目录

第1章 项目概述
1.1 项目成员
1.2 项目简介
1.2.1 系统建设拓扑图
1.3 项目需求分析
第2章 云数据中心规划设计
2.1 整体架构设计
2.1.1 概念性设计
2.1.2 逻辑性设计
2.2 基础设施架构设计
2.2.1 计算区
2.2.2 存储区
2.2.3 网络区
2.3 数据中心云平台设计
2.3.1 数据中心云平台架构
2.3.2 异构云计算资源池统一管理
2.3.3 云平台服务设计
2.3.4 云平台服务管理
2.4 运维敏捷性设计
2.4.1 统一运维管理平台
2.4.2 云平台可扩展性
2.5 等级保护安全设计
第3章 配置清单
3.1 配置清单

第1章 项目概述

1.1 前情提要

1.2 项目简介
1.2.1 系统建设拓扑图
1.2.1.1 xxxxx大学智慧校园整体架构
xxxxx大学智慧校园架构分为五层，分别是基础设施层、公共平台层、业务应用层、统一门户层、业务安全保障层。
基础设施层：包括三个层次的基础设施架构，包括云服务（服务器即服务、存储即服务、桌面即服务等）、云数据中心（L1层机房设施，L2层IT设备）、云校园网络。这是建设智慧校园的基础。
公共平台层：保留公共支撑平台以及一些公共数据库，GIS地理位置信息数据库等。
业务应用层：xxxxx大学的URP系统，包括财务资产、教学科研、行政服务、生活服务等四大块。
统一门户层：综合信息服务Portal。
业务安全保障：包括网络安全、数据中心安全等，部署校园信息安全防御体系。
本期项目在老校区的数据中心建设，构建云平台承载校园业务，满足后续业务发展需求。


1.2.1.2 xxxxx大学智慧校园全景图

 
基于智慧校园的趋势分析，并结合xxxxx大学目前的现状及面临的诸多挑战，提出xxxxx大学的整体智慧校园的全景图（如上图）。
图中把主要的校园智慧业务分为六类：
 领先教研：即教学科研类业务，如教学资源平台、在线协作学习、数字图书馆、科研管理等业务；
 安心校园：即校园安全类业务，如学校安全监控、学校资产管理、学校应急调度、学校秩序管理等；
 绝色节能：园区电能计量管理统计、环境控制系统智能节能等；
 便捷生活：无线校园上网、校园一卡通、校园广播及信息发布等；
 智慧管理：校长仪表盘、办公协作、智能行为管理等；
把智慧校园的总体架构简单总结为：1（ICT架构） + 3（层次方案） + X（应用），如下图所示：
 “1”ICT架构：包括诸如云计算、物联网、虚拟化、SDN（软件定义网络）、统一通讯等ICT技术；
 “3”层次基础设施方案：包括云服务（服务器即服务、存储即服务、桌面即服务等）、云数据中心（L1层机房设施，L2层IT设备）、云校园网络。
 “X”应用：包括各种上层校园内的智慧应用，如教学平台、科研平台、综合管理平台、校园监控、能源管理、校园一卡通等。
本文将重点介绍3大层次的基础设施架构方案，以及“1”个应用—平安校园，这也是本规划方案中的重点内容。稳定可靠的“3”层次基础设施架构将灵活弹性支撑多种多样的上层应用。



1.3 项目需求分析
 有较高的可靠性和可用性，保障学校业务的正常运转；
 提倡绿色节能；
 满足学校部门多，操作种类复杂的要求；
 能够智能管理校园运行，减少专业人员维护；
 需要有安全监控，保障校园资产。

第2章 云数据中心规划设计

2.1 整体架构设计【有逻辑性】
2.1.1 概念性设计
xxxxx大学的智慧校园建设是一个复杂的系统工程，不可能一蹴而就，必须遵循 “统一规划、分步实施”和“以需求为导向，以应用促发展”的原则。
需要遵循以下原则：
 成熟性与发展性的统一的原则（发展性可为亮点）
工程建设应首先采用符合当前计算机及应用系统发展趋势的主流技术，技术先进并趋于成熟的，被公众认可的优质产品。既要保证当前系统的高可靠性，又能适应未来技术的发展，满足多业务发展的要求。要本着“有用、适用和好用”的原则，不片面追求软硬件设施的先进性，应强调整个系统的可连接性和整体布局、应用的合理性。


