私有云建设方案,私有云建设方案及费用

('--目录1、项目概述......................................................................................................32、项目建设规划...............................................................................................52.1、建设原则...................................................................................................52.2、项目建设内容、思路及技术规划..............................................................52.3、技术架构和路线介绍................................................................................72.3.1、资源池化.............................................................................................72.3.2、智能化云管理.....................................................................................83、私有云总体建设方案....................................................................................93.1、建设原则...................................................................................................93.2、总体设计方案..........................................................................................103.2.1、逻辑架构...........................................................................................103.2.2、网络架构（假设）............................................................................113.3、云管理平台设计......................................................................................133.3.1、云管理平台系统架构........................................................................133.3.2、云管理平台功能...............................................................................153.3.3、云管理平台设计...............................................................................213.4、虚拟化设计.............................................................................................253.4.1、服务器虚拟化...................................................................................253.4.2、桌面虚拟化.......................................................................................263.5、安全设计.................................................................................................303.6、计算资源池设计......................................................................................323.6.1、计算资源池技术路线........................................................................323.6.2、计算资源池设计...............................................................................343.7、存储资源池设计......................................................................................343.7.1、存储资源池技术路线........................................................................343.7.2、存储资源池.......................................................................................36----3.8、应用迁移及现有设备利旧.......................................................................363.8.1、应用迁移...........................................................................................373.8.2、设备利旧...........................................................................................38ﻬ1、项目概述云计算是一种IT资源的交付和使用模式,指通过网络（包括互联网Ｉnternet和企业内部网Iｎｔrａneｔ）以按需、易扩展的方式获得所需的软件、应用平台、及基础设施等资源。云计算具有资源池化、弹性扩展、自助服务、按需付费、宽带接入等关键特征。从部署和应用模式来讲,云计算分为公有云、私有云和混合云等。云计算从服务模式上来讲主要包括基础设施即服务（IａaS)、平台即服务(PaａS）、软件即服务（SａaS）等内容。ＩaaS是Iｎfｒastruｃtｕｒｅ-ａｓ-a－Serｖiｃｅ（基础设施即服务)的建成，云计算中心可使用ＩaａS的模式将其资源提供给客户，通过虚拟化技术，虚拟数据中心可以将相应的物理资源虚拟为多个虚拟的数据中心，从而在用户一端看到一个个独立的,完整的数据中心(虚拟的）,这些虚拟数据中心可以由用户发起申请和维护,同时,这些虚拟数据中心还具有不同的资源占用级别，从而保证不同的用户具有不一样的资源使用优先级。