云计算对新一代数据中心的影响分析和建设思路--中国电信

新计算，新数据中心，安全新思路 金华敏 中国电信股份有限公司广州研究院 2010年 10月 /webmoney 目录 云计算与数据中心 新一代数据中心安全对策 云计算定义和特征 云计算对新一代数据中心的影响 新一代数据中心的演进思路 新一代数据中心安全威胁分析 新一代数据中心安全对策 /webmoney 云计算的目标理念 -IT设施成为象水、电一样的公共基础设施 企业 B 企业 A 企业 C 企业 A 企业 B 企业 C 互联网 云平台服务商 转变 IT服务的商业 模式 极大 降低 用户使用 IT服务的 门槛 （资金、技术、时间、人力等方面） 激发出更为广大的市场空间 发电厂 企业自己部署发电设施 企业使用公共电力服务 电力传输网络 /webmoney 云计算的定义与特征 以服务为提供方式 有别于传统的一次性买断统一规格的有形产品，云计 算 以按需服务的方式根据不同用户的个性化需求推出多层次的服务 基于网络构建的云计算可以快速灵活适应用户不断变化的需要，同时通过各种机制实现高扩展高可靠性 高 扩展 高可靠性 底层资源（计算 /存储 /网络 /逻辑资源等）对用户透明，用户无需了解资源具体实现和地理分布等，对提供者而言则是一个巨大的池化资源 资源池化与透明化 网络是云计算的主要组件之一；网络是云计算的承载体；网络是云计算为用户提供服务的通道 以网络为中心 云计算是一种将 池化的集群计算能力 通过 互联网 向内外部用户提供 弹性、按需服务 的新业务、新技术。 云计算既是一种技术，也是一种服务，甚至还是一种商业模式， 只有符合某些特征的计算模式才能称之为 “ 云计算 ” 。 其特征如下： /webmoney 5 提供能力 - 通过 IaaS虚拟化技术，将众多服务器和存储资源池化，为用户或业务应用的承载提供所需的计算资源 承载方式的转变 - 资源利用率更高以实现节能高效 - 快速提供计算资源以满足用户突发资源需求 - 用户能够自主定制资源 - 为提供弹性资源出租服务提供了基础 IaaS 新的计算承载方式 迁移 可以在不同服务器之间直接迁移正在运行的虚拟机 共享 在单一物理服务器上可同时运行多个虚拟机 隔离 每一个虚拟机都与同在一个服务器上的其他虚拟机相隔离 封装 虚拟机将整个系统，包括硬件配置、操作系统以及应用等封装在文件里 /webmoney 6 Platform 众多中低端的 x86服务器 编程模型 如 MapReduce 超大型文件系统 如 HDFS 海量数据库 如 Hbase 新计算模型 监控与 调度管理 API/SDK 第三方软件开发者 最终用户 交付形态 软件销售 提供能力 - 通过分布式并行计算算法，充分聚合服务器的计算和存储能力，为特定应用提供海量数据处理能力 - 形成高效的软件应用开发和托管平台，聚合第三方软件开发者和终端用户 计算模型的转变 - 通过低成本的 PC服务器集群获得高性能计算 ， 并接近线性扩展 PaaS 新的计算模型 能力调用接口 自有应用（如搜索、邮件、视频） /webmoney 7 交互数据 软件运行和计算在数据中心侧完成 终端通过 web浏览器使用软件应用 Internet 提供能力 - 用户通过互联网获得所需的软件服务，无需花费大量的精力用于 IT设施的建设与维护 - 减轻终端设备的计算压力，拉动移动互联网业务的发展 应用模式的转变 - 计算工作从终端侧转移至数据中心侧，降低对终端设备的计算能力要求 SaaS 新的计算应用模式 数据中心 /webmoney 目录 云计算与数据中心 新一代数据中心安全对策 云计算定义和特征 云计算对新一代数据中心的影响 新一代数据中心的演进思路 新一代数据中心安全威胁分析 