某电子政务云资源使用申请书.docx

1、某电子政务云资源使用申请书XXXX电子政务云资源使用申请书项目建设单位： XXX单位日 期： XXX年X月XX日第一章项目简介1.1项目名称、项目业主单位1.2项目建设内容概况1.3项目负责人及联系电话第二章项目总体目标2.1建设原则2.2总体目标与分期目标2.2.1总体目标2.2.2分期目标2.3总体建设内容与规模2.4本期工程建设内容与规模第三章 项目本期建设方案3.1功能与性能需求3.1.1系统功能需求分析3.1.2系统性能需求分析3.2网络系统设计3.2.1组网详细设计网络拓扑图3.2.2数据核心区3.2.3应用负载均衡器设计3.2.4网络管理区域设计3.3应用系统设计3.3.1应用综

2、合支撑平台功能需求3.3.2应用平台系统的划分.6.7.1.1.4.4.515.5151.61.6.1.8.8.193.4系统安全设计3.4.1安全域的划分19342防火墙部署设计.1.9.3.4.3防火墙策略设计2.0.3.4.4网络的智能主动防御213.5信息与资源共享233.5.1本期项目应用去公共资源平台情况及原因说明2.3.3.5.2项目资源共享情况表233.6设备与软件配置233.6.1软硬件件选型原则233.6.2软件配置清单243.6.3硬件配置清单24第四章 项目实施计划安排25第五章总投资估算和资金筹措265.1总投资估算及有关说明265.2项目总投资估算265.3资金来源

3、与落实情况26第六章主要结论和建议2.7.第一章项目简介1.1项目名称、项目业主单位XXX单位对外服务公众平台 ，简称XXX单位对外服务公众平台1.2项目建设内容概况以发展智慧城市的国家战略为指导思想 ，以现代企业管理和项目管理知识为理论基础 ，结合XX中心的实际情况，通过与专业信息管理软件公司开发合作 ，开发出一套灵活方便、安全先进、涵盖全面的对外服务器专业信息化管理系统 ，以达到支持智慧 XX区的合理建设、加强企业经营管理的目标。系统将开发出XX中心、XX馆和XX中心三个模块，下设约XX 个子系统，包括微信平台和手机端 APP的建设，利用XX中心原有的房间进行改造成系统机 房，约为XXX

4、m2,包括机房的配套系统建设 。存放系统的服务器约为 XX台。预计建设工期 为XX个月，以上软硬件以及建设费用总计约为 XXX万元，资金来源为政府拨款。1.3项目负责人及联系电话项目负责人：XXX联系电话:XXXXXXXXXXXX第二章项目总体目标2.1建设原则1实用性原则系统的性能指标应能够满足网络内各项业务对处理能力的要求 。整个系统的性能应当是可靠的，便于管理的。能够最大限度的满足实际工作的要求 ，把满足用户的业务管理作 为第一要素进行考虑，采用集中管理控制的模式，所采用的设备应当是易于管理维护 。2先进性原则设计立足先进技术，采用的先进的系统结构 、开放的体系结构，以适应大量数据传输

5、以及多媒体信息的传输 。使整个系统在国内三到五年内保持领先的水平 ，并具有长足的发展能力，以适应未来网络技术的发展 。，和系统使用当中的科学性 。3可靠性原则整个网络方案选用高可靠性的网络设备 ，并在设计上采用备份冗余式的设计 ，保证了网络的可靠性。要为系统以后的升级预留空间 ，系统维护是整个系统生命周期中所占比例最大的，要充分考虑结构设计的合理 、规范对系统的维护可以在很短时间内完成 。4安全性原则在系统设计中、既考虑资源的充分共享、更要注意信息的保护和隔离 ，即系统的安全 性和保密性。5高效性原则在保证系统先进、可靠和高性能价格比的前提下 ，通过优化设计达到最经济性的目标稳定性及可靠性、易