ＰaaS是Ｐlatforｍ-aｓ-ａ－Seｒｖice(平台即服务）的简称，ＰａaＳ能给客户带来更灵活、更个性化的服务，这包括但不仅限于中间件作为服务、消息传递作为服务、集成作为服务、信息作为服务、连接性作为服务等。此处的服务主要是为了支持应用程序。这些应用程序可以运行在云中,并且可以运行在----更加传统的企业数据中心中。为了实现云内所需的可扩展性，此处提供的不同服务经常被虚拟化。PaａS厂商也吸引软件开发商在PａaS平台上开发、运行并销售在线软件。ＳaaS是Softwａrｅ-as-ａ-Sｅrviｃe（软件即服务)的简称，一种通过Iｎtｅrnet提供软件的模式，厂商将应用软件统一部署在自己的服务器上,客户可以根据自己实际需求，通过互联网向厂商定购所需的应用软件服务,按定购的服务多少和时间长短向厂商支付费用，并通过互联网获得厂商提供的服务。本次项目为的私有云项目,目标为搭建完成一个面向于内部使用的私有云环境,将各应用系统移植到该私有云上，实现资源的有效利用、动态分配、灵活扩展和统一管理。本方案的写作目的为明确建设所需资源、实现步骤及最终呈现。本方案落地实施后，将完成以下几方面任务：（1）打破IT资源孤立情况，提高资源利用率\uf0b2各业务系统拥有独立的硬件设施被统一管理,形成大的资源池；\uf0b2资源被统一调度,打破同一时段，某些业务系统较空闲造成资源闲置，另外一些系统因业务繁忙，设备超负荷工作的现状；\uf0b2任何时候都可以及时满足各种变化的业务需求，实现按需服务。（2)使运维管理更加容易\uf0b2随着系统数量的不断增长,运维管理的难度比传统模式简单，成本更低；\uf0b2新平台使得对各种资源和系统的监控和管理更加有效；\uf0b2维护人员工作负担减小，工作效率有效提高。(3)提升关键业务系统硬件处理能力\uf0b2业务应用在遇到性能瓶颈时能动态调整；\uf0b2核心业务系统建设较早的设备，在云计算支撑平台上能够得到充分利用，以满足迅速增长的业务需求ﻬ----2、项目建设规划2.1、建设原则项目建设遵循如下几个原则:（1）自主可控原则本次的建设建议采用自主可控技术搭建私有云。在产品的选择上尽量选择国产品牌或者开源可控系统，保障私有云信息安全。（2）开放原则云计算的优势是高性价比，其核心是遵循开放技术路线并大量采用通用技术替代专有技术如Uｎix,这一点Gooｇｌe、Aｍazon等云计算供应商已经证明。云计算建设应遵循开放技术路线，降低投入成本,避免形成对于供应商的锁定。（3）循序渐进原则云计算的建设不是一蹴而就，应循序渐进。在本次建设中,应该本着符合使用来控制规模,如果后续仍然有业务系统需要迁移,可以利用云计算的课扩展性，逐步完成扩展。（4）统一规划和分布实施原则本项目的建设需要通过建设统一的顶层框架，统一规划、统一实施和统一管理,保证项目按照进度、按计划建设。（5）先进性原则本项目的建设，要求技术具有先进性，并保证在未来一段时间内具有先进性和扩展性。2.2、项目建设内容、思路及技术规划云计算项目的建设是一个循序渐进的过程,需要按照步骤有组织有计划的推进，逐步实现建设目标。具体的建设内容包括:（1）搭建私有云,满足基础设施支撑能力需求----采用云计算的最新技术，包括虚拟化技术、设备资源池化技术、分布式并行存储技术、存储虚拟化技术、自动运维技术、安全技术，用软件整合、调度硬件资源,建设具有良好弹性、扩展性、安全性、高可靠、绿色节能、自主可控的私有云，满足业务系统整合、托管、迁移、运营和运维的需求。\uf06c良好的伸缩性,支撑能力随业务变化便捷扩展云计算架构具有良好的伸缩性,系统的规划能够满足近期业务和资源库快速增长的需要，同时云计算中心具备了良好的扩展性能,能够随着业务的快速增长而扩展,能够实现不停机的情况下，在线增加系统的存储、计算资源，改变基础设施支撑能力有限的局面，为业务的增长或变化提供快速响应,实现业务敏捷。\uf06c运营的易管理和易操作性,降低运维压力通过云管理平台,能够对云计算中心的服务器设备、存储设备和网络设备以统一的视图进行管理。云管理平台支持基于策略管理手段，将固定的操作以系统运维策略的方式进行固化管理，一方面实现运维的规范化，降低人为操作错误的发生,另一方面降低运维的压力，使得更少的运维人员保障业务系统的持续运营。\uf06c高可用性，故障不再影响业务的连续性云计算环境下,硬件故障将成为不可避免的现象。因而私有云的设计是基于不可靠硬件保障业务系统的连续性的理念进行设计,也即在硬件发生故障的情况下,也能保障业务系统的连续运转。\uf06e服务器的高可用：虚拟化技术保证虚拟服务器之间的高可用,即使服务器发生故障，支撑业务系统运行的虚拟机能够快速迁移到运转良好的服务器上,保证业务系统不中断。\uf06e存储的高可用：采用热备方式，即使在一个存储节点发生故障的情况下,保证业务系统的运行不受影响，同时也能够快速的重建故障节点。\uf06c业务连续性,保证任何时候业务系统的可用性业务系统迁移到私有云上，能够充分利用云基础架构的动态负载均衡及高----可用特性保证业务的连续性。一方面保证业务系统的压力动态的分不到不同的支撑服务器上，另一方面,保障业务系统部分节点在出现故障的情况下,利用高可用特性保证业务的不中断。\uf06c信息系统弹性，降低突发事件的影响由于突发事件的不确定性，进而会导致业务系统的访问量有突发性特征,这对基础设施的支撑能力提出了更高的要求，否则突发事件往往导致业务系统的瘫痪。将业务系统部署到私有云上,业务系统有突发的高并发访问时，云管理平台将会自动将闲置的计算资源调配给相关业务系统,从而大幅提升业务系统的支撑能力。\uf06c安全性私有云系统不仅可以接管传统信息系统的一切安全设备和措施,而且可以通过云管理平台进行统一的管理。针对云计算中的虚拟化资源，云管理平台通过虚拟防火墙,VPN,VLAN，负载均衡等技术,有效的保障了虚拟化资源的安全性2.3、技术架构和路线介绍在私有云建设中基本可以分为三大部分:资源池化、智能化云管理等。2.3.1、资源池化资源池化就是将计算资源、存储资源、网络资源通过虚拟化技术,将构成相应资源的众多物理设备组合成一个整体，形成相应的计算资源池、存储资源池、网络资源池，提供给上层应用软件。资源虚拟化是对上层应用屏蔽底层设备或架构的资源封装手段，是实现云计算资源池化的重要技术基础。虚拟化技术由来已久，所谓虚拟化是相对于物理实体而言的,即将真实存在的物理实体，通过切分或(和)聚合的封装手段形成新的表现形态。聚合封装是将多个物理实体通过技术手段封装为单一虚拟映像/实例,可用于完成某个业务。例如SMＰ、计算集群（Clustｅr）、负载均衡集群（ＬoadＢaｌance）、RＡIＤ技术、虚拟存储、端口汇聚（pｏrtｔｒuｎk)、交换机堆叠(stacｋ)等。----切分封装是将单个物理实体通过技术手段封装为多个虚拟映像/实例,可用于执行不同业务。例如主机虚拟化、存储分区、虚拟局域网(VＬAN）等。虚拟化技术的一个重要结果是降低IT架构中部件之间的依赖关系，以计算虚拟化为例,集群、主机虚拟化等计算虚拟化技术实现了应用软件与物理基础设施解耦。最终的效果是分离了应用软件与物理基础设施,解除或弱化了它们之间的耦合，从而也就削弱了各自的技术发展所受到的相互限制，拓展了技术发展的空间和灵活性。2.3.2、智能化云管理云计算架构具有ＩａaＳ、PａaS、ＳaaS等众多的服务模型,提供计算服务、存储服务、乃至整合各种资源的综合性服务,其资源的构成更加复杂、规模更加庞大。为了提高易用性和可维护性，各种资源构成之间的关系复杂。在本项目中,主要构建IａａS层。为了保证云计算中心的服务质量,对于众多用户资源配给的调整也要求更精准的、更及时。这些要求已经不是依靠运维人员的能力所能满足的，需要采用更加智能化的自适应运维管理。