Planeamiento de la implementación de SAP con SAP Deployment Automation Framework

SAP Deployment Automation Framework es una herramienta de orquestación de código abierto que automatiza las implementaciones de SAP en Azure mediante Terraform y Ansible. Antes de realizar la implementación, debe planear las suscripciones, la administración de credenciales y el diseño de red virtual.

En este artículo se describen las decisiones clave de planeación que debe tomar antes de empezar a implementar. Para conocer las consideraciones de diseño genéricas de SAP en Azure, consulte Introducción a un escenario de adopción de SAP.

Planeación de la suscripción

Implemente el plano de control y las zonas de carga de trabajo en distintas suscripciones. El plano de control debe residir en una suscripción de concentrador que hospede los componentes de administración del marco de automatización de SAP.

Aloje los sistemas SAP en suscripciones 'spoke', que están dedicadas a los sistemas SAP. Por ejemplo, puede hospedar sistemas de desarrollo en una suscripción independiente con una red virtual dedicada. Los sistemas de producción pueden residir dentro de su propia suscripción con una red virtual dedicada.

Este enfoque proporciona un límite de seguridad y una separación clara de tareas y responsabilidades. Por ejemplo, el equipo de SAP Basis puede implementar sistemas en las zonas de carga de trabajo y el equipo de infraestructura puede administrar el plano de control.

Planeamiento del plano de control

Realice las actividades de implementación y configuración desde Azure Pipelines o mediante los scripts de shell proporcionados directamente desde máquinas virtuales Linux hospedadas en Azure. Este entorno se conoce como plano de control. Para configurar Azure DevOps para el marco de implementación, consulte Set up Azure DevOps for SAP Deployment Automation Framework. Para configurar máquinas virtuales Linux como implementador, consulte Configuración de máquinas virtuales Linux para SAP Deployment Automation Framework.

Antes de diseñar el plano de control, considere las siguientes preguntas:

• ¿En qué regiones necesita implementar sistemas SAP?
• ¿Hay una suscripción dedicada para el plano de control?
• ¿Existe una credencial de implementación dedicada (principal de servicio) para el plano de control?
• ¿Hay una red virtual existente o se necesita una nueva red virtual?
• ¿Cómo se proporciona Internet saliente para las máquinas virtuales?
• ¿Va a implementar Azure Firewall para la conectividad saliente a Internet?
• ¿Se necesitan puntos de conexión privados para las cuentas de almacenamiento y el almacén de claves?
• ¿Va a usar una zona de private DNS existente para las máquinas virtuales o usar el plano de control para hospedar DNS privado?
• ¿Va a usar Azure Bastion para proteger el acceso remoto a las máquinas virtuales?
• ¿Va a usar la aplicación web de configuración del Marco de automatización de la implementación de SAP para realizar actividades de configuración e implementación?

Plano de control

El plano de control proporciona los siguientes servicios:

• Máquinas virtuales de implementación, que realizan implementaciones de Terraform y configuración de Ansible y actúan como Azure DevOps agentes autohospedados.
• Un almacén de claves que contiene las credenciales de implementación (principales de servicio) que usa Terraform cuando realiza las implementaciones.
• Azure Firewall para proporcionar conectividad saliente a Internet.
• Azure Bastion para proporcionar acceso remoto seguro a las máquinas virtuales implementadas.
• Una aplicación web de Azure de configuración de SAP Deployment Automation Framework para realizar actividades de configuración e implementación.

El plano de control se define mediante dos archivos de configuración, uno para el implementador y otro para la biblioteca SAP.

