隨著云計(jì)算技術(shù)的不斷發(fā)展及云計(jì)算商業(yè)模式的不斷明晰，其完整的產(chǎn)業(yè)鏈也在不斷地完善，無(wú)論是公有云,、私有云還是混合云,，均得到進(jìn)一步深化。云計(jì)算的信息安全和運(yùn)維服務(wù)問(wèn)題越來(lái)越被人們所關(guān)注,，一直是云計(jì)算實(shí)施的國(guó)際熱點(diǎn)問(wèn)題，在企業(yè)私有云領(lǐng)域,，更是成為是否采納云計(jì)算的首要問(wèn)題,。在我國(guó)云計(jì)算標(biāo)準(zhǔn)工作中，信息安全,、運(yùn)維服務(wù)也是被關(guān)注的重點(diǎn),。

    針對(duì)云計(jì)算的信息安全、運(yùn)維服務(wù)這些國(guó)際熱點(diǎn)問(wèn)題,，在IaaS云特別是企業(yè)私有云領(lǐng)域,，綜合平衡商用關(guān)鍵、綜合成本,、實(shí)用易用等因素,，設(shè)計(jì)了信息安全系統(tǒng)和運(yùn)維服務(wù)系統(tǒng)，并在國(guó)內(nèi)多個(gè)行業(yè)實(shí)施取得了良好的效果,。
1 IaaS簡(jiǎn)介
    IaaS服務(wù)的核心思想是以服務(wù)產(chǎn)品的形式向用戶(hù)交付各種能力,，而這些能力直接來(lái)自各種資源池，因此IaaS服務(wù)提供商需要完成資源池化,、服務(wù)和產(chǎn)品設(shè)計(jì)與組裝以及服務(wù)產(chǎn)品交付等方面的工作[1],。
    IaaS的技術(shù)架構(gòu)是以數(shù)據(jù)中心IT基礎(chǔ)架構(gòu)為基礎(chǔ)，以滿(mǎn)足用戶(hù)需求的特定IT基礎(chǔ)架構(gòu)為交付物的服務(wù)交付過(guò)程的層次化模型[2],，如圖1所示,。

    在IaaS的技術(shù)架構(gòu)中，通過(guò)采用資源池構(gòu)建,、資源調(diào)度,、服務(wù)封裝等手段，可以將IT資產(chǎn)迅速轉(zhuǎn)變?yōu)榭山桓兜腎T服務(wù),，從而實(shí)現(xiàn)了IaaS云的隨需自服務(wù),、資源池化、快速擴(kuò)展和服務(wù)可度量等特性,。
    IaaS服務(wù)交付模型包含資產(chǎn)管理,、資源管理、服務(wù)管理和交付管理4個(gè)層次,。在IaaS設(shè)計(jì)中,，邏輯結(jié)構(gòu)如圖2所示。

2 IaaS的信息安全系統(tǒng)
    從表面上看，云計(jì)算更注重共享與彈性,，而信息安全則考慮信息的封閉與權(quán)限,，二者似乎是一對(duì)矛盾，但只有解決了這個(gè)問(wèn)題,，才能實(shí)施好云計(jì)算,。所以如何平衡這兩方面是設(shè)計(jì)的主題。IaaS系統(tǒng)安全體系是以安全域?yàn)榻?jīng),、以安全等級(jí)框架為緯,，對(duì)安全域逐個(gè)進(jìn)行威脅和風(fēng)險(xiǎn)分析，從而形成信息系統(tǒng)安全體系,。
2.1 安全架構(gòu)
    (1)策略與組織：安全環(huán)境的治理與管理,；
    (2)資產(chǎn)分類(lèi)：確定出需要保護(hù)的資產(chǎn)；
    (3)風(fēng)險(xiǎn)管理：需要保護(hù)的原因,；
    (4)安全保護(hù)方法：如何保護(hù)這些資產(chǎn),。
2.2 安全域
    信息系統(tǒng)安全域需要對(duì)IaaS進(jìn)行實(shí)施環(huán)境的評(píng)估調(diào)查，參照信息保障體系的建模方法,，按照威脅與風(fēng)險(xiǎn)分析,，將信息資產(chǎn)劃分為若干安全域，并根據(jù)不同的安全等級(jí)部署安全訪問(wèn)策略,。
