云計算平臺設(shè)計方案

國家質(zhì)檢中心鄭州綜合檢測基地云計算平臺建設(shè)項(xiàng)目（招標(biāo)編號：豫財招標(biāo)采購-2015-112）云計算平臺設(shè)計方案二0一五年二月TOC\o"1-5"\h\z\o"CurrentDocument"第一章項(xiàng)目概述與背景 5\o"CurrentDocument"第二章現(xiàn)狀與需求分析 7\o"CurrentDocument"各業(yè)務(wù)系統(tǒng)現(xiàn)狀 7\o"CurrentDocument".本期項(xiàng)目主要需求 12整體需求分析 12云計算平臺需求分析 12備份需求分析 13綠色數(shù)據(jù)中心需求分析 13質(zhì)保需求 14\o"CurrentDocument"第三章設(shè)計原則與目標(biāo) 15\o"CurrentDocument"設(shè)計原則 15\o"CurrentDocument"建設(shè)目標(biāo) 17\o"CurrentDocument"第四章質(zhì)監(jiān)云計算平臺設(shè)計 19\o"CurrentDocument"總體設(shè)計思想 19\o"CurrentDocument"總體架構(gòu)設(shè)計 20\o"CurrentDocument"計算虛擬化 24\o"CurrentDocument"網(wǎng)絡(luò)虛擬化 25\o"CurrentDocument"存儲虛擬化 31應(yīng)用存儲系統(tǒng) 31數(shù)據(jù)存儲系統(tǒng) 35\o"CurrentDocument"云資源自動調(diào)度設(shè)計 35\o"CurrentDocument"河南省質(zhì)監(jiān)局云計算平臺架構(gòu)圖 38\o"CurrentDocument"第五章質(zhì)監(jiān)政務(wù)云安全設(shè)計 39\o"CurrentDocument"云安全需求分析 39\o"CurrentDocument"云安全架構(gòu)設(shè)計 41\o"CurrentDocument"云計算物理層安全 41\o"CurrentDocument"虛擬化資源層安全 42\o"CurrentDocument"aaS服務(wù)層安全 43\o"CurrentDocument"層安全隔離技術(shù) 44\o"CurrentDocument"用層數(shù)據(jù)安全 45\o"CurrentDocument"全運(yùn)維體系設(shè)計 47\o"CurrentDocument"第六章云業(yè)務(wù)管理平臺設(shè)計 49云主機(jī)服務(wù) 51云存儲服務(wù) 52云數(shù)據(jù)庫服務(wù) 53云防火墻服務(wù) 54第七章綜合運(yùn)維管理平臺設(shè)計 57定制首頁 58三維機(jī)房 58大屏幕展示 59大屏展示（可按需定制） 59手機(jī)/PAD桌面管理 60遠(yuǎn)程手機(jī)/PAD客戶管理 61與第三方機(jī)房環(huán)境系統(tǒng)聯(lián)動 61虛擬網(wǎng)絡(luò)管理 62第八章業(yè)務(wù)系統(tǒng)遷移方案設(shè)計 64業(yè)務(wù)系統(tǒng)上線遷移方案 64虛擬化遷移信息調(diào)研 64遷移方式選擇 65遷移工具選擇 65CPU資源規(guī)劃 66內(nèi)存資源規(guī)劃 66存儲資源規(guī)劃 67遷移實(shí)施計劃 67業(yè)務(wù)遷移流程 68業(yè)務(wù)遷移詳細(xì)步驟 68遷移實(shí)施注意事項(xiàng) 69業(yè)務(wù)系統(tǒng)上線后遷移方案 69虛擬機(jī)的動態(tài)遷移 70虛擬網(wǎng)絡(luò)的策略及安全配置 70基于IEEE802.1Qbg國際標(biāo)準(zhǔn)的遷移方案...71虛擬機(jī)遷移模式分析及注意事項(xiàng) 74.1動態(tài)遷移 74.2手工遷移 75第九章統(tǒng)一基礎(chǔ)架構(gòu)方案優(yōu)勢 77全虛擬化、統(tǒng)一管理 77高度集成、化繁為簡 77基礎(chǔ)架構(gòu)深度融合 78一站式運(yùn)維 78加速部署及整體交付 78第十章主要設(shè)備清單 79第十一章主要設(shè)備介紹 80應(yīng)用服務(wù)器（刀片式） 80應(yīng)用存儲系統(tǒng) 81數(shù)據(jù)庫服務(wù)器 82虛擬化管理平臺 83云業(yè)務(wù)管理平臺 84自動資源調(diào)度網(wǎng)關(guān) 85綜合運(yùn)維管理平臺 86數(shù)據(jù)存儲系統(tǒng) 87第一章項(xiàng)目概述與背景河南省質(zhì)量技術(shù)監(jiān)督局（以下簡稱“省局”），為省政府主管標(biāo)準(zhǔn)化、計量、質(zhì)量工作并行使執(zhí)法監(jiān)督職能的直屬機(jī)構(gòu)（正廳級）。截止2013年底，全省共有18個省轄市、10個省直管縣（市）、98個縣（市）、50個市轄區(qū)、15個經(jīng)濟(jì)技術(shù)開發(fā)區(qū)、4個高新技術(shù)產(chǎn)業(yè)開發(fā)區(qū)及黃泛區(qū)、鄭州航空港區(qū)設(shè)置了質(zhì)量技術(shù)監(jiān)督局。各省轄市設(shè)有質(zhì)量技術(shù)監(jiān)督稽查大隊(duì)、質(zhì)量技術(shù)監(jiān)督檢驗(yàn)測試中心，除鄭州市外，其他省轄市還設(shè)有特種設(shè)備安全檢測中心、纖維檢驗(yàn)所。各縣（市、區(qū)）設(shè)有質(zhì)量技術(shù)監(jiān)督稽查隊(duì)。各縣（市）設(shè)有質(zhì)量技術(shù)監(jiān)督檢驗(yàn)測試中心。為滿足省局各類業(yè)務(wù)系統(tǒng)及應(yīng)用的不斷擴(kuò)展及延伸， 規(guī)劃并新建了河南省質(zhì)監(jiān)局云數(shù)據(jù)中心平臺，為省局各類應(yīng)用業(yè)務(wù)系統(tǒng)的正常運(yùn)行打造一個穩(wěn)定、可靠、安全的基礎(chǔ)承載平臺。傳統(tǒng)云計算數(shù)據(jù)中心建設(shè)往往采用多廠商設(shè)備硬件堆砌的方式組網(wǎng)，各廠商及各類型的設(shè)備之間通過繁雜的線纜連接， 成本較高且維護(hù)困難。同時傳統(tǒng)情況下服務(wù)器的利用率長期保持在20%以下，各設(shè)備間分開供電與散熱，帶來了大量的空間、電力、能耗等方面的浪費(fèi)。

存儲管理軟件存儲管理軟件為了降低云計算數(shù)據(jù)中心的硬件成本和管理難度，對大量的 IT硬件基礎(chǔ)資源進(jìn)行整合成了必然的趨勢?；诖?，河南省質(zhì)監(jiān)局?jǐn)M建設(shè)一個功能完備、可擴(kuò)展、可管理的融合基礎(chǔ)架構(gòu)（或稱為“統(tǒng)一基礎(chǔ)架構(gòu)”）云數(shù)據(jù)中心。統(tǒng)一基礎(chǔ)架構(gòu)系統(tǒng)通過在一個機(jī)箱中集成了服務(wù)器、存儲、網(wǎng)絡(luò)、虛擬化軟件等設(shè)備，大大提高了服務(wù)器的利用率，減少了空間、電力、能耗等方面的消費(fèi)。經(jīng)測試統(tǒng)計得出，采用融合基礎(chǔ)架構(gòu)設(shè)備，可以提升至少3倍的服務(wù)器利用率，降低至少75%的空間占用，減少至少27%的電力消耗，降低初始購買和后期運(yùn)維成本。第二章現(xiàn)狀與需求分析河南省質(zhì)監(jiān)局業(yè)務(wù)系統(tǒng)目前有省局各處室業(yè)務(wù)系統(tǒng)、 12個二級機(jī)構(gòu)檢驗(yàn)檢測平臺等業(yè)務(wù)系統(tǒng)，已經(jīng)建設(shè)的業(yè)務(wù)系統(tǒng)約 30余類。河南省質(zhì)監(jiān)局在此階段取得了非?？上驳某晒Ｔ诨A(chǔ)設(shè)施和應(yīng)用系統(tǒng)建設(shè)方面取得了較大的成績，但是目前仍然存在各部門數(shù)據(jù)分散建設(shè)的問題，資源的部署方式也是按照應(yīng)用進(jìn)行物理的切分，各業(yè)務(wù)系統(tǒng)獨(dú)立建設(shè)。各業(yè)務(wù)系統(tǒng)現(xiàn)狀序號單位業(yè)務(wù)系統(tǒng)硬件支撐平臺數(shù)據(jù)庫環(huán)境目前己購買空間（GB）己使用硬盤空間（GB）預(yù)計每年增加量（GB）購買日期備注一目前正常運(yùn)行系統(tǒng)1省局協(xié)同辦公系統(tǒng)2臺應(yīng)用服務(wù)器（2.0GHzCPU、32GB內(nèi)存）；2臺數(shù)據(jù)庫服務(wù)器；1臺存儲設(shè)備Oracle300GB*230GB10GB2009內(nèi)網(wǎng)2省局財務(wù)直報系統(tǒng)1臺服務(wù)器Oracle300GB*25GB1GB2009內(nèi)網(wǎng)3省局12365系統(tǒng)2臺應(yīng)用服務(wù)器，2臺數(shù)據(jù)庫服務(wù)器（小機(jī)）Oracle300GB*250GB10GB2009外網(wǎng)4省局特種設(shè)備安全監(jiān)察系統(tǒng)4臺服務(wù)器Oracle300GB*210GB5GB2009外網(wǎng)5省局河南省認(rèn)證認(rèn)可監(jiān)管系統(tǒng)2臺服務(wù)器（1臺16G內(nèi)存；1臺32G內(nèi)存）SQLServer300GB*1300GB*1500M100M2008外網(wǎng)6省局行政許可網(wǎng)上審批6臺服務(wù)器（暫不部署，等待總局安排）Oracle300GB*210GB5GB2009外網(wǎng)

