Riorganizzazione dei Sistemi Informativi Comunali PROGETTO ESECUTIVO

Transcript

1 COMUNE DI CATANIA Riorganizzazione dei Sistemi Informativi Comunali Sviluppo ed integrazione dei Sistemi Informatici SottoProgetto1 Potenziamento strumenti informatici dell amministrazione comunale PROGETTO ESECUTIVO Progettista dott. ing. Sebastiano Maugeri REGULUS s.r.l. 16 febbraio 2010

2 INDICE Documenti applicabili Introduzione Descrizione generale Obiettivi realizzativi Infrastruttura di rete Dimensionamento MAN Adeguamento LAN Potenziamento ed aggiornamento piattaforma HW Infrastruttura elaborativa centrale Requisiti tecnico-funzionali Requisiti Generali Architettura tecnica Requisiti Specifici Servizi Installazione - Configurazione iniziale - Supporto Sistemistico Addestramento e Formazione Garanzia - Manutenzione - Assistenza Dotazioni IT individuali Requisiti tecnico-funzionali Requisiti Generali Requisiti Specifici Servizi Installazione - Configurazione iniziale - Supporto Sistemistico Garanzia - Manutenzione - Assistenza Strumenti di amministrazione Piattaforma LDAP Requisiti tecnico-funzionali Architettura tecnica Requisiti Generali Requisiti Specifici Servizi Installazione - Configurazione iniziale - Supporto Sistemistico Addestramento e Formazione Garanzia - Manutenzione - Assistenza Identity manager Requisiti tecnico-funzionali Architettura tecnica Pag. 2/41

3 Requisiti Generali Requisiti Specifici Servizi Installazione - Configurazione iniziale - Supporto Sistemistico Addestramento e Formazione Garanzia - Manutenzione - Assistenza Struttura di Sicurezza per Internet Requisiti tecnico-funzionali Requisiti Specifici Servizi Installazione - Configurazione iniziale - Supporto Sistemistico Addestramento e Formazione Garanzia - Manutenzione - Assistenza Network Management Requisiti tecnico-funzionali Architettura tecnica Requisiti Generali Requisiti Specifici Servizi Installazione - Configurazione iniziale - Supporto Sistemistico Addestramento e Formazione Garanzia - Manutenzione - Assistenza Desktop-Asset Management Requisiti tecnico-funzionali Architettura tecnica Requisiti Generali Requisiti Specifici Servizi Installazione - Configurazione iniziale - Supporto Sistemistico Addestramento e Formazione Garanzia - Manutenzione - Assistenza Risorse umane Metodologia ed esecuzione del progetto Attività a carico del Comune Piano di lavoro Deliverables Pag. 3/41

4 Documenti applicabili 1. Bando di gara del Comune di Catania 2. Progetto di massima Riorganizzazione dei Sistemi Informativi Comunali - Sviluppo ed integrazione dei Sistemi Informatici - D.R.G del 29/12/2008 Pag. 4/41

5 1. Introduzione Il Comune di Catania ha aggiudicato alla in data 08/10/2009 l affidamento del servizio di progettazione e direzione lavori del Progetto di riorganizzazione dei sistemi informativi comunali relativamente al SottoProgetto1 Potenziamento strumenti informatici dell amministrazione comunale. Il progetto complessivo preparato dal Comune di Catania è suddiviso in 6 sottoprogetti sotto riportati: SottoProgetto1 Potenziamento strumenti informatici dell Amministrazione Comunale SottoProgetto2 Diffusione Gestione Documentale SottoProgetto3 Interventi a supporto delle politiche di equità fiscale SottoProgetto4 Estensione dei servizi di pagamento online SottoProgetto5 Programmazione, monitoraggio e controllo di gestione dell Amm. Com. SottoProgetto6 Interventi di ammodernamento tecnologico della Sala Consiliare La descrizione degli interventi che l Amministrazione ha individuato come prioritari per il potenziamento del proprio S.I. è presente nel documento di progettazione di massima allegato al bando di gara per l assegnazione della progettazione esecutiva. Lo specifico incarico ricevuto riguarda il SottoProgetto 1, mentre per ciò che riguarda i sottoprogetti da 2 a 6 la ditta aggiudicataria è stata la ditta Xenia Progetti. Gli elaborati che la consegnerà al Comune di Catania, in riferimento all incarico ricevuto, sono i seguenti: Il presente documento, che costituisce il Progetto Esecutivo ; Il documento Computo Metrico, che contiene il dettaglio (in quantità, qualità e costo) delle forniture di beni e servizi previsti nel SottoProgetto1; Il Capitolato Speciale d Appalto per l acquisto dei beni/servizi. L analisi del Sistema Informatico del Comune di Catania rileva uno sviluppo delle infrastrutture hardware e software di base spesso non organico e non rispondente alle reali necessità di potenza di calcolo, di storage e di necessità di larghezza di banda per la comunicazione tra le varie sedi comunali. Altro aspetto che finora non è stato sufficientemente implementato è quello che riguarda la dotazione di strumenti di gestione e controllo delle apparecchiature attive di rete e dei sistemi informatici, presenti nei diversi uffici, ai tecnici del Servizio Sistemi Informativi. In base a quanto sopra evidenziato, nel SottoProgetto 1 sono stati previsti i seguenti interventi: Infrastruttura di rete MAN e LAN, Nuova piattaforma hardware centrale, Virtualizzazione e consolidamento server e storage Pag. 5/41

6 Acquisizione di strumenti software per la gestione e il controllo della rete e dei sistemi informatici, Servizi di assistenza e formazione. Nella configurazione dei componenti hardware e software sono riportati sempre i requisiti minimi richiesti. Anche la descrizione dei servizi correlati alla fornitura evidenzia gli aspetti di soglia minima da rispettare, mentre eventuali miglioramenti potranno essere inseriti nelle soluzioni offerte in fase di gara. Pag. 6/41

