阿里云弹性计算服务ECS-技术白皮书-改

弹性计算服务(ECS)-技术白皮书

目录云服务器概述云服务器是阿里云公有云服务中非常重要的组成部分，它以阿里云自主研发的大型分布式操作系统飞天为基础，基于虚拟化等云计算技术，将普通基础资源整合在一起，以集群的方式给各行各业提供的计算能力服务。它改变了传统IDC一次性购买交付的特点，用户按需购买计算能力，并按使用付费，真正实现了可以水、电、煤一样，提供给用户使用。同时充分发挥了一个平台的优势，有效的提高资源利用率，数据可靠性，网络可靠性。阿里云作为国内领先的云计算服务公司，具备深厚的研发和服务能力，将为更多企业提供更多、更好的优质云服务器服务。更多相关产品信息，请参考网站：。产品功能与特点产品价值云服务器基于阿里云自主研发的飞天大规模分布式计算系统。云服务器具有自助管理、数据安全保障、自动故障恢复和防网络攻击等高级功能，能够帮您简化开发部署过程，降低运维成本，具有特有网络环境优势，构建纵向或横向按需扩展的网站架构，从而更适应互联网应用快速多变的特性。系统架构图SEQ图\*ARABIC1系统架构虚拟化平台与分布式存储虚拟化是云服务器的基础，阿里云采用XEN虚拟化技术，将物理资源进行虚拟化，通过虚拟化后的虚拟资源，对外提供弹性计算服务。云服务器包括两个重要的模块：计算资源资源模块和存储资源模块。计算资源指CPU，内存，带宽等资源，通过将物理机上的计算资源虚拟化再分配给云服务器使用。一台云服务器的计算资源只能位于一台的物理主机上，当一台物理机上资源耗尽时，只能在另外的机器上启动云服务器。通过资源的QoS，可保证同一台物理机上不同云服务器间可相互不影响。存储采用了大规模分布式存储系统，将整个集群中的存储资源虚拟化后，整合在一起对外提供服务。同一台云服务器的数据，保存在整个集群中。在分布式存储系统中，数据都提供三份副本，当单份数据损坏后可实现数据的自动拷贝。具体原理图见下图：图SEQ图\*ARABIC2虚拟化平台与分布式存储控制系统控制系统是弹性计算平台的核心，它决定着云服务器启动在哪一台物理服务器上且云服务器的所有功能及信息都需要通过控制中心统一处理与维护。数据采集：负责整个虚拟化平台的数据采集，包括计算资源，存储资源，网络资源等使用情况，通过数据采集可以对集群的资源使用情况进行统一的监控管理，并作为资源调度的一个重要的依据。资源调度系统：决定云服务器启动的位置，在创建云服务器时，会根据物理机的资源负载情况，合理的调度云服务器。且在云服务器发生故障时，决定云服务器再此启动的位置。云服务器管理模块：管理及控制云服务器的。例如启动、关闭、重启云服务。以及云服务器相关增值服务功能也通过云服务器管理模块提供。安全控制模块：进行整个集群的网络安全监控与管理。运维及监控系统完善的运维与监控是云服务的关键。运维与监控系统主要对EC平台进行监控，主要监控项包括：云服务器性能的监控，资源使用监控，平台健康检查以及网络监控。当集群资源不足或云服务器网络遭受攻击时，将会进行报警提示，以方便运维人员对集群进行管理。云服务器图SEQ图\*ARABIC3云服务器云服务器是弹性计算产品的核心部分。它主要为用户提供计算能力服务创建并启动一台云服务器只需数分钟，且云服务器一创建即有特定的系统配置。与传统服务器相比，大大提升了用户业务开展的效率。使用云服务器与传统托管物理服务器使用方法完全相同，用户对云服务器有完全控制权，可通过远程的方式或API的方式（控制面板）来对云服务器进行一系列基本操作。云服务器的计算能力可用虚拟CPU，虚拟MEM来表示；磁盘存储能力可用云磁盘容来衡。区别于传统服务器，云服务器具有较为灵活的机器配置。用户可以根据需求灵活配置云服务器，在服务器运行过程中，如果现有服务器配置不能满足业务需求，可随时调整服务器配置。云服务器生命周期，从云服务器创建到云服务器释放。当云服务器释放后，所有的数据将彻底删除，不可找回。磁盘快照磁盘快照是磁盘在某一特定时间点的副本，是保留和恢复磁盘数据非常有效的方法之一。通过磁盘快照可以在磁盘数据发生问题后恢复到快照时间点，从而有效保护了磁盘的文件系统和数据。尤其在升级应用和服务器及打补丁的时候，快照可以发挥非常关键的作用。图SEQ图\*ARABIC4磁盘快照磁盘快照具有如下特点：快照存储按实际占用空间收费快照回滚可在很短时间内完成可以在多个快照间进行切换自定义镜像镜像是启动云服务器的基础。镜即一块母盘，包含操作系统以及应用软件配置，创建云服务器必须基于一个镜像，创建成功后，系统盘内容即为此镜的完全克隆VMVM（系统配置及大小）。自定义镜像指用户可以将现有云服务器系统盘保存为一个镜像，并可以此镜像作为一个模板，快速创建与已有云服务器系统配置完全相同的机器。图SEQ图\*ARABIC5自定义镜像基于镜像创建的云服务器具有相同的系统盘配置（数据+大小），但是计算资源配置及云磁盘配置可定制化。通过自定义镜像，可以保存现有云服务器系统盘数据；并可将其作为一个母盘，方便实现云服务器快速克隆。综上产品体系描述，可用一张图来表示各产品之间的关系：图SEQ图\*ARABIC6用户业务

