目     錄

1 概述

2 為什么要上云？

3 上云的難點(diǎn)分析

4 上云的方向選擇

5 上云的策略

5.1 基礎(chǔ)設(shè)施上云

5.2 業(yè)務(wù)系統(tǒng)上云

5.3 基礎(chǔ)平臺(tái)上云

6 云計(jì)算架構(gòu)

6.1 云計(jì)算概述

6.2 資源池

6.2.1 網(wǎng)絡(luò)區(qū)域規(guī)劃

6.2.2 資源池架構(gòu)

6.3 云服務(wù)

6.3.1 基礎(chǔ)云服務(wù)

6.3.2 高級(jí)云服務(wù)

6.4 云管理

6.5 云安全

6.5.1 基礎(chǔ)設(shè)施硬件安全

6.5.2 云計(jì)算軟件安全

6.5.3 服務(wù)層安全

6.5.4 安全管理

7 上云實(shí)踐步驟

1 概述

2018年8月，工業(yè)和信息化部印發(fā)《推動(dòng)企業(yè)上云實(shí)施指南（2018-2020年）》，提出到2020年行業(yè)企業(yè)上云意識(shí)和積極性明顯提高，上云比例和應(yīng)用深度顯著提升，云計(jì)算在企業(yè)生產(chǎn)、經(jīng)營、管理中的應(yīng)用廣泛普及，全國新增上云企業(yè)100萬家，形成典型標(biāo)桿應(yīng)用案例100個(gè)以上，形成一批有影響力、帶動(dòng)力的云平臺(tái)和企業(yè)上云體驗(yàn)中心。鼓勵(lì)各地加快推動(dòng)開展云上創(chuàng)新創(chuàng)業(yè)，支持各類企業(yè)和創(chuàng)業(yè)者以云計(jì)算平臺(tái)為基礎(chǔ)，利用大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能、區(qū)塊鏈等新技術(shù)，積極培育新業(yè)態(tài)、新模式。

隨著云計(jì)算的蓬勃發(fā)展，各個(gè)企業(yè)開始紛紛入云，但是在入云的道路上各自不同，根據(jù)企業(yè)的規(guī)模、技術(shù)特點(diǎn)、保密性的要求等，可選擇的有公有云、私有云、行業(yè)云、混合云、集團(tuán)云等等。

本文主要講企業(yè)在上云的過程中的一些要點(diǎn)，從為什么要上云、怎么上云、都有哪些考慮點(diǎn)、云上有什么樣的技術(shù)，最后提供了上云實(shí)踐的必要過程。

2 為什么要上云？

企業(yè)的基礎(chǔ)架構(gòu)從傳統(tǒng)的煙囪式部署專項(xiàng)云端部署，基于云計(jì)算平臺(tái)的解決方案，已經(jīng)成為企業(yè)管理者滿足其業(yè)務(wù)戰(zhàn)略的需求，快速實(shí)現(xiàn)其收益和效率的最聰明和最無縫的方式。

云計(jì)算服務(wù)為公司提供了巨大的優(yōu)勢(shì)和工作量轉(zhuǎn)移：IT部門不再需要購買、部署和維護(hù)內(nèi)部的計(jì)算硬件和軟件，可以通過云服務(wù)快速、容易地建立起來，無需IT人員參與就能根據(jù)需要進(jìn)行擴(kuò)展，并且會(huì)自動(dòng)更新到最新版本。簡而言之，云計(jì)算極大地簡化和降低了IT服務(wù)提供的復(fù)雜性和成本。數(shù)字經(jīng)濟(jì)已經(jīng)成為發(fā)展趨勢(shì)，各企業(yè)都在進(jìn)行或準(zhǔn)備進(jìn)行數(shù)字化轉(zhuǎn)型，而上云則是企業(yè)數(shù)字化轉(zhuǎn)型的起點(diǎn)。

企業(yè)上云，主要有以下幾點(diǎn)原因：

■ 降低成本。企業(yè)運(yùn)營需要成本，IT基礎(chǔ)設(shè)施投入也是成本，大企業(yè)為了降低成本，提高集約化效果，形成企業(yè)內(nèi)部或者集團(tuán)內(nèi)部的私有云、集團(tuán)云；中小企業(yè)為了降低成本，選擇公有云或者行業(yè)云、混合云；微型企業(yè)，無需投入建設(shè)機(jī)房、購買IT設(shè)備的資金，直接用公有云服務(wù)商提供的公有云服務(wù)。使用云計(jì)算服務(wù)，比購買一般的物理硬件要便宜得多，那么小微企業(yè)就可以擺脫很多不必要的開支。

■ 高效彈性，靈活擴(kuò)展。滿足彈性、快速供給、快速釋放的IT基礎(chǔ)設(shè)施能力，才能更好的為業(yè)務(wù)服務(wù)。效率是企業(yè)的生命線，只有提高了生產(chǎn)率，企業(yè)才能在市場(chǎng)競(jìng)爭中生存，云是提高IT基礎(chǔ)設(shè)施效率的非常好的手段。

■ 使云端數(shù)據(jù)更有價(jià)值。云帶來了更大的靈活性和移動(dòng)性，使用云，可以讓企業(yè)在一臺(tái)機(jī)器上開始工作并且在另外一臺(tái)機(jī)器上完成它；企業(yè)對(duì)于龐大的交易、管理等數(shù)據(jù)做大數(shù)據(jù)分析，提供精準(zhǔn)營銷、分級(jí)客戶管理等服務(wù)，使數(shù)據(jù)增值；人工智能更是基于大數(shù)據(jù)為基礎(chǔ)，提供更加高階的場(chǎng)景化服務(wù)。

■ IT部門從成本中心轉(zhuǎn)向利潤中心。云的未來，不是一個(gè)成本中心，而是一個(gè)利潤中心，它能創(chuàng)新很多新的業(yè)務(wù)模式，成為企業(yè)新的利潤增長點(diǎn)。