 先进性与实用性的统一
工程建设方案要面向未来，技术必须具有先进性和前瞻性和实用的原则，在满足性能价格比的前提下，坚持选用符合标准的，先进成熟的产品和开发平台。采用高可靠性设备，软硬件解耦。


 可管理性
由于整个系统涉及的部门、业务种类繁多，基础设施及网络、计算、存储等比较复杂，因此系统的可管理性就显得尤其重要。建立统一云数据中心管控平台，实现资源的统一调度，当一个云数据中心有问题时，可通过这个管控平台，依托自动化技术，实现全球资源的统一弹性调度，这一切的变化，客户是无感知的。


 标准化（可扩展性）
现有信息技术的发展越来越快，为了使该系统在未来运行过程中其技术能和整个信息技术的发展同步，系统应具有备灵活适应性和良好的可扩展性，系统的结构设计和产品选型要坚持标准化，首先采用国家标准和国际标准，其次采用广为流传的实用化工业标准。
 可靠性、安全性、保密性（可照搬）
智慧校园建设涉及面广，设计上要充分考虑其大量硬件设备、软件系统和数据信息资源的实时服务特点，要保证网络、系统、数据的安全，保证系统运行的可靠，防止单点故障，对涉密信息应充分保证其安全。对安全管理要充分考虑安全、成本、效率三者的权重，并求得适度的平衡。对整个系统要要有周密的系统备份方案设计。对系统主要的信息实行自动备份，以保证系统的异常情况的补救，并设有系统自动恢复机制。采取必要措施防止数据丢失，保证数据的一致性，保证系统运行过程中的高可靠性。


 独立性与开放性的统一
各系统相互独立同时又相互关联，因此在规划和设计过程中需要考虑本系统的独立性，以及多系统建的融合和关联。
 可配置性
由于整个系统建设涉及的部门比较多，业务种类比较复杂，因此系统的灵活配置性就显得非常重要，系统的可配置性应包括部门配置、人员角色配置、公文样式配置、处理流程配置等。
需求 涉及对象 措施
可靠，可用 基础设施；操作系统；数据等设备质量；链路冗余、热备机制；容灾备份，热迁移等
绿色节能 物理层基础设施 建设绿色机房；减少TCO，提高ROI
功能复杂 平台的建设 虚拟化技术；合理的分权分域
安全监管 物理资产；信息资产合理的等级保护制度
便捷运维 管理平台建设 统一的运维管理平台


