xx集团云平台建设方案.docx

1、xx集团云平台建设方案XX集团云平台建设项目建议书第1章 项目背景 介绍客户需求背景在信息化底层架构上产生了如下的需求：1.1 集团信息化建设矛盾1.1.1 有限的IT资源和无限的业务需求之间的矛盾集团下不同行业的多元化业务大多面临增长放缓的态势，所以业务和流程的互联网式创新迫在眉睫。但是各个业务系统的创新和变革，对IT资源产生的大量的需求。当多元化业务跟随市场快速调整变化时，重资产投入的IT系统不管是在业务上线、业务管理、日常运维还是故障处理上，既无法跟上业务创新的节奏，又面临复杂历史架构中的遗留问题。包括各个子公司的IT建设水平更是良莠不齐，对于业务的转型，形成了一个尾大不掉的局面。因此，

2、集团业务变革中，需要建设一套更灵活、资源利用率更高、交付更快速的信息化架构。1.1.2 局部的业务系统和整体的IT策略之间的矛盾然而IT资源当前都分散建设在各个子公司，各个分公司都需要对各自的业务各部分资源会存在大量的重复浪费和建设成本，业务的创新建设成果也无法共享。因此，信息化建设需要进一步发挥集团内部的协同效应和资源统筹，利用自身集团统一建设的地位，和行业的多元化优势，来构建一个“业务转型的统一温床”。1.1.3 业务分散自治和有序管理之间的矛盾同时，各个分公司独立运营各自的业务、信息化基础的过程中，业务以分公司为单位各自分散自治，可以更快速地响应各自的业务需求。但是产生了管理上的矛盾，集

3、团对于分公司信息化建设的管理完全不透明。因此，需要建设起一套完善的信息化流程管理体系，可以让各个分公司既可以便捷管理自身的信息化资源，又可以实现集团整体的统一协同管理。1.1.4 业务的快速扩张和安全合规建设的矛盾业务产生快速上线、更新和变更的需求，信息化建设部门的精力全部集中在业务本身的上线和响应上，但是信息化的安全建设资源往往无法同时就位，信息安全合规建设存在非常大漏洞和风险。因此，需要在总部的整体资源池建设时，充分考虑安全部分。1.2 建设目标所以，为了解决XX集团本身存在的上述问题，同时，坚决响应“十三五”关于互联网+以及云计算建设的政策驱动，本项目计划逐步建立以云计算为核心的信息化整

4、体架构，实现从以业务应用为核心的被动建设方式向以服务为核心的主动建设方式的转型，建设起一套完整的云平台。本次项目需全力保障集团云平台所需基础架构健壮、稳定、安全、易管理的同时，也要打好集团云计算的基础，故整体项目的建设目标为：1.2.1 建设稳定可靠的基础架构资源池通过构建云计算资源池、存储资源池、网络资源池、安全资源池等方式，建设起一套稳定、高效、安全的资源池。同时，将原有的集团的烟囡式系统建设模式打破，通过资源池统一对外提供资源，实现基础设施建设的技术转型。实现以虚拟化为核心的软件定义数据中心的技术架构，使用云计算技术对资源池进行统一的调度管理，实现高效融合的信息化架构，提供可靠、弹性、敏

5、捷、安全的云计算服务。 1.2.2 构建以服务为核心的管理体系通过建设期一套集成企业流程、工单、资源申请、生命周期的云管理体系，将整个资源池以服务的方式，快速便捷的交付给各个二级单位以及分公司。1.2.3 提供云计算环境的安全保障。通过对选择安全、可靠、具备核心技术自研能力的云计算平台实现在云计算层的安全。通过构建和规划数据中心灾备模式以提供数据层的安全保障。 1.2.4 构建整体运维保障监控能力。实现对云平台内基础设施进行监管，改变对自有设备现状不清、监管不严的运维现状，全面提升在云计算环境下对大型信息化数据中心的运维保障能力。 1.3 项目建设原则根据现有集团数据中心发展的现状，结合成熟可

