Обновить
2

Пользователь

3,3
Рейтинг
Отправить сообщение

Документ - реально - описывает то, что надо сделать для географически локализованного на уровне здания юнита {компании, подразделения, etc}. Там эти требования реально (а не на бумажке) выполнимы. Есть чёткий периметр, разделяющий "снаружи" и "внутри", есть возможность контролировать сеть до уровня проводов и иметь чёткую карту сети, с разделением сетей без костылей с VLAN, а физически, на разных проводах, есть возможность контролировать физический доступ до критичных устройств.

Особенно абсолютно правильные требования к контролирующему устройству - которых, по хорошему вообще должно быть 2-3 и располагаться они должны вообще в разных комнатах с разным уровнем физического допуска (контроль устройств ядра сети; контроль mission-critical сервисов; обычное АРМ админа, с которого доступно все остальное и интернет, но без любого доступа на устройства из п.1 и 2).

Однако стоит вступить в постковидную эпоху и распределённые формы организации юнита, то документ разъезжается по швам: облака иначе чем удалённо в принципе не администрируются (никто не прописывает штатного админа в ДЦ, который может быть далековато от места работы юнита) - кроме случаев коллока, когда арендуется лишь место и сеть, но и то, только при установке и выезде из него. Гибридный / удалённый формат работы администратора, если следовать документу, тогда тоже исключается. Нет намёка на аварийные сценарии работы, кроме "сидим в здании и по памяти со смартфона чиним".

Плюс не прописано: с заканчивающейся поддержкой - чьей? - вендора или сообщества? Переход на community-каналы обновления при наличии достаточных оснований для доверия - это продление поддержки или компенсаторные меры? Самоподдержка (внутри юнита), когда прошивка и пакеты аудируются, правятся, собираются и деплоятся самостоятельно - это поддержка или компенсаторные меры? Туда же вопрос про внутренние форки.

Короче, да. Правильно, полезно, вот только отражает реальность до массовых удалёнок и применимо (для части мер) только для больших, локализованных на конкретной территории юнитов, потому что...правильно, компромиссы.

Интересно, как пойдет это дело:
- по пути гугла с петагигаквадрильонными штрафами
- оно заглохнет и утонет в бесконечной бюрократии бесконечных "слушали-постановили"?

Написанием конкретного кода реализации конкретных алгоритмов тогда уж. Один и тот же алгоритм можно реализовать очень сильно по-разному, в зависимости от ограничений.

Так что тут да, все просто - в вакууме и сферически. Просто выбери алгоритм. Просто реализуй его на имеющемся железе. Просто будет работать.

Проблемы начинаются когда под ограничения тупо нет "подходящего" алгоритма и приходится адаптировать стандартное решение, потому что остальные ещё хуже. А то и велосипедить свой: с компромиссами, с проблемами "локальных минимумов" и прочими.

Проблемы продолжаются, когда реализация этого математически О(log(n)) упирается в проблемы в железе-исполнителе, в котором, например, криво в микрокоде сделана операция, и время выполнения у О(log(n)) на практике становится сравнимым с алгоритмом, у которого по теории О(n^2) и ты кодом пытаешься это нивелировать, потому, что квадратичное неприемлемо.

В теории все просто - пока теория на вылезет в реальный мир с его несовершенством.

Классика жанра: "а мы любим обмазываться The Current Thing - применение придумаем позже, лишь бы внедрить".

совершенно сторонняя приблуда, которая интегрируется с AD

Ага. Интегрируется ровно то, что нужно, так - как тебе нужно и при этом полностью подконтрольно тебе, от гипервизора и базовой ОС виртуалки до всех параметров и низкоуровневого содержимого базы NTDS. Не то, что тебе решил навязать вендор или то - что он у тебя захотел обрезать, а ровно то, что нужно и не более того. И даже прикрученное на "изоленту" - оно прикручено тобой с конкретной целью и может быть так же быстро откручено, чем надеяться, что какой-нибудь Jaharapas Mahauri не решит на твоем проде *поэкспериментировать*

Нет, есть конечно люди, которые спать не могут, лишь бы отдать всё какому-то дяде со стороны за мнимую экономию, но в современном мире, где доступ тебе могут заблокировать буквально за что угодно (от неправильного паспорта до неправильных высказываний), при этом без какой либо ответственности и компенсаций (почитай соглашения, не думаю, что в Делавэре/Нидерландах/Исландии, ты в принципе сможешь что-то выиграть у монополиста-гиганта без мощной группы поддержки) и даже простая связность между ЦОДами не гарантирована (между странами) - думаю, это уже стоит считать патологией, отголоском старого мира, умершего в 19-20м году. Особенно все вот эти критичные системы, типа сервиса авторизации-аутентификации, а не какой-нибудь "шифрованный четвёртый бэкап, который как бы есть по схеме 3-2-1-1, но в случае чего можно взять другое облако без потерь".