El archivo de configuración del implementador define la información de la región, el nombre del entorno y la red virtual. Por ejemplo:

# Deployer Configuration File
environment = "MGMT"
location = "westeurope"

management_network_logical_name = "DEP01"

management_network_address_space = "10.170.20.0/24"
management_subnet_address_prefix = "10.170.20.64/28"

firewall_deployment = true
management_firewall_subnet_address_prefix = "10.170.20.0/26"

bastion_deployment = true
management_bastion_subnet_address_prefix = "10.170.20.128/26"

use_webapp = true

webapp_subnet_address_prefix = "10.170.20.192/27"
deployer_assign_subscription_permissions = true

deployer_count = 2

use_service_endpoint = false
use_private_endpoint = false
public_network_access_enabled = true

Consideraciones sobre DNS

Al planear la configuración de DNS para el marco de automatización, tenga en cuenta las siguientes preguntas:

• ¿Existe un DNS privado existente con el que las soluciones se pueden integrar o necesita usar una zona DNS privada personalizada para el entorno de implementación?
• ¿Va a usar direcciones IP predefinidas para las máquinas virtuales o permitir que Azure asignarlas dinámicamente?

Para integrarse con una zona DNS privada existente, proporcionar los siguientes valores en los archivos tfvars.

management_dns_subscription_id = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
#management_dns_resourcegroup_name = "RESOURCEGROUPNAME"
use_custom_dns_a_registration = false

Sin estos valores, se crea una zona DNS privada en el grupo de recursos de la biblioteca de SAP.

Para obtener más información, vea la explicación detallada de cómo configurar el implementador.

Configuración de la biblioteca de SAP

El grupo de recursos de biblioteca de SAP proporciona almacenamiento para soporte de instalación de SAP, archivos de lista de materiales, archivos de estado de Terraform y, opcionalmente, las zonas DNS privadas. El archivo de configuración define la región y el nombre del entorno de la biblioteca SAP. Para obtener información y ejemplos de parámetros, consulte Configuración de la biblioteca de SAP para la automatización.

Planeamiento de las zonas de cargas de trabajo

La mayoría de los escenarios de aplicación de SAP tienen particiones en distintos niveles. En el Marco de automatización de la implementación de SAP, estos niveles se denominan zonas de carga de trabajo. Por ejemplo, puede tener diferentes zonas de carga de trabajo para el desarrollo, la garantía de calidad y los sistemas de producción. Para más información, consulte Zonas de carga de trabajo.

La zona de carga de trabajo proporciona los siguientes servicios compartidos para las aplicaciones de SAP:

• Azure Virtual Network, para redes virtuales, subredes y grupos de seguridad de red.
• Azure Key Vault, para almacenar la máquina virtual y las credenciales del sistema SAP.
• Cuentas de Azure Storage para diagnósticos de arranque y testigo en la nube.
• Almacenamiento compartido para los sistemas SAP, ya sea Azure Files o Azure NetApp Files.

Antes de realizar el diseño de la zona de carga de trabajo, tenga en cuenta las siguientes preguntas:

• ¿En qué regiones necesita implementar cargas de trabajo?
• ¿Cuántas zonas de carga de trabajo requiere su escenario (desarrollo, control de calidad y producción)?
• ¿Va a realizar la implementación en nuevas redes virtuales o usa redes virtuales existentes?
• ¿Qué tipo de almacenamiento necesita para el almacenamiento compartido (Azure Files recurso compartido de archivos de red (NFS) o Azure NetApp Files)?
• ¿Va a implementar NAT Gateway para la conectividad saliente a Internet?

La convención de nomenclatura predeterminada para las zonas de carga de trabajo es [ENVIRONMENT]-[REGIONCODE]-[NETWORK]-INFRASTRUCTURE. Por ejemplo, DEV-WEEU-SAP01-INFRASTRUCTURE es para un entorno de desarrollo hospedado en la región Oeste de Europa mediante la red virtual SAP01. PRD-WEEU-SAP02-INFRASTRUCTURE es para un entorno de producción hospedado en la región Oeste de Europa mediante la red virtual SAP02.

Las designaciones SAP01 y SAP02 definen los nombres lógicos de las redes virtuales de Azure. Se pueden usar para crear particiones adicionales de los entornos. Supongamos que necesita dos Azure redes virtuales para la misma zona de carga de trabajo. Por ejemplo, puede tener un escenario de varias suscripciones en el que hospede entornos de desarrollo en dos suscripciones. Puede usar los distintos nombres lógicos para cada red virtual. Por ejemplo, puede usar DEV-WEEU-SAP01-INFRASTRUCTURE y DEV-WEEU-SAP02-INFRASTRUCTURE.