7 2. Descrizione generale Il progetto di massima, già richiamato prima, traccia un potenziamento più organico e controllato del S.I. comunale, programmando alcune scelte tecnologiche ed applicative che costituiranno la linea di sviluppo per i prossimi anni. Le linee guida consistono, dal punto di vista tecnologico, nel centralizzare presso il Data Center del comune l infrastruttura hardware dei server applicativi migliorando l assetto di rete a banda larga ed implementando una piattaforma di virtualizzazione delle risorse di calcolo e di consolidamento dello storage centrale, mentre per le nuove applicazioni si richiede, preferibilmente, un architettura web based che meglio si coniuga con la struttura di comunicazione ed elaborativa. Il progetto interviene, quindi, sul potenziamento degli elementi infrastrutturali di base e sullo sviluppo delle componenti applicative su settori dell amministrazione comunale ancora parzialmente o completamente non informatizzati. I requisiti riguardanti le applicazioni specifiche, illustrate nei sottoprogetti 2-5, non fanno parte del presente documento, ma le risorse di rete ed elaborative (server e client) ad esse necessarie sono tutte previste nel presente SottoProgetto1 e, pertanto, i vari progetti di competenza della società Xenia faranno riferimento alle risorse rete/hardware e piattaforma LDAP descritte nel presente documento. Il SottoProgetto1 si occupa della componente infrastrutturale del progetto generale e più specificatamente dei seguenti punti: Infrastruttura di rete MAN e LAN Nuova piattaforma hardware centrale, Virtualizzazione e consolidamento server e storage Realizzazione di una piattaforma LDAP Acquisizione di strumenti software per: Network Management Asset Management Desktop Management Identity Management Web Security Servizi di assistenza ed addestramento Il SottoProgetto6 riguarda l informatizzazione della Sala Consiliare e contiene al suo interno sia la piattaforma hardware sia le applicazioni software necessarie. Il sistema utilizzerà, ovviamente, l infrastruttura di rete MAN che collega le sedi comunali e la connessione internet centralizzata già presente. Pag. 7/41

8 2.1. Obiettivi realizzativi Gli obiettivi generali del progetto sono quelli ampiamente descritti nel Progetto di Massima approvato dalla Regione Siciliana e che sono sinteticamente riportati di seguito: Diffusione dell Informatizzazione Ampliamento e sostituzione di hardware obsoleto Potenziamento della Gestione Documentale e dell Iter dei procedimenti Sviluppo del S.I.T Potenziamento del sistema e realizzazione di un dataware per integrare: Sistemi informatici Anagrafe Sistema informatico Attività Commerciali Sistema informatico per l'urbanistica Riuso dell IDC Comunale per altre Amministrazioni (Progetto e-government Etnaonline). Formazione Sistema di Controlli interni Gli obiettivi specifici che il SottoProgetto1 si propone di raggiungere sono: Potenziare l ampiezza di banda della rete MAN di connessione delle sedi comunali. Creare un Data Center comunale che renda possibile concentrare i poli erogatori di servizi sia quelli nuovi previsti dal progetto (urbanistica, commercio) sia, in futuro, i server applicativi distaccati negli altri uffici comunali, adottando un architettura virtualizzata con server di nuova generazione per ottimizzare l utilizzo delle risorse hw, e consolidare lo storage centrale su una SAN. Adottare il modello Web Oriented per l erogazione dei nuovi servizi previsti nel presente SottoProgetto. Aggiornare ed aumentare il numero delle postazioni di lavoro. Implementare i servizi: o Piattaforma LDAP. o Gestione e monitoraggio della rete comunale. o Gestione remota delle postazioni di lavoro e degli asset informatici comunali. o Identity Management. Aumentare il livello di sicurezza e protezione dei dati e nella navigazione internet. Adottare processi definiti, ripetibili ed efficienti per il supporto tecnico interno. Il raggiungimento degli obiettivi fissati richiede, quindi, di intervenire su diverse componenti dell infrastruttura informatica. Pag. 8/41

9 3. Infrastruttura di rete Attualmente la rete di collegamento delle sedi comunali è basata, come mostrato nella figura sottostante, su una Intranet MPLS su rete SPC, che collega le sedi periferiche con linee ADSL a 2 Mbps, mentre il Data Center è connesso mediante collegamenti alla rete MPLS 16 Mbps. L accesso a Internet è centralizzato per tutte le sedi comunali ed avviene tramite un canale a 16 Mbps. I server situati dentro il Data Center sono protetti da una struttura di firewall a 2 livelli che li separano sia dall esterno sia dalla rete interna. Le linee xdsl di connessione delle sedi periferiche sono costituite da collegamenti a 2Mbps con banda garantita di 1Mbps e livello di servizio L3. Il livello L3 per l accesso internet/infranet, è caratterizzato dai seguenti parametri principali: Finestra temporale di erogazione standard: giorni feriali 08:00 sabato 20:00-08:00 14:00; Disponibilità unitaria: pari a 99,5%; Tempo di ripristino nei capoluoghi di provincia: Pag. 9/41

10 disservizi di tipo bloccante : 8h nel 95% dei casi; 12h nel 100% dei casi; disservizi di tipo non bloccante : 12h nel 95% dei casi; 20h nel 100% dei casi; disservizi di tipo anomalia : 5gg nel 100% dei casi Dimensionamento MAN Uno degli obiettivi principali del presente progetto di potenziamento del S.I. comunale è quello di virtualizzare e consolidare le risorse elaborative e di storage, questa scelta tecnologica comporta la presenza di una infrastruttura di rete MAN veloce ed efficiente. L accentramento dei server presso il Data Center del Servizio Sistemi Informativi, comporta la necessità di migliorare le prestazioni della rete esistente. Come risulta evidente da quanto prima riportato, l ampiezza di banda e il livello di servizio attualmente attivo, sono due elementi fortemente critici nell implementazione del progetto in quanto si deve assicurare una larghezza di banda di connessione adeguata al numero di utenti che necessitano di accedere alle applicazioni installate sui server centrali per non penalizzare l operatività degli operatori. L accentramento delle applicazioni comporta anche un aumento del livello di servizio per la soluzione di problemi e malfunzionamenti di rete, che non possono lasciare isolate le sedi comunali periferiche per un tempo superiore alle 6 ore. Gli interventi che si intendono effettuare sull infrastruttura di rete riguardano i due aspetti illustrati. L architettura della rete di connessione resterà immutata, ma si deve aumentare la banda disponibile nelle connessioni con le sedi periferiche e diminuire i tempi d intervento per la risoluzione dei guasti. Le modifiche tecniche e contrattuali possono essere richieste direttamente all attuale provider della rete CNIPA-SPC, la società PAth.Net. Nello specifico si prevede di modificare il contratto esistente delle linee xdsl portando la banda nominale da 2 a 4 Mbps, con banda garantita di 2 Mbps. Le sedi che saranno interessate da tale incremento di banda sono: Ufficio Indirizzo 1 Segreteria Generale Presidenza Consiglio Piazza Duomo, Palazzo degli Elefanti. 2 Ragioneria Generale Piazza Duomo, Palazzo dei Chierici. 3 Servizi Demografici via Castello Ursino. Pag. 10/41

