Outsourcing IT
Biała Podlaska

Zakres

Zakres stałej obsługi IT w Białej Podlaskiej i mechanizmy, które za nim stoją

Opis usługi bez podziału na miasta znajdziesz na stronie o outsourcingu IT dla firm. Lista niżej wymienia osiem obszarów objętych abonamentem. Dalej rozwijamy pięć z nich, a na końcu opisujemy mechanizm, który spina konta i stanowiska w jedną całość.

• Helpdesk dla pracowników, zdalnie oraz na miejscu, gdy trzeba
• Administracja serwerami, w tym Windows Server i maszyny wirtualne
• Sieć firmowa: routery, przełączniki, sieć bezprzewodowa, połączenia VPN
• Kopie zapasowe, plan odtworzenia i regularne testy przywracania
• Bezpieczeństwo: ochrona stacji, zapora, aktualizacje, polityki haseł
• Konta w Microsoft 365 i Google Workspace, poczta i udostępnianie plików
• Zakupy sprzętu, wdrożenia nowych stanowisk oraz inwentaryzacja
• Dokumentacja infrastruktury i rejestr dostępów

Helpdesk dla pracowników: jak przebiega zgłoszenie i co zostaje w rejestrze

Zgłoszenia obsługujemy zdalnie: pracownik pisze albo dzwoni, a technik łączy się z jego komputerem i pracuje na ekranie razem z nim. Przy codziennych sprawach korzystamy ze zdalnej pomocy informatycznej: zablokowane konto, program, który przestał się uruchamiać, plik zapisany w złym miejscu.

Każda sprawa trafia do rejestru zgłoszeń. Po kwartale widać z niego, który sprzęt psuje się najczęściej, gdzie brakuje szkolenia i co warto wymienić. Rejestr jest materiałem do rozmowy o zakupach i o tym, które stanowiska wymagają uwagi w pierwszej kolejności.

Sam opis zgłoszenia skraca drogę do rozwiązania. Nazwa stanowiska, treść komunikatu i moment, w którym problem się pojawił, pozwalają zacząć od sprawdzenia właściwego elementu, zamiast odtwarzać całą sytuację od początku.

Serwery pod opieką: Windows Server, maszyny wirtualne i monitoring przez całą dobę

Administracja serwerami obejmuje systemy Windows Server oraz hosty maszyn wirtualnych: aktualizacje, miejsce na dyskach, usługi, które mają pracować bez przerwy, oraz uprawnienia do nich. Monitoring serwerów i kopii zapasowych działa całodobowo.

Produkty Microsoft mają opisany cykl życia podzielony na dwie fazy. W fazie wsparcia podstawowego producent wydaje poprawki błędów i zmiany funkcjonalne, w fazie wsparcia rozszerzonego wyłącznie poprawki bezpieczeństwa. Dla systemu Windows Server 2016 wsparcie podstawowe zakończyło się w styczniu 2022 roku, a rozszerzone kończy się w styczniu 2027 roku. Dla Windows Server 2019 wsparcie podstawowe zakończyło się w styczniu 2024 roku, a rozszerzone potrwa do stycznia 2029 roku. Daty pochodzą z rejestru cyklu życia produktów Microsoft.

Po zakończeniu wsparcia rozszerzonego system pracuje dalej, lecz przestaje dostawać poprawki bezpieczeństwa, a producenci oprogramowania wycofują dla niego wsparcie. Decyzja o aktualizacji systemu albo wymianie serwera wymaga zaplanowania wcześniej, razem z przeniesieniem ról, które ten serwer pełni.

Cykl życia obejmuje szerszy obszar niż sam system. Producenci programów serwerowych, baz danych i rozwiązań do kopii zapasowych prowadzą własne listy wspieranych wersji systemu i wycofują starsze pozycje w swoim tempie. Termin wymiany serwera wyznacza najwcześniejsza z tych dat.

Sieć w firmie: routery, przełączniki, połączenia bezprzewodowe i VPN

Po stronie sieci pilnujemy konfiguracji routerów i przełączników, aktualizacji ich oprogramowania oraz tego, żeby schemat połączeń zgadzał się z dokumentacją. Połączenia VPN łączą lokalizacje firmy i dają pracownikom dostęp do zasobów spoza biura.

Przy sieci bezprzewodowej w magazynie liczy się rozmieszczenie punktów dostępowych i pomiar zasięgu wykonany już po montażu regałów, bo układ hali zmienia się razem z wyposażeniem.

Kopie zapasowe, odtwarzanie danych oraz macierz i migawka

Kopie ustawiamy według zasady: co najmniej dwie kopie na dwóch różnych nośnikach, w tym jedna poza siedzibą firmy, z wersjonowaniem pozwalającym cofnąć się o kilka dni. Próbne odtworzenie na maszynie testowej wykonujemy raz na kwartał, a jego wynik zapisujemy w raporcie. Harmonogram i zakres takiego testu opisaliśmy we wpisie o kopiach zapasowych w firmie.

Dwa rozwiązania bywają brane za kopię zapasową, choć nią nie są. Pierwsze to macierz RAID, czyli połączenie kilku dysków w jedną przestrzeń z nadmiarowością. Zależnie od poziomu macierz przetrwa awarię jednego dysku albo dwóch, a system pracuje dalej, wolniej, do czasu odbudowy po wymianie nośnika. Ochrona kończy się na awarii sprzętu: plik skasowany przez pomyłkę albo nadpisany błędną wersją znika ze wszystkich dysków macierzy w tej samej chwili, bo zapis trafia na nie równolegle. Sama odbudowa po wymianie dysku obciąża pozostałe nośniki i bywa momentem, w którym ujawnia się kolejna usterka. Poziomy macierzy różnią się sposobem zapisu nadmiarowości: lustro trzyma te same dane na dwóch dyskach, układy z rozproszoną parzystością rozkładają dane i sumy kontrolne na wszystkie nośniki, a rozwiązania łączone mieszają oba podejścia. Część macierzy ma dysk zapasowy trzymany w gotowości, który kontroler włącza do odbudowy zaraz po wykryciu usterki. Czas odbudowy rośnie razem z pojemnością dysków, dlatego przy dużych nośnikach okno, w którym macierz pracuje bez nadmiarowości, liczy się w godzinach albo w dniach.