6、落地的新兴IT技术，本次集团企业私有云的总体建设原则如下： 1.3.1 统一规范，长远规划本次建设将遵循统一的平台设计、统一的管理设计、统一的服务设计以，以“软件定义”为核心技术架构，规避“技术绑定”为基础条件，硬件“通用标准化“为目标，实现平台架构的最大化优化和调整，对应未来新业务的上线、日常业务策略调整、基础资源的扩张提供标准的流程1.3.2 成熟稳定，开放合作优先评估并采用成熟、稳定的云化IT技术（超过2年以上实际商业成功应用），保证信息化平台具备有优秀的稳定性和强大处理性能，提供双数据中心灾备容灾的完整能力，为业务提供 7x24 小时持续的支撑服务；其次选择更具开放性的结构，要求各类系

7、统设计、产品及网络构建都要满足相关的国际标准和国家标准，提供标准结构及接口，有效地兼容各种品牌、厂商、运营商的系统和网络，实现多系统、多平台的互联互通。1.3.3 实用先进、安全可靠本次云平台建设，采纳主流并具备技术前置性的技术架构，并充分考虑业务数据的安全，避免用户受到异常攻击或敏感数据窃取。应能主动评估业务系统的安全状况及提供弥补措施，并提供各种操作行为的可回溯能力。以虚拟化技术为基础，并引入分布式存储架构实现高可用；同时，云计算服务管理平台提供资源和服务的各种运维能力，可以监控资源的使用情况，对于平台故障提供及时地预警报警，保证云计算平台的稳定运行1.3.4 利旧整合、按需建设满足资源的

8、随时随地按需分配，充分利旧现有IT硬件资源，建立一个灵活的硬件基础架构。硬件基础架构通常由虚拟的服务器池、共享的存储系统、网络和硬件管理软件组成，并具备极其灵活的弹性扩能力，通过云平台提供自助服务第2章 项目整体规划与架构2.1 项目建设架构设计2.1.1 总体架构设计XX集团云平台总体架构设计如下：2.1.2 物理架构层基础设施层包括运行私有云所需的数据中心机房物理环境，以及计算、存储、网络、安全等硬件设备。物理服务器本次会采购15台左右全新的物理服务器部署在两个机房，同时充分利用原有的老旧服务器来部署云资源池；存储采用服务器本地的server san，也利旧部分部分物理SAN存储；交换路由

9、设备，采用通用的TCP/IP交换价路由器搭建全部的业务网络、管理网络和存储通讯网络；安全建设，在互联网接入区域和主干网络到和各个区域隔离的位置部署物理安全设备来实现安全防护和访问控制。2.1.3 资源池层资源池层主要是通过软件定义的方式，将物理底层的资源整合，实现所有资源的池化，来承载业务系统。利用各类虚拟化技术， 将底层硬件抽象，对底层硬件故障进行屏蔽。资源池可以根据业务的不同需要，规划超融合资源池、网络安全资源池、统一存储资源池、容器资源池、大数据资源池。2.1.4 IAAS层IAAS层主要是对计算、存储、网络、安全资源池进行统一管理和调度，并对外提供IAAS层服务。主要技术包括服务器虚拟

10、化、存储虚拟化、网络虚拟化、安全虚拟化。利用服务器虚拟化内核，实现了CPU、内存、I/O的虚拟化 ，通过共享文件系统保证云主机的迁移、HA、动态资源调度（DRS）和动态资源扩展（DRX）。而分布式交换机预置的VxLAN技术可以实现多租户的虚拟网络隔离，分布式防火墙可以根据云主机的虚拟网卡提供4层的安全策略。采用分布式存储技术，充分利用服务器内置硬盘资源，构建出完整的存储资源池，多副本技术、热备盘技术等保证了存储数据的高可靠，本地I/O技术、全局条带化技术等提升了存储系统的服务效率。最后，采用NFV的技术，实现整个云平台的安全资源池化，给每个业务和分公司提供虚拟安全服务。通过Iaas平台，可快速

11、创建计算资源，包括虚拟机、存储磁盘、私有网络、ip等，物理资源可通过快捷的方式加入iaas的纳管范围。2.1.5 PAAS层为了能够支持业务的长期发展，使软件业务能够持续的扩展和迭代，平台的各服务组件由具备统一管理能力的PAAS平台进行支撑。PAAS平台采用Docker 容器化技术，以及基于kubernetes的服务编排技术。容器技术可以对主机资源进行颗粒化切分，容器具有良好的隔离性，不同的应用运行在各自容器上避免了环境依赖和软件冲突问题。容器是轻量的运行环境，可快速启动和停止，可对容器实例进行快速复制扩展。Kubernetes是企业级的容器编排架构，可以对大量容器进行跨主机管理和调度，可以把

