基于企業(yè)移動平臺的綜合信息架構設計與應用

王燃++肖浩

摘 要：隨著海南核電各類信息化項目如火如荼的建設和陸續(xù)投入生產運行，從原來的紙質化管理到依托系統(tǒng)平臺的業(yè)務過程信息化和依托數(shù)據(jù)與服務實現(xiàn)多客戶終端的展現(xiàn)和利用，使海南核電的應用系統(tǒng)架構的規(guī)劃整體上往更開放、耦合性更低的方向發(fā)展，伴隨著整個過程也有著對于計算機網(wǎng)絡和信息安全等的深度融合。本文以海南核電信息化進程中的信息系統(tǒng)架構的設計演化過程為基礎，提煉了在當前移動開發(fā)大形勢下對于企業(yè)移動應用安全、移動應用架構和系統(tǒng)規(guī)劃方面的主要制約問題和架構設計管理要求。

關鍵詞：企業(yè)信息化 移動應用 信息安全 服務化

中圖分類號：TP393.08 文獻標識碼：A 文章編號：1672-3791（2017）10（a）-0013-02

經(jīng)過8年的發(fā)展和建設，海南核電已經(jīng)邁入到了在運電廠的行列，上線的應用系統(tǒng)數(shù)量多如牛毛，如何管理好這些信息化項目，使之更好地持久地更安全地為核電廠的生產和經(jīng)營服務，是我們一直在研究的一項重大課題，具體而言，就是在已有的資源條件下，研究采用何種架構和治理方式對其進行管理。

1 系統(tǒng)架構的演變

隨著管理片區(qū)和生產片區(qū)各類應用系統(tǒng)陸續(xù)投用，信息項目數(shù)量的動態(tài)增長并相繼暴露出一些問題，主要體現(xiàn)在：（1）數(shù)據(jù)備份工作量逐漸增大，此處的數(shù)據(jù)包括數(shù)據(jù)庫數(shù)據(jù)和實體文件數(shù)據(jù)。（2）對于服務器的監(jiān)控非常不便利，因層次劃分不清晰導致問題診斷過程缺乏規(guī)范且低效。（3）人員職責權限邊界不明，突發(fā)運維事件時運維人員要檢查的范圍較大，處理時如產生環(huán)境配置變更可能會影響到其他系統(tǒng)的運行。（4）應用系統(tǒng)缺乏自動監(jiān)控或者高可用機制，宕機之后系統(tǒng)立即陷入癱瘓。此時我們在進行設計時，主要考慮以下因素。

（1）可擴展性接入。

（2）過程可管理和追溯。

（3）運維工作便于開展。

（4）提高硬件資源的利用率。

（5）核心服務高可用。

規(guī)范化的設計和管理后帶來的效果是立竿見影的，對于新接入的系統(tǒng)在數(shù)據(jù)庫實例、實體文件存儲、應用服務器部署和管理、系統(tǒng)監(jiān)控層面都能夠做到有效管控，權責基本分明。為提高操作系統(tǒng)層面的可管理性和硬件的可維護性，采用虛擬化手段對服務器進行處理，主要的提升體現(xiàn)在：（1）通過虛擬機備份的方式解決了絕大部分的數(shù)據(jù)和系統(tǒng)級備份問題。（2）提高了系統(tǒng)資源分配的彈性，提高了資源分配的利用率。（3）提供了一個上層的監(jiān)控平臺，可以實時監(jiān)控虛擬機狀態(tài)。但是，應用系統(tǒng)的邏輯架構不變。

隨著HNPC微信綜合服務平臺開始建設，應用服務器和騰訊服務器之間產生了通訊需求，緊接其后需解決內外網(wǎng)數(shù)據(jù)同步問題；此外，因微信項目所部署的云服務器缺乏系統(tǒng)的安全防范措施，抵御外部攻擊能力較弱，存在敏感數(shù)據(jù)泄漏的風險。為保障系統(tǒng)數(shù)據(jù)實時同步和數(shù)據(jù)安全，我們重新設計了新的應用系統(tǒng)部署架構。經(jīng)進一步論證和研究，新架構通過使用WAF（網(wǎng)絡應用防火墻）和IPS入侵防御系統(tǒng)，將WAF作為應用與外界交互的唯一接口，由其來進行請求的反向代理和轉發(fā)，控制過濾掉非法和不安全的請求，使用WAF后，外部請求一個唯一的公網(wǎng)IP地址，經(jīng)過WAF的代理轉發(fā)，安全的進入并定位到內網(wǎng)服務器的指定主機，減少了內部站點對外的發(fā)布，減少了公網(wǎng)地址在傳統(tǒng)防火墻中，一對一使用IP地址的浪費；其次在操作系統(tǒng)層級和應用層級進行安全的掃描，包括操作系統(tǒng)漏洞、網(wǎng)絡設備漏洞、WEB服務器漏洞、數(shù)據(jù)庫服務器漏洞等，將結果推送告知系統(tǒng)運維人員進行漏洞的修復，保障應用系統(tǒng)和數(shù)據(jù)服務所在的環(huán)境安全。