产品特点介绍图SEQ图\*ARABIC7产品特点介绍灵活方便用户可以在线按时长购买服务器。并支持任意时刻的续费管理；用户对云服务器有完全的控制权，具有管理员权限，使用方式与传统物理服务器完全一致。从云服务器创建到启动只需数分钟。服务器创建后，可立即使用，已包含有操作系统。与传统服务器相比，大大提高了服务器交付的效率，可有效的缩短用户业务的上线时长。云服务器快速升级与克隆。当云服务器现有配置不满足要求时，可进行云服务器配置快速升级，可升级配置包括：CPU，MEM，带宽配置，磁盘容量等。云服务器克隆指创建一台跟现有云服务器一模一样的机器，整个克隆过程只需几分钟。数据安全可靠分布式存储系统大大提高了数据的可靠性，数据可靠性可达99.999%。云服务器数据在EC平台有三份数据拷贝，单份数据损坏对云服务器使用没任何影响，且一份数据损坏后，后台系统会自动拷贝，使数据始终保证三重备份。基于快照的快速数据备份与恢复。磁盘快照是弹性磁盘在某一特定时间点的副本，是保留和恢复磁盘数据非常有效的方法之一。通过磁盘快照可以在磁盘数据发生问题后恢复到快照时间点，从而有效保护了弹性磁盘的文件系统和数据。尤其在升级应用和服务器及打补丁的时候，快照可以发挥非常关键的作用。故障恢复故障恢复指云服务器发生故障时可快速恢复，故障恢复时间非常短。在线迁移。在线迁移指云服务器在不停机状态下从一台物理服务器迁移到另外一台物理服务器。在线迁移时，云服务器应用完全不中断，用户完全无感知。通过在线迁移可以根据物理机负载情况调度资源，并可实现业务不中断下的集群运维。网络安全可靠图SEQ图\*ARABIC8网络安全设置安全组统一防火墙设置，设置简单。组内机器默认互通，组内机器数限制200，组间机器默认隔离防IP/MAC伪造和ARP欺骗完善的监控，并可搭配安全产品，可进行端口入侵扫描，挂马扫描，漏洞扫描7X24小时监控服务全自动防DDOS攻击，提供有限流清洗服务小型攻击，流量异常，系统将自动触发流量清洗；大型攻击，清洗服务无效后，系统将自动触发黑洞操作。具体的流阀值请参考附录。高效的运维与客服提供7×24小时工单、7×24小时电话服务。工单响应时间：30分钟；电话响应时间：15分钟。

价值分析弹性计算产品使用具有灵活，可靠，方便的特点，可给用户带了高利用价值。部署和备份/恢复更快捷，节省宝贵时间；数据和服务更可靠、更安全，解除后顾之忧；匹配业务波动，动态调整计算资源，计算资源利用率高，降低成本；快速，及时，专业的运维及客服服务。表SEQ表\*ARABIC1价值分析阿里云云服务器传统服务器部署交付周期分钟级别数天故障恢复时间分钟级别数小时甚至更多配置动态伸缩支持不支持在线迁移支持，服务器应用不中断不支持外部防火墙直接支持需额外防火墙设备防ARP，IP欺骗直接支持需额外设备支持防DDOS攻击直接支持需额外设备支持数据备份方案快照备份需额外备份设备更换操作系统分钟级别需要重新安装操作系统备份恢复时长很快数小时甚至更多服务器管理自助远程启动、关闭和重启需通知IDC人员执行磁盘管理自助远程增加删除磁盘需通知IDC人员执行磁盘管理基于快照实现磁盘的克隆磁盘克隆即数据拷贝服务器配置变更自主远程升级服务器配置需到现场作业服务器批部署自定义镜快速批部署需人工逐一安装配置服务器数据恢复自助完成快速备份恢复需IDC人员配合进行备份数据占用空间快照数据增存储，节省存储空间重复数据拷贝负载均衡服务云负载均衡，在线配置硬件负载均衡，非常昂贵服务器克隆自定义镜+快照可实现机器不支持设置VM组防火墙可同时设置一组VM的防火墙需单台设置云服务器具有灵活性，可靠性，安全性，方便性且低成本的特点。阿里云为用户提供云服务器全面专业的运维服务，使用户有更多时间关注自己的核心业务。且购买云服务不需要前期一次性投资，按需购买，方便扩容，使用户在开展业务时无后顾之忧。