7省局網(wǎng)站后臺管理系統(tǒng)2臺應(yīng)用服務(wù)器；2臺數(shù)據(jù)庫服務(wù)器；2臺存儲設(shè)備Oracle300GB*6500GB*71TB*1160GB40GB2009外網(wǎng)8標(biāo)準(zhǔn)院河南標(biāo)準(zhǔn)信息服務(wù)網(wǎng)2臺服務(wù)器（1臺2.5GHzCPU、4G內(nèi)存；1臺2.13GHzCPU、1臺16G內(nèi)存）Oracle1TB100GB5GB2009外網(wǎng)9標(biāo)準(zhǔn)院河南標(biāo)準(zhǔn)信息動態(tài)管理系統(tǒng)2臺服務(wù)器（1臺2.5GHzCPU、4G內(nèi)存；1臺2.13GHzCPU、1臺16G內(nèi)存）Oracle1TB70GB3GB2009外網(wǎng)10標(biāo)準(zhǔn)院車載氣瓶監(jiān)督、管理1臺服務(wù)器（16G內(nèi)存）SQLServer300GB*320GB10GB2009外網(wǎng)11計量科學(xué)院綜合管理系統(tǒng)1臺服務(wù)器（16G內(nèi)存）SQLServer300GB*6300GB30GB2006外網(wǎng)12計量科學(xué)院計量科技創(chuàng)新平臺1臺服務(wù)器（16G內(nèi)存）MySQL300GB*6300GB30GB2013外網(wǎng)13特檢院特種設(shè)備動態(tài)監(jiān)管系統(tǒng)2臺服務(wù)器（均為雙核2.2GHzCPU、32G內(nèi)存）MySQL1.5TB50GB10GB2008外網(wǎng)14特檢院從業(yè)人員考試系統(tǒng)1臺服務(wù)器MySQL120GB30GB2GB2008外網(wǎng)15特檢院奧索軟件系統(tǒng)1臺服務(wù)器MySQL120GB30GB1GB2008外網(wǎng)16特檢院特種設(shè)備從業(yè)人員管理系統(tǒng)1臺服務(wù)器MySQL1.5TB50GB2GB2008外網(wǎng)17特檢院私有云存儲系統(tǒng)1臺服務(wù)器MySQL1.5TB10GB100GB2008外網(wǎng)18纖維檢驗(yàn)局統(tǒng)領(lǐng)LIMS系統(tǒng)1臺服務(wù)器(2.4GHzCPU)SQLServer500GB*430GB10GB2008外網(wǎng)19產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)院標(biāo)準(zhǔn)資料管理系統(tǒng)1臺服務(wù)器（2.0GHzCPU、8G內(nèi)存）SQLServer300GB1GB200MB2007外網(wǎng)20產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)院信息共享平臺系統(tǒng)1臺服務(wù)器（1.6GHzCPU、4G內(nèi)存）SQLServer150GB1GB200MB2007外網(wǎng)