12、众多主机集群连接在以前组成资源池。借助Kubernetes可构建完整的容器平台方案，包括容器管理、资源管理、虚拟网络，存储支持等。Kubernetes提供的平台级的负载均衡、服务发现、内网域名等功能可为服务运行提供良好的支撑。PaaS平台系统由统一的控制面板进行管理，使用者可在服务管理和基础设施管理上平滑切换。计算资源和应用服务可进行迁移备份、网络设置、服务发现、实例伸缩、服务编排等操作。平台可为应用服务提供一键部署、服务扩展、实例伸缩、服务发现、负载均衡等能力。应用服务以容器的方式运行，服务所需资源可通过添加集群主机的方式进行快速资源扩展。平台应以集群的方式形成资源池，应用可通过平台的调度获

13、取资源分配。当应用异常或所在主机异常时，可动态分配新的资源，即应用可进行异常后的跨主机自动迁移。通过Iaas平台，可快速创建计算资源，包括虚拟机、存储磁盘、私有网络、ip等，物理资源可通过快捷的方式加入iaas的纳管范围。2.1.6 大数据层深信服一站式大数据智能分析平台为用户提供一套完整的大数据平台解决方案，保持开放性，并在可靠性、安全性、管理性、高效性方面进行了增强。提供高性能、高可用的大数据分布式存储计算引擎、一站式大数据开发工厂和智能运维平台，可提高大数据应用开发和交付的效率。提供机器学习和人工智能的框架和基础算法库，支持用户画像、知识图谱、深度学习、文本分析及更多企业级应用的构建。提

14、供数据开发和使用全流程的数据安全解决方案，支持用户打造企业级大数据中心的安全方案。2.1.7 云管理层云计算中心具有IaaS、PaaS、SaaS等众多的服务模型，提供计算服务、存储服务、乃至整合各种资源的综合性服务，其资源的构成更加复杂、规模更加庞大。为了提高易用性和可维护性，各种资源构成之间的关系复杂。为了保证云计算中心的服务质量，对于众多用户资源配给的调整也要求更精准的、更及时。这些要求已经不是依靠运维人员的能力所能满足的，需要采用更加智能化的自适应运维管理。云计算中心运维管理要适应云服务对资源管理所提出的新需求：紧耦合的资源管理云计算中心采用资源综合管理，即将系统中的计算、存储、网络等资

15、源视为整体系统，实施统一管理，这有利于优化整体性能、精确定位问题、是实现动态资源调度的重要因素。多维度的资源管理云计算中心的资源具有多种视图，例如物理资源视图、虚拟资源视图、虚拟组织视图，因此，云管理也应该是多维的。云运维与管理层主要面向云的管理员，对整体业务运行状态进行可视化的监控。可以支持企业云上云下业务的统一管理、业务编排、资源流动和混合云层面的容灾，同时对云平台提供给分子公司用户的云服务进行配置与管理，例如：服务目录的发布，组织架构（管理）的定义，多租户用户的管理、云业务流程定制设计以及资源的配额与计费策略定义等。同时，还可以提供基础的设备管理、配置管理、镜像管理、备份管理、日志管理、

16、监控管理和报表服务等，充分满足云管理员对云平台的日常运营维护需求。2.1.8 云安全云计算中心实现了用户、应用、数据的高度集中，安全性是客户选择云计算时要考虑的重要因素，因此应该特别重视安全方面的问题，把安全系统建设作为一项重要工作加以实施。同时，云计算中心也是资源集成度很高的综合系统，其中涉及到云计算、云存储、云基础设施等多种资源，包括物理资源、虚拟资源池、虚拟组织等多个层面，因此云安全平台也应该针对多类型、多层面的资源实时保护，整合网络安全、系统与应用安全、数据安全等众多安全防护手段，提供多层次全方位的安全防护和完备的安全管理与监控功能，为云计算中心提供立体的云安全平台。2.1.9 利旧规

