לקוח
LiveRamp
תעשייה
שיתוף נתונים, טכנולוגיית שיווק
טכנולוגיות
Google Cloud
Shared VPC
VPC peering
VPN
GKE
IAM
LiveRamp היא חברת שיתוף נתונים. הפלטפורמה שלה מאפשרת למותגים, למפרסמים ולשותפיהם לחבר נתוני לקוחות ולהשתמש בהם לשיווק ולמדידה, מה שמציב את אבטחת הנתונים ואת בקרת הגישה במרכז כל מה שהיא מריצה.
כשחברה כזו מאמצת ענן חדש, ההחלטות הראשונות על רשתות, פרויקטים והרשאות הן הקשות ביותר לביטול. לבנות את התשתית נכון לפני שה-Workload הראשון מגיע לייצור זול יותר מלבנות מחדש סביבה בדיעבד.
פרויקט
התשתית הראשונה של LiveRamp ב-Google Cloud נבנתה סביב IAM מפורט, מישורי בקרה מופרדים של GKE, סביבות מפוצלות ורשת Shared VPC. SEYA תכננה ובנתה את התשתית הזו.
LiveRamp אימצה את Google Cloud בפעם הראשונה והציבה דרישות ברורות לתשתית: נגישה לצוותי הנדסה הפזורים על פני אזורים גאוגרפיים, ניתנת להרחבה, מאובטחת כברירת מחדל, וניתנת לניהול על ידי קבוצת פלטפורמה מרכזית.
הפרויקט של SEYA היה התשתית הזו. סקרנו את הארכיטקטורה הקיימת של LiveRamp ואת תוכניות הענן שלה, הצענו תכנון יעד שמיושר עם הפרקטיקות של Google Cloud, ואז בנינו את הרשת המשותפת, את מערך ה-GKE, את מבנה הארגון ואת מודל ה-IAM שנגזרו ממנו, לצד פלטפורמת Observability תפעולית.
תוצרים:
ארכיטקטורת יעד ב-Google Cloud, על בסיס סקירה של התכנון הקיים של LiveRamp ומגבלותיו
רשת GCP: VPC לשירותים משותפים, VPC-ים של Transit, VPC-ים מארחים לייצור ולסביבות שאינן ייצור, קישוריות VPN ו-VPC peering
אשכולות GKE עם מישורי בקרה מופרדים מה-Worker Nodes בתוך Shared VPC
מבנה ארגון ב-Google Cloud עם סביבות ייצור וסביבות שאינן ייצור מפוצלות
IAM מפורט לצוותים פזורים גאוגרפית, כולל תפקידים מותאמים לשירותים מנוהלים של Google ולמערכי אפליקציות
פלטפורמת Observability תפעולית ב-Google Cloud
האתגר
תשתית ענן ראשונה היא הזדמנות חד-פעמית להחליט איך מפלחים רשתות, איך מפרידים סביבות ומי רשאי לעשות מה. צוותים שמדלגים על השלב הזה מוצאים את עצמם עם פרויקטים שנוצרו אד-הוק, רשתות שטוחות ושיוכי IAM שאיש אינו יכול להסביר, ועלות התיקון גדלה עם כל Workload שנפרס מעליהם.
ל-LiveRamp היו צוותי הנדסה בכמה אזורים גאוגרפיים שכולם נזקקו לגישה לפלטפורמה החדשה, ו-Workloads שירוצו על Kubernetes מהיום הראשון. התשתית הייתה צריכה לעמוד בארבע דרישות בו-זמנית: נגישות לצוותים האלה, יכולת הרחבה ל-Workloads, אבטחה הולמת לנתוני לקוחות, ויכולת ניהול לקבוצה שתתפעל אותה.
המומחיות שלנו
SEYA סקרה את הארכיטקטורה הקיימת יחד עם הצוות של LiveRamp וזיהתה היכן התכנון הזה יגביל את המעבר ל-Google Cloud. משם הצענו ארכיטקטורת יעד שמיושרת עם הפרקטיקות המומלצות של Google Cloud לארגונים, לרשתות ולזהויות.
התכנון סוכם עם LiveRamp לפני הבנייה, כך שעבודת הרשת, ה-GKE וה-IAM שבאה אחריו יישמה תוכנית שהארכיטקטים של הלקוח כבר סקרו.
