目前，基于虛擬化技術的云計算(Cloud Computing)應用模式已經成為主流，特別是以桌面終端為主要辦公工具的機關環境及業態復雜的企業，其IT的發展方向均以虛擬化技術為主導，整合并統一管理計算資源，建立高度靈活、可擴展的IT資源池。通過桌面云建立的統一計算資源池，支持計算資源的動態調整和按需分配，支持內存復用技術，對于硬件資源池的消耗可以達到有效監控及利用。例如，按照不同工作崗位對硬件性能的不同需求，合理分配CPU、內存和存儲資源，當計算能力發生變化時，通過對資源池運算情況的時監控，可動態調整資源分配，最大程度地避免資源浪費。
文章對某種應用場景下的桌面云總體架構、安全性設計及云計算發展前景進行討論。
1.應用場景描述
應用場景如圖1所示。
圖1 應用場景
在該應用場景中，根據用戶與桌面云平臺之間的關系，對用戶分類如下。
(1)一般用戶
場景描述:常駐辦公室辦公人員。
應用需求:最終用戶需要標準的辦公環境，需要訪問的系統與工作性質相關。
安全需求:受限制的桌面系統權限、定期進行系統
(2)特殊需求用戶(開發用戶)
場景描述:對性能與功能有特殊要求的用戶。特殊需求用戶可能擁有一種到多種特性需求。特殊需求可能包括:高性能配置、高級的桌面系統權限。
應用需求:本地PC處理非業務應用，核心應用配以較高資源。
安全需求:自由的桌面系統權限、定期進行系統殺毒、定期系統還原。
功能支持:用戶可利用辦公室中部署的本地PC訪問虛擬桌面。
(3)遠程用戶(通過VPN撥入)
場景描述:用戶訪問桌面的地點不確定，通過VPN方式接人桌面云系統，實現隨時隨地進行辦公。
應用需求:最終用戶可訪問標準的辦公環境，或者與工作性質相關推送的相關應用。
安全需求:受限制的桌面系統權限、定期進行系統殺毒、定期系統還原。
功能支持:用戶可利用辦公室中部署的瘦終端訪問虛擬桌面，也可以利用VPN鏈接通過個人電腦、家庭電腦、智能設備等方式訪問虛擬桌面，保證普通辦公用戶隨時隨地進行辦公，具備少量的系統自定義功能。
2.設計思路及原則
設計桌面云整體解決方案，在考慮整體桌面云架構設計的同時，要與用戶實際應用需求相結合，通過一個整體的云計算格局對資源進行統一的管理和調用，如:管理桌面云、開發測試云、存儲云及HPC云等生產系統的相關資源，并實現自動化、自助化的彈性伸展環境。設計時應注意以下原則:
1)統一設計原則。統籌規劃和統一設計系統結構，尤其是整體架構、數據安全、網絡架構、數據存儲結構以及系統遷移規劃等內容，均需從全局出發、從長遠的角度考慮，既要考慮系統建設初期的快速穩定上線目標，又要考慮為未來業務的發展預留足夠空間。
2)高可靠/高安全性原則。架構支持水平或垂直擴展，支持基于軟硬件的負載均衡和集群技術等，支持關鍵組件的冗余備份功能，如當某個服務器出現故障時，要有其他服務器接管，同時主機設備具有高度的可靠性和相當強的冗余性，以提供盡可能高的可靠性和可用性‘5]。系統安全性方面，應充分考慮用戶、數據、系統、網絡方面的安全性要求，防止來自外部非法的訪問。系統具有用戶的身份認證和權限管理，對應不同的應用層次，既能保證不同用戶高效、快速地訪問控制授權范圍內的系統資源，也能有效地阻止用戶之間的非法侵人、非授權訪問。
3)易用性原則。在不降低用戶體驗的基礎上，具有增強的用戶界面，供各類用戶提供多種使用手段。
4)成熟性原則。在軟硬件工具的選擇上，選擇成熟的產品和規范，選擇成為業界標準的、被大量實踐所采用的技術。選用具有成熟性、可持續發展性的產品和供應商。整體系統要采用國際主流、成熟的體系架構來構建。
5)可擴展性原則。設計要考慮到業務未來發展的需要盡可能設計得簡明，考慮滿足現有環境下將來的擴展。
3.總體架構設計
通過對應用場景的分析，桌面云的總體架構設計如圖2所示。
圖2 桌面云總體架構
圖2中總體架構分為4個區域，實現數據中心桌面云的建設、總部辦公區對桌面云訪問、遠程用戶對桌面云的訪問。在數據中心桌面云中，規劃設計了9類服務實現桌面云:
1)負載均衡服務。負責收集每一臺服務器里面的一些動態信息，當有應用請求時，自動將請求轉到負載最輕的服務器上運行。
2)用戶驗證服務。負責用戶信息驗證與管理。
3)桌面/應用推送服務。負責創建與推送管理桌面與應用，并對桌面與應用進行管理。
4)權限劃分服務。負責管理用戶在推送的桌面與應用上所擁有的權限。
5)資源池管理服務。負責管理系統涉及到的物理設備資源，包括:物理主機、存儲、網絡等。
6)系統安全服務。負責管理系統相關的安全與認證。
7)數據存儲服務。負責用戶數據與系統數據的存放與管理。
8)數據備份服務。負責用戶數據與系統數據的備份。
9)接入控制服務。負責處理客戶端接入桌面云系統的請求，并對此進行認證與管理。
4.安全性設計