17、划项目建设应充分考虑利旧，建设新系统并将业务系统迁移至新系统之后，先前采购的设备应继续利用，避免浪费已有投资。主要包括以下几个方面：服务器设备：经过性能和稳定性衡量之后，可以用来资源池化并用于承载重要性稍差的业务系统；存储设备：可以用来做容灾，以充实存储空间；网络设备：经过性能和稳定性衡量之后，可以用来和新购网络设备一起组成云平台的网络体系。2.2 建设思路和阶段性目标按照集团业务实际规划、当前IT建设现状，本次的集团云方案落地，计划分两期建设交付。2.2.1 第一期建设建设XX集团云，统筹规划XX集团云基础设施建设，建成统一、完善的XX集团云平台，实现XX集团核心业务的大集中，提升集团业务网

18、络的安全级别，提升集团数据资产开发利用水平。基础设施即服务（IAAS）平台建设主要包括如下部分：机房子系统建设；计算资源池建设；存储资源池建设；网络资源池建设；云管理平台建设；数据库子系统建设；云安全中心建设；数据备份子系统建设。同时，现有的业务系统，有条件迁移的系统，要规划分批次和层级的逐步向云计算平台上进行迁移；开展新业务的规划和部署等工作，将这些新建业务应用全部部署和运行于云平台。另外，可以从安全和高可用的角度出发，规划和建设XX云平台灾备中心，根据实际情况逐步实现集团核心数据容灾到业务容灾目标，实现政务系统的高安全、高可靠性。2.2.2 第二期建设基于基础设施即服务的基础上，完善信息资

19、源的整合和共享，搭建信息资源融合服务平台，实现信息资源服务和多部门资源的融合共享目标。（一）平台即服务层（PaaS）建设平台即服务层建设主要是构建统一的业务开发与运行环境，是一系列中间件的组合，包括数据交换平台、地理信息系统平台、数据共享服务平台、身份认证与访问控制平台以及云数据库平台等，全面实现跨业务部门协同工作、共享整合的目标。一方面，对云计算中心的基础设施、数据封装成为可调用的服务，保证服务的重用性及可组合，另一方面为应用开发提供统一的支撑，便于快速开发应用系统，使得业务系统的变化能够及时响应现实中业务流程的快速变化。（二）数据资源即服务（DaaS）建设数据即服务层是云平台建设的核心，主

20、要是建立集团统一的数据架构体系，深入融合集团信息资产，提供有效地综合数据挖掘，通过数据服务化封装，为各部门提供综合数据服务。（三）软件即服务层（SaaS）建设另外，在一期工程建设的基础上，建立统一的应用中心，建立集团二级单位的应用系统标准化的申请、发布流程，并借助云平台提供的基础设施服务、数据服务和平台服务的能力，全面构建满足各部门需求的业务应用。第3章 关键技术路线选择本次计划采用云计算的技术架构，对云计算架构做如下技术预研：3.1.1 基于超融合架构构建基础设施服务基础设施即服务是云平台的基础服务。根据集团业务的性能和存储要求，根据集团云平台建设的基础及发展需求、建设要求。基础设施即服务的

21、建设需要为集团业务系统可靠性、稳定性、灾备容灾做好充分的技术设计。也要为各部门数据融合共享、业务协同奠定基础，建立整个云平台的调度及运维中心。既可以实现业务的稳定、高性能运行，多数据中心灾备容灾业务切换，又能够实现各租户各业务的隔离和管理、生命周期管理、运维管理系统、资源及业务的编排、计量审计特性等一些列符合企业需求的功能特性。目前，参考各个集团产业当前的普遍技术趋势，以及当前各个运营商、公有云平台的技术趋势。选择采用超融合基础架构。超融合架构是一种将计算、网络和存储等资源作为基本组成元素，根据系统需求进行选择和预定义的一种技术架构，具体实现方式上一般是指在同一套单元节点（x86服务器）中融入

