SAP sur Google Cloud : Configurez votre réseau pour un déploiement sans faille

SAP s’est imposée comme l’épine dorsale de milliers d’entreprises sur laquelle repose les fonctions métiers les plus essentielles telles que la finance, la gestion de la chaîne d’approvisionnement (supply chain), la gestion des stocks et bien plus.

Google Cloud propose une infrastructure hautement évolutive et résiliente pour accueillir et exécuter de telles charges de travail critiques et propose des outils, tels que Smart Analytics et Machine Learning, pour accélérer la transformation numérique de votre entreprise.

De fait, une récente étude Forrester révèle que l'exécution de SAP sur Google Cloud peut générer un retour sur investissement (ROI) de 160% avec une période d'amortissement de moins de six mois grâce aux économies de coûts d'infrastructure réalisées, à la suppression des temps d'arrêt et à la productivité améliorée qui en découle.

La majeure partie du réseau Google étant virtuelle, les administrateurs SAP peuvent facilement concevoir des paysages complexes à la fois adaptés au déploiement de SAP et à la structure organisationnelle de leur entreprise, tout en répondant aux exigences les plus strictes en matière de sécurité et de maintien en conditions opérationnelles.

Lorsque vous démarrez avec SAP sur Google Cloud, vous devez décider comment configurer votre réseau pour garantir la disponibilité et les performances des différents systèmes SAP. Nous allons voir ici les différentes options qui s'offrent à vous.

VPC et VPC Partagé

Un cloud privé virtuel (VPC) est un réseau privé, isolé et sécurisé, hébergé dans Google Cloud. Les VPC sont globaux au sein de Google Cloud, de sorte qu'un seul VPC peut couvrir plusieurs régions du globe sans communiquer avec l'Internet public. De même, les sous-réseaux (subnets) peuvent s'étendre sur plusieurs zones d'une même région. Une zone représente un domaine de défaillance unique, de sorte que les déploiements SAP typiques privilégient un placement des systèmes de production et HA (haute disponibilité) dans des zones différentes pour garantir la résilience. Google Cloud simplifie ce type de déploiement, car les sous-réseaux contenant les systèmes de production et les systèmes HA peuvent s'étendre sur plusieurs zones.

Cette conception simplifie également le clustering SAP, puisque l'adresse IP virtuelle (VIP) du cluster peut être dans la même plage que celles des machines de production et HA. Cette configuration protège l'IP flottante à l'aide des équilibreurs de charge (load balancers) internes de Google et est applicable au clustering HA de la couche d'application (ASCS et ERS) et de la couche "base de données" HANA (HANA primaire et secondaire).

Les VPC partagés sont une fonctionnalité propre à Google Cloud. Ils permettent à une entreprise de connecter les ressources de plusieurs projets à un réseau VPC commun afin qu’elles puissent communiquer entre elles de manière sécurisée et efficace en utilisant des IP internes. Vous pouvez également contrôler de manière centralisée le réseau de tous les projets SAP (aussi appelés projets ‘service’) à partir du projet hôte, tout en utilisant des pare-feux pour inspecter la communication entre les serveurs d’un même sous-réseau, et entre ceux de sous-réseaux différents. Une bonne pratique consiste à limiter la communication entre ces systèmes aux seuls ports requis - généralement par le biais d’une communication « SAP remote function call (RFC) » au niveau de la couche 4 .

Lorsque vous concevez votre réseau, commencez par un projet hôte contenant un ou plusieurs réseaux VPC partagés. Vous pouvez attacher des projets « service » supplémentaires à un même projet hôte, ce qui leur permet de participer au VPC partagé. Il est en effet courant dans l’univers SAP d'utiliser plusieurs projets « service », exploités et administrés par différents départements ou équipes de votre organisation.

En fonction de vos besoins, vous pouvez déployer SAP sur un seul ou plusieurs VPC partagés. Les deux scénarios diffèrent en termes de contrôle du réseau, d'isolation de l'environnement SAP et d'inspection du réseau. Examinons de plus près ces différences.

Scénario 1 : Déploiement de SAP sur un seul VPC partagé

Si vous n'avez besoin que d'une seule inspection réseau, autrement dit un seul niveau de surveillance et de filtrage, le déploiement de SAP sur un seul VPC partagé présente l'avantage de la simplicité et réduit la charge d’administration de l’ensemble.

• Contrôle du réseau : Le VPC partagé sert de hub, permettant une gestion centrale du réseau basée sur les rôles IAM (gestion des accès et identités) par la ou les équipes réseau dans les environnements de production et de non-production.

• Isolation de l'environnement SAP : Vous pouvez créer des projets et des sous-réseaux pour chaque environnement SAP. Les projets permettent de regrouper les ressources pour un contrôle IAM plus fin et une meilleure visibilité de la facturation, tandis que les sous-réseaux assurent l'isolation de chaque environnement SAP. Dans les projets « service », les serveurs peuvent communiquer par défaut ; toutefois, vous pouvez adopter des règles de pare-feu simples pour bloquer la communication entre les serveurs au sein d'un sous-réseau ou entre des sous-réseaux distincts.

• Inspection du réseau : Utilisez les pare-feux de Google Cloud pour autoriser uniquement les ports nécessaires à la communication entre les systèmes SAP. Exploitez les balises réseau et les comptes de service pour définir un contrôle granulaire du trafic nord-sud et est-ouest.

Scénario 2 : plusieurs VPC partagés pour un même déploiement SAP

Dans les scénarios nécessitant des inspections supplémentaires du réseau, vous pouvez créer plusieurs VPC partagés. En règle générale, on utilise un VPC partagé par environnement SAP. On utilise ensuite la fonction de « peering » entre ces VPC partagés pour permettre la communication RFC entre les environnements SAP de développement, d'assurance qualité et de production par exemple.

• Isolation du réseau : Les VPC partagés multiples sont complètement isolés les uns des autres, sauf par des ports spécifiques ouverts dans les pare-feux de Google Cloud. Cela permet une inspection supplémentaire du trafic est-ouest par une appliance virtuelle réseau (NVA) au sein d'un réseau Google Cloud.

Enfin, il est aussi possible d’envisager des scénarios hybrides, par exemple en utilisant un VPC partagé pour l’environnement SAP de production et un autre VPC partagé regroupant tous les systèmes SAP hors production. Un tel arrangement permet l'inspection du réseau entre les systèmes de production et de non-production mais limite à deux le nombre de couches d'administration centrale du réseau.

Pour conclure, on retiendra que la configuration de l'environnement réseau pour plusieurs systèmes SAP peut se révéler un processus complexe. Grâce aux clouds virtuels partagés (Shared VPC) de Google Cloud et à d'autres outils complémentaires, les administrateurs SAP peuvent créer des réseaux évolutifs et sécurisés qui apportent logique, résilience et visibilité à leurs déploiements dans le cloud.

Découvrez plus en détail ces fonctionnalités réseau avancées et l’intégralité de notre offre dédiée aux clients SAP.