云安全(Cloud Security)是指“云”端數據的使用安全。云用戶的機器不再是獨立的機器，而是網絡中的一個節點，交給全球運行的服務網絡。云用戶的數據放在“云”上，數據存儲在“云”中，就意味著數據存在被盜用和濫用的可能。因此，在進行系統設計時，需要考慮信息安全問題，即信息的機密性、完整性和可用性!I0桌面云系統通過數據的加密和數據訪問的認證和授權來保證數據的機密性，通過各種安全傳輸協議來保證數據傳輸的機密性，通過為桌面云各組件配置冗余組件來保證負載均衡和高可用性。
4.1 瘦客戶端
瘦客戶端((Thin Client)l8]指的是在客戶端一服務器網絡體系中的一個基本無須應用程序的計算機終端。它通過一些協議和服務器通信，進而接人網絡。隨著虛擬化技術的廣泛應用，許多用戶現在喜歡在桌面或筆記本電腦上使用瘦客戶端來工作。瘦客戶端網絡為存儲共享數據和應用的服務器提供多個訪問點，因此會產生影響整個IT基礎設施的風險。在瘦客戶端依賴的中心網絡資源出現故障時，一些瘦客戶端模式會導致業務中斷的風險提高。攻擊者常常利用瘦客戶端的漏洞，使用專門的惡意軟件攻擊系統，攻擊的重點往往是瘦客戶端上普遍使用的組件，例如基本的商務應用、操作系統或云服務部件。
瘦客戶端防范的重點在于限制用戶安裝應用，用戶不能安裝其他可能擴大客戶端受攻擊范圍或導致系統感染惡意軟件的應用；保持客戶端完整性，所有客戶端基于已知的配置基準，保持一致的狀態，通過為基于服務器的鏡像添加補丁程序，可快速、統一地應用新補丁程序；同時，瘦客戶端能夠返回至已知的良好狀態，通過重新啟動或重新加載先前版本的單個虛擬容器文件，可返回至已知的良好狀態。
4.2 瘦客戶端和服務器端的網絡
客戶端和服務器之間的通信由于是通過網絡上傳播，所以有可能被人竊聽、破解，破壞了數據的機密性和完整性。為了防范這種情況的出現，一種方法是采用私有云方案，保證網絡中的客戶都是可信任的客戶。另一種方式是對通信的數據進行加密。
在桌面云方案中，一般對于公司防火墻外的非信任用戶提供安全連接點，外部用戶通過這個安全連接點連接到防火墻內的服務器，這種安全連接點的原理類似于SSL VPN。對于公司防火墻內部的用戶和服務器之間的連接，一般是通過5SL協議進行加密傳輸。
通過這兩種方式，桌面云方案有效地保證了數據傳輸的安全性。
4.3服務器端
服務器端的安全重點是服務器虛擬化的安全、企業應用服務器的安全、Web服務器的安全。
虛擬機管理器VMM是用來運行虛擬機VM的內核，代替傳統操作系統管理底層物理硬件，是服務器虛擬化的核心環節，其安全性直接關系到上層的虛擬機安全。因此，VMM自身必須提供足夠的安全機制，防止客戶利用溢出漏洞取得高級別的運行等級，從而獲取對物理資源的訪問控制，給其他客戶帶來極大的安全隱患。虛擬機管理器應啟用內存安全強化策略，使虛擬化內核、用戶模式應用程序及可執行組件(如驅動程序和庫)位于無法預測的隨機內存地址中，接口應嚴格限定為管理虛擬機所需的API，并關閉無關的協議端口。
企業應用服務器的安全應考慮以下幾個方面:首先，不同管理人員應具有不同權限，使用不同賬戶管理服務器。實際使用中，在一個服務器上可能會部署多個應用，如一臺應用服務器可能既是郵箱服務器，又是文件服務器。而不同的應用由不同的管理員負責，為了管理方便，常常會利用同一個用戶名管理不同服務，這是不安全的；其次，應安裝病毒防火墻和網絡防火墻，定期對病毒庫進行更新，按計劃查毒、殺毒；其他方面，應限定存取網絡上的任何數據均通過密碼登錄，同時，限定遠端用戶只能存取單一服務器。
為提高Web服務器的安全性，應對Web應用建立獨立的服務器，定期審查事務日志。通常情況下，攻擊過程往往會在Web服務器的事務日志中留下記錄，如非法攻擊者試圖通過密碼字典破解工具，嘗試網站管理員的口令與密碼的時候，就會在Web服務器的日志中留下記錄。如果在事務審計中，設置當用戶密碼最多輸人錯誤次數的話，則當超過這個最大次數的時候，服務器就會在自己的日志中記錄這條信息。此時，管理人員可以看到這條信息，并及時采取措施，如更改復雜密碼等手段，來提高服務器的安全性。
5.結語
近年來，中國云計算開始進人實質性發展的階段，各方力量在云計算的發展過程中都起到了推動作用，其中包括大型rr跨國設備制造商(現在轉變為云計算解決方案提供商)、地方政府、國內互聯網企業及傳統電信運營商。云計算將分散的計算、存儲、服務資源有機整合起來管理和服務，這種服務既可以是rr和軟件、互聯網相關，也可以是其他服務，是目前實現資源共享、有效管理的最新技術。隨著云計算產業鏈的日趨成熟，云計算將會在中國落地開花。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文標題：桌面云及安全性設計
本文網址：http://www.guhuozai8.cn/html/consultation/10839511304.html
相關文章