21稽查總隊(duì)指揮平臺系統(tǒng)3臺服務(wù)器-1.5TB--2005外網(wǎng)22組織機(jī)構(gòu)代碼中心代碼BS業(yè)務(wù)系統(tǒng)1臺服務(wù)器（兩路CPU、32G內(nèi)存）SQLServer300GB*45GB1GB2008外網(wǎng)23組織機(jī)構(gòu)代碼中心代碼數(shù)字檔案系統(tǒng)1臺服務(wù)器（四路CPU、32G內(nèi)存）SQLServer300GB*410TB存儲3TB600MB2008外網(wǎng)24組織機(jī)構(gòu)代碼中心代碼信息擴(kuò)展庫系統(tǒng)1臺服務(wù)器（四路CPU、16G內(nèi)存）SQLServer300GB*310GB2GB2008外網(wǎng)25組織機(jī)構(gòu)代碼中心河南組織機(jī)構(gòu)信息網(wǎng)1臺服務(wù)器（16G內(nèi)存）SQLServer300GB*410GB2GB2008外網(wǎng)26組織機(jī)構(gòu)代碼中心河南法人網(wǎng)1臺服務(wù)器（16G內(nèi)存）SQLServer300GB*420GB4GB2008外網(wǎng)27鍋檢院檢測報告統(tǒng)計管理系統(tǒng)2臺服務(wù)器（8核CPU）SQLServer300GB*330GB30GB2008外網(wǎng)28鍋檢院檢測報告出具系統(tǒng)2臺服務(wù)器（4核CPU、4GB內(nèi)存）SQLServer140GB20GB20GB2008外網(wǎng)29鍋檢院辦公自動化系統(tǒng)2臺服務(wù)器MySQL300GB*350GB50GB2008外網(wǎng)二未來3-5年計劃開發(fā)系統(tǒng)30產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)院工業(yè)品生產(chǎn)企業(yè)動態(tài)監(jiān)管系統(tǒng)2臺服務(wù)器（8核CPU、16G內(nèi)存）Oracle--200GB外網(wǎng)31產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)院工業(yè)品生產(chǎn)許可證企業(yè)審核及審查員管理系統(tǒng)1臺服務(wù)器（16G內(nèi)存）SQLServer--2GB外網(wǎng)32特檢院辦公自動化系統(tǒng)1臺服務(wù)器（16G內(nèi)存）MySQL--30GB外網(wǎng)33特檢院公眾服務(wù)平臺1臺服務(wù)器（16G內(nèi)存）MySQL--10GB外網(wǎng)34纖維檢驗(yàn)局檢測業(yè)務(wù)遠(yuǎn)程受理及查詢系統(tǒng)1臺服務(wù)器（16G內(nèi)存）SQLServer--50GB外網(wǎng)35稽查總隊(duì)辦公自動化系統(tǒng)2臺服務(wù)器（16G內(nèi)存）MySQL--20GB外網(wǎng)36組織機(jī)構(gòu)代碼中心民用氣瓶監(jiān)管系統(tǒng)2臺服務(wù)器（16G內(nèi)存）SQLServer--10GB外網(wǎng)這種部署方式存在以下風(fēng)險和挑戰(zhàn)：數(shù)據(jù)部署分散河南省質(zhì)監(jiān)局目前各應(yīng)用系統(tǒng)均采用物理硬件獨(dú)立部署， 增加了管理的復(fù)雜度，導(dǎo)致各系統(tǒng)成為信息孤島，不能即時共享信息。同時由于歷史原因，應(yīng)用系統(tǒng)采用的數(shù)據(jù)庫系統(tǒng)包括 ORACLE、SQLSERVERMYSQL等，且涵蓋各數(shù)據(jù)庫不同時期的版本，數(shù)據(jù)無法集中管理，綜合利用率不高，同時維護(hù)人員工作強(qiáng)度加大。硬件設(shè)備老化河南省質(zhì)監(jiān)局目前各應(yīng)用系統(tǒng)物理設(shè)備投入使用年限過長，多數(shù)服務(wù)器存儲設(shè)備已在線達(dá)5年之久，部分設(shè)備已在線3年，設(shè)備老化已經(jīng)影響了業(yè)務(wù)系統(tǒng)的處理能力且無法滿足現(xiàn)有業(yè)務(wù)的發(fā)展。資源利用率低由于應(yīng)用與資源綁定，每個應(yīng)用都需要按照其峰值業(yè)務(wù)量進(jìn)行資源的配置，這導(dǎo)致在大部分時間許多資源都處于閑置狀態(tài)， 再考慮資源是分布在多個部門的多個軟硬件平臺中，資源閑置水平可能更高，這對資源的共享、后期數(shù)據(jù)的整合與挖掘造成了天然的障礙。運(yùn)維成本高由于每個部門都建立自己的應(yīng)用系統(tǒng)，采用專用的服務(wù)器、網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫、存儲等軟硬件系統(tǒng)，這必然導(dǎo)致某種程度的重復(fù)建設(shè)，都需要一定的場地投入、機(jī)柜投入、制冷設(shè)備投入、硬件投入、運(yùn)營人員投入，不利于進(jìn)行規(guī)?；倪\(yùn)維，無法通過提高運(yùn)維效率降低成本。安全配套不足現(xiàn)有的安全防御系統(tǒng)主要實(shí)現(xiàn)在物理服務(wù)器的場景，無法滿足業(yè)務(wù)系統(tǒng)虛擬化后的場景，即各業(yè)務(wù)系統(tǒng)（虛擬機(jī)）之間、虛擬化管理平臺以及云管理平臺的安全防御需求，無法實(shí)現(xiàn)應(yīng)用層安全防御。運(yùn)行風(fēng)險高從政策法規(guī)的角度看，政府對于每個單位的數(shù)據(jù)中心、每個電子政務(wù)應(yīng)用的安全性與合規(guī)性都有著明確的要求。為了滿足這些要求，運(yùn)維人員需要進(jìn)行大量的工作以保證符合要求，但對于數(shù)量和業(yè)務(wù)眾多的各部門來說，這一目標(biāo)很難實(shí)現(xiàn)。運(yùn)維人員在技術(shù)水平、工作效率上都存在差異，硬件條件也有很大區(qū)別，因此，每個部門的業(yè)務(wù)系統(tǒng)都需要單獨(dú)進(jìn)行安全性上的設(shè)計、備份策略的準(zhǔn)備、災(zāi)備的考慮等等。這不僅造成重復(fù)的工作，還可能導(dǎo)致最終的實(shí)施結(jié)果存在很大差別，從而帶來了各種的風(fēng)險。業(yè)務(wù)部署流程環(huán)節(jié)多、上線周期長隨著企業(yè)的發(fā)展，不斷需要上線新的業(yè)務(wù)，就需要購置新的服務(wù)器；購置服務(wù)器和部署業(yè)務(wù)系統(tǒng)需要計劃部門和采購部門、維護(hù)部門等相關(guān)部門的參與，各個部門的進(jìn)度和流程不一致，經(jīng)常導(dǎo)致業(yè)務(wù)部署流程環(huán)節(jié)多、上線周期長。另外，隨著業(yè)務(wù)規(guī)模的不斷擴(kuò)展和延伸，目前的數(shù)據(jù)中心承載著各類關(guān)鍵業(yè)務(wù)、核心應(yīng)用，信息數(shù)據(jù)的完整性、業(yè)務(wù)運(yùn)行的可靠性、網(wǎng)絡(luò)系統(tǒng)的可用性越來越重要。目前雖然已采取了存儲備份、硬盤備份、雙機(jī)熱備、光盤刻錄等措施，預(yù)防數(shù)據(jù)受損或丟失，但是由于尚未開展異地容災(zāi)備份，如果數(shù)據(jù)中心因誤操作或設(shè)備故障等原因會造成數(shù)據(jù)丟失、系統(tǒng)癱瘓，將會影響正常的運(yùn)轉(zhuǎn)秩序，更為嚴(yán)重的是，一旦遇有機(jī)房斷電、火災(zāi)等災(zāi)難性事件，將有可能丟失全部業(yè)務(wù)數(shù)據(jù)。突發(fā)災(zāi)難事件對信息系統(tǒng)造成的破壞，不僅會造成無可挽回的經(jīng)濟(jì)損失，還將嚴(yán)重影響全省經(jīng)濟(jì)的快速發(fā)展和社會的和諧穩(wěn)定。.本期項(xiàng)目主要需求整體需求分析針對河南質(zhì)監(jiān)局IT現(xiàn)狀、新業(yè)務(wù)的發(fā)展需求以及未來的業(yè)務(wù)建設(shè)規(guī)劃，需要新建云數(shù)據(jù)中心，把目前的業(yè)務(wù)系統(tǒng)整合遷移到云平臺上，新規(guī)劃的業(yè)務(wù)直接部署到云平臺上，同時根據(jù)省質(zhì)檢業(yè)務(wù)的發(fā)展，預(yù)計年業(yè)務(wù)增長率為5%,預(yù)留3年規(guī)劃所需15%的資源。需要把適合云化的現(xiàn)有業(yè)務(wù)系統(tǒng)遷移到云平臺上，業(yè)務(wù)服務(wù)器采用虛擬機(jī)部署。業(yè)務(wù)系統(tǒng)遷移時，需要提供專業(yè)的業(yè)務(wù)遷移服務(wù)，盡可能保證業(yè)務(wù)的連續(xù)性，減少業(yè)務(wù)中斷時間。對于計劃新上線的業(yè)務(wù)系統(tǒng)，優(yōu)先選擇在云平臺上部署。要求虛擬化組網(wǎng)，組成虛擬企業(yè)數(shù)據(jù)中心，需要對內(nèi)外網(wǎng)劃分DMZ區(qū)域。建立從防火墻到病毒防護(hù)、數(shù)據(jù)備份的端到端安全機(jī)制。云計算平臺需求分析虛擬化管理平臺：目前河南省質(zhì)監(jiān)局大部分業(yè)務(wù)系統(tǒng)部署在獨(dú)立的硬件設(shè)備，物理服務(wù)器出現(xiàn)故障會影響業(yè)務(wù)系統(tǒng)的運(yùn)行，此次采用虛擬化平臺將會對計算資源、存儲資源進(jìn)行池化，業(yè)務(wù)系統(tǒng)按需從資源池獲取所需的計算及存儲資源的同時，也通過虛擬化平臺的HA、DRS、熱遷移等特性，保障業(yè)務(wù)系統(tǒng)的持續(xù)性運(yùn)行。對于已經(jīng)在在物理服務(wù)器部署的業(yè)務(wù)系統(tǒng)，通過P2V轉(zhuǎn)換工具，實(shí)現(xiàn)將現(xiàn)有業(yè)務(wù)系統(tǒng)無損遷移到虛擬化平臺。云業(yè)務(wù)管理平臺：河南省質(zhì)監(jiān)局每個部門對于IT資源有不同的需求，若各部門的IT系統(tǒng)都由質(zhì)監(jiān)局信息中心手工干預(yù)下完成則大幅度增加了維護(hù)人員的難度，采用云業(yè)務(wù)管理平臺可以實(shí)現(xiàn)云服務(wù)自動化、服務(wù)/網(wǎng)絡(luò)/存儲自動化，各部門負(fù)責(zé)人可以通過WEB頁面獨(dú)立完成所需IT資源部署。備份需求分析在業(yè)務(wù)系統(tǒng)整合完畢后，所有業(yè)務(wù)系統(tǒng)已經(jīng)實(shí)現(xiàn)高可靠以及自動化部署，由于數(shù)據(jù)的集中，單一的存儲設(shè)備已經(jīng)成為影響云計算平臺穩(wěn)定性的因素，對于存儲的備份變的尤為迫切。本次采用快照 +同步遠(yuǎn)程復(fù)制將業(yè)務(wù)系統(tǒng)數(shù)據(jù)實(shí)時同步到備用存儲。本次存儲設(shè)備配置兩臺相同存儲，采用主備方式運(yùn)行，一旦主用存儲出現(xiàn)故障，由人工進(jìn)行存儲主備切換，切換時間小于10分鐘。綠色數(shù)據(jù)中心需求分析通過數(shù)據(jù)中心虛擬化，明顯提高資源復(fù)用率，控制和減少物理設(shè)備的數(shù)量；云平臺易擴(kuò)展、設(shè)備易替換，根據(jù)應(yīng)用系統(tǒng)的負(fù)荷自動進(jìn)行服務(wù)器上電重載分離、服務(wù)器下電輕載合并改善IT資源利用率，能夠有效地實(shí)現(xiàn)節(jié)能減排。從而降低硬件成本，有效降低總體擁有成本(TCO)、提高投資回報率(ROI)o質(zhì)保需求云計算平臺建設(shè)整體免費(fèi)質(zhì)保時間三年以上第三章設(shè)計原則與目標(biāo)設(shè)計原則先進(jìn)性廣泛采用虛擬化、自動化調(diào)配等先進(jìn)技術(shù)與模式，確保先進(jìn)技術(shù)與應(yīng)用模式的有效與適用。數(shù)據(jù)中心云平臺的建設(shè)與業(yè)界流行的虛擬化理念是一致的。 應(yīng)將虛擬化的技術(shù)先進(jìn)性和理念先進(jìn)性體現(xiàn)在云數(shù)據(jù)中心這一具體的項(xiàng)目上，突出虛擬化帶來的價值?？蓴U(kuò)展性數(shù)據(jù)中心云平臺支持資源應(yīng)能根據(jù)業(yè)務(wù)應(yīng)用工作負(fù)荷需求進(jìn)行伸縮，這樣性能及與服務(wù)水平的符合性就保持適當(dāng)。應(yīng)用程序及其數(shù)據(jù)松散耦合，以使可擴(kuò)展性最大化。在系統(tǒng)進(jìn)行容量擴(kuò)展時，只需增加相應(yīng)數(shù)量的硬件設(shè)備，并在其上部署相應(yīng)的資源調(diào)度管理軟件和業(yè)務(wù)應(yīng)用軟件，即可實(shí)現(xiàn)系統(tǒng)擴(kuò)展。成熟性整個數(shù)據(jù)中心云平臺建設(shè)，要充分體現(xiàn)系統(tǒng)的成熟性。要考慮采用成熟的各種技術(shù)手段，實(shí)現(xiàn)各種功能，滿足相關(guān)部門的業(yè)務(wù)要求。開放性與兼容性數(shù)據(jù)中心云平臺采用兼容業(yè)界通用的服務(wù)器，并能夠兼容主流的操作系統(tǒng)，虛擬化軟件，以及應(yīng)用程序，降低使用、管理、維護(hù)等成O可靠性數(shù)據(jù)中心平臺作為承載未來我廳信息系統(tǒng)的重要 IT基礎(chǔ)設(shè)施，承擔(dān)著穩(wěn)定運(yùn)行和業(yè)務(wù)創(chuàng)新的重任。因此平臺的建設(shè)從基礎(chǔ)資源池（計算、存儲、網(wǎng)絡(luò)）、虛擬化平臺、云平臺等多個層面充分考慮業(yè)務(wù)的高可用，基礎(chǔ)單元出現(xiàn)故障后業(yè)務(wù)應(yīng)用能夠迅速進(jìn)行切換與遷移， 用戶無感知，保證業(yè)務(wù)的連續(xù)性。安全性云數(shù)據(jù)中心與省電子政務(wù)內(nèi)網(wǎng)、國土資源部分別連接，必須防范網(wǎng)絡(luò)入侵攻擊、病毒感染。因此，數(shù)據(jù)中心云平臺應(yīng)該在各個層面進(jìn)行完善的安全防護(hù)，確保信息的安全和私密性。統(tǒng)一管理與自動化虛擬化數(shù)據(jù)中心平臺的最終目標(biāo)是要實(shí)現(xiàn)系統(tǒng)的按需運(yùn)營， 多種服務(wù)的開通，而這依賴于對計算、存儲、網(wǎng)絡(luò)資源的調(diào)度和分配，同時提供用戶管理、組織管理、工作流管理等。從業(yè)務(wù)部門IT資源的申請、審批到分配部署的智能化。管理系統(tǒng)不僅要實(shí)現(xiàn)對傳統(tǒng)的物理資源和新的虛擬資源進(jìn)行管理，還要從全局而非割裂地管理資源，因此統(tǒng)一管理與自動化將成為必然趨勢。標(biāo)準(zhǔn)規(guī)范化原則標(biāo)準(zhǔn)化、規(guī)范化建設(shè)虛擬化數(shù)據(jù)中心平臺，是應(yīng)用系統(tǒng)實(shí)現(xiàn)互聯(lián)互通、信息共享、業(yè)務(wù)協(xié)同、安全可靠的前提。標(biāo)準(zhǔn)化就是要建立相關(guān)的標(biāo)準(zhǔn)規(guī)范，標(biāo)準(zhǔn)規(guī)范地建設(shè)國土廳云數(shù)據(jù)中心的全過程，在整個平臺建設(shè)、運(yùn)維過程中，將依據(jù)國際、國內(nèi)相關(guān)標(biāo)準(zhǔn)，避免采用私有的協(xié)議與標(biāo)準(zhǔn)而導(dǎo)致廠商鎖定以及互通困難。同時通過遵循統(tǒng)一的標(biāo)準(zhǔn)、實(shí)現(xiàn)資源共享、業(yè)務(wù)協(xié)同、安全可靠運(yùn)轉(zhuǎn)奠定堅(jiān)實(shí)的基礎(chǔ)。開放接口傳統(tǒng)的管理系統(tǒng)與上層系統(tǒng)對接，注重故障的上報和信息的查詢。而虛擬化的管理系統(tǒng)更關(guān)注如何實(shí)現(xiàn)自動化的部署， 在接口方面更關(guān)注資源調(diào)度和分配，這就需要管理系統(tǒng)在業(yè)務(wù)調(diào)度方面實(shí)現(xiàn)開放。為保證服務(wù)器、存儲、網(wǎng)絡(luò)等資源能夠被虛擬化運(yùn)營平臺良好的調(diào)度與管理，要求系統(tǒng)提供開放的API接口，虛擬化運(yùn)營管理平臺能夠通過API接口、命令行腳本實(shí)現(xiàn)對設(shè)備的配置與策略下發(fā)聯(lián)動。 同時云平臺也提供開放的API接口，未來可以在這些接口的基礎(chǔ)上進(jìn)行二次定制開放，實(shí)現(xiàn)面向虛擬化的數(shù)據(jù)中心管理平臺。建設(shè)目標(biāo)河南省質(zhì)監(jiān)局云計算平臺建設(shè)采取逐步整合、分期建設(shè)的思路：資源整合：針對河南省質(zhì)監(jiān)局目前IT現(xiàn)狀，投入新的IT設(shè)備，建立計算資源池、存儲資源池，將原有業(yè)務(wù)、新業(yè)務(wù)系統(tǒng)逐步整合、遷移到新的虛擬化平臺。所有業(yè)務(wù)系統(tǒng)按需動態(tài)從計算資源池中獲取所需的資源，保障業(yè)務(wù)系統(tǒng)的運(yùn)行。預(yù)計在2015年實(shí)現(xiàn)將所有業(yè)務(wù)遷移到虛擬化平臺，并將老設(shè)備逐步替換、淘汰完畢實(shí)現(xiàn)所有資源的整合。自動化運(yùn)維：所有資源整合到虛擬化平臺以后，在虛擬化平臺之上建立云計算平臺，實(shí)現(xiàn)IT資源的自動化運(yùn)維、簡化IT人員管理維護(hù)難度（業(yè)務(wù)部署自動化）、簡化IT部署流程、縮短IT業(yè)務(wù)的部署時間。數(shù)據(jù)分析平臺：在一系列資源整合，業(yè)務(wù)、數(shù)據(jù)實(shí)現(xiàn)集中部署之后，建設(shè)數(shù)據(jù)分析平臺，對現(xiàn)有數(shù)據(jù)進(jìn)行挖掘、分析、預(yù)測，即時發(fā)現(xiàn)有問題的數(shù)據(jù)并采取相關(guān)手段防范。第四章質(zhì)監(jiān)云計算平臺設(shè)計總體設(shè)計思想傳統(tǒng)云計算數(shù)據(jù)中心建設(shè)往往采用多廠商設(shè)備硬件堆砌的方式組網(wǎng)，各廠商及各類型的設(shè)備之間通過繁雜的線纜連接， 成本較高且維護(hù)困難。同時傳統(tǒng)情況下服務(wù)器的利用率長期保持在20%以下，各設(shè)備間分開供電與散熱，帶來了大量的空間、電力、能耗等方面的浪費(fèi)。本次將采用H3cUIS8000統(tǒng)一基礎(chǔ)架構(gòu)系統(tǒng)構(gòu)建省質(zhì)監(jiān)局一體化云計算平臺，通過將計算、網(wǎng)絡(luò)、存儲訪問和虛擬化統(tǒng)一到一個綜合的系統(tǒng)中，進(jìn)行集中管理，并采用具有國內(nèi)自主研發(fā)的 H3CCAS虛擬化管理平臺、H3CCSM云業(yè)務(wù)管理平臺中等進(jìn)行資源調(diào)度和分配，提升信息化管理水平。示意圖如下：傳統(tǒng)數(shù)據(jù)中心架構(gòu)云數(shù)據(jù)中心架構(gòu)統(tǒng)一基礎(chǔ)架樹系統(tǒng)（正面）融合計算/網(wǎng)絡(luò)府儲三大資源統(tǒng)Tili蝴系統(tǒng)（黃面）傳統(tǒng)數(shù)據(jù)中心架構(gòu)云數(shù)據(jù)中心架構(gòu)統(tǒng)一基礎(chǔ)架樹系統(tǒng)（正面）融合計算/網(wǎng)絡(luò)府儲三大資源統(tǒng)Tili蝴系統(tǒng)（黃面）圖4-1傳統(tǒng)架構(gòu)與云計算架構(gòu)對比示意圖H3cUIS8000統(tǒng)一基礎(chǔ)架構(gòu)機(jī)框內(nèi)融合了多款刀片服務(wù)器、大容量存儲、高性能網(wǎng)絡(luò)設(shè)備、FC/FCOE協(xié)議交換機(jī)等組件，通過計算虛擬化、網(wǎng)絡(luò)虛擬化、存儲虛擬化技術(shù)進(jìn)行基礎(chǔ)資源整合，同時利用自動調(diào)度網(wǎng)關(guān)和統(tǒng)一的云管理平臺，實(shí)現(xiàn)資源的按需擴(kuò)展和自動調(diào)度，提供統(tǒng)一融合架構(gòu)的大規(guī)模云計算數(shù)據(jù)中心，加快業(yè)務(wù)部署、提升管理能力。另外，在硬件配置上，機(jī)箱系統(tǒng)應(yīng)采用雙管理模塊、冗余電源、冗余風(fēng)扇及冗余的網(wǎng)絡(luò)交換模塊，采用智能陣列控制器，支持寫高速緩存FBWC,采用智能硬盤托架，并支持多種熱插拔SAS、SATASSD和SATASSD硬盤選擇；同時內(nèi)置智能供應(yīng)功能，滿足系統(tǒng)快速實(shí)現(xiàn)所有固件、驅(qū)動程序的部署和升級，無需CD或DVD,提高管理效率?？傮w架構(gòu)設(shè)計河南省質(zhì)監(jiān)局目前仍采用傳統(tǒng)的IT部署架構(gòu)，即“煙囪式”的，或者叫做“專機(jī)專用”系統(tǒng)架構(gòu)