3 上云的難點(diǎn)分析

大中型企業(yè)的IT基礎(chǔ)設(shè)施，一般都有比較重的歷史包袱，如應(yīng)用系統(tǒng)為部門級(jí)而非企業(yè)級(jí)、數(shù)據(jù)割裂且格式不統(tǒng)一、煙囪式部署架構(gòu)、無法按需擴(kuò)展等等，因此企業(yè)上云，主要有以下幾個(gè)難點(diǎn)：

■ 云化架構(gòu)轉(zhuǎn)型，需要建立相應(yīng)的組織架構(gòu)及人才隊(duì)伍。從上層管理層到中層及下層技術(shù)人員，都要首先從意識(shí)形態(tài)上接收并主動(dòng)擁抱云，理解云的架構(gòu)、云的特點(diǎn)，建立起適合云計(jì)算發(fā)展的組織架構(gòu)，培養(yǎng)響應(yīng)的人才隊(duì)伍，才能更好的做云化轉(zhuǎn)型；

■ 原有的IT架構(gòu)，難以向云端遷移。云大多以虛擬化、開源技術(shù)、分布式技術(shù)為主，而原有的大多使用了大型機(jī)或小型機(jī)、相對(duì)重量級(jí)的中間件和數(shù)據(jù)庫、以閉源廠商的產(chǎn)品為準(zhǔn)，因此無法把現(xiàn)有的系統(tǒng)直接搬上云，必須要做云化改造；

■ 原有系統(tǒng)復(fù)雜，系統(tǒng)需要重構(gòu)。由于歷史的原因所建立的系統(tǒng)必須要做重構(gòu)，采用云化架構(gòu)，使用適合云部署的技術(shù)，如虛擬化、容器化、微服務(wù)化，同時(shí)基礎(chǔ)設(shè)施要建立相應(yīng)的計(jì)算、網(wǎng)絡(luò)、存儲(chǔ)等資源池，采用計(jì)算虛擬化、軟件定義存儲(chǔ)SDS、軟件定義網(wǎng)絡(luò)SDN等技術(shù)、容器Docker等技術(shù)，提供IAAS、PAAS、SAAS、CAAS等云服務(wù)。

4 上云的方向選擇

企業(yè)上云，根據(jù)自身的特點(diǎn)，選擇上云的方向，既要滿足監(jiān)管的要求、企業(yè)的需求，也要考慮自身能力，切不可能盲目跟風(fēng)，選擇與自身實(shí)力不匹配的方向，可以從以下幾點(diǎn)考慮：

■ 大中型企業(yè)。這類企業(yè)自身盈利能力較強(qiáng)，抗風(fēng)險(xiǎn)能力較高，IT基礎(chǔ)設(shè)施投入較大，一般都會(huì)選擇自建私有云，同時(shí)會(huì)考慮輸出部分云計(jì)算能力給其他中小微企業(yè)使用，如某國有銀行，不但建有內(nèi)部使用的私有云，還有為集團(tuán)、分行、子公司及外部客戶使用的公有云，通過建信金融科技公司，提供從上到下的IAAS、PAAS、SAAS全套金融云服務(wù)；

■ 小型企業(yè)。這類企業(yè)因自身規(guī)模沒有大中型企業(yè)大，IT基礎(chǔ)設(shè)施投入相對(duì)要小，可以選擇混合云或者行業(yè)云，自身因?yàn)閿?shù)據(jù)保密的要求，將核心關(guān)鍵的系統(tǒng)建立在私有云中，對(duì)于不關(guān)鍵的系統(tǒng)可以使用公有云或行業(yè)云，以此降低IT投入成本。

■ 微型企業(yè)。這類企業(yè)對(duì)于成本比較敏感，IT投入比較小，不會(huì)將能力過多的投入到IT建設(shè)中，可以選擇部署在比較好的行業(yè)云或者公有云，甚至完全托管在其上，將精力聚焦在業(yè)務(wù)發(fā)展上，用最小的成本承載更多的業(yè)務(wù)。

■ 監(jiān)管要求明確的企業(yè)。這類企業(yè)一般都屬于特點(diǎn)比較明顯的行業(yè)，比如銀行、證券、保險(xiǎn)等，有銀保監(jiān)會(huì)、證監(jiān)會(huì)監(jiān)管，對(duì)于系統(tǒng)的高可用級(jí)別、災(zāi)備能力、數(shù)據(jù)安全等有比較高的要求，需要按照監(jiān)管機(jī)構(gòu)的要求，使用安全等保三級(jí)及以上的云。

5 上云的策略

企業(yè)上云分為基礎(chǔ)設(shè)施上云、業(yè)務(wù)系統(tǒng)上云和基礎(chǔ)平臺(tái)上云，在本文中主要以基礎(chǔ)設(shè)施上云為主論述。

5.1 基礎(chǔ)設(shè)施上云

企業(yè)的IT基礎(chǔ)設(shè)施主要包括機(jī)房、計(jì)算設(shè)備、存儲(chǔ)設(shè)備、網(wǎng)絡(luò)設(shè)備以及一些配套的安全（如DDOS、IDS等）、終端等，上云最主要解決的就是在這些領(lǐng)域都采用什么技術(shù)、怎么實(shí)現(xiàn)云化基礎(chǔ)設(shè)施。

■ 計(jì)算領(lǐng)域：可以采用vmware、kvm、xen、PowerVM等虛擬化技術(shù)以及docker等容器技術(shù)，提供IAAS、PAAS的服務(wù)。

■ 存儲(chǔ)領(lǐng)域：可以采用ceph等開源技術(shù)以及眾多廠商提供的如vsan、FusionStorage等分布式存儲(chǔ)技術(shù)，實(shí)現(xiàn)軟件定義存儲(chǔ)SDS、

■ 網(wǎng)絡(luò)領(lǐng)域：可以采用NFV、SDN等技術(shù)實(shí)現(xiàn)軟件定義網(wǎng)絡(luò)。

■ 辦公終端領(lǐng)域：可以采用ctrix等桌面虛擬化實(shí)現(xiàn)桌面的云化管理。

5.2 業(yè)務(wù)系統(tǒng)上云

企業(yè)的業(yè)務(wù)系統(tǒng)在上云時(shí)不一定要齊步走一起上云，需要分批分步驟根據(jù)實(shí)際情況一步一步上云，分幾種策略：