11 4 Urbanistica via Biondi. 5 Attività Produttive Via A. di Sangiuliano. 6 Risorse Umane Piazza Gandolfo, Palazzo Gandolfo. 7 Gestione del territorio Via S.Agata, 7. L incremento di velocità di trasmissione consentirà alle sedi periferiche di utilizzare le applicazioni centralizzate nel Data Center comunale, garantendo tempi di risposta che consentono l operatività applicativa. Per garantire la continuità delle attività è necessario, come già detto, alzare il livello contrattuale relativo al servizio offerto dal provider, stipulando il nuovo contratto prevedendo il livello L5, i cui parametri principali sono riportati di seguito: Finestra temporale di erogazione estesa: H24 7 giorni su 7 Disponibilità unitaria: pari a 99,9%; Tempo di ripristino nei capoluoghi di provincia: disservizi di tipo bloccante : 4h nel 95% dei casi; 8h nel 100% dei casi; disservizi di tipo non bloccante : 8h nel 95% dei casi; 16h nel 100% dei casi; disservizi di tipo anomalia : 3gg nel 100% dei casi. Ripetitività del disservizio 1 sia per guasti di tipo bloccante che non bloccante. Nei costi di progetto sono riportati solo le differenze tra il costo attuale e quello del nuovo contratto. I costi sono calcolati secondo le tariffe della rete CNIPA-SPC Adeguamento LAN La realizzazione della nuova architettura del S.I. richiede anche il buon funzionamento delle reti locali nelle sedi periferiche. L incremento dei personal computer assegnati ai vari uffici negli ultimi anni e soprattutto la fornitura prevista con il presente progetto comportano la necessità di aumentare le prese di rete installate per collegare le nuove postazioni di lavoro, intervenendo anche sulle dorsali e sugli switch di distribuzione sostituendo le apparecchiature obsolete con dispositivi più moderni e performanti. L elevato numero di uffici comunali sparsi su tutto il territorio comunale (circa 70), ognuno con le proprie problematiche logistiche e tecniche, ha portato a compilare una tabella riassuntiva riportante, per le sedi interessate, le apparecchiature e gli interventi da effettuare. Pag. 11/41

12 Ufficio Indirizzo Punti LAN Dorsal i Apparati Rack Certificazione LAN Ragioneria Generale Palazzo dei Chierici da fare Servizi via Castello Ursino, Demografici Transito, S.Chiara da fare Urbanistica via Biondi 8 2 già fatta Personale Piazza Gandolfo da fare Segreteria Generale Presidenza Consiglio Piazza Duomo 4 già fatta Controllo di Gestione via Etnea, da fare Gestione del territorio Via S.Agata, da fare TOTALI Anche per l esecuzione degli interventi sopra indicati ci si avvarrà della convenzione CONSIP attiva per la realizzazione delle LAN, aggiudicata alla Telecom Italia s.p.a.. Tale procedura permette non solo di avviare le attività di fornitura e messa in opera in maniera veloce e snella ma anche di poter realizzare le opere previste secondo le reali necessità dell amministrazione. I costi delle opere da effettuare sono stati valutati secondo il prezzario CONSIP assumendo un valore unitario per ognuno degli item presenti nelle colonne della tabella sovrastante. Si viene così a costituire un plafond di opere, apparecchiature e servizi da utilizzare fino ad esaurimento della disponibilità. In fase di realizzazione la Direzione Lavori avrà il compito e la cura di seguire attentamente le attività, curando il conteggio tecnico-economico dell avanzamento dei lavori. Pag. 12/41

13 4. Potenziamento ed aggiornamento piattaforma HW Il SottoProgetto1 prevede un consistente intervento sul potenziamento della piattaforma hardware in dotazione agli uffici del Comune di Catania. L attuale equipaggiamento del Data Center comunale in termini di server applicativi e database consiste, come evidenziato nel Progetto di Massima, in computer di precedente generazione con forte disparità di utilizzazione della loro capacità di calcolo e con scarsa condivisione di risorse di storage centralizzato. D altro canto le apparecchiature presenti negli uffici sono sia quantitativamente insufficienti sia tecnicamente obsoleti e pertanto devono saranno soggetti ad un ampia sostituzione con computer di nuova generazione e periferiche di stampa ed acquisizione digitale. 4.1 Infrastruttura elaborativa centrale Requisiti tecnico-funzionali Le indicazioni contenute nel Progetto di Massima riguardo alle scelte tecnologiche di base gradite dall amministrazione danno chiaramente la linea di realizzare all interno del Data Center una piattaforma elaborativa di ultima generazione che preveda di sfruttare al meglio le proprietà di compattezza, risparmio energetico, potenza di calcolo e facilità di gestione che i nuovi sistemi hardware offrono. Per soddisfare tali criteri la scelta di avviare con il presente progetto la virtualizzazione dei sistemi di elaborazione ed il consolidamento dello storage appare quella più appropriata proprio perché consente di utilizzare in modo ottimale l hardware disponibile, di prolungarne la vita operativa, di ospitare più sistemi operativi e applicazioni, mettendo a disposizione strumenti per la gestione centralizzata dei server, per garantire l alta affidabilità di funzionamento delle applicazioni e per le operazioni di backup. Il SottoProgetto1 prevede di mettere a disposizione degli altri SottoProgetti2-6 tutte le risorse hardware centrali (server e storage) richieste dai nuovi servizi/applicazioni che saranno sviluppate nell ambito del progetto complessivo. Pertanto, la nuova piattaforma hardware ospiterà immediatamente le nuove applicazioni ed i nuovi servizi che saranno implementati, mentre le applicazioni client/server già esistenti ed utilizzate dal Comune di Catania saranno migrate e/o sostituite solo dopo il completamento del progetto ed avere testato a fondo il loro funzionamento sulla nuova infrastruttura. Più specificatamente, l analisi effettuata sullo stato dei sistemi esistenti nell amministrazione comunale ha portato a decidere di installare sui nuovi sistemi gli applicativi della gestione documentale, delle licenze edilizie, del commercio, l estensione dei servizi di pagamento online e le procedure per l informatizzazione del controllo di gestione. L evoluzione futura del progetto prevede di avviare il consolidamento dei CED distaccati dal Servizio Sistemi Informativi concentrando nel DC i sistemi esistenti presso il Servizio Anagrafe e il Servizio Risorse Umane, per una loro migliore gestione sistemistica e di manutenzione. Tuttavia, molta attenzione dovrà essere posta nell effettuare tali spostamenti in quanto le attuali procedure Pag. 13/41

