T 2022-055 Bijlage 1 Roadmap West Maas en Waal v1 0
Tekst van het document
4.3
Oplossen knelpunten
In onderstaande overzicht wordt aangegeven op welke manier De Connectie de knelpunten bij WMW (zoals beschreven in Hoofdstuk 2) duurzaam wil oplossen, op basis van de diensten die De Connectie kan leveren. Nr. K1
K2
Knelpunt Door het achterstallig onderhoud/ inrichting van de omgeving zijn de kosten niet altijd vooraf inzichtelijk en beheersbaar Door het achterstallig onderhoud/ inrichting van de omgeving is aantal componenten (sterk) verouderd en wordt – binnenkort – niet meer door de leverancier/producent ondersteund. Voorbeelden: Server Hardware, Unit 4 software, Windows 2008, vSphere 6.7
Datum: 7 maart 2022
Oplossing middels de diensten van DC Systemen vervangen op basis van diensten van DC. Support contracten vernieuwen/ verlengen/ onderbrengen bij DC. De dc-hosting voorzieningen en applicaties worden continu gepatcht en tijdig geüpdatet om in support door leveranciers te behouden.
Versie: 1.0
Pagina 24 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
K3 K4
K5
K6
K7
K8
Het Storage Area Network (SAN) is bijna vol, en er is nog maar ruimte voor uitbreiding van éen disk (3TB)). Onder andere door grafische- en CPU-intensieve applicaties ontstaan regelmatig performance problemen op de Virtual Desktop (VDI) omgeving (kwaliteit). Denk hierbij aan CAD/GIS en BI toepassingen. Er is een begin gemaakt met de inrichting van een uitwijkvoorziening, maar deze is nooit helemaal afgemaakt. De facilitaire voorzieningen van de computerruimte voldoen niet aan hedendaagse eisen met betrekking tot stroomvoorziening (redundantie) en brandblusvoorziening (blusapparaat) is niet specifiek geschikt voor computerapparatuur). Beperkte bezetting systeembeheer (nu ca. 2 – 2,2 FTE) en TAB (<1 FTE?) op basis van beschikbaar personeelsbudget. Er is sprake van toename van Cyber criminaliteit, specifiek gericht op organisaties als gemeenten. Het is daarom van belang om proactief, alert en adequaat veiligheidsmaatregelen te blijven treffen. Hiervoor is de inrichting van de IT-omgeving bij West Maas en Waal verouderd. (Denk daarbij aan Active Directory, Multi Factor Authenticatie, Beveiligings- en wachtwoorden beleid etc.).
Datum: 7 maart 2022
De dc-hosting voorzieningen worden continu gemonitord en tijdig uitgebreid. Voor het oplossen van dit knelpunt dient een gezamenlijke analyse uitgevoerd te worden om de oorzaken te identificeren en daarvoor oplossingen te realiseren.
De dc-datacenters voorzien standaard in uitwijkmogelijkheden. De dc-datacenters voldoen aan TIER III classificatie. (zie begrippenlijst, pagina 5).
Brede basis m.b.t. systeembeheer, netwerkbeheer, technisch applicatiebeheer. Met name het oplossen van knelpunten K1, K2 en K3 zijn een belangrijke voorwaarde om de kwetsbaarheid te verminderen. Oplossen van knelpunten K5 en K6 vormen dan een verdere verbetering, waarbij K7 van belang is voor het snel kunnen nemen van maatregelen ingeval van een security incident.
Versie: 1.0
Pagina 25 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
5
Roadmap
5.1
Doelarchitectuur (Soll)
In onderstaande paragrafen wordt in hoofdlijnen de situatie beschreven die bestaat wanneer de ICT-diensten van West Maas en Waal volledig worden uitgevoerd vanuit de dienstverlening van De Connectie
5.1.1
Basis infrastructuur
WMW wordt opgenomen in de GEM-ICT infrastructuur van de Connectie. Hieronder worden onder meer, maar niet uitsluitend, bedoeld:
5.1.1.1
Datacenter
Alle centrale fysieke server-, storage en netwerkcomponenten die nodig zijn om de dienstverlening te verzorgen, zijn geplaatst in éen van de twee TIER-III datacenters van De Connectie.
5.1.1.2
Netwerken
Alle netwerken (zoals WAN, WLAN (WIFI), Lokaal LAN, Centraal LAN, VPN, Diginet aansluitingen) en het beheer daarop worden geleverd door De Connectie. Dit geldt voor de configuratie en voor de fysieke componenten (Switches, routers, gateways, firewalls). Het gemeentehuis van West Maas en Waal wordt via een dubbele (redundante) glasvezelverbinding verbonden met het SK Datacenter van De Connectie. Dit levert de bandbreedte die nodig is om voor West Maas en Waal medewerkers vanaf deze locaties de centrale applicaties, Virtuele desktops en gegevens met goede performance en hoge beschikbaarheid te benaderen.
5.1.1.3
Fysieke en virtuele servers
Alle serverbeheer, fysiek, virtueel wordt uitgevoerd door De Connectie
5.1.1.4
Besturingssystemen
Alle besturingssystemen van de servers en clients in beheer bij De Connectie (Windows, Unix/Linux, VMWare ESX, IoS, Android) worden beheerd door De Connectie.
Datum: 7 maart 2022
Versie: 1.0
Pagina 26 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
5.1.1.5
Beveiliging
De IT technische inrichting van het beveiligingsbeleid en beheer daarop wordt uitgevoerd door De Connectie.
5.1.1.6
Multi Functional Printers (MFP)
De Connectie levert de voorzieningen ten behoeve van Multi Functional netwerkprinters die met een personeelspas en/of code gebruikt worden voor printen (follow-me), kopiëren en scannen.