基礎(chǔ)架構(gòu)基礎(chǔ)架構(gòu)圖4-2傳統(tǒng)IT架構(gòu)示意圖在這種架構(gòu)中，新的應(yīng)用系統(tǒng)上線的時候需要分析該應(yīng)用系統(tǒng)的資源需求，確定基礎(chǔ)架構(gòu)所需的計算、存儲、網(wǎng)絡(luò)等設(shè)備規(guī)格和數(shù)量,這種部署模式主要存在的問題有以下兩點(diǎn)：硬件高配低用：考慮到應(yīng)用系統(tǒng)未來3?5年的業(yè)務(wù)發(fā)展，以及業(yè)務(wù)突發(fā)的需求，為滿足應(yīng)用系統(tǒng)的性能、容量承載需求，往往在選擇計算、存儲和網(wǎng)絡(luò)等硬件設(shè)備的配置時會留有一定比例的余量。 但硬件資源上線后，應(yīng)用系統(tǒng)在一定時間內(nèi)的負(fù)載并不會太高，使得較高配置的硬件設(shè)備利用率不高。整合困難：用戶在實(shí)際使用中也注意到了資源利用率不高的情形，當(dāng)需要上線新的應(yīng)用系統(tǒng)時，會優(yōu)先考慮部署在既有的基礎(chǔ)架構(gòu)上。但因?yàn)椴煌膽?yīng)用系統(tǒng)所需的運(yùn)行環(huán)境、對資源的搶占會有很大的差異，更重要的是考慮到可靠性、穩(wěn)定性、運(yùn)維管理問題，將新、舊應(yīng)用系統(tǒng)整合在一套基礎(chǔ)架構(gòu)上的難度非常大，更多的用戶往往選擇新增與應(yīng)用系統(tǒng)配套的計算、存儲和網(wǎng)絡(luò)等硬件設(shè)備。這種部署模式，造成了每套硬件與所承載應(yīng)用系統(tǒng)的“專機(jī)專用”，多套硬件和應(yīng)用系統(tǒng)構(gòu)成了“煙囪式”部署架構(gòu)， 使得整體資源利用率不高，占用過多的機(jī)房空間和能源，隨著應(yīng)用系統(tǒng)的增多，IT資源的效率、擴(kuò)展性、可管理性都面臨很大的挑戰(zhàn)。統(tǒng)一基礎(chǔ)架構(gòu)的引入有效解決了傳統(tǒng)基礎(chǔ)架構(gòu)的問題。 能夠改善數(shù)據(jù)中心環(huán)境，令管理人員可以專注于管理和創(chuàng)新，使科技成為改變業(yè)務(wù)的關(guān)鍵所在。共享服務(wù)池可在運(yùn)行中隨時調(diào)用，提高業(yè)務(wù)環(huán)境的靈活性，加速實(shí)現(xiàn)應(yīng)用程序的價值。融合基礎(chǔ)設(shè)施充分利用現(xiàn)有的技術(shù)投資，消除數(shù)據(jù)中心的技術(shù)設(shè)備冗積問題，化繁為簡。通過統(tǒng)一的管理，所有資產(chǎn)都成為資源池的一部分，能夠分割、組合、變化，動態(tài)適應(yīng)任何業(yè)務(wù)、負(fù)載或應(yīng)用的需求。這些資源的使用也經(jīng)過優(yōu)化，能夠提高利用率，降低使用能耗和成本。從而更好的為應(yīng)用系統(tǒng)的上線、部署和運(yùn)維提供支撐，提升效率，降低TCO。統(tǒng)一基礎(chǔ)架構(gòu)在傳統(tǒng)基礎(chǔ)架構(gòu)計算、存儲、網(wǎng)絡(luò)硬件層的基礎(chǔ)上，增加了虛擬化層、云層:圖4-3云計算架構(gòu)示意圖虛擬化層：大多數(shù)統(tǒng)一基礎(chǔ)架構(gòu)都廣泛采用虛擬化技術(shù)，包括計算虛擬化、存儲虛擬化、網(wǎng)絡(luò)虛擬化等。通過虛擬化層，屏蔽了硬件層自身的差異和復(fù)雜度，向上呈現(xiàn)為標(biāo)準(zhǔn)化、可靈活擴(kuò)展和收縮、彈性的虛擬化資源池；云層：對資源池進(jìn)行調(diào)配、組合，根據(jù)應(yīng)用系統(tǒng)的需要自動生成、擴(kuò)展所需的硬件資源，將更多的應(yīng)用系統(tǒng)通過流程化、自動化部署和管理，提升IT效率。相對于傳統(tǒng)基礎(chǔ)架構(gòu)，統(tǒng)一基礎(chǔ)架構(gòu)通過虛擬化整合與自動化，應(yīng)用系統(tǒng)共享基礎(chǔ)架構(gòu)資源池，實(shí)現(xiàn)高利用率、高可用性、低成本、低能耗，并且通過云平臺層的自動化管理，實(shí)現(xiàn)快速部署、易于擴(kuò)展、智能管理，幫助用戶構(gòu)建基礎(chǔ)架構(gòu)即服務(wù)的云服務(wù)平臺。云業(yè)務(wù)管理平臺是整個河南省質(zhì)監(jiān)政務(wù)云后臺的管理、 調(diào)度、運(yùn)維中心?；贠penstack平臺的商業(yè)化云服務(wù)平臺，在繼承原有架