22、软件虚拟化技术（包括计算、网络、存储、安全等虚拟化），而每一套单元节点可以通过网络聚合起来，实现模块化的无缝横向扩展（scale-out），构建统一的资源池。计算、存储、网络和虚拟资源都可通过高可用性和分布式软件进行池化，无需依赖专有硬件。3.1.1.1 服务器虚拟化技术服务器是云计算平台的核心，其承担着云计算平台的“计算”功能。对于云计算平台上的服务器，通常都是将相同或者相似类型的服务器组合在一起，作为资源分配的母体，即所谓的服务器资源池。在这个服务器资源池上，再通过安装虚拟化软件，使得其计算资源能以一种云主机 的方式被不同的应用和不同用户使用。深信服aSV虚拟化平台作为介于硬件和操作系统之

23、间的软件层，采用裸金属架构的X86虚拟化技术，实现对服务器物理资源的抽象，将CPU、内存、I/O等服务器物理资源转化为一组可统一管理、调度和分配的逻辑资源，并基于这些逻辑资源在单个物理服务器上构建多个同时运行、相互隔离的虚拟机执行环境，实现更高的资源利用率，同时满足应用更加灵活的资源动态分配需求，譬如提供热迁移、HA等高可用特性，实现更低的运营成本、更高的灵活性和更快速的业务响应速度，如下图所示：3.1.1.2 存储虚拟化技术在本次云数据中心建设方案中，采用分布式存储技术构建统一的存储资源池，可以形成可横向扩展（Scale-out）的云计算基础架构。在业务应用区部署深信服aSAN存储方案，运行

24、在这种架构上的云主机不仅能够象传统层次架构那样支持vMotion、DRS、快照等，而且数据不再经过一个复杂的网络传递，性能得到显著提高。由于不再需要集中共享存储设备，整个云平台基础架构得以扁平化，大大简化了IT运维和管理。利用aSAN方案构建云平台存储资源池，有效利用服务器资源，降低能源消耗，帮助企业实现IT环境的节能减排。aSAN方案的逻辑架构如上图所示。这种架构的基本单元是部署了虚拟化系统的x86标准服务器。在提供虚拟计算资源的同时，服务器上的空闲磁盘空间被组织起来形成一个统一的虚拟共享存储：虚拟存储系统。虚拟化存储在功能上与独立共享存储完全一致；同时由于存储与计算完全融合在一个硬件平台上

25、，无需象以往那样购买连接计算服务器和存储设备的专用SAN网络设备（FC SAN或者iSCSI SAN）。3.1.1.3 网络虚拟化技术服务器虚拟化技术的出现使得计算服务提供不再以主机为基础，而是以云主机为单位来提供，同时为了满足同一物理服务器内云主机之间的数据交换需求，服务器内部引入了网络功能部件虚拟交换机vSwitch（Virtual Switch），如下图所示，虚拟交换机提供了云主机之间、云主机与外部网络之间的通讯能力。深信服网络虚拟化aNet，通过提供全新的网络运营方式，解决了传统硬件网络的众多管理和运维难题，并且帮助数据中心操作员将敏捷性和经济性提高若干数量级。深信服网络虚拟化aNet

26、方案通过和服务器虚拟化aSV相结合，在虚拟机和物理网络之间，提供了一整套完整的逻辑网络设备、连接和服务，包括分布式虚拟交换机aSwitch、虚拟路由器aRouter、虚拟下一代防火墙vNGAF、虚拟应用交付vAD、虚拟vSSL VPN、虚拟广域网优化vWOC等虚拟网络、安全设备；然后，还可以支持VXLAN等增强网络协议，实现和物理网络的无缝对接，简化网络的配置管理；此外，还可以通过虚拟化管理平台，实现网络拓扑部署、网络故障探测等网络管理功能。3.1.2 给予统一云管实现云平台统一运营运维由于集团业务业务快速发展的特点，计算资源池建设中需要充分体现动态化、弹性化的特征，做到能够根据业务部门实际需

27、要，动态分配计算资源，并需要提供弹性计算资源的管理工具，从而实现计算资源的可视化管理。需要建设单独的云管理平台（CMP）平台，来对资源的弹性管理、用户管理、资源申请、计量、运维监控进行统一管理，建立起面向全集团所有分公司的整体资源管理平台。同时该平台必须充分考虑管理的兼容性，考虑长期规划过程中，需要纳管公有云，满足多云管理的需求。云平台自服务及服务运营平台帮助企业实现IT资源的全生命周期管理，提供向导式的服务目录产品定义，内置可定制的多级流程引擎，可与企业内部 OA 系统对接，提供统一的中间件管理、IP 池管理及配额管理深信服企业云管理平台aCloud，将深信服超融合架构构建的虚拟化的全资源池