2.1.2 逻辑性设计（基本通用，只需修改业务服务层）
云数据中心总体架构设计遵循面向业务需求的设计思路，基于模块化的设计方法，实现数据中心IT基础架构模块与业务模块松耦合，保证数据中心业务动态扩展和新业务快速上线。
使用特定规格产品设计，包括硬件、软件和应用规格化来提供简单可靠、易于部署和管理、便于扩展和升级的IT基础架构，为用户提供更好的投资保护，满足学校数据中心建设以及数据中心的可视化统一管控的需求。
学校云数据中心建设的逻辑架构参考如下：
整体架构自底向上为云机房基础设施层、云计算基础架构层（基础资源层和灾备层）、业务应用层、服务对象层，以及数据中心的安全保障和数据中心统一管理。
 云机房基础设施层：基于业务需求的模块化数据中心的设计与实现。
 云计算基础架构层：主要涉及基础资源层与容灾备份层
 基础资源层：也可叫云服务层，包括服务器设备、存储设备、网络设备、安全设备、虚拟化软件，以及通过虚拟化平台构建的虚拟化资源池，还有物理资源池，可以通过智能资源调度与管理平台对虚拟资源池与物理资源池统一管理，并对上层应用系统提供IT服务，云服务层是校园信息化的基础架构。云服务层还包括高性能计算解决方案、大数据平台方案等。
 计算：本解决方案所提供的计算系统的设备为服务器，服务器要配合数据中的的云操作系统，可以为用户提供高计算密度、高资源利用率、以业务为导向的易管理的计算系统。根据实际业务需求，结合安全和管理需求，除数据库服务器和管理服务器不虚拟化外，其他服务器将充分采用虚拟化技术。
服务器多通道接入多个网络：
1、服务器的多通道，隔离和提高IO能力，采用物理隔离的多个网络接口，充分发挥CPU的高性能。
2、四网多通道分离优点：
整网按区域分为多个业务网络
整网一个管理网络，一个备份网络，一个IP存储网络
业务网络、管理网络、存储网和备份网络流量分离，服务器通过不同的网卡分别接入不同的网络，提升网络的整体可靠性。
 存储:存储与计算分离，存储采用FC SAN连接主存储阵列。通过虚拟化集中部署，动态分配和调用资源，实现计算和存储资源的高效管理。同时部署大数据存储服务，高性能计算服务。
 虚拟化平台：统一虚拟化平台通过对服务器物理资源的抽象，将CPU、内存、I/O等服务器物理资源转化为一组统一管理、可灵活调度、动态分配的逻辑资源，并基于这些逻辑资源在单个物理服务器上构建多个同时运行、相互隔离的虚拟机执行环境。
 虚拟资源池：采用虚拟化技术实现IT基础设施的资源池化 ，为上层业务提供IT资源弹性供给，更好地实现IT资源共享，提高利用率 ，快速响应业务需求。
 物理资源池：重点是X86物理资源池，包括数据库物理机部署以及物理机集群等。
 智能资源调度与管理：同时提供物理资源和虚拟资源的统一监控管理，进而提供全生命周期资源服务。即对计算、存储、网络资源的池化管理构建虚拟数据中心。