云计算中心运维管理要适应云服务对资源管理所提出的新需求，●紧耦合的资源管理云计算中心采用资源综合管理,即将系统中的计算、存储、网络等资源视为整体系统，实施统一管理,这有利于优化整体性能、精确定位问题、是实现动态资源调度的重要因素。●多维度的资源管理云计算中心的资源具有多种视图,例如物理资源视图、虚拟资源视图、虚拟组织视图,因此,云管理也应该是多维的。ﻬ3、私有云总体建设方案3.1、建设原则私有云的建设将遵循以下的建设原则：----1)标准化和开放性系统的标准化和规范化是信息系统建设基本而又关键的一步，要实现信息通讯与共享,必须规范信息技术标准。采用业务内标准的技术体系和设计方法,使系统最大程度地具备各种层次的平台无关性和兼容性。在使用新技术的同时充分考虑技术的国际标准化,严格按照国际国内相关标准设计实施。2)先进性和超前性在实用可靠的前提下，尽可能跟踪国内外先进的计算机软硬件技术、信息技术及网络通信技术，使系统具有较高的性能价格比，同时建设方案以实际可接受能力为尺度，避免盲目追求新技术,造成不必要的浪费。技术上立足于长远发展，坚持选用开放性系统，使系统和将来的新技术能平滑过渡。采用先进的体系结构和技术发展的主流产品,保证整个系统高效运行。3)实用性和方便性系统建设要以满足需求为首要目标,采用稳定可靠的成熟技术，保证系统长期安全运行。系统应用后，确实能为各级业务和管理节点提供一个智能化的网络信息环境,以提高管理水平和工作的效率。4)安全性和保密性遵循有关信息安全标准，具有切实可行的安全保护和保密措施，确保数据永久安全。系统应提供多方式、多层次、多渠道的安全保密措施，防止各种形式与途径的非法侵入和机密信息的泄露,保证系统中数据的安全。----5)稳定性和可靠性系统建成并投入使用后,将成为支撑系统平稳运转的运行平台和开发新业务系统的基础平台,系统瘫痪的后果是难以想象的。因此系统必须在成本可以接受的条件下，从系统结构、设计方案、设备选型、厂商的技术服务与维护响应能力，备件供应能力等方面考虑，使得系统故障发生的可能性尽可能少，影响尽可能小,对各种可能出现的紧急情况有应急的工作方案和对策。6)跨平台性和可移植性由于系统建设的复杂性要求，在设计时，要充分考虑系统的跨平台、跨系统、跨应用、跨地区性和在各种操作系统、不同的中间件平台上可移植。7)可维护性和可扩展性要保证系统能在各种操作系统和不同的中间件平台上移植。系统设计做到信息内容统一，以便日后的系统维护。在私有云的设计过程中，充分考虑在未来若干年内的发展趋势,具有一定的前瞻性，并充分考虑了系统升级、扩容、扩充和维护的可行性。3.2、总体设计方案3.2.1、逻辑架构私有云的系统部署逻辑架构如下图所示:逻辑架构图用于对外提供各种服务的多种类型的虚拟主机节点的集合构成了计算“资源池”，其不仅实现了基于服务器的CPU、内存、磁盘、I/Ｏ等硬件的虚拟化----实现动态管理的“资源池”，同时还可以在各类型虚拟主机所在的物理服务器之间进行动态的迁移和变更资源。为此要求将各种类型的物理服务器、存储、网络等设备统一为一个逻辑意义上的“计算资源池”,从而提高资源的利用率,简化系统管理,实现服务器整合，让IT对业务的变化更具适应力。云管理平台为用户提供简单、统一的管理平台,内置丰富的资源管理与交付功能；云平台将原本静态分配的IT基础设施抽象为可管理、易于调度、按需分配的资源;使用云平台可以把资源的能力封装，对外提供按需灵活使用各类IＴ资源的服务,满足各种业务的运营。云管理平台主要进行系统资源的服务化、实现资源快速部署与按需分发。借助于云管理平台,可以构建易于管理、动态高效、灵活扩展、稳定可靠、按需使用的私有云结构。3.2.2、网络架构(假设)私有云网络架构如下图所示：----管理服务器：用于云管理平台管理节点的安装,负责对私有云的资源池进行管理、调度和监控。在本期建设中，可以考虑利旧或者是虚拟机来作为管理服务器节点。虚拟化服务器：该服务器为若干台服务器组成的集群,形成计算资源池。通过虚拟化软件将物理服务器安装需求,虚拟出若干台符合应用需求的应用虚拟机作为私有云业务的应用负载服务器。各虚拟化资源通过云管理平台统一调度、按需分配。如果计算资源池的资源不够使用，可以直接添加服务器,或者采用利旧的方式,无缝扩展资源池。----存储：该存储的主要用于虚拟机的数据存储、业务数据存储等。根据业务需要在本次私有云建设中,采用光纤存储进行通信。本期采用单存储的方式，做到满足数据和业务需求,后期可以考虑双存储以HA的方式互备,保障了整个私有云系统的数据安全。存储同样属于计算资源池的一部分,由云管理平台统一纳管。光纤交换机：光纤交换机为服务器与存储间的通信交换机,选择8Gb/ｓ的交换模块，可以有效保障服务器与存储间的通信速率。本期采用两台24口８Gｂ／ｓ光纤交换机(各激活8个口)，以主备方式提供光纤网络通信。接入交换机：根据现有的网络环境和需求，接入交换机选择两个4８口的千兆交换机进行通信。以主备的方式,保障网络安全。防火墙:接入交换机数据经过防火墙上联到核心交换机，接入核心网络。3.3、云管理平台设计3.3.1、云管理平台系统架构云平台系统的整体架构如下图所示，系统分为物理资源层、虚拟资源层、云平台管理系统层和云计算服务层。系统架构图上文提到的服务器资源和存储资源、网络资源等构成了物理资源层，通过----虚拟化软件形成统一的虚拟化资源，并通过云平台管理系统，将物理设备和系统资源整合为统一的计算资源池、存储资源池和网络资源池,在此基础上根据用户的需求,自动划分资源，在资源管理平台和业务服务管理平台的支持下,为用户提供丰富的云服务。云平台从运维、运营与用户三个层面对私有云进行资源管理和运营管理。云平台管理架构图云计算管理平台是一个用来创建云基础架构(IａaＳ)的平台。云计算管理平台允许企业在公司内部设立一个服务于企业自身的私有云。当前VMＷaｒe,Citrix和Microsoft提供的虚拟化平台主要帮助企业的IT人员可以像以前管理物理机一样管理他们的虚拟机。而云计算管理平台是帮助非IT人员能够通过自服务的方式使用虚拟机服务。云计算管理平台包含管理服务器以及业界标准的虚拟化软件（如XｅnSerｖer,Vspheｒｅ,KVＭ等）的扩展。管理服务器可以部署在一台服务器或一组服务器集群上。管理服务器对所有节点上的资源进行统一管理并提供wｅb接口给管理员和用户，使他们可以对权限内的资源进行访问和操作。----云管理平台统将要实现的目标包括:1.对本项目建设物理资源、网络资源和虚拟资源,进行统一的管理；2.由于不同的应用资源,处于不同的内网或外网条件下,建设的云管理平台可以跨网络管理;3.纳管已有的物理资源和网络资源,本次实施以实验的方式,先纳管部分资源，根据使用情况，逐渐将所有物理资源和网络资源纳管进来;4.实现对所有信息资源，包括物理计算资源，虚拟技计算资源，物理网络资源、虚拟网络资源的自动化管理；5.云管理平台提供可视,可控,可管的运维系统。3.3.2、云管理平台功能3.3.2.1、云平台服务云计算管理平台为用户创建虚拟机实例提供了多种选择：\uf06c计算服务,由管理员定义，提供CＰU速度和个数,内存大小和根卷大小等选择\uf06c存储服务，由管理员定义，提供了数据卷大小的选择\uf06c网络服务，由云计算管理平台定义,描述了用户通过虚拟路由器或者外部网络设备可以使用的功能。\uf06c模板和镜像，模板是一个操作系统的镜像,用户可以从这个镜像创建新的虚拟机。所有通用的Liｎｕx和Wiｎdows系统都可以成为模板。管理员也可以向系统中导入新的模板。除以上选项之外，还有一种只对云计算管理平台管理员可见的服务类型，用于配置虚拟机路由器。3.3.2.2、帐户、用户和域云计算管理平台的用户通过分配的帐户登陆和使用资源。在云环境里,各帐户之间的环境是相互隔离的。一个域由一组帐户构成,一个域中的帐户一般有逻辑上的关联性，域可以有多个管理员帐户对域以及域包含的子域进行管理。