新一代数据中心安全对策 /webmoney 云计算对数据中心的影响 9 新的计算承载方式 新的计算模型 新的计算应用模式 物理资源高效整合、业务快速部署、节能减排 增强海量数据处理能力 计算运行于数据中心侧，降低终端计算能力要求，能够拉动前端用户发展 建设模式从烟囱式转变为集约式 规划和建设视角从以机房为单位转变为全网统一布局 业务模式从提供基础承载环境转变为交付资源和应用 降低社会信息化门槛 将极大拉动前端终端用户的发展，业务量将规模上升 运营模式由属地化运营转变为统一运营 维护模式由简单的设施和设备监测转变为端到端 IT应用维护 安全与法律风险从用户侧转移至数据中心侧 云计算的引入 对数据中心的技术影响 对数据中心的业务影响 对数据中心的挑战 /webmoney 对数据中心的业务影响 当前的数据中心使用模式 目标业务模式 运营商核心问题： 基础业务占近 90%，价值业务 逐步减 少 ；能耗高，运营成本高 由于绝大部分的设备产权归属 IDC客户，增值服务和应用服务一直开展不起来 缺乏整体的管理平台，运维效率低，成本高 数据中心客户 运营商 主机托管 客户自已提供服务器 运营商提供能源，机柜和带宽 VIP机房 客户租用机房 运营商提供空机房及带宽 运营商为客户提供一站式服务 最终客户只须租用虚拟机来部署自身应用 IDC客户核心问题： 用户需要花费大量精力进行方案设计、设备部署、软件系统安装，业务部署周期长，维护成本高 中小企业需要在 IT资源和维护上进行较大的投入，增加其风险 自助 Portal 申请弹性主机 1 2 windows 虚拟服务器 数据中心 VM VM VM VM VM VM VM VM VM VM 3 windows 虚拟服务器 网站 数据中心客户 运营商 运营商价值： 提供丰富的高价值的多样化服务；利用规模经济获取利润 设备产权归属运营商，增强了开展增值服务的基础 精细化运营，统一管理平台 IDC客户价值： 自助式服务，实现业务快速部署 低成本获取 IT资源，降低其使用 IT资源的门槛，减少其维护成本 大型客户 中小客户 10 /webmoney 从传统的烟囱式的建设模式转变为集约化的建设模式 对数据中心的技术影响 从传统的以机房为单位建设上升为全网统一规划布局 骨 干 网城 域网城 域网城 域网城 域网终 端用 户终 端用 户终 端用 户终 端用 户数 据中 心数 据中 心数 据中 心设计采购建设服务器 /存储 / 网络资源业务 1设计采购建设服务器 /存储 / 网络资源业务 2设计采购建设服务器 /存储 / 网络资源业务 N 设计采购建设服务器 / 存储 / 网络资源业务 1 业务 2 业务 N传统的烟囱式的建设模式 集约化的建设模式一般需要半年时间一次建设资源分配可在当天完成设计采购建设服务器存储 网络资源业务设计采购建设服务器存储 网络资源业务设计采购建设服务器存储 网络资源业务 设计采购建设服务器 存储 网络资源业务 业务 业务传统的烟囱式的建设模式 集约化的建设模式一般需要半年时间一次建设资源分配可在当天完成应用优化与加速安全业务与应用平台操作系统 / 中间件 / 数据库网络基础配套设施存储资源 计算资源运营管理数据处理引擎与业务聚合平台（统一、稳定、可扩展）（节能高效）（性能优越、可靠、可扩展）（数据处理能力强、开放性强 ）（业务运行于数据中心侧 ）应用优化与加速安全业务与应用平台操作系统 中间件 数据库网络基础配套设施存储资源 计算资源运营管理数据处理引擎与业务聚合平台（统一、稳定、可扩展）（节能高效）（性能优越、可靠、可扩展）（数据处理能力强、开放性强 ）（业务运行于数据中心侧 ）应用优化与加速安全业务与应用平台操作系统 /中间件 /数据库网络基础配套设施存储资源 