Säkerhet, åtkomst och åtgärder för Netezza-migreringar

Den här artikeln är del tre i en serie i sju delar som ger vägledning om hur du migrerar från Netezza till Azure Synapse Analytics. Fokus i den här artikeln är metodtips för säkerhetsåtkomståtgärder.

Säkerhetsfrågor

I den här artikeln beskrivs anslutningsmetoder för befintliga äldre Netezza-miljöer och hur de kan migreras till Azure Synapse Analytics med minimal risk och användarpåverkan.

Den här artikeln förutsätter att det finns ett krav på att migrera de befintliga metoderna för anslutning samt användar-, roll- och behörighetsstrukturen som de är. Om inte använder du Azure Portal för att skapa och hantera ett nytt säkerhetssystem.

Mer information om säkerhetsalternativen för Azure Synapse finns i Säkerhetsdokument.

Anslutning och autentisering

Alternativ för Netezza-auktorisering

IBM Netezza-systemet erbjuder flera autentiseringsmetoder för Netezza-databasanvändare:

• Lokal autentisering: Netezza-administratörer definierar databasanvändare och deras lösenord med hjälp av kommandot CREATE USER eller via administrativa Netezza-gränssnitt. I lokal autentisering använder du Netezza-systemet för att hantera databaskonton och lösenord och för att lägga till och ta bort databasanvändare från systemet. Den här metoden är standardautentiseringsmetoden.

• LDAP-autentisering: använd en LDAP-namnserver för att autentisera databasanvändare och hantera lösenord, aktiveringar av databaskonton och inaktiveringar. Netezza-systemet använder en MODUL för pluggbar autentisering (PAM) för att autentisera användare på LDAP-namnservern. Microsoft Active Directory följer LDAP-protokollet så att det kan behandlas som en LDAP-server i LDAP-autentiseringssyfte.

• Kerberos-autentisering: använd en Kerberos-distributionsserver för att autentisera databasanvändare och hantera lösenord, aktiveringar av databaskonton och inaktiveringar.

Autentisering är en systemomfattande inställning. Användarna måste antingen autentiseras lokalt eller autentiseras med hjälp av LDAP- eller Kerberos-metoden. Om du väljer LDAP- eller Kerberos-autentisering skapar du användare med lokal autentisering per användare. LDAP och Kerberos kan inte användas samtidigt för att autentisera användare. Netezza-värddatorn stöder LDAP- eller Kerberos-autentisering endast för inloggningar av databasanvändare, inte för inloggningar till operativsystemet på värddatorn.

Auktoriseringsalternativ för Azure Synapse

Azure Synapse stöder två grundläggande alternativ för anslutning och auktorisering:

• SQL-autentisering: SQL-autentisering sker via en databasanslutning som innehåller en databasidentifierare, användar-ID och lösenord plus andra valfria parametrar. Detta är funktionellt likvärdigt med lokala Netezza-anslutningar.

• Microsoft Entra-autentisering: Med Microsoft Entra-autentisering kan du centralt hantera identiteterna för databasanvändare och andra Microsoft-tjänster på en central plats. Central ID-hantering ger en enda plats för att hantera Azure Synapse-användare och förenklar behörighetshantering. Microsoft Entra-ID kan också stödja anslutningar till LDAP- och Kerberos-tjänster, till exempel kan Microsoft Entra-ID användas för att ansluta till befintliga LDAP-kataloger om dessa ska finnas kvar efter migreringen av databasen.

Användare, roller och behörigheter

Översikt

Både Netezza och Azure Synapse implementerar databasåtkomstkontroll via en kombination av användare, roller (grupper i Netezza) och behörigheter. Båda använder SQL-standardinstruktioner CREATE USER och CREATE ROLE/GROUP -instruktioner för att definiera användare och roller samt GRANTREVOKE instruktioner för att tilldela eller ta bort behörigheter till dessa användare och/eller roller.

Konceptuellt är de två databaserna liknande och det kan vara möjligt att automatisera migreringen av befintliga användar-ID:er, grupper och behörigheter i viss utsträckning. Migrera sådana data genom att extrahera befintlig äldre användar- och gruppinformation från Netezza-systemkatalogtabellerna och generera motsvarande motsvarande CREATE USER- och CREATE ROLE-instruktioner som ska köras i Azure Synapse för att återskapa samma användar-/rollhierarki.

Efter dataextrahering använder du Netezza-systemkatalogtabeller för att generera motsvarande GRANT-instruktioner för att tilldela behörigheter (där motsvarande finns). Följande diagram visar hur du använder befintliga metadata för att generera nödvändig SQL.

