混合云平台构建管理及安全性研究

张瑞英 陈秀兰

摘要：随着云计算技术的不断发展成熟，云计算应用已经从互联网行业向教育、医疗、金融等行业融合。传统的私有云用户因为受本地计算资源及功能的限制，逐步把一部分需要对外服务的业务迁移到公有云上，而传统的公有云用户为了保护私有数据不被泄露，逐渐寻找私有云的解决方案，因此，混合云是未来云计算发展的趋势。该文主要从混合云平台构建、管理及安全性方面进行研究，具有较强的实践意义。

关键词：云计算;混合云;混合云管理;云安全

中图分类号：TP393        文献标识码：A

文章编号：1009-3044（2022）13-0040-03

1引言

云计算通过使用虚拟化技术将计算、存储、网络等资源整合为统一的资源池，实现了对硬件资源的二次分配，有效利用了空闲资源。混合云建设为智能化统筹建设、管理与服务平台提供了有力支撑，进一步加速了单位信息化建设的脚步。本文主要从云计算概念、部署方式出发，论述混合云平台构建及管理，最后对混合云平台运行的安全性进行研究。

目前，许多单位的站群系统、OA办公系统等内部业务系统是部署在本地机房，基于VMware实现的虚拟化平台上运行管理的，需要根据业务高峰期运行量预置资源，随着业务的增长及技术的更新迭代，VMware虚拟化平台承载的业务及数据较多，导致计算资源、网络资源、存储资源出现捉襟见肘的现象。同时受当前基础设施资源的限制及带宽等性能指标的要求，部分业务部署在不同的云平台上，从而造成业务分散、管理不统一、云资源不能充分利用、安全服务成本高等弊端。因此，结合当前实际情况，在信息化基础设施建设上设计一套混合云架构，实现云上云下无缝对接，包括在管理层面、网络层面、数据层面的互联互通是非常有必要的。

2云计算

传统场景下，一台物理服务器通过主板连接CPU、内存、硬盘、网卡等资源实现协同工作，提供的服务容易受到资源的限制，并且不同物理服务器之间协同工作也比较困难，硬件资源利用率相对较低。而在云计算场景下，数据中心的计算、存储、网络等资源被整合为统一的资源池，不同设备中的资源可以借助云计算进行跨硬件的协同工作，从而最大化实现空闲资源价值。云计算通过使用虚拟化技术将硬件设备进行逻辑层面的化整为零，实现了对硬件资源的二次分配，通过资源整合、调度、分配等方式可以同时创建多台逻辑主机，每台逻辑主机可运行不同的操作系统，部署不同的应用程序，应用程序在相互独立的空间内运行且互不影响，进一步提升了基础设施的资源利用率。

云计算主要是基于计算、存储和网络等基础设施提供按需订阅的资源，主要有基础设施即服务 （IaaS）、平台即服务 （PaaS）和软件即服务 （SaaS）三种模型。按照部署方式的不同可以分为公有云、私有云、混合云[1]。其中公有云是指由第三方提供商建设计算、存储和网络等资源池，在公有网络中提供服务，用户通过互联网使用计算资源。私有云的核心是专有资源，用户拥有基础设施，可以在基础设施上部署应用程序，因此可有效控制数据安全性[2]。混合云融合了公有云和私有云，利用公有云的可扩展性获取更高的计算资源，将内部重要数据保存在本地数据中心，有效保障了数据的安全性。

目前，云应用于很多方面，例如进行数据备份、灾难恢复、电子邮件收发、虚拟桌面、软件开发及测试、大数据分析等[3]。云应用受到广泛关注，关注云应用较多的问题包括如何保障部署时应用程序的安全性、如何保障使用时数据的安全、如何实现数据隔离、如何实现网络安全防护、如何实现安全备份与恢复、身份鉴别及权限管理等，可将人工智能（AI）技术与云安全技术结合，有效实现云安全智能分析、检测和防御。例如在智能分析方面，AI技术能够深入挖掘与云安全相关的海量数据以提取有效信息，从而极大地提升分析效率;在智能检测方面，AI技术可以发现潜在安全事件，并预警可能发生的风险;在智能防御方面，结合数据分析，可提出事件处置或响应事件建议，实现安全防御。以后，随着5G、AI、大数据等技术的不断发展和更新及新基建的不断落地，构建端到端的云、网、边一体化架构将是实现全域数据高速互联、应用整合调度分发以及计算力全覆盖的重要途径，也会将云计算及應用发展推向一个新的高度。

