Windows domain tree nazionale dellINFN Riunione CCR 992019

Windows domain tree nazionale dell’INFN Riunione CCR 9/9/2019 Andrea Chierici, Massimo Pistoni

Premessa • Durante una riunione sull’applicazione delle Misure Minime per l’Amministrazione Centrale si è discusso sull’opportunità di avere un controllo centralizzato dei PC con OS MS-Windows attraverso un sistema basato su Windows Domain • Il DG, nell’ottica di minimizzare e ottimizzare l’attività di gestione dei PC (non solo quelli di AC), ha suggerito la creazione di un’infrastruttura di dominio centrale per le sedi Romane (incluso LNF) • Anche se potrebbe creare uno sforzo maggiore, perché non discutere di un’infrastruttura nazionale che coinvolga tutte le sedi dell’INFN che hanno questa stessa esigenza? 06/09/19 Riunione CCR Presidenza 2

Attività recente • Abbiamo quindi effettuato una «chiamata» via mail a più liste: • Sottoposto un questionario per capire cosa già esiste nelle varie sedi in termini di infrastruttura di Windows Domain • Ma anche per avere una risposta sull’interesse a partecipare al progetto di un Domain Tree nazionale • Nel frattempo Andrea Chierici ha organizzato un incontro virtuale con tecnici Microsoft per avere risposta ad una serie di dubbi tecnici e implementativi (avvenuta venerdì 6 settembre alle ore 14) 06/09/19 Riunione CCR Presidenza 3

Risultati del questionario (l’esistente) 2) Esiste già un Windows Domain in produzione nella vostra sede • 24 Risposte Ottenute: 12 NO, 12 SI (GE, TS, CT, LNF, RM 2, CNAF, BO, FI, TO, PI, PD, RM 1, LE dismesso) 5) Numero di clients agganciati al domain • Totale circa 550 6) Utilizzo prevalente: • In genere per la gestione di tutti i PC Win (pochi differenziano le group policies per OU) 7) Integrazione degli account Active Directory • Solo 3 sedi integrano AD con AAI (LNF, BO, PD, LE dismesso) 06/09/19 Riunione CCR Presidenza 4

Risultati del questionario (dich. d’interesse) 8) Siete interessati ad un Windows Domain Tree nazionale • 13 NO, 10 SI e 1 Non credo • SI: GE, CT, LNF, RM 2, LNS, LNL, CNAF, BA, PI, RM 1 9) Siete interessati, in alternativa, a definire una Organization Unit per la vostra sede su un dominio centrale e nazionale • 12 NO, 10 SI, 1 non credo e 1 non so valutare • SI: TIFPA, RM 2, RM 3, LNL, FE, CNAF, LE, MIB, PG, RM 1 06/09/19 Riunione CCR Presidenza 5

Risultati del questionario (dich. d’intento) 10) Interessati a partecipare alla fase di sviluppo e test: • 6 NO, 16 SI, 1 Si se avessi risorse, 1 Si se vantaggioso, 1 tendenzialmente SI • SI: GE, CT, TIFPA, LNF, RM 2, LNS, RM 3, LNL, FE, CNAF, BO, LE, MIB, BA, PI, PD, RM 1 11) interessati a partecipare alla gestione • 13 NO, 5 SI, 2 Tendenzialmente SI, 1 da valutare successivamente, 1 SI se vantaggioso, 1 SI se ci saranno risorse, 1 dovrei coinvolgere il Direttore (che interpreto come intenzionalmente SI) • SI: FE, LNF, LNS, LE, BA, PD, RM 1 06/09/19 Riunione CCR Presidenza 6

Incontro Virtuale con Microsoft (6/9/2019) • Presentata la localizzazione geografica dell’INFN e la relativa struttura informatica • Rappresentate esigenze, soprattutto in relazione all’ottimizzazione della gestione di risorse Client Windows in applicazione delle Misure minime dell’AGID e del GDPR • Introdotto il nostro sistema di AAI • Descritte le esigenze di autonomia gestionale delle singole sedi e conseguente necessità di delega amministrativa 06/09/19 Riunione CCR Presidenza 7

Suggerimenti Microsoft (1) • Realizzazione di un singolo Dominio per l’INFN con server multimaster distribuiti nelle sedi meglio connesse e/o con maggior bacino di utenza • Si potrebbe creare il dominio: «win. infn. it» • Non è necessario fare ragionamenti di HA in stile servnaz • Ogni sede viene gestita come una o più OU a cui viene data delega di gestione amministrativa «confinata» • «lnf. win. infn. it» , «cnaf. win. infn. it» • Porre attenzione ai permessi dati agli amministratori locali alle OU 06/09/19 Riunione CCR Presidenza 8

Suggerimenti Microsoft (2) • Relazione di trust con il dominio INFN. IT e creazione degli utenti (in sync con AAI) • Meccanismo delicato • Nelle sedi che ne sentono l’esigenza, implementazione di server agganciati al dominio centrale per l’espletamento di specifiche funzioni locali (File sharing, print serving, WSUS, WDS, etc. ) • Meccanismo per rendere più agevole la migrazione dal dominio locale di sede pre-esistente a quello centrale • relazione di trust tra locale e centrale 06/09/19 Riunione CCR Presidenza 9

Domande? Proposte? 06/09/19 Riunione CCR Presidenza 10