Mer information finns i följande avsnitt.

Användare och roller

Informationen om aktuella användare och grupper i ett Netezza-system finns i systemkatalogvyer _v_users och _v_groupusers. Använd verktyget nzsql eller verktyg som Netezza Performance, NzAdmin eller Netezza Utility-skript för att visa användarbehörigheter. Använd till exempel kommandona dpu och dpgu i nzsql för att visa användare eller grupper med deras behörigheter.

Använd eller redigera verktygsskripten nz_get_users och nz_get_user_groups för att hämta samma information i det format som krävs.

Fråga systemkatalogvyer direkt för att hämta aktuella listor över användare och roller som definierats i systemet (om användaren har SELECT åtkomst till dessa vyer). Se exempel för att lista användare, grupper eller användare och deras associerade grupper:

-- List of users
SELECT USERNAME FROM _V_USER;

--List of groups
SELECT DISTINCT(GROUPNAME) FROM _V_USERGROUPS;

--List of users and their associated groups
SELECT USERNAME, GROUPNAME FROM _V_GROUPUSERS;

Ändra exemplet SELECT-instruktionen för att skapa en resultatuppsättning som är en serie CREATE USER- och CREATE GROUP-instruktioner genom att inkludera lämplig text som en literal i SELECT-instruktionen.

Det finns inget sätt att hämta befintliga lösenord, så du måste implementera ett schema för att allokera nya initiala lösenord i Azure Synapse.

Behörigheter

I ett Netezza-system innehåller systemtabellen _t_usrobj_priv åtkomsträttigheterna för användare och roller. Fråga dessa tabeller (om användaren har SELECT åtkomst till dessa tabeller) för att hämta aktuella listor över åtkomsträttigheter som definierats i systemet.

I Netezza representeras de enskilda behörigheterna som enskilda bitar inom fältbehörigheter eller g_privileges. Se exempel på SQL-instruktion i användargruppsbehörigheter

Det enklaste sättet att hämta ett DDL-skript som innehåller GRANT kommandon för att replikera de aktuella behörigheterna för användare och grupper är att använda lämpliga Netezza-verktygsskript:

--List of group privileges
nz_ddl_grant_group -usrobj dbname > output_file_dbname;

--List of user privileges
nz_ddl_grant_user -usrobj dbname > output_file_dbname;

Utdatafilen kan ändras för att skapa ett skript som är en serie GRANT-instruktioner för Azure Synapse.

Netezza har stöd för två klasser av åtkomsträttigheter, administratör och objekt. I följande tabeller finns en lista över Netezza-åtkomsträttigheter och deras motsvarande i Azure Synapse.

Tabellanteckningar:

1. Det finns ingen direkt motsvarighet till den här funktionen i Azure Synapse.

2. Dessa Netezza-funktioner hanteras automatiskt i Azure Synapse.

3. Funktionen Azure Synapse CREATE FUNCTION inkluderar Netezza-aggregeringsfunktionalitet.

4. Dessa funktioner hanteras automatiskt av systemet eller via Azure-portalen i Azure Synapse. Se nästa avsnitt om driftöverväganden.

Se Säkerhetsbehörigheter för Azure Synapse Analytics.

Operativa överväganden

I det här avsnittet beskrivs hur du implementerar vanliga netezza-operativa uppgifter i Azure Synapse med minimal risk och påverkan för användarna.

Precis som med alla produkter för informationslager finns det löpande hanteringsuppgifter som är nödvändiga för att hålla systemet igång effektivt och för att tillhandahålla data för övervakning och granskning. Resursutnyttjande och kapacitetsplanering för framtida tillväxt ingår också i den här kategorin, liksom säkerhetskopiering/återställning av data.

Netezza-administrationsuppgifter delas vanligtvis in i två kategorier:

• Systemadministration, som hanterar maskinvara, konfigurationsinställningar, systemstatus, åtkomst, diskutrymme, användning, uppgraderingar och andra uppgifter.

• Databasadministration, som hanterar användardatabaser och deras innehåll, läser in data, säkerhetskopierar data, återställer data och kontrollerar åtkomsten till data och behörigheter.