 容灾备份层：提供容灾和备份的解决方案。考虑业务的连续性，按照容灾等级可以提供应用容灾和数据容灾，在本项目中主要考虑核心业务如管理平台与资源平台的数据的安全性与业务的连续性。
 构建本地备份系统，实现基础数据库系统备份与虚拟机系统备份，实现数据库数据与业务运行环境保护。
 建设双活灾备系统，首先实现数据库存储级数据双活容灾，再实现业务级双活容灾。
 业务应用层：包括学校的核心业务，如一卡通系统、教务系统、教学系统、科研系统、办公系统、邮件系统等，以及包括支撑校内主要业务、共享数据和交互数据等内容的核心数据管理，是学校各机构整体信息化的基础数据环境。各种业务数据来源包括由学校各部处和院系等现有的各种业务处理应用系统（例如教务、办公、一卡通等应用系统）等提供的业务数据。
 服务对象层：涉及到业务应用层的使用者，可以通过统一门户平台获取到相关的服务。
 数据中心安全保障：一体化安全保障系统从物理设施安全、网络安全、主机安全、虚拟化安全、数据安全、应用安全、用户接入安全、安全管理等多层次为政务系统运行提供全方位安全保障。
 数据中心统一运维管理：云数据中心运维管理采用开放的管理架构和模块化的设计思路，根据云数据中心管理需求配置运维管理模块。主要管理模块包括服务管理、统一管理门户、服务流程管理、综合监控管理以及云计算平台管理。为了保证方案的开放性和可扩张性，运维管理架构采用业界成熟管理产品与管理产品相结合。
 管理区负责数据中心的日常运维工作，管理网络分为帯内网络和带外网络。
 带外网络：与数据中心的业务网络完全隔离，保证管理的可靠性，是优选方案
 管理区网络设备之间建议采用百兆互联
 数据中心的管理建议使用带外网管
 部署要点：独立管理区域，网络设备可用带外网口，运行网管协议实现网络管理、数据收集和实时监控功能。
2.2 基础设施架构设计【有技术含量】
云数据中心建设内容包含网络、服务器、存储等基础设备的部署与管理，核心业务如
根据具体场景分析（校园管理公共服务平台、数字图书馆、邮件系统等业务的云平台部署，平安校园监控、视频教学的物理部署，桌面云办公平台部署。）
云数据中心物理架构示意图如下：
本项目中，将数据中心的物理部署架构分成了三区，即网络区、服务器区、存储区。
2.2.1 计算区
提供计算能力的服务器设备，服务器要配合虚拟化操作系统，为用户提供高计算密度、高资源利用率、以业务为导向的易管理的计算系统。根据实际业务需求，结合安全和管理需求，除一些特殊应用不虚拟化外，其他服务器将充分采用虚拟化技术。
云计算架构关键 技术
 超大规模资源调度算法
 异构集成技术
 应用无关的可靠性保障技术
 单VM及多VM的弹性伸缩技术
 计算近端IO性能加速技术
 网络虚拟化技术
 应用管理自动化技术


