混合云平臺構建管理及安全性研究

張瑞英 陳秀蘭

摘要：隨著云計算技術的不斷發展成熟，云計算應用已經從互聯網行業向教育、醫療、金融等行業融合。傳統的私有云用戶因為受本地計算資源及功能的限制，逐步把一部分需要對外服務的業務遷移到公有云上，而傳統的公有云用戶為了保護私有數據不被泄露，逐漸尋找私有云的解決方案，因此，混合云是未來云計算發展的趨勢。該文主要從混合云平臺構建、管理及安全性方面進行研究，具有較強的實踐意義。

關鍵詞：云計算;混合云;混合云管理;云安全

中圖分類號：TP393 ? ? ? ?文獻標識碼：A

文章編號：1009-3044（2022）13-0040-03

1引言

云計算通過使用虛擬化技術將計算、存儲、網絡等資源整合為統一的資源池，實現了對硬件資源的二次分配，有效利用了空閑資源?；旌显平ㄔO為智能化統籌建設、管理與服務平臺提供了有力支撐，進一步加速了單位信息化建設的腳步。本文主要從云計算概念、部署方式出發，論述混合云平臺構建及管理，最后對混合云平臺運行的安全性進行研究。

目前，許多單位的站群系統、OA辦公系統等內部業務系統是部署在本地機房，基于VMware實現的虛擬化平臺上運行管理的，需要根據業務高峰期運行量預置資源，隨著業務的增長及技術的更新迭代，VMware虛擬化平臺承載的業務及數據較多，導致計算資源、網絡資源、存儲資源出現捉襟見肘的現象。同時受當前基礎設施資源的限制及帶寬等性能指標的要求，部分業務部署在不同的云平臺上，從而造成業務分散、管理不統一、云資源不能充分利用、安全服務成本高等弊端。因此，結合當前實際情況，在信息化基礎設施建設上設計一套混合云架構，實現云上云下無縫對接，包括在管理層面、網絡層面、數據層面的互聯互通是非常有必要的。

2云計算

傳統場景下，一臺物理服務器通過主板連接CPU、內存、硬盤、網卡等資源實現協同工作，提供的服務容易受到資源的限制，并且不同物理服務器之間協同工作也比較困難，硬件資源利用率相對較低。而在云計算場景下，數據中心的計算、存儲、網絡等資源被整合為統一的資源池，不同設備中的資源可以借助云計算進行跨硬件的協同工作，從而最大化實現空閑資源價值。云計算通過使用虛擬化技術將硬件設備進行邏輯層面的化整為零，實現了對硬件資源的二次分配，通過資源整合、調度、分配等方式可以同時創建多臺邏輯主機，每臺邏輯主機可運行不同的操作系統，部署不同的應用程序，應用程序在相互獨立的空間內運行且互不影響，進一步提升了基礎設施的資源利用率。

云計算主要是基于計算、存儲和網絡等基礎設施提供按需訂閱的資源，主要有基礎設施即服務 （IaaS）、平臺即服務 （PaaS）和軟件即服務 （SaaS）三種模型。按照部署方式的不同可以分為公有云、私有云、混合云[1]。其中公有云是指由第三方提供商建設計算、存儲和網絡等資源池，在公有網絡中提供服務，用戶通過互聯網使用計算資源。私有云的核心是專有資源，用戶擁有基礎設施，可以在基礎設施上部署應用程序，因此可有效控制數據安全性[2]?；旌显迫诤狭斯性坪退接性?，利用公有云的可擴展性獲取更高的計算資源，將內部重要數據保存在本地數據中心，有效保障了數據的安全性。

目前，云應用于很多方面，例如進行數據備份、災難恢復、電子郵件收發、虛擬桌面、軟件開發及測試、大數據分析等[3]。云應用受到廣泛關注，關注云應用較多的問題包括如何保障部署時應用程序的安全性、如何保障使用時數據的安全、如何實現數據隔離、如何實現網絡安全防護、如何實現安全備份與恢復、身份鑒別及權限管理等，可將人工智能（AI）技術與云安全技術結合，有效實現云安全智能分析、檢測和防御。例如在智能分析方面，AI技術能夠深入挖掘與云安全相關的海量數據以提取有效信息，從而極大地提升分析效率;在智能檢測方面，AI技術可以發現潛在安全事件，并預警可能發生的風險;在智能防御方面，結合數據分析，可提出事件處置或響應事件建議，實現安全防御。以后，隨著5G、AI、大數據等技術的不斷發展和更新及新基建的不斷落地，構建端到端的云、網、邊一體化架構將是實現全域數據高速互聯、應用整合調度分發以及計算力全覆蓋的重要途徑，也會將云計算及應用發展推向一個新的高度。