IBM Netezza erbjuder flera sätt eller gränssnitt som du kan använda för att utföra de olika system- och databashanteringsuppgifterna:

• Netezza-kommandon (nz*-kommandon) installeras i katalogen /nz/kit/bin på Netezza-värden. För många av de nz* kommandona måste du kunna logga in på Netezza-systemet för att få åtkomst till och köra dessa kommandon. I de flesta fall loggar användarna in som standard nz användarkonto, men du kan skapa andra Linux-användarkonton i systemet. Vissa kommandon kräver att du anger ett databasanvändarkonto, lösenord och en databas för att säkerställa att du har behörighet att utföra uppgiften.

• Netezza CLI-klientpaketen paketerar en delmängd av nz* kommandon som kan köras från Windows- och UNIX-klientsystem. Klientkommandona kan också kräva att du anger ett databasanvändarkonto, lösenord och en databas för att säkerställa att du har administratörs- och objektbehörigheter för databasen för att utföra uppgiften.

• SQL-kommandona stöder administrationsuppgifter och frågor i en SQL-databassession. Du kan köra SQL-kommandona från Netezza nzsql-kommandotolken eller via SQL-API:er som ODBC, JDBC och OLE DB-providern. Du måste ha ett databasanvändarkonto för att kunna köra SQL-kommandon med rätt behörighet för de frågor och uppgifter som du utför.

• Verktyget NzAdmin är ett Netezza-gränssnitt som körs på Windows-klientarbetsstationer för att hantera Netezza-system.

Även om hanterings- och driftuppgifterna för olika informationslager är liknande, kan de enskilda implementeringarna skilja sig åt. I allmänhet tenderar moderna molnbaserade produkter som Azure Synapse att införliva en mer automatiserad och "systemhanterad" metod (i motsats till en mer "manuell" metod i äldre informationslager som Netezza).

I följande avsnitt jämförs alternativen Netezza och Azure Synapse för olika operativa uppgifter.

Hushållningsuppgifter

I de flesta äldre informationslagermiljöer är vanliga "hushållningsuppgifter" tidskrävande. Frigör diskutrymme genom att ta bort gamla versioner av uppdaterade eller borttagna rader eller omorganisera data, loggfiler eller indexblock för effektivitet (GROOM och VACUUM i Netezza). Att samla in statistik är också en potentiellt tidskrävande uppgift som krävs efter massinmatning av data för att ge frågeoptimeraren up-todatumdata som frågekörningsplanerna ska baseras på.

Netezza rekommenderar att du samlar in statistik på följande sätt:

• Samla in statistik om obefyllda tabeller för att konfigurera intervall histogrammet som används i intern bearbetning. Den här första samlingen gör efterföljande statistiksamlingar snabbare. Kom ihåg statistik när data har lagts till.

• Samla in statistik för prototypfaser för nyligen ifyllda tabeller.

• Samla in produktionsfasstatistik efter en betydande procentandel ändringar i tabellen eller partitionen (~10 % av raderna). För stora volymer av icke-substantivvärden, till exempel datum eller tidsstämplar, kan det vara fördelaktigt att komma ihåg vid 7 %.

• Samla in produktionsfasstatistik när du har skapat användare och tillämpat verkliga frågebelastningar på databasen (upp till ungefär tre månaders frågande).

• Samla in statistik under de första veckorna efter en uppgradering eller migrering under perioder med låg CPU-användning.

Netezza-databasen innehåller många loggtabeller i dataordlistan som ackumulerar data, antingen automatiskt eller efter att vissa funktioner har aktiverats. Eftersom loggdata växer med tiden rensar du äldre information för att undvika att använda permanent utrymme. Det finns alternativ för att automatisera underhållet av de här loggarna.

Azure Synapse har möjlighet att automatiskt skapa statistik så att de kan användas efter behov. Utför defragmentering av index och datablock manuellt, enligt schema eller automatiskt. Om du använder inbyggda Azure-funktioner kan du minska den ansträngning som krävs i en migrationsprocess.

Övervakning och granskning

Netezza tillhandahåller Netezza Performance Portal för att övervaka olika aspekter av ett eller flera Netezza-system, inklusive aktivitet, prestanda, köer och resursanvändning. Netezza Performance Portal är ett interaktivt GUI som gör det möjligt för användare att öka detaljnivån i lågnivåinformation för alla diagram.

På samma sätt ger Azure Synapse en omfattande övervakningsupplevelse inom Azure Portal för att ge insikter om din arbetsbelastning i informationslagret. Azure Portal är det rekommenderade verktyget när du övervakar ditt informationslager eftersom det ger konfigurerbara kvarhållningsperioder, aviseringar, rekommendationer och anpassningsbara diagram och instrumentpaneler för mått och loggar.