5.1.1.7
IT Service Management (ITSM)
De (ITIL) processen m.b.t. (technisch) IT-beheer worden uitgevoerd door De Connectie voor de diensten die zij levert. Onderdelen hiervan zijn:
• • • • • • • • 5.1.1.8
Incident management Problem management Change management Servicemanagement Service requests Configuration management Verbeter beheer KKV-proces
Architectuur, Security, Projecten
De Connectie verzorgt: • Beleid en (architectuur van de) technische inrichting van de basisinfrastructuur; • Beleid en (architectuur van de) inrichting van de security van de basisinfrastructuur conform actuele wettelijke richtlijnen (o.a. AVG, BIO). De Connectie is onderdeel van het regionale samenwerkingsverband (G3DC) met gemeenten Arnhem, Renkum en Rheden. Regionale samenwerking wordt afgestemd in onder meer: • OGO: Opdrachtgeversoverleg • RCIOO: Regionaal CIO overleg • RCISOO: Regionaal CISO overleg • REAT: Regionaal Enterprise architectuur team. Voor de realisatie van nieuwe functionaliteit wordt samengewerkt volgens de RPP-procesgang: Regionaal Project Proces. In dit proces wordt vanuit portfolio management sturing gegeven aan de fasering van ideevorming tot ingebruikname.
5.1.2 5.1.2.1
Identity en Access Management (IAM) Gebruikers accounts (identity provisioning en -management)
Accounts van de medewerkers van West Maas en Waal zijn opgenomen in de On Premise Active Directory van De Connectie en worden beheerd van uit standaard In- Door- en uitstroom processen. Rechten op applicaties of bestanden worden toegekend op basis van gedefinieerde rollen (RBAC).
5.1.2.2
Authenticatie en autorisatie
Toegang (autorisatie) tot applicaties, systemen of gegevens wordt verleend op basis van toegekende rollen. Hiertoe dient aan te melden als legitieme gebruiker van het systeem (Authenticatie). Vanaf werkplek appratuur die is aangesloten op het eigen netwerk (op locaties van West Maas en Waal) gebeurt dit door enkelvoudige
Datum: 7 maart 2022
Versie: 1.0
Pagina 27 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
aanmelding. Authenticatie vanaf buiten het eigen netwerk gebeurt altijd d.m.v. Multi Factor Authenticatie., Hiervoor worden de gebruikers accounts uit de on premise Active Directory gesynchroniseerd met Azure AD. Alle diensten van derde partijen die als cloudoplossing (SaaS) worden afgenomen, worden geregistreerd (als zgn. Enterprise App) in Azure AD, en toegang tot deze applicaties wordt van daaruit geregeld.
5.1.3
Werkplek beheer
5.1.3.1
Vaste werkplekken (Thin Clients)
Voor zover de behoefte aan Thin Client hardware nog bestaat, zal deze geleverd en beheerd worden door De Connectie.
5.1.3.2
Mobiele werkplek
De mobiele werkplekken van West Maas en Waal worden vanuit MS Intune beheerd (MDM - Mobile Device Management en MAM – Mobile Application Management))
5.1.4
Applicaties en gegevens
Alle desktop-, client-, en server applicaties worden (technisch) beheerd door de Connectie. Het functioneel beheer van vak-applicaties blijft in beginsel bij WMW. Alle centrale gegevens worden beheerd door De Connectie, waaronder de inrichting en onderhoud van beveiliging en beschikbaarheid (waaronder back-up voorzieningen en de mogelijkheid site fail-over (uitwijk)) Voor Cloudapplicatie geldt dat De Connectie koppelingen daarmee en de toegangscontrole (authenticatie en autorisatie) ertoe verzorgt en beheert. Voor mobiele apparaten geldt specifiek dat ongeoorloofd gebruik vanaf niet beheerde apparatuur wordt verhinderd (middels Mobile Application Management, MAM).
5.2
Criteria en afhankelijkheden
5.2.1
Bepaling voor volgorde, fasering en planning
De volgorde en groepering van de verschillende activiteiten wordt bepaald aan de hand van onderstaande kenmerken: • •
• • • •
Laaghangend fruit (kansen) Urgente vervangingen of implementaties (Unit4, Stipter) Bijv. out of support server hardware Out of Support (Hardware, OS: Windows 2008/2012, vSphere/VMWare 6.7) Wet- en regelgeving (BIO) Onderlinge afhankelijkheden Noodzakelijke en gewenste verbeteringen Kansen op termijn
5.2.2
Gebeurtenissen kalender
In onderstaande tabel zijn de gebeurtenissen opgenomen die van belang zijn voor de volgorde en fasering van de roadmap
5.2.2.1
Urgente vervangingen/acties
In onderstaande tabel is aangegeven welke gebeurtenissen op korte en middellange termijn bepalen van invloed zijn op de volgorde en planning van de overgang naar de dienstverlening van De Connectie
Datum: 7 maart 2022
Versie: 1.0
Pagina 28 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
Gebeurtenis
Periode
Omschrijving
Oplossing Roadmap
G1
Al geweest
Windows 2008/2012 Out of Support
G2
Maart 2022
VM Server Hardware Out of Support
G3
Al geweest
G4
November 2022
Server SAN Storage loopt vol/ nu niet genoeg uitbreiding mogelijk (nu al niet conform BIO) en geen mogelijkheid back-up op disk langer dan 2 weken te bewaren VDI Server Hardware Out of Support
Z.s.m. upgraden naar 2019 (of 2016 i.v.m. applicatie-compatibiliteit). Aansluiten op De Connectie shared platform. Tijdelijke reserveapparatuur beschikbaar maken. Aansluiten op De Connectie shared platform.
G5
April 2022
Unit 4 Financials - Out of support
G6
Maart 2022
Stipter - Out of Support
G7
??? 2022
Telefoon Centrale vervangen
Stipter is Cloud oplossing. Clouddiensten worden gekoppeld aan de Azure omgeving t.b.v., MFA en Conditonal Access MS Phone system (SaaS)
G8
November 2022
VMWare 6.7 - Out of general Support
Hardware/ Hypervisor De Connectie
G9
VMWare - Horizon Out of support
G10
Uitwijk Server Hardware – Out of support
G11
Tape library Hardware – Out of support
Overgaan op de Connectie VDI/ GEM ICT oplossing (Citrix VdI) Aansluiten op de Connectie uitwijk voorzieningen Aansluiten op back-up oplossing van G3DC Connectie. Aanschaf nieuwe WLAN oplossing/ aansluiting bij G3DC standaard.
