前言：
2017年5月，由國家發改委主管、國家信息中心主辦的《信息安全研究》期刊特別策劃，以信息安全國際合作為主題，推出微軟中國專題欄目。期刊邀請了微軟公司資深副總裁、微軟大中華區董事長兼首席執行官柯睿杰、微軟亞洲研究院主管研究員朱斌、世紀互聯藍云技術運維總經理湯濤、微軟中國首席安全官邵江寧和微軟亞太研發集團法律事務總經理羅立凡等人撰寫論文。其中，世紀互聯藍云技術運維總經理湯濤在《云服務的安全運維平臺》一文中展現了世紀互聯藍云在云安全領域的實踐，并向業界介紹了如何打造世界一流本土可信云的經驗。
早在2015年1月，國務院印發《關于促進云計算創新發展培育信息產業新業態的意見》，為促進創業興業、釋放創新活力提供有力支持，為經濟社會持續健康發展注入新的動力。《意見》提出，要加快發展云計算，打造信息產業新業態，推動傳統產業升級和新興產業成長，培育形成新的增長點，促進國民經濟提質增效升級。到目前，我國云計算服務能力大幅提升，創新能力明顯增強，在降低創業門檻、服務民生、培育新業態、探索電子政務建設新模式等方面取得積極成效，云計算數據中心區域布局初步優化，發展環境更加安全可靠。預計到2020年，云計算將成為我國信息化重要形態和建設網絡強國的重要支撐。
云計算是一種新興的計算模型，它是在網絡計算的基礎上發展起來的，目前已經在社會各個領域發揮著多方面的作用，從支持網站的發布，支撐企業應用，移動互聯網，物聯網，大數據等等這些往往在底層都離不開云計算的支持。云計算本質上是一種按使用量付費的服務模式，類似于水電等公共服務，這種服務模式可以為用戶提供無所不在、便捷的、按需的網絡訪問，進入可配置的計算資源共享池(這些資源包括網絡，服務器，存儲，應用和服務)，這些資源在只需投入微乎其微的管理工作，或與云服務提供商進行極少的交互就能被快速獲取或者釋放。
云計算作為一種服務，必然會深刻影響和改變軟件開發、軟件架構、軟件測試、系統運維等包括整個軟件生命周期的各個階段各個方面。隨著云計算的不斷發展壯大，云又可以按照共享的模型分為公有云、私有云和混合云等。本文從多個角度多層面探討公有云的云運維，云安全以及與傳統IT運維的關系和區別。
云運維時代的變遷
由于云計算服務與傳統的IT的計算有所不同，傳統IT是硬件廠商提供硬件，平臺軟件服務商提供平臺軟件，應用軟件服務商提供應用軟件，通常由企業IT部門負責企業的這些硬件、平臺軟件和應用軟件的運行維護。而在云計算應用場景中，這些運行維護通常就會切分成由云計算服務商和企業IT部門分別負責各自的服務。一般而言，由云服務商負責機房、網絡硬件、服務器硬件、云平臺、虛擬機以及一些相關的網絡服務等組成部分的運維；而由用戶負責虛機內的操作系統，應用程序等的運行維護。由于云本身通常又分為三層，即基礎結構即服務(Infrastructure as a Service，IaaS)、平臺即服務(Platform as a Service，PaaS)和軟件即服務(Software as a Service，SaaS)，在云服務這3個層面，云服務商和用戶各自負責的部分又有差異，如下圖所示：
傳統軟件應用與云應用
其中，IaaS在虛機及虛機以下，皆由云服務商負責運維，而虛機內的操作系統以及之上的部分則由用戶自主負責管理。對于PaaS而言，在運行時以及以下部分，是由云服務商負責運維，而用戶只需要負責數據和應用。如果是使用SaaS，對于用戶而言，就會變得相對簡單，因為用戶基本上不需要負責與應用相關的任何運維，都是由云服務商提供，也就是說就這些系統而言，用戶的IT部門基本上不需要任何相關的運維。
因此，在云時代，就IaaS和PaaS而言，傳統的IT運維發生了根本性的變化，原有的運維體系切分成兩部分，云平臺部分由云運營商負責，而云平臺之上的部分則由用戶的IT部門負責。對于SaaS，傳統的IT運維則完全轉移到云運營商負責。
同時對于云服務商而言，為了滿足多用戶的不同需求，使得云平臺底層硬件和數據中心的規模都需要擴大，數據中心機房、機架、核心路由設備和服務器等硬件基礎設施也需要相應地投入，這就與之前傳統互聯網數據中心(Internet Data Center，IDC)的運維又不一樣。正是由于云服務需要大量的物理基礎設施，因此，對于傳統的IDC在業務模型上向云轉移更有得天獨厚的優勢，同時由于云業務的興起和蓬勃發展，也在一定程度上倒逼傳統的IDC在云業務方面通過多種不同方式在轉型。
