Linux довольно трудоемко, требует высокои квалификации технического персонала. Кроме того, открытые продукты обычно обладают урезанным функционалом или не удовлетворяют приемлемому уровню качества.
Таким образом, традиционная схема использования программных продуктов приводит к риску снижения уровня информатизации общего образования, ухудшению качества подготовки школьников в области современных информационных технологии.
Решением проблемы может стать использование облачных технологии, предполагающих виртуализацию и перенос вычислительных ресурсов в центры обработки данных поставщиков облачных услуг. Облачная система может работать на основе механизма DaaS (Desktop as a Service, рабочии стол в качестве сервиса), направленного на предоставление каждому учащемуся виртуальнои машины и виртуального окружения (виртуального рабочего стола) со всем необходимым для обучения установленным программным обеспечением. Доступ к виртуальному окружению осуществляется учащимися удаленно с использованием компьютеров образовательных организации (которые могут иметь устаревшую конфигурацию) или мобильных устроиств (ноутбуков, планшетных компьютеров, смартфонов). Однако в этом случае организация также должна закупить или арендовать необходимое программное обеспечение.
Альтернативныи механизм предполагает предоставление удаленного доступа к конкретному программному продукту с использованием модели SaaS (Software as a Service). К сожалению, наиболее популярные SaaS-службы Microsoft Office 365 и Google Apps предоставляются зарубежными компаниями, что в перспективе может привести к проблемам доступа и входит в противоречие со стратегиеи импортозамещения.
Для сокращения издержек наиболее выгодно организовать совместное использование всеми образовательными организациями региона типовых программных конфигурации, включающих лицензии на платные продукты. При этом виртуальные ресурсы для запуска конфигурации также проще арендовать у облачных проваидеров. Однако в настоящее время отсутствуют разработки централизованных систем управления облачными ресурсами, которые учитывали бы специфику работы образовательных организации – периодичность расписании, наличие времени начала и окончания использования виртуальных машин во время занятии (с учетом поурочных планов), ограничения плавающих лицензии. Поэтому разрабатываемые решения будут иметь принципиальную новизну в сравнении с существующими разработками.
Рассмотрим существующие решения для образовательных целеи, использующие облачные технологии для предоставления удаленного доступа к виртуальным окружениям и ПО.
Национальныи исследовательскии университет ЮУрГУ разработал облачную
образовательную платформу «Персональныи виртуальныи компьютер» [
В статье [
Статья [
Совершенно другои подход предложен Justin Cappos, Ivan Beschastnikh, Arvind Krishnamurthy
и Tom Anderson в статье [
Идея использования обычных компьютеров, вместо высокопроизводительных серверов,
для построения облачных образовательных систем представлена в работах [
В работе [
Ранее нами были разработаны [
Более эффективное решение предлагается в рамках данного проекта – использование ресурсов одного из существующих отечественных облачных проваидеров, предлагающих гибкую систему оплаты. В этом случае оплачиваются только реально потребляемые виртуальными машинами ресурсы процессоров, оперативнои и дисковои памяти, СХД, сетевого трафика, что приводит к значительнои экономии. При использовании сторонних облачных проваидеров, в отличие от собственного ЦОД, задача планирования виртуальных машин принимает новую форму – теперь ресурсные ограничения не учитываются, а принимаются во внимание только ограничения плавающих лицензии ПО и поурочных планов предметов, преподаваемых в образовательных организациях.
Отечественные проваидеры облачных DaaS-услуг (Desktop as a Service, рабочии стол в качестве сервиса) не позволяют гибко управлять набором ПО, разворачиваемом в виртуальных машинах виртуальных классов, а также не предоставляют возможность планировать запуск и остановку виртуальных окружении по расписанию. Поэтому наиболее адекватным решением является использование ресурсов отечественных проваидеров IaaS-услуг (например, Active Cloud, RTCLOUD), поверх которых реализуются собственные DaaS-услуги. С целью балансировки нагрузки и повышения отказоустоичивости РЦКД может использовать ресурсы нескольких проваидеров. Основными пользователями системы являются: а) учащиеся, осуществляющие подключение к виртуальным машинам виртуальных классов и работу с виртуальными окружениями, которые содержат платное и бесплатное ПО для уроков; б) администраторы образовательных организации, отвечающие за создание и конфигурирование виртуальных классов (указание предметов и поурочных планов с необходимым ПО), составление расписания их работы, создание профилеи учащихся;
в) глобальныи администратор системы, решающии задачи на уровне всего РЦКД, включая: управление учетными записями, лицензиями, образами, дисками, сервисами и их обслуживанием.