G12
2023
Vervanging WIFI
Aansluiten op De Connectie shared platform. Tijdelijke reserveapparatuur beschikbaar maken. Unit 4 Cloud (SaaS)
Tabel 10. Overzicht Relevante gebeurtenissen en periode waarin deze (gaan) optreden
5.2.2.2
Kansen
In onderstaande tabel is aangegeven welke punten op de agenda van De Connectie mogelijk kansen zijn voor West Maas en Waal om in te participeren. Gebeurtenis
Periode
Naam
Omschrijving
C1
1 Januari 2023
Vervanging Youforce en Beaufort
C2
Eind 2022/begin 2023 Medio 2022
Nieuwe eHRM oplossing De Connectie (SaaS) Nieuwe FMIS-oplossing De Connectie (SaaS) G3DC EU-aanbesteding telefonie/KCC oplossing o.b.v. MS Phone system
C3
Vervanging TopDesk Vervanging 3 telefonie oplossingen van G3DC
Tabel 11. Mogelijkheden/ kansen
5.2.3
Beslissingen / Voorstel
1.
Om te zorgen voor een goede performance en beschikbaarheid van de dienstverlening aan West Maas en Waal wordt het gemeentehuis in Beneden-Leeuwen verbonden met de primaire locatie van De Connectie (Stadskantoor Arnhem) via een dubbel uitgevoerde glasvezelverbinding.
2.
De Dell R620 server hardware van de VMWare omgeving loopt in Maart 2022 uit support. De Dell R730 hardware ten behoeve van de VMWare VDI omgeving loop in Q4 uit support. Aanschaf van nieuwe servers leidt i.h.a. tot desinvestering, als gekozen wordt voor servers die niet in gebruik zijn bij De Connectie. Om die reden stelt De Connectie voor de vervanging uit te stellen en de risico’s te mitigeren door een server die vergelijkbaar en compatible is met de huidige servers als reserve achter de hand te houden. Op deze manier kan de aanschaftijd (beslissingsproces + levertijd) van de glasvezelverbindingen worden overbrugd en de werking en beschikbaarheid van de huidige West Maas en Waal voor deze periode geborgd.
Datum: 7 maart 2022
Versie: 1.0
Pagina 29 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
a.
b.
3.
R620: bij De Connectie komt binnenkort een aantal Dell R630 servers vrij. 2 servers blijven stand-by op het stadskantoor in Arnhem. 1 server wordt fysiek in het rek geplaatst in de computerruimte van WMW (maar nog niet geconfigureerd). R730: bij De Connectie komt binnenkort een aantal Dell R740DX servers vrij. 2 servers blijven stand-by op het stadskantoor in Arnhem. 1 server wordt fysiek in het rek geplaatst in de computerruimte van WMW (maar nog niet geconfigureerd).
De opslag omgeving (SAN) van West Maas en Waal raakt vol. Vervanging van de storage hardware leidt zeer waarschijnlijk tot een desinvestering wanneer de dienstverlening en diskopslag geleverd gaat worden door De Connectie. De storage apparatuur die in gebruik is bij De Connectie is te uitgebreid en daardoor zeer kostbaar. Voor een kleinere omgeving als die van West Maas en Waal is het daarom niet kosten efficiënt om deze apparatuur vooruitlopend op een overgang naar De Connectie zelfstandig aan te schaffen. Deze overweging, gecombineerd met punten 1. en 2. maakt dat De Connectie adviseert de aanvraag en aanschaf voor de glasvezelverbindingen zo snel mogelijk (fase 1) in gang te zetten.
Plateau’s en fasering
5.3
Op basis van knelpunten, de kansen en de overwegingen stelt De Connectie de volgende volgorde voor om de activiteiten uit te voeren: 1. 2. 3. 4. 5.
Aansluiting op de Connectie; Virtuele lift & shift van de Virtuele Machines van West Maas en Waal naar de datacenters en de server- en storage hardware van De Connectie; Integratie met Identity implementatie (Active Directory, Azure AD) van De Connectie; Overgang naar de virtuele desktopoplossing van De Connectie; Geleidelijke overgang van de applicatie omgeving van West Maas en Waal naar de standaard applicaties uit het portfolio van de Connectie.
De overgang naar de nieuwe situatie gebeurt gefaseerd, waarbij na elke fase een stabiele tussensituatie (plateau) ontstaat, waarmee West Maas en Waal enige tijd kan werken. Tijdens de implementatie projecten die leiden tot de realisatie van een bepaald plateau, ligt de verantwoordelijkheid van het beheer van de veranderende onderdelen bij de projectorganisatie. Realisatie en oplevering van een plateau betekent ook dat de onderdelen zijn overgedragen/opgenomen in het reguliere operationele beheer. Wijzigingen op een omgeving, al dan niet in het kader van deze roadmap, worden door West Maas en Waal als klantverzoek ingediend, waarna vanuit het KKVproces bij De Connectie een advies- en voorgestelde Maatwerkovereenkomst worden aangeleverd. OP basis van deze maatwerkovereenkomst worden de werkzaamheden gepland en uitgevoerd. In de uitvoering van het hele programma worden de plateau’s altijd door éen of meerdere projecten gerealiseerd; m.a.w.: een project realiseert nooit meer dan éen plateau. In onderstaande afbeelding is op hoofdzaken aangegeven hoe de verschillende plateau’s zijn opgebouwd en welke activiteiten het plateau realiseren.
De precieze scope en doorlooptijd van elk plateau is minder vastomlijnd naarmate we verder in de tijd kijken (of te wel: de scope van de eerste plateaus al (behoorlijk) goed afgebakend, voor de latere plateaus zijn er nog wel onzekerheden, die gedurende de faseplanning verder uitgewerkt moeten worden. De plateaus wordt hierna gevisualiseerd en in de navolgende paragrafen in meer detail uitgelegd.
Datum: 7 maart 2022
Versie: 1.0
Pagina 30 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
In de auto-analogie: in plateau I en II voeren we al het achterstallig onderhoud uit en zorgen we dat WMW stabiel en veilig op weg kan. In plateau III en IV groeien we naar volledige aansluiting op de GEM-ICT en dienstverlening van De Connectie.