■ 從外圍到核心。先從外圍系統(tǒng)不重要的管理辦公類系統(tǒng)著手，做系統(tǒng)改造或者重構(gòu)后上云，比如人力資源管理、辦公OA、MAIL、考勤、日志管理等系統(tǒng)；其次選擇重要性低的一般交易性系統(tǒng)，如渠道類的網(wǎng)站、機(jī)構(gòu)管理、監(jiān)控、呼叫中心等；最后選擇核心交易類的系統(tǒng)，如網(wǎng)銀、手機(jī)銀行、信貸、財(cái)務(wù)會(huì)計(jì)、代收代付等系統(tǒng)；

■ 從簡單到復(fù)雜。先從WEB服務(wù)器、應(yīng)用AP服務(wù)器入手，建立專部署WEB、AP的資源池，實(shí)現(xiàn)云化部署，再建立云數(shù)據(jù)庫、分布式云數(shù)據(jù)庫，實(shí)現(xiàn)數(shù)據(jù)庫云，將所有基礎(chǔ)設(shè)施實(shí)現(xiàn)云化部署；

■ 集中力量從核心到外圍。國內(nèi)也有企業(yè)如某國有銀行，利用建設(shè)新一代核心系統(tǒng)時(shí)，集中力量，做企業(yè)級(jí)建模將核心的業(yè)務(wù)進(jìn)行了重構(gòu)，分三期將除了IBM主機(jī)之外所有重要IT系統(tǒng)生產(chǎn)環(huán)境搬上了私有云，老系統(tǒng)逐步下線，完成了云化改造。

那么，在上云的過程中，需要考慮哪些應(yīng)用系統(tǒng)能夠上云，哪些系統(tǒng)不上云，簡單來說：

重負(fù)載、IO高、響應(yīng)時(shí)間要求高的系統(tǒng)不適合上云，筆者所在的企業(yè)在做系統(tǒng)搬遷時(shí)，ODS（操作型數(shù)據(jù)存儲(chǔ)）系統(tǒng)的AP服務(wù)器在物理機(jī)上部署時(shí)，跑批時(shí)TPS可以達(dá)到1000左右，但是部署在虛擬化環(huán)境后TPS下降到300左右，跑批時(shí)間延長3倍左右，已經(jīng)不能滿足業(yè)務(wù)要求，經(jīng)查是由于程序在寫文件時(shí)，直接寫盤和寫經(jīng)過vmware文件格式VMFS后磁盤時(shí)存在速度上的差異，導(dǎo)致TPS下降，采用物理機(jī)直接部署后問題不再重現(xiàn)，于是放棄了上云，還是采用物理機(jī)部署。

業(yè)務(wù)系統(tǒng)上云，不是為了上云而上云，最重要是要能夠發(fā)揮出云的特點(diǎn)，達(dá)到Cloud Native（原生云）的效果，實(shí)現(xiàn)CI/CD，devops一體化敏捷管理。要實(shí)現(xiàn)系統(tǒng)的敏捷部署、彈性擴(kuò)展、動(dòng)態(tài)遷移、故障自愈、數(shù)據(jù)更加安全可靠等，就需要系統(tǒng)在上云前做相應(yīng)的改造或者開發(fā)新的業(yè)務(wù)系統(tǒng)來代替原業(yè)務(wù)功能，該如何做呢？主要從以下方面考慮：

■ 新系統(tǒng)可以采用spring cloud等微服務(wù)解決方案，基于spring boot等框架，進(jìn)行微服務(wù)改造，做到Cloud Native原生云系統(tǒng)。

■ 系統(tǒng)部署方面，拋出傳統(tǒng)的物理機(jī)、虛機(jī)部署，使用docker等容器等部署，采用主流的PAAS平臺(tái)，基于kubernetes、mesos、swarm等主流框架，管理容器化的應(yīng)用，實(shí)現(xiàn)開發(fā)、測(cè)試、運(yùn)維的devops一體化管理，打通軟件研發(fā)管理全流程。

5.3 基礎(chǔ)平臺(tái)上云

除了基礎(chǔ)設(shè)施及業(yè)務(wù)系統(tǒng)，對(duì)于一些通用的基礎(chǔ)平臺(tái)，如大數(shù)據(jù)、區(qū)塊鏈、物聯(lián)網(wǎng)、人工智能都是上云的方向，并且是未來的主流方向之一，不必重復(fù)建設(shè)復(fù)雜而又龐大的平臺(tái)，直接使用云上的大數(shù)據(jù)、區(qū)塊鏈、物聯(lián)網(wǎng)、人工智能等服務(wù)，更好的為業(yè)務(wù)服務(wù)，開發(fā)更多的業(yè)務(wù)場(chǎng)景，提升資源使用效率，獲得更高的利潤。

6 云計(jì)算架構(gòu)

6.1 云計(jì)算概述

云計(jì)算在企業(yè)架構(gòu)中主要與IT架構(gòu)有關(guān)，與應(yīng)用架構(gòu)、技術(shù)架構(gòu)、安全架構(gòu)、數(shù)據(jù)架構(gòu)都有關(guān)系。

下圖為IBM CCRA參考架構(gòu)，定義了構(gòu)成云計(jì)算環(huán)境的基本架構(gòu)元素：

云計(jì)算架構(gòu)，有很多種描述，主要是以IBM CCRA模型為基礎(chǔ)，每個(gè)企業(yè)在落地時(shí)有不同的特點(diǎn)，在此不贅述。簡單來說，云計(jì)算是由計(jì)算/網(wǎng)絡(luò)/存儲(chǔ)等資源池、云服務(wù)、云管理平臺(tái)、云安全等組件組成的，通過軟件定義的方式為客戶提供IAAS、PAAS、SAAS、CAAS等云服務(wù)。