使用案例平台概念解析及原理介绍镜像与云服务器实例镜像是创建云服务器的基础。镜是一个已包含有系统及软件配置的系统盘的模板。通过一个镜像，可以创建一批云服务器，云服务器的配置可多种多样，但是所有云服务器的系统盘配置都是一样的。下图可以展示通过镜创建云服务器的过程。同时用户还可以通过自定义镜的方式生成自己的镜像。RegionRegion相当于一个数据中心或者机房，不同的Region物理上隔离。阿里云有多个数据中心可提供云服务器产品，因此在创建云服务器实例前，需要确定在哪个数据中心（region）购买此服务。存储系统使用云服务器，必须要配套相应的存储。云服务器可提供两种类型的存储：基于块的存储与基于文件的存储。基于块的存储：磁盘设备云服务器磁盘设备为基于块的存储。用户可使用普通磁盘一样使用云服务器磁盘。用户购买云磁盘与普通磁盘购买方式一致，购买时需要确定云磁盘的存储空间，并为此付费。基于文件的存储：快照存储空间。磁盘的快照文件存储为基于文件的存储，使用快照存储，无需事先购买存储空间，按需使用并付费。两类存储都依赖于大规模分布式存储系统。网络与安全组IP分配规则。创建一个云服务器会默认分配一个私网IP，但公网IP可以根据用户需求选择是否分配。同时，一个云服务器支持绑定多个公网IP地址。安全组安全组用来实现一组VM同时对外的防火墙权限，安全组间相互隔离，可在公有云中形成一块网络的私有安全域。单个安全组可容纳200台云服务器，创建一台云服务器实例必须为其指定一个唯一的安全组。支持新建安全组，新建安全组有如下防火墙规则：安全组内云服务器网络可互通；安全组对外的访问权限全部关闭。且此防火墙规则对安全组内所有的云服务器同时有效。安全组防火墙规则可以根据用户需求进行设置：支持下面两种防火墙规则的设置。设置通过某个IP或IP段通过某种协议来访问安全组的某个端口。设置某个安全组通过某种协议来访问安全组的某个端口。通过第二种方式可实现安全组间的网络打通。图SEQ图\*ARABIC9防ARP/IP欺骗现在的IDC机房中各种病毒、木马层出不穷，常见的攻击方式有伪造MAC、伪造IP、ARP欺骗，弹性计算服务在系统层面最大程度避免了此类攻击的发生，通过监控VM之间的流量，平台可以在第一时间阻止伪造MAC、伪造IP、ARP欺骗等攻击。防DDOS攻击DDOS攻击是现今互联网最大的威胁，可在短时间内导致网站瘫痪，业务无法开展。全自动防DDOS攻击是弹性计算平台提供的增值服务，它依赖于弹性计算平台完备的监控系统与数据中心专业的DDOS流清洗设备，当监控到某个IP入流超过一定阈值时，将自动进行DDOS攻击流量清洗，具体阈值请参考附录。图SEQ图\*ARABIC10流量清洗实施镜像使用创建云服务器需要首先准备好相应的镜像。目前提供2种方式获得镜像。1)阿里云提供基础镜像。此部分镜为整个平台公共的镜像资源，它遵守一定的命名规范。目前阿里云提供的基础镜像资源如下：镜像文件名win2008_64_enterprise_40G_alibase_v01.vhdwin2008_32_enterprise_40G_alibase_v01.vhdrhel54_64_smart_20G_alibase_v01.vhdrhel54_32_smart_20G_alibase_v01.vhd简介40G磁盘空间，未激活40G磁盘空间，未激活20G磁盘空间，最简安装，包括kernel+gcc20G磁盘空间，最简安装，包括kernel+gcc基础镜像资源会定期更新，实际提供的镜像以阿里云发布的为准。2)自定义镜像自定义镜像可以通过OpenAPI接口调用实现，具体流程如下图所示：图SEQ图\*ARABIC11自定义镜像自定义镜像实质为云服务器系统盘的一个快照。如果一个快照被制作为自定义镜像，那么在此镜像删除之前，此快照不能删除。建议用户基于阿里云提供的基础镜上，创建自己的自定义镜像。创建并使用云服务器创建并使用云服务器并使用通过API接口创建云服务器创建云服务器需要遵循一定的步骤。主要流程如下：此流程中的个步骤，都提供相应的API接口支持。根据此流程创建的云服务器具有如下特点：已装有操作系统:由Image决定分配有IP，且已配置好防火墙规则：安全组决定。在整个过程中，云服务器生命周期为：创建云服务器—>释放云服务器。使用云服务器使用云服务器需要通过远程的方式来连接云服务器。Linux服务器：通过ssh公网IP的方式连接云服务器。Windows服务器：通过远程桌面的方式连接云服务器。使用安全组完成解决方案使用安全组完成解决方案通过安全组可以实现一系列解决方案。应用场景：共有4台云服务器，其中两台web服务器，两台DB服务器。需要，DB服务器只许内网访问，web服务器只需公网访问；且web服务器和DB服务器间可内网互通。实施方案：图SEQ图\*ARABIC12安全组实施方案使用磁盘快照磁盘快照相关操作可以通过下面的树状图来表示。图SEQ图\*ARABIC13磁盘快照调用API实例启动VMURL格式统一接入URL?action=start_vm&session=ABCDE