generatie 2 in het SAP-landschap) en de patchstrategie voor het besturingssysteem.
Zorg ervoor dat u voldoet aan de SAP-ondersteuningsvereisten voor Microsoft-ondersteuningsovereenkomsten. Zie SAP-notitie 2015553.
Controleer SAP-notities met betrekking tot Azure, zoals opmerking 1928533, voor nieuwe VM-SKU's en nieuw ondersteunde os- en DBMS-releases. Vergelijk de prijzen van nieuwe VM-typen ten opzichte van die van oudere VM-typen, zodat u VM's kunt implementeren met de beste prijs-/prestatieverhouding.
Controleer de sap-ondersteuningsnotities, de SAP HANA-hardwaremap en de SAP PAM opnieuw. Zorg ervoor dat er geen wijzigingen zijn aangebracht in ondersteunde VM's voor Azure, ondersteunde besturingssysteemreleases op die VM's en ondersteunde SAP- en DBMS-releases.
Controleer de SAP-website op nieuwe HANA-gecertificeerde SKU's in Azure. Vergelijk de prijzen van nieuwe SKU's met de SKU's die u wilt gebruiken. Breng uiteindelijk noodzakelijke wijzigingen aan om de wijzigingen te gebruiken die de beste prijs-/prestatieverhouding hebben.
Pas uw implementatieautomatisering aan om nieuwe VM-typen te gebruiken en nieuwe Azure-functies op te nemen die u wilt gebruiken.
Na de implementatie van de infrastructuur test en evalueert u de netwerklatentie tussen VM's in SAP-toepassingslaag en DBMS-VM's, volgens SAP-notities 500235. Evalueer de resultaten op basis van de richtlijnen voor netwerklatentie in SAP-notitie 1100926. De netwerklatentie moet zich in het gemiddelde of goede bereik bevinden. Naast het gebruik van hulpprogramma's zoals niping, sockperf of ethr, gebruikt u het HCMT-hulpprogramma van SAP voor netwerkmetingen tussen HANA-VM's voor uitschalen of systeemreplicatie.
Als u een hogere latentie ziet dan verwacht tussen VM's, kunt u overwegen de richtlijnen in de nabijheidsplaatsingsscenario's in het artikel te volgen.
Voer alle andere controles uit die worden vermeld voor de proof-of-concept-fase voordat u de workload toepast.
Wanneer de workload van toepassing is, registreert u het resourceverbruik van de systemen in Azure. Vergelijk dit verbruik met records van uw oude platform. Pas de vm-grootte van toekomstige implementaties aan als u ziet dat u grote verschillen hebt. Houd er rekening mee dat wanneer u de bandbreedte van VM's verlaagt, opbergt en netwerkbandbreedte ook vermindert.
Experimenteer met de functionaliteit en processen voor het kopiëren van het systeem. Het doel is om het u gemakkelijk te maken een ontwikkelsysteem of een testsysteem te kopiëren, zodat projectteams snel nieuwe systemen kunnen krijgen.
Optimaliseer en verbeter de op rollen gebaseerde toegang, machtigingen en processen van uw team om ervoor te zorgen dat u een scheiding van taken hebt. Zorg er tegelijkertijd voor dat alle teams hun taken in de Azure-infrastructuur kunnen uitvoeren.
Oefening, test en documenteer procedures voor hoge beschikbaarheid en herstel na noodgevallen om uw personeel in staat te stellen deze taken uit te voeren. Identificeer tekortkomingen en pas nieuwe Azure-functionaliteit aan die u in uw implementaties integreert.
Productievoorbereidingsfase
In deze fase verzamelt u wat u hebt ervaren en geleerd tijdens uw niet-productie-implementaties en past u deze toe op toekomstige productie-implementaties.
Voltooi alle benodigde SAP-releaseupgrades van uw productiesystemen voordat u overstapt naar Azure.
Ga akkoord met de bedrijfseigenaren over functionele en bedrijfstests die na de migratie van het productiesysteem moeten worden uitgevoerd.
Zorg ervoor dat deze tests zijn voltooid met de bronsystemen op de huidige hostinglocatie. Vermijd het uitvoeren van tests voor de eerste keer nadat het systeem naar Azure is verplaatst.
Test het proces voor het migreren van productiesystemen naar Azure. Als u niet alle productiesystemen tijdens hetzelfde tijdsbestek naar Azure verplaatst, maakt u groepen productiesystemen die zich op dezelfde hostinglocatie moeten bevinden. Test de gegevensmigratie, inclusief verbonden niet-SAP-toepassingen en -interfaces.
Hier volgen enkele algemene methoden:
Gebruik DBMS-methoden zoals back-up/herstel in combinatie met SQL Server AlwaysOn, HANA-systeemreplicatie of logboekverzending om database-inhoud in Azure te seedn en te synchroniseren.
Gebruik back-up/herstel voor kleinere databases.
Gebruik het SAP DMO-proces voor ondersteunde scenario's om te verplaatsen of als u uw migratie wilt combineren met een SAP-release-upgrade en/of overstappen op HANA. Houd er rekening mee dat niet alle combinaties van bron-DBMS en doel-DBMS worden ondersteund. Meer informatie vindt u in de specifieke SAP-ondersteuningsopmerkingen voor de verschillende versies van DMO. Bijvoorbeeld : Database Migration Option (DMO) van SUM 2.0 SP15.