5.3.1
Plateau I - Hosting
Op Plateau 1 wordt de bestaande centrale virtuele server omgeving van West Maas en Waal gehost in de datacenters van De Connectie. Dit wil zeggen dat de bestaande logische (virtuele) omgeving en inrichting blijft bestaan; de infrastructuur waar deze op draait (datacenter locatie, hardware, netwerk en virtualisatie laag) is die van De Connectie. De huidige fysieke centrale server- en storage hardware van West Maas en Waal wordt dan niet meer ingezet.
5.3.1.1
Gerealiseerde implementaties
Op plateau I zijn de volgende onderdelen gerealiseerd: • • • • •
5.3.1.2 • • • • • •
Glasvezelverbinding Beneden-Leeuwen met De Connectie West Maas en Waal is aangesloten op het LAN van De Connectie Server hardware uitgefaseerd Storage hardware uitgefaseerd Omzetting eGem Diginetwerk naar GemNet
Opgeloste knelpunten Verouderde server hardware VMWare Binnenkort verouderde VDI-server hardware Binnenkort verouderde uitwijk server hardware Verouderde Tapelibrary Afhankelijkheid beperkt aantal beheerders hardware en netwerk Uitwijkvoorziening
Datum: 7 maart 2022
Versie: 1.0
Pagina 31 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
•
5.3.1.3 • • •
• • •
5.3.1.4
De storageomgeving van De Connectie wordt gebruikt, waarover capacity management plaatsvindt, zodat er geen ruimtegebrek probleem meer is
Gerealiseerde verbeteringen Onderliggende hardware is volledig redundant uitgevoerd en geplaatst in een tier-3 datacenter (ISO27001/2) en volledig beheerd door meer dan 1 persoon Geografische Redundantie (2 datacenters), met onderlinge storage replicatie ten behoeve van uitwijk IT Service Management processen (ITIL) ingericht voor West Maas en Waal en ondersteund door het ITSM-systeem van de Connectie (thans: TOPdesk): o Incident management o Problem management o Change management o Servicemanagement o Service request o Configuration management o Verbeterbeheer o KKV-proces Opleidingsplan vastgesteld: beheer hosting omgeving door meerdere medewerkers (pool) uitgevoerd. Instroom, doorstroom en uitstroom proces volgens dc-norm. West Maas en Waal ICT is opgenomen in de uitwijk voorziening van De Connectie
Contracten
Alle betrokken contracten en licenties blijven in beginsel in eigendom en beheer bij WMW, tot dat deze op een natuurlijk moment aflopen. Op dat moment zal in gezamenlijk overleg bepaald worden of contracten en licenties aangegaan worden door De Connectie en als een dienst geleverd worden aan WMW.
5.3.1.5 •
5.3.2
Risico’s Aanschaf en levering van glasvezelverbindingen tussen Beneden-Leeuwen en Arnhem hebben een lange doorlooptijd (levertijd is ca. 18 weken). Gedurende deze periode blijven een aantal knelpunten bestaan: VMWare server hardware out of support. Om het risico te mitigeren worden stand-by servers beschikbaar gehouden, compatibel met de huidige VMWare en VDI-servers, vanuit de pool van vrijkomende/ beschikbare servers van G3DC.
Plateau II – Aansluiting IAM, Werkplek en WiFi
Op plateau II is West Maas en Waal opgenomen in de Identity- en access management van De Connectie en daarmee ook in het onderliggende beveiligingsbeleid.
5.3.2.1
Gerealiseerde implementaties
Op plateau II zijn de volgende onderdelen gerealiseerd: • • • • • • •
Gebruikers en Computers zijn geregistreerd in Identity Store (Active Directory en Azure Active Directory) van De Connectie West Maas en Waal maakt gebruik van de VDI-oplossing (GEM-ICT) van De Connectie Laptops zijn gekoppeld aan Mobile Device Management (Intune) omgeving van De Connectie Aanschaf, inrichting en centraal beheerde WLAN-oplossing Technisch Applicatiebeheer is opgeschaald en er is een opleidingsplan vastgesteld Verouderde Wireless Acces Points zijn vervangen en worden centraal beheerd. NADER VAST TE STELLEN: De Unit4 applicatie wordt als de cloudoplossing afgenomen bij de leverancier.
Datum: 7 maart 2022
Versie: 1.0
Pagina 32 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
5.3.2.2 • • • • • •
5.3.2.3 • • • • •
5.3.2.4
Opgeloste knelpunten Verouderde server hardware VDI-omgeving Verouderde besturingssystemen (Windows 2008), vSphere 6.7 Performance Virtuele (CAD) werkstations Vervanging verouderde Wifi Access Points (WAP) Afhankelijkheid kennis van een enkele medewerker Locatie en hardware die gebruikt wordt om de West Maas en Wal te faciliteren, zijn opgenomen in de procedures, maatregelen en de security by design inrichting van De Connectie waardoor de kwetsbaarheid veel kleiner is dan in de oorspronkelijk situatie
Gerealiseerde verbeteringen Identity management Toegang via rollen (RBAC) Werkplekken opgenomen in standaard beheeromgeving De Connectie Contract- en licentiemanagement Instroom, doorstroom en uitstroom proces volgens dc-norm
Contracten
Alle betrokken contracten en licenties blijven in beginsel in eigendom en beheer bij WMW, tot dat deze op een natuurlijk moment aflopen. Op dat moment zal in gezamenlijk overleg bepaald worden of contracten en licenties aangegaan worden door De Connectie en als een dienst geleverd worden aan WMW
5.3.2.5
Risico’s
Nader te bepalen bij het opstellen van het faseplan voor plateau II.
5.3.3
Plateau III - SaaS koppelingen en Standaard Beheer
Op plateau III zijn belangrijkste bestaande onderdelen gekoppeld aan de IAM-inrichting van De Connectie en worden beheerd via de standaard (ITSM) processen bij De Connectie. De Clouddiensten zijn via Enterprise Apps gekoppeld aan Azure AD van De Connectie, waarvandaan toegangscontrole (Conditional access) en Multi Factor Authenticatie wordt geregeld.