28、，和第三方的虚拟化平台构建的资源池，通过流程化、自动化的方式，实现资源即服务的交付方式，交付给最终的业务部门或者业务使用者，并实现平台自动化的运维。深信服的企业云管理平台，可以实现对第三方虚拟化管理，比如Vmware的vCenter等。管理平台采用分布式架构设计，即企业云架构集群中，每个节点都可提供相应的管理服务，任何单一节点故障都不会引起整个平台的管理中断。并且平台可提供分级分权的管理，针对不同的平台用户，可以各自使用和管理平台管理分配给的对应资源，并且针对每种资源对象，可以部署更加精细化的权限管理和控制，极大了满足了企业云平台，构建云化IT架构中，多租户使用IT资源的灵活性。3.1.2.1

29、 多云资源管理深信服企业级云管理aCloud可以同时兼容VMware、KVM、阿里云、腾讯云等主流虚拟化平台，并支持对主流的硬件资源实现统一集中管理。满足集团长期发展下对各类云平台的需求。通过云管理平台为租户屏蔽异构虚拟化平台差异，在多虚拟化平台环境下，能为租户提供相同的云主机资源服务，并实现对于异构虚拟化平台的统一管理。3.1.2.2 分级分权管理据企业云业务划分需求，可以将管理员划分为多级进行管理，不同的级别具有不同的管理权限和访问权限。系统管理员：或者称之为超级管理员，能够创建和管理数据中心内的所有云资源。对于公有云，系统管理员是运营商数据中心管理员；对于私有云，系统管理员是企业或机构的

30、IT管理员。组织管理员：或者称之为虚拟数据中心（vDC）管理员，拥有对组织虚拟数据中心的管理权，包括组织内部虚拟机的运行管理、镜像管理、用户管理以及认证策略管理等。组织管理员由系统管理员创建。对于私有云，组织管理员是内部部门的IT管理员。最终用户：权限最低，允许最终用户通过内部网络访问自己专属的虚拟机，并允许通过自助服务门户向组织管理员申请虚拟资源。最终用户由组织管理员创建。除此之外，深信服企业云管理平台还提供了管理员分组的概念。管理员分组是多个管理员的集合，每一个分组又可以配置多个子分组，不同的子分组可能具有不同的访问权限，但属于同一个分组或子分组的管理员具有相同的访问权限；同时支持分组后的

31、的操作员对应资源的资源配额。3.1.2.3 IT自服务和流程自助式服务管理为用户提供了一个多租户的、可自助的IaaS服务，是一种全新的基础架构交付和使用模式，深信服企业云管理平台提供的虚拟化资源池功能，使IT部门能够将IT物理资源，抽象成按需提供的弹性虚拟资源池包括虚拟机、存储、网络、网络安全，以消费单元（即组织或虚拟数据中心）的形式对外提供服务，IT部门能够通过完全自动化的自助服务访问，为用户提供这些消费单元以及其它包括虚拟机和操作系统镜像等在内的基础架构和应用服务模板。这种自助式的服务真正实现了业务的敏捷性和高效性，并极大程度地提高了业务的快速创新能力。3.1.2.4 自动化运维深信服企业

32、云，提供一键式的自动化运维手段，通过平台提供的一键故障检测、一键健康检测，通过平台提供故障定位分析，能够快速分析出问题节点，并能够指出具体的原因和修复的指导、而平台提供的一键健康检测，能够快速分析出平台潜在的业务风险，包括各种和资源性能或者容量风险，平台管理管理和租户管理员，可以根据系统建议，可以选择手动或者自动的方式，实现业务的故障排除和资源优化。3.1.3 基于云等保2.0标准构建云安全建设体系根据信息安全技术 网络安全等级保护基本要求 第2部分：云计算安全扩展要求征求意见稿中的要求，云安全是云平台建设过程中信息化部门所需承担的基本、必须义务。提供IAAS服务的云服务方，需保护的对象涵盖物理基础设施、服务器、网络和安全设备；虚拟化平台系统、资源池、云管平台，以及为租户提供的镜像、模板等。如下图所示：按照云等级保