6、用性、灵活性和兼容性、可持续发展性及可扩展性 、性能与成本的良好平衡2.2总体目标与分期目标2.2.1总体目标将XX地区预约、XX地区管理，XX馆预约，XX馆管理，会议室管理、会议室审批和 会议室信息显示整合在一起 ，减少人员线下操作，提高工作效率统一管理协调会议室资源，提高XX中心行政管理能力；合理高效使用会议室资源，加 强领导对企业资源的掌控 ；了解会议室的使用情况，打造公平透明的会议室管理 2.2.2分期目标1） 利用现有网络资源，建立领导指示、人员操作、会议管理和数据处理等一体化的 XX地区、会议预定系统2） 建成的XX地区、XX馆、会议预定系统成为能被充分利用 ，方便实时实现多组业务

7、交流（可同时满足多个会议同时召开 ，互不影响），既可以满足正式严肃的群体会议交流需要，也可以随时随地解决多方的办公协作 3） 内部培训：教学工作持续发展源动力在于如何提供教职工自身综合素质 、相关教学技能，通过内部培训也是提高综合素质的主要手段之一 ，通过系统相关功能，能有效的进行内 部培训，同时对通过综合视频系统进行4） 上级领导可以掌控整体 XXX单位对外服务公众平台系统，直接调控整体会议协作情况。5） 协同办公提升绩效管理。用XXX单位对外服务公众平台系统，可以加强管理力度 增强竞争力；统一规划、逐级管理、进一步加强内部沟通。6） 领导出差在外用手机客户端可以直接进入到 XXX单位对外服

8、务公众平台系统中来实现移动办公管理”。2.3总体建设内容与规模本系统的总体建设任务是实现 XXX单位对外服务公众平台系统的信息化 、系统化、规范化。2.4本期工程建设内容与规模本期工程的建设内容是以先进成熟的计算机和通信技术为主要手段 ，建成体系结构先进、系统功能齐全、业务管理规范、信息规范共享、应用操作简便.并充分考虑与上级及 下级各级部门的计算机网络信息管理系统的资源共享 、信息传递，实现企业内部信息资源化、传输网络化、管理计算机化和决策科学化 ，形成一个合理的企业管理信息化的网络基础平台。实现XX中心、XX馆和XX中心工作流程化，便捷化。完成XX中心和XX馆的参观预 定任务，展品管理，展

9、项管理和XX中心的会议预定流程，会议室管理等操作，广泛服务社 会大众群体，方便用户预约，使用，支付，增加我们的自身产品宣传 ，扩大影响力，增第三章项目本期建设方案3.1功能与性能需求3.1.1系统功能需求分析一、XX地区部分1前台页面部分XX中心的历史，组织，法律法规等信息介绍；最新的新闻资讯信息；展品的介绍；游客参观导览信息；XX地区最新技术的研究和学术的讨论 ；相关技术项目报告会议的信息 ；实现游客注册登录，对客户自身信息的管理和预约的管理 ；实现游客留言板等互动模块 ；提供短信，电话，微信，手机客户端等多种预约参观的方式 ；手机APP端实现掌上导览服务。2后台管理部分后台主要是提供管理员

10、访问界面 ，能够管理前台的各个网页的信息注册用户信息管理；网上预约信息管理和审批 短信通知系统的管理；微信系统的管理；展品的管理；参观信息的发布管理；管理员用户对系统用户的管理 ；管理员操作的日志管理；访问者统计管理；数据库的管理；网页图片和视频的管理；用户留言板等互动模块的管理 ；手机APP端的后台管理模块；系统初始化功能；3数据库需求自动和手动备份功能；数据表关系视图的级联删除 ；实现自动清除冗余文件；定期删除保存的文件；自动监控功能；存储多个服务器，自动同步；4系统安全性需求，建立远程监控。传输加密，客户信息加密，实现密码的管理、XX馆部分1前台页面部分XX馆的信息介绍；. 专业专注最新

