信息安全建设方案建议书六.docx

信息安全建设方案建议书六.docx

《信息安全建设方案建议书六.docx》由会员分享，可在线阅读，更多相关《信息安全建设方案建议书六.docx（18页珍藏版）》请在冰豆网上搜索。

信息安全建设方案建议书六

第1章云基础设施平台建设

1.1云计算中心建设目标

建立以服务为主的云计算中心，同时后期扩展可为物联网、文化创意、工业设计、电子商务、物流管理等众多领域的个人、研究机构、企业等提供优质服务与决策支撑。

云计算中心采用虚拟化、云存储等关键技术，可以有效地提高设备利用率，降低总体拥有成本。

1．便于软硬件集约使用与维护，节约应用成本；

2．便于资源整合，提高办公效率；

3．便于统筹网络安全管理，提高安全等级；

4．便于数据集中处理，提升共享便捷性和利用水平。

1.2云基础架构云平台的建设内容

云基础架构云平台建设的主要内容在于建设基础架构层云计算服务IAAS的资源环境，实现IT基础计算资源的共享和自动化。

本平台的主要内容在于建设云计算平台基础架构层的云计算服务IAAS，将基础架构的各种物理资源虚拟化、资源池化，管理员可以按云的服务及应用负载的要求从资源池中灵活调用资源，可以实现资源的动态添加或缩减。

这种云平台可以提供虚拟化的资源，从而隐藏物理资源的复杂性、异构性。

物理资源是指支撑云计算上层服务的各种物理设备，包括：

服务器、网络设备、存储设备等。

云基础架构云平台（IAAS）的具体建设内容：

1）将云基础架构云计算平台建设成一个高度整合、资源灵活调配、运维自动化、高可用性的适应性基础设施云计算平台，并构造成一个功能齐全、设备先进、运行高效、使用灵活、维护方便、易于扩展、安全可靠的服务器、存储及网络系统平台，用以支撑各种警种业务应用。

2）为云计算中心创建统一、可扩展的共享资源池，共享资源包括服务器、存储和网络。

通过所有IT基础设施资源的池化，可以实现IT系统资源的灵活共享和动态调整，做到基础设施资源的统建共用，按需无缝扩容，从而避免重复投资，提高资源利用率和减少投资成本。

3）实现云IT计算资源分配供给的流程化与自动化。

通过云计算平台，实现虚拟机、物理机、存储以及相应资源的按需自动供应与回收，加快IT基础设施对应用业务的响应速度，提高数据中心经济效率。

4）建设统一、集中的IT管理平台:

不同硬件、虚拟机和操作系统平台之间实现统一管理，实现运维自动化，提高运维效率。

5）将云云计算平台建设成低碳、环保、节能的绿色数据中心。

采用云计算技术来降低服务器数量，提高硬件资源利用率，节约能源，节约IDC空间，支持国家和公安部的节能减排总体战略。

同时，在云计算平台设备选型中选择具有先进低功耗技术的IT设备，大幅降低计算中心能耗，达到节能减排的目的。

1.3云基础架构云平台设计原则

云基础架构云平台是为各部门搭建的一个基础架构和应用平台，把传统的应用迁移到此平台上，同时进行整合和优化，共享给各个部门使用，促进资源共享、降低信息化建设成本，提高部门的服务效率和服务能力。

云基础架构云平台的计算平台建设应该符合云计算的基础架构服务体系，包括基础架构层、用户访问层和服务管理层。

同时，也应该满足后续可扩展性，能够兼容平台层（为用户提供对集成架构层服务的封装）和软件应用层（面向企业用户、个人用户提供软件应用服务）的无缝嵌入,以实现从内部专用云到混合云和公共云的平滑过渡。

云基础架构云平台在进行全面设计和优化的过程中，应遵循如下原则：

◆稳定可靠性

该计算平台在实现所需功能的基础上，具备极高的可靠性和稳定性，能够365x24不间断地连续工作，平均无故障时间（MTBF）大于20万小时，平均修复时间（MTTR）小于2小时。