הפתרון שלנו
SEYA יישמה תכנון רשת שבנוי סביב VPC לשירותים משותפים עבור שירותים שמופעלים במרכז, VPC-ים של Transit לניתוב בין סביבות, ו-VPC-ים מארחים נפרדים לייצור ולסביבות שאינן ייצור. VPN מספק קישוריות אל המערך, ו-VPC peering מקשר בין הרשתות שצריכות לתקשר זו עם זו.
מישורי הבקרה של GKE הופרדו מה-Worker Nodes בתוך Shared VPC, כך שתעבורת ניהול האשכולות ותעבורת האפליקציות מבודדות זו מזו, וצוות הפלטפורמה שולט ברשת שבה כל אשכול נוחת.
SEYA הגדירה את מבנה הארגון ב-Google Cloud עם סביבות מפוצלות, ומודל IAM מפורט דיו כדי שצוותים באזורים גאוגרפיים שונים יוכלו לעבוד באופן עצמאי בלי הרשאות רחבות. נוצרו תפקידים מותאמים לשירותים מנוהלים של Google ולמערכי האפליקציות של LiveRamp, כך שהגישה נגזרת מהתפקיד ולא מתפקיד ברירת מחדל. פלטפורמת Observability תפעולית ב-Google Cloud השלימה את התשתית.
ערך שנמסר
ל-CTO או למוביל פלטפורמה, הערך של תשתית כזו הוא בשאלות שהיא עונה עליהן אחת ולתמיד. לשירותים משותפים יש בית אחד. ייצור וסביבות שאינן ייצור הם מקומות שונים עם הרשאות שונות. כל פרויקט חדש יורש את מודל הרשת והזהויות במקום להמציא אחד משלו.
הפרדת מישורי הבקרה של GKE מה-Worker Nodes בתוך Shared VPC נותנת לקבוצת הפלטפורמה שליטה בשאלה היכן אשכולות מתחברים ואיך התעבורה שלהם זורמת, בעוד צוותי האפליקציות שומרים על בעלות על מה שרץ בתוכם.
IAM מפורט עם תפקידים מותאמים פירושו שמהנדס באזור אחד יכול לקבל בדיוק את הגישה שתפקידו דורש לשירות מנוהל של Google או למערך אפליקציות, ושאפשר לסקור ולבטל את ההרשאה הזו בלי להשפיע על אף אחד אחר.
התוצאה
ל-LiveRamp יש שליטה מדויקת יותר בתשתית Google Cloud חוצת-הפרויקטים שלה, עם שירותים משותפים שמרוכזים ב-VPC אחד וייצור שמופרד מסביבות שאינן ייצור ברמת הארגון, הרשת וה-IAM.
צוותים פזורים גאוגרפית עובדים על הפלטפורמה תחת הרשאות ייעודיות לתפקיד, ופלטפורמת Observability תפעולית נותנת לקבוצה שמפעילה את התשתית תמונה של מה שקורה בכל רחביה.
להמחשה: לייצור ולסביבות שאינן ייצור יש VPC-ים מארחים משלהם, ובכל אחד מישור הבקרה של GKE יושב בנפרד מה-Worker Nodes; ה-VPC לשירותים משותפים משותף לשניהם.
להמחשה: הפרדת הסביבות ובקרת הגישה נקבעות ברמת הארגון, כך שפרויקטים חדשים יורשים אותן במקום להגדיר משלהם.
להמחשה: תכנון היעד מסוכם לפני שבונים משהו, והתפעול (שירותים משותפים, בקרה, Observability) מתוכנן כחלק מהתשתית.
מתחילים ב-Google Cloud, או עומדים להוסיף אזור שני או צוות שני?
SEYA יכולה לסקור את הארכיטקטורה הנוכחית שלכם ולתכנן Landing Zone שצוות הפלטפורמה שלכם יוכל לצמוח לתוכו. צרו קשר בכתובת hello@seyagroup.io.
צור קשר
שלחו פנייה בנוגע להתקשרות בענן, בפלטפורמה, בנתונים או באמינות. דוא"ל שיווקי הוא בחירה נפרדת בטופס.