11、的新闻资讯信息 安全展项的介绍；实现游客注册登录，对客户自身信息的管理和预约的管理 ；实现游客留言板等互动模块 ；提供短信，电话，微信，手机客户端等多种预约参观的方式 ；2后台部分展项的管理；预约电话与电脑联机，预约成功后实现自动推送、提醒等服务功能；三、会议部分1前台页面部分XX中心简介；XX中心新闻；游客注册登陆并管理信息 ；会议预约流程；会议室的介绍；会议室实时状态图；会议方案服务；会务信息；2后台管理部分后台管理基本同XX地区部分的后台管理需求相同 ，下面列举一下会议特殊的 几点流程需求。1） 后台会议室实时状态图管理 ；2） 会议预定审批流程管理；3） 会议室信息管理。4） 会议显示

12、屏信息发布管理5）会议预定信息管理 6）会议预定统计3安全策略同XX地区部分。4手机APP部分需要实现能掌上展示网站的前后台大部分的功能 ，并实现掌上办公。3.1.2系统性能需求分析根据需求分析我们可以归纳系统所应要求的性能 ：1系统响应时间：响应时间指完成目标系统中的交互或批量业务处理所需的响应时间根据业务处理类型的不同 ，可以划分为三类：交互类业务、查询类业务和大数据量批处理类业务，分别给出响应时间要求的参考值 ，包括峰值响应时间、平均响应时间，时实查询。1） 交互类业务，交互业务具有较高的响应要求 。2） 查询类业务，如登记资料查询、申报表查询等。查询业务由于受到查询的复杂程 度、查询的

13、数据量大小等因素的影响 ，需要根据具体情况而定 ，在此给出一个参考范 围。如有特殊要求，在具体开发文档中单独给出响应时间要求 。3） 大数据量、批处理业务处理需要的相应时间 。2系统的可靠性系统应保证在正常情况下和极端情况下业务逻辑的正确性 。1） 无单点故障 系统应不受任何单点故障的影响 。2） 故障恢复 系统应能够在半小时内从故障中恢复 。3） 灾难恢复 当灾难被发布后 （being declared ），核心系统应在2小时内恢复。3可扩展性可扩展性是指系统具有适应业务需求变化的能力,当系统新增业务功能或现有业务功能改变时（业务流程变化、人员的变化、规则的改变、代码改变、界面的改变等），不

14、可 避免将带来系统的改变，好的系统应在系统构架上考虑能以尽量少的代价适应这种变化 ，应尽可能的保证业务变化造成的影响局部化 。4易用性易用性是指系统易于使用的程度，主要有以下几方面：1） 系统所有的业务功能界面风格和操作流程一致 ；2） 业务表单尽量做到所见即所得 ；3） 信息录入能够完全通过键盘完成 ；4） 界面美观、简洁、高效；5） 界面各部件的布局应该保持合理性和一致性 ；6） 常用操作有快捷键支持，大部分操作能够在小键盘内完成 ；7） 在前端还应提供一些智能化的校验功能 提供友好联机的帮助信息，对各种状态和 操作结果进行及时的反馈和提示 。5伸缩性统伸缩性是指系统规模或容量扩大时 ，能

15、方便地在各个层次进行扩充。系统规模扩大，例如会议预定系统，由于数据量和访问量都很大，有可能从核心征管系统中独立出来形成 子系统。核心系统应该满足从统一入口的访问 ，能容易地分流到新增的子系统而不改变原来的架构。当系统扩容时，可以方便地通过增加各层的服务器 （如WEB服务器、应用服务器、数据库服务器）数量，实现应用负载均衡，将系统的应用负载扩展至多台服务器承担 ，从而有效提高系统总体的负荷 ，保证系统合理的响应时间和吞吐量 。6可用性本系统的业务满足 7 X24小时可以使用。7可移植性可移植性是指本系统可运行在不同的硬件平台 、不同的操作系统、不同的系统软件. 专业专注上。8可管理性可管理性是指