Виртуальныи класс представляет собои группу виртуальных машин, запущенных в них служб терминалов/контеинеров, которые реализуют необходимое виртуальное окружение, содержащее ПО и материалы для учебных занятии. Доступ к виртуальному классу осуществляется удаленно через сеть Интернет с физических компьютеров учащихся или школьных классов.
Для каждого виртуального класса задается список предметов, для которых он используется. В свою очередь, для каждого предмета определяется поурочныи план, в котором для каждого урока задан список необходимого программного обеспечения. Также известен максимальныи размер виртуального класса.
При создании виртуального класса администратором образовательнои организации он выбирает базовыи дисковыи образ (c однои из версии ОС Windows или с дистрибутивом Linux) и LDAP сервер
Биллинг Виртуальный сервер
БД Шлюз к СХД провайдера Пользовательское хранилище
Данные расписания, учет работы Работа с образами Виртуальный сервер Дфоасйтлуапмк хранилища
Работа с расписанием и образами Виртуальный сервер доступа Расписание Подготовка образов Запуск серверов Виртуальный сервер обслуживания системы Управление запуском и остановкой серверов Установка лицензий и программ Команды
API Система хранения данных провайдера Интерфейс управления облаком провайдера Агент связи с ВМ Сервер лицензий
Сервис развертывания программ Виртуальный сервер лицензий и программ отмечает на портале самообслуживания список необходимого программного обеспечения, которое должно быть доступно в виртуальных окружениях учащихся. Далее формируется дисковыи образ виртуального класса на основе базового образа с автоматическои установкои необходимого ПО. В рамках данного проекта предлагается следующая структура РЦКД (рис. 1).
Все виртуальные узлы системы делятся на служебные, работающие всегда (или только в рабочее время, для экономии) и рабочие, запускаемые из заранее подготовленных образов по расписанию. К группе служебных узлов относятся виртуальные машины (виртуальные сервера): а) Виртуальныи сервер доступа – предоставляет портал самообслуживания, через которыи пользователи взаимодеиствуют с РЦКД. Поддерживает протокол SSL для безопасного подключения через VNC или RDP туннели к виртуальным машинам виртуальных классов, а также использует обратныи прокси-сервис nginx для доступа к ним и распределения нагрузки на экземпляры служебных узлов.
б) Виртуальныи сервер обслуживания системы – осуществляет составление расписания запуска виртуальных машин виртуальных классов в соответствии с пожеланиями образовательных организации и лицензионными ограничениями на используемое ПО. Согласно расписанию, перед началом каждого урока виртуального класса, он использует конфигурацию (шаблон) виртуальных машин и дисковыи образ, созданные администратором образовательного учреждения, и запускает нужное количество виртуальных машин. По окончанию занятия он их останавливает.
Глобальный администратор - Управление учетными записями - Управление лицензиями - Управление образами и дисками - Техническое обслуживание
Администратор образовательной организации - Определение конфигураций виртуальных классов, предметов и поурочных планов - Составление расписания виртуальных классов - Работа с профилями учащихся Окно приложения, отображаемое по VNC/RDP/ThinApp
Учащийся - Запускклиента удаленного доступа - Работа с виртуальным окружением здесь сохраняется текущее расписание, информация об учете использования ресурсов (биллинг), сведения службы каталогов LDAP, используемые для авторизации пользователеи в РЦКД и проверки их прав доступа к различным компонентам системы.
г) Виртуальныи сервер хранилища – предоставляет собственное пользовательское хранилище данных, а также шлюз доступа к СХД проваидера (через промежуточныи API). Оно используется для хранения дисковых образов виртуальных машин классов, а также для виртуальных дисков с данными пользователеи (подключаются вторыми дисками в виртуальные машины классов).
д) Виртуальныи сервер лицензии и программ – содержит сервер лицензии, которыи управляет активациеи лицензии, а также сервисами плавающих лицензии для конкретных программ. Он также содержит сервис развертывания программ, которыи используется для автоматическои установки программ на дисковые образы при создании или изменении конфигурации виртуального класса администратором образовательнои организации. Для этои цели сервис запускает виртуальную машину на основе выбранного базового образа, затем используя SCM-систему (Software Configuration Manager), автоматически устанавливает все ПО, выбранное администратором на портале самообслуживания РЦКД, а затем сохраняет изменения в дисковыи образ, общии для виртуального класса.
К рабочим виртуальным узлам относятся виртуальные классы, которые представляют собои группы виртуальных машин с виртуальным окружением, включающим необходимые для образовательного процесса программы и материалы. Также имеются агенты связи с системои, используемые для автоматического развертывания ПО, мониторинга загруженности вычислительных ресурсов и контроля соблюдения ограничении.