14 sono di tipo client/server e il funzionamento in rete MAN è sicuramente penalizzato, e quindi deve essere fatta prima una sperimentazione con utilizzando la tecnologia Terminal Server per verificare di non incorrere in un degrado o blocco delle prestazioni che pregiudichi le normali attività lavorative. Per tali motivi si consiglia, per il futuro, di sostituire le vecchie applicazioni con tecnologia client/server con applicazioni web oriented native, da installare presso il DC e verificarne a fondo il funzionamento prima di rilasciarle ufficialmente in uso, evitando così di provocare disagi agli utenti Requisiti Generali Architettura tecnica Piattaforma hardware La nuova piattaforma hardware progettata per il DC del Comune di Catania è caratterizzata dalla scelta della tecnologia blade che offre numerosi benefici: Vantaggi Fisici Condivisione di risorse quali sistema di raffreddamento e cavi tramite un contenitore integrato, i sistemi blade riducono la complessità e le sovrapposizioni comuni negli stack di server. Alimentazione condivisa: trasferendo gli alimentatori dai singoli server in un contenitore condiviso, si riduce il consumo energetico e si offre maggiore disponibilità per l intera infrastruttura blade. Minore complessità dei cavi: dato che i server blade offrono connettività di rete in un enclosure condivisa, la quantità di cavi necessari diminuisce notevolmente. I server blade utilizzano solitamente l 87% di cavi in meno rispetto ai server in rack. Inoltre, le modifiche future sono semplificate poiché l enclosure deve essere cablata una volta sola durante la configurazione e non richiede cavi aggiuntivi per ogni server aggiunto. Non servono tastiera, video e mouse (KVM): dato che i server blade vengono gestiti tramite un interfaccia grafica basata sul browser, eliminano la necessità di switch e cavi individuali per tastiera, video e mouse. Dimensioni e densità: le soluzioni in blade integrate sono più piccole e occupano meno spazio rispetto alle soluzioni analoghe in rack, consentendo di risparmiare spazio IT. Inoltre, la struttura integrata offre maggiore densità, per cui i server blade sono più piccoli e più leggeri rispetto ai server in rack, e sono quindi più facili da implementare e gestire. Risparmi sui costi operativi I server blade sono più semplici da gestire rispetto ai server tradizionali. Unendo componenti di rete, server e storage condiviso, i server blade riducono la necessità di interazioni fisiche con i singoli dispositivi nell ambiente. Le aree principali in cui i server blade semplificano la gestione del sistema sono: Configurazione del server: l aggiunta di server in un ambiente blade è semplice e richiede meno tempo rispetto all espansione di un tipico ambiente in rack Continuità operativa: i server blade utilizzano tool di gestione avanzati per automatizzare e semplificare una serie di attività amministrative. Tramite un unica videata, gli amministratori possono creare ed implementare rapidamente risorse ed ambienti applicativi, ad esempio assegnare server, reti e risorse di storage in base alle esigenze aziendali. Pag. 14/41

15 Applicazioni in remoto. Maggiore disponibilità Nelle tradizionali architetture di server in rack, maggiore disponibilità equivale all acquisto di hardware aggiuntivi per la ridondanza e di connessioni e componenti esterni di rete per il supporto dei sistemi. Nei server blade, invece, la ridondanza è integrata. Inoltre, questi server offrono funzioni quali due switch VLAN, sottosistemi di alimentazione ridondanti, percorsi di dati backplane ridondanti, storage e interconnessioni di storage ridondanti, ventole ridondanti per il raffreddamento e sostituzione hot-swap del server blade per aumentare la disponibilità e semplificare la gestione. In caso di interruzioni, pianificate e non, i server blade possono essere tolti dal contenitore con facilità, aggiornati, riparati o sostituiti senza dover ripassare i cavi e senza interferire con il resto del sistema, quindi riducendo ulteriormente i tempi di inattività. Piattaforma software Lo stato dell arte della tecnologia informatica per gli aspetti riguardanti i sistemi operativi offre la possibilità di implementare sui server fisici una piattaforma operativa virtuale sulla quale creare server virtuali, indipendenti dall hardware reale ed ovviamente l uno dall altro. Tra le soluzioni di virtualizzazione presenti sul mercato è stato scelto il sistema VMware vsphere 4, che risulta essere il prodotto più completo e stabile per implementare un infrastruttura virtuale. Il prodotto presenta caratteristiche tecniche di elevate performance e sfrutta la potenza della virtualizzazione per trasformare i data center in infrastrutture di cloud computing semplificate e consentire alle organizzazioni IT di erogare servizi di nuova generazione, affidabili e flessibili, che fanno uso delle risorse interne ed esterne e garantiscono massima sicurezza e rischi contenuti. Sfruttando la potenza della collaudata piattaforma VMware Infrastructure adottata da oltre utenti, VMware vsphere consente di ridurre sensibilmente i costi operativi e di capitale ed incrementa il controllo sui servizi IT, garantendo al tempo stesso la libertà di scegliere qualunque tipo di sistema operativo, applicazione e dispositivo hardware. VMware vsphere è il primo sistema operativo cloud del settore equipaggiato dei seguenti gruppi di componenti: Servizi di infrastruttura L insieme dei componenti che consentono la virtualizzazione completa di server, storage e risorse di rete, nonché la loro aggregazione e specifica allocazione on demand alle applicazioni, sulla base delle priorità dell amministrazione. Servizi applicativi L insieme dei componenti che forniscono i controlli integrati sui livelli di servizio di tutte le applicazioni eseguite su VMware vsphere, a prescindere dal tipo di applicazione o sistema operativo adoperato. VMware vcenter Server Componente che fornisce l amministrazione dei servizi di infrastruttura e applicativi, nonché l automazione delle attività operative quotidiane assicurando massima visibilità su ogni aspetto dell ambiente VMware vsphere. Il vantaggio principale della virtualizzazione è, quindi, costituito dallo slegarsi completamente dall hardware da parte delle risorse normalmente utilizzate. Le macchine virtuali sono simulate con Pag. 15/41