構(gòu)靈活、擴(kuò)展性強(qiáng)、開放性和兼容度高的基礎(chǔ)上，產(chǎn)品穩(wěn)定性和可靠性大大增強(qiáng)?；谧鈶舻綉?yīng)用的端到端的云服務(wù)配置和管理， 將用戶申請的服務(wù)組裝成服務(wù)鏈，統(tǒng)一管理和配置。通過對租戶的分級管理，實(shí)現(xiàn)了云多級資源分配的要求，通過定制個性化的審批流程，使得服務(wù)的申請更符合某些特殊業(yè)務(wù)的多級審批要求。通過對服務(wù)鏈的健康狀態(tài)的整體監(jiān)控和評分，對每個租戶的總體服務(wù)質(zhì)量有全面的把握和管理。下面將從計算虛擬化、網(wǎng)絡(luò)虛擬化、存儲虛擬化以及基礎(chǔ)資源自動調(diào)度、云安全和云業(yè)務(wù)管理平臺層面，進(jìn)行詳細(xì)的規(guī)劃設(shè)計，實(shí)現(xiàn)如下圖的業(yè)務(wù)邏輯：河南質(zhì)監(jiān)云業(yè)務(wù)流邏輯租戶開通I租戶網(wǎng)靠I租戶開通I租戶網(wǎng)靠I云主機(jī)I云存精I(xiàn)趨據(jù)庫I司負(fù)靛均衡I云電＜墻元平臺服知」戶云平吉番源物打他理| vm&b］［存血也皴據(jù)金創(chuàng)速負(fù)軟均新創(chuàng)建］［防火遍觸］稽查大隊(duì)SubnetSubnetSubn-etvRauter wLB圖4-4河南省質(zhì)監(jiān)云業(yè)務(wù)流程邏輯示意圖vFW稽查大隊(duì)SubnetSubnetSubn-etvRauter wLB圖4-4河南省質(zhì)監(jiān)云業(yè)務(wù)流程邏輯示意圖vFW計算虛擬化業(yè)界主流的四類計算資源虛擬化平臺，其中Vmware公司的

ESX/ESXi平臺和微軟公司的Hyper-V平臺屬于私有技術(shù)，開放性較ESX/ESXi Hyper-V XEN KVM后vmwareMkmsoft開源虛擬化平臺（推薦）冰VMVMware后vmwareMkmsoft開源虛擬化平臺（推薦）冰VMVMware公司的私有

技術(shù)平臺Micros。代公司的私

有技術(shù)平臺開源虛擬化平臺

（推薦）圖4-5業(yè)界虛擬化平臺對比示意圖XEN和KVM同屬于開源平臺，更加符合目前軟件行業(yè)趨于開源的整體發(fā)展方向，在云數(shù)據(jù)中心建設(shè)部署時被選用的也相對更多。本次統(tǒng)一基礎(chǔ)架構(gòu)中配置的虛擬化軟件H3CCAS虛擬化管理平臺，同樣是基于KVM平臺并具有國內(nèi)自主知識產(chǎn)權(quán)，在投標(biāo)文件商務(wù)部分提供了加蓋H3C公章的國家版權(quán)局的計算軟件著作權(quán)證書。網(wǎng)絡(luò)虛擬化根據(jù)本次業(yè)務(wù)系統(tǒng)的需求，在性能及安全上有非常高的要求，因此需要在統(tǒng)一基礎(chǔ)架構(gòu)系統(tǒng)前端配置匯聚交換機(jī)，為保證系統(tǒng)可靠性，建議采用虛擬化組網(wǎng)，其技術(shù)原理是將多臺物理設(shè)備虛擬為一臺邏輯設(shè)備，多臺設(shè)備之間互為備份、負(fù)載分擔(dān)，與其它設(shè)備之間采用跨設(shè)備鏈路聚合互聯(lián)，并且共用一個管理IP、一張轉(zhuǎn)發(fā)表和路由表，設(shè)備/鏈路/接口帶寬利用率達(dá)到100%,不僅消除了單點(diǎn)故障、避免了業(yè)務(wù)中斷，同時提高了資源利用率、簡化了管理、提升了運(yùn)營效率。如下圖所示:圖4-6傳統(tǒng)組網(wǎng)與虛擬化組網(wǎng)對比示意圖在傳統(tǒng)的數(shù)據(jù)中心網(wǎng)絡(luò)安全部署時，往往是網(wǎng)絡(luò)與安全各自為戰(zhàn)，在網(wǎng)絡(luò)邊界或關(guān)鍵節(jié)點(diǎn)串接安全設(shè)備（如FW防火墻、IPS入侵防御、LB負(fù)載均衡等）。隨著數(shù)據(jù)中心部署的安全設(shè)備的種類和數(shù)量也越來越多，這將導(dǎo)致數(shù)據(jù)中心機(jī)房布線、空間、能耗、運(yùn)維管理等成本越來越高?？梢圆捎迷趨R聚交換機(jī)的業(yè)務(wù)梢位中安裝安全插卡的方式，實(shí)現(xiàn)各安全功能的疊加，具通過交換機(jī)背板互連實(shí)現(xiàn)流量轉(zhuǎn)發(fā)，共用交換機(jī)電源、風(fēng)扇等基礎(chǔ)部件。融合部署除了簡化機(jī)房布線、節(jié)省機(jī)架空間、簡化管理之外，還具備以下優(yōu)點(diǎn)：互連帶寬高。安全插卡采用背板總線與交換機(jī)進(jìn)行互連，背板總線帶寬一股可超過40Gbps,相比傳統(tǒng)的獨(dú)立安全設(shè)備采用普通千兆以太網(wǎng)接口進(jìn)行互連，在互連帶寬上有了很大的提升，而且無需增加布線、光纖和光模塊成本。業(yè)務(wù)接口靈活。安全插卡上不對外提供業(yè)務(wù)接口（僅提供配置管理接口）