Описанная общая структура РЦКД может быть охарактеризована следующим образом: - виртуальные служебные узлы работают независимо от типа виртуализации и облачного гипервизора (для повышения переносимости);
- у каждого виртуального служебного узла может быть несколько экземпляров с целью обеспечения эффективности их работы;
- виртуальные служебные узлы поддерживают синхронизацию с виртуальным сервером обслуживания системы независимо от его физического месторасположения, используя имя DNS; - вся информация о расположении и параметрах узлов, расписании запуска, состоянии задач, образов и дисков содержится в базе данных, которая реализована в виде отдельного виртуального сервера с целью повышения масштабируемости и надежности;
- точкои входа в систему является виртуальныи сервер доступа, выполняющии две основные функции – реализацию портала самообслуживания и реализацию сервера доступа пользователеи к протоколам удаленного рабочего стола через Web-шлюз;
- для реализации лицензионных ограничении предназначен виртуальныи сервер лицензирования, использующиися для активации преднастроенных образов операционных систем и программного обеспечения (включая плавающие лицензии);
- для слежения за загрузкои системы, соблюдением правил лицензирования и ограничении проваидера на каждои запущеннои виртуальнои машине работает агент управления в виде отдельнои программы, связывающеися с сервером облуживания и сервером лицензирования; - доступ к программному обеспечению пользователи получают через протоколы удаленного рабочего стола (VNC, RDP, X11);
- программныи или браузерныи клиент доступа к удаленному приложению перенаправляются перенаправляться на экземпляр виртуальнои машины, ассоциированныи с текущим расписанием клиента.
На рисунке 2 показана схема доступа клиентов к облачным приложениям. С помощью специального приложения или браузера клиент подключается к обратному прокси-сервису nginx, которыи перенаправляет запрос в зависимости от его типа либо на портал самообслуживания, либо на NoVNC-шлюз, которыи позволяет по протоколу HTTPS передавать полноценныи удаленныи экран VNC, RDP и X11. Выбор на какои именно сервер перенаправить конкретного клиента определяется согласно составленному расписанию. Эти сведения хранятся в базе данных.
На самих рабочих серверах установлены VNC сервера, позволяющие работать с фреимбуфером и транслировать только одно окно приложения. Это дает возможность однооконным приложениям работать с несколькими пользователями на одном сервере практически без увеличения накладных расходов.
Поскольку данная система должна обладать высокои производительностью в пиковые часы и экономить ресурсы во время простоя экземпляры виртуальных машин запускаются только по расписанию, составленному на основе заявок администраторов образовательных организации (например, учителеи информатики).
В рамках проекта созданы алгоритмы планирования уроков виртуальных классов на основе
интеллектуальных методов: генетических алгоритмов и имитации отжига [
- учитывать лицензионные ограничения на ПО, одновременно используемое при проведении уроков в нескольких виртуальных классах различных образовательных организации (максимальное количество одновременно работающих экземпляров ПО при плавающих лицензиях, а также обычные лицензии).
Виртуальный сервер 1
Web-cервер портала самообслуживания Обратный прокси nginx Интернет Программный клиент Сервер доступа Браузер
Сведения о перенаправлении
VNC/RDP сервер VNC/RDP сервер Виртуальный сервер 2
Программа 1 Программа 2 Программа 3 –
копия 1 Программа 3 – копия 2 Пример составленного расписания работы РЦКД на рисунке 3. Здесь каждыи пользователь подключается к своеи виртуальнои машине, которая предоставляется только ему на время урока.
Основная ось показывает время, на неи отмечены временные промежутки – интервалы времени, когда проводятся уроки. В пределах полосы каждого интервала времени возможно проведение нескольких уроков разными образовательными организациями. При этом для каждого урока может требоваться различное количество виртуальных машин, также в соответствии с темои урока указывается ПО, которое будет использоваться (возможно указание нескольких программ). Согласно указанному ПО под каждыи урок автоматически подбирается наиболее оптимальная конфигурация виртуальнои машины в соответствии с требованиями ПО (по процессору, оперативнои памяти, жесткому диску), что позволяет оптимизировать расходы на оплату ресурсов проваидеров облачных услуг.
В каждыи момент времени контролируется соблюдение лицензионных ограничении платного ПО, в частности, ограничения по максимальному количеству экземпляров одновременно работающих программ при использовании плавающих лицензии.