一个账户可以对应多个用户，用户更像是账户的别名，同一账户的用户之间没有相互隔离，他们具有相同的权限,可见的资源也相同。在大多数情况下，一个账户对应一个用户即可满足需求。----3.3.2.3、管理服务器云计算管理平台管理服务器运行于WEB容器(如Tomcat)并使用关系型数据库（如ＭyＳＱL)存放数据,所使用数据库也可以安装在一台独立的物理机上，也就是数据库服务器,并可以根据需要配置备份服务器。\uf0b7提供管理员和用户访问的weｂ界面\uf0b7提供云计算管理平台对外的ＡPI接口\uf0b7管理每个资源节点上的虚拟机资源分配\uf0b7管理每个帐户的公网和内网IＰ地址分配\uf0b7管理虚拟硬盘镜像的存储空间分配\uf0b7管理快照(snａpshｏt)、模板、ISO镜像，并可以根据需要将它们跨数据中心备份。\uf0b7整个云环境配置的中心3.3.2.4、资源服务器资源服务器是用来提供虚拟机资源的服务器。可以通过云管理平台自带的虚拟化软件进行虚拟化,也可以通过如VMＷＡRE、CｉtrixＸEN等相关软件或功能进行虚拟化。\uf0b7提供虚拟机需要的所有CPU,内存，存储和网络资源\uf0b7互相通过高速网络互联互通，并具备Intｅrnet连接\uf0b7可以位于不同地理位置的不同数据中心\uf0b7可以具有不同的规格(如不同的ＣPＵ速度，不同的内存大小等等）\uf0b7是高性能通用x86兼容服务器,自身相对可靠，但规模较大时允许出现个别服务器故障3.3.2.5、网络功能和网络虚拟化云计算管理平台管理内网(private)、直连网络diｒｅct和公网（ｐｕblic)的ＩP分配。管理员首先将可供分配的内网,直连网络和公网ＩP输入系统。主要有两种网络模型可供创建：直连网络和虚拟网络。云计算管理平台的资源域(Zone)也分为两类：基本网络资源域仅能创建直----连无标记（uｎtaｇged)网络。高级网络资源域除此之外还可以创建虚拟网络以及直连带标记(tａggeｄ)网络。直连网络在直连网络中,虚拟机被直接在本地子网中分配IP地址。这些虚拟机可以直接访问Iｎteｒnｅt,也没有任何NＡＴ转换。它们的网络封包不经过任何虚拟路由器。因此，直连网络无法获得云计算管理平台中的软负载平衡、防火墙和端口转发等功能。直连网络的用户根据配置的不同,可以和别的直连网络用户相通或隔离。在直连带标记网络中，管理员对资源域内部的每位用户分配特定的ＶLＡN标识和IP段。用户的虚拟机可以从虚拟路由器（相当于ＤＨＣP服务器)获得ＩＰ地址。直连带标记网络可以让用户的虚拟机方便的与外界网络互联互通,包括管理服务器。直连无标记网络则采用了类似于亚马逊的安全组概念对每位用户进行隔离，而不采用VLAN。所有用户不论账号如何都在同一个广播域内。直连无标记网络最常使用在私有云中。所有的Hypeｒｖｉsor类型都可以支持直连无标记网络,但只有XenServeｒ和ＫVM的节点可以设置安全组。虚拟网络在虚拟网络中,用户的虚拟机部署于私有的虚拟网络中。每个用户的虚拟网络均通过VＬＡN与其他用户的虚拟网络隔离。每个用户的所有客户机也在自己的ＶLAN中被分配相应的网络接口。可以用两种方式建立虚拟网络:基于虚拟路由器和基于外部路由器。\uf06c云计算管理平台在安装时就提供了一个虚拟路由器。这个虚拟路由器可以提供DNＳ，DHCP，gateｗaｙ,NAT,负载平衡和VPN服务。\uf06c基于外部路由器的虚拟网络使用第三方厂家的路由器设备提供ｇaｔewａy和ＮAT服务,而DNS和DＨＣP依旧由虚拟路由器完成。虚拟网络的部署必须使用虚拟路由器或外部路由器。在虚拟网络中，同一个用户的不同虚拟机因为处于同一个VLAN，他们之间的网络通信不通过虚拟路由器。ＶLＡN起到用户之间隔离的作用:不同帐户的用户使用不同的----VLAN。在虚拟网络中，每一个用户会被分配一个外网IＰ地址。用户可以申请更多的外网IP地址。外网IＰ地址是指用户实际访问虚拟机的IP地址。通过虚拟路由器建立虚拟网络每个帐户都被分配一个虚拟路由器。所有此帐户拥有的外网ＩP地址也都分配给这个虚拟路由器。这个虚拟路由器是虚拟机和外网通信的管道，并且为虚拟机提供ＤＮS和DHCP服务，以及NＡT转换。虚拟路由器的存在使得云计算管理平台可以为用户提供很多网络功能,例如：将发送至某个外网IP的包转发至一个指定的虚拟机,或是在多个虚拟机之间做流量的负载平衡,使得通过有限的公网IP可以提供更可靠的服务。通过外部路由器建立虚拟网络每个帐户仍然被分配一个虚拟路由器。但所有此帐户拥有的外网IP被分配给外部路由设备。外部路由器成为虚拟机和外网通信的桥梁,并提供NAT转换。虚拟路由器仅提供DNS和DＨCP功能。负载平衡可以由外部路由器或者虚拟路由器完成。一个帐户可能既拥有在虚拟网络的虚拟机也拥有在直连带标记网络的虚拟机。在这种情况下，这个帐户将拥有两台虚拟路由器,一台虚拟路由器负责资源域VLAN的管理，一台虚拟路由器负责直连带标记ＶＬAＮ的管理。在同一个资源域里基本网络不能与虚拟网络或直连带标记网络共存。一个云环境可能包含一个基本网络资源域,一个虚拟网络与直连带标记网络共存的资源域。3.3.2.6、存储功能和虚拟化虚拟机模板是用户第一次启动虚拟机时所使用的基本操作系统镜像。例如,有用户需要64位CeｎtOS5.3的操作系统镜像,就可以把它作为一个虚拟机模----板。每个虚拟机模板都有相应的访问权限。访问权限包括:\uf0b7公开权限。这个模板可以供所有用户访问。\uf0b7私有权限。这个模板只能供创建它的用户,以及该用户指定的使用者访问。管理员和用户都可以将模板加入至系统。用户在访问模板的时候可以看见模板的所有者。云计算管理平台将提供给虚拟机使用的一块存储空间称为一个卷。卷既可以是系统盘也可以是数据盘。系统盘在文件系统中的路径为”/”或”C:”，也通常作为引导盘使用。数据盘提供额外的存储空间（路径为”/opt”或”Ｄ：”）。每个虚拟机都有一个系统盘和一个数据盘。用户可以将多个数据盘挂接在一个虚拟机上。这些数据盘可以从管理员提供的存储服务中获得。同时,用户还可以从卷中创建模板，这也是私有模板的标准创建方式。ISO镜像的存储和使用方式与模板类似。ISO镜像除了访问权限外,还可分为两种类型:可以引导系统的(bootable）和不能引导系统的。可以引导的ＩＳO镜像一般包含操作系统镜像（如Ubuntu1０.4安装CD)。MasterSｔack云计算管理平台允许用户从ＩSO镜像启动虚拟机。用户还可以将IＳO镜像挂接到虚拟机上。例如，需要在Windｏws虚拟机上安装PV驱动程序时就可以挂接对应Hypeｒvisor厂商的ISO镜像。云计算管理平台支持卷的快照，包括系统盘和数据盘。管理员可以为每个用户可以创建的快照数量设限。用户既可以通过快照来还原卷以恢复丢失的数据，也可以从快照来创建模板，以确保当卷无法还原时可以直接启动新的虚拟机以保证业务的连续性。可以将快照设置为定期任务。快照一般会在主存储设备上生成并备份至二级存储,直到被删除或被新的快照覆盖。云计算管理平台可以配置主存储和二级存储。主存储支持iＳCＳI,FC或NFS接口。主存储上存放虚拟机的磁盘镜像，一般和服务器物理位置接近。二级存储上存放模板，IＳO镜像以及快照数据，通常一个二级存储可以对应几百台服务器。3.3.2.7、虚拟机分配策略云计算管理平台在创建虚拟机时会根据内置策略选择可用的物理机。被选----择的物理机总是和虚拟机的镜像物理位置接近。分配策略包括“纵向优先”和“横向优先”。纵向优先是指先分配满一台物理机的负载，再分配第二台物理机。这样的好处是节能，未分配的物理机可以处于休眠模式。横向优先是指每台物理机平均分配负载。这样的好处是确保每台虚拟机的性能最优。云计算管理平台支持CPU超配（overcｏmｍiｔ）,也就是允许管理员分配比实际CPＵ个数/能力更多的虚拟机给最终用户。3.3.2.8、虚拟机管理云计算管理平台为管理员和用户提供了丰富的虚拟机管理功能。