Para obtener más información, consulte Configuración de una implementación de zona de carga de trabajo para la automatización.

implementaciones basadas en Windows

Al realizar implementaciones basadas en Windows, las máquinas virtuales de la red virtual de la zona de carga de trabajo deben poder comunicarse con Active Directory para unir las máquinas virtuales de SAP al dominio de Active Directory. El nombre DNS proporcionado debe resolverse mediante Active Directory.

SAP Deployment Automation Framework no crea cuentas en Active Directory, por lo que las cuentas deben crearse previamente y almacenarse en el almacén de claves de zona de carga de trabajo.

Configuración de DNS

Para escenarios de alta disponibilidad, se necesita un registro DNS en el Active Directory para el clúster de servicios centrales de SAP. El registro DNS debe crearse en la zona DNS de Active Directory. El nombre del registro DNS se define como [sid]>scs[scs instance number]cl1. Por ejemplo, w01scs00cl1 se usa para el clúster, con W01 para el SID y 00 para el número de instancia.

Administración de credenciales

El marco de automatización usa los principios de servicio para la implementación de la infraestructura. Se recomienda usar diferentes credenciales de implementación (entidades de servicio) para cada zona de carga de trabajo. La plataforma almacena estas credenciales en el almacén de claves del implementador. A continuación, el marco recupera estas credenciales dinámicamente durante el proceso de implementación.

Administración de credenciales de máquina virtual y SAP

La infraestructura de automatización utiliza el almacén de claves de la zona de carga de trabajo para almacenar tanto las credenciales de usuario de automatización como las credenciales del sistema SAP. En la tabla siguiente se enumeran los nombres de las credenciales de la máquina virtual.

Creación de la entidad de servicio

Para crear la entidad de servicio:

1. Inicie sesión en el CLI de Azure con una cuenta que tenga permisos para crear un principal de servicio.

2. Crear una nueva principal de servicio ejecutando el comando az ad sp create-for-rbac. Asegúrese de usar un nombre descriptivo para --name. Por ejemplo:

   az ad sp create-for-rbac --role="Contributor" --scopes="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e" --name="DEV-Deployment-Account"
   

3. Observe la salida. Necesita el identificador de aplicación (appId), la contraseña (password) y el identificador de inquilino (tenant) para el paso siguiente. Por ejemplo:

   {
       "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
       "displayName": "DEV-Deployment-Account",
       "name": "http://DEV-Deployment-Account",
       "password": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
       "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

4. Asigne el rol Administrador de acceso de usuario a la entidad de servicio. Por ejemplo:

   az role assignment create --assignee <your-application-ID> --role "User Access Administrator" --scope /subscriptions/<your-subscription-ID>/resourceGroups/<your-resource-group-name>
   

Para más información, consulte la Documentación de la CLI de Azure para crear una entidad de servicio.

Administración de permisos

En un entorno bloqueado, es posible que tenga que asignar otro permiso a las entidades de servicio. Por ejemplo, quizá deba asignar a la entidad de servicio el rol Administrador de acceso de usuario.

Permisos necesarios

En la tabla siguiente se muestran los permisos necesarios para los principales de servicio.

Configuración de firewall

Pruebe la conectividad a las direcciones URL desde una máquina virtual Linux en Azure mediante un script de PowerShell que use la característica run-command en Azure.

En el ejemplo siguiente se muestra cómo probar la conectividad con las direcciones URL mediante un script interactivo de PowerShell.