    在設(shè)計(jì)時(shí)綜合考慮IaaS的等級(jí)化安全域,，根據(jù)信息系統(tǒng)的功能特性、安全價(jià)值以及面臨威脅的相似性,，將其劃分成計(jì)算區(qū)域,、網(wǎng)絡(luò)基礎(chǔ)設(shè)施、區(qū)域邊界和安全基礎(chǔ)設(shè)施四大類(lèi)安全域,。
    安全域有兩個(gè)特征,，即同一安全域內(nèi)的系統(tǒng)有相同安全保護(hù)需求并相互信任，同時(shí)安全域內(nèi)部又可以分為安全子域甚至更細(xì),。安全域所遵循的根本原則是：業(yè)務(wù)保障原則,、結(jié)構(gòu)簡(jiǎn)化原則、等級(jí)保護(hù)原則,、立體協(xié)防原則及生命周期原則[3],。
    在設(shè)計(jì)時(shí)，可以根據(jù)相關(guān)規(guī)范,，結(jié)合IaaS的應(yīng)用現(xiàn)狀,，通過(guò)VRF技術(shù)將IaaS劃分為邏輯上的業(yè)務(wù)網(wǎng)絡(luò)和網(wǎng)管網(wǎng)絡(luò)，每個(gè)網(wǎng)絡(luò)均是一個(gè)安全域,。兩個(gè)安全域的數(shù)據(jù)交互將通過(guò)內(nèi)聯(lián)業(yè)務(wù)系統(tǒng)區(qū)的防火墻來(lái)進(jìn)行控制,。下文以某省級(jí)電信運(yùn)營(yíng)商IaaS為例進(jìn)行安全域設(shè)計(jì),，示意圖如圖3所示。

2.3 安全體系
    IaaS的整體性安全體系基于分層的方法,，包括以下所有方面：建筑物(例如非法闖入),、系統(tǒng)(例如角色與安全)、存儲(chǔ)(例如訪問(wèn)與轉(zhuǎn)換規(guī)則)及網(wǎng)絡(luò)(例如訪問(wèn)組件,，如防火墻,，入侵檢測(cè)等)。
    在設(shè)施內(nèi),，采用結(jié)構(gòu),、技術(shù)或組織上的方式，使不同功能和/或不同安全等級(jí)的區(qū)域相互分隔,，在區(qū)域之間進(jìn)行人員和貨物上的調(diào)配應(yīng)受到控制和監(jiān)視[4]。
    IaaS的安全系統(tǒng)設(shè)計(jì)主要是將安全防護(hù),、安全訪問(wèn),、安全審計(jì)等安全屬性注入服務(wù)總線之中，構(gòu)建安全系統(tǒng),。
2.3.1 安全屬性
    (1)安全防護(hù),。主要指防火墻、入侵防護(hù),、病毒防護(hù)等,。設(shè)計(jì)成2重結(jié)構(gòu)，在網(wǎng)絡(luò)骨干設(shè)置骨干防火墻,、IDS/IDP和病毒墻,，對(duì)整體IaaS進(jìn)行防護(hù)；在每個(gè)VDC中,，采用分布式防火墻等設(shè)備進(jìn)行個(gè)性化防護(hù),。
    (2)安全訪問(wèn)。IaaS主要有管理員,、服務(wù)經(jīng)理和用戶(hù)3個(gè)角色,。欲保證這些角色的安全訪問(wèn)，設(shè)計(jì)基于LDAP的用戶(hù)訪問(wèn)管理,，應(yīng)用SSO單點(diǎn)登錄技術(shù),、PKI/CA技術(shù)、權(quán)限管理技術(shù)等,，為用戶(hù)提供高安全等級(jí)的安全服務(wù),。這些服務(wù)包括用戶(hù)管理服務(wù)、統(tǒng)一用戶(hù)身份,、認(rèn)證服務(wù),、加/解密服務(wù)及數(shù)字簽名服務(wù),。
2.3.2 安全審計(jì)