3 混合云平臺構建

本次混合云平臺通過“雙云一管”模式進行建設，如圖1所示。雙云是指私有云平臺和公有云平臺，一管是指一個云管理平臺。私有云平臺主要實現單位內業務量不高，但對數據安全性要求較高的信息系統業務的承載;公有云平臺主要實現對帶寬等有較高要求的互聯網業務系統的整合承載;一個云管理平臺實現云平臺資源的可控、可管、可查、可用。

基于云化架構的混合云平臺由管理節點、計算節點、存儲網絡和FC網絡、IP網絡構成[4]，其中管理節點為整個云平臺提供基于Web的訪問控制和管理，提供如訪問控制、監控、配置等的云平臺管理服務;計算節點為在物理服務器上運行云計算模塊的標準×86服務器，組合類似配置的×86服務器，連接相同網絡和存儲子系統，實現虛擬環境中的資源集合;存儲網絡和FC網絡支持FC SAN、IP SAN和NAS、分布式存儲等存儲技術，存儲陣列通過存儲區域網絡連接到服務器組，實現存儲資源的聚合、靈活共享;IP網絡使每臺計算節點都可以有多個物理網絡適配器，從而為整個云平臺的運行提供較高的帶寬和可靠的網絡連接[5]。

3.1混合云建設

私有云建設采用集中存儲建設方案。其中，物理層和虛擬化層提供硬件資源基礎管理，同時基于硬件構建池化的虛擬資源。私有云虛擬資源包括服務器虛擬化、存儲虛擬化、網絡虛擬化和監控/運維系統等。初期的建設方案中，根據實際業務量及近幾年業務發展的需要，考慮集群資源池規模，配備相應CPU能力和內存的服務器、NAS/SAN存儲等，還可配備高速固態盤作為二級緩存以提高存儲的訪問效率。私有云建設后，在后期使用過程中應能夠根據資源負載情況進行服務器和存儲的動態擴充，同時支持一鍵無縫升級，能夠在不影響所有線上業務的情況下通過升級獲得私有云平臺最新的功能和安全補丁。

公有云中計算資源、存儲資源、網絡資源、安全服務、運維管理服務等為購買方式，需根據系統實際運行情況及總體建設要求，綜合權衡配置公有云資源及服務，并選擇服務期限。在云服務層，云IAAS向管理員/用戶提供云平臺服務，包括云主機服務、網頁交互、API接口、監控系統、彈性網絡、賬戶管理、計費模塊、負載均衡和端口轉發等內容。

在混合云（公有云+私有云）場景下，可通過專線、裸光纖、VPN等多種方式進行自有數據中心和公有云數據中心的互通互訪。本次建設采用雙鏈路數據專線完成本地化部署的私有云與公有云之間的互聯互通，同時在本地部署一臺備份設備集中備份公有云和私有云重要業務，從而解決故障導致的數據丟失問題，如圖2所示。

3.2混合云管理平臺建設

混合云平臺搭建后需要進行統一管理，可使用混合云管理平臺，主要實現管理和調度私有云、公有云及異構云等多云資源、創建云主機映像、監控優化工作負載，包括建立優化服務目錄，支持配置內存、硬盤等存儲資源和網絡IP地址、端口等，允許加強資源管理并提供資源、主機運行等的監控，提高系統性能和可用性。其結構圖如圖3所示。

建設時，在客戶側部署云管理系統，通過云管理系統納管客戶側的私有云。為了保證云管平臺的開放性及先進性，云管平臺軟件需能通過虛擬化軟件直接管理硬件資源，提供包括CPU調度、內存、內部網絡隔離和虛機存儲的安全隔離，同時納管公有云側的資源池實現混合云的統一管理和調度。

云管理系統使管理維護人員能在統一的portal頁面完成對混合云的管理、監控和運維操作。其功能主要為：1）為不同云平臺提供獨立的運維監控頁面，方便運維人員快速了解云平臺運行狀況，快速定位問題，最大限度地避免業務中斷。其中云主機性能監控可以動態顯示云主機CPU、內存利用率，顯示磁盤讀寫IO以及吞吐量大小、網絡數據包的吞吐量以及錯包量，用戶可以查看實時監控數據、歷史監控數據、查看15分鐘、1小時、1天、1周、1月、1年等多個時間段的云主機資源的使用情況，并可以根據實際業務情況設置CPU、網絡、磁盤使用比例告警閾值;2）支持按區域將已納管云環境抽象為資源池，將各種私有云、公有云進行面向場景的邏輯劃分，支持將資源池劃分給一個或多個用戶使用，并對資源池的計算、存儲、網絡等各項資源進行配額管理，實現資源精細化管控;3）支持云主機創建、開機、關機、掛起、配置CPU、內存等信息規格、遷移、重啟、銷毀、設置標簽等操作，支持創建、刪除云主機快照。隨著業務系統負載變化，動態調整云主機CPU、內存、硬盤等資源的規模，實現資源擴容，滿足業務系統的運行需求;4）支持用戶生命周期管理，包括：創建、刪除、修改、查詢、啟用/禁用、重置密碼等操作，支持為用戶指派/取消指派角色，基于角色獲取訪問和操作權限;5）納管現有資源池，要能支持云主機熱遷移，可以將云主機遷移到任一指定的物理服務器，最大限度地降低業務中斷，保證業務的連續性;6）提供平臺操作的日志記錄，顯示已完成和進行中的操作記錄，支持短時間內的誤操作恢復，支持按時間段導出操作日志列表。