Portalen möjliggör även integrering med andra Azure-övervakningstjänster som Operations Management Suite (OMS) och Azure Monitor (loggar) för att ge en holistisk övervakningsupplevelse för inte bara informationslagret utan även hela Azure-analysplattformen för en integrerad övervakningsupplevelse.

Resursanvändningsstatistik för Azure Synapse loggas automatiskt i systemet. Måtten för varje fråga omfattar användningsstatistik för CPU, minne, cache, I/O och tillfällig arbetsyta samt anslutningsinformation som misslyckade anslutningsförsök.

Azure Synapse tillhandahåller en uppsättning dynamiska hanteringsvyer (DMV:er). Dessa vyer är användbara när du aktivt felsöker och identifierar flaskhalsar i prestanda med din arbetsbelastning.

Mer information finns i Åtgärder och hanteringsalternativ för Azure Synapse.

Hög tillgänglighet (HA) och katastrofåterställning (DR)

Netezza-apparater är redundanta, feltoleranta system och det finns olika alternativ i ett Netezza-system för att möjliggöra hög tillgänglighet och haveriberedskap.

Att lägga till IBM Netezza Replication Services för haveriberedskap förbättrar feltoleransen genom att utöka redundansen i lokala och stora nätverk.

IBM Netezza Replication Services skyddar mot dataförlust genom att synkronisera data i ett primärt system (den primära noden) med data på en eller flera målnoder (underordnade). Dessa noder utgör en replikeringsuppsättning.

High-Availability Linux (kallas även Linux-HA) tillhandahåller redundansfunktionerna från en primär eller aktiv Netezza-värd till en sekundär eller standby Netezza-värd. Huvudklusterhanteringsdaemonen i Linux-HA-lösningen kallas Heartbeat. Heartbeat bevakar värdarna och hanterar kommunikations- och statuskontroller av tjänster.

Varje tjänst är en resurs.

Netezza grupperar de Netezza-specifika tjänsterna i nps-resursgruppen. När Heartbeat upptäcker problem som indikerar ett värdfel eller tjänstförlust för Netezza-användare, kan Heartbeat initiera en övergång till standbyvärden.

DRBD (Distributed Replicated Block Device) är en blockenhetsdrivrutin som speglar innehållet i blockenheter (hårddiskar, partitioner och logiska volymer) mellan värdarna. Netezza använder endast DRBD-replikering på partitionerna /nz och /export/home. När nya data skrivs till partitionen /nz och partitionen /export/home på den primära värden, gör DRBD-programvaran automatiskt samma ändringar i partitionerna /nz och /export/home på väntelägesvärden.

Azure Synapse använder databasögonblicksbilder för att tillhandahålla hög tillgänglighet för lagret. En ögonblicksbild av informationslagret skapar en återställningspunkt som kan användas för att återställa eller kopiera ett informationslager till ett tidigare tillstånd. Eftersom Azure Synapse är ett distribuerat system består en ögonblicksbild av informationslagret av många filer som finns i Azure Storage. Ögonblicksbilder samlar in inkrementella ändringar från data som lagras i ditt informationslager.

Azure Synapse tar automatiskt ögonblicksbilder under dagen och skapar återställningspunkter som är tillgängliga i sju dagar. Du kan inte ändra kvarhållningsperioden. Azure Synapse stöder ett återställningspunktmål på åtta timmar (RPO). Ett informationslager kan återställas i den primära regionen från någon av ögonblicksbilderna som tagits under de senaste sju dagarna.

Användardefinierade återställningspunkter stöds också, vilket gör att manuell utlösande av ögonblicksbilder kan skapa återställningspunkter för ett informationslager före och efter stora ändringar. Den här funktionen säkerställer att återställningspunkterna är logiskt konsekventa, vilket ger ytterligare dataskydd vid avbrott i arbetsbelastningen eller användarfel under en önskad RPO mindre än 8 timmar.

Förutom de ögonblicksbilder som beskrevs tidigare utför Azure Synapse även som standard en geo-säkerhetskopiering en gång per dag till ett kopplat datacenter. RPO för en geo-återställning är 24 timmar. Du kan återställa geo-säkerhetskopieringen till en server i alla andra regioner där Azure Synapse stöds. En geo-säkerhetskopia säkerställer att ett informationslager kan återställas om återställningspunkterna i den primära regionen inte är tillgängliga.