Test of de doorvoer van gegevensoverdracht beter is via internet of via ExpressRoute, voor het geval u back-ups of SAP-exportbestanden moet verplaatsen. Als u gegevens via internet verplaatst, moet u mogelijk enkele regels voor uw netwerkbeveiligingsgroep/toepassingsbeveiligingsgroep wijzigen die u moet hebben voor toekomstige productiesystemen.
Voordat u systemen van uw oude platform naar Azure verplaatst, verzamelt u gegevens over het resourceverbruik. Nuttige gegevens omvatten CPU-gebruik, opslagdoorvoer en IOPS-gegevens. Verzamel deze gegevens met name uit de DBMS-laageenheden, maar verzamel deze ook van de toepassingslaageenheden. Meet ook de netwerk- en opslaglatentie.
Controleer SAP-notities en de vereiste besturingssysteeminstellingen, de SAP HANA-hardwaremap en de SAP PAM opnieuw. Zorg ervoor dat er geen wijzigingen zijn aangebracht in ondersteunde VM's voor Azure, ondersteunde besturingssysteemreleases in die VM's en ondersteunde SAP- en DBMS-releases.
Werk uw implementatieautomatisering bij om rekening te houden met de meest recente beslissingen die u hebt genomen over VM-typen en Azure-functionaliteit.
Maak een playbook voor het reageren op geplande Azure-onderhoudsevenementen. Bepaal in welke volgorde systemen en VM's opnieuw moeten worden opgestart voor gepland onderhoud.
Oefening, test en documenteer procedures voor hoge beschikbaarheid en herstel na noodgevallen om uw personeel in staat te stellen deze taken uit te voeren tijdens de migratie en onmiddellijk na een go-live beslissing.
Go-live-fase
Tijdens de go-live-fase moet u de playbooks volgen die u tijdens eerdere fasen hebt ontwikkeld. Voer de stappen uit die u hebt getest en beoefend. Accepteer geen last-minute wijzigingen in configuraties en processen. Voer ook deze stappen uit:
Controleer of azure Portal-bewaking en andere bewakingshulpprogramma's werken. Gebruik Azure-hulpprogramma's zoals Azure Monitor voor infrastructuurbewaking. Azure Monitor voor SAP voor een combinatie van KPI's van het besturingssysteem en de toepassing, zodat u alles in één dashboard kunt integreren voor zichtbaarheid tijdens en na live.
Voor key performance indicators van het besturingssysteem:
In Linux zorgt u ervoor dat het sysstat-hulpprogramma is geïnstalleerd en met regelmatige tussenpozen details vastlegt
Voer na de gegevensmigratie alle validatietests uit die u hebt afgesproken met de bedrijfseigenaren. Accepteer alleen validatietestresultaten wanneer u resultaten hebt voor de oorspronkelijke bronsystemen.
Controleer of interfaces werken en of andere toepassingen kunnen communiceren met de zojuist geïmplementeerde productiesystemen.
Controleer het transport- en correctiesysteem via SAP transaction STMS.
Databaseback-ups uitvoeren nadat het systeem is vrijgegeven voor productie.
Vm-back-ups uitvoeren voor de VM's in de SAP-toepassingslaag nadat het systeem is vrijgegeven voor productie.
Voor SAP-systemen die geen deel uitmaken van de huidige go-live-fase, maar die communiceren met de SAP-systemen die u tijdens deze go-livefase naar Azure hebt verplaatst, moet u de hostnaambuffer opnieuw instellen in SM51. Als u dit doet, worden de oude IP-adressen in de cache verwijderd die zijn gekoppeld aan de namen van de toepassingsexemplaren die u naar Azure hebt verplaatst.
Postproductie
Deze fase gaat over het bewaken, bedienen en beheren van het systeem. Vanuit een SAP-oogpunt zijn de gebruikelijke taken die u moest uitvoeren op uw oude hostinglocatie van toepassing. Voltooi deze Azure-specifieke taken ook:
Controleer Azure-facturen voor systemen met hoge kosten. Installeer een cultuur van finOps en bouw een azure-functionaliteit voor kostenoptimalisatie in uw organisatie.
Optimaliseer de prijs-/prestatie-efficiëntie aan de vm-zijde en de opslagzijde.
Zodra uw SAP op Azure is gestabiliseerd, moet uw focus overschakelen naar een cultuur van continue grootte en capaciteitsbeoordelingen. In tegenstelling tot on-premises, waarbij we de grootte voor een lange periode aanpassen, is het belangrijk om SAP op Azure-workloads uit te voeren en is het belangrijk om capaciteitsplanning uit te voeren.
Optimaliseer de tijden waarop u systemen kunt afsluiten.
Zodra uw oplossing in Azure is gestabiliseerd, kunt u overwegen om af te stappen van een commercieel model voor betalen per gebruik en gebruik te maken van gereserveerde Instanties van Azure.