16 hardware standard, ciò significa che saranno totalmente estranee al reale hardware su cui gira il sistema di virtualizzazione. Questo permette di non preoccuparsi, in fase di upgrade/sostituzione di un server ad esempio, di dover riconfigurare da zero il sistema operativo e le applicazioni necessarie, con tempistiche e problematiche conseguenti. Generalmente la migrazione di un vecchio server richiede intere giornate di lavoro per il salvataggio di dati e configurazioni, e per ripristino della normale attività aziendale, con gli strumenti messi a disposizione dalla virtualizzazione bastano poche ore per migrare completamente la risorsa, ed in alcuni casi anche in maniera del tutto trasparente, senza dover fermare i servizi messi a disposizione. Un altro vantaggio strategico fornito dalla virtualizzazione delle risorse è quello di snellire drasticamente le procedure di backup e disaster recovery, avendo copia giornaliera delle immagini virtualizzate delle risorse, sarà possibile un ripristino rapidissimo in caso di malfunzionamenti dovuti ai più disparati motivi. Ancora, i sistemi di virtualizzazione permettono la migrazione a caldo di una macchina virtuale, con gestione del failover del tutto trasparente all utente. Nel caso di un guasto hardware ad esempio, la macchina virtuale sarà automaticamente migrata su un altro server in servizio, senza alcuna interruzione operativa. Da quanto sopra detto, la virtualizzazione permette di ridurre il numero dei server fisici presenti nel DC, ottimizzando così i costi di manutenzione dell infrastruttura. Tutte le attività di installazione, configurazione ed addestramento per le componenti sopra descritte dovranno essere svolte da personale certificato Requisiti Specifici Specificatamente la configurazione prevista è costituita da un totale di 8 lame blade contenute in un apposito contenitore integrato. Come evidenziato nelle specifiche sotto riportate, due lame blade hanno una configurazione biprocessore multicore e 32 GB di ram, mentre le rimanenti sei sono monoprocessore multicore con 30 GB di ram. Questa differenzazione deriva dalla esigenza di prevedere un sistema cluster da dedicare all applicazione del Protocollo, che attualmente funziona su un sistema cluster costituito da server meno performanti. Le due lame blade biprocessore, in cluster master/slave, sono destinate al funzionamento di tale applicazione e pertanto su questi server sarà installato il sistema operativo Windows Server 2008 EE per realizzare il sistema cluster. Per gli altri sei server fisici è stato scelto di installare l ambiente operativo virtuale VMware vsphere 4 Ent. che permette di creare i server virtuali (circa 4 per ogni lama blade fisica) che saranno messi a disposizione delle nuove applicazioni previste nel progetto e gli strumenti di monitoraggio e gestione della rete e degli utenti. Tutte le lame blade hanno a bordo due hard disk da 72 GB configurati in RAID 1. La configurazione del sistema è completata dai dispositivi di connessione in fibra alla rete Ethernet ed alla SAN (Storage Area Network). Pag. 16/41

17 Il sottosistema di backup è costituito da una tape library connessa al sistema blade in fibra, offrendo una capacità di memorizzazione nativa di 38.4 TB e compressa di 76.8 TB, completo di driver, accessori e software per il backup. Il sottosistema SAN, connesso in fibra ai server blade, ha una capacità totale di 3,6 TB ed è costituito da un array a doppio controller con 12 dischi da 300 MB ciascuno, completo di accessori e cavi di collegamento. Tutte le apparecchiature descritte saranno contenute dentro un armadio standard da 19" ed altezza di 42U, completo di alimentatore da 4500VA con stabilizzatore, di monitor 17" da rack a scomparsa con tastiera e mouse, accessori di montaggio e cavi. Per installare e configurare la piattaforma elaborativa, l ambiente operativo virtuale ed i sistemi operativi sono previsti servizi di assistenza sistemistica. È contemplato l addestramento sull ambiente operativo VMware vsphere 4 Ent. E sui sistemi operativi Windows Server 2008 e Linux. Le configurazioni, le caratteristiche minime e le quantità dei prodotti e dei servizi necessari all implementazione del sistema descritto sono riportate nelle tabelle sottostanti. TABELLA SPECIFICHE MINIME U.M. Q.tà Descrizione HARDWARE # 2 # 6 IDC Server blade configurazione minima: n.2 CPU multicore a 2,9 GHz RAM 32 GB - n.2 HD (2,5") hot-plug SAS da 72 GB a giri/min Server blade configurazione minima: n.1 CPU multicore a 2,66 GHz RAM 30 GB - n.2 HD (2,5") hot-plug SAS da 72 GB a giri/min # 1 Contenitore sistemi blade completo di sistema di ventilazione, alimentazione ridondata ed accessori. # 8 Scheda host bus in fibra # 2 Modulo Ethernet Virtual Connect a 10 Gb per BladeSystem Pag. 17/41

18 # 2 SAN Switch 8/24c per BladeSystem # 2 Estensione garanzia 3 anni su SAN switch # 1 Libreria nastri Fibre Channel da rack capacità compressa 76.8 TB, nativa 38.4 TB completo di driver, sw per il backup ed accessori. Comprensivo di n. 48 cassette RW da 1,6 TB. Estensione assistenza on site 3 anni. # 1 SAN Array a doppio controller, numero max dischi supportati 12, con 12 HD da 300 GB, formato 2U, collegamenti in fibra. # 1 Armadio rack 19" 42U, alimentatore da 4500VA con stabilizzatore, completo di monitor 17" da rack a scomparsa con tastiera e mouse, accessori di montaggio e cavi. AMBIENTE OPERATIVO SISTEMA OPERATIVO VIRTUALE # 6 Licenza VMware vsphere 4 Enterp # 1 Licenza VMware vcenter Server Std SISTEMI OPERATIVI # 2 Windows Server 2008R2 64 bit E.E. GOV # 5 Windows Server Data Center 2008R2 Gov 1 Proc. 64 bit # 200 Windows Server CAL 2008 OLP NL Gov UsrCAL # 100 Windows Remote Desktop Services CAL 2008R2 OLP NL Gov UsrCAL # 5 S.O. Linux Server per ambiente virtuale Pag. 18/41