设计目标：
1、服务器区提供各种类型服务器接入，并支持服务器自身容错功能
2、部署防火墙确保服务器安全
3、部署负载均衡提升服务器的访问效率
方案：
汇聚设备配置VLAN/ACL对分区内不同业务进行隔离
汇聚层采用旁挂方式，部署高性能防火墙，可以是框式设备或者是防火墙集群
LB1负责整个分区内应用负载均衡
LB2在子区内（可选），为区域内应用提供负载均衡
可选配置NetStream，实现流量分析和管理
2.2.2 存储区
存储与计算分离，虚拟化平台业务存储采用FC SAN连接主存储阵列。通过虚拟化集中部署，动态分配和调用资源，实现计算和存储资源的高效管理。同时对于核心业务数据通过镜像卷技术实现本地存储高可用，以及后续的双数据中心容灾的平滑演进。对于非结构化数据的多媒体应用业务，存储采用NAS存储提供高带宽、高并发的文件共享服务。


2.2.2.1 存储资源池设计
存储系统应采用先进、成熟的技术和优良的系统设计，使系统在整体上具有很快的响应速度和更高的数据带宽，可长时间承受大量用户极高的访问频率和访问速度。在系统设计中，应切合云主机应用，将不同特点的数据均存储在大型集中的的存储设备中，使整个存储系统具有高可靠性、异构平台共享、高性价比、可扩展、易管理、易使用、性能优良等一系列优势，并能平滑地升级扩展，很好地适应数据存储技术的发展，满足学校的中长期发展的数据存储需求。
当前虚拟主机数量及类型多，要求存储系统能够提供非常好的兼容性将主机各应用系统接入；应用系统和操作系统差别很大，要求存储系统必须提供统一的数据保护方案，简化方案的部署和维护；存储设备比较多，要求建设方案能够将现有和新增的存储设备进行统一的管理、配置、数据保护和存储应用。业务扩展需求，要求系统必须是一个开放的平台，能够在线扩展存储容量和应用，能够平滑升级存储数据保护层次。
鉴于本项目复杂的现网情况和丰富的业务需求，存储与计算分离，虚拟化平台业务存储采用FC SAN连接主存储阵列。通过虚拟化集中部署，动态分配和调用资源，实现计算和存储资源的高效管理。同时对于核心业务数据通过镜像卷技术实现本地存储高可用，以及后续的双数据中心容灾的平滑演进。对于非结构化数据的多媒体应用业务，存储采用NAS存储提供高带宽、高并发的文件共享服务。
2.2.2.2 异构存储整合
基于VIS6600T的虚拟化方案拓扑
在生产中心SAN架构网络层需要加入VIS6600T虚拟化智能设备一台，实现对异构存储系统的整合和统一管理。
VIS6600T存储虚拟化是基于存储网络的虚拟化，通过为数据管理系统提供了一层虚拟的“卷”的逻辑设备，来屏蔽异构存储设备的差异，并通过对逻辑卷的管理，克服硬件设备的物理局限性和差异性，使逻辑卷可以跨越多个物理磁盘。另外，VIS6600T能在系统处于活动状态时动态配置磁盘存储区。
客户处主机数量多、类型丰富，操作系统和应用也各不相同。VIS6600T具备非常好的兼容性，不但可以支持UNIX、Windows、Linux等主流操作系统，而且可以兼容VMware、Hyper-V、Citrix XenServer等主流虚拟机软件。
VIS6600T可以完成对于客户处所有阵列的统一管理以及统一数据保护，大大简化了网络架构、提升了工作效率。客户处原有阵列常常需要分散管理，耗费较多人力和精力。部署完VIS6600T以后，可以实现多台阵列的统一管理，节约了管理成本，简化了管理难度。
为保证虚拟化前后数据状态的一致性，VIS6600T通过一系列保障技术，能够使得虚拟化后的数据与虚拟化之前的数据状态保持一致，这就避免了虚拟化过程中复杂的数据迁移和恢复过程，不仅大大简化了虚拟化的实施，而且减少了系统的停机时间，提高了业务的连续性。
VIS6600T能够在线扩展存储容量和应用，客户处新增存储阵列或者新增业务主机可轻松加入现有网络,实现系统平滑升级。
同时，VIS6600T产品可以提供丰富的数据管理功能，这些功能可以适用于VIS6600T管理的所有存储系统。主要可以提供的软件特性列举如下：
1. 提供高级的数据复制功能：能跨多种存储系统复制数据 ，实现同城或者跨越城市的远距离容灾解决方案。
2. 提供高级的远程镜像功能：利用远程镜像功能，可实现基于FC通道的同步远程容灾解决方案。
2.2.2.3 本地高可用保障
本地高可用解决方案通过存储虚拟化和卷镜像技术，实现存储的高可用部署 ，结合主机层集群技术如Oracle RAC等实现业务连续性本地高可用解决方案，当故障发生时，确保备用服务器，备用网络和备用存储能快速自动的实现业务的冗余访问。避免但设备故障引发的业务长时间中断。
应用层通过主机集群或者应用程序集群实现高可用组网，当任一主机故障之后应用自动切换到其他主机。应用主机安装多路径软件UltraPath，提高数据传输的可靠性，保障应用主机与存储阵列之间的路径安全性。
存储层通过冗余的FC交换机、VIS虚拟化网关的异构虚拟化特性实现阵列间数据同步镜像，达到高可用组网。当任一交换机、磁盘或者存储阵列故障，不影响主机应用。