Drugie rozwiązanie to migawka maszyny wirtualnej. Migawka zapisuje stan maszyny w danym momencie i pozwala wrócić do niego po nieudanej aktualizacji albo nieudanej zmianie konfiguracji. Kopią nie jest, bo leży na tym samym zasobie dyskowym co maszyna: awaria tego zasobu zabiera maszynę razem z migawkami. Migawka rośnie z czasem, bo gromadzi kolejne zmiany, przez co zostawiona na tygodnie potrafi zająć więcej miejsca niż sama maszyna i spowolnić jej pracę. W praktyce branżowej migawkę traktuje się jako zabezpieczenie na czas jednej operacji, a kopię zapasową jako osobny zbiór danych trzymany na innym nośniku. Łańcuch kilku migawek wydłuża powrót do wcześniejszego stanu, bo system przechodzi kolejne warstwy zapisanych zmian, a usunięcie migawki wymaga scalenia tych warstw z plikiem maszyny.

Bezpieczeństwo stanowisk, kont i poczty: pięć podstaw i pięć typowych błędów

Podstawy wyglądają podobnie w firmie z jednym serwerem i w firmie z kilkunastoma stanowiskami. Pierwsza lista niżej zbiera pięć rzeczy, których pilnujemy. Druga wymienia pięć typowych błędów, które zastajemy przy przejmowaniu infrastruktury:

• aktualne systemy i ochrona stacji roboczych
• ograniczone uprawnienia i oddzielne konta administracyjne
• dwuskładnikowe logowanie do poczty
• kopie, z których da się odtworzyć dane
• krótkie szkolenie pracowników z rozpoznawania podejrzanych wiadomości

• wspólne konto administratora używane przez wszystkich
• kopia zapasowa trzymana na dysku podłączonym do serwera na stałe
• brak dwuskładnikowego logowania do poczty firmowej
• sprzęt bez wsparcia producenta pracujący jako serwer
• dostępy byłych pracowników pozostawione bez wyłączenia

Dwie pozycje z obu list dotyczą logowania: oddzielne konta administracyjne i dwuskładnikowe logowanie do poczty. Osobnym kierunkiem jest rezygnacja z hasła. Standardy FIDO2 i WebAuthn opisują uwierzytelnianie kluczem kryptograficznym: urządzenie przechowuje klucz prywatny, serwis zna wyłącznie klucz publiczny, a hasło nie jest przesyłane ani przechowywane po stronie serwisu. Rolę urządzenia pełni klucz sprzętowy wpinany do portu USB albo przykładany bezdotykowo, a także telefon lub moduł wbudowany w komputer.

Logowanie potwierdza się dotknięciem klucza, odciskiem palca albo kodem PIN ustawionym lokalnie na urządzeniu. Klucz jest powiązany z adresem konkretnego serwisu, dlatego strona podszywająca się pod stronę logowania nie otrzyma poprawnej odpowiedzi. Słabym punktem zostaje odzyskanie dostępu po zgubieniu klucza, dlatego w firmach rejestruje się drugi klucz zapasowy i opisuje procedurę jego użycia. Do jednego konta przypisuje się kilka takich urządzeń, a administrator widzi listę zarejestrowanych kluczy i usuwa pojedynczą pozycję, gdy urządzenie wychodzi z użycia. Standard obejmuje dwa warianty: klucz jako drugi składnik obok hasła oraz logowanie, w którym sam klucz z kodem PIN zastępuje nazwę użytkownika i hasło.

Jak działa centralne zarządzanie stanowiskami: kontroler domeny i zasady grup

Tam, gdzie stanowisk jest więcej, konta pracowników i komputery trzyma się w usłudze katalogowej. Kontroler domeny Active Directory przechowuje konta, grupy i komputery, a logowanie sprawdzane jest w jednym miejscu, osobno dla każdego użytkownika, lecz według wspólnych reguł.

Zasady grup, oznaczane skrótem GPO, pozwalają rozsyłać ustawienia na wiele komputerów naraz: mapowanie dysków sieciowych, konfigurację urządzeń, blokadę ekranu po czasie bezczynności, reguły dotyczące haseł. Ustawienie zmienia się w jednym obiekcie zasad, a komputery pobierają je przy starcie i cyklicznie w trakcie pracy.

W efekcie nowe stanowisko dostaje ten sam zestaw ustawień co pozostałe, a zmiana uprawnień sprowadza się do zmiany w koncie i w grupie, bez obchodzenia biurek.

Konta komputerów są w domenie osobnymi obiektami, tak samo jak konta osób, dlatego komputer także przenosi się między jednostkami organizacyjnymi i obejmuje innym zestawem zasad. Jednostki organizacyjne odwzorowują zwykle podział na działy albo lokalizacje, a zasady z poziomu wyższego dziedziczą się w dół, o ile nie zostaną nadpisane. Tam, gdzie praca zależy od logowania, stawia się drugi kontroler domeny i pilnuje replikacji między nimi, żeby awaria jednej maszyny nie zatrzymywała logowania.