19 Servizi Installazione - Configurazione iniziale - Supporto Sistemistico Attività di assistenza sistemistica per l installazione e la configurazione dei sistemi hardware, dell ambiente virtuale VMware e dei sistemi operativi Windows Server 2008 e Linux. g/u: Addestramento e Formazione Ambiente virtuale VMware vsphere gg. 10 S.O. Windows Server 2008 gg. 3 S.O. Linux gg Garanzia - Manutenzione - Assistenza Garanzia: 3 anni. Tutti i prodotti hardware previsti nella fornitura devono avere la stessa durata della garanzia, prevedendo quindi eventuali estensioni di copertura per i prodotti che hanno termini diversi. Assistenza: intervento 4.2 Dotazioni IT individuali Requisiti tecnico-funzionali Requisiti Generali Il SottoProgetto1 prevede interventi anche per il miglioramento e l ampliamento delle dotazioni IT individuali per fornire postazioni di lavoro a chi ne è sprovvisto e ne necessita per lo svolgimento dei propri compiti, e per poter effettuare una sostituzione delle postazioni di lavoro obsolete. Il progetto prevede l acquisto di personal computer con due tipologie di configurazione: pc destinati a normale attività d ufficio e pc utilizzati per attività di CAD, SIT o grafiche, che quindi necessitano di maggiore potenza di calcolo e di capacità grafica. La fornitura sarà completata da stampanti laser ed altre periferiche (scanner e stampanti di etichette) per il sistema del protocollo, da destinare ai vari uffici comunali che ne hanno esigenza. I pc e le periferiche potranno essere acquisiti direttamente utilizzando una convenzione CONSIP attiva, che è stata presa come riferimento di costo, o, se non disponibile, mediante gara pubblica. Il software di produttività individuale che sarà distribuito è l Open Office per minimizzare i costi di licenze. Prima di essere distribuiti agli utenti finali il Servizio S.I. provvederà alla configurazione dei client installando in maniera omogenea gli strumenti, i driver, l antivirus ed eventuali agent necessari agli strumenti di gestione e monitoraggio previsti nel SottoProgetto1. Pag. 19/41

20 Requisiti Specifici Le configurazioni, le caratteristiche minime e le quantità dei prodotti previsti sono riportate nella tabella sottostante: TABELLA REQUISITI MINIMI CLIENT # 418 Personal Computer di fascia media Configurazione minima: CPU dualcore a 2 GHz RAM 2 GB Controller S-ATA HD interno da 250 GB, SATA Masterizzatore DVD +/-RW SATA 16x Porte: 1 seriale, 1 parallela, 6 USB 2.0 (2 frontali) Scheda grafica: integrata con 128 MB di memoria condivisa Scheda di rete 10/100 Base-TX, 1000Base-T Tastiera standard e mouse ottico con scroll a 2 pulsanti Smart Card reader USB con sw Cavi: monitor, alimentazione pc e monitor, connessione alla rete (3 m) SW preinstallato: S.O.: Windows 7 Home Premium autentico Antivirus Monitor: LCD TFT 19" # 30 Personal Computer di fascia alta Configurazione minima: CPU dualcore a 3 GHz RAM 4 GB Controller S-ATA HD interno da 500 GB, SATA Masterizzatore DVD +/-RW SATA 16x Porte: 1 seriale, 1 parallela, 6 USB 2.0 (2 frontali) Scheda grafica: tipo NVIDIA GeForce con 256 MB di memoria dedicata Scheda di rete 10/100 Base-TX, 1000Base-T Tastiera standard e mouse ottico con scroll a 2 pulsanti Smart Card reader USB con sw Cavi: monitor, alimentazione pc e monitor, connessione alla rete (3 m) SW preinstallato: S.O.: Windows 7 Pro 32 bit autentico Antivirus Monitor: LCD TFT 22". Pag. 20/41

21 PERIFERICHE Stampante laser monocromatica Caratteristiche: Formato A4 Risoluzione di stampa: 1200x600dpi Stampa fino a 16 ppm RAM 8 MB Capacità di alimentazione std 150 fogli USB 2.0 Garanzia 2 anni on-center. Comprensiva di 2 kit toner completi. Stampante laser colore Caratteristiche: Formato A4/A3 Risoluzione di stampa: 2400dpi Stampa fino a 26 ppm in A4 sia B/N sia colore CPU 600 MHz RAM 256 MB Capacità di alimentazione std 350 fogli Unità fronte e retro come standard. Parallela, USB, Ethernet Garanzia 1 anno on-site. Comprensiva di 3 kit toner completi. Stampante ad aghi Caratteristiche: 24 aghi, 136 colonne, ris. max 360x180 dpi, 1+4 copie, 440 cps in HSD a 10 cpi, linguaggio ESC/P2 - emul. IBM PPDS, 10 font bitmap, 4 font scalabili, 8 font BarCode, 4 percorsi carta, foglio singolo e modulo continuo, parcheggio carta, interfaccia parallela e USB. Garanzia 1 anno on-site. Comprensiva di 3 kit materiali consumo. Pag. 21/41