2.2.3 网络区
即数据中心网络架构层，采用扁平化二层网络架构（核心层、接入层），使用网络虚拟化技术，核心交换机承担着核心层和汇聚层的双重任务。


LFR“无环以太网” 构建无间断数据中心
1、通过堆叠（IStack）/集群（CSS）技术保证节点的可靠性；一台设备故障后，另一台设备自动接管所有的业务
2、CSS+LAG+iStack端到端可靠性架构打造无间断数据中心，保证业务持续运营
3、多台接入层堆叠，2台汇聚层集群，2台核心交换机集群
方案特色：
1、无环以太网简化网络架构，收敛时间远优于xSTP，收敛时间到达ms级
2、提升链路利用率，采用逐流方式负载均衡，支持不同负载分担方式，二层报文，IP报文。
3、转发支持本地优先转发策略，减少设备间转发，配置简单，不易引入配置故障，不需要配置多数可靠性的协议，如VPPR等。
4、链路的可靠性保证，通过Trunk技术，一条或多条链路故障后，流量自动切换到其他正常链路
高效的框式交换机集群方案（CSS）
 

【备案】


服务器区主要包括核心业务的云计算资源池，非结构化数据业务的物理集群的物理资源池。
 云计算资源池：通过统一虚拟化平台对服务器物理资源的抽象，将CPU、内存、I/O等服务器物理资源转化为一组统一管理、可灵活调度、动态分配的逻辑资源，并基于这些逻辑资源在单个物理服务器上构建多个同时运行、相互隔离的虚拟机执行环境，虚拟资源池是通过这些逻辑资源构建的。在本项目中，针对邮件系统、办公系统、一卡通系统、教务系统、数字图书馆等教育相关的业务系统。通过虚拟化技术提高业务的敏捷性，使得教育应用在资源利用上弹性可伸缩。通过将业务与具体物理机解耦合，实现业务在计算资源池内灵活迁移，不受具体物理机故障的影响。云计算平台业务通常采用刀片服务器。
 物理资源池：对于非结构化数据的多媒体应用业务，如校园安全的视频监控业务、远程视频教学业务对于业务处理的实时性要求很高，业务数据的安全性要求也很高，建议采用物理机集群方式部署可以更好地保障业务高效性。对CPU和内存要求高的关键应用如校园监控，实时远程教学等可以选择4-8路CPU的机架服务器。
可池化---池化网络实现资源按需调度
A. 横向虚拟化：简化逻辑网络架构
B. 纵向虚拟化：网络资源按需分配
可池化---负载均衡器实现IT资源共享
S9300 负载均衡器（灵活插卡）为每个应用建立一个服务器群组，根据服务器 CPU 资源或者带宽使用的情况动态选择负载较轻的服务器应答请求，达到加速访问的目的。
可池化---多种VPN实现DC广域互联
可池化---防火墙虚拟化提高DC安全性
可视化---智能可视网管实现ICT统一管理
A. IP&IT 统一管理，降低建设和运维成本
 网管平台集成数据中心多种设备的管理能力，只需部署一套网管，维护效率高
B. “可视化”智能网管，运维直观高效
 提供数据中心拓扑视图，轻松进行业务部署
 随板 NetStream 为用户提供图形化的流量分析报告
可视化---图形化网流分析助力数据中心业务规划
A. 网络流量清晰可见，轻松支持流量规划
B. NetStream 全局部署，业务分布一目了然
可视化---IP&IT统一管理提高维护效率
T IT 和 IP 资源的统一监控和管理，使维护人员能够对整个系统全局把握，在业务的故障定位上给与高效支持


2.3 数据中心云平台设计
2.3.1 数据中心云平台架构
xxxxx大学云平台总体架构设计遵循面向业务需求的设计思路，基于模块化的设计方法，实现数据中心IT基础架构模块与业务模块松耦合，保证数据中心业务动态扩展和新业务快速上线。云数据中心是校园业务部署的主要支撑平台，需要整合分散在各处的服务器、存储与网络设备资源，通过云操作系统的虚拟化平台实现服务器虚拟化、存储虚拟化、网络虚拟化，构建全校共享的硬件资源池，通过云操作系统的智能资源调度管理平台实行资源的分配、调度与管理，快速响应教育信息化的业务需求。
云数据中心架构分为三层，分别是基础设施层、虚拟化资源层、云服务统一管理层。具体如下图：
基础设施层由服务器、网络设备、备份设备、安全设备和存储设备组成。
虚拟化资源层用于帮助客户收编现有的资源池，实现资源的统一管理和共享。并且提供VDC虚拟数据中心的逻辑隔离的技术，将物理资源池化后，按组织、业务需要灵活分配，构建的一个逻辑的数据中心，为用户提供最贴心的资源共享和分配方案。
云服务统一管理层通过华为FusionSphere中的FusionManager实现虚拟资源、物理资源、以及VDC和VPC的统一管理。
云平台支持服务器、存储的平滑扩容。服务器、存储设备均可根据业务根据需求，在线平滑增加服务器、服务器虚拟集群，在线扩展磁盘、磁盘框、控制框。