虚拟机的基本操作包括启动,停止,重启，删除等等。虚拟机包含名称和组别。虚拟机的名称和组别对于云计算管理平台是不透明的,用户通过它们来组织和管理虚拟机。虚拟机可以配置HＡ。对于配置了HA的虚拟机，系统会监控它们的状态并在发现出问题的时候试着在另一个物理机上重新启动该虚拟机。云计算管理平台无法区分一台虚拟机是正常关机还是异常关机。如果用户关掉了一台配置ＨA的虚拟机,云计算管理平台会重启它。因此，当用户真的需要关掉配置HA的虚拟机的话,需要先通过云计算管理平台界面或者ＡPI以禁用HＡ功能。3.3.2.9、其他管理功能系统还提供了警告和事件等管理功能。警告是发送给管理员的提示，通常用邮件发送,通知管理员系统出现错误。警告信息是可配置的。事件功能跟踪管理员和用户在云计算管理平台的所有操作。例如，每次虚拟机启动都对应一个事件。事件存放在管理服务器的数据库。云计算管理平台允许管理员将某台物理机设为维护模式。位于维护模式的物理机首先从资源池中移出，不再接收新的虚拟机分配请求。然后,这台物理机上的虚拟机会被无缝迁移至其他不在维护模式的物理机。由于这里采用的是在线迁移技术,客户的业务和应用不会受到影响。管理员和用户还可以监控物理机和虚拟机的性能。通过云计算管理平台的监控界面,用户可以了解机器各种资源的使用情况以决定是否要换用更高级的虚拟机或是更大的存储空间。----3.3.2.10、AＰI和扩展性云计算管理平台的管理员界面和用户界面是基于同一套标准的HTTP请求协议开发的。这一套协议确保界面和后端的松耦合，不论是改写用户界面还是开发命令行工具都很方便。云计算管理平台的可扩展分配策略架构允许接入新的分配策略来分配存储和物理机。3.3.2.11、弹性和可用性云计算管理平台的设计确保对多个数据中心，上千台服务器规模的支持。我们把一个机架(Pod）作为大规模部署下的一个单位。一般一个Poｄ对应一个物理机架。系统规模的扩展也就是增加新的机架以及在管理服务器中对新加的资源进行管理的流程。云计算管理平台也包含了一系列保证可用性的特性。首先，管理服务器可以是一组配置了负载平衡的服务器机群。其次，数据库可以配置自动备份以确保在出错时可以人工恢复。对于资源服务器，云计算管理平台支持网卡绑定，多网络存储以及ｉSＣＳI多路径。3.3.3、云管理平台设计3.3.3.1、资源管理系统设计资源整合和虚拟化将原本静态分配的IＴ资源池化，打破资源孤岛、形成逻辑的资源池，使上层的应用不再以竖井（Silｏ）和专用（Ｄeｄicated)的形式使用资源,而是多个应用共享资源池,既可以提高资源利用率,又可以通过快速部署、动态分配等应对应用对资源的突发需求。在私有云建设中,当资源池就绪之后,通过云管理平台资源管理模块实现异构资源池的统一管理，动态分配和调度资源以满足多应用需求。已有设备和新购入设备均可以纳入云管理平台的管理中。设备管理:统一的设备资产管理，清晰、方便的维护和管理各类设备相关信息，如设备名称、编号、型号，所处的具体物理位置信息等,实现设备与资源的统一纳管和集中监控展示。网络拓扑：覆盖虚拟机层级的网络拓扑图、VLAN图，以及直观的机架图，----从各个层面展示私有云的设备连接情况，准确了解虚拟机与物理机的依存关系。系统监控：图形化和列表的方式展示虚拟机、Ｈypervｉsor主机、物理机、存储、网络设备的启停状态、资源利用率等详细监控信息；并可通过仪表板的集中展现，全面直观的了解整个资源系统的概要信息。告警管理:告警规则配置与管理，告警事件统一展示，可及时了解资源池中的各种异常事件和告警信息。报表系统:丰富的报表统计功能,可统计分析各种资源的历史使用情况、利用率情况、可用性等信息,为资源的进一步优化利用提供决策信息。3.3.3.2、运营管理系统设计云管理平台除了改变传统信息系统的管理方式外,更体现了云计算中“服务”的概念。在私有云建设中,通过云管理平台的运营管理系统,可以将资源服务化，更好的提供方便快捷的信息资源服务。在资源池之上，将资源封装为可度量的服务，并使最终用户以最便捷灵活的形式按需使用这些服务。提供了服务管理、订单管理、用户管理、计费管理等功能,以帮助信息管理人员完成日常运营工作,面向最终用户提供自助服务流程。实现“按需自助服务”这一云计算最终目的。主要设计功能：资源封装,预置丰富的云服务针对的实际应用或业务需求,配合信息管理人员，将资源池中的各种资源封装为适合不同应用使用的不同服务模板,并通过服务目录的形式在门户系统上展现,供用户浏览和选择所需服务。运营管理员也可以根据信息业务发展情况和用户反馈的意见，创建新服务模板并发布,以满足不同用户的需求。通过门户系统，管理员可以轻松的管理服务模板的创建、修改、发布、删除等整个生命周期过程。订单管理云管理平台提供“购物车”功能，用户通过自服务门户，可以像网上购物一样选择服务产品放入购物车并提交以生成订单,订单可管理、查看审批轨迹及删除。运营管理员则对所有用户提交的订单进行管理。使用者和运营管理者无----需沟通交流即可申请信息资源的使用。大大化简了信息资源的申请审批流程,方便了一线职工的使用,减少了信息管理人员的工作量。审批流程为了防止在审批流程中出现问题，审批可以是单层或层级审批,每一级审批可设置为自动或人工完成。对审批层级和自动/人工审批的配置均可以通过运营管理的管理员门户完成。可以根据订单的重要程度,设计不同的审批模式,有效的保障了信息资源使用的安全性和合理性。按需自助服务,完整的用户自服务流程云平台的自服务流程为用户提供了完整的按需自助式服务体验,整个自服务流程包括服务申请、订单审批与管理、服务交付、服务实例使用与回收等步骤与功能。如果订单通过审批,系统会自动根据订单为用户分配资源,生成相应的服务实例交付给用户,用户可通过各种方式登录和使用自己的资源，也可对服务实例进行更改、申请作废等操作。未通过审批的订单不会获得任何资源分配。服务控制台，提供服务实例的全生命周期管理服务实例全生命周期管理,是指用户的服务实例从创建到回收的整个过程的管理。包括对服务实例的自动部署,用户对服务实例的使用、更改、申请作废，系统对服务实例对应资源的释放和回收等。云平台自服务门户提供一个服务控制台,用户可对自己的服务实例进行查询、操作和管理，比如对虚拟机进行开机、重启、关机等操作，或者将一个块存储挂载给虚拟机。另外,云平台支持用户通过浏览器直接访问虚拟机,为用户提供了极大的便利。当用户不再需要所申请的资源时，可以对服务实例申请作废，云平台会回收并释放该用户申请的资源,服务订购关系终止。界面友好,基于角色的门户系统云平台对管理员和最终用户都提供了友好的门户系统,通过权限控制，云平台对不同角色的用户呈现不同功能的门户界面。日志审计云平台的日志系统可记录管理员和用户在云平台内的所有操作,如登录系统、资源操作等。可在界面显示所有日志及日志详情，也可以对日志进行查询,基于----日志可实现对用户操作的审计。3.3.3.3、云管理平台安全设计在云管理平台的设计中，特别突出安全性设计。多层面的安全隔离1、Ｚone和在Ｚone之间可能实现了某种形式的物理隔离和冗余2、不同帐户的用户使用不同的ＶLAN，VLＡN起到用户之间隔离的作用;基于用户的虚拟机隔离:即管理员可以通过云平台将不同用户之间的虚拟机配置为无法建立2层链接,实现基于用户的虚拟机隔离。3、提供多种网络类型，一些是真实的,一些是虚拟的，虚拟网络通过ＶＬAN隔离,物理网络通过不同的硬件和设备隔离等，比如通过公网IＰ、私网IP通过不同的网卡隔离流量.也通过不同的组网,如3个平面来隔离业务、管理、存储４、直连网络可以通过给用户分配VLＡN来隔离,直连无标记网络则采用了类似于亚马逊的安全组概念对每位用户进行隔离,而不采用VLＡN。所有的安全域都通过防火墙接入到网络中,各个安全域通过虚拟防火墙进行逻辑隔离,安全域之间不能直接访问，在虚拟防火墙上通过访问控制策略,对用户进行文件和数据操作权限的限制，防范用户的越权访问。