    安全審計(jì)在信息安全中容易被忽視，但卻是商用系統(tǒng)信息安全最關(guān)鍵的部分,。根據(jù)IaaS 的特點(diǎn),，需要對(duì)各類(lèi)操作建立日志并分析審計(jì)，包括虛擬機(jī),、數(shù)據(jù)庫(kù),、數(shù)據(jù)傳輸、VDC及各種配置與管理信息,。通過(guò)建立安全審計(jì)中心完成安全審計(jì),，以保證系統(tǒng)安全。
3 IaaS的運(yùn)維服務(wù)
    通過(guò)在IaaS部署輕量級(jí)的網(wǎng)管和數(shù)據(jù)采集系統(tǒng),，采集IT環(huán)境告警信息和監(jiān)控?cái)?shù)據(jù)到運(yùn)維中心,，運(yùn)維中心實(shí)時(shí)監(jiān)控IaaS環(huán)境；如遇到故障,，運(yùn)維工程師在企業(yè)用戶(hù)允許的前提下遠(yuǎn)程登錄到企業(yè)用戶(hù)IT環(huán)境并處理故障,，從而提供IaaS的運(yùn)維服務(wù)。
    系統(tǒng)分為運(yùn)維中心和ubox兩部分,。運(yùn)維中心是整個(gè)系統(tǒng)的核心,，主要為企業(yè)用戶(hù)、運(yùn)維工程師,、管理員提供一個(gè)工作界面,。ubox是一個(gè)輕量級(jí)的網(wǎng)管系統(tǒng)，收集監(jiān)控信息并上傳到運(yùn)維中心,。
3.1 運(yùn)維中心設(shè)計(jì)
    運(yùn)維中心是整個(gè)系統(tǒng)的核心,，主要為企業(yè)客戶(hù)、運(yùn)維工程師,、業(yè)務(wù)管理員和系統(tǒng)管理員提供一個(gè)工作界面,，包括企業(yè)客戶(hù)portal、運(yùn)維工程師portal,、運(yùn)維管理,、公共信息和系統(tǒng)管理等模塊。
    企業(yè)客戶(hù)portal是企業(yè)客戶(hù)登錄運(yùn)維中心以后可以訪問(wèn)的內(nèi)容,，包括告警管理,、設(shè)備管理、服務(wù)訂單查詢(xún),、服務(wù)請(qǐng)求,、故障報(bào)告查詢(xún)和運(yùn)維報(bào)表查詢(xún)。
    運(yùn)維工程師portal是運(yùn)維工程師登錄后工作的界面,，包括工作臺(tái),、客戶(hù)管理,、客戶(hù)設(shè)備監(jiān)控、遠(yuǎn)程協(xié)同,、任務(wù)管理和在線問(wèn)答,。
    運(yùn)維管理模塊主要有訂單管理、Case管理,、任務(wù)調(diào)度,、服務(wù)目錄管理、運(yùn)維報(bào)表管理,、分析統(tǒng)計(jì)等功能,；公共信息模塊主要描述公共網(wǎng)站的功能，包括首頁(yè),、用戶(hù)注冊(cè),、服務(wù)產(chǎn)品列表、購(gòu)物車(chē)等功能,；系統(tǒng)管理包括人員管理,、權(quán)限管理、角色管理等功能,。
3.2 ubox設(shè)計(jì)
    ubox主要作為運(yùn)維中心的客戶(hù)端，一方面為運(yùn)維中心收集告警和監(jiān)控?cái)?shù)據(jù),，另一方面作為遠(yuǎn)程協(xié)同的網(wǎng)關(guān),；此外，ubox還是一個(gè)輕型的網(wǎng)管系統(tǒng),，企業(yè)用戶(hù)使用它來(lái)監(jiān)控IT環(huán)境,，定制運(yùn)維報(bào)表。