$sdaf_path = Get-Location
if ( $PSVersionTable.Platform -eq "Unix") {
    if ( -Not (Test-Path "SDAF") ) {
      $sdaf_path = New-Item -Path "SDAF" -Type Directory
    }
}
else {
    $sdaf_path = Join-Path -Path $Env:HOMEDRIVE -ChildPath "SDAF"
    if ( -not (Test-Path $sdaf_path)) {
        New-Item -Path $sdaf_path -Type Directory
    }
}

Set-Location -Path $sdaf_path

git clone https://github.com/Azure/sap-automation.git

cd sap-automation
cd deploy
cd scripts

if ( $PSVersionTable.Platform -eq "Unix") {
 ./Test-SDAFURLs.ps1
}
else {
 .\Test-SDAFURLs.ps1
}

Estructura de DevOps

El marco de implementación usa tres repositorios independientes para los artefactos de implementación. Para sus propios archivos de parámetros, es un procedimiento recomendado mantener estos archivos en un repositorio de control de código fuente que administre.

Repositorio principal

Este repositorio contiene los archivos de parámetros de Terraform y los archivos necesarios para los cuadernos de estrategias de Ansible para todas las zonas de carga de trabajo e implementaciones del sistema.

Cree este repositorio clonando el repositorio de arranque de SAP Deployment Automation Framework en su repositorio de control de código fuente.

Estructura de carpetas

En la siguiente jerarquía de carpetas de ejemplo se muestra cómo estructurar los archivos de configuración junto con los archivos del marco de automatización.

El nombre del archivo de parámetros se convierte en el nombre del archivo de estado de Terraform. Asegúrese de usar un nombre de archivo de parámetro único por este motivo.

Repositorio de código

Este repositorio contiene las plantillas de automatización de Terraform, los cuadernos de estrategias de Ansible y las canalizaciones y scripts de implementación. En la mayoría de los casos de uso, considere este repositorio como de solo lectura y no lo modifique.

Para crear este repositorio, clone el repositorio SAP Deployment Automation Framework en el repositorio de control de código fuente.

Asigne a este repositorio el nombre sap-automation.

Repositorio de ejemplo

Este repositorio contiene los archivos de ejemplo de Bill of Materials y los archivos de configuración de Terraform de ejemplo.

Para crear este repositorio, clone el repositorio de ejemplos SAP Deployment Automation Framework en el repositorio de control de código fuente.

Asigne a este repositorio el nombre samples.

Escenarios de implementación habilitados

El marco de automatización admite la implementación en escenarios nuevos y existentes.

regiones de Azure

Antes de implementar una solución, es importante tener en cuenta qué regiones de Azure usar. Es posible que diferentes regiones de Azure estén dentro del alcance en función de su escenario específico.

El marco de automatización admite implementaciones en varias regiones de Azure. Cada región hospeda:

• La infraestructura de implementación.
• La biblioteca de SAP con ficheros de estado y medios de instalación.
• Zonas de carga de trabajo 1-N.
• De 1 a N sistemas SAP en las zonas de cargas de trabajo.

Entornos de implementación

Si va a admitir varias zonas de carga de trabajo en una región, use un identificador único para el entorno de implementación y la biblioteca SAP. No use el identificador para la zona de carga de trabajo. Por ejemplo, use MGMT con fines de administración.

El marco de automatización también admite tener el entorno de implementación y la biblioteca SAP en suscripciones independientes de las zonas de carga de trabajo.

El entorno de implementación proporciona los siguientes servicios:

• Una o varias máquinas virtuales de implementación, que realizan las implementaciones de infraestructura mediante Terraform y realizan la configuración del sistema y la instalación de SAP mediante cuadernos de estrategias de Ansible.
• Un almacén de claves, que contiene información de identidad de la entidad de servicio para su uso por las implementaciones de Terraform.
• Un componente Azure Firewall, que proporciona conectividad saliente a Internet.

El archivo de configuración de implementación define la región, el nombre del entorno y la información de red virtual. Por ejemplo:

# The environment value is a mandatory field, it is used for partitioning the environments, for example (PROD and NP)
environment = "MGMT"

# The location/region value is a mandatory field, it is used to control where the resources are deployed
location = "westeurope"

# management_network_address_space is the address space for management virtual network
management_network_address_space = "10.10.20.0/25"

# management_subnet_address_prefix is the address prefix for the management subnet
management_subnet_address_prefix = "10.10.20.64/28"

# management_firewall_subnet_address_prefix is the address prefix for the firewall subnet
management_firewall_subnet_address_prefix = "10.10.20.0/26"

# management_bastion_subnet_address_prefix is a mandatory parameter if bastion is deployed and if the subnets are not defined in the workload or if existing subnets are not used
management_bastion_subnet_address_prefix = "10.10.20.128/26"

deployer_enable_public_ip = false

firewall_deployment = true

bastion_deployment = true

Para obtener más información, vea la explicación detallada de cómo configurar el implementador.