计算资源运营管理数据处理引擎与业务聚合平台（统一、稳定、可扩展）（节能高效）（性能优越、可靠、可扩展）（数据处理能力强、开放性强 ）（业务运行于数据中心侧 ）应用优化与加速安全业务与应用平台操作系统 中间件 数据库网络基础配套设施存储资源 计算资源运营管理数据处理引擎与业务聚合平台（统一、稳定、可扩展）（节能高效）（性能优越、可靠、可扩展）（数据处理能力强、开放性强 ）（业务运行于数据中心侧 ）应用优化与加速安全业务与应用平台操作系统 /中间件 /数据库网络基础配套设施存储资源 计算资源运营管理数据处理引擎与业务聚合平台（统一、稳定、可扩展）（节能高效）（性能优越、可靠、可扩展）（数据处理能力强、开放性强 ）（业务运行于数据中心侧 ）应用优化与加速安全业务与应用平台操作系统 中间件 数据库网络基础配套设施存储资源 计算资源运营管理数据处理引擎与业务聚合平台（统一、稳定、可扩展）（节能高效）（性能优越、可靠、可扩展）（数据处理能力强、开放性强 ）（业务运行于数据中心侧 ）应用优化与加速安全业务与应用平台操作系统 /中间件 /数据库网络基础配套设施存储资源 计算资源运营管理数据处理引擎与业务聚合平台（统一、稳定、可扩展）（节能高效）（性能优越、可靠、可扩展）（数据处理能力强、开放性强 ）（业务运行于数据中心侧 ）应用优化与加速安全业务与应用平台操作系统 中间件 数据库网络基础配套设施存储资源 计算资源运营管理数据处理引擎与业务聚合平台（统一、稳定、可扩展）（节能高效）（性能优越、可靠、可扩展）（数据处理能力强、开放性强 ）（业务运行于数据中心侧 ）/webmoney 运营模式 对数据中心的挑战 挑战 对策 建设全网的统一运营体系，规范管理组织结构、统一配置资源、整合营销和服务渠道、统一价格体系 以互联网业务的形式经营云计算服务 统一的业务受理、业务开通、服务资费、售后服务 维护模式 对策 挑战 维护人员需要更强的 IT技能和服务能力 维护内容繁杂，维护流程复杂 培养 IT专家和 IT服务团队 建立配套的管理系统来支撑和简化运维管理工作 安全与风险 挑战 对策 建立云计算环境下的安全防御体系 遵照国家法律法规 ,定期进行信息安全监测和检查 制定严谨的用户服务使用协议，避免用户不当带来的法律纠纷 用户信息存放在运营商提供的 IT资源中，存在被窥探和篡改的风险 用户的不法行为操作会导致运营商面临法律风险 /webmoney 目录 云计算与数据中心 新一代数据中心安全对策 对云计算（新计算）的理解 云计算对新一代数据中心的影响 新一代数据中心的演进思路 新一代数据中心安全威胁分析 新一代数据中心安全对策 /webmoney 基础资源出租业务为主 基础资源出租业务 + 增值业务 资源按需提供业务+ 差异化增值业务 + 内容整合业务 演进路线 历叱必然 应用 存储 计算 数据中心 从国内数据中心发展现状来看，目前还基本处于第二代的起步阶段 “ 新一代数据中心 ” 一般是指第三代数据中心，其所谓的 ” 新 “ 是相对第二代而言 数据中心的发展路线 /webmoney 15 2005 Cisco Sy stems, Inc. All rights reserv ed. 