2 企業(yè)級移動應用平臺

業(yè)務信息系統(tǒng)的全面集成和多終端訪問和移動應用的中間件集成運行環(huán)境和移動信息安全體系建設，又對總體架構提出了新的挑戰(zhàn)，啟動集移動應用、移動管理、移動開發(fā)于一體的移動應用平臺的規(guī)劃設計和實現(xiàn)，形成完善的移動應用規(guī)劃和標準體系勢在必行。平臺的整個網(wǎng)絡架構分為三大部分：Internet、DMZ和內網(wǎng)區(qū)域，移動終端通過VPN撥號訪問內網(wǎng)的Mplus服務器，保證數(shù)據(jù)傳輸及訪問控制的安全性，移動終端經(jīng)過公網(wǎng)防火墻訪問處于DMZ區(qū)的負載均衡服務器，再經(jīng)過DMZ區(qū)與內網(wǎng)之間的防火墻，判斷ACL，若符合控制規(guī)范，將有權限下載Mplus服務端上存放的客戶端軟件并使用。

移動平臺對接入平臺的設備進行全周期管控，包括設備認證、設備策略、設備規(guī)則、設備注銷四個階段。設備接入平臺需要通過用戶登錄認證、設備注冊激活、審核接入3個環(huán)境；對于接入平臺可以提供各種安全策略進行組合配置，如：密碼策略、安全策略、限制策略；設備在接入平臺后由管理配置規(guī)則進行監(jiān)控，規(guī)則包括：是否破解、是否在指定區(qū)域使用等；接入平臺的設備丟失或置換后可通過平臺對設備進行遠程鎖定、擦除公司數(shù)據(jù)、恢復出廠設置等。

移動平臺采用沙箱機制將數(shù)據(jù)置于安全沙箱之中，從安全隔離、安全訪問、數(shù)據(jù)加密、數(shù)據(jù)擦除4個方面保證數(shù)據(jù)的安全性。平臺在移動端開辟一個安全工作區(qū)域，存儲公司應用、文檔、郵件、消息等公司數(shù)據(jù)，個人數(shù)據(jù)完全隔離在沙箱之外；除開發(fā)平臺以外，沙箱內部數(shù)據(jù)不能被任何程序訪問和讀取，除非得到移動平臺的許可，外部數(shù)據(jù)不允許隨意放置到安全沙箱；沙箱采用AES 256位加密算法且只能被移動平臺解密并識別，確保公司數(shù)據(jù)存儲安全；設備丟失后進行設備注銷，沙箱內的數(shù)據(jù)將會被全部清除。

移動平臺采用多種形式和維度對用戶設備進行統(tǒng)計和審計。具體包括：可查詢用戶接入平臺設備數(shù)據(jù)、每臺設備的違規(guī)情況；可查看設備所屬用戶、設備是否違規(guī)、設備狀態(tài)（是否破解、是否脫離管控）等；查看應用的用戶使用情況；通過自定義用戶事件上傳用戶具體模塊、功能的操作使用記錄；查看接入平臺的設備型號情況；可查看接入平臺的操作系統(tǒng)情況。

服務器部署在內網(wǎng)DMZ區(qū)，通過反向代理服務器與外網(wǎng)進行數(shù)據(jù)交互。應用數(shù)據(jù)傳輸采用SSL協(xié)議進行數(shù)據(jù)加密傳輸。從外網(wǎng)入口的請求將通過負載均衡器進行負載分發(fā)。

通過以上的管理和技術上的管控措施，移動平臺將基本符合相關安全要求，為后續(xù)的應用開發(fā)以及推廣使用奠定基礎。

3 結語

為提高信息資源的利用效率和標準化程度，需將現(xiàn)有核心業(yè)務系統(tǒng)的服務化，可基于SOAP協(xié)議進行WebService API的設計，遵循指定的服務契約進行調用，幾乎不需要對服務進行任何改造；采用異步方式利用服務端本身的請求隊列緩沖機制，使客戶端和服務端并發(fā)工作，提高了系統(tǒng)的吞吐效率。微信應用與公眾服務平臺進行前端入口進行集成，可以通過后臺配置直接關聯(lián)而不直接去騰訊的微信服務器通訊，提高效率的同時簡化了接入步驟；企業(yè)級移動平臺應用采用輕應用方式進行開發(fā)，基于通用平臺去實施并基于目標平臺去打包，保證一套代碼能夠生成適用于多個環(huán)境的移動應用。

移動信息化項目在企業(yè)信息化實施過程中是一個非常重要的環(huán)節(jié)，但其架構的演變是連續(xù)的，我們在傳統(tǒng)Web項目實施階段建設的許多基礎設施均可加以改造為我所用，本文通過設計打造一個完整安全的應用運行時環(huán)境，為后續(xù)系統(tǒng)的安全接入進行了完整設計，也為后續(xù)項目的接入制定了規(guī)范并指明了方向。

參考文獻

[1] 葛遜.移動互聯(lián)網(wǎng)安全管理新趨勢[J].互聯(lián)網(wǎng)天地， 2011（11）：28.

[2] 閆文婧.我國大型企業(yè)信息化及信息管理[J].河南科技， 2015（15）：26-27.

[3] 信息化，中小企業(yè)成長必經(jīng)之路[J].計算機與網(wǎng)絡，2009（19）：74-75.endprint