全面的虚拟机安全机制1、同一物理服务器上的虚拟机隔离，同一物理机服务器上资源隔离，包括CＰU、内存、内部网络隔离、磁盘Ｉ/O有效的隔离，不会因为某一个虚拟机被攻击而导致其他同一物理服务器上的虚拟机被影响。２、内部虚拟机访问隔离,提供虚拟防火墙，如安全组功能,确保不同租户的虚拟机之间的网络隔离（包括同一个物理主机内的不同虚拟机)。针对每个安全组可以定义ACL规则,如对外开放某个具体的服务或端口,允许外部某个IP地址访问虚拟机的某个端口,也可以在安全组之间相互授权访问。3、恶意VM预防，云平台要能防止同一个物理主机内VＭ能嗅探到其它ＶM的数据包。例如ARP防护，云平台防止恶意虚拟机的IP欺骗和ＡRP地址欺骗,限制虚拟机只能发送本机地址的报文。----４、虚拟机操作日志审计,通过云平台记录对虚拟机进行ＶM操作，便于合规审计。访问控制1、对业务和应用中保存的帐号进行集中管理，包括帐号创建、变更和删除等。同时根据预定策略，修改帐号的口令。接入认证安全、传输安全;2、将人员和其在各个业务系统中承担角色关联,实现对维护人员和用户等的集中授权。３、记录帐号登录、登出等相关的日志信息，并帐号登录、登出的信息和用户的真实身份相关联。4、根据预先制定的审计策略对日志进行分析,发现高危操作,产生审计事件告警。输出符合萨班斯审计需要等要求的审计报告。融合已有传统安全措施1、防火墙:最主流也是最重要的安全产品,是边界安全解决方案的核心。它可以对整个网络进行区域分割，提供基于IP地址和ＴCP/IP服务端口等的访问控制;对常见的网络攻击，如拒绝服务攻击、端口扫描、IP欺骗、IP盗用等进行有效防护;并提供NAＴ地址转换、流量限制、用户认证、ＩＰ与MAC绑定等安全增强措施。２、VPN网关:虚拟专用网(VｉｒtｕａlPｒivateNetwork,VPＮ）技术以其灵活、安全、经济、易扩展的特点,可以提高沟通效率和资源利用效率,建立成员单位与云平台之间的具有保密性的网络连接。能满足远程管理接入需求。设备支持VPＮ隧道数量和最大并发用户数量满足当前维护需求。3、安全支援区域，建议建立安全支援区域,该区域完成所有安全设备的网管工作,同进可以放置防病毒系统、补丁管理系统等。3.4、虚拟化设计3.4.1、服务器虚拟化服务器虚拟化产品的成熟度将对业务应用运行产生较大影响,因此本期方案推荐业内知名的CitriｘＸenＳerver产品作为服务器虚拟化的落地支撑。XenSeｒver是在云计算环境中经过验证的企业级虚拟化平台，可提供创建----和管理虚拟基础架构所需的所有功能。它深得很多要求苛刻的企业信赖，被用于运行最关键的应用，而且被最大规模的云计算环境和xSP所采用。ＸｅｎServer:通过整合服务器，降低电源、冷却和数据中心空间需求来降低成本允许在几分钟内完成新服务器置备和ＩT服务交付,进而提高IＴ灵活性确保可始终达到应用要求和性能水平标准减少故障影响,防止灾难，进而最大限度地减少停机,免费版XenSｅｒver配备有64位系统管理程序和集中管理、实时迁移及转换工具，可创建一个虚拟平台来最大限度地提高虚拟机密度和性能。Ｐremium版XｅnSeｒver扩展了这一平台,可帮助任何规模的企业实现管理流程的集成和自动化,是一种先进的虚拟数据中心解决方案。通俗的理解：ＸenSerｖer是思杰公司(Cｉtｒix）推出的一款服务器虚拟化系统,强调一下是服务器“虚拟化系统”而不是“软件”，与传统虚拟机类软件不同的是它无需底层原生操作系统的支持,也就是说XenServer本身就具备了操作系统的功能，是能直接安装在服务器上引导启动并运行的。基于XenSeｒvｅr系统，可以将一台性能强劲的服务划分成多台服务器，让这些服务器同时运行提供各种应用服务,节省硬件投资也方便管理。3.4.2、桌面虚拟化云终端虚拟桌面是端到端一体化虚拟桌面解决方案，桌面云平台将传统桌面PC虚拟化后托管在数据中心，每位人员通过一台云终端访问桌面及应用。----3.4.2.1、桌面云平台简介桌面云平台是中国首发的一体化企业级虚拟化平台，它融合了企业级的服务器和桌面虚拟化的功能和优势,通过统一的管理平台全面管理位于数据中心的物理和虚拟资源，用户仅需要使用价格低廉的云终端或传统PC就可以连接到数据中心中的Windｏwｓ或Linuｘ桌面，甚至是服务器桌面,并获得类本地PC的使用体验。桌面云平台为企业部署桌面云提供了所需的全部功能,它致力于帮助企业利用有限成本，最大化IT资源的效率和利用率，最大限度帮助企业构建最具灵活性的基础架构平台，帮助管理员有效管理复杂的企业桌面环境。借助于桌面云平台可以实现:\uf075统一管理:统一的web管理平台实现对服务器和桌面虚拟化的统一管理;\uf075高可用性：简单配置即可实现虚拟桌面失效切换,提升桌面SLA等级；\uf075在线迁移：让虚拟桌面在不同物理服务器之间迁移,桌面应用不中断;\uf075系统调度:策略式的系统调度策略使系统资源根据负载自动进行负载均衡；\uf075节能管理：自定义策略降低电源和制冷开销，响应国家绿色----节能号召;\uf075镜像管理:创建、管理和供应虚拟桌面镜像,可实现大批量供应桌面；\uf075高级检索功能：大规模桌面部署环境中的快速定位、简化管理；\uf075云端传输协议：优化的网络性能，提供类本地ＰC的使用体验。3.4.2.1.1、桌面云平台架构桌面云平台是一个一体化的企业级虚拟化平台，主要由桌面云虚拟化主机、桌面云管理平台、桌面云连接协议套件三大核心组件组成,用户通过云端传输协议去连接虚拟服务器和桌面,并为用户提供一流的管理和使用体验。其系统架构及组件如下图所示:\uf075桌面云虚拟化主机：简称CＴVN,以内核虚拟机技术----KVM为基础,是精简、安全、高效的虚拟基础架构平台。\uf075桌面云管理平台:简称CTVM，是一个综合性的统一wｅｂ管理控制台，通过它可以查看和管理物理和虚拟化环境内的所有组件和资源，如物理的主机、存储和网络以及虚拟的模版、镜像、虚拟机，同时能简单通过此单一控制台对虚拟化资源进行综合管理，如虚拟桌面的全生命周期管理和控制、高级检索、资源调度、电源管理、负载均衡以及高可用和线迁移等功能。\uf075桌面云协议套件:简称CTVP,它是一项高性能的远程网络通讯协议,为用户通过云端传输协议访问虚拟桌面获得一致性的桌面访问体验。3.4.2.1.2、桌面云平台具有在线迁移、HA、数据备份等高级特性，可保证整合后平台的稳定可靠运行。决数据安全问题\uf06c桌面和数据总是驻留在数据中心,终端只显示影像，没有任何实际业务数据传输到桌面\uf06c终端与数据中心之间的通讯和影像传输已加密且可控\uf06c各虚拟桌面之间相互隔离,互不影响\uf06c远程映射USB设备进行管控和审计\uf06c应用安装控制，上网行为控制，实现集中安全管控\uf06c集中的病毒木马防护，从数量较少的网关处控制互联网安全\uf06c统一的安全互联网出口3.4.2.2、基础架构提升数据的安全性\uf06c底层安全性：虚拟OS托管在高安全性的Lｉnｕx之上\uf06c系统高可用性：通过集群动态均衡技术和自动迁移技术,在不影响用户使用和数据可靠的情况下,允许1/3的服务器宕机----\uf06c高可靠服务器，冗余电源及高效的散热设计；多网卡配置提供数据传输冗余\uf06c可用性达99.999％的存储系统,控制器冗余，高级容灾备份，存储加密技术3.4.2.3、集成的桌面安全管理特性\uf06c安全准入控制：未知终端准入控制,终端用户认证管理,终端安全准入控制\uf06c行为安全管控:聊天行为,上网行为,网络应用使用；OS操作行为,文件操作,P2P下载\uf06c桌面安全管理：资产管理，外设管理,终端加固；异常监控,违规外联\uf06c数据安全管理：文档信息加密，移动介质管理;数据安全销毁,敏感信息检查；数据备份与恢复\uf06c安全审计管理:即时通讯审计,上网行为审计；邮件审计，OS及文件操作审计；文件输出审计3.5、安全设计本项目将以天云趋势的安全产品作为安全支撑，天云趋势服务器虚拟安全解决方案针可对CitirxXｅｎServｅr虚拟平台提供无代理的安全防护措施，在每台物理机中应用一台虚拟机安装趋势Elａstｅｒsｈield的ｖiｒtuａlＡppliａnce插件,就为每台虚拟主机的多层次安全防护,包括：防病毒功能、访问控制功能、虚拟补丁、攻击防御、完整性监控等。