16、系统接受管理和监控的程度 ，可管理性主要包含三个层次 ：硬件设备和网络设备的可管理性；服务器的可管理性；应用系统的可管理性。硬件设备和网络设备，如主机、路由器、交换机等，都要求提供标准的管理接口 ，可 以方便地对其进行远程管理，读取设备的状态和对设备进行配置 。数据库服务器和应用服务器等类型的服务器 ，也要求提供相应的管理接口 ，可以方便地对其进行远程管理，读取服务器的状态和对服务器进行配置 。应用系统也要求构件提供管理接口 ，以方便对系统进行管理和优化 。无论是哪个层次 的可管理性，都要求提供标准的管理接口 ，才能进行管理；而且要实现统一的、一致的日 志功能，方便对系统进行跟踪和检查 。9可

17、重用性可重用性主要是指软件产品在不同的系统开发中可以被重复利用的程度 。要提高系统的可重用性，应采用构件化的设计思想 ，即在提供标准化的服务接口的前提下可以替换各 种可选的实现，而不会影响系统其他部分的实现，以此将系统可重用部分可能的变更充分 的局部化。10可维护性可维护性指软件能够被简单方便地修改和升级 ，包括可读性、可修改性。可读性可修改性要求在系统的开发过程中要有规范 、清晰、完整和详细的文档，如业务需求阶段要有业务用例模型、业务活动图、业务规则、表征单书等；系统需求分析阶段要求有系统用例 模型、用例文档、规则说明等；概要设计阶段要求有宏观设计文档 ；详细设计阶段要求有类图、时序图等；编

18、码阶段要求有程序设计说明 、变量定义说明等；测试阶段要有测试用 例、测试记录等。易于升级要求数据库、应用服务器、开发工具能方便地进行版本升级 ，具有向下兼容性；易于升级也要求客户端的升级工作量较小 ，在这方面浏览器客户端的维护比 GUI客户. 专业专注端要小得多。3.2网络系统设计网络系统作为本项目的基础设施,采用市场主流产品和业界成熟技术 ，并充分考虑系统的扩展能力、容错能力和纠错能力，确保整个网络基础设施运行稳定、可靠。3.2.1组网详细设计网络系统从功能上划分为接入区 、应用服务区、数据核心区、运维管理区和测试区 结合上述的业务分区，按照结构化、模块化、虚拟化的设计原则，实现网络系统的高

19、性能 高可用、易扩展、易管理的建设目标。也矗网络拓扑图322数据核心区数据核心区用于服务器虚拟化、中间件集群、数据库集群及存储虚拟化。为保证网络 的一致性，便于后续运维管理及备品备件 ，这些区域采用满足相同要求和技术的交换机组网。接入交换机下行与服务器互连链路为千兆 ，上行与核心交换机可为万兆捆绑或者千兆捆绑，配合核心交换机进行跨设备捆绑 ，消除环路，避免STP协议的部署。3.2.3应用负载均衡器设计设备的作用主要是负载均衡 。工作方式为使用虚拟服务器 (Virtual Server )的IP地址统一接收用户访问请求，通过一种负载均衡方式，将请求分发到几台实际的服务器上 。3.2.4网络管理区

20、域设计网络管理是保证一个大型网络系统正常运行的重要环节 ，需要有全局的网络配置工具及时地发现网络问题，监控网络流量，及时调整参数，分析预测未来。因此我们配备一套 专业、完善的网络管理系统，来保证网络系统的正常运行 。这套系统有全局性的网络配置工具，具备快速、方便地配置与监控网络设备的能力 ，能够监控网络流量，尽早发现网络状态的变化，能够及时调整参数，随时提供连接和服务，并能及时排除潜在故障。基于对本系统的了解以及分析用户对管理系统的需求 ，本系统项目的管理系统具 有:1.主机和网络管理系统应以业务为导向 ，保证系统运行的高稳定性 。2.管理系统易于使用。3.管理系统提供丰富的管理特性 。4.管