當(dāng)交換機(jī)上插有安全插卡時，交換機(jī)上原有的所有業(yè)務(wù)接口均可配置為安全業(yè)務(wù)接口。此時再也無需擔(dān)心安全業(yè)務(wù)接口不夠而帶來網(wǎng)絡(luò)安全部署的局限性。性能平滑擴(kuò)展。當(dāng)一臺交換機(jī)上的一塊安全插卡的性能不夠時， 可以再插入一塊或多塊插卡實(shí)現(xiàn)性能的平滑疊加。而且所有插卡均支持熱插拔，在進(jìn)行擴(kuò)展時無需停機(jī)中斷現(xiàn)有的業(yè)務(wù)。因此，建議在核心交換機(jī)（本次項(xiàng)目不涉及）上增加硬件防火墻業(yè)務(wù)模塊，以實(shí)現(xiàn)安全防御的需求。另外，由于統(tǒng)一基礎(chǔ)架構(gòu)系統(tǒng)中的計算資源模塊需要通過刀片交換機(jī)與匯聚交換機(jī)互聯(lián)，因此刀片交換機(jī)的性能及可靠性尤為重要，建議配置兩片并通過虛擬化技術(shù)組網(wǎng)，與兩臺核心交換機(jī)之間進(jìn)行萬兆雙鏈路跨設(shè)備鏈路聚合組網(wǎng)統(tǒng)一基礎(chǔ)架構(gòu)系統(tǒng)（背面核心交換機(jī)兩臺刀片交換機(jī)采用虛擬化組網(wǎng)與匯聚交換機(jī)間跨設(shè)備鏈路聚合圖4-7刀片交換機(jī)虛擬化組網(wǎng)示意圖兩臺設(shè)備間虛擬化互8端口（4個萬兆）采用背板連接，無需線統(tǒng)及萬兆光模塊，美觀易維護(hù).統(tǒng)一基礎(chǔ)架構(gòu)系統(tǒng)（背面核心交換機(jī)兩臺刀片交換機(jī)采用虛擬化組網(wǎng)與匯聚交換機(jī)間跨設(shè)備鏈路聚合圖4-7刀片交換機(jī)虛擬化組網(wǎng)示意圖計算虛擬化技術(shù)的出現(xiàn)使得計算服務(wù)提供不再以主機(jī)為基礎(chǔ)， 而是以虛擬機(jī)為單位來提供，同時為了滿足同一物理服務(wù)器內(nèi)虛擬機(jī)之間的數(shù)據(jù)交換需求，服務(wù)器內(nèi)部引入了網(wǎng)絡(luò)功能部件虛擬交換機(jī)vSwitch(VirtualSwitch),如下圖所示，虛擬交換機(jī)提供了虛擬機(jī)之間、虛擬機(jī)與外部網(wǎng)絡(luò)之間的通訊能力。IEEE的802.1標(biāo)準(zhǔn)中，正式將“虛擬交換機(jī)”命名為“VirtualEthernetBridge"，簡稱VEB,或稱vSwitch。物理服務(wù)器App App App App App App鄰接交換機(jī)圖4-8vSwitch邏輯架構(gòu)示意圖vSwitch的引入，給云計算數(shù)據(jù)中心的運(yùn)行帶來了以下兩大問題：網(wǎng)絡(luò)界面的模糊主機(jī)內(nèi)分布著大量的網(wǎng)絡(luò)功能部件vSwitch，這些vSwitch的運(yùn)行、部署為主機(jī)操作與維護(hù)人員增加了巨大的額外工作量， 在云計算數(shù)據(jù)中心通常由主機(jī)操作人員執(zhí)行，這形成了專業(yè)技能支撐的不足，而網(wǎng)絡(luò)操作人員一般只能管理物理網(wǎng)絡(luò)設(shè)備、無法操作主機(jī)內(nèi)vSwitch,這就使得大量vSwicth具備的網(wǎng)絡(luò)功能并不能發(fā)揮作用止匕外，對于服務(wù)器內(nèi)部虛擬機(jī)之間的數(shù)據(jù)交換，在vSwitch內(nèi)有限執(zhí)行，外部網(wǎng)絡(luò)不可見，不論在流量監(jiān)管、策略控制還是安全等級都無法依賴完備的外部硬件功能實(shí)現(xiàn)，這就使得數(shù)據(jù)交換界面進(jìn)入主機(jī)后因?yàn)関Switch的功能、性能、管理弱化而造成了高級網(wǎng)絡(luò)特性與服務(wù)的缺失。虛擬機(jī)的不可感知性物理服務(wù)器與網(wǎng)絡(luò)的連接是通過鏈路狀態(tài)來體現(xiàn)的， 但是當(dāng)服務(wù)器被虛擬化后，一個主機(jī)內(nèi)同時運(yùn)行大量的虛擬機(jī)，而此前的網(wǎng)絡(luò)面對這些虛擬機(jī)的創(chuàng)建與遷移、故障與恢復(fù)等運(yùn)行狀態(tài)完全不感知，同時對虛擬機(jī)也無法進(jìn)行實(shí)時網(wǎng)絡(luò)定位，當(dāng)虛擬機(jī)遷移時網(wǎng)絡(luò)配置也無法進(jìn)行實(shí)時地跟隨，雖然有些數(shù)據(jù)鏡像、分析偵測技術(shù)可以局部感知虛擬機(jī)的變化，但總體而言目前的虛擬機(jī)交換網(wǎng)絡(luò)架構(gòu)無法滿足虛擬化技術(shù)對網(wǎng)絡(luò)服務(wù)提出的要求。圖4-9傳統(tǒng)DC與云計算DC運(yùn)維示意圖為了解決上述問題，業(yè)界的解決思路是將虛擬機(jī)的所有流量都引至外部接入交換機(jī)，此時因?yàn)樗械牧髁烤?jīng)過物理交換機(jī)， 因此與虛擬機(jī)相關(guān)的流量監(jiān)控、訪問控制策略和網(wǎng)絡(luò)配置遷移問題均可以得到很好的解決，此方案最典型的代表是802.1Qbg標(biāo)準(zhǔn)。802.1Qbg是由IEEE802.1工作組制定一個新標(biāo)準(zhǔn)，也稱為VEPA。主要用于解決vSwtich的上述局限性，其核心思想是：將虛擬機(jī)產(chǎn)生的網(wǎng)絡(luò)流量全部交給與服務(wù)器相連的物理交換機(jī)進(jìn)行處理，即使同一臺物理服務(wù)器虛擬機(jī)間的流量，也將發(fā)往外部物理交換機(jī)進(jìn)行查表處理，之后再180度調(diào)頭返回到物理服務(wù)器。VEPA標(biāo)準(zhǔn)具有如下的技術(shù)特點(diǎn)：借助發(fā)卡彎轉(zhuǎn)發(fā)機(jī)制將外網(wǎng)交換機(jī)上的眾多網(wǎng)絡(luò)控制策略和流量監(jiān)管特性引入到虛擬機(jī)網(wǎng)絡(luò)接入層，不但簡化了網(wǎng)卡的設(shè)計，而且充分利用了外部交換機(jī)專用ASIC芯片的處理能力、減少了虛擬網(wǎng)絡(luò)轉(zhuǎn)發(fā)對CPU的開銷；充分利用外部交換機(jī)既有的控制策略特性（ACL、QOS、端口安全等）實(shí)現(xiàn)整網(wǎng)端到端的策略統(tǒng)一部署；充分利用外部交換機(jī)的既有特性增強(qiáng)了虛擬機(jī)流量監(jiān)管能力， 如各種端口流量統(tǒng)計，Netstream、端口鏡像等。VEPA標(biāo)準(zhǔn)中定義了虛擬機(jī)與網(wǎng)絡(luò)之間的關(guān)聯(lián)標(biāo)準(zhǔn)協(xié)議，使得虛擬機(jī)在變更與遷移時通告網(wǎng)絡(luò)及網(wǎng)管系統(tǒng)，從而可以借助此標(biāo)準(zhǔn)實(shí)現(xiàn)數(shù)據(jù)中心全網(wǎng)范圍的網(wǎng)絡(luò)配置變更自動化工作，使得大規(guī)模的虛擬機(jī)云計算服務(wù)運(yùn)營部署自動化能夠?qū)崿F(xiàn)。存儲虛擬化建議將應(yīng)用存儲系統(tǒng)（主要用于存放虛擬化文件、應(yīng)用系統(tǒng)文件等）與數(shù)據(jù)存儲系統(tǒng)（主要用于存放數(shù)據(jù)庫）物理分離設(shè)計。因?yàn)閿?shù)據(jù)存儲系統(tǒng)為結(jié)構(gòu)化數(shù)據(jù)，應(yīng)用存儲系統(tǒng)為非結(jié)構(gòu)化數(shù)據(jù)，而結(jié)構(gòu)化數(shù)據(jù)一般采用FC協(xié)議并以塊存儲的方式集中存儲，非結(jié)構(gòu)化數(shù)據(jù)一般采用iSCSI協(xié)議并以文件的方式分布式存儲，以滿足安全性、系統(tǒng)I/O、擴(kuò)展性的要求。應(yīng)用存儲系統(tǒng)本次應(yīng)用存儲系統(tǒng)采用H3cvStor零存儲技術(shù)（或稱為云存儲、分布式存儲技術(shù)），其技術(shù)原理是利用存儲虛擬化軟件 H3CvStor,采用標(biāo)準(zhǔn)X86服務(wù)器（本次采用H3CR390系列服務(wù)器），通過將服務(wù)器上的磁盤空間組織起來，虛擬成一個統(tǒng)一的大容量存儲空間，提供給應(yīng)用系統(tǒng)存放虛擬機(jī)文件、應(yīng)用軟件鏡像、備份等，并且具備高可用、高可靠、性價比高等特點(diǎn)，組網(wǎng)示意圖如下：(89)圖4-10存儲虛擬化組網(wǎng)示意圖(89)圖4-10存儲虛擬化組網(wǎng)示意圖存儲虛擬化技術(shù)的原理：全部存儲空間被分成許多大小一致的塊（大小可設(shè)置，8—64M,稱為chunk）,虛擬磁盤的chunk均勻分布到集群中所有磁盤上。數(shù)據(jù)采用偽隨機(jī)算法均衡分布在整個集群上以利用全部節(jié)點(diǎn)的性能，整體性能是傳統(tǒng) RAID盤2倍以上。每個卷上支持?jǐn)?shù)據(jù)2-5副本（本次設(shè)計2個副本），以滿足應(yīng)用業(yè)務(wù)數(shù)據(jù)存儲的需求。其原理圖如下：□□□□□□□□□□□□□□□□□□QQDUP虛擬磁盤A虛擬磁盤B虛擬磁盤C□□□□□□□□□□□□□□□□□□QQDUP虛擬磁盤A虛擬磁盤B虛擬磁盤C集群節(jié)點(diǎn)1 能群節(jié)點(diǎn)2集群節(jié)點(diǎn)m圖4-11存儲虛擬化技術(shù)的原理示意圖不同于傳統(tǒng)RAID以空閑的硬盤作為熱備，存儲虛擬化在集群全部磁盤中均勻分配熱備空間。任意一塊磁盤故障，剩余全部磁盤都參與重構(gòu)，將重構(gòu)時間由10小時/TB縮短為20分鐘/TB。8WH

Hmo

Bmsr一二多對多的數(shù)據(jù)恢復(fù)VSsparechunklets8WH

Hmo

Bmsr一二多對多的數(shù)據(jù)恢復(fù)VSsparechunklets傳統(tǒng)陣列-37/ EB冬對一熏柄,重構(gòu)時間長（重構(gòu)期間無保護(hù)）圖4-12存儲虛擬化與傳統(tǒng)陳列對比示意圖另外，為提高系統(tǒng)性能，建議采用SSD硬盤做緩存，熱點(diǎn)數(shù)據(jù)讀性能可提升20倍以上。其中寫操作默認(rèn)采用writearound的cache模式，寫透HDD以確保安全。可設(shè)置為writeback模式提升寫性能。從整體應(yīng)用考慮，本次配置2套存儲系統(tǒng)，每套采用三節(jié)點(diǎn)集群部署，每節(jié)點(diǎn)均配置雙控制器、內(nèi)置冗余電源、冗余風(fēng)扇、2GB控制器緩存和16GB內(nèi)存，1塊240GSSD硬盤和11塊600GSAS10K硬盤。為了保證數(shù)據(jù)不丟失，本次采用2份數(shù)據(jù)副本鏡像進(jìn)行存儲（最大可支持5份），以保證數(shù)據(jù)的安全性。支持?jǐn)?shù)據(jù)分層技術(shù)，能夠?qū)?塊240GSSD做為高速數(shù)據(jù)交換緩存，其余11塊600GBSAS10K硬盤作為數(shù)據(jù)存儲，統(tǒng)一整合為大容量存儲空間，提供給應(yīng)用業(yè)務(wù)存儲系統(tǒng)使用。并且支持平滑升級和擴(kuò)展，以滿足現(xiàn)在及未來的需求。圖4-13存儲虛擬化透寫技術(shù)示意圖H3CvStor零存儲技術(shù)采用了MPP架構(gòu)，該架構(gòu)是目前互聯(lián)網(wǎng)普遍采用的計算、存儲一體化架構(gòu)，具有很強(qiáng)的可擴(kuò)展性。另外，針對高可靠性、可用性應(yīng)用的要求，H3cvStor零存儲技術(shù)進(jìn)一步改進(jìn)了元數(shù)據(jù)管理方案，采用無中心節(jié)點(diǎn)的分布式元數(shù)據(jù)管理， 不僅消除了元數(shù)據(jù)服務(wù)器存在的單點(diǎn)故障，而且實(shí)現(xiàn)高度自動化管理，減少了維護(hù)復(fù)雜性。其采用的存儲虛擬化技術(shù)，如分布式LUN、分布式熱備空間、多副本設(shè)計等，是目前高端存儲普遍采用的技術(shù)，如EMCVMAX、IBMXIV、HP3PAR等都采用相同或者類似的技術(shù)，這些技術(shù)都是提供存儲高可用性和穩(wěn)定一致的存儲性能的關(guān)鍵技術(shù)。當(dāng)系統(tǒng)擴(kuò)容時（比如增加物理磁盤或者增加服務(wù)器節(jié)點(diǎn)），用戶只需幾條簡單命令（通過命令行或者圖形化管理界面）將物理部件加入集群，系統(tǒng)上原有的數(shù)據(jù)將自動重新均衡，原有LUN將自動擴(kuò)展到新的物理設(shè)備上。同時系統(tǒng)具備強(qiáng)大的自愈能力，一般硬件故障無需人工干預(yù)。物理磁盤或者服務(wù)器節(jié)點(diǎn)故障后，系統(tǒng)可在數(shù)秒內(nèi)自愈，自動恢復(fù)業(yè)務(wù)。數(shù)據(jù)存儲系統(tǒng)采用基于FC協(xié)議的集中式存儲系統(tǒng)宏杉MS3100,本次配置10.8TB裸容量（采用12塊900GBSAS10K硬盤），配置4個8GbFC接口及光模塊，配備相關(guān)管理軟件，為數(shù)據(jù)庫服務(wù)器提供塊存儲服務(wù)，以提高系統(tǒng)性能及可靠性。另外，配置配套的光纖交換機(jī)光模塊、線纜等，以滿足系統(tǒng)組網(wǎng)需要。云資源自動調(diào)度設(shè)計隨著本次項(xiàng)目的進(jìn)行，各業(yè)務(wù)系統(tǒng)會逐步遷移及應(yīng)用，并且后期其它各業(yè)務(wù)也會源源不斷的上線，用戶會大量涌入，并且會有不定時的業(yè)務(wù)量突發(fā)。為了滿足這種業(yè)務(wù)特性的需求，并考慮未來3-5年的