主要设备和链路都能做到双冗余安全设计。

◆先进性

该计算平台需要选用性能和效率更高的硬件设备，能够满足未来3-5年业务平台的发展需要，技术上适度超前。

◆灵活性

该计算平台采用模块式架构，需要满足动态配置、易维护的要求。

◆扩展性

该计算平台的设计要满足未来长期规划和发展的需要，可根据网未来的发展需要进行无缝的升级扩容。

◆安全性

该计算平台的信息传递和储存要达到云环境下安全级别要求。

◆节能环保

该计算平台的产品与技术需要符合国家节能与环保政策，尽量采用节能高效的设备，节约能源能耗。

1.4云基础架构平台关键技术

1.4.1物理架构

云基础架构物理平台说明：

●云管理平台：

提供云平台管理平台，可以采用集群方式，实现高可用性，保证云计算平台的有效持续可用，为云提供云资源供给，通过云平台管理平台与虚拟化管理平台的对接，实现将虚拟化管理平台中所产生的有效数据导入云平台管理平台，实现通过云平台管理平台对底层各种资源的有效把控。

与此同时，在云平台管理平台之上通过标准的SOAP，WebService，Restful以及开放的API接口将重要的云平台数据及信息向上呈送给用户自开放的第三方云管理平台

此云管理平台可以提供服务台，自动化流程，监控功能，并可以根据用户的需要提供定制化报告功能以及通过CMDB配置管理数据库与其他的ITSM平台实现有效整合，提供在不同层面对于云平台中服务的全生命周期管理。

如下图所示，最终可以让云平台与开源的云平台整合，实现对于开源云平台的有效管控。

还可以实现与主流的商用虚拟化平台整合，实现对于商用虚拟化平台及云平台的有效管控。

通过还可以通过之前所提到的各种OpenAPI、消息总线以及开发指南与其他的云管理平台实现数据及信息的沟通，最终完成面向最终云的统一云平台管理调度中心平台。

●虚拟化管理平台

通过虚拟化管理平台，帮助云快速有效的构建起来支持各种业务

系统所依赖的虚拟化环境，并通过采用集群的方式，保障对于虚拟环境中各种各

组成模块的统一管理及实现业务系统在虚拟化环境中的迁移及工作负载切换，本次方案中采用的是基于商用的虚拟化管理平台，未来当时机成熟后，可以采用开放的虚拟化平台及管理平台，实现成本的大幅节省，并实现完全的开放平台，避免厂商锁定，最大程度的提升用户的投资回报率。

●资源使用身份验证平台

统管云用户对于资源获取以及服务上面的统一身份验证平台，建议采用微软的活动目录用户实现资源获取身份验证功能，借助于此功能与云管理平台的多租户功能可以实现：

Ø两级管理体系

云建设管理人员可以在活动目录中对于统一资源池具有完整的监、管、控权限，按照维护者和使用者进行访问身份两级管理体系。

分配不同的权限，提升云平台访问的安全性

Ø将资源SLA级别与公共服务信息服务模块关联

将各种资源池的SLA实现与云的关联，按照层级及级别分配对应服务模块所获得的资源可用性、可靠性、性能、成本综合成本关联，从而保障关键业务部门或关键应用的充分保障，提升关键应用的可靠性及可用性、性能的程度。