全程全网的计算服务发展 虚拟机器实现网络耦合 内嵌数据保护 策略制定与转发控制相分立 自动化Automation Session Number Presentation_ID 扩展能力 处理能力 设备密度 可用性 可管理能力 投资保护 云计算引发的新一代数据中心变革 Virtualization 节省能耗 服务加速 运维模式调整 资源使用率提高 灵活性 虚拟化Virtualization 聚合Consolidation /webmoney 传统数据中心 （基础承载环境） 新一代数据中心 （业务聚合平台） 技术架构 业务模式 运营管理 新一代数据中心将向业务聚合平台演进 IT资源和软件应用的出租服务占比将增大，各类增值业务业务也将快速发展 机房空间、机架、带宽等基础业务为主 虚拟资源池、聚合平台和应用平台的构建将成为重点 传统的网络和 IT设备部署方式 要求在全局上统一运营，打破地域局限性 要求高水平的网络和 IT维护服务团队 运营商可能会面临新的风险 属地化运营 要求具备基本的网络和 IT维护能力 安全风险和法律风险较小 建设模式 集约型建设，通过资源池化，提高资源利用率 烟囱式建设模式，为每个业务应用部署一套硬件资源 16 /webmoney 目录 云计算与数据中心 新一代数据中心安全对策 对云计算（新计算）的理解 云计算对新一代数据中心的影响 新一代数据中心的演进思路 新一代数据中心安全威胁分析 新一代数据中心安全对策 /webmoney 数据中心的传统安全模型 L2 交换机 ：端口隔离、五元组绑定、 802.1X等实现二层安全保护 L2.5 VLAN/MPLS：网络隔离 L3 路由器 /防火墙 ：访问控制和隔离、加密 L4 流量异常分析 L5-L7 应用层威胁防御：间谍软件、病毒、攻击等，数据安全（异地容灾，数据备份） 安全 管理 用户 管理 基于安全边界的层次化、组件化的安全设施，能有效满足 传统 IDC安全需求 /webmoney 新数据中心面临新的安全威胁与挑战 资源聚合技术的应用使得计算 /存储 /网络资源高度集中 虚拟化等技术的应用使得传统物理安全边界缺失 用户数据存储、处理、网络传输等都与数据中心密切相关，如果发生故障造成的后果较传统数据中心更为严重 传统网络安全设施与防御机制在防护能力、响应速度等方面越来越难以满足日益复杂的安全防护要求 传统的基于安全域 /安全边界防护机制难以满足虚拟化环境下的多租户应用模式 用户信息安全、用户信息隔离问题在共享物理资源环境下的保护更为迫切 分布式计算等技术的应用使得用户数据 /计算资源具有全网分布特性 数据 /计算资源具有不确定性、动态性和全网分布性，而不是位于某一固定节点 基于固定节点的安全设施难以满足数据位置动态变化或全程全网的安全防护需求 /webmoney 虚拟化应用面临新的安全问题 流量监控问题 内部虚拟网络上的虚拟机通信缺乏可见性和控制力，传统的流量监测方法或设备难以实施有效的安全监控 虚拟防火墙等虚拟化安全软件将占用有限的物理机资源，可能对正常的虚拟机用户的正常运行造成影响 虚拟化安全软件 虚拟化软件对主机硬件和系统拥有高级访问权限，可直接访问到硬件抽象层 虚拟机管理软件存在的安全漏洞如果被恶意利用，将严重威胁整个虚拟化环境所有虚拟机用户的安全 虚拟化漏洞问题 “ 恶意”虚拟机对物理资源的过度占用，可能会严重影响同一物理机上其他虚拟机的正常运行 资源抢占问题 虚拟化平台管理员拥有的管理权限如果被非法滥用，将对众多虚拟机用户的数据和应用安全造成严重威胁 权限滥用问题 /webmoney 目录 云计算与数据中心 新一代数据中心安全对策 云计算定义和特征 云计算对新一代数据中心的影响 新一代数据中心的演进思路 新一代数据中心安全威胁分析 新一代数据中心安全对策 /webmoney 数据中心安全防护 针对新数据中心的安全防护需求，构建纵深的安全防御体系，保护数据中心及用户信息应用安全 安全对策 安全设施能力提升 采用基于云计算技术及理念， “ 池化 ” 安全资源，提升安全能力和服务效能，满足全程全网的安全防护需求 结合新一代数据中心业务应用特点，充分利用云计算技术及理念，满足弹性、动态、全程全网的安全防御需求 新数据中心的安全对策 /webmoney 新数据中心的安全防护思路 