5.3.3.1
Gerealiseerde implementaties
Op plateau III zijn in ieder geval de volgende onderdelen gerealiseerd: • • • •
Alle onderdelen ten behoeve van de IT-ondersteuning voor West Maas en Waal zijn opgenomen in de standaarddienstverlening van De Connectie West Maas en Waal is opgenomen in of gekoppeld met de MS Azure tenant van De Connectie De inrichting en het beheer van de benodigde protocol certificaten is volledig ingericht (PKI, Certificaten beheer, zoals vernieuwen certificaten vanuit kalender) Waar mogelijk zijn de gegevens koppeling met externe applicaties gerealiseerd via de Enterprise Service Bus (jNet)
De lijst met te realiseren implementaties moet mogelijk nog aangevuld worden, als gevolg van uitwerking van het faseplan.
5.3.3.2 • • •
Opgeloste knelpunten Verouderde beveiligingsinrichting Borgen van continuïteit en beschikbaarheid vanuit kennisdeling in het beheer …
Datum: 7 maart 2022
Versie: 1.0
Pagina 33 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
5.3.3.3 •
• •
5.3.3.4
Gerealiseerde verbeteringen Applicaties in de Cloud (SaaS) zijn gekoppeld, hiermee zijn de volgende zaken geregeld: o Single Sign On o Multi Factor Authenticatie o Toegang tot applicaties op basis van Rollen (RBAC) Conditional Access …
Risico’s
Nader te bepalen bij het opstellen van het faseplan voor plateau III.
5.3.4
Plateau IV - Volledig in dienstverlening De Connectie
[Nader aan te vullen en uit te werken gedurende implementatie] Na plateau III zullen de nog bestaande verschillen tussen de huidige situatie bij West Maas en Waal en de standaarddiensten van De Connectie, zoals de omzetting van de West Maas en Waal-specifieke bedrijfsapplicaties naar een standaardoplossing van De Connectie.
5.3.4.1
Gerealiseerde implementaties
Op plateau IV zijn in ieder geval de volgende onderdelen gerealiseerd: • •
De West Maas en Waal eigen componenten, zoals de eigen Active Directory, zijn afgebouwd Business applicaties zijn op basis van daarvoor specifieke plannen en begrotingen gemigreerd naar de GEM-ICT omgeving.
De lijst met te realiseren implementaties moet mogelijk nog aangevuld worden, als gevolg van uitwerking van het faseplan.
5.3.4.2 • •
5.3.4.3 •
5.3.4.4
Opgeloste knelpunten Inzichtelijkheid in kosten Borging van beschikbaarheid, veiligheid, capaciteit en werkbaarheid (performance) van de IT-diensten ten behoeve van de bedrijfsvoering
Gerealiseerde verbeteringen Gezamenlijk formuleren van It strategie. De Connectie draagt kennis bij met betrekking tot beveiligingsvraagstukken en ICT-architectuur. Dit betekent onder meer dat De Connectie de kennis onderhoudt van wet -en regelgeving maar ook van ontwikkelingen als het Common Ground principe
Risico’s
Nader te bepalen bij het opstellen van het faseplan voor plateau IV.
Datum: 7 maart 2022
Versie: 1.0
Pagina 34 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
6
Ontwerpbeslissingen
Ten behoeve van het opstellen van de Roadmap voor West Maas en Waal is vooraf een aantal ontwerpbeslissingen gemaakt, welke in dit hoofdstuk nader onderbouwd worden.
6.1
WMW maakt gebruik van de G3DC GEM-ICT dienstverlening
Ontwerpkeuze
WMW ICT voorzieningen worden gebaseerd op - en geleverd vanuit de GEM-ICT dienstverlening die gerealiseerd is t.b.v. G3DC Architectuurdomein Infrastructuur / housing & hosting / dienstverlening Beschrijving De keuze om GEM-ICT als basis te nemen voor de ICT dienstverlening aan WMW is gebaseerd opde volgende redenen: • Door diensten af te nemen (in plaats van componenten) vindt scheiding van verantwoordelijkheden plaats: WAT → WMW, HOE → De Connectie. De Connectie kan daardoor zelf optimaliseren binnen de manier waarop diensten worden aangeboden. • Aansluiten op best-practices (proces, organisatie, techniek) t.b.v. G3DC betekent profiteren van de kwaliteit, transparantie in kosten en innovatie. • GEM-ICT als geheel heeft continuiteit en security hoog in het vaandel staan. • Afwijkende omgevingen maken beheer complexer, arbeidsintensiever en daarmee duurder. De kans op fouten wordt groter. Alternatieven Alternatief 1: Afnemen op basis van componenten/diensten van verschillende leveranciers: • Er is meer keuzeruimte voor WMW, ten koste van: • Gevaar op toename van (integratie)complexiteit; • Verhoging van kosten; • Beheer/regiecomplexiteit als meerdere externe partijen een IVketen vormen die door WMW geregiseerd moet worden. Alternatief 2: WMW gaat het weer helemaal zelf doen.
• Dit is de situatie waar WMW nu juist vandaan komt, wat juist de nodige problematiek heeft doen ontstaan. Beslissingscriteria GEM-ICT Alternatief 1 Alternatief 2 dienstverlening Keuze vrijheid o ++ ++ Best practices ++ +? ? Schaalvoordelen ++ Beheer/regie complexiteit + -? -? Continuiteit en security ++ o? ? WMW focus op business i.p.v. ICT + o? Conclusie Door het gebrek aan schaalgrootte bij WMW is aansluiten bij een “Shared Service Center’, zoals de Connectie de beste aanpak om tot kwalitatief goede dienstverlening te komen.