1.4.2逻辑架构

云基础架构云计算方案根据逻辑层次，可以分为物理层、资源层、监管控层最终服务访问层。

该方案的总体逻辑图如下：

Ø物理资源层

提供所需要的各种物理服务器、存储系统和网络等物理资源。

包括高性能的HP3PAR存储，最合适虚拟化平台HP服务器以及各种网络设备

Ø资源层

针对云的各种业务系统来分析，我们为用户提供了包括：

●X86虚拟资源池：

（用于支撑常规的50-100应用系统）

✧虚拟计算资源

✧虚拟存储资源池

✧虚拟网络资源池

●x86物理计算资源池：

（用于为后续的大数据挖掘等应用提供计算能力强劲的物理资源以及部分部署于x86物理平台后台数据库系统。

✧物理计算资源池

✧物理存储资源池

✧物理网络资源池

●小机虚拟资源池：

用户部署部分部署于小型机环境下的应用或数据库系统

●软件资源池：

提供多种操作系统与应用松耦合的部署资源，用户实现灵活模板定制功能。

的分配，逻辑磁盘分配和管理，网络VLAN管理等虚拟化后的逻辑资源。

逻辑资源实际是物理资源跟虚拟化技术的结合，提供更好的可扩展性、可分配性和可调度性。

Ø监管控平台

是本云计算平台最终的管理者，通过监管控统一平台可实现对于各级资源的统一监控，阈值设定，报警，报告以及使用趋势分析等功能。

做到全局把控。

Ø服务层：

是云平台最终的资源交付层。

通过将资源转化为服务的方式提供更便捷的访问方式，最终服务申请者可以通过此服务层平台获取经过权限验证通过之后的限定资源。

通过这种方式加速云业务创新的力度，提供更多便于终端民警提升社会治安满意程度的云应用。

1.5云基础架构云平台方案规划

在云基础架构云平台的搭建方案上，我们推荐使用HP+VMWARE的解决方案：

HPCloudSystemMatrix是一款即插即用的适应性基础设施，其定位于云计算平台中的IAAS，面向于私有云场景，可统一所有物理和虚拟工具、流程及架构，帮助您快速有序地交付服务，充分利用现有投资，并降低未来成本。

HPCloudSystemMatrix是全球首款易于购买的IAAS适应性基础设施。

作为开箱即用的预集成云平台，CloudSystemMatrix可以将网络、存储和功率容量作为资源池动态配置，以便在同一环境中的1,2000台物理服务器和虚拟服务器上运行各种应用。

HPCloudSystemMatrix以业界领先的HPCloudSystem为基础而构建，是用于简化整合计划的理想平台，可以为所有应用提供灾难恢复保护，并加速生产环境的部署。

同时具有显著的成本优势，其费用只需8个月即可收回。

通过将机架服务器整合到CloudSystemMatrix，可将总体拥有成本降低78%（使用HP/AlineanHPInsightDynamics的3年ROI/TCO分析—适用于ProLiant服务器ROI计算器的VSE套件）。

1.6云基础架构云平台核心功能

如图所示，当我们的基础架构云平台搭建完成之后，我们数据中心的后台将会变成了一个经过优化的资源池，有服务器计算资源池、存储资源池、网络资源池、以及操作系统等基础架构设备的资源池。

通过统一的云管理平台软件可以进行统一的模板配置、资源调度、自动化部署、容量规划、动态的调整等一系列的调度。

对于使用者只需要站在自助门户网站面前，选择适合自己的需求的模板，通过选择、审核、批准等流程后，后台会自动化的部署给使用者所需要的基础架构的资源。

在使用过程中如果出现不足的情况可以进行动态的调整，在用户使用完毕后可以自动回收资源。

1.6.1基础架构资源共享及动态的调整

云的基础设施云平台建成后，能够实现所有IT基础设施资源的池化，形成服务器、存储和网络的共享资源池，各部门所需的计算资源和基础设施均存放于此，各部门可以按需使用包括服务器、存储和网络在内的各种计算资源，能够实现IT系统资源的灵活共享和动态调整，做到基础设施资源的统建共用，按需无缝扩容，从而避免重复投资，提高资源利用率和减少投资成本。

云的基础设施云平台还可以实现服务器资源的动态调整。

通过逻辑服务器技术，可以将应用系统与物理服务器剥离，可实现将一台物理服务器在不同的时段分别指派给不同的应用使用，而且整个切换调整过程很简单、很快速，只需要几分钟的系统重启时间即可实现应用系统的切换。

例如，如果我们有A、B、C三个应用，三个应用都不需要经常运行，但偶尔需要使用到；这时，我们可以将不常用的这三个应用系统进行离线存储，等需要使用时才在同一台备用服务器上重新激活保存的模板，迅速启动应用。