資源池是基礎(chǔ)。資源池是云計(jì)算的承載體，主要包括計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)等資源 。沒有資源池，云服務(wù)、云管理是空中樓閣，無法落地。

云管理是平臺(tái)。云管理平臺(tái)對(duì)所有資源進(jìn)行統(tǒng)一管理、調(diào)度，對(duì)資源進(jìn)行全生命周期的管理。

云服務(wù)是核心。將各種資源打包成服務(wù)，由云平臺(tái)調(diào)度，為使用者提供服務(wù)，主要提供IAAS/PAAS/SAAS等服務(wù)

虛擬化、容器等都是資源池的實(shí)現(xiàn)技術(shù)基礎(chǔ)，有了虛擬化、容器技術(shù)，可以更方便、快捷的提供IT基礎(chǔ)設(shè)施服務(wù)。

6.2 資源池

云計(jì)算最基礎(chǔ)的是資源池，涵蓋計(jì)算資源池、存儲(chǔ)資源池、網(wǎng)絡(luò)資源池等，計(jì)算資源池又分、X86虛擬化資源池、POWER資源池、Mysql/Redis資源池、大數(shù)據(jù)資源池、GPU資源池等等，主要有以下幾類：

1、 X86虛擬化資源池。以vmware esxi、kvm、xen等技術(shù)為主，私有云采用vmware較多，公有云及行業(yè)云等主要以kvm技術(shù)為主；

2、 小型機(jī)資源池。以PowerVM為主，主要采用Power虛擬化技術(shù)；

3、 裸金屬資源池。為用戶提供裸金屬服務(wù)器，滿足部署不適合做虛擬化部署的需求，主要以X86服務(wù)器上安裝Oracle RAC、Mysql、以及應(yīng)用軟件等；

4、 大數(shù)據(jù)資源池。部署大數(shù)據(jù)類基礎(chǔ)軟件，存儲(chǔ)、計(jì)算大量數(shù)據(jù)，挖掘數(shù)據(jù)價(jià)值。

6.2.1 網(wǎng)絡(luò)區(qū)域規(guī)劃

資源池需要部署到實(shí)際的網(wǎng)絡(luò)區(qū)域中，比如傳統(tǒng)的金融企業(yè)一般會(huì)分為幾個(gè)區(qū)域：

1、 內(nèi)網(wǎng)業(yè)務(wù)區(qū)。該區(qū)域主要部署內(nèi)部系統(tǒng)的區(qū)域，基本上企業(yè)核心的系統(tǒng)都在此部署，屬于一個(gè)功能完備的區(qū)域，既有WEB、AP又有DB、大數(shù)據(jù)等；

2、 運(yùn)行管理區(qū)。該區(qū)域主要部署保障IT系統(tǒng)運(yùn)維正常運(yùn)轉(zhuǎn)的維護(hù)管理類系統(tǒng)，如監(jiān)控、安全審計(jì)、批量調(diào)度、運(yùn)維大數(shù)據(jù)等；

3、 互聯(lián)網(wǎng)DMZ區(qū)。該區(qū)域主要起到隔離互聯(lián)網(wǎng)與內(nèi)部網(wǎng)絡(luò)的作用，互聯(lián)網(wǎng)業(yè)務(wù)請(qǐng)求通過該區(qū)域服務(wù)器做交易的轉(zhuǎn)發(fā)（交易不落地）到內(nèi)部業(yè)務(wù)區(qū)域做業(yè)務(wù)處理；

4、 外聯(lián)網(wǎng)DMZ區(qū)。該區(qū)域和互聯(lián)網(wǎng)DMZ區(qū)起到相同的作用，不同的是所連接是外部合作機(jī)構(gòu)，而不是互聯(lián)網(wǎng)渠道，相對(duì)互聯(lián)網(wǎng)來說，外聯(lián)網(wǎng)所連接的機(jī)構(gòu)相對(duì)可信一些。

6.2.2 資源池架構(gòu)

云計(jì)算最基礎(chǔ)的是資源池，涵蓋計(jì)算資源池、存儲(chǔ)資源池、網(wǎng)絡(luò)資源池等，計(jì)算資源池又分、X86虛擬化資源池、POWER資源池、Mysql/Redis資源池、大數(shù)據(jù)資源池、GPU資源池等等，下面我們以使用最多企業(yè)內(nèi)部使用的私有云X86虛擬化資源池和Power數(shù)據(jù)庫資源池為例，大致說明資源池的架構(gòu)。

■ X86虛擬化資源池

某企業(yè)采用的X86虛擬化資源池，以CDP（云部署單元）為單位，每個(gè)資源池可以包含N個(gè)CDP，每個(gè)CDP包含3個(gè)獨(dú)立的集群，每個(gè)集群包含16臺(tái)X86服務(wù)器和1臺(tái)NAS（做root盤），保證各條通路的相對(duì)獨(dú)立性，避免生產(chǎn)故障蔓延，應(yīng)用的部署單元以3的倍數(shù)部署，保證高可用。這個(gè)架構(gòu)的高可用性是很高的，基本從底層、網(wǎng)絡(luò)、服務(wù)器、板卡、接線等硬件層面到上層的應(yīng)用部署都考慮到了，運(yùn)行六七年來未發(fā)生過生產(chǎn)事故，資源池物理部署圖如下：

■ Power資源池

Power服務(wù)器在企業(yè)中使用還是比較廣泛的，雖然近年來受到互聯(lián)網(wǎng)去IOE架構(gòu)的影響，很多互聯(lián)網(wǎng)企業(yè)甚至一些小的企業(yè)不再使用，但是在中大型及一些高可用要求高的小企業(yè)中使用還是很廣泛的?；赑owerVM虛擬化技術(shù)，構(gòu)建Power資源池，是很多企業(yè)采用的策略，尤其是銀行、證券等金融行業(yè)。

Power資源池提供全面的HA LPM（在線分區(qū)遷移） RR（遠(yuǎn)程重啟） GDR（容災(zāi)）一站式高可用方案，相比傳統(tǒng)物理機(jī)HA方案增強(qiáng)了高可用，消除了高可用的盲區(qū)。