4混合云平臺安全性研究

云平臺環境下的信息安全情況較傳統信息安全情況而言更加復雜，除滿足網絡安全、物理安全、系統安全和數據安全等要求外，還需要滿足信息化系統虛擬化層面的安全控制、監控和審計等。云平臺安全設計框架如圖4所示。

公有云平臺是按照網絡安全等級保護三級要求和云平臺網絡安全審查要求，由云服務提供商提供可靠性高的平臺安全防護能力及安全增值服務，以確保部署在公有云平臺上的應用和服務的安全運行。其中平臺安全防護能力包括網絡安全防護、網站應用防護、網頁防篡改、病毒防護、運維安全監測、平臺安全監控等內容;安全增值服務是對操作系統、網絡系統、數據庫等進行安全配置檢查、漏洞掃描、數據庫審計等，并提供檢查整改報告。

私有云網絡安全是按照不同區域、不同業務特性分區分層進行防御，從而達到業務可視、網絡可視、安全可視等。首先，在安全物理環境下將數據中心整體網絡劃分為互聯網出口區、核心交換區、私有云接入區、用戶接入區、遠程接入區、安全運維管理區等區域。核心交換區域與私有云區域均采用雙核心架構，配合升級為萬兆網絡的接入層環境，以保障網絡性能與健壯性;其次，在網絡邊界部署防火墻及入侵防御系統，能夠對非法訪問、入侵行為、DDos等攻擊進行檢測和防護，在核心交換機和防火墻上可設置不同網段、不同用戶對服務器的訪問控制權限，在核心交換區部署一臺潛伏威脅探針鏡像與用戶接入相關的全流量，在私有云接入區部署一臺潛伏威脅探針鏡像與應用業務相關的全流量，同時部署一臺安全感知平臺獲取探針數據及其他安全設備的日志來實現智能分析、危險點防護及清查、統一呈現全網安全風險并聯動其他安全設備及時處置安全威脅，同時為后續的跟蹤審計提供依據。在遠程接入區、私有云出口區域以及統一的互聯網出口區域均有相應縱深的南北向流量防護體系，能夠對進出流量進行檢測過濾，有效管控不同區域流量的進出權限;再次，在安全運維區部署漏洞掃描、防病毒網關、WAF、堡壘機、VPN、日志審計、上網行為審計、數據庫審計、終端安全防護系統等安全設備，相互配合完成對全網的深度系統掃描、安全防護、統一運維權限管理、數據的完整性和保密性防護及操作日志集中收集和分析;最后，網絡安全工作“三分靠技術，七分靠管理”，云安全同樣遵從這個模式，應制訂相應的管理制度規范和保障混合云的安全運行，建立完善的網絡系統安全漏洞日常掃描、病毒日常掃描與查殺、網絡檢測評估與加固、系統配置及策略變更、惡意代碼監測防護、應用系統運行日志審計記錄和分析、重要數據的備份和恢復、應急處置響應等機制與辦法。通過對全網的實時監控、實時響應、定期檢查、定期加固，從而全面保障混合云平臺的安全性。

5總結

混合云是未來云計算發展的趨勢，本文研究了混合云的構建，通過使用混合云管理平臺進行資源的統一管理及調度從而解決了信息孤島和管理復雜性問題，同時介紹了如何安全有效地管理混合云，具有一定的實踐意義。

參考文獻：

[1] 楊武.混合云平臺的設計及實現[J].電腦知識與技術，2021，17（11）：77-78.

[2] 唐彭卉.混合云環境下整體安全防護體系探討[J].現代電視技術，2021（1）：110-114.

[3] 海繼尚，朱奕健，莊彥宇.主流云平臺架構與混合云設計[J].電子技術與軟件工程，2021（1）：174-176.

[4] 黃衍博，閔宇.混合云架構與技術演進[J].信息與電腦，2019（8）：145-146.

[5] 朱斌.云計算安全運維管理研究[J].網絡空間安全，2018，9（10）：101-104.

【通聯編輯：代影】