Plan en voer regelmatig noodherstelanalyses uit.
Definieer en implementeer uw strategie rond 'ever-greeneing', om uw eigen roadmap af te stemmen op de SAP-roadmap van Microsoft op Azure om te profiteren van de vooruitgang van de technologie.
Controlelijst voor SAP op Azure-infrastructuur
Nadat u infrastructuur en toepassingen hebt geïmplementeerd en voordat elke migratie wordt gestart, controleert u of:
De juiste VM-typen zijn geïmplementeerd, met de juiste kenmerken en opslagconfiguratie.
De VM's bevinden zich in een up-to-date besturingssysteem, DBMS en SAP Kernel release en patch en het besturingssysteem, DB en SAP Kernel uniform in het landschap
VM's worden beveiligd en beveiligd zoals vereist en op een uniforme manier in de respectieve omgeving.
Vm's van de tweede generatie zijn geïmplementeerd. Vm's van de eerste generatie mogen niet worden gebruikt voor nieuwe implementaties.
Azure Premium Storage of Premium Storage v2 wordt gebruikt voor latentiegevoelige schijven of waarbij de SLA met één VM van 99,9% is vereist.
Zorg ervoor dat binnen de VM's, opslagruimten of stripesets correct zijn gebouwd in bestandssysteem waarvoor meer dan schijf is vereist, zoals DBMS-gegevens en logboekgebieden.
De juiste stripegrootte en blokken van bestandssysteem worden gebruikt, indien vermeld in de respectieve DBMS-handleidingen
Azure VM-opslag en -caching worden op de juiste manier gebruikt
Zorg ervoor dat alleen schijven met online DBMS-logboeken zijn opgeslagen in de cache met None+ Write Accelerator.
Andere schijven met Premium Storage maken gebruik van cache-instellingen geen of ReadOnly, afhankelijk van het gebruik
Het gebruik van Azure-services, Azure Files of Azure NetApp Files, voor SMB- of NFS-volumes of -shares. NFS-volumes of SMB-shares zijn bereikbaar door de respectieve SAP-omgeving of afzonderlijke SAP-systemen. Netwerkroutering naar de NFS-/SMB-server gaat door de adresruimte van het privénetwerk, met behulp van een privé-eindpunt, indien nodig.
Er bevinden zich geen virtuele netwerkapparaten in het communicatiepad tussen de SAP-toepassing en de DBMS-laag van SAP-systemen op basis van SAP NetWeaver of ABAP Platform.
Alle load balancers voor SAP-onderdelen met hoge beschikbaarheid maken gebruik van standaard load balancer met zwevende IP- en HA-poorten ingeschakeld.
SAP-toepassingen en DBMS-VM('s) worden in dezelfde of verschillende subnetten van één virtueel netwerk of in virtuele netwerken rechtstreeks gekoppeld.
Regels voor toepassings- en netwerkbeveiligingsgroepen maken communicatie naar wens en gepland en blokkeren waar nodig communicatie.
Time-outinstellingen zijn correct ingesteld, zoals eerder beschreven.
Als u nabijheidsplaatsingsgroepen gebruikt, controleert u of de beschikbaarheidssets en de bijbehorende VM's zijn geïmplementeerd op de juiste PPG.
Netwerklatentie tussen SAP-toepassingslaag-VM's en DBMS-VM's wordt getest en gevalideerd zoals beschreven in SAP-notities 500235 en 1100926. Evalueer de resultaten op basis van de richtlijnen voor netwerklatentie in SAP-notitie 1100926. De netwerklatentie moet zich in het gemiddelde of goede bereik bevinden.
Versleuteling is waar nodig geïmplementeerd en met de juiste versleutelingsmethode.
Eigen versleutelingssleutels worden beschermd tegen verlies, vernietiging of schadelijk gebruik.
Interfaces en andere toepassingen kunnen verbinding maken met de zojuist geïmplementeerde infrastructuur.
Geautomatiseerde controles en inzichten in SAP-landschap
Verschillende van de bovenstaande controles worden geautomatiseerd gecontroleerd met SAP op azure Quality Check Tool. Deze controles kunnen automatisch worden uitgevoerd met het opgegeven opensource-project. Hoewel er geen automatisch herstel van gevonden problemen wordt uitgevoerd, waarschuwt het hulpprogramma voor configuratie tegen Aanbevelingen van Microsoft.
Verdere hulpprogramma's voor eenvoudigere implementatiecontroles en documentbevindingen, plan de volgende herstelstappen en optimaliseer uw SAP op Azure-landschap in het algemeen:
Azure Well-Architected Framework beoordeelt een evaluatie van uw workload die gericht is op de vijf belangrijkste pijlers van betrouwbaarheid, beveiliging, kostenoptimalisatie, operationele uitmuntendheid en prestatie-efficiëntie. Ondersteunt SAP-workloads en wordt aanbevolen om een beoordeling bij het begin en na elke projectfase uit te voeren.
Azure Inventory Controleert op SAP Een open source Azure Monitor-werkmap, waarin uw Azure-inventaris met intelligentie wordt weergegeven om configuratiedrift te markeren en de kwaliteit te verbeteren.