Power資源池是基于企業(yè)級(jí)高端虛擬化 架構(gòu)的最佳實(shí)踐，并非泛指的云平臺(tái)，可以承載原先小型機(jī)、PC服務(wù)器平臺(tái)運(yùn)行的幾乎所有業(yè)務(wù)，通常建議可用作除關(guān)鍵業(yè)務(wù)外的大部分?jǐn)?shù)據(jù)庫及應(yīng)用的整合平臺(tái)，有以下的好處：

• 分配同等虛擬資源情況下，相對(duì)與同代Power物理服務(wù)器提供相當(dāng)性能，并通過高端服務(wù)器整合提供更高的彈性性能和擴(kuò)展性；

• 對(duì)于整合舊Unix、PC服務(wù)器的場(chǎng)景，提供多倍于原系統(tǒng)的開放平臺(tái)最高單核性能來加速應(yīng)用，并提供更大的性能彈性和擴(kuò)展性；

• 少數(shù)需要極端網(wǎng)絡(luò)、存儲(chǔ)IO吞吐量和響應(yīng)時(shí)間的應(yīng)用，建議單獨(dú)評(píng)估測(cè)試；

• 典型軟件包括數(shù)據(jù)庫、中間件、各類企業(yè)軟件套件如ERP、自研應(yīng)用等。Oracle/DB2/WAS/SAP等主流軟件都認(rèn)證PowerVM虛擬化并有大量部署案例。

典型的應(yīng)用場(chǎng)景示例：銀行：除核心、前置等最重要一二十套系統(tǒng)以外的數(shù)據(jù)庫、應(yīng)用等；政府：除幾套關(guān)鍵系統(tǒng)外，其他數(shù)據(jù)庫、中間件服務(wù)器整合；企業(yè)：ERP、數(shù)據(jù)庫服務(wù)器整合。 

6.3 云服務(wù)

我們常說的云計(jì)算的云服務(wù)主要分為三種：IAAS、PAAS、SAAS（隨著發(fā)展衍生出很多種XX即服務(wù)，最基礎(chǔ)的還是這三類）基礎(chǔ)云服務(wù)。

6.3.1 基礎(chǔ)云服務(wù)

IaaS: Infrastructure-as-a-Service（基礎(chǔ)設(shè)施即服務(wù)）。提供給消費(fèi)者的服務(wù)是對(duì)所有計(jì)算基礎(chǔ)設(shè)施的利用，包括處理CPU、內(nèi)存、存儲(chǔ)、網(wǎng)絡(luò)和其它基本的計(jì)算資源，用戶能夠部署和運(yùn)行任意軟件，包括操作系統(tǒng)和應(yīng)用程序。主要指為客戶提供安裝了最基礎(chǔ)的OS的虛機(jī)/物理機(jī)，提供最基礎(chǔ)的計(jì)算能力。

PaaS: Platform-as-a-Service（平臺(tái)即服務(wù)）。提供給消費(fèi)者的服務(wù)是把客戶采用提供的開發(fā)語言和工具開發(fā)的或收購的應(yīng)用程序部署到供應(yīng)商的云計(jì)算基礎(chǔ)設(shè)施上去。通俗說就是安裝了weblogic、tomcat、mysql中間件或數(shù)據(jù)庫產(chǎn)品的虛機(jī)/物理機(jī)，可以直接供客戶進(jìn)行軟件部署或者開發(fā)/運(yùn)行環(huán)境搭建等。

SaaS: Software-as-a-Service（軟件即服務(wù)）。提供給客戶的服務(wù)是運(yùn)營商運(yùn)行在云計(jì)算基礎(chǔ)設(shè)施上的應(yīng)用程序，用戶可以在各種設(shè)備上通過客戶端界面訪問，如郵件系統(tǒng)、CRM客戶管理等。消費(fèi)者不需要管理或控制任何云計(jì)算基礎(chǔ)設(shè)施，包括網(wǎng)絡(luò)、服務(wù)器、操作系統(tǒng)、存儲(chǔ)等等。

 在企業(yè)內(nèi)部IT基礎(chǔ)設(shè)施云，我們一般的關(guān)注點(diǎn)在IAAS和PAAS，為企業(yè)業(yè)務(wù)系統(tǒng)提供快速、彈性、敏捷、高效的基礎(chǔ)設(shè)施服務(wù)。如下表是常見的IAAS及PAAS服務(wù)：

6.3.2 高級(jí)云服務(wù)

除了傳統(tǒng)的IAAS、PAAS、SAAS服務(wù)，還可以考慮發(fā)展更高級(jí)的云服務(wù)，如云數(shù)據(jù)庫RDS、分布式緩存、函數(shù)調(diào)用、云應(yīng)用市場(chǎng)、GPU、物聯(lián)網(wǎng)、人工智能、機(jī)器學(xué)習(xí)等云服務(wù)，甚至可以使用serverless云服務(wù)。下面主要介紹一下RDS及物聯(lián)網(wǎng)、人工智能的云服務(wù)。

■ 云數(shù)據(jù)庫RDS 

云關(guān)系型數(shù)據(jù)庫（RDS）是一種穩(wěn)定可靠、可彈性伸縮的在線數(shù)據(jù)庫服務(wù)，支持MySQL、SQL Server、PostgreSQL、MariaDB等引擎，并且提供了主從熱備、容災(zāi)、備份、回檔、恢復(fù)、監(jiān)控、快速擴(kuò)縮容、遷移等方面的全套解決方案，無需DBA過多干預(yù)就可以快速提供數(shù)據(jù)庫服務(wù)。

如下圖是一個(gè)典型的RDS云數(shù)據(jù)庫的架構(gòu)：

■ 物聯(lián)網(wǎng)