这样做可以在节省资源的同时，保持较高的业务服务质量级别。

与为每个所需环境分配专用硬件的解决方案相比，又或与共享硬件但在每次需要不同环境时必须重新安装操作系统和应用程序的解决方案相比，使用此类基础设施可以大幅降低成本。

此例子证明：

在逻辑服务器作为物理刀片服务器部署的基础上可以创建动态的门户网站基础设施，而且这些逻辑服务器可以快速禁用和激活，进而快速改变用途而无需重新安装。

另外，也可以通过虚拟机逻辑服务器来创建灵敏的网站基础设施。

1.6.2基础架构资源的快速部署

●全生命周期的运维自动化，从设计、实施、运营直至最终的资产重新规划。

云的基础设施云平台能够具备资源申请－资源分配－资源生成－资源交付四个环节。

管理员能够从共享资源池中自动、一致地供应供应各种资源（包括虚拟服务器、网络、存储等），并能为资源指定一个租赁期，实现资源的自动回收。

Ø应用实施标准化，通过应用模板的设计，把实施过程固化，安装自动化。

负责IT基础架构管理的架构师使用图形设计工具（GUI）来规划并设计基础设施，以满足业务应用的需求。

通过对代表所需资源的图标进行拖拉和连接操作，架构师可针对基础设施服务创建模板，并将其保存为XML文件。

此外，用户可对这些模板执行导入或导出操作。

架构师指定逻辑资源的属性，例如所需的最低内存、IP地址分配、物理或虚拟服务器需求、启动磁盘上所需的存储容量和软件。

架构师可将每个服务模板保存至目录，仅经过批准的指定用户能够访问。

针对不同的应用需求进行设计。

基础设施服务模板可能是面向web前端的一个简单的虚拟机集群、面向测试和开发机构的配置，也可能是面向电子购物应用、企业资源规划（ERP）或客户关系管理（CRM）实施的复杂、多层配置。

还可以在专业的网站下载流行应用的标准模板，包括sqlserver，exchange，websphere，weblogic，SAP，Oracle等。

●基础设施自动化供应

通过自动化基础设施供应引擎和配置模板，自动、快速地供应各种资源，包括单台虚拟机，以及包括物理与虚拟服务器和存储系统在内的多层复杂环境，实现资源的自动化、重复供应和快速部署。

该基础设施平台可针对虚拟和物理服务器执行自动化供应，包括物理服务器和虚拟机配置、SAN磁盘支持、操作系统部署和自定义。

新建虚拟服务器或物理服务器能够从资源池中自动分配资源，自动部署到集群中的服务器上运行，不需要手动指定服务器；

●流程管理自动化

内嵌工作流自动化工具，实现基础资源快速实施交付。

并可与现有ITSM管理工具和流程的无缝集成，工作流连接至模板的功能，实现供应前/后任务的自动化，审批流程的规范化，各业务部门申请资源统一化。

1.6.3对异构的物理和虚拟设备进行统一的管理

交易中心的基础设施云平台能够以相同的方式展现、规划和变更物理和虚拟资源，能够实现IT基础设施的集中统一管理。

∙利用统一的基于标准的管理平台，可实现异构环境的管理，通过浏览器即可对服务器、存储及其它设备的统一集中监控；

∙此管理平台可以自动发现、更新网络上服务器和其它设备，能够实现对被管理设备硬件工作状态的监控，资产管理以及保修期管理；

∙此管理平台可以进行故障报警，所有监控信息均可通过颜色、电子邮件等手段进行报警，甚至可进行硬件的非正常状态的预警报警（在主要硬件彻底损坏之前的72小时产生预警报警）；

∙此管理平台可以轻松地集成各种专业的管理工具和其它管理软件，可以对基础设施的整个生命周期，包括分发部署、远程控制、性能管理、电源管理、系统升级等阶段进行统一的、全面的管理；

∙在同一个界面中统一管理物理服务器和虚拟服务器，支持X86服务器、Unix服务器和主流虚拟平台系统（VMware、MicrosoftHyper-V等）；存储；网络设备平衡物理和虚拟资源：