как раз таки Entra ID в экосистеме MS и есть.

Не обязательно, возможны и on-perm на подконтрольном тебе облаке.

У нас этот сервер стоял в стене и чтобы до него добраться - нужно было очень хитро пролезть сначала через техэтаж, потом через пропущенную недокументрованную изначальными строителями полость, а потом, около трёх метров по коробу перевоздуховода-недотехлаза - ну или раскурочить стену из ещё тех, качественных кирпичей, из которых возводились здания для НИИ и оборонки.

Как его ставили - не спрашивай, не знаю. Питался он от общей проводки по зданию - экономия, однако! Как его обслуживал руками админ - тоже не скажу, знал лишь админ, но он не говорил. Этот сервачок пережил буквально всё: от наездов дядь-с-базаром и попыток рейдерского захвата до бесчисленных легальных проверок - провод шел по плинтусам и уходил в хитрую щель между стенами, в которой в самом неудобном месте была приляпана розетка. Выдернешь кабель - и ты вовек не догадаешься, что там вообще что-то есть. Тоже себе защита от угроз.

Впрочем, отрицать то, что сервер в серверной это удобно - я не буду. Но и махать распальцовкой с ТСО перед неизвестными мне админами, что смоли запихнуть системник так, что он вон, рядом, а недоступен - тоже. Умные люди - 15 лет простоял, пока не потушили и по частям не вынесли, поставив супермикровскую башню и ибп с выдранным динамиком

Но говорить, что продавцы стационарных стоек пытаются нас завендорлочить и лишить возможности защититься мне в то время в голову не приходило.

Плохая аналогия - она как котёнок с дверцей: ничего не объясняет, но выглядит необычно.

Как добавить в модель данных новые сущности, отличные от "user" и "computer" - ну, того же ИИ агента, действующего on-behalf-of?

Зачем? Ну, кроме галочки "использую The Current Thing ".
Агент - там где ему и положено быть, в изолированной коробке, наружу выходит только результат его работы. В здравом уме пускать агента (пусть и на собственной нейросети, на собственном сервере) в рабочую сеть, как минимум я, не буду.

как к active directory прикрутить 2FA?

multiOTP и далее. От смс до аутентификаторов.

Как с "голой" AD организовать аутентификацию при использовании облачного сервиса

AD изначально создана и реализована без оглядки на "облака", а на нормальные сети. Для облака я прикручу облачную систему, которая сможет маппится на AD.

Так пишешь, как будто это реально сложно.

Впрочем, даже это, со всеми его "проблемами" окажется куда как дешевле - в плане гасимых рисков, а не презренных операционных сумм бумажек в виде ФОТов и прочих закупов оборудований - чем отдавать критичную систему для всей информационной суперсистемы организации в чьи-то сторонние руки, тем более сегодня, когда даже полноценная связность сети с доступом до ближайшего ЦОДа этих рук под вопросом.

Можно сколько угодно долго размахивать расчётами ТСО, но сегодня on-perm куда как более надёжен в плане обеспечения работы, чем пусть даже самое фичастое облако

Читал и оригинал. К сожалению, года с 2016го надо уметь такие релизы между строк. И шапочка из фольги - я бы на самом деле купил бы кепку, у которой сеточка из тонкой стальной проволоки, облитая пластиком для носкости и не-картонным козырьком - тут не причем.

Ну что поделать, если уже даже сама объективная реальность буквально на пальцах объясняет, что "параноик/безопасник был прав" и "вчера - смешная теория заговора от глупых чудиков; сегодня - доказанный факт"? И сегодняшнее

"одной AD уже не достаточно"

уже давно означает

"Ребят, ребят, мы тут скоро дропнем с поддержки наши службы, мы не на что не намекаем, но идите в облако, пока внезапно и вдруг в свежем релизе WS роль КД с мы не выпилили 'для вашей безопасности'. "

Смысла в "переубеди меня" я не вижу, ибо рестроспективно оно так и подводится: мягко и ненавязчиво.