Datum: 7 maart 2022
Versie: 1.0
Pagina 35 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
6.2
Migratie naar DC Datacenters
Ontwerpkeuze
Migratie virtual servers en server hardware naar DC datacenters i.p.v. handhaven op huidige locatie / of direct naar Azure Cloud Architectuurdomein Infrastructuur / housing & hosting Beschrijving De keuze om de hosting van virtual servers en gebruik van hardware servers te leveren vanuit de DC datacenters is gebaseerd op een aantal redenen: • De computerruimte en facilitaire voorzieningen van WMW zijn. kwalitatief onvoldoende, ongeveer TIER-0. De DC datacenters zijn geclassificeerd op niveau TIER-III. • Door gebruik te maken van het shared platform sluit WMW aan op de best practices voor hosting en kan gebruik maken van de schaalvoordelen van gestandaardiseerd beheer. • Er is een beperkte lock-in op dienstverlening van De Connectie. De inrichting van de dienstverlening en ICT middelen is zodanig dat deze altijd over te dragen is naar een andere partij. Alternatieven Alternatief 1: Verbeteren eigen voorzieningen • Hoge kosten om eigen voorzieningen (computerruimte gemeentehuis en werf) richting tenminste TIER-II te verhogen: verbeteren stroomvoorziening, brandblus, toegangsbeveiliging. Dan nog is de kwaliteit lager dan wat de Connectie biedt. • Hosting infrastructuur blijft lokaal staan, moet geupgraded worden. Geen gebruik van schaalvoordelen de Connectie. • In hoeverre risico’s gemitigeerd kunnen worden is niet duidelijk.
• Verbetering van de facilitaire voorzieningen zal een doorlooptijd kennen die waarschijnlijk richting 9 tot 12 maanden zal gaan. • Geen lock-in. Alternatief 2: Verhuizen naar Microsoft Azure. • De kwaliteit en verscheidenheid van diensten die geleverd worden door Microsoft Azure zijn zeer hoog. Daarbij ook de toekomstvastheid. • * Rond intensief gebruik van Microsoft Azure is nog veel onduidelijk. De Connectie is bezig met een beperkt aantal proeven in samenwerking met Arnhem. Met name de kostenontwikkeling bij grootschalig (7x24?) gebruik zijn onbekend en vormen daarmee een groot risico. Beslissingscriteria Migratie naar DC Verbeteren eigen Migratie naar datacenters voorzieningen Microsoft Azure Kwaliteit voorzieningen ++ o ++ Best practice van De Connectie ++ o * Schaalvoordelen ++ * Kosten ++ -* Risico’s ++ ? * Lock-in o ++ * Conclusie Gezien de kwaliteit van de facilitaire omgeving bij WMW en doorlooptijd en kosten die gemoeid zijn met verbeteren van die omgeving is migreren van zoveel mogelijk voorzieningen naar de Connectie de beste optie. (Gedeeltelijk) migreren naar Azure kan in de toekomst een optie zijn, daarvoor dient de Connectie echter eerst meer ervaring te hebben met Azure mogelijkheden en de daaruit resulterende exploitatiekosten.
Datum: 7 maart 2022
Versie: 1.0
Pagina 36 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
6.3
Glasvezel (dark fiber)
Ontwerpkeuze Architectuurdomein Beschrijving
Alternatieven
Datum: 7 maart 2022
(Redundante) dark fiber glasvezel in plaats van een goedkoper alternatief Infrastructuur / connectiviteit Deze keuze hangt samen met keuze 6.1. Om soepel te kunnen werken (met VDI, Teams, printen, e.d.) moet rekening gehouden worden met bandbreedte en latency (netwerkvertraging) vereisten: • Bandbreedte: 100 Mbps vast + 200 tot 500 Kbps per actieve VDI. Uitschieters naar 1 Mbps per VDI is mogelijk. Met 100 concurrent VDI gebruikers moet rekening gehouden worden 120 tot 150 Mbps bandbreedte. • Latency: vereist is ca. 1 ms, met een maximum in de praktijk van 5 a 10 ms. Daarboven wordt de respons te slecht (scherm loopt achter op typen, wat leidt tot gebruikersontevredenheid). Een keuze voor dark fiber / glasvezel is de “best practice” om “satelliet locaties” op afstand te verbinden met centraal opgestelde hosting voorzieningen en te voldoen aan de bandbreedte EN latency eisen.. • Dark fiber is een directe (IP) verbinding, zonder tussenschakels. Daardoor levert deze maximale performance en daardoor minimale vertraging; gelijkwaardig of beter “als dat de servers nog op locatie zelf” staan. • In het algemeen kan de bandbreedte eenvoudig en zeer ver opgeschaald worden door toepassing van betere belichtingsapparatuur, zonder dat de kosten “van de lijn” toenemen. Bandbreedte tot 40 Gbps is geen uitzondering meer.
• De theoretisch beschikbare performance en bandbreedte is volledig haalbaar. Daarmee is de connectiviteit voorbereid op de zwaarste toepassingen (videobellen, telefonie, online samenwerken, etc.). • Zeer veilige verbindingen: het afluisteren van een glasvezel verbindingen is zeer complex. De verbinding komt direct op de “core netwerk infra” binnen. Daarmee is de dienst ook niet gevoelig voor cyber aanvallen op Internet verbindingen van WMW en De Connectie. Redundantie op basis van dark fiber is kwalitatief de beste methode om beschikbaarheid te borgen. In geval van glasbreuk is er een minimale verstoring / onderbreking van de dienst, met behoud van performance. Zakelijke Internet verbinding: • Weinig / geen controle over performance / bandbreedte: een verbinding kan over vele schakels heenlopen. (Bij wijze van spreken via Parijs). De theoretisch beschikbare bandbreedte wordt in het algemeen “gedeeld” door vele partijen, de verbinding loopt immers over gezamenlijke infrastructuur. • Latency / netwerkvertraging i.h.a. goter dan 10 ms en is sterk afhankelijk van de totale belasting. • Relatief grotere kans op verstoringen (zowel fysiek als digitaal). Geen invloed op onderhoud, hersteltijden, etc. • Verbindingen komen binnen via de Internet verbinding van De Connectie..