2.3.2 异构云计算资源池统一管理
华为虚拟化软件系统FusionSphere主要由虚拟化基础引擎FusionCompute、云管理FusionManager两大部件组成。
FusionSphere的所有管理模块默认是主备模式部署的，不需要用其它第三方软件来实现主备功能，主备功能由FusionSphere自身实现，这样既提升了系统的可靠性，又为用户节省了购置第三方软件提高可靠性的的费用。另外，FusionSphere的管理模块都是直接部署在自身管理的虚拟机上面，每个管理模块无需独立占用物理服务器，从而节省了用户的物理资源开支。
FusionManager提供虚拟资源与物理资源的统一管理功能（统一拓扑、统一告警、统一监控、容量管理、性能报表、关联分析、资源生命周期管理、账号管理等），并且能通过自动发现功能发现其管辖下的物理设备资源（包括机框、服务器、刀片、存储设备、交换机）以及他们的组网关系，将设备纳入其管理范围；FusionManager对外提供统一的、基于Web访问的、界面友好的管理界面。
除了对华为自身的虚拟化引擎FusionCompute进行管理，FusionManager还支持对VMware vSphere、Citrix XenServer组建的虚拟化资源池进行管理，而且管理流程和华为资源池的管理流程完全一致。在用户建设了多个厂家的虚拟化资源池时，通过FusionManager的异构管理功能，可以方便的将多个不同虚拟化厂家的资源池整合为一个统一的逻辑资源池，大大简化用户的维护管理工作量，节省管理成本。
2.3.3 云平台服务设计
面对目前学校一个云平台可能存在多种虚拟化平台的现状。建设统一融合资源池，实现多资源池统一管理，实现真正的管理统一。
将所有设备，包括安全，网络，虚拟化资源，形成一个校园云平台的集合。
对异构虚拟化平台进行管理对接。按业务对物理资源和虚拟资源进行统一的管理和SLA设定，基于SLA实现校园云平台资源的策略发放和调度，自动化配置。以VDC的方式实现分权分域管理，降低管理成本。此外，通过网络打通实现跨地域异构虚拟化资源池自动化管理。
1. 针对学校不同部门独立管理的诉求，通过VDC实现资源的相互隔离，互不干扰。
2. 按照应用业务属性和安全分级进行资源域划分设计。
3. 一个完整vDC包括配额、用户、服务目录、网络、资源、模板。
4. 通过VPC满足不同学校或部门的 应用安全隔离。
5. 学校部门可在资源池中自行创建云主机、云存储、虚拟网络、负载均衡、弹性IP等基础设施服务。
2.3.3.1 虚拟校园云平台（VDC）服务
将学校物理校园云平台根据各业务部门需求灵活划分成VDC（Virtual Data Center），每个VDC可以独立提供的服务完全和物理校园云平台一样服务以及资源，每个VDC都有自己的管理员、服务目录等等，VDC管理员可以直接管理、审批VDC内用户的服务申请。VDC之间的资源和网络相对隔离，同时可以通过VDC跨物理校园云平台，实现多个物理校园云平台资源的统一发放和调度。华为FusionSphere和VMware vSphere资源池可划分在一个VDC中，也可独立划分。
将校园云平台之中的物理资源进行“池化”，可以根据各个部门/组织不同的诉求灵活划分和分配物理资源，同时提供对应的服务，并让各个部门/组织独立管理以及使用本VDC的资源，将整个校园云平台的超级管理员的工作进行分摊以及管理上分权，降低超级管理员的管理成本,更灵活的满足不同租户/部门的要求。
系统管理员作为所有资源的管理员可以将学校整个校园云平台的计算、存储、网络资源划分到各个VDC，分配给各个组织或部门。
VDC管理员作为VDC的所有者，可以在VDC里定义模板、定义VPC，发放VM等操作，是最终的使用校园云平台资源的组织的管理员。
最终用户作为某个VDC的业务最终使用者，可以通过自主平台或者线下申请VDC内的资源。
通过VDC管理，让学校各业务部门拥有自己独享的校园云平台。
2.3.3.2 虚拟私有云（VPC）服务
VPC（Virtual Private Cloud）提供隔离的虚拟机和网络环境，满足不同部门网络隔离要求，可以提供直联网络、路由网络和内部网络多种组网模式。
每个VPC可以提供独立的虚拟防火墙、弹性IP、VLB、安全组、IPSec VPN、NAT网关等业务。
此外，VPC还可以提供各类资源的计次或流量统计信息，可作为计费系统的输入。
VPC管理，满足所有应用的网络和安全需求。
VPC网络应用场景：
 


为满足不同部门的 应用安全隔离的需求， 学校云校园云平台公共服务平台为各部门提供虚拟私有云（以下简称VPC）服务。
 学校云校园云平台公共服务平台为每个要进行应用部署的各部门分配一个独立的VPC。VPC能够为各部门提供安全、隔离的网络环境，实现各部门间应用的隔离，及外部网络访问的安全控制。
在各部门的VPC中，拥有独立的网络边界：虚拟防火墙，VPN，NAT；能够部署独立的内部网络能力：多平面，地址管理，DHCP，安全组，负载均衡器等。各部门可以在VPC中定义与传统网络无差别的虚拟网络，以满足业务部署要求。