Пунктирнои линиеи показан график среднеи загруженности процессоров виртуальных машин. При описанном подходе, когда на одну виртуальную машину приходится один пользователь, процессор виртуальнои машины будет загружаться время от времени и в основном также простаивать. Поэтому в дальнеишем мы предлагаем использовать технологии серверов терминалов/контеинеров, которые позволяют на однои виртуальнои машине запускать одновременно программы различных пользователеи. Это повысит загруженность вычислительных ресурсов, и снизит расходы перед облачным проваидером.
С целью защиты информации в РЦКД необходима разработана технология, которая учитывает специфику работы РЦКД:
а) функционирование в публичных облачных системах одного или нескольких облачных проваидеров; б) наличие множества подключающихся удаленно не квалицированных пользователеи; в) совместное использование ресурсов виртуальных машин несколькими пользователями через службу терминалов или контеинеры; г) наличие доступа пользователеи к Интернет из виртуальных машин. Возможные цели потенциальных атакующих: а) использование ресурсов РЦКД в своих целях – для организации ботнетов, спам-сервисов, анонимных прокси-сервисов, хранения нелегитимнои информации и пр.; б) кража лицензии на ПО; в) блокировка работы РЦКД в собственных целях.
20 виртуальных машин 12 виртуальных
машин с ы т о арб »po вы Sh с«онО tPhoo к о р У в и м я слоо »po с h а S таРоб tPhoo « к о р У Школа
А Школа
Б 8 виртуальных » машин я воы авни н о с р О и « м к м о а рУ гро р п
... 8 виртуальных
машин 100 % 0% 9.00 – 9.45 Лицензии Также имеется высокая вероятность заражения виртуальных машин компьютерными вирусами, возможны хулиганские деиствия самих пользователеи.
Планируется разработать систему защиты информации РЦКД, включающую систему SIEM (Security Information and Event Management – Управление информациеи и событиями безопасности), которая агрегирует информацию из разных источников и на основе статистического анализа или использования сигнатурных правил выявляет потенциальные угрозы и атаки. Система SIEM подключается к следующим источникам (средствам защиты РЦКД): антивирусы, DLP (Data Link Prevention – системы предотвращения утечек конфиденциальнои информации), IDS (Intrusion Detection System – системы обнаружения вторжении), межсетевые экраны, журналы работы облачных сервисов, гипервизоров виртуальных машин, ОС и программ внутри виртуальных машин, сведения о загруженности вычислительных ресурсов. Для системы SIEM будут использованы стандартные средства превентивнои защиты – блокировка трафика на межсетевом экране, оповещение администратора, а также разработаны собственные, учитывающие специфику РЦКД – например, изоляция и остановка подозрительных виртуальных машин, отключение синхронизации между виртуальными ЦОД РЦКД, размещенными у разных проваидеров, в случае взлома одного из них и др.
Предусмотрено активное использование криптографических средств защиты информации: а) шифрование сведении в БД РЦКД – применение симметричных алгоритмов; б) шифрование информации пользователеи, передаваемои через Интернет – применение защищенных протоколов SSL/TLS;
в) шифрование информации, передаваемои между виртуальными ЦОД РЦКД – организация VPN-соединении.
Отказоустоичивость системы может быть обеспечена за счет использования нескольких виртуальных ЦОД РЦКД, размещаемых у различных проваидеров, а также за счет стандартных механизмов облачных систем.
Важнои особенностью проекта является предоставление учителям готовых конфигурации виртуальных машин со всем необходимым программным обеспечением, рекомендуемым в учебнометодических комплексах по школьным предметам. В рамках проекта разработаны типовые конфигурации для изучения предмета «Информатика» в 7-11 классах на основе рекомендованных Министерством образования и науки РФ учебников, входящих в федеральныи перечень.
Таким образом, широкое внедрение единого регионального центра коллективного доступа к образовательным программным продуктам на базе облачных технологии будет иметь значительныи социальныи эффект – обеспечит удаленныи доступ через интернет всем учащимся школ Оренбургскои области к практически любому ПО, необходимому в учебном процессе, что положительным образом скажется на качестве образования. Использование ресурсов россииских проваидеров облачных услуг – важныи шаг в сторону импортозамещения ПО в системе образования.
Региональныи центр коллективного доступа к образовательным программным продуктам позволит значительно снизить затраты школ и Министерства образования на закупку и установку импортных компьютеров и платных программных продуктов. Централизованное администрирование центра обеспечит его надежную и бесперебоиную работу, значительно сократит затраты на обслуживание школьных компьютерных классов.
Исследования выполнены при финансовой поддержке Министерства образования Оренбургской области (грант № 37 от 30 июня 2016 г.), РФФИ (проекты № 16-07-01004, 1647-560335), Президента Российской Федерации, стипендии для молодых ученых и аспирантов (СП-2179.2015.5).
References