если окажется что MS уже получает большую часть прибыли с подписоты (От volume license до pay-as-you-go)

Она и получает. Просто службы AD по недосмотру пока были доступны полностью оффлайн (от их серверов) как полноценный продукт, а не урезанный огрызок - а это в современном мире ФАТАЛЬНЫЙ НЕДОСТАТОК.

А по поводу "современной аутентификации", то тут пытаются (сколько не читал) натянуть сову на глобус, а именно продукт, разработанный для корпоративных сетей, использовать как универсальную систему, в том числе и там, на что оно не было рассчитано изначально.

Да и сам изначальный коммент так себе, на самом деле, шутеечка. Помню, как сам ржал с drugstore, когда был молодой, но первый выезд в штаты подпритушил энтузиазм.

Но чтобы реализовать это в коде, нужно знать все особенности языка и железа.

Реализовать-то может и просто, но вот реализовать так, чтобы оно влезало в заранее установленные (обычно самой жизнью и конкретным устройством) рамки по памяти... по времени выполнения... по требуемым ресурсам в целом... по работе с требуемым программным и аппаратным окружением...

А так да, все реально просто - сферически, в вакууме.

Ну, в современном языке "drug dealer" главный и первый смысл - "наркоторговец", да. А вот "druggist" - это уже "фармацевт" и (шире) "аптекарь".

Ну, в английском бытовом уже лет 150 как "drug" - это лекарство (без указания на конкретику). А "drugstore" - это аптека, дословно "магазин лекарств".

А какие уже потом оно приобрело смыслы в англицкой фене и сохранившем их после массового заимствования лексики из неё (вместе с нейтрально-бытовой лексикой) в 90е русско-англицкий пиджин - это уже отдельный вопрос.

drugstore.gram / drug.gram имеет смысл выкупить и сделать алиасом на сайт какой-нибудь большой, федеральной сети аптек. Можно на разные. Исключительно троллинга наркетов ради

А все почему?
А все потому, что у классической AD есть целый букет ФАТАЛЬНЫХ НЕДОСТАТКОВ:
- домен крутится on-perm (и даже в облаке, но на полностью подконтрольной виртуалке и сам подконтролен развернувшим домен админам) и не требует подписок! Кроме лицензий, которые покупаются единоразово и пользуются до морковкиного заговенья.
- и не выключишь его у клиента, просто так, по желанию левой пятки, после емейла из комнаты 101, парализовав критичную систему. И вообще не повлияешь на него никак, кроме выпуска KBхххххх, но они у клиента могут и не установиться!
- и даже не посмотришь в его базу, пусть и хоть одним глазком, и не сольёшь себе "резервную копию" для анализа бигдаты (с отводом резюме для системы из 101 комнаты) и обучения ЫЫшек.

Жаль, конечно, что одна из немногих продуманных и реально удачных МСовских систем сливается у угоду облачной повестке и выводится на новый уровень вендор-лока

Зачем? Если по сути у нас есть ровно 2 (прописью: два) оператора бэкбона (и магистралей в том числе) - РТК (населенные пункты) и ТТК (железка)?

Там достаточно просто поднять цену на траффик для конкретной компании (это сделать - юридически чисто - несложно), чтобы затем скупить по остаточной стоимости.

Инициатива хорошая - кто срочно менял себе или родственникам такого вот издохшего ИП на что-то нормальное, считай заново заводил интернет (и не в городских тепличных условиях, где зачастую не надо менять даже оконечный провод, а в ИЖС) - тот поймёт - но условия так себе.

Да-да, ни один настоящий шотландец... и каждый настоящий коллекционер...

Да, Боже, храни Королеву Короля Карла Третьего!

Знаешь, было бы прекрасно.
Вернётся эпоха контракт-фонов. Она и не заканчивалась, лоченные 4Г-свистки как были так и есть, но лоченные смарты давно уже моветон и использовать стимулируют более выгодными пакетными предложениями.