De beschikbaarheid van de digitale werkplek is daarmee gevoeliger voor cyber-aanvallen op de ingangen van zowel WMW, De Connectie als de zakelijke dienstverlener. Versie: 1.0
Pagina 37 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
EVPN Verbinding • E-VPN is een verbeterde zakelijke internet verbinding. Verbetering zit o.a. veilige (versleutelde) verbindingen, monitoring en betere service levels. • De verbinding wordt geleverd over standaard Internet en kent daarmee in beginsel dezelfde kwalen als een zakeiljke Internet verbinding, met name latency en verstoringen op de Internet verbindingen. Beslissingscriteria Glasvezel Zakelijk Internet EVPN Best practice van De Connectie ++ Kwaliteitsgarantie ++ o Toekomstvastheid ++ o Eenvoud van de oplossing ++ o o Latency vereiste ++ -Kosten + o Conclusie De kosten van glasvezel zijn weliswaar hoger, echter gegeven het belang van de dienstverlening van WMW zijn de voordelen van glasvezel t.o.v. zakelijk internet of EVPN zo veel groter dat het kostenverschil goed wordt gemaakt.
Datum: 7 maart 2022
Versie: 1.0
Pagina 38 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
Bijlagen Bijlage A. Centrale Bedrijfsapplicaties West Maas en Waal Pakket Naam
Referentiecomponenten gemeente
ArcGIS Pro
Pakketversie Naam 2.3
JCC JCC-Afspraken JCC-Betalen
2.4 1.12
Afsprakenbeheercomponent Kascomponent
Klinkende Taal InfraCad/ InfraCad Map GML Viewer GWWBundel
2.1.1810.0 6.9.8603 Versie 3.0 5.3.0.
Homerun KLICviewer Kikker Lias Enterprise NedPlan BAM 2020 Online
3.42.0103 4.3.0.0 5.2vb 1.60 3.1 8.2018.02 (Onpremise)
Documentcreatiecomponent Geo-gegevens beheercomponent Geo-gegevens beheercomponent, WRO-component Bestekkencomponent Personeelsinformatiecomponent, Accommodatiebeheercomponent Bodembeheercomponent BOR-component Bedrijfsproces beheercomponent (BPM) WRO-component
MeldDesk AdminLight MobaXterm
20.4.0.0 0.9.3.50 9.4
Keesing
23.9
Gravenbeheercomponent Meldingen openbare ruimtecomponent, Mobiel-toezicht-enhandhaving component Kascomponent IT-objectencomponent Baliecomponent, Burgerzakencomponent, Documentbeheercomponent
Centric Suite Key2Datadistributie Key2Financien Key2GBA-V Key2VOA
2.41 3.25 02.40 3.09
Gegevensdistributiecomponent Financieel component Gegevensdistributiecomponent VOA-component
Google Drive
1.10.4769.0632
JoinNow Email Importer Zebradesigner
6.0.26 5.5.6 2.5.0.9393
Documentbeheercomponent Documentbeheercomponent, Documentcreatiecomponent, Documentregistratiecomponent, Archiefportaalcomponent, Scanning-en-imagingcomponent E-formulieren publicatie-en-beheercomponent Documentcreatiecomponent
Office i-Navigator Webservice Client i-Navigator
2.0 3.2.0.40
Documentbeheercomponent Documentbeheercomponent
Kofax Capture SimplerInvoicing Import Controller KTM DatabaseDialog
1.0 5.1 1.0.2
Documentbeheercomponent, Documentcreatiecomponent Financieel component E-formulieren publicatie-en-beheercomponent Data-laad-en-transformatiecomponent
Procura Burgerzaken Microsoft Office 365 Tim Enterprise
1.10.1412.2315 LLAX 04.3.8.03 (PROBEV) 1908 2019.1
Belastingencomponent GBA-administratiecomponent, Relatiebeheercomponent (CRM) Documentcreatiecomponent Tijdregistratiecomponent
Youforce
Youforce
Salarisadministratie en -verwerking component
Belastingdienst Loonheffing
Datum: 7 maart 2022
Geo-gegevens beheercomponent
10.2
Versie: 1.0
Pagina 39 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
SafeQ Workspace
D.0.22.009 5.4.0.1.
Suite4Werk en Inkomen
7
IT-objecten component, Scanning-en-imaging component Zelfredzaamheidontwikkelcomponent Inkomenscomponent, Re-integratie- en werkzoekendencomponent
FME PADS4
4.10
SQL Query builder voor databases. Wordt volop gebruikt Mediamonitor- en webcarecomponent
Tabula Gaia Erdas Apollo Console MapGuide Maestro Tabula
3.4 2018 6.0.M10 1.2
Geo-gegevens beheercomponent Geo-gegevens beheercomponent Geo-gegevens beheercomponent Geo-gegevens beheercomponent
Rodin
2.1.382.13
Verkeer- en vervoerinformatiecomponent
VNG V en G Werkstation VGPlan
3.0.0.2 3.02
IT-objectencomponent Projectmanagementcomponent
GeognoSIS GeoVisia
8.0 6.3.x
Geo-gegevens beheercomponent BGT-beheercomponent
Versie 4.1 18.x
Gegevensmagazijncomponent, Data-laad-entransformatiecomponent BAG-beheercomponent Gegevensmagazijncomponent Gegevensdistributiecomponent Gegevensdistributiecomponent, Servicebus component
Neuron Neuron (geo) Gegevensmagazijn Neuron BAG Neuron BRK Neuron Communicator Neuron ESB Neuron GIS Neuron Stroomlijn Neuron WKPB AquaView 7-Zip Adobe Acrobat Pro DC
Geo-gegevens beheercomponent Geo-gegevens beheercomponent Wkpb-component 7.2.1.2065 16.04 v10 build 2019.010.20098
Meldingen openbare ruimtecomponent Documentbeheercomponent Documentbeheercomponent
Bijlage B. End of Support – IT componenten B.1 VMWare vSphere To help customers with that transition, we are extending the general support period for v Sphere 6.7. Originally, vSphere 6.7 was scheduled to reach on November 15, 2021. We are extending this date by 11 months, to October 15, 2022. The original EoTG (End of Technical Guidance) date of November 15, 2023 still applies for vSphere 6.7. There is no change in supportability dates for any other vSphere release.