需求，人為的估計一些軟硬件資源需求，并且按些需求進(jìn)行招標(biāo)采購，結(jié)果造成多種問題，如硬件高配低用、設(shè)備眾多運(yùn)維困難等，并且當(dāng)用戶大量超過了當(dāng)初的估計值時，造成整個系統(tǒng)癱瘓，雖然事后可以緊急采購、添加設(shè)備，但系統(tǒng)己經(jīng)癱瘓，己經(jīng)造成了停機(jī)事件，嚴(yán)重情況下會造成數(shù)據(jù)不一致或丟失。通過配置自動資源調(diào)度網(wǎng)關(guān)與統(tǒng)一基礎(chǔ)架構(gòu)系統(tǒng)中虛擬化平臺的配合，可實(shí)時感知用戶及業(yè)務(wù)狀態(tài)，并根據(jù)用戶及業(yè)務(wù)系統(tǒng)的狀態(tài)隨時調(diào)整策略，實(shí)現(xiàn)資源的動態(tài)調(diào)度及在線擴(kuò)展。假如1個虛擬機(jī)可以服務(wù)100個客戶，當(dāng)客戶數(shù)增加到500人時，系統(tǒng)會自動再克隆出4個虛擬機(jī)，以滿足業(yè)務(wù)并發(fā)需求。當(dāng)客戶數(shù)減少到300人時，系統(tǒng)會自動刪除2個虛擬機(jī)，以釋放資源，達(dá)到自動資源調(diào)度的功能?！?自動董源調(diào)度網(wǎng)美H3CUIS8000云計算中心**會經(jīng).汽集算絡(luò)儲

計網(wǎng)存原原原

斐登資■■? V:自動董源調(diào)度網(wǎng)美H3CUIS8000云計算中心**會經(jīng).汽集算絡(luò)儲

計網(wǎng)存原原原

斐登資宮類用戶假如1個虛擬機(jī)可以服努100個客戶當(dāng)客戶數(shù)增加到500人時系統(tǒng)會自動再克隆出4個虛嘏機(jī)當(dāng)客戶數(shù)減少到30。人時系統(tǒng)會自動刪除2個虛期機(jī)H3CDRX自動賁源獷展解決方案可將業(yè)費(fèi)數(shù)據(jù)硒衡地分配到要個盅檄機(jī).提高業(yè)省秦穌的整體需努性能和自劭資源調(diào)度，在滿足業(yè)若質(zhì)量的前提下具苗高可能和高可用性。只需要在業(yè)者系統(tǒng)前配置負(fù)部均撕邂苗即可，建議在核心交換機(jī)上安裝負(fù)翻均衡模塊，不改變現(xiàn)有網(wǎng)緒架構(gòu)。圖4-14基礎(chǔ)資源自動調(diào)度示意圖在實(shí)際部署方式上，只需要在核心交換機(jī)或數(shù)據(jù)中心交換機(jī)上旁掛自動資源調(diào)度系統(tǒng)網(wǎng)關(guān)設(shè)備即可，不改變網(wǎng)絡(luò)架構(gòu)。為保證系統(tǒng)可靠性及可用性，建議配置兩臺進(jìn)行雙機(jī)熱備。4.7河南省質(zhì)監(jiān)局云計算平臺架構(gòu)圖河南省質(zhì)監(jiān)局云計算平臺方案架構(gòu)圖例H3CCASH3CCSMH3CiMC核心路由器（本次方案不涉及）各類用戶2-入侵防御需統(tǒng).地?fù)?jù)庫布什?爆堂機(jī)數(shù)據(jù)存儲系統(tǒng)H3CP820010GEWAN/LAN。睡船自成啕密虛擬化管理平臺云業(yè)券管理平臺綜合運(yùn)維管理平臺出口防火理上網(wǎng)行為行理云中，港全加固察統(tǒng)（本次方案不涉及）應(yīng)用服務(wù)器H3CLI1S8000巴情監(jiān)測樂銃網(wǎng)絡(luò)承雷馬督理扉諭3屆第筑數(shù)陶庫服務(wù)器H3CR690自動窗源調(diào)度網(wǎng)關(guān)河南省質(zhì)監(jiān)局云計算平臺方案架構(gòu)圖例H3CCASH3CCSMH3CiMC核心路由器（本次方案不涉及）各類用戶2-入侵防御需統(tǒng).地?fù)?jù)庫布什?爆堂機(jī)數(shù)據(jù)存儲系統(tǒng)H3CP820010GEWAN/LAN。睡船自成啕密虛擬化管理平臺云業(yè)券管理平臺綜合運(yùn)維管理平臺出口防火理上網(wǎng)行為行理云中，港全加固察統(tǒng)（本次方案不涉及）應(yīng)用服務(wù)器H3CLI1S8000巴情監(jiān)測樂銃網(wǎng)絡(luò)承雷馬督理扉諭3屆第筑數(shù)陶庫服務(wù)器H3CR690自動窗源調(diào)度網(wǎng)關(guān)H3CL5000C服務(wù)器交懊機(jī)（本次右案不法及）應(yīng)用存儲系統(tǒng)（存儲虛擬化）H3CvStorIGEHR虛擬化出口安全系統(tǒng)（本次存案不涉及）核心交旗機(jī)C本次方案不涉及）存砧圖4-15質(zhì)監(jiān)云計算平臺架構(gòu)示意圖第五章質(zhì)監(jiān)政務(wù)云安全設(shè)計云安全需求分析在河南省質(zhì)監(jiān)政務(wù)云的建設(shè)過程中，安全是必不可少的要素。用戶選擇云服務(wù)，意味著其核心數(shù)據(jù)將保存在云服務(wù)商的資源池中， 此時云服務(wù)商是否具備先進(jìn)的安全防護(hù)技術(shù)， 其內(nèi)部是否有嚴(yán)格的規(guī)章制度和可靠性機(jī)制來保障用戶的數(shù)據(jù)不被泄露， 都是用戶非常關(guān)心的問題。本次河南省質(zhì)監(jiān)政務(wù)云的安全建設(shè)，一方面需要考慮河南省質(zhì)監(jiān)政務(wù)云和周邊系統(tǒng)的安全隔離和訪問控制，另一方面也需要考慮河南省質(zhì)監(jiān)政務(wù)云內(nèi)部的安全體系架構(gòu)的建設(shè)， 為后續(xù)的云安全服務(wù)的提供打下堅(jiān)實(shí)的基礎(chǔ)。河南省質(zhì)監(jiān)政務(wù)云邊界安全防護(hù)需求從河南省質(zhì)監(jiān)政務(wù)云的邊界安全角度考慮，需要預(yù)先進(jìn)行流量模型的分析并針對不同的業(yè)務(wù)流量制定合理的安全規(guī)則，并通過河南省質(zhì)監(jiān)政務(wù)云出口的安全緩沖區(qū)建設(shè)進(jìn)行具體的實(shí)施：針對互聯(lián)網(wǎng)用戶直接訪問河南省質(zhì)監(jiān)政務(wù)云內(nèi)部的公眾服務(wù)專區(qū)的流量， 考慮到互聯(lián)網(wǎng)出口的安全風(fēng)險較多，如用戶訪問的安全隔離和控制、網(wǎng)絡(luò)本身對DDOS等惡意流量的攻擊防護(hù)、病毒蠕蟲、惡意代碼和釣魚網(wǎng)站等安全威脅的檢測等，為此需要建設(shè)安全緩沖區(qū)，實(shí)現(xiàn)基礎(chǔ)的狀態(tài)監(jiān)測防火墻、深度報文入侵檢測、以及異常流量監(jiān)測和清洗等步驟；對于數(shù)據(jù)中心之間的流量交互，典型如可信公有云訪問河南省質(zhì)監(jiān)政務(wù)云的資源共享專區(qū)、以及河南省質(zhì)監(jiān)政務(wù)云內(nèi)的公眾服務(wù)專區(qū)訪問資源共享專區(qū)等流量，并對這部合理的安全防護(hù)方法是基于數(shù)據(jù)交互的模型定義合理的訪問控制規(guī)則,并對這部分合法訪問的流量進(jìn)行監(jiān)控審計，對于不在訪問控制策略范圍內(nèi)的其他情況則直接拒絕訪問資源共享專區(qū)；對于出方向的流量，一般情況下，嚴(yán)格禁止河南省質(zhì)監(jiān)政務(wù)云內(nèi)部的服務(wù)器主動發(fā)起對互聯(lián)網(wǎng)的訪問，對部分特殊的訪問需求，如進(jìn)行系統(tǒng)升級或補(bǔ)丁升級等配置針對性的NAT和安全控制策略。對于河南省質(zhì)監(jiān)政務(wù)云內(nèi)部的資源共享區(qū)和公眾服務(wù)區(qū)的流量，可以通過定制相應(yīng)的安全規(guī)則進(jìn)行隔離和訪問控制。河南省質(zhì)監(jiān)政務(wù)云內(nèi)部安全防護(hù)需求在考慮河南省質(zhì)監(jiān)政務(wù)云的邊界安全防護(hù)需求時， 更多的需要結(jié)合河南省質(zhì)監(jiān)政務(wù)云內(nèi)部的安全體系架構(gòu)來進(jìn)行落實(shí)。 河南省質(zhì)監(jiān)政務(wù)云內(nèi)部建立云內(nèi)的網(wǎng)絡(luò)安全防護(hù)機(jī)制，在未經(jīng)過授權(quán)允許的情況下，河南省質(zhì)監(jiān)政務(wù)云內(nèi)各系統(tǒng)間默認(rèn)情況下不能相互訪問， 將不同應(yīng)用系統(tǒng)加入到不同的安全區(qū)域，不同安全區(qū)域之間的云主機(jī)網(wǎng)絡(luò)默認(rèn)隔離。當(dāng)需要互通時，通過修改域間規(guī)則，來打開互訪通道。針對不同安全區(qū)域之間服務(wù)器的互訪需求，可以通過自定義防火墻規(guī)則實(shí)現(xiàn)。通過上述方式，實(shí)現(xiàn)河南省質(zhì)監(jiān)政務(wù)云各系統(tǒng)間的完全隔離，并在需要互通的各業(yè)務(wù)系統(tǒng)間利用防火墻域間策略控制。河南省質(zhì)監(jiān)政務(wù)云內(nèi)部的安全建設(shè)需要考慮在互聯(lián)網(wǎng)出口部署安全緩沖區(qū)，來對這部分網(wǎng)間交互的流量進(jìn)行訪問控制， 同時需要借助這個緩沖區(qū)創(chuàng)建不同的安全域，實(shí)現(xiàn)河南省質(zhì)監(jiān)政務(wù)云內(nèi)部的資源共享區(qū)和公眾服務(wù)區(qū)的安全隔離和訪問控制。除了這些業(yè)務(wù)系統(tǒng)之間的訪問控制需求之外，對于互聯(lián)網(wǎng)的應(yīng)用層安全風(fēng)險和針對關(guān)鍵服務(wù)器的DDOS大流量沖擊防護(hù)也是不可缺少的一部分。同時，考慮到河南省質(zhì)監(jiān)政務(wù)云的云計算多租戶的屬性要求， 安全作為服務(wù)提供給