Arbetsbelastningshantering

Netezza innehåller olika funktioner för att hantera arbetsbelastningar:

Azure Synapse loggar automatiskt statistik över resursanvändning. Måtten omfattar användningsstatistik för CPU, minne, cache, I/O och tillfällig arbetsyta för varje fråga. Azure Synapse loggar även anslutningsinformation, till exempel misslyckade anslutningsförsök.

I Azure Synapse är resursklasser förutbestämda resursgränser som styr beräkningsresurser och samtidighet för frågekörning. Resursklasser kan hjälpa dig att hantera din arbetsbelastning genom att ange gränser för antalet frågor som körs samtidigt och på de beräkningsresurser som tilldelats till varje fråga. Det finns en kompromiss mellan minne och samtidighet.

Azure Synapse stöder följande grundläggande begrepp för arbetsbelastningshantering:

• Arbetsbelastningsklassificering: Du kan tilldela en begäran till en arbetsbelastningsgrupp för att ange prioritetsnivåer.

• Arbetsbelastningens betydelse: du kan påverka i vilken ordning en begäran får åtkomst till resurser. Som standard släpps frågor från kön först in, först ut när resurser blir tillgängliga. Med betydelsen av arbetsbelastning kan förfrågningar med högre prioritet få resurser omedelbart, oavsett kö.

• Arbetsbelastningsisolering: du kan reservera resurser för en arbetsbelastningsgrupp, tilldela maximal och minsta användning för olika resurser, begränsa de resurser som en grupp med begäranden kan använda och ange ett timeout-värde för att automatiskt döda skenande frågor.

Att köra blandade arbetsbelastningar kan innebära resursutmaningar i upptagna system. Ett lyckat arbetsbelastningshanteringsschema hanterar effektivt resurser, säkerställer högeffektiv resursanvändning och maximerar avkastningen på investeringen (ROI). Arbetsbelastningsklassificering, arbetsbelastningsbetydelse och arbetsbelastningsisolering ger mer kontroll över hur arbetsbelastningen använder systemresurser.

Arbetsbelastningshanteringsguiden beskriver de tekniker som används för att analysera arbetsbelastningen, hantera och övervaka arbetsbelastningens betydelse](.. /.. /sql-data-warehouse/sql-data-warehouse-how-to-manage-and-monitor-workload-importance.md) och stegen för att konvertera en resursklass till en arbetsbelastningsgrupp. Använd Azure Portal- och T-SQL-frågorna på DMV:er för att övervaka arbetsbelastningen för att säkerställa att tillämpliga resurser används effektivt. Azure Synapse tillhandahåller en uppsättning dynamiska hanteringsvyer (DMV:er) för övervakning av alla aspekter av arbetsbelastningshantering. Dessa vyer är användbara när du aktivt felsöker och identifierar flaskhalsar i arbetsbelastningen.

Den här informationen kan också användas för kapacitetsplanering och fastställa vilka resurser som krävs för ytterligare användare eller programarbetsbelastningar. Detta gäller även för planering av upp- och nedskalning av beräkningsresurser för kostnadseffektivt stöd för "spikiga" arbetsbelastningar, till exempel arbetsbelastningar med tillfälliga, intensiva aktivitetstoppar omgivna av perioder av sällan förekommande aktivitet.

Mer information om arbetsbelastningshantering i Azure Synapse finns i Arbetsbelastningshantering med resursklasser.

Scale compute resources (Skala beräkningsresurser)

Arkitekturen i Azure Synapse separerar lagring och beräkning, vilket gör att var och en kan skalas separat. Därför kan beräkningsresurser skalas för att uppfylla prestandakrav oberoende av datalagring. Du kan också pausa och återuppta beräkningsresurser. En naturlig fördel med den här arkitekturen är att faktureringen för beräkning och lagring är separat. Om ett informationslager inte används kan du spara på beräkningskostnader genom att pausa beräkningen.

Beräkningsresurser kan skalas upp eller ned genom att justera dataenhetsinställningarna för datalagret. Inläsnings- och frågeprestanda ökar linjärt när du lägger till fler informationslagerenheter.

Att lägga till fler beräkningsnoder ger mer beräkningskraft och möjlighet att utnyttja mer parallell bearbetning. När antalet beräkningsnoder ökar minskar antalet fördelningar per beräkningsnod, vilket ger mer beräkningskraft och parallell bearbetning för frågor. På samma sätt minskar minskande informationslagerenheter antalet beräkningsnoder, vilket minskar beräkningsresurserna för frågor.

Nästa steg

Mer information om visualisering och rapportering finns i nästa artikel i den här serien: Visualisering och rapportering för Netezza-migreringar.