《IaaS平台的信息安全和运维服务设计》由会员分享，可在线阅读，更多相关《IaaS平台的信息安全和运维服务设计（4页珍藏版）》请在装配图网上搜索。
1、IaaS 平台的信息安全和运维服务设计随着云计算技术的不断发展及云计算商业模式的不断明晰，其完整的产业链也在不断地完善 无论是公有云、私有云还是混合云，均得到进一步深化。云计算的信息安全和运维服务问题 越来越被人们所关注，一直是云计算实施的国际热点问题，在企业私有云领域，更是成为是 否采纳云计算的首要问题。在我国云计算标准工作中，信息安全、运维服务也是被关注的重 点。本文针对云计算的信息安全、运维服务这些国际热点问题，在IaaS云特别是企业私有云领 域，综合平衡商用关键、综合成本、实用易用等因素，设计了信息安全系统和运维服务系统， 并在国内多个行业实施取得了良好的效果。1、IaaS 简介Iaa
2、S服务的核心思想是以服务产品的形式向用户交付各种能力,而这些能力直接来自各种资 源池，因此 IaaS 服务提供商需要完成资源池化、服务和产品设计与组装以及服务产品交付 等方面的工作。IaaS的技术架构是以数据中心IT基础架构为基础，以满足用户需求的特定IT基础架构为交 付物的服务交付过程的层次化模型，如图1 所示。在IaaS的技术架构中，通过采用资源池构建、资源调度、服务封装等手段，可以将IT资产 迅速转变为可交付的IT服务，从而实现了 IaaS云的随需自服务、资源池化、快速扩展和服 务可度量等特性。IaaS服务交付模型包含资产管理、资源管理、服务管理和交付管理4个层次。在IaaS设计 中，逻
3、辑结构如图2 所示。阳2 IhuS逻彊枭枸门户虚报叙/客户操样線FF=?也&颐件2、IaaS 的信息安全系统 从表面上看，云计算更注重共享与弹性，而信息安全则考虑信息的封闭与权限，二者似乎是 一对矛盾，但只有解决了这个问题，才能实施好云计算。所以如何平衡这两方面是设计的主 题。IaaS系统安全体系是以安全域为经、以安全等级框架为纬，对安全域逐个进行威胁和风 险分析，从而形成信息系统安全体系。2.1 安全架构(1) 策略与组织:安全环境的治理与管理；(2) 资产分类:确定出需要保护的资产;(3) 风险管理:需要保护的原因；(4) 安全保护方法:如何保护这些资产。2.2 安全域信息系统安全域需要对
4、 IaaS 进行实施环境的评估调查，参照信息保障体系的建模方法，按 照威胁与风险分析，将信息资产划分为若干安全域，并根据不同的安全等级部署安全访问策 略。在设计时综合考虑 IaaS 的等级化安全域，根据信息系统的功能特性、安全价值以及面临威 胁的相似性，将其划分成计算区域、网络基础设施、区域边界和安全基础设施四大类安全域。 安全域有两个特征，即同一安全域内的系统有相同安全保护需求并相互信任，同时安全域内 部又可以分为安全子域甚至更细。安全域所遵循的根本原则是:业务保障原则、结构简化原 则、等级保护原则、立体协防原则及生命周期原则。在设计时，可以根据相关规范，结合IaaS的应用现状，通过VRF技
5、术将IaaS划分为逻辑上 的业务网络和网管网络，每个网络均是一个安全域。两个安全域的数据交互将通过内联业务 系统区的防火墙来进行控制。下文以某省级电信运营商IaaS为例进行安全域设计，示意图 如图 3 所示。2.3 安全体系IaaS的整体性安全体系基于分层的方法，包括以下所有方面:建筑物(例如非法闯入)、系统(例 如角色与安全)、存储(例如访问与转换规则)及网络(例如访问组件，如防火墙，人侵检测等)。 在设施内，采用结构、技术或组织上的方式，使不同功能和/或不同安全等级的区域相互分 隔，在区域之间进行人员和货物上的调配应受到控制和监视。IaaS的安全系统设计主要是将安全防护、安全访问、安全审计
6、等安全属性注人服务总线之中, 构建安全系统。2.3.1 安全属性(1) 安全防护。主要指防火墙、人侵防护、病毒防护等。设计成2 重结构，在网络骨干设置 骨干防火墙、IDS /IDP和病毒墙，对整体IaaS进行防护;在每个VDC中，采用分布式防火墙 等设备进行个性化防护。(2) 安全访问。IaaS主要有管理员、服务经理和用户3个角色。欲保证这些角色的安全访问, 设计基于LDAP的用户访问管理，应用SSO单点登录技术、PKI/CA技术、权限管理技术等, 为用户提供高安全等级的安全服务。这些服务包括用户管理服务、统一用户身份、认证服务、 加/解密服务及数字签名服务。2.3.2安全审计安全审计在信息安