安全防护思路 结合新一代数据中心的业务应用特点及平台架构层的特性，在采取传统安全防护基础上，进一步集成数据加密、 VPN、身份认证、安全存储、虚拟化安全、安全防御设施和资源云化等综合安全技术手段，构建面向应用的纵深安全防御体系 基础设施安全 用户数据安全 保障数据中心基础设施的稳定性及服务连续性 保护用户信息的可用性、保密性和完整性 运营管理安全 提高运营管理安全，完善安全审计及溯源机制 底层架构安全 保障虚拟化、分布式计算等平台架构层系统架构安全 数据中心安全 /webmoney 新数据中心安全对策 -虚拟化安全 服务器虚拟化安全 虚拟机管理器安全：服务最小化原则、内核模块完整性、补丁管理机制等 虚拟机安全：虚拟机安全隔离、访问控制、恶意虚拟机防护（ 防地址欺骗、 VM端口扫描等 ）、虚拟机资源限制等 网络虚拟化安全 虚拟交换机：采用 VLAN划分虚拟机组、对端口限速，禁止混杂模式进行网络嗅探等 虚拟防火墙：设置安全访问控制策略，建立逻辑安全边界 存储安全： 支持存储空间的负载均衡、冗余保护等 高可用性要求 ：支持虚拟机的 HA(冷备 )、 FT（热备）、备份恢复等，实现故障虚拟机的重新启用或快速切换，保障高可用性 容灾备份： 提供虚拟机层级的异地容灾服务 虚拟化安全管理 ：支持宿主机资源监控、虚拟机资源监控、安全迁移及回退机制、负载均衡、资源预留等 虚拟化 安全 通过完善、规范服务器虚拟化安全、网络虚拟化安全、存储安全、高可用性要求以及虚拟化安全管理相关配置要求，提高虚拟化应用安全性 /webmoney 新数据中心安全对策 -基础设施安全 基础网络安全 安全域划分：部署防火墙，划分安全域，实施安全边界防护 异常流量监测与攻击防范：进行流量实施监控，部署 DDoS攻击防御系统或使用相关攻击防护服务 承载网络应支持设备级、链路级的冗余备份 主机及管理终端安全 主机 /终端系统安全加固：补丁管理、安全配置 安全防护：控制蠕虫 /病毒 /木马在云计算平台内传播，非法入侵监测 安全基础设施资源池化 采用安全云技术提升安全基础设施服务效能，构建 安全服务资源池 应急响应 建立完善的应急响应机制，提高对异常情况和突发事件的应急响应能力 基础设施 安全 建立数据中心基础网络、主机等基础设施的纵深安全防御机制，提高数据中心基础设施的安全性、健壮性，保障服务提供连续性和稳定性 /webmoney 新数据中心安全对策 -数据安全 数据隔离 ：通过虚拟化层安全机制实现虚拟机间存储访问隔离 数据访问控制： 设置虚拟环境下的逻辑边界安全访问控制策略，实现虚拟机、虚拟机组间的数据访问控制 数据存储安全 ：为用户可选提供加密存储服务；虚拟机服务则建议用户对重要的数据信息在上传、存储前进行加密处理 数据传输安全 应采用 SSH、 SSL等方式保障维护管理信息的安全 应支持采用数据加密、 VPN等技术保障用户数据信息的网络传输安全 剩余信息保护 ： 存储资源重分配之前进行完整的数据擦除；数据删除后，对应的存储区进行完整的数据擦除或标识为只写 数据备份与恢复 ：支持文件级完整和增量备份；映像级恢复和单个文件的恢复 数据 安全 通过采用数据隔离、访问控制、加密传输、安全存储、剩余信息保护等技术手段，保护数据中心用户信息的可用性、私隐性和完整性 /webmoney 新数据中心安全对策 -运营管理安全 4A安全（帐号、认证、授权、审计） 用户管理 ：对用户帐号进行集中维护管理，为集中访问控制、集中授权、集中审计提供可靠的原始数据 访问认证： 应建立统一、集中的认证和授权系统，以提高访问认证的安全性 安全审计 ：建立安全审计系统，进行统一、完整的审计分析，通过对操作、维护等各类日志的安全审计，提高对违规溯源的事后审查能力 运营安全 制定安全