物聯(lián)網(wǎng)（The Internet of things），是在“互聯(lián)網(wǎng)概念”的基礎(chǔ)上，將其用戶端延伸和擴(kuò)展到任何物品與物品之間，進(jìn)行信息交換和通信的一種網(wǎng)絡(luò)概念，是信息科學(xué)技術(shù)產(chǎn)業(yè)的第三次革命。下圖是物聯(lián)網(wǎng)的四層架構(gòu)，主要分了感知層、傳輸層、平臺(tái)層和應(yīng)用層，其中，感知層是物聯(lián)網(wǎng)的底層，是物聯(lián)網(wǎng)應(yīng)用和發(fā)展的基礎(chǔ)。利用RFID技術(shù)、傳感等技術(shù)，實(shí)現(xiàn)對(duì)物理世界的智能感知、識(shí)別及控制等。物聯(lián)網(wǎng)的傳輸層分為有線傳輸和無線傳輸，無線傳輸可按距離分為短距離傳輸和長距離傳輸，主要講述無線傳輸。物聯(lián)網(wǎng)的平臺(tái)層分為四大平臺(tái)，分別為連接管理平臺(tái)（CMP）、設(shè)備管理平臺(tái)(DMP)、應(yīng)用使能平臺(tái)(AEP)和業(yè)務(wù)分析平臺(tái)(BAP)。平臺(tái)層用于數(shù)據(jù)的分析與處理，后應(yīng)用于各個(gè)行業(yè)。

■ 人工智能

人工智能（Artificial Intelligence），英文縮寫為AI。它是研究、開發(fā)用于模擬、延伸和擴(kuò)展人的智能的理論、方法、技術(shù)及應(yīng)用系統(tǒng)的一門新的技術(shù)科學(xué)。

人工智能的云服務(wù)可以分為很多種，如智能語音識(shí)別與交互、人臉識(shí)別、圖像識(shí)別、自然語言處理、機(jī)器學(xué)習(xí)、數(shù)據(jù)可視化等。

人工智能的技術(shù)可以應(yīng)用很多很廣的場(chǎng)景及業(yè)務(wù)，不僅限于業(yè)務(wù)，人工智能技術(shù)也應(yīng)用在了銀行IT運(yùn)維工作中，如數(shù)據(jù)中心的智能化運(yùn)維AIOPS，使用海量運(yùn)維數(shù)據(jù)，發(fā)展智能運(yùn)維，自動(dòng)發(fā)現(xiàn)問題、分析問題、處理問題，達(dá)到系統(tǒng)故障自愈，還可以利用態(tài)勢(shì)感知，對(duì)故障進(jìn)行預(yù)測(cè)等。

■ Serverless

未來的應(yīng)用應(yīng)該是不依賴于底層的虛擬機(jī)，而是建立在一些serverless的云服務(wù)之上，例如開發(fā)一個(gè)應(yīng)用，直接使用云上的負(fù)載均衡，調(diào)用云上的身份認(rèn)證，使用云上應(yīng)用市場(chǎng)的服務(wù)，把數(shù)據(jù)存放在RDS中，然后用云監(jiān)控進(jìn)行故障分析，用服務(wù)治理進(jìn)行相關(guān)的服務(wù)監(jiān)控及調(diào)優(yōu)，使用devops提升效率…這種云模型的高級(jí)使用，徹底拋棄了自行申請(qǐng)操作系統(tǒng)并安裝中間件數(shù)據(jù)庫的方式，也是應(yīng)用上云的架構(gòu)改變。

serverless架構(gòu)主要包括BaaS（后端即服務(wù)：Backend as a Service）和Faas（函數(shù)即服務(wù)：Functions as a Service）這兩種架構(gòu)，他們沒有一直運(yùn)行的定制服務(wù)存在，不占用服務(wù)商的計(jì)算資源，同共享單車有些類似，是計(jì)算機(jī)分時(shí)租賃方式，按次按時(shí)計(jì)價(jià)。

Serverless主要的優(yōu)勢(shì)是低運(yùn)營成本、簡化設(shè)備運(yùn)維、提高可維護(hù)性、更快的開發(fā)速度。缺點(diǎn)是目前還少有大型成功案例，無法適應(yīng)所有的場(chǎng)景。

6.4 云管理

有了資源池、有了云服務(wù)，如何將各類資源池有機(jī)結(jié)合在一起管理，實(shí)現(xiàn)快速、敏捷、高效、彈性的提供基礎(chǔ)設(shè)施服務(wù)，需要云管理平臺(tái)來解決，在云管理平臺(tái)路線選擇上每個(gè)企業(yè)都是不同的，但是主要由幾種方式，做個(gè)簡要介紹：

■ 開源Openstack。采用開源Openstack，可以利用開源社區(qū)的優(yōu)勢(shì)，獲取知識(shí)較快，落地相對(duì)也較快，但是需要投入比較熟悉Openstack的人員自己研究、測(cè)試、持續(xù)跟蹤、升級(jí)，尤其是在沒有外部專家人力的情況下，升級(jí)、迭代會(huì)比較困難。

■ 自主研發(fā)。自主研發(fā)云平臺(tái)最大的好處是貼近需求，可以把企業(yè)所有的資產(chǎn)管理、IT流程、自動(dòng)化、配置管理等所有集成在一套平臺(tái)上，提供端到端、場(chǎng)景化的IT基礎(chǔ)設(shè)施服務(wù)，難點(diǎn)是投入大、開發(fā)周期長，而且必須要持續(xù)開發(fā)。

■ 商業(yè)產(chǎn)品。采購一款商業(yè)產(chǎn)品（可以是廠商閉源廠品或者OpenStack商業(yè)化產(chǎn)品），這種方式見效最快，但是不一定完全貼近需求，往往需要二次開發(fā)。

6.5 云安全

企業(yè)上云后，系統(tǒng)的安全性會(huì)集中暴露出來，不管是網(wǎng)絡(luò)安全，還是數(shù)據(jù)安全的維度，還是監(jiān)管安全、企業(yè)風(fēng)險(xiǎn)安全的維度，同時(shí)云的技術(shù)特點(diǎn)決定了云上的安全與傳統(tǒng)安全的區(qū)別。