21、理系统具有很好的开放性，支持业界标准，并能通过开放的接口与第三方网络及 主机设备管理软件集成。本系统项目中的所有主机和网络资源均可通过直观的人机界面进行监控 、管理。核心监控区通过 SNMP、telnet、ssh等协议进行对网络设备、安全设备的管理，通过 防火墙来限制对应用服务区和核心区的访问权限 。同时只有在网络管理区的 IP地址才能允许访问到每个网络设备及安全设备管理 IP。网络管理是对多个系统进行层次化管理 ，对若干台UNIX小型机和Linux、Windows ，以及服务器、中间件、数据库及有关的应用软件，通过管理软件进行统一、集成的监控管 理，更好地控制和管理平台的 UNIX系统及应用

22、资源，变更传统的被动应答故障成为前瞻式监测的管理方式，及时了解出现的问题，在条件允许的情况下，还能够实现自我修复。网络管理是对整个项目的网络设备进行管理 。对网络管理软件的要求是 ：使用灵活的组件技术，支持多种操作平台，并能够与多种通用网管平台集成 ，实现从设备级到网络级全方位的网络管理，对网络、主机、操作系统、数据库和应用的状态及其相应的日志文件 的监控。3.3应用系统设计3.3.1应用综合支撑平台功能需求XX中心的业务流程往往同时涉及到多个应用系统 ，因此要求这些系统能够协同，但接口、架构的不统一使得这些本应协同工作的应用系统成为一个个 信息孤岛”。于是，与企业应用集成（EAI）技术相类似

23、的政务应用集成 （GAI）技术应运而生，它可以通过中间件作为粘合齐睞连接各部门内外各种业务相关的异构系统、应用以及数据源一个完整的应用综合支撑平台应包含以下五个层面的内容 ：（1） 用户交互：实现应用用户界面统一的接入与安全机制 ，利用门户技术进行构 建。（2） 信息集成：实现数据集成，在异构的数据源之间实现数据层的直接整合 。（3） 应用连接：通过HUB-SPOKE、BUS架构，实现应用与应用之间的连接 ，完成相关的数据路由与数据格式转换 。（4） 业务流程整合：实现业务流程管理，包括工作流管理和自动化流程两个方面 。（5） 构建整合：这个层面包含两个部分，一部分是构建与现有应用兼容的新应用

24、 ，另一部分是对现有资源进行重用以适应新环境的需要 。其中的信息集成、应用连接及业务流程整合是目前应用综合支撑平台建设中最为核心 和关键的三个层面。平台应具有流量控制、优先级别控制、断点续传、独立队列处理、交换任务和管理任 务分离、同步/异步传输机制、并发/串行处理功能、支持大规模并发处理、支持多级交换 模式及多级交换中心的应用模式、核心交换功能基于XML和中间件技术实现、提供推和拉 的处理模式等功能。应提供数据填充、过滤、转换、路由等多种数据加工能力。332应用平台系统的划分P仃耀管母系统1数统r 1二丨工安全管理耕|r匚ZI信息共事系就匚ZInz Zl 平佃理系歩ICZZI J整个应用平台

25、由多个层次支撑，具体的技术实现，可以将其划分为多个系统，分别建 设完成。包括：信息交换系统：实现与已有的各类信息资源的连接，并实现各类信息资源的交换；信息共享系统：在信息交换的基础上，利用目录系统实现资源的发布、查询与获取服 务；目录管理系统：管理各类基础资源的描述信息，包括用户、数据、服务与应用四类资 源的管理；数据库管理系统：管理由信息交换系统沉淀形成的基础数据；应用支撑系统：封装平台中各个系统的服务接口 ，适应上层应用的需求，开放服务接口形式；安全管理系统：利用信息交换与共享业务流程管理引擎，集成各部门的安全管理系统并在此基础上，利用成熟产品实现安全集中管理控制；平台管理系统：集成各个系

26、统提供的管理功能，实现统一的监管控制。3.4系统安全设计网络级安全是网络基础设施在提供连通性服务的基础上所增值的安全服务 ，在网络平 台上直接实现这些安全功能比采用独立的物理主机实现具有更为强的灵活性 、更好的性能 和更方便的管理。在本次数据中心的设计范围内主要是访问控制和隔离 （防火墙技术）。3.4.1安全域的划分本项目安全域的划分建立对项目应用业务的分析基础之上 ，因而与前述的各个项目的组成部分的划分原则一致。实际上按SODC的虚拟化设计原则，每一个虚拟服务区应当对 应唯一的虚拟防火墙，也即对应唯一的一个安全域。具体原则如下：1同一业务一定要在一个安全域内2有必要进行安全审计和访问控制的区