云運維與傳統運維
傳統IT運維本質上而言是面向單服務器機或者服務器聚群的運維，而云運維則是相當于把整個數據中心，甚至多個數據中心當成一套大而全的物理硬件設備，在其上部署云操作系統，實現在云操作系統的虛擬主機內部署客戶的應用程序，如下圖所示：
傳統IT運維與云運維
由此，傳統IT運維向云運維的轉變就不再是簡單的單服務器到多服務器，而是涉及大規模硬件，云操作系統，虛擬主機，虛擬網絡，跨虛擬主機的協同等等多層面多方位的增加。同時云服務的業務模型也決定了云運維與傳統運維的差異，本質上云運維是綜合了IDC基礎設施運維和企業級IT運維，涉及面從底層IDC基礎設施運維，即業內常說的風火水電等，到服務器物理硬件，再到云操作系統，然后是虛擬網絡、虛擬機等等，一整套全方位多層面的運維體系。如果直接給一個相應的定義，云運維就包含了IDC基礎設施運維、傳統企業級IT運維的底層部分，當然其規模要大出很多，以及云業務相關的一系列外圍系統。由于云業務與傳統IDC以及企業IT業務也完全不同，因此，還需要很多額外的外圍系統作為云業務的支撐，這些系統也是云運維的一個重要組成部分。這些外圍系統通常就包括業務和運維支撐服務系統(Business and Operation Support Service， BOSS)，或者也會經常拆分開來成業務支撐服務系統(Business Support Service，BSS)和運維支撐服務系統OSS(Operation Support Service，OSS)，如下圖所示：
云服務模型
在云時代，運維模型發生了根本性變化，云技術提供商與傳統解決方案技術提供商類似，但是由于云本身的特殊性，需要不斷的在生產環境，即云環境中不斷升級底層應用系統。這就使得云技術提供商需要更多的團隊來管理和分發部署包，而且是在生產環境中升級，不像之前企業級IT運維那樣，可以隨時對某部分服務器停機來升級，就有點類似于給行駛中的汽車換輪胎，需要多工種一起協同才能達成。這樣就需要增加很多的不同的角色來負責協調和管理，比如云服務整合經理和云服務提供經理等等諸多傳統IT并不需要的一些角色。云產品交付后，也不再是直接交給用戶去使用和運行維護，而是交付給云服務提供商。而云服務提供商則需要比傳統IT擴充更多的角色，不單單是增加BOSS系統，而且更為重要地是需要增加云服務和業務服務、客戶支持、部署管理、過渡和遷移管理、運維管理、安全和風險管理等等諸多涉及跨用戶的服務。而這其中大部分服務都需要7x24x365的支持。因為云服務上的用戶多種多樣，業務系統也多種多樣，有的用戶要求高，有的用戶要求低，有的用戶可以接受5x8(5個工作日，每天8小時支持)，有的客戶則需要7x24(全天候支持)等等，作為基礎服務平臺的運維而言，往往就只能選擇最高的要求作為服務基線。就像五星級酒店一樣，不管客戶什么時候來、什么時候需要，熱水等等都可以隨時提供服務。
對于云用戶而言，就不再像以前那樣需要完整的運維系統及運維人員，云用戶只需要關心應用解決方案層面的運維，也就是說更專注于業務系統，而不再需要關心什么時候需要采購擴充物理硬件。這樣一來，對于云運維而言，就比傳統IT運維提出了更高的要求，也對云運維從業工程師提出了更高的要求，傳統IT運維往往只需要考量單個或者基于群集的多臺服務器，而在云運維階段，云運維工程師需要考慮更多云服務組件的部署，多租戶的資源分配，虛擬主機和網絡協同等等，對工程師的要求也更高。就云運維而言，這就需要通盤考慮，特別是不能停機的情況下升級系統等等，這是一個很典型地從量變到質變的過程。
云運維平臺
云運維的廣度和復雜度在一定程度上就決定了對運維人員和相關運維系統的要求高度。如何能保障云平臺的穩定可靠，就需要有相關的外圍系統的支撐，這些系統主要包含云平臺管理系統和云服務系統，其中，云平臺管理系統又可以分為如下4個類別：
1、運維支持服務系統
運維支持服務系統主要提供云平臺后臺的運維支持相關服務，比如云平臺的監控和事件管理、變更和配置管理、容量和性能管理、IT資產和許可管理、平臺和基礎結構管理等等，其功能通常如下表所示：