考慮云計(jì)算安全，首先要滿足企業(yè)所在行業(yè)對(duì)信息技術(shù)安全的要求，如監(jiān)管部門對(duì)金融業(yè)的要求，必須滿足信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)中第3級(jí)（即等保3級(jí)），部分核心系統(tǒng)甚至要滿足等保4級(jí)的要求。

下面是云安全所需要考慮的簡單的云計(jì)算安全框架，可以從幾個(gè)方面來考慮云安全：

這個(gè)框架主要包括以下幾個(gè)方面：

6.5.1 基礎(chǔ)設(shè)施硬件安全

基礎(chǔ)設(shè)施硬件安全主要包括：

■ 機(jī)房安全：

顧名思義，機(jī)房安全主要考慮承載云計(jì)算的IDC機(jī)房的安全管理，涵蓋region、az地點(diǎn)的選擇、園區(qū)/機(jī)房的風(fēng)火水電安全等，如機(jī)房供電要來自多個(gè)供電公司的獨(dú)立變電所，防止數(shù)據(jù)中心全局性的單路供電全安全，為防止極端情況突然停電，還要有UPS短期不間斷為設(shè)備供電，以及柴油發(fā)電機(jī)，應(yīng)對(duì)長時(shí)間斷電場(chǎng)景等。

■ 網(wǎng)絡(luò)安全：

網(wǎng)絡(luò)安全主要考慮網(wǎng)絡(luò)服務(wù)要來自多個(gè)運(yùn)營商、多條線路，防止網(wǎng)絡(luò)中斷等；外部、內(nèi)部所有的網(wǎng)絡(luò)連接、網(wǎng)絡(luò)接入都要有多線路冗余，能夠在單鏈路中斷服務(wù)網(wǎng)絡(luò)服務(wù)不間斷等。

■ 設(shè)備安全’

關(guān)鍵功能的設(shè)備應(yīng)采用高可用配置或采用其它技術(shù)手段使該功能不存在單點(diǎn)故障，設(shè)備應(yīng)支持設(shè)備運(yùn)行狀態(tài)和資源的監(jiān)控功能并支持在發(fā)生異常情況時(shí)發(fā)出告警；關(guān)鍵業(yè)務(wù)集群主機(jī)應(yīng)跨機(jī)柜、跨機(jī)房或跨數(shù)據(jù)中心高可用部署等。

6.5.2 云計(jì)算軟件安全

云計(jì)算軟件安全主要包括虛擬化軟件、云管理平臺(tái)、IT服務(wù)管理等軟件的安全，也包括各類資源池的安全，如計(jì)算資源池、存儲(chǔ)資源池、網(wǎng)絡(luò)資源池等。

■ 基礎(chǔ)軟件安全

基礎(chǔ)軟件應(yīng)從多個(gè)方面保證安全，如應(yīng)確保接口之間進(jìn)程調(diào)用通過認(rèn)證；應(yīng)具備內(nèi)核補(bǔ)丁檢測(cè)、加固及防止內(nèi)核提權(quán)的能力；應(yīng)保證用戶接入云管理平臺(tái)通信的保密性和完整性，應(yīng)具備對(duì)基礎(chǔ)軟件漏洞及時(shí)發(fā)現(xiàn)并修復(fù)的能力等。

■ 計(jì)算資源池安全

計(jì)算資源池安全主要包括虛擬化軟件的安全（如版本的選擇，補(bǔ)丁、漏洞的修補(bǔ)等），資源池的管理上要有身份鑒別、安全控制、安全審計(jì)、入侵防范、惡意代碼防范、鏡像和快照的保護(hù)等。

■ 存儲(chǔ)資源池安全

存儲(chǔ)資源池同樣包括存儲(chǔ)軟件的安全，以及管理上的安全等，如多層級(jí)訪問級(jí)別控制和跨物理集群賬號(hào)權(quán)限管理，要有數(shù)據(jù)的異地備份和備份數(shù)據(jù)一致性的能力，多租戶間數(shù)據(jù)隔離的能力，多副本、加密、安全傳輸、故障自動(dòng)恢復(fù)、數(shù)據(jù)快速恢復(fù)等能力。

■ 網(wǎng)絡(luò)資源池安全

網(wǎng)絡(luò)資源池安全主要考慮網(wǎng)絡(luò)架構(gòu)安全以及訪問控制、安全審計(jì)、惡意防范、惡意代碼防范等安全內(nèi)容，如虛擬網(wǎng)絡(luò)全冗余設(shè)計(jì)，保證無單點(diǎn)、提供應(yīng)用負(fù)載進(jìn)行彈性擴(kuò)容的能力，在流量波動(dòng)情況下也不中斷對(duì)外服務(wù)，VPC隔離能力、網(wǎng)絡(luò)流量監(jiān)控、隔離能力等，

6.5.3 服務(wù)層安全

主要包括IAAS服務(wù)、PAAS服務(wù)、SAAS服務(wù)的安全，其中重點(diǎn)的包括一些所選用軟件的安全管理、數(shù)據(jù)安全、應(yīng)用安全等，這里主要講講數(shù)據(jù)安全及應(yīng)用安全方面。

■ 數(shù)據(jù)安全

數(shù)據(jù)是企業(yè)信息科技的核心資產(chǎn)，核心數(shù)據(jù)一旦丟失、泄露、被篡改、被刪除將會(huì)對(duì)企業(yè)造成很大的損失，其安全性非常高。數(shù)據(jù)安全主要考慮數(shù)據(jù)在產(chǎn)生、傳輸、存儲(chǔ)、訪問、遷移、銷毀、備份和恢復(fù)這些環(huán)節(jié)的安全性，如數(shù)據(jù)要分類標(biāo)記、存儲(chǔ)、保護(hù)，傳輸過程要加密、防范被破壞等，數(shù)據(jù)出生產(chǎn)區(qū)域要脫敏，控制數(shù)據(jù)訪問權(quán)限，數(shù)據(jù)要定時(shí)備份、異地存儲(chǔ)、驗(yàn)證恢復(fù)等。