实时平衡各种资源，支持逻辑服务器模式，可将逻辑身份与物理资源分离。

1.6.4节能环保与电源管理

按照国家关于节能减排总体战略的要求，云的云计算平台的基础设施云平台需要建设成低碳、环保、节能的绿色数据中心。

一方面，该基础设施云平台的建设采用虚拟化和云计算技术来整合服务器（建议整合比例为1：

6），降低服务器数量，提高硬件资源利用率，节约能源，节约机房空间。

另一方面，在设备选型中选择具有先进智能、低功耗技术的IT设备，例如刀片服务器、低功耗内存条、智能电源等，以求降低计算中心能耗，达到节能减排的目的。

另外，该基础设施云平台必须具有电源管理与优化的功能。

具体功能如下：

●高级电源管理：

动态节能

通过内建的技术可在不需要的时候限制电力资源，确保功耗与实际的服务器使用保持一致。

动态节能特性可将电源置于备用状态，针对一般正常的运行状况实现90%以上的电源效率，从而实现节约能源能耗，达到节能减排的目的。

●高级电源管理：

动态功率封顶

动态功率封顶功能可在不影响性能和不过度使用数据中心分支电路的情况下，限制峰值功耗。

刀片服务器和刀片机箱均需支持此功能。

管理员可针对单独的刀片服务器、一组刀片服务器或整个机箱设置功率限制。

每台刀片服务器内置的管理和电源微处理器可共同测量和控制电源的使用。

当执行用户定义的功率限制时，电源微处理器首先会降低处理器的P-state。

如果未实现所需的功耗降低，该技术将继续降低处理器的时钟速度，以防止峰值功耗超过限定值。

如果在机箱级别应用，该技术可将管理员定义的限定值应用到多台服务器，从而根据工作负载密度，动态调整每台刀片服务器的功率限制。

运行较轻工作负载的刀片服务器的功率限制将会降低；运行较重工作负载的刀片服务器的功率限制将会增加。

对于大多数环境，工作负载密度将在不同的时间增加或减少，因此动态调节功率限制的能力可帮助IT管理员将机箱级别的动态功率限制，设置为低于每台刀片服务器的峰值功耗之和，并且不会影响服务器的性能。

1.6.5连续容量规划优化功能

集成的容量管理功能可确保交易中心基础设施云平台中供应的基础设施服务以最优的状态运行，实现基础设施的连续优化。

●持续的容量管理

该基础设施云平台可帮助管理员快速重新平衡以及重新规划物理和虚拟服务器，以满足不断变化的优先业务任务。

借助该基础设施云平台集成的实时容量规划和工作负载平衡功能，管理员可以轻松地满足应用工作负载的不同的资源需求。

根据每月不同的时间段调整资源分配，例如当月末处理或突发事件期间的高峰使用量显著增加时，可根据使用需求快速分配所需计算资源，从而满足某一时间段或突发事件对资源使用的需求。

该基础设施云平台的容量规划功能能够根据针对服务器每五分钟收集的数据，测量处理器、内存、网络、磁盘I/O以及功耗等传统资源的标准。

管理员可通过管理控制台查看不同类型资源的当前利用率和历史数据。

当一组物理或虚拟服务器的资源利用率较低时，管理员可通过整合规划情形对整合方案进行评估。

这有助于理解先进的分析容量需求的方法，相对于仅仅确定内存或处理器的最大利用率，这种方法更加完善。

容量规划方面的一个通用实践是仅通过两个负载的峰值来确定所需的最大容量，这就是所谓的“峰值之和”方法。

尽管这种方法可提供一种有效的解决方案，但是它未考虑负载峰值的时间，因此所规划的容量可能会超过实际使用的容量。

“容量之和”是一种更加高效的规划解决方案，它考虑了单独负载中最大利用率峰值的时间因素。

通过将每个测量间隔的利用率相加，并选择相应的最大时间顺序，基础设施云平台使用的“容量之和”方法可对所需的最大资源进行更准确的测量，进而降低成本。

1.6.6通过灵活的迁移保证基础设施的高可靠性

中心基础设施云平台的IT设备需要采用冗余组件进行构建，因此电源或风扇等单点故障不会影响系统的正常运行。

基础设施云平台还要具备服务器故障切换功能：

通过逻辑服务器技术，应用系统可以自由地在刀片服务器之间迁移。

当物理服务器发生意外宕机时，只需几分钟的系统重启时间，即可将应用系统转移到备用位置上的物理服务器，并恢复系统的对外服务，从而将恢复时间缩短80%,实现应用系统的低成本、高效可用性。