部署Elasteｒshieｌd后模块后,无需在虚拟主机操作系统中Agent程序就可以实现基础的多种防护功能。\uf06c访问控制传统技术的防火墙技术常常以硬件形式存在，用于通过访问控制和安全区域间的划分，计算资源虚拟化后导致边界模糊，很多的信息交换在虚拟系统内部就实现了,而传统防火墙在物理网络层提供访问控制，如何在虚拟系统内部实现访问控制和病毒传播抑制是虚拟系统面临的最基本安全问题。天云趋势Eｌastershield防火墙提供全面基于状态检测细粒度的访问控制功能,可以实现针对虚拟交换机基于网口的访问控制和虚拟系统之间的区域逻辑----隔离。Elaｓtｅrshiｅｌd的防火墙同时支持各种泛洪攻击的识别和拦截。\uf06c入侵检测/防护同时在主机和网络层面进行入侵监测和预防,是当今信息安全基础设施建设的主要内容。然而，随着虚拟化技术的出现，许多安全专家意识到,传统的入侵监测工具可能没法融入或运行在虚拟化的网络或系统中，像它们在传统企业网络系统中所做的那样。天云趋势Eｌaｓtershieｌd可以对系统交换机或端口组进行管理,这时虚拟的IＤS传感器能够感知在同一虚拟段上的网络流量。Ｅｌasｔershield除了提供传统IDS/ＩPＳ系统功能外，还提供虚拟环境中基于政策的（pｏlicy-based）监控和分析工具,使Ｅlasｔerｓｈield更精确的流量监控、分析和访问控制，还能分析网络行为,为虚拟网络提供更高的安全性。天云趋势Elasｔerｓｈield利用虚拟机在虚拟系统中占用更少的资源,避免过度消耗宿主机的硬件能力。\uf06c虚拟补丁防护随着新的漏洞不断出现,许多公司在为系统打补丁上疲于应付,等待安装重要安全补丁的维护时段可能是一段艰难的时期。另外,操作系统及应用厂商针对一些版本不提供漏洞的补丁，或者发布补丁的时间严重滞后,还有最重要的是,如果IT人员的配备不足，时间又不充裕，那么系统在审查、测试和安装官方补丁更新期间很容易陷入风险。天云趋势Elasｔershiｅld通过虚拟补丁技术完全可以解决由于补丁导致的问题,通过在虚拟系统的接口对虚拟机系统进行评估,并可以自动对每个虚拟主机提供全面的漏洞修补功能,在操作系统在没有安装补丁程序之前,提供针对漏洞攻击的拦截。天云趋势Eｌaｓｔｅrshield的虚拟补丁功能既不需要停机安装，也不需要进行广泛的应用程序测试。此集成包可以为IＴ人员节省大量时间。在安全管理安全域中建立安全管理中心，是有效帮助管理人员实施好安全措施的重要保障，是实现业务稳定运行、长治久安的基础。通过安全管理中心的建设,真正实现安全技术层面和管理层面的结合，全面提升用户网络的信息安全保障能力。----ﻬ3.6、计算资源池设计3.6.1、计算资源池技术路线计算资源池承载私有云中的所有业务系统的计算需求，在进行计算资源池设计时，需要注意的两点:1.根据先进可用的原则,既要保证整个计算平台的运行稳定，又不能过多的追求高性能,要做到合理选型，合理分配。2.尽量的利旧，现有可用资源可以根据后续需要设计到整个计算平台中，防止浪费。在服务器选型方面要符合以下几方面的要求：可靠性、可用性、可扩展性、易用性、可管理性。可靠性衡量服务器可靠性的主要指标是平均失效间隔，发生故障时间越少，服务器的可靠性越高。对于可靠性要求很高的业务来说，即使是短暂的系统故障也会造成难以挽回的损失,所以在服务器的选择上,可靠性为一项重要的衡量指标。可用性可用性是通过系统的可靠性和可管理性等一些指标来度量的。通常用平均无故障时间来度量系统的可靠性,用平均维修时间来度量系统的可维护性。对易损部件或设备采取保护措施可以提高服务器的可用性，如减少硬件的平均故障间隔时间和利用专用功能机制（容错、冗余等)可在出现故障时自动进行部件或设备切换,以避免或减少意外停机。可扩展性可扩展是指服务器的硬件配置,如内存、适配器、硬盘和处理器等可以在原有的基础上很方便地根据需要来增加。为了保持高可扩展性，通常需要在服务器上具备一定的可扩展性空间和冗余件(如磁盘柜盘阵位、ＰＣI插槽和内存条插槽等)。要求服务器具有较多的类似于ＰCＩ之类的插槽，较多的驱动器支架及较大的内存扩展能力，提供冗余电源、冗余风扇。易用性----服务器的设计应多采用国际标准,机箱设计科学合理、拆卸方便,可通过指示灯方便地查看服务器的运行状态，可热插拔部件较多,可随时更换故障部件,而且随机配有完善的用户手册,可以指导用户迅速简单地安装和使用。可管理性可管理性是云计算建设中选择服务器时应考虑的重要因素。使用合适的系统管理工具有助于降低支持和管理成本,有效监控系统的运行状态，及时发现并解决问题。通过服务器的硬件管理接口和管理软件,可对服务器的性能、存储、可用性／故障、网络、安全、配置、软件分发、统计、技术支持等内容进行监控和管理。从以上几方面考虑，建议采用X８6架构机架式云服务器。首先,目前服务器市场的服务器，以X86架构服务器和Uｎｉx小型机服务器为主。小型机的架构有着密闭性的特点，不同品牌的小型机在结构式具有一定的差异性，一旦选择某个品牌，基本被绑定。而且从小型机的计算性能来说,国外品牌具有一定的垄断地位，国内技术与之相比,具有一定的滞后性。从应用开发角度来说,大多数应用是基于ｗindoｗs系统开发,而小型机对于ｗiｎdows的开发支持性较差。在私有云上的应用也以ｗiｎdoｗs系统下开发的应用为主。所以采用X86架构更为合适。其次,X８6架构的开放性更好，无论哪个品牌的服务器,都遵循相同的架构，从扩展性角度来说，不会被某一品牌绑架。所有品牌的服务器都可以无缝投入到资源池中。最后，在X８6架构的服务器选择上，目前分为机架式服务器和刀片式服务器。刀片式服务器一般在10Ｕ左右的空间,集成14个刀片，集成度很高。但是在扩展性、散热性等角度来说较差。适合于高性能计算等。而且从投入成本角度来说,特别是不需要满笼刀片的情况下，客户仍然需要为机箱、后备板、交换模块等基础设施投入资金。从网络角度来说，用户的网络环境将被刀箱后备交换模块所“绑架”。而机架式服务器具备更灵活的扩展性，可以根据用户需求,灵活添加PCＩ-E扩展模块,灵活进行网络配置。在机架式服务器中,主要为双路和四路服务器，从使用角度来说,双路服务器多应于应用场景，四路服务器应----用于数据库等场景。而60%的双路机架式服务器的市场份额，也说明的该种选择所具有的市场代表性。所以在本项目中,计算资源池采用双路机架式服务器。3.6.2、计算资源池设计虚拟服务器系统以X8６平台服务器作为基础平台,在基础平台上通过部署云计算虚拟化软件完成资源池化，并根据业务系统的不同需求生成不同配置的服务模板以及虚拟机,部署服务器操作系统及服务器业务应用，对外提供虚拟计算服务。虚拟资源池中的所有业务系统可根据规模或安全相关性设定虚拟逻辑域，每个逻辑域内配置不同数量的服务器和存储资源。每个业务系统中的系统、应用、等都部署在它的业务逻辑域中的虚拟机上,存储系统也要与其他业务域进行逻辑隔离。每个业务域之间通过防火墙进行隔离,逻辑区内的虚拟服务器之间通过软件负载均衡实现动态负载分配调度。整个虚拟资源池，包括每个业务域的逻辑资源池中,为了保证系统的安全性和连续性,都会预留一定的空闲资源。当整体平台或资源域中的物理服务器或存储节点出现问题时,或需要进行必要的硬件升级时,空闲区域即可以动态的承载原先资源下的业务系统和存储需要,保证业务的连续性,保证整体业务系统运行的稳定性和连续性。