标准解读|ISO/IEC 20000系列Ⅱ：IT管理的基石-配置管理

某公司是传统行业， IT部门有很多团队，每个团队都建立自己的文件来管理配置信息，如主机配置文件、网络配置文件、机房配置文件等，主要用来管理各个团队使用的硬件资产。2016年公司为了及时响应客户的服务要求，提升企业的竞争能力，采取了向“互联网+”转型的战略。

公司大量的引用新技术，一方面引入微服务架构，对公司核心系统进行重构，各种微系统之间的调用关系日益复杂，对系统运维能力提出了严格的要求；另一方面引入云服务，对网络设备以及硬件服务器这样的底层设施的管理，越来越依赖于云服务供应商。在这种背景下，原来采用配置文件，聚焦于硬件设备管理的运维方式已经不合时宜。

因此,公司如需规范化的进行配置管理主要有以下两大关键步骤：

一、资源管理，侧重于硬件资源
1、在CMDB（Configuration Management Database）中，确定服务器，网络，IDC，机柜，存储，配件等资源及其属性；
2、梳理以上信息的关联关系，并对拓扑关系进行可视化和动态展示；
3、基于这些信息做流程规范建设，管理服务器的上线、下线等流程；
4、进行状态变更管理保持CMDB中的基础信息和关联关系的更新。

二、应用管理，侧重于应用系统
1、建立应用标识，如应用部署的基础软件包，应用发布目录，启停脚本，应用运行的参数配置，运行的端口号等
2、建立应用标识同硬件资源的关联关系
3、基于这些信息进行应用管理，如系统的部署，回退，备份等；
4、进行变更管理保持应用基础信息和关联关系的更新。

有了准确详尽的配置信息支持，IT部门的开发、运维，质量保障团队能紧密合作，做到了持续交付，极大的提高了支持和响应能力。

为了发挥配置信息的核心作用，审核工作是必不可少的重要环节之一，可以采用下面的方法定期进行审核。 

1、每天使用自动脚本按制定的规则对数据进行扫描，将有问题的资产拉入“黑名单”，并以邮件的形式发送给运维处理。
2、每周随机抽查配置数据，与实际情况进行对比，来发现数据错误。
3、每月依据配置信息的变更日志进行回算，得到一些汇总数据，并同工单等外部系统得到的汇总数据进行对比，来判断是否有数据记录错误。
4、对配置信息中发现的错误，除了订正数据，还需要找出问题的根本原因，防止类似的问题再次发生。

通过上面的案例，我们了解到配置管理的重要性，但每个企业的状态有所不同，我们怎样才能进行合理的配置管理呢？

 ISO/IEC 20000是为IT服务管理而制定的一个标准，使组织能了解如何从内部和外部改进其服务质量，它对配置管理提出了明确的要求，我们可以参照这个标准的要求来进行配置管理的建设。


ISO/IEC 20000配置管理的核心内容:  


其中配置信息的详细程度是一个比较难于把握的内容：配置信息粒度太细会导致维护成本太高，粒度太粗则会导致提供的信息没有意义。

我们参考下面的案例，来分析这个问题。
某公司随着业务的发展，IT基础架构越来越大，几百台服务器，复杂的网络，没有人清楚总共有多少应用系统，软硬件的关系是什么，公司决定通过实施配置管理改变这种状况。

为了获得完整的信息，管理层决定配置信息应该覆盖全部资产，甚至包括显示器、鼠标、键盘等外部设施。配置管理系统上线后，配置管理员发觉每天的维护工作非常繁重；用户却觉得查询结果中包含大量无用信息，影响使用效果。

其实，配置信息的本质是IT工程师和管理人员的技术地图，方便他们进行技术决策，不能只是机械的记录全部的信息。所以在把握配置的详细程度时，应该面向服务、面向客户、面向业务的需求，采用够用原则，挑选对业务运行至关重要的IT组件的重要信息进行配置管理，然后持续改进。

依据SGS多年的统计，IT服务中6%的不符合项，同配置管理相关，典型的问题包括：配置项之间的依赖关系没有记录；系统发生更改时，配置项没有进行相应的修改；没有对配置管理数据库CMBD进行审核等等。

关于配置管理还有很多值得探讨的内容，我们本期的技术分享就先到这里。下期再分享更多IT方面的标准解读、技术干货、市场趋势等，请持续关注我们。

作为国际公认的检验、鉴定、测试和认证机构，SGS致力于为各行各业提供企业优化服务，在IT服务领域，可以提供包括：
ISO/IEC 27001 信息安全管理体系
ISO/IEC 27701 隐私信息管理体系
ISO/IEC 20000 IT服务管理体系
ISO/IEC 27017 云服务信息安全规范
ISO/IEC 27018 公共云个人信息（ PII）处理者的信息安全控制规范
ISO 22301 业务连续性管理体系
CSA STAR 云安全联盟云安全评估认证
GDPR 相关的培训和认证服务。