故障切换可在同一个机箱内、同一个数据中心内或不同的数据中心之间进行。

执行故障切换无需在服务器上运行特殊软件，而且可以实现物理服务器的N+1或者N+X的备份方式。

此外，基础设施云平台还要具备以下功能：

✓通过自动化运维工具的故障报警功能，可以在预计将要出现故障的情况下，预先报警，并自动的迁移应用系统，提高了服务的可用性。

✓通过逻辑服务器技术，可以将不常用的整个应用系统进行离线存储，等需要使用时才重新激活保存的模板，迅速启动应用。

这样做可以在节省资源的同时，保持较高的业务服务质量级别

✓通过逻辑服务器技术，可以将应用系统看成模板来复制、备份，简单便捷地实现应用系统的全备份。

✓可选远程灾难恢复功能，通过对基础设施云平台进行扩展，可以在两个站点之间实现经济高效的灾难恢复，对物理服务器和虚拟服务器实现“一键式”异地容灾备份。

灾难恢复功能支持面向恢复站点的自动灾难恢复和故障切换，能够转移物理服务器或虚拟机上运行的工作负载，或将工作负载从物理设备转移至虚拟机。

1.7云平台硬件选型建议

1.7.1服务器选型建议

根据当前的业务状况，同时考虑到未来的可扩展性，我们建议采用高端机架式服务器进行系统的搭建，适应系统对硬件平台的不同需要，采用4路X86处理器机架式服务器：

采用3台4路X86处理器机架式服务器：

基本配置为：

满配4路12核处理器E7-4830V4，128G，300G*2，2个16GBHBA，4个1200W冗余电源。

最大支持4个处理器、支持6TB内存、10个热插拔串连SCSI（SAS）或串行ATA（SATA）硬盘驱动器、1个嵌入式HPFlexFabric万兆网卡和多个I/O扩展插槽，同时支持ISCSI和FCSAN，可提供所需的紧凑结构和高性能，能够处理要求苛刻的企业级应用程序。

x86虚拟化服务器池建议采用新采购服务器。

资源池的服务质量水平和可靠性要求高，需要采用vSphere虚拟化平台的HA、AppHA、FT、vMotion、StoragevMotion、DRS等功能特性满足银行生产系统的99.999%可用性和7*24小时的可服务性。

►采用VMwarevSphere构建服务器虚拟化资源池，将现有独立的物理服务器中的应用、中间件和数据库迁移到虚拟化平台中，提高生产数据中心的资源利用率；

►构建VMwarevCenter虚拟化集中管理服务，来统一管理虚拟化资源池中的虚拟机和硬件系统资源；

►利用网卡绑定、存储多路径、虚拟机动态迁移、存储动态迁移、虚拟机高可用、应用高可用、容错等功能，大幅提高生产数据中心的可用性；

►利用动态资源调配、存储资源动态调配、网络/存储IO控制、按需容量扩展等功能，实现生产数据中心的资源动态调配和灵活扩展；

通过VMware配置管理工具，实现统一的补丁分发和安装，提高系统的健壮性；驱动IT遵从性，降低系统风险；通过建立改变流程审批制，减少宕机几率。

1.7.2存储选型建议

根据对本项目的需求，我们推荐采用HP3par8200磁盘阵列作为闽南古镇信息系统的集中存储设备。

同时，本方案中推荐新增两台24口16GB存储光纤交换机，将刀片服务器设备和存储设备组成统一的SAN平台。

HP3PAR8200存储，配置负载均衡双冗余控制器，缓存高达64G，4个16GBFC接口，24块1.2TB10KSAS硬盘，配置自动精简功能，支持自动分层存储、快照复制、灾备远程复制等功能，最大可以支持240个硬盘，支持RAID0,RAID1,Fast-Raid5,Fast-Raid6，支持SSD、SAS磁盘在同一扩展笼内混合使用，可与原厂商其他高端产品组成存储级容灾，三年7*24小时服务。

HP3PARStoreServ8000存储系统以经济实惠的价格为您带来一款业界领先的、全球四分之三的最大托管服务提供商采用的相同架构，让您从此告别妥协选择。

此外，它还是唯一一款HP保证提供物理服务器上的虚拟机（VM）密度翻一倍所需性能的平台。

您可以将所有数据存储在一个支持存储联合和自动分层等高级功能的系统上，因而能够从小规模起步，并在不中断业务的前提下逐步扩展使存储变得轻松简便。

1.7.3云安全主机加固建议

虚拟化可以节约运维成本，简化业务管理，充分利用资源，产生更高的IT效率，还是云计算的基石，因此正在被各个领域广泛应用。

然而，虚拟环境下，资源、数据、服务高度集中，一旦出现安全问题，其影响范围也会被无限放大，而传统安全软件如果运行