2、業務支持服務系統
業務支持服務系統通常包括與客戶相關的商務和服務系統，比如客戶管理系統、合同和協議管理系統、訂閱管理和價格管理等等，這些相關系統以及其功能描述如下表所示：
3、業務管理流程及API管理系統
由于云服務涉及多樣化的流程，甚至是跨業務部門的流程，因此，業務流程的管理和各個系統之間以及系統內的API管理就很重要。業務流程有的可以整合到云運維平臺中，即是系統對系統的業務流程，有的可能是信息系統與紙質或者郵件的結合。
4、云服務內部管理或第三方合作伙伴管理系統
云服務運維平臺通常可能需要提供管理第三方合作伙伴的系統等，以及內部的管理系統，比如內部辦公系統、內部郵件系統等等。這些與常規的企業內部信息化管理系統類似，在此不再一一復述。
云安全與合規
云安全是個比較大的范疇的問題，涉及到云的安全防護，比如反病毒、防攻擊、防滲透等外來攻擊，還涵蓋用戶的數據安全，比如防泄漏、防監守自盜等多方面。這些問題都是云運維中不可避免，而且需要著重強調和考慮的。
通常在云平臺中，需要有多重的防DDOS攻擊和黑客攻擊滲透的工具和手段。在防DDOS方面通常業界有比較流行的處理方法，比如軟硬防火墻、協議分析、流量清洗、黑洞等等。由于云平臺用戶的多樣性和復雜性，不僅要防由外而內的攻擊，還需要注意由內向外的攻擊，這種往往就是用戶的虛擬機被劫持或者是惡意用戶通過云平臺對外的DDOS攻擊。而防黑客攻擊方面，包含日常的漏洞掃描、及時打補丁、針對一些開源技術的可能漏洞進行跟蹤。為了防止帳號和服務等的劫持，除了采用必要的雙因子認證以外，還需要加強對堡壘機的安全加固，并且構建威脅分析模型，對所有可能的威脅做全面的分析，必要時執行包含白客掃描在內的多樣化的掃描的模擬攻擊以便找到并堵住這些潛在的風險和漏洞。
在用戶之間做好嚴格的隔離也非常重要，比如在Azure平臺中，就有多方面的隔離措施：首先在網絡上有完全的邏輯隔離技術，內網IP在跨用戶賬戶之間不可以訪問，在用戶訪問權限上有邏輯隔離，而且在數據存儲上也通過加密及讀寫隔離措施防止用戶訪問之前磁盤上別的用戶存儲的但已邏輯刪除的數據等方式。
在次就是增強用戶數據的安全性方面，需要提供多種加密方式可以供用戶選擇用于保護用戶存儲的數據。將所有數據訪問活動記入日志，并且讓用戶可以訪問自己的日志也是用戶數據安全防護的重要手段之一。數據的異地同步、異地容災也有利于增強用戶數據的安全性。云運維工程師對客戶數據無常設的訪問權限，只有在客戶提供書面授權的情況下才按照客戶要求訪問客戶的數據，而且用戶的書面授權書和相應的操作日志都完整保存，并保證可追溯。這樣也是滿足國家信息安全三級等級的審計要求，以及滿足工信部可信云認證的要求的重要保障，同時也是防止監守自盜的重要方法，對于用戶而言這樣的用戶數據安全性就會比較有信心。
在云合規方面，根據國家法律法規的要求，不僅需要把數據物理上保存在境內，而且需要嚴格地提供針對各種相關法律法規的要求，以及政策方面的要求的十分嚴格又易于理解的解釋，以便用戶了解能做什么不能什么。按照這些要求，針對用戶的數據進行存儲和管理。在合規方面，還需要定期開展第三方獨立審計，以便滿足上述不同的合規要求。由于云平臺作為底層平臺，用戶部署在其上的系統需要滿足合規的要求時，云服務商往往也可能需要配合并滿足用戶相關的合規要求。
結語：
云服務的質量不僅僅取決于技術的先進性，同樣重要的是也取決于云運維的服務質量。本文從云運維的變遷入手，簡要地描述了云運維與傳統運維的區別，著重描述了云運維平臺的各個系統以及這些系統的基本功能，同時也簡明扼要地闡述了云安全以及云合規的基本要求。這些都是云運維的重要組成部分，也是云服務商日常需要考慮和涉及的。世紀互聯全資子公司上海藍云網絡科技有限公司在4年多來提供Azure和O365云服務過程，一直致力于為國內用戶提供世界級的云技術和云服務，為提升國內云技術和服務水平，為促進國內經濟和社會的發展起到了積極作用。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文標題：世紀互聯藍云湯濤：云服務的安全運維平臺
本文網址：http://www.guhuozai8.cn/html/consultation/10839720717.html
相關文章