3 混合云平台构建

本次混合云平台通过“双云一管”模式进行建设，如图1所示。双云是指私有云平台和公有云平台，一管是指一个云管理平台。私有云平台主要实现单位内业务量不高，但对数据安全性要求较高的信息系统业务的承载;公有云平台主要实现对带宽等有较高要求的互联网业务系统的整合承载;一个云管理平台实现云平台资源的可控、可管、可查、可用。

基于云化架构的混合云平台由管理节点、计算节点、存储网络和FC网络、IP网络构成[4]，其中管理节点为整个云平台提供基于Web的访问控制和管理，提供如访问控制、监控、配置等的云平台管理服务;计算节点为在物理服务器上运行云计算模块的标准×86服务器，组合类似配置的×86服务器，连接相同网络和存储子系统，实现虚拟环境中的资源集合;存储网络和FC网络支持FC SAN、IP SAN和NAS、分布式存储等存储技术，存储阵列通过存储区域网络连接到服务器组，实现存储资源的聚合、灵活共享;IP网络使每台计算节点都可以有多个物理网络适配器，从而为整个云平台的运行提供较高的带宽和可靠的网络连接[5]。

3.1混合云建设

私有云建设采用集中存储建设方案。其中，物理层和虚拟化层提供硬件资源基础管理，同时基于硬件构建池化的虚拟资源。私有云虚拟资源包括服务器虚拟化、存储虚拟化、网络虚拟化和监控/运维系统等。初期的建设方案中，根据实际业务量及近几年业务发展的需要，考虑集群资源池规模，配备相应CPU能力和内存的服务器、NAS/SAN存储等，还可配备高速固态盘作为二级缓存以提高存储的访问效率。私有云建设后，在后期使用过程中应能够根据资源负载情况进行服务器和存储的动态扩充，同时支持一键无缝升级，能够在不影响所有线上业务的情况下通过升级获得私有云平台最新的功能和安全补丁。

公有云中计算资源、存储资源、网络资源、安全服务、运维管理服务等为购买方式，需根据系统实际运行情况及总体建设要求，综合权衡配置公有云资源及服务，并选择服务期限。在云服务层，云IAAS向管理员/用户提供云平台服务，包括云主机服务、网页交互、API接口、监控系统、弹性网络、账户管理、计费模块、负载均衡和端口转发等内容。

在混合云（公有云+私有云）场景下，可通过专线、裸光纤、VPN等多种方式进行自有数据中心和公有云数据中心的互通互访。本次建设采用双链路数据专线完成本地化部署的私有云与公有云之间的互联互通，同时在本地部署一台备份设备集中备份公有云和私有云重要业务，从而解决故障导致的数据丢失问题，如图2所示。

3.2混合云管理平台建设

混合云平台搭建后需要进行统一管理，可使用混合云管理平台，主要实现管理和调度私有云、公有云及异构云等多云资源、创建云主机映像、监控优化工作负载，包括建立优化服务目录，支持配置内存、硬盘等存储资源和网络IP地址、端口等，允许加强资源管理并提供资源、主机运行等的监控，提高系统性能和可用性。其结构图如图3所示。

建设时，在客户侧部署云管理系统，通过云管理系统纳管客户侧的私有云。为了保证云管平台的开放性及先进性，云管平台软件需能通过虚拟化软件直接管理硬件资源，提供包括CPU调度、内存、内部网络隔离和虚机存储的安全隔离，同时纳管公有云侧的资源池实现混合云的统一管理和调度。

云管理系统使管理维护人员能在统一的portal页面完成对混合云的管理、监控和运维操作。其功能主要为：1）为不同云平台提供独立的运维监控页面，方便运维人员快速了解云平台运行状况，快速定位问题，最大限度地避免业务中断。其中云主机性能监控可以动态显示云主机CPU、内存利用率，显示磁盘读写IO以及吞吐量大小、网络数据包的吞吐量以及错包量，用户可以查看实时监控数据、历史监控数据、查看15分钟、1小时、1天、1周、1月、1年等多个时间段的云主机资源的使用情况，并可以根据实际业务情况设置CPU、网络、磁盘使用比例告警阈值;2）支持按区域将已纳管云环境抽象为资源池，将各种私有云、公有云进行面向场景的逻辑划分，支持将资源池划分给一个或多个用户使用，并對资源池的计算、存储、网络等各项资源进行配额管理，实现资源精细化管控;3）支持云主机创建、开机、关机、挂起、配置CPU、内存等信息规格、迁移、重启、销毁、设置标签等操作，支持创建、删除云主机快照。随着业务系统负载变化，动态调整云主机CPU、内存、硬盘等资源的规模，实现资源扩容，满足业务系统的运行需求;4）支持用户生命周期管理，包括：创建、删除、修改、查询、启用/禁用、重置密码等操作，支持为用户指派/取消指派角色，基于角色获取访问和操作权限;5）纳管现有资源池，要能支持云主机热迁移，可以将云主机迁移到任一指定的物理服务器，最大限度地降低业务中断，保证业务的连续性;6）提供平台操作的日志记录，显示已完成和进行中的操作记录，支持短时间内的误操作恢复，支持按时间段导出操作日志列表。