7、全中容易被忽视，但却是商用系统信息安全最关键的部分。根据IaaS的 特点，需要对各类操作建立日志并分析审计，包括虚拟机、数据库、数据传输、VDC及各种 配置与管理信息。通过建立安全审计中心完成安全审计，以保证系统安全。3、IaaS的运维服务通过在IaaS部署轻量级的网管和数据采集系统，采集IT环境告警信息和监控数据到运维中 心，运维中心实时监控IaaS环境;如遇到故障，运维工程师在企业用户允许的前提下远程登 录到企业用户IT环境并处理故障，从而提供IaaS的运维服务。系统分为运维中心和ubox两部分。运维中心是整个系统的核心，主要为企业用户、运维工 程师、管理员提供一个工作界面。ubox是一个
8、轻量级的网管系统，收集监控信息并上传到 运维中心。3.1运维中心设计 运维中心是整个系统的核心，主要为企业客户、运维工程师、业务管理员和系统管理员提供 个工作界面，包括企业客户portal运维工程师portal运维管理、公共信息和系统管理 等模块。企业客户portall企业客户登录运维中心以后可以访问的内容，包括告警管理、设备管理、 服务订单查询、服务请求、故障报告查询和运维报表查询。运维工程师porta是运维工程师登录后工作的界面，包括工作台、客户管理、客户设备监控、 远程协同、任务管理和在线问答。运维管理模块主要有订单管理、Case管理、任务调度、服务目录管理、运维报表管理、分 析统计等功
9、能;公共信息模块主要描述公共网站的功能，包括首页、用户注册、服务产品列 表、购物车等功能;系统管理包括人员管理、权限管理、角色管理等功能。3.2 ubo或殳计ubox主要作为运维中心的客户端，一方面为运维中心收集告警和监控数据，另一方面作为 远程协同的网关;此外，ubox还是一个轻型的网管系统，企业用户使用它来监控IT环境，定 制运维报表。ubox包括监控管理、报警管理、拓扑管理、报表管理、远程协同操作服务、数据上传服务 等模块。本系统运维中心主要采用SOA面向服务的架构方法论和基于jquery+spring+hibernateSSH 架构)的J2EE架构。SSH框架是目前较流行的一种Web应
10、用程序开源框架，以帮助开发人员在短期内搭建结构 清晰、可复用性好、维护方便的Web应用程序。ubox采用开源网管软件zenoss实现企业 客户IT环境设备监控、告警及数据采集。运维中心与ubox之间通信采用加密的hops和sftp 安全协议。4、实践效果根据以上 IaaS平台实现原理及设计,在调研某电信用户的实际需求之后，实现了集成V Mware X86虚拟化平台和IBM Power小型机虚拟化平台的IaaS综合运营支撑平台。此IaaS平台共有五大功能模块:资产管理、资源管理、服务管理、交付管理和系统管理模块。 目前，系统用户实施已完成并安全运行了1年，得到用户的好评，是国内不多的、稳定运行
11、的 IaaS本文殳计主要的优势与特点是:(1在 IaaS的实施中，大多数方案只关注虚拟化的实施、资源池化等问题，而信息安全与运 维服务问题往往得不到解决，使得云计算停留在虚拟化层次，只发挥了部分效能。本文针对 信息安全及运维服务，总结了方法路线及相关实施路径，特别殳计的信息安全系统和运维服 务系统，解决了困扰 IaaS 落地实施的关键问题，经过在电信等行业实际应用，并进一步改 进，有力地保障了 IaaS系统的稳定可靠运行，得到了用户的好评。(2) 在信息安全方面的安全域规划创新地解决了共享与安全的矛盾，平衡了系统的成本、操 作、合规各方面。(3) 将多个虚拟化计算平台统一在同一个管理平台之上，统一了虚拟化资源视图，使得管理 更加便捷方便。(4) 将多个虚拟化计算平台统一在同一个管理平台之上，可以更加有效地帮助用户梳理业务 流程，帮助业务的发展。【编辑推荐】Gartner最新IaaS报告：AWS微软位居领导者位置运维的危机，你嗅到了吗？Cgroups 详解：实现 IaaS 虚拟化资源管控的底层基础聊一聊公有云 IAAS 的那些事儿网易私有云团队 OpenStack 部署运维实战
IaaS平台的信息安全和运维服务设计