22 50 50 Etichettatrici per protocollo Caratteristiche: Linguaggio di programmazione ASCII EPL2 (modalità di stampa a pagina) Tecnologia di stampa termica diretta (LP) o trasferimento termico (TLP) Memoria Standard: 512KB Flash; 256KB SRAM - Memoria Opzionale: 1 MB Flash; 512KB SRAM Larghezza di stampa: 104 mm Massima velocità di stampa: 102 mm/s Risoluzione: 203 dpi Comprensiva di 2 kit materiali consumo Garanzia 1 anno on-site. Scanner Caratteristiche: Scanner a superficie piana 1200 dpi di risoluzione, colore a 48 bit, pannello frontale con due pulsanti (Scansione, Copia), tecnologia di scansione CCD, tecnologia OCR, connettività USB 2.0 Garanzia 1 anno on-site Servizi Installazione - Configurazione iniziale - Supporto Sistemistico Le attività di configurazione, consegna ed installazione in rete saranno a carico della struttura del Servizio Sistemi Informativi Garanzia - Manutenzione - Assistenza Garanzia: 24 mesi. SLA per il supporto manutentivo ed assistenza: - Entro il giorno lavorativo successivo alla segnalazione del guasto. Pag. 22/41

23 5. Strumenti di amministrazione Un aspetto molto importante contenuto nel SottoProgetto1 riguarda l implementazione di servizi fondamentali a supporto della gestione integrata del Sistema Informatico, fornendo ai tecnici del Servizio Sistemi Informativi gli strumenti necessari per poter svolgere con semplicità ed efficienza le proprie attività lavorative. Gli interventi previsti nel presente progetto sono: Piattaforma LDAP Identity Manager Sistema di Sicurezza per Internet Sistema di Network Management Gestione Asset Sistema di Desktop Management Nei capitoli seguenti sono illustrati le funzionalità minime che tali applicazioni dovranno soddisfare Piattaforma LDAP Requisiti tecnico-funzionali La complessità del Sistema Informatico del Comune di Catania comporta la necessità di implementare un Servizio di Directory che provveda a fornire un metodo per localizzare e identificare gli utenti e le risorse disponibili nel sistema. I Directory Services forniscono un valido supporto alle funzionalità di base: autenticazione degli utenti, memorizzazione dei loro attributi e gestione delle credenziali e dei diritti. Il metodo attualmente riconosciuto come standard è basato su LDAP, protocollo utilizzato per l interrogazione e la modifica dei servizi di directory Architettura tecnica L architettura dell applicazione dovrà essere di tipo web nativa. Per la definizione delle piattaforme operative client e server e dell infrastruttura applicativa il Fornitore dovrà fare riferimento alle specifiche dell infrastruttura hardware e di rete riportate nei paragrafi precedenti Requisiti Generali Le principali funzionalità richieste sono: Scalabilità Pag. 23/41

24 Il sistema deve poter supportare miliardi di oggetti senza considerevoli perdite di performance. I server devono poter ospitare contesti multipli e repliche, e molteplici domini sullo stesso sistema. Inoltre, il sistema LDAP dovrà essere multipiattaforma, quindi implementabile su Unix, Linux, Windows, ecc. Flessibilità Consente agli amministratori una facile gestione degli schemi (LDAP SCHEMA). Management of identities: gestione centralizzata di autenticazione-autorizzazione (p.es. creazione utente e sua associazione a gruppi) Gli utenti non devono essere bloccati in nessun modo quando si effettuano manutenzione dei database. Deve essere possibile inoltre una flessibilità sulle policy di settaggio delle password applicata a livello di utente e gruppo Requisiti Specifici Indipendenza dalla piattaforma SO e supporto nativo a LDAPv3. Si richiede il supporto nativo ai certificati per criptare le comunicazioni tra server e client (TSL/SSL). Autenticazione sicura gestita centralmente. Profilazione utenti. Ciascuno applicativo che interagisce con la piattaforma LDAP deve avere una configurazione locale di ruoli/permessi, che devono essere integrati centralmente nella soluzione LDAP che deve sincronizzare automaticamente i nomi utente ai utenti-gruppi-applicativo da LDAP agli applicativi. Il sistema LDAP dovrà essere installato su un server del Data Center, e dovrà essere possibile poter configurare la piattaforma LDAP su più livelli per evitare perdite di dati per guasti e consentire le repliche automatiche su una o più sedi della rete comunale. Le applicazioni che soddisfano tali requisiti minimi possono essere sia prodotti con licenza di uso sia soluzioni open source Servizi Installazione - Configurazione iniziale - Supporto Sistemistico I servizi richiesti nella fase di avvio del sistema sono: 1) Installazione piattaforma LDAP. 2) Installazione Data Base. 3) Installazione e configurazione Server di amministrazione. 4) Creazione profili utenti. 5) Collegamenti applicativi esterni. Gli interventi previsti dovranno avere una durata minima di 50 giorni. Pag. 24/41

25 Addestramento e Formazione Dovrà essere predisposto a cura del fornitore un opportuno piano di formazione rivolto ai tecnici informatici indicati dal responsabile del Servizio Sistemi Informativi, con cui devono essere concordati tempi e modalità di erogazione. L addestramento dovrà essere erogato in modalità training on the job da personale qualificato e, se il caso, certificato sull applicazione specifica. È stata prevista una durata dell affiancamento degli specialisti di almeno 10 giorni Garanzia - Manutenzione - Assistenza Garanzia: 24 mesi su manutenzione correttiva ed evolutiva. Supporto remoto con i seguenti SLA: - la presa in carico delle richieste di supporto inoltrate via mail o via telefono entro il tempo massimo di quattro ore. - n 100 casi inclusi Identity manager Requisiti tecnico-funzionali Architettura tecnica L architettura dell applicazione dovrà essere di tipo web nativa. Per la definizione delle piattaforme operative client e server e dell infrastruttura applicativa il Fornitore dovrà fare riferimento alle specifiche dell infrastruttura hardware e di rete riportate nei paragrafi precedenti Requisiti Generali Il SottoProgetto1 prevede l implementazione di uno strumento di gestione utenti per aumentare la sicurezza interna del S.I., garantendo che solo gli utenti autorizzati abbiano accesso alle risorse IT, indipendentemente da dove si trovino. Le principali funzionalità dell Identity Manager sono: Fornire un accesso immediato alle risorse attribuite. o Permette ai nuovi utenti di diventare immediatamente produttivi ottenendo l'accesso alle applicazioni principali. o I riferimenti per i nuovi utenti nel database vengono generati automaticamente in base alle regole aziendali e ai workflow di approvazione necessari. o I Dirigenti e i Servizi possono gestire direttamente le esigenze di accesso dei propri utenti senza richiedere l'intervento di un amministratore di rete. Semplificare la gestione delle password o Sincronizza le password degli utenti. Pag. 25/41