■ 應(yīng)用安全

應(yīng)用安全主要考慮管理軟件及業(yè)務(wù)SAAS軟件的安全性，要有代碼后門審查的能力以及對(duì)代碼打包和發(fā)布進(jìn)行管控的能力，要能夠防范篡改、代碼注入、DoS/DDoS攻擊等，要有完善的交易日志、錯(cuò)誤日志等，具備、黑白名單訪問、應(yīng)用訪問異常情況進(jìn)行監(jiān)控識(shí)別的能力等。

6.5.4 安全管理

安全的管理是一個(gè)比較大的課題，從宏觀方面主要包括安全策略和制度、機(jī)構(gòu)和人員安全管理、安全系統(tǒng)、安全運(yùn)維等。

在云計(jì)算中，安全也可以作為服務(wù)存在，安全即服務(wù)，將一些安全制度、安全策略通過建模、抽閑、歸納最終可以形成一些安全的應(yīng)用系統(tǒng)和安全的組件，提供直接的安全場(chǎng)景服務(wù)或者供其他系統(tǒng)調(diào)用實(shí)現(xiàn)安全管理。

如某銀行在私有云建設(shè)過程中，基礎(chǔ)設(shè)施安全服務(wù)層實(shí)現(xiàn)了終端安全、系統(tǒng)安全、網(wǎng)絡(luò)安全、云安全等多個(gè)安全服務(wù)，應(yīng)用安全服務(wù)層實(shí)現(xiàn)了用戶認(rèn)證、客戶認(rèn)證、密碼服務(wù)、數(shù)據(jù)安全、安全監(jiān)控等多個(gè)安全服務(wù)，形成企業(yè)級(jí)一體化的策略管理，對(duì)整個(gè)框架進(jìn)行管理，各層服務(wù)進(jìn)行管控，落實(shí)安全策略、安全管控要求，最終實(shí)現(xiàn)企業(yè)級(jí)、統(tǒng)一的、涵蓋多維度的安全管理。

7 上云實(shí)踐步驟

7.1 組織架構(gòu)

企業(yè)上云工程比較復(fù)雜、繁瑣，可能需要從企業(yè)的價(jià)值鏈分析、建模，到業(yè)務(wù)流程的重構(gòu)，再到應(yīng)用系統(tǒng)的適配云化開發(fā)，再到基礎(chǔ)設(shè)施的云計(jì)算環(huán)境構(gòu)建，一環(huán)扣一環(huán)，需要上層領(lǐng)導(dǎo)重視、中層主導(dǎo)、下層實(shí)施，建立一體化的推進(jìn)組織，才能更好的完成云化建設(shè)。

7.2 云化策略

根據(jù)不同的系統(tǒng)實(shí)際情況，實(shí)施不同的策略：

業(yè)務(wù)重構(gòu)、系統(tǒng)新建。業(yè)務(wù)流程完全重構(gòu)，開發(fā)新的業(yè)務(wù)系統(tǒng)，采用新的技術(shù)上云。

業(yè)務(wù)不變、應(yīng)用改造。業(yè)務(wù)流程不變，應(yīng)用部分做改造，適應(yīng)云化基礎(chǔ)設(shè)施后上云。

業(yè)務(wù)不變、包裝上云。業(yè)務(wù)流程不變，應(yīng)用基本不變，基礎(chǔ)軟件升級(jí)或替換后上云。

業(yè)務(wù)不變、系統(tǒng)不變。暫不上云，待系統(tǒng)被代替自然消亡。

7.3 推進(jìn)計(jì)劃

項(xiàng)目管理辦公室（PMO）制定整體計(jì)劃，并負(fù)責(zé)推進(jìn)執(zhí)行，并協(xié)調(diào)各方資源、職能處室、廠商等共同根據(jù)計(jì)劃推進(jìn)。

7.4 部署實(shí)施

基礎(chǔ)設(shè)施根據(jù)云計(jì)算整體規(guī)劃、資源池方案、實(shí)施工藝、系統(tǒng)資源需求清單等，構(gòu)建云計(jì)算資源池、供給資源，提供應(yīng)用系統(tǒng)上線基礎(chǔ)環(huán)境。

7.5 數(shù)據(jù)遷移

根據(jù)老系統(tǒng)需求，做數(shù)據(jù)清洗、轉(zhuǎn)換、遷移進(jìn)入新系統(tǒng)環(huán)境，可以使用數(shù)據(jù)庫遷移（如ADG、mysql主從同步等）方案、存儲(chǔ)同步方案（NAS、SAN等）、工具遷移方案進(jìn)行數(shù)據(jù)遷移工作。

7.6 應(yīng)用上線

最終，應(yīng)用系統(tǒng)完成上線前的部署、技術(shù)測(cè)試、業(yè)務(wù)綠燈測(cè)試，將業(yè)務(wù)切換至新系統(tǒng)運(yùn)行，可能涉及到多系統(tǒng)聯(lián)合上線，并做好上線失敗后的回退方案。

■ 上線保障

上線過程中，需要提供人員、車輛、通訊、工位、辦公場(chǎng)地、食宿等后勤保障工作

■ 網(wǎng)絡(luò)切換

包括網(wǎng)絡(luò)訪問關(guān)系開通、DNS切換等網(wǎng)絡(luò)切換工作

■ 平臺(tái)切換

包括操作系統(tǒng)、數(shù)據(jù)庫的啟動(dòng)、運(yùn)行正常，保證搬遷環(huán)境的系統(tǒng)部署一切正常

■ 應(yīng)用切換

包括外部關(guān)聯(lián)應(yīng)用系統(tǒng)的切換（如指向原對(duì)外服務(wù)IP要改為指向新對(duì)外服務(wù)IP）、本應(yīng)用的切換（停止原系統(tǒng)應(yīng)用、啟動(dòng)新應(yīng)用，新應(yīng)用對(duì)外服務(wù)）等等

■ 業(yè)務(wù)驗(yàn)證

做完應(yīng)用切換后，需要技術(shù)人員及業(yè)務(wù)人員做好業(yè)務(wù)驗(yàn)證工作，保證業(yè)務(wù)切換成功