Datum: 7 maart 2022
Versie: 1.0
Pagina 40 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
B.2 Windows 2012 R2 Vermelding
Begindatum
Windows Server 2012 R2
25 nov. 2013
Einddatum van basisondersteuning 9 okt. 2018
Verlengde einddatum 10 kt. 2023
B.3 Oracle
Nog nader uit te zoeken of er Oracle producten worden toegepast die niet in het Oracle contract van De Connectie zijn opgenomen. Dat zijn de volgende producten / componenten: Database Enterprise Edition - Diagnostics Pack (beheer) - Tuning Pack (beheer) - Database Lifecycle Management (beheer) WebLogic Suite (WLS) - WLS Management Pack Enterprise Edition (beheer) Multitenant Active Dataguard Partitioning Spatial Advanced Compression Advanced Security Audit Vault Data Masking Database Vault
B.4 Unit 4 Financials Support op versie 12 is inmiddels verlopen
Datum: 7 maart 2022
Versie: 1.0
Pagina 41 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
Bijlage C. Componenten per product De Connectie C.1 Accounts en autorisatie Dataopslag gebruikers Identity & Access Management Account gebruiker
Account leverancier Account special Account cursist
Mailboxen Mappen
C.2 Applicaties en toepassingen Ontwikkelomgeving Testomgeving Acceptatieomgeving Productieomgeving SaaS omgeving Dataopslag applicaties Domeinnamen Backup & Restore SQL Developer TOAD for Oracle Microsoft Office (Word, Excel, PowerPoint)
Microsoft Access 7-ZIP Microsoft Outlook Adobe Acrobat Reader Internet Browser: Google Chrome Internet Browser: Firefox Internet Browser: Internet Explorer Adobe Creative Cloud CC All Apps Adobe Acrobat Pro Adobe Creative InDesign CC
Adobe Creative Photoshop CC Microsoft Visio Microsoft Visio Viewer Microsoft Project Microsoft Project Viewer Mail Encryptie Hardware Certificaten PKIO Certificaten Self-Signed Certificaten SSL Certificaten
C.3 Basis infrastructuur Infrastructuur monitoring Infrastructuur wachtwoordbeheer Dataopslag organisatie Alles-in-1 netwerkprinter hoge printvolumes kleur (IM C4500) Technisch applicatiebeheer Werkplekbeheer Technisch werkplekbeheer Technisch systeembeheer Functioneel werkplekbeheer Technisch databasebeheer (Oracle & Microsoft SQL)
Koppelingenbeheer Sjabloon- en formulierenbeheer Procesmanagement Technisch ICT-architectuur beleid ICT-security beleid Mail- en agendafunctionaliteit Digitale werkplek Doelarchitectuur ICT De Connectie Mobile device management Connectivity (LAN / WAN)
Telefooncentrale WIFI-gasten WIFI GOVroam WIFI overig ICT-advies kort Fysieke Servers Virtuele Servers Fysieke Opslagsystemen Netwerkcomponent Access Points
Tas Thuiswerkplek Kabel tablet Kabel smartphone Bedrade oordopjes GSM Smartphone iOS standaard Smartphone iOS plus lijn Smartphone Android standaard Smartphone Android plus lijn Oplader iOS smartphone Oplader Android smartphone Oplader GSM Simkaart data Simkaart data + spraak Nummerportering Vaste telefoon IP Vaste telefoon analoog Headset bedraad stereo Headset bedraad mono
Secretaressepaneel Hoornlifter Groepsschakeling Presentatieschermen Mobiel presentatiescherm Beamer Leenbeamer Leenprojectiescherm Digitale Flipover Inrichting rampenorganisatie Alles-in-1 netwerkprinter lage printvolumes zwart/wit (IM 350) Netwerkprinter kleur (SP C352DN) Netwerkprinter zwart/wit (SP 4510DN/P502) Alles-in-1 tafelmodel netwerkprinter lage printvolumes kleur (MP C307SP/IM C300) Alles-in-1 tafelmodel netwerkprinter lage printvolumes zwart/wit (IM C350)
C.4 ICT werkplek Werkplek CAD/ GIS Standaard ICT-werkplek Toetsenbord Muis Thin client Monitor Monitor groot Laptop standaard Laptop groot Kensington-slot Leenlaptop Laptop ICT-beheerder Oplader laptop Docking station Tablet iPad Tablet beschermhoes Tablet beschermhoes incl. geïntegreerd toetsenbord Microsoft Surface Pro Leen tablet
Datum: 7 maart 2022
Versie: 1.0
Pagina 42 van 43
De Connectie Roadmap West Maas En Waal V1.0 - Met Spellingscheck
Citrix muis Oplader tablet iPad Stylus pen tablet iPad Sleeve
Headset draadloos stereo Headset draadloos mono Telefoonnummer algemeen Telefoonnummer medewerker
Labelprinter Multi Factor Authenticatie Vaste Telefoon DECT
Bijlage D. Specificaties VMWare Server hardware D.1 Huidige West Maas en Waal servers 3 x Dell R620 Memory: CPU:
--- SERVERS 384 GB 2 x 8 Cores x 2Ghz
Totaal 1152 GB 3 x 16 x 2 Ghz = 96 Ghz
3x Dell R730 Memory: CPU: Graphics:
--- VDI 384 GB 1152 GB 2 x 12 Cores x 2,2 GHz 3 x 24 x 2,2 GHz = 158,4 GHz 1x nVidia M10 of gelijkw. 3 kaarten.
D.2 Optie standby / reserve servers (vanuit DC pool) R630 → 3 x Dell R630 Memory: CPU:
384 GB (vol) 3 x 10 x 2,6 Ghz
1152 3 x 20 x 2,6 Ghz = 156 Ghz
(2660-E5 v3)
R630 lopen uit het service contract: kunnen nog wel in contract genomen kunnen worden. Nog niet afgeschreven. Afkomstig van Rheden. Zijn nu vrij. Boekhoudkundige afstemming / overboeking o.b.v. restwaarde en kosten supportcontract.
Datum: 7 maart 2022
Versie: 1.0
Pagina 43 van 43