26 o Gli utenti gestione autonoma delle password. o Quando gli utenti richiedono l'accesso ad altri sistemi, è possibile automatizzare il processo di provisioning. o I client possono creare e applicare norme avanzate a livello di sistema per l'utilizzo delle password, che contribuiscano a proteggere i sistemi dagli attacchi con violazione delle password. Revocare gli accessi in tempo reale o Elimina la vulnerabilità rappresentata dal possibile accesso ai sistemi da parte degli exdipendenti revocando immediatamente gli account e i diritti di accesso degli utenti non appena il rapporto di lavoro si conclude. o Il de-provisioning automatico protegge le risorse riservate ed elimina i costi legati all'uso prolungato dei servizi aziendali, come i telefoni cellulari o l'accesso a Internet, disattivandoli automaticamente non appena il dipendente lascia l'azienda. o La conformità alle normative è garantita mediante l'accesso basato su ruolo, l'applicazione uniforme delle norme e la documentazione automatica dei processi di implementazione Requisiti Specifici Più specificatamente di seguito si riportano i requisiti richiesti: Architettura: L Identity Manager si deve integrare con il sistema LDAP. La soluzione dovrà prevedere un architettura basata su tecnologie open che poggi le sue fondamenta su: DB relazionale Application Server J2EE standard È richiesto che tutti i dati e metadati della soluzione risiedano in un modello relazionale accessibile e documentato. Reporting e Auditing: La soluzione dovrà garantire un modello relazionale accessibile e documentato che si in grado di gestire i dati attuali e storici di tutte le entità: Identità, Ruoli, Account, Privilegi, Workflow... La soluzione offerta, oltre a fornire alcuni Report predefiniti, dovrà consentire la creazione di reports personalizzati. Modello flessibile ed estendibile: La soluzione proposta dovrà prevedere una personalizzazione degli attributi dell identità completamente libera che permetta di estendere a proprio piacimento il numero e la tipologia di campi necessari per descrivere correttamente l identità digitale. La definizione delle Risorse da gestire (Account, Privilegi, Asset...) dovrà essere facilmente modificabile ed estendibile mettendo a disposizione, in modo automatico, le maschere (Forms html) per l immissione dei valori tipici dell ambiente da gestire permettendo anche una gestione del versioning delle stesse. La definizione dei Workflow di approvazione dovrà essere grafica e completamente personalizzabile. Pag. 26/41

27 Linguaggio di sviluppo standard: La tecnologia dovrà mettere a disposizione connettori predefiniti per l integrazione bi-direzionale (provisioning e riconciliation) con le diverse tecnologie (DB, LDAP, MSAD, OS... ) e applicazioni (SAP, ebs, Siebel, Peoplesoft, Remedy,... ). Tali connettori potranno essere anche essi basati su linguaggio Java al fine di avere una piattaforma completamente omogenea J2EE. La soluzione dovrà mettere a disposizione un ambiente di sviluppo, test e configurazione dei connettori Servizi Installazione - Configurazione iniziale - Supporto Sistemistico I servizi richiesti nella fase di avvio del sistema sono: 1) Installazione e configurazione applicazione. 2) Installazione Data Base. 3) Installazione e configurazione Server di amministrazione. 4) Implementazione connettori con Data Base esterni Gli interventi previsti dovranno avere una durata minima di 20 giorni Addestramento e Formazione Dovrà essere predisposto a cura del fornitore un opportuno piano di formazione rivolto ai tecnici informatici indicati dal responsabile del Servizio Sistemi Informativi, con cui devono essere concordati tempi e modalità di erogazione. L addestramento dovrà essere erogato da personale qualificato e, se il caso, certificato sull applicazione specifica. È stata prevista una durata dell affiancamento degli specialisti di almeno 5 giorni Garanzia - Manutenzione - Assistenza Garanzia: 24 mesi su manutenzione correttiva ed evolutiva. Supporto remoto con i seguenti SLA: - la presa in carico delle richieste di supporto inoltrate via mail o via telefono entro il tempo massimo di quattro ore. - n 100 casi inclusi. Pag. 27/41

28 5.3. Struttura di Sicurezza per Internet Requisiti tecnico-funzionali Il Comune di Catania già dispone di una soluzione per gestire tutte le problematiche legate a garantire la sicurezza di navigazione web, controllare il content filtering, bloccare le minaccie web (spyware, mobile malicious code, peer-to-peer, phishing, pharming, codice malizioso in genere), responsabilità legali, abuso di banda e perdita di produttività. Il sistema attuale è però obsoleto in quanto è presente una vecchia versione del software Websense, che deve essere sostituita ed estesa come servizi e funzionalità. La scelta progettuale, concordata con la Direzione del Servizio Sistemi Informativi, è di procedere direttamente all acquisizione della nuova versione del prodotto, prevedendo i due moduli: Websense Data Security Suite Websense Web Security Gateway Di seguito sono descritti le funzionalità dei prodotti Requisiti Specifici Websense Data Security Suite Previene la perdita dei dati, gestisce gli aspetti relativi alla conformità e garantisce il normale avvicendarsi delle attività di business. Ciascuno dei quattro moduli integrati offre un ottima visibilità sulle comunicazioni, sull auditing e sulle misure relative alla conformità e riduce il rischio di perdite di dati. Le caratteristiche principali della soluzione sono: Visibilità: La struttura di policy avanzata di Websense Data Security Suite associa in modo intelligente le policy relative ai dati ai processi di business, consentendo lo svolgimento delle normali attività di business e proteggendo i dati, oltre a fornire visibilità e controllo sulla gestione di chi e cosa vada dove e come. Precisione di rilevamento: Grazie alla tecnologia PreciseID associata al Websense ThreatSeeker Network, Websense Data Security Suite rileva e classifica con precisione i dati, sia sulla rete che a livello di endpoint. Copertura della soluzione: Websense Data Security Suite monitorizza tutti i tipi di dati sulla rete e sull endpoint, proteggendo i dati indipendentemente dal formato e dall ubicazione. Gestione e reporting: La gestione e il reporting centralizzati offrono strumenti intuitivi per analizzare, tenere traccia, rimediare ed eseguire il reporting sulle violazioni delle policy. Pag. 28/41