Будет ренессанс, только в виде маркетплейс-фон'ов. Которые можно, внезапно, использовать как "белый" телефон для там-тамов, госуслуг и - тада - Озона. Нормальный телефон для нормальных сервисов, белосписочный - для белосписочных. А если будет демпинг на нормальные модели с нормальным железом (озонфон, который имеет железо свежего флагмана) - то ещё лучше (обычному человеку) - в повседневном использовании он может ЗАМЕНИТЬ собой нормальный, а для телеграмов и прочих КВН - второй, серый.

Озону осталось сделать ещё своего виртуального оператора на мощностях того же МестамиТутСлышно или Мегофно аки Йопта или Ты-Могайл, чтобы полностью замкнуть на себе подавляющее число повседневных сервисов обычного человека и готово.

У правильных коллекционеров джевелы изнутри должны быть покрыты золотом, а сами они - сделаны из бескислородной меди и ценных пород дерева. Бумага вкладыша и прилагаемой книжечки-инструкции должна использоваться только крафтовая, сделанная из пустынных кактусов южно-северной Австралии, а краска - только настоящая из горного червеца Атлантиды, чтобы без всякой химии. Даже скобка-сшивка должна быть из авиационного привилегированного алллюминия (алюминий, пусть и даже авиационный, но с одной "Л" - это для плебса).

У правильных коллекционеров эти джевелы хранятся только в правильных шкафах из ясеня и тиса, с откачкой воздуха из зоны хранения, регулировкой микроклимата, полным экранированием платиновой клеткой Фарадея (клетки Фарадея, сделанные из менее ценных материалов и не вставленные в корпус из дерева, стоимостью менее $10000, работают хуже и звук от них не такой тёплый и ламп... пропускают невидимые розовые лучи, которые повреждают поликарбонат) и пачкой датчиков-показометров на лицевой части дверцы.

У правильных коллекционеров есть специально обученный раб...отник, который каждый месяц пипдастром убирает все мельчайшие пылинки из технического отдела шкафа, чтобы случайно попавшая на дорожку луча пылинка не сделала цифровые данные сухими и "порченными".

Да-да-да, где-то я это уже слышал.

Уважаемый кастомер $fullname! Тут, енто самое, за за вами могут следить, кто-то, кроме нас. А нам обидно, что данные с айфонов сливаются не только нам (и нашим коллегам из кабинета 101), но и страшным $random_hacker_groupname из {Россия/Китай/Северная Корея/Мордор/Хеллган} при помощи $random_program_name v.$random_version Pro Repack By Anonimas1899. Раньше эта программа была доступна только только для правительства, но журналисты, активисты и журналисты опасносте! Если в не активист НКО и не журналист, то игнорируйте это сообщение. Страшные хакеры следят за вами через ваши айфоны и от этого каждую минуту умирают котики. Так может делать только правительства стран без демократии, но сейчас делает $random_hacker_groupname из {Россия/Китай/Северная Корея/Мордор/Хеллган}, которые не любу сладких журналистов и активистов. Они используют пегаса, поэтому вам надо слить всё-всё-всё на наш айкауД и разрешить нашей модели обучение для вашей безопасности на этих фото. Все для бесподобного юзерского опыта.

Задача ПРОМО - на дать полноценного сравнения. Полноценное сравнение таких процессоров не факт даже, что существует даже в документах с грифом "ДСП" интела/медиатек/квалкома (а не прикидки +-лапоть).

Задача ПРОМО - показать для широкой аудитории потенциальных покупателей (с итоговым низким средним значением интеллекта) красивые большие циферки терагерцев и гигапикселей народ любит большие цифры и меряние цифрами длин, размеров, объёмов такой международный, понятный всем спорт; донести слайды с графиками, где "наше" бьёт "ихнее" как стоячих маленькое уточнение после звёздочки про логарифмическую шкалу увидит только пытливый; вывалить много вкусных циферок про фичи, типа "автономную работу месяцами" на особой сборке системы с максимально урезанным функционалом для сервис-центров, для особых тестовых комплектующих, в режиме простоя, при включённом энергосбережении, etc и заставить все это вожделеть, чтобы при выкатке уже конкретных поделий у закупивших платформу вендоров были продажи.

Надо будет - сравнят и тёплое, и мягкое, и котёнка-с-дверцей, с кучей красивых графиков и глубокомысленных, но звеняще пустых выводов

1
23 ...

Информация

В рейтинге
1 484-й
Зарегистрирован
Активность