    ubox包括監(jiān)控管理,、報(bào)警管理,、拓?fù)涔芾怼?bào)表管理,、遠(yuǎn)程協(xié)同操作服務(wù),、數(shù)據(jù)上傳服務(wù)等模塊。本系統(tǒng)運(yùn)維中心主要采用SOA面向服務(wù)的架構(gòu)方法論和基于jquery+spring+hibernate（Ssh架構(gòu)）的J2EE架構(gòu),。Ssh框架是目前較流行的一種Web應(yīng)用程序開(kāi)源框架,，以幫助開(kāi)發(fā)人員在短期內(nèi)搭建結(jié)構(gòu)清晰、可復(fù)用性好,、維護(hù)方便的Web應(yīng)用程序,。ubox采用開(kāi)源網(wǎng)管軟件zenoss，實(shí)現(xiàn)企業(yè)客戶(hù)IT環(huán)境設(shè)備監(jiān)控,、告警及數(shù)據(jù)采集,。運(yùn)維中心與ubox之間通信采用加密的https和sftp安全協(xié)議,。
4 實(shí)踐效果

    根據(jù)以上IaaS平臺(tái)實(shí)現(xiàn)原理及設(shè)計(jì)，在調(diào)研某電信用戶(hù)的實(shí)際需求之后,，實(shí)現(xiàn)了集成VMware X86虛擬化平臺(tái)和IBM Power小型機(jī)虛擬化平臺(tái)的IaaS綜合運(yùn)營(yíng)支撐平臺(tái),。
    此IaaS平臺(tái)共有五大功能模塊：資產(chǎn)管理、資源管理,、服務(wù)管理,、交付管理和系統(tǒng)管理模塊。目前,，系統(tǒng)用戶(hù)實(shí)施已完成并安全運(yùn)行了1年,，得到用戶(hù)的好評(píng)，是國(guó)內(nèi)不多的,、穩(wěn)定運(yùn)行的IaaS,。
    本文設(shè)計(jì)主要的優(yōu)勢(shì)與特點(diǎn)是：
    (1)在IaaS的實(shí)施中,大多數(shù)方案只關(guān)注虛擬化的實(shí)施、資源池化等問(wèn)題,，而信息安全與運(yùn)維服務(wù)問(wèn)題往往得不到解決,，使得云計(jì)算停留在虛擬化層次，只發(fā)揮了部分效能,。本文針對(duì)信息安全及運(yùn)維服務(wù),，總結(jié)了方法路線及相關(guān)實(shí)施路徑，特別設(shè)計(jì)的信息安全系統(tǒng)和運(yùn)維服務(wù)系統(tǒng),解決了困擾IaaS落地實(shí)施的關(guān)鍵問(wèn)題,經(jīng)過(guò)在電信等行業(yè)實(shí)際應(yīng)用,并進(jìn)一步改進(jìn),有力地保障了IaaS系統(tǒng)的穩(wěn)定可靠運(yùn)行,，得到了用戶(hù)的好評(píng),。
    (2)在信息安全方面的安全域規(guī)劃創(chuàng)新地解決了共享與安全的矛盾，平衡了系統(tǒng)的成本,、操作,、合規(guī)各方面。
    (3)將多個(gè)虛擬化計(jì)算平臺(tái)統(tǒng)一在同一個(gè)管理平臺(tái)之上,，統(tǒng)一了虛擬化資源視圖,，使得管理更加便捷方便。
    (4)將多個(gè)虛擬化計(jì)算平臺(tái)統(tǒng)一在同一個(gè)管理平臺(tái)之上,，可以更加有效地幫助用戶(hù)梳理業(yè)務(wù)流程,，幫助業(yè)務(wù)的發(fā)展。
參考文獻(xiàn)
[1] 劉鵬.云計(jì)算（第2版）[M].北京：電子工業(yè)出版社,，2011.
[2] 雷萬(wàn)云.云計(jì)算：技術(shù),、平臺(tái)及應(yīng)用案例[M].北京：清華大學(xué)出版社，2011.
[3] 中國(guó)移動(dòng)通信有限公司.中國(guó)移動(dòng)企業(yè)信息化安全域規(guī)范[S].2004.
[4] 張敏波.網(wǎng)絡(luò)安全實(shí)戰(zhàn)詳解[M].北京：電子工業(yè)出版社,，2008.