27、域必须使用安全域划分3需要进行虚拟机迁移的虚拟主机要在一个安全域中4划分不宜过细，安全等级一致的业务可以在安全域上进行归并3.4.2防火墙部署设计各个安全域的流量既需要互访 、又必须经过严格的访问控制和隔离 ，按照传统的网络设计，在每个网络应用和交换平台之间的边缘部署防火墙设备来进行安全保护 ，这样需要大量的防火墙，性能也受限于外部连接接口的带宽 ，还增加了网络管理的复杂度 ，未来也难以扩展。因此我们使用内置于交换机的高性能防火墙模块 ，可以不考虑复杂的连线而方便的进行安全域划分，容易扩展和管理，也提高了整体性能。每个安全域有自己的防火墙 ，每一个安全域就只用考虑自己的一套出入策略即可 ，安,

28、这样整个防火墙的策略就全域复杂的相互关系变成了每个安全域各自的一出一进的关系变得模块化、清晰化和简单化了 。我们在诊断策略的问题时，只要到相关的安全域去看其 专用的防火墙所使用的策略 ，就容易找到问题所在。我们在本次防火墙设计中将充分使用虚拟防火墙技术。这里的虚拟防火墙功能是指物理的防火墙可以被虚拟的划分为多个独 立的防火墙。每个虚拟防火墙有完全独立的配置界面 、策略执行、策略显示等等，所有操作就象在一个单独的防火墙那样 。而且虚拟防火墙还应当具有独立的可由管理员分配的资源，比如连接数、内存数、策略数、带宽等等，防止一个虚拟防火墙由于病毒或其它意外 而过多占用资源。仅仅用VLAN 类的技术划分

29、防火墙是无法起到策略独立性和资源独立 性的目的的，不属于这里所指的虚拟防火墙 。 虚拟防火墙还应当配合虚拟三层交换机来使用。每一个安全域可能内部存在多个 IP子网，它们之间需要有三层交换机进行路由 。但不同安全域之间这样的路由不应当被混同在一个路由表中 ，而应当每个安全域有自己的路由表，可以配置自己的静态和动态路由协议 ，就好像有自己独立使用的一个路由器一样 。不同安全域相互之间仅通过虚拟防火墙互相连接 。最终应当达到虚拟化数据交换中心的使用效果 。即交换机的任何物理端口或 VLAN端口都能够充当防火墙端口 ，同时每个安全域有自己独立虚拟路由器 ，自己独立的路由表和独立的动态路由协议。每个安全

30、域对应有一个自己专用的虚拟防火墙 ，每个虚拟防火墙拥有独立的管理员权限定义安全策略和使用资源 。不同安全域的管理员只负责本区域虚拟防火墙的策略控制管理，而不用关心其它虚拟防火墙的配置工作 ，避免了单一区域安全策略配置错误而对其它区域可能造成的影响 ，从根本上简化大型数据中心管理维护的难度 。343防火墙策略设计不同安全域之间的访问控制策略由于虚拟化设计而只需考虑各个安全域内出方向策略和入方向策略即可。建议初始策略依据如下原则设定，然后根据业务需求不断调整1出方向上不进行策略限制，全部打开2入方向上按最小授权原则”打开必要的服务3允许发自内部地址的双方向的 ICMP，但对ICMP进行应用检查 （Inspect）4允许发自内部地址的 Trace Route，便于网络诊断5关闭双方向的 TCP Seq Randomization ,在机房内的防火墙可以去除该功能以提高转发效率6少或者不进行NAT,保证数据中心内的地址透明性 ，便于ACE提供服务7关闭nat-control （此为默认），关闭xlate记录，以保证并发连接数8基于