4混合云平台安全性研究

云平台环境下的信息安全情况较传统信息安全情况而言更加复杂，除满足网络安全、物理安全、系统安全和数据安全等要求外，还需要满足信息化系统虚拟化层面的安全控制、监控和审计等。云平台安全设计框架如图4所示。

公有云平台是按照网络安全等级保护三级要求和云平台网络安全审查要求，由云服务提供商提供可靠性高的平台安全防护能力及安全增值服务，以确保部署在公有云平台上的应用和服务的安全运行。其中平台安全防护能力包括网络安全防护、网站应用防护、网页防篡改、病毒防护、运维安全监测、平台安全监控等内容;安全增值服务是对操作系统、网络系统、数据库等进行安全配置检查、漏洞扫描、数据库审计等，并提供检查整改报告。

私有云网络安全是按照不同区域、不同业务特性分区分层进行防御，从而达到业务可视、网络可视、安全可视等。首先，在安全物理环境下将数据中心整体网络划分为互联网出口区、核心交换区、私有云接入区、用户接入区、远程接入区、安全运维管理区等区域。核心交换区域与私有云区域均采用双核心架构，配合升级为万兆网络的接入层环境，以保障网络性能与健壮性;其次，在网络边界部署防火墙及入侵防御系统，能够对非法访问、入侵行为、DDos等攻击进行检测和防护，在核心交换机和防火墙上可设置不同网段、不同用户对服务器的访问控制权限，在核心交换区部署一台潜伏威胁探针镜像与用户接入相关的全流量，在私有云接入区部署一台潜伏威胁探针镜像与应用业务相关的全流量，同时部署一台安全感知平台获取探针数据及其他安全设备的日志来实现智能分析、危险点防护及清查、统一呈现全网安全风险并联动其他安全设备及时处置安全威胁，同时为后续的跟踪审计提供依据。在远程接入区、私有云出口区域以及统一的互联网出口区域均有相应纵深的南北向流量防护体系，能够对进出流量进行检测过滤，有效管控不同区域流量的进出权限;再次，在安全运维区部署漏洞扫描、防病毒网关、WAF、堡垒机、VPN、日志审计、上网行为审计、数据库审计、终端安全防护系统等安全设备，相互配合完成对全网的深度系统扫描、安全防护、统一运维权限管理、数据的完整性和保密性防护及操作日志集中收集和分析;最后，网络安全工作“三分靠技术，七分靠管理”，云安全同样遵从这个模式，应制订相应的管理制度规范和保障混合云的安全运行，建立完善的网络系统安全漏洞日常扫描、病毒日常扫描与查杀、网络检测评估与加固、系统配置及策略变更、恶意代码监测防护、应用系统运行日志审计记录和分析、重要数据的备份和恢复、应急处置响应等机制与办法。通过对全网的实时监控、实时响应、定期检查、定期加固，从而全面保障混合云平台的安全性。

5总结

混合云是未来云计算发展的趋势，本文研究了混合云的构建，通过使用混合云管理平台进行资源的统一管理及调度从而解决了信息孤岛和管理复杂性问题，同时介绍了如何安全有效地管理混合云，具有一定的实践意义。

参考文献：

[1] 杨武.混合云平台的设计及实现[J].电脑知识与技术，2021，17（11）：77-78.

[2] 唐彭卉.混合云环境下整体安全防护体系探讨[J].现代电视技术，2021（1）：110-114.

[3] 海继尚，朱奕健，庄彦宇.主流云平台架构与混合云设计[J].电子技术与软件工程，2021（1）：174-176.

[4] 黄衍博，闵宇.混合云架构与技术演进[J].信息与电脑，2019（8）：145-146.

[5] 朱斌.云计算安全运维管理研究[J].网络空间安全，2018，9（10）：101-104.

【通联编辑：代影】