租戶也有利于云計算服務(wù)商提供差異化的服務(wù)能力云安全架構(gòu)設(shè)計綜合上述河南省質(zhì)監(jiān)云平臺對于安全的需求，可以從物理層、虛擬化控制層以及安全服務(wù)層的角度進(jìn)行安全體系的建設(shè)，詳細(xì)的體系框架如下面所示：安全入虎棕化網(wǎng)塔安至 HyperviRnfi安全入虎棕化網(wǎng)塔安至 HyperviRnfi擬化去莖 虛擬機(jī)安至 7M的安主隅第 存喘朝憶安莖tit資浦拍照忙虛報/造制層防火崎IPS雜為崎交換機(jī)器去整服務(wù)器 受轉(zhuǎn)均董 存促物理層變?nèi)^受制屋安全應(yīng)急啕應(yīng)機(jī)制及處湮近屋云安全業(yè)各都看及第B調(diào)整云安全日志分析和行為審法一圖5-1云安全體系統(tǒng)架構(gòu)示意圖在河南省質(zhì)監(jiān)政務(wù)云安全體系框架圖中，整個的安全體系可以從以下幾個方面來考慮：云計算物理層安全云計算物理層面臨著對計算機(jī)網(wǎng)絡(luò)與計算機(jī)系統(tǒng)的物理裝備的威脅，是指由于周邊系統(tǒng)環(huán)境和物理特性導(dǎo)致的網(wǎng)絡(luò)安全設(shè)備和線路的不可用，從而造成所承載的網(wǎng)絡(luò)應(yīng)用不可用。主要表現(xiàn)在自然災(zāi)害、電磁輻射、三防（防火、防水、防塵）及惡劣的工作環(huán)境方面，而相應(yīng)的防范措施包括抗干擾系統(tǒng)、物理隔離、防輻射系統(tǒng)、供電系統(tǒng)的冗余設(shè)計和可靠性備份，采取前后上下等多種通風(fēng)方式?；诒敬螜C(jī)房環(huán)境在基本物理層安全防護(hù)上面的高水平，這部分內(nèi)容不做贅述。虛擬化資源層安全虛擬化層是云計算代表性的屬性之一，也是現(xiàn)階段云計算數(shù)據(jù)中心實(shí)施最為廣泛的技術(shù)，基于服務(wù)器的虛擬化技術(shù)，可以將單臺物理服務(wù)器虛擬出多臺虛擬機(jī)并獨(dú)立安裝各自的操作系統(tǒng)和應(yīng)用程序， 從而有效提升服務(wù)器本身的利用效率。但是這種虛擬化技術(shù)也帶來了一些安全風(fēng)險，比較典型的有基于虛擬化所衍生的一些安全漏洞， 以及針對VM-VM虛擬機(jī)流量交換的安全問題。虛擬化軟件導(dǎo)致的安全漏洞風(fēng)險：這個問題可以從2個方面來看，一方面，以虛擬化應(yīng)用程序本身可能存在的安全漏洞將影響到整個物理主機(jī)的安全。黑客在利用漏洞入侵到主機(jī)系統(tǒng)之后，可以對整個主機(jī)上的虛擬機(jī)進(jìn)行任意的配置破壞， 從而導(dǎo)致系統(tǒng)不能業(yè)務(wù)，或者是將相關(guān)數(shù)據(jù)進(jìn)行竊取，如果黑客侵入了虛擬機(jī)配置管理程序，則會直接影響到其管理的全部虛擬機(jī)的安全。另一方面，基于虛擬化環(huán)境開發(fā)的各種第三方應(yīng)用程序的漏洞安全。這些應(yīng)用程序是云服務(wù)交付的核心組成，包括Web前端的應(yīng)用程序、各種中間件應(yīng)用程序及數(shù)據(jù)庫程序等，即使在傳統(tǒng)網(wǎng)絡(luò)安全環(huán)境下，他們?nèi)匀粫驗(yàn)榫幊碳夹g(shù)的缺陷而存在多個安全漏洞，在云計算環(huán)境下，這些安全漏洞會繼續(xù)存在，典型如各種WEB會話控制漏洞、會話劫持漏洞及各種注入攻擊漏洞。同時為了適應(yīng)或使用虛擬化環(huán)境下的各種 API管理接口，也可能產(chǎn)生一些新的安全漏洞。云計算虛擬機(jī)流量交換的安全新風(fēng)險： 在虛擬化環(huán)境下，單臺物理服務(wù)器上可以虛擬化出多個完全對立的虛擬機(jī)并運(yùn)行不同的操作系統(tǒng)和應(yīng)用程序，各虛擬機(jī)之間可能存在直接的二層流量交換， 而這種二層交換并不需要經(jīng)過外置的二層交換機(jī)，管理員對于該部分流量既不可控也不可見，在這種情況下，管理員需要判斷VM虛擬機(jī)之間的訪問是否符合預(yù)定的安全策略，或者需要考慮如何設(shè)置策略以便實(shí)現(xiàn)對VM之間流量的訪問控制。5.5IaaS服務(wù)層安全多租戶環(huán)境下的基礎(chǔ)安全服務(wù)主要體現(xiàn)在IaaS服務(wù)層，IaaS作為云計算的重要組成部分，其將基礎(chǔ)設(shè)施包括網(wǎng)絡(luò)、存儲、計算等資源進(jìn)行虛擬化等處理，能夠?yàn)槊總€用戶提供相對獨(dú)立的服務(wù)器計算資源、存儲資源以及在承載網(wǎng)上設(shè)定專有的數(shù)據(jù)轉(zhuǎn)發(fā)通道， 這種云計算的模式已經(jīng)得到IT業(yè)界的廣泛認(rèn)可。在本次省河南省質(zhì)監(jiān)政務(wù)云安全平臺的建設(shè)過程中，基于IaaS模型下的各種安全服務(wù)體系的建設(shè)具是重點(diǎn)所在，根據(jù)現(xiàn)階段的需求來看，這部分服務(wù)主要包括針對云計算防火墻服務(wù)、云計算負(fù)載均衡業(yè)務(wù)。不同的租戶可以根據(jù)自身的業(yè)務(wù)需求，合理的選擇部署云安全防火墻服務(wù)或者是防火墻疊加負(fù)載均衡業(yè)務(wù)。部署該安全服務(wù)后，每個租戶可以獲得邏輯上完全屬于自己的防火墻和負(fù)載均衡。租戶可以根據(jù)自身需求，設(shè)定自身的各種安全防護(hù)策略，生成自身獨(dú)有的安全日志分析報告。同時對于部分需要負(fù)載均衡的業(yè)務(wù)，也可以設(shè)置獨(dú)立的負(fù)載均衡的算法，以保證業(yè)務(wù)的可靠性運(yùn)行。當(dāng)然，考慮到應(yīng)用層的安全風(fēng)險一直是互聯(lián)網(wǎng)的重點(diǎn)防護(hù)對象之一，各種基于web應(yīng)用層的安全攻擊會導(dǎo)致用戶業(yè)務(wù)系統(tǒng)的權(quán)限被竊取以及關(guān)鍵數(shù)據(jù)的泄露，未來也可以考慮增加一些新的諸如IPS入侵檢測等增值服務(wù)，可以提供獨(dú)立的入侵防御安全資源池，用戶可以根據(jù)自身業(yè)務(wù)