Estructura de la zona de carga de trabajo

La mayoría de las configuraciones de SAP tienen varias zonas de carga de trabajo para diferentes niveles de aplicación. Por ejemplo, puede tener diferentes zonas de carga de trabajo para desarrollo, control de calidad y producción.

Cree o conceda acceso a los siguientes servicios en cada zona de carga de trabajo:

• Azure Virtual Networks, para Redes Virtuales, subredes y grupos de seguridad de red.
• Azure Key Vault, para las credenciales del sistema y la entidad de servicio de implementación.
• cuentas de Azure Storage, para diagnósticos de arranque y Cloud Witness.
• Almacenamiento compartido para los sistemas SAP, ya sea Azure Files o Azure NetApp Files.

Antes de realizar el diseño de la zona de carga de trabajo, tenga en cuenta las siguientes preguntas:

• ¿Cuántas zonas de carga de trabajo necesita el escenario?
• ¿En qué regiones necesita implementar cargas de trabajo?
• ¿Cuál es su escenario de implementación?

Para obtener más información, consulte Configuración de una implementación de zona de carga de trabajo para la automatización.

Configuración del sistema SAP

El sistema SAP contiene todos los componentes de Azure necesarios para hospedar la aplicación SAP.

Antes de configurar el sistema SAP, tenga en cuenta las siguientes preguntas:

• ¿Qué back-end de base de datos desea usar?
• ¿Cuántos servidores de base de datos necesita?
• ¿Su escenario requiere alta disponibilidad?
• ¿Cuántos servidores de aplicaciones necesita?
• ¿Cuántos distribuidores web necesita, si los hay?
• ¿Cuántas instancias de servicios centrales necesita?
• ¿Qué tamaño necesita la máquina virtual?
• ¿Qué imagen de máquina virtual desea usar? ¿La imagen está en Azure Marketplace o personalizada?
• ¿Va a implementar en un escenario de implementación nuevo o existente?
• ¿Cuál es la estrategia de asignación de IP? ¿Desea que Azure establezca direcciones IP o usar configuraciones personalizadas?

Para obtener más información, consulte Configuración del sistema de SAP para la automatización.

Flujo de implementación

Al planear una implementación, es importante tener en cuenta el flujo general. Hay tres pasos principales de una implementación de SAP en Azure con el marco de automatización.

1. Implemente el plano de control. En este paso se implementan componentes para admitir el marco de automatización de SAP en una región de Azure especificada.

   1. Crear el entorno de implementación.
   2. Crear almacenamiento compartido para archivos de estado de Terraform.
   3. Crear almacenamiento compartido para medios de instalación de SAP.

2. Desplegar la zona de carga de trabajo. Este paso despliega los componentes de la zona de cargas de trabajo, como la red virtual y las bóvedas de claves.

3. Implemente el sistema. Este paso incluye la infraestructura para la implementación del sistema SAP y la configuración e instalación de SAP.

Convenciones de nomenclatura

El marco de automatización usa una convención de nomenclatura predeterminada. Si desea usar una convención de nomenclatura personalizada, planee y defina los nombres personalizados antes de la implementación. Para obtener más información, vea Configurar la convención de nomenclatura.

Dimensionamiento del disco

Si desea configurar tamaños de disco personalizados, asegúrese de planear la instalación personalizada antes de la implementación.

Contenido relacionado

• Introducción a SAP Deployment Automation Framework
• Configuración del plano de control
• Configuración de una implementación de zona de carga de trabajo
• Implementación manual del marco de automatización