根据本次项目需求,将各应用系统将迁移到虚拟机上,同时还需要预留扩展空间。根据虚拟化原理,最少要有一个物理内核来作为ｖＣPU使用,所以虚拟机的最大数量＝物理CPＵ数量每个物理CＰＵ的核心数（从可用性方面考虑，不考虑超卖情况），考虑到后续业务的扩展性,要在有限的空间内，有尽量多的虚拟机可能。同时,需要考虑数据中心的空间成本和电力成本。3.7、存储资源池设计3.7.1、存储资源池技术路线存储系统是私有云数据存储的基础，用于支撑私有云上各应用对存储的需求。整个私有云对存储的需求具有以下特点：1、先进性原则:技术构成先进,符合信息科技的发展趋势，能适应当前不同数据平台架构下进行大规模数据存储的需要,保证系统具有较强的开发、使用空间；２、均衡性原则：提供较好的系统运行效率，不产生系统瓶颈;----3、节能性原则：绿色环保为营造良好的节能环境,节约能源为前提;4、拓展性原则：随着业务规模的扩大比较方便地独立升级,能够比较方便地和其它系统进行无缝集成；5、稳定性原则：保证系统7×24小时的稳定运行,并能保证一段时间关机情况下重起系统的稳定性；6、安全性原则:有严谨周密的安全体系结构,系统能够提供有效的安全机制，防御各种可能的自然毁伤或恶意攻击,在运行安全、网络安全、数据安全和应用系统安全等方面有合理可靠的策略；7、风险性原则：提供比较成熟可靠的运行管理、监控、故障处理等技术手段,最大限度地降低实施过程的风险；８、经济性原则:设备有较好的性能价格比。基于此，存储系统需要满足如下几个核心要求:1.足够的传输能力。网络中心为单位所有用户提供服务，由于客户端众多，数据流量大,所以整个系统需要很强的传输能力。包括存储系统与服务器之间的大容量、高频率的I/O传输，设备内部的总线传输带宽,服务器的网络性能和响应能力等都是非常重要的方面。2.海量存储能力。大容量的存储系统是网络中心服务应用的核心,拥有一套或多套大容量的存储系统是保证数据安全性和服务连续性的基础。解决方案中,不仅需要存储系统具有超大容量，而且硬件的可靠性、容量的灵活扩展、简便的安装维护管理也是必不可少的。3．先进的存储架构。存储系统所采用的架构需要是成熟而先进的,能适应未来几年内的技术发展方向。4.高稳定性和高可用性。解决方案中应保证数据安全和随时可用;另外系统数据量大,很难恢复或恢复时间长,而高校网络又需要7×２4不间断可用,因此还要为备份系统的建设打好基础。５.快速的响应能力。解决方案中不仅要满足当前的需要,由于网络对连续性的要求很高，因此在售后服务方面也应保证快速响应,一旦出现问题，服务人员能尽快赶到。----另外，存储系统的设计还应遵循可扩展性原则及完整性原则。除了系统硬件要符合技术潮流外，与之相配的软件也需采用先进技术,以利于整个系统的平滑升级。而作为数据存储的统一平台，系统的各项设计应从整体考虑，协调各子系统构成完整的数据存储管理系统。3.7.2、存储资源池我们建议采用1台统一存储连接服务器,建立成丰富完善的ＳＡN架构存储,当服务器的本地存储空间来存放数据。利用光纤通道技术，ＳＡN可以有效地传输数据块。通过支持在存储和服务器之间传输海量数据块，SAN提供了数据备份的有效方式。因此,传统上用于数据备份的网络带宽可以节约下来用于其他应用。由于SAN是为在服务器和存储设备之间传输大块数据而进行优化的,因此SAN对于以下应用来说是理想的选择:\uf0b2关键任务数据库应用,其中可预计的响应时间、可用性和可扩展性是基本要素。\uf0b2集中的存储备份，其中性能、数据一致性和可靠性可以确保企业关键数据的安全。\uf0b2高可用性和故障切换环境可以确保更低的成本、更高的应用水平。\uf0b2可扩展的存储虚拟化，可使存储与直接主机连接相分离，并确保动态存储分区。改进的灾难容错特性,在主机服务器及其连接设备之间提供光纤通道高性能和扩展的距离。目前８GbFCSAN技术成熟稳定,建议使用２台8Gｂ交换机作为核心ＳＡN交换机,满足当前和未来扩展的需求。此外每个服务器上需要配置光纤卡和相应的连接线。3.8、应用迁移及现有设备利旧云计算数据中心建设需要充分考虑业务应用系统迁移和设备利旧需求，切实保障业务数据迁移完整性与一致性,充分确保业务应用平滑过渡。在业务系统----平稳切换前提下,通过虚拟化等多种技术将现有应用服务器，网络设备，安全设备和存储设备等资源整合到新建的资源池中,实现统一运维管理，提高资源利用率,延长设备使用寿命。3.8.1、应用迁移云计算数据中心业务应用系统迁移采用平台专用软件通过P2V实现。Ｐ2V技术通过对操作系统进行VoluｍeShaｄｏwCopy实现在物理服务器主机系统无修改的情况下,将系统数据、环境配置、应用软件和业务数据整体以“快照”形式导入到云平台计算资源池中,转换为以虚拟机方式运行。迁移过程分为系统备份，迁移测试，数据验证和系统切换四个步骤。迁移过程中原有服务器临时中断，待验证新的虚拟机业务应用正常运行后进行系统切换。系统切换前需要停止原有业务应用的对外服务进行一次数据同步。迁移主要适用于业务应用的迁移,常见操作系统大部分可通过迁移方式实现整体迁移。对数据库服务器和迁移失败的应用服务器，采用手动迁移方式进行。手动方式根据迁移系统的操作系统提前部署虚拟机,需要协调业务应用开发单位在虚拟机中通过重新安装应用软件和导入数据方式完成系统的迁移。带有硬件加密狗的业务系统需要协调业务应用开发单位修改软件授权方式后部署到新的计算资源池中。迁移过程按照网络拓扑和功能分区逐一进行，在保持现有网络拓扑结构基本不变和业务应用不中断前提下,首先完成应用服务器和数据库服务器的迁移,然后完成资源共享业务专区中行政审批和相关委办局应用迁移，最后完成卫生局业务系统迁移,迁移过程网络结构如下图所示。----3.8.2、设备利旧设备利旧是云计算中心建设方案的重头戏，好的方案设计可以提高用户原有设备的利用效率,利旧可分为两部分，一部分可加入到资源池中,为应用提供服务;另一部分较老的设备可以作为应用冷备份、数据备份管理端、平台管理端来使用，具体可以加入资源池的处理器型号请参见下表:ＸeｎSerｖerVersioｎ55.55.６5.6FＰ1／ＳP26.0．06.0.2６．１．06.２.０VendorCPUFaｍiｌyＣodｅnaｍｅIntelＸｅon53ｘxCloｖｅrtoｗｎ✓✓✓✓✓✓✓✓IｎｔelXｅon54xｘHaｒpｅｒtown✓✓✓✓✓✓✓✓ＩnｔｅｌXeｏn73xxTigeｒton✓✓✓✓✓✓✓✓IｎtelXeon７4xxDunｎington✓✓✓✓✓✓✓✓IntelXｅon5５xxNehaleｍ✓✓✓✓✓✓✓✓IｎｔｅlXeon56xxWｅｓｔmere-EP✓✓✓✓✓✓✓IｎtｅＸeoｎNehａlem-✓✓✓✓✓✓----l65xx，75xxＥXIｎteｌXeonE7-2８xｘ,E7-4８xx，E7-8８xxWｅｓｔmerｅ-EＸ✓✓✓✓✓ＩntｅlＸeｏnE３-１2xxSanｄyBｒidge✓✓✓✓ＩｎtelＸeonE5-1６xx，E5-2６xｘ,E5－46xxSaｎdyBridge－ＥP✓＊✓✓✓IｎtelXｅonE5-２4xｘSaｎdyBridge-EN✓✓＊✓✓IｎｔｅlXeoｎE3-12xxV2ＩvｙBｒidge✓✓IntelXeoｎE5－16xxＶ２,E5－２6ｘxV2IvyBridge-EP✓✓IｎteｌＸｅonＥ5-24xｘv2,Ｅ5-1４xxv2IvyBrｉdge-ＥN✓✓ＩnteｌXeoｎE７－28xxv２,E7-48xxｖ2,E7－８8xｘv2IvyBrｉｄge-EX✓IntｅlXeｏnE3-１2xｘV3Haswell✓ＩntelXｅonＥ5-16xｘ，２６ｘxV3Ｈasweｌｌ-EP✓^----由上表可见从InｔelXeoｎ５3ｘx系列至最新的IntelXeｏｎE5-２6xxV3系列的处理器都可以支持--',)