【备案】
VPC内部资源示意图：
1、 应用部署使用
各部门需要部署 应用时，需要将虚拟运主机挂在到自己的虚拟机内部，即可实现与虚拟机网络的互联，及与其他VPC云主机的隔离。
各部门在VPC内部可以通过划分子网的方式，实现不同应用间的隔离；通过负载均衡服务，实现大访问量业务的虚拟机负载均衡；通过虚拟防火墙实现对VPC外部的隔离，通过。可以通过弹性IP与内部虚拟机或负载均衡的内部地址映射，实现互联网用户对于 应用的访问。
VPC内 应用部署逻辑图：
2、与各部门局域网对接
VPC是在 学校云校园云平台的云环境中构建的具有自己私有网络的云服务，能够与各部门的网络互通。在VPC中，各部门具有完全独立的IP地址空间设置，以及与其他各部门VPC的虚拟机的完全网络隔离。
各部门可以使用 网VPN网关将自己的VPC和自己办公楼的网络连通，将VPC网络看做各部门自有网络的子网来使用。
VPC提供三种网络，协助 学校各部门部署业务应用及对外服务。
 直连网络
直连网络与外部网络相连，其自身不包含任何网络资源，在直连网络中创建虚拟机或应用时实际使用的是外部网络中的资源。外部网络可以是各部门现有网络或者公网。当外部网络为各部门现有网络时，直连网络与各部门现有网络对接，虚拟机可分配到各部门现有网络得IP地址资源。当外部网络为公网时，其直连网络中的虚拟机具有直接访问公网的能力。
 内部网络
独享一个网络资源，该网络与其他网络安全隔离。由于内部网络和其他的网络是隔离的，因此内部网络中可以部署对安全性要求较高的业务，例如，可将数据库所在服务器部署在内部网络中，以保证数据安全。
 路由网络
路由网络具有灵活的互通能力和多种业务功能，基于虚拟防火墙的路由网络能够与VPC中的其他路由网络互通，或者绑定弹性IP与公网进行通信。除了弹性IP，路由网络还能提供ACL、DNAT和VPN业务，以满足业务部署要求。在创建路由网络前，需要先为VPC申请了虚拟防火墙。
VPC及其网络的逻辑结构下图所示：
【备案】


2.3.3.3 虚拟主机服务
智慧校园云平台可为各学院提供虚拟主机租用服务，各部门管理员可以在公共平台上对租用的虚拟主机进行全生命周期的管理，具体包括：
1. 创建虚拟机
各部门管理员可以通过创建应用、使用虚拟机模板、自定义方式以及克隆方式创建虚拟机。
2. 销毁虚拟机
各部门管理员可以通过删除应用来销毁虚拟机，将不再使用的虚拟机销毁，以释放系统资源。
3. 虚拟机操作管理
各部门管理员可以通过对一个或多个虚拟机，执行启动/唤醒、安全重启、强制重启、休眠、安全关闭和强制关闭等操作。
4. 迁移虚拟机
各部门管理员可以将虚拟机从一台主机上迁移到另一台主机上。
5. 修复虚拟机
虚拟机操作系统异常后，各部门管理员可以对虚拟机进行修复。修复虚拟机不会影响用户数据，确保用户信息不丢失。
6. 创建虚拟机快照
虚拟机快照可保留虚拟机某一个时刻的状态，当虚拟机出现故障时，各部门管理员可以使用快照将虚拟机恢复到创建快照的时刻点。
7. 虚拟机资源调整
各部门管理员可以根据业务负载调整资源的使用情况调整虚拟机的QoS、调整虚拟机CPU数目、调整内存大小、增加或修改虚拟磁盘、删除虚拟磁盘、增加或修改网卡、删除网卡、调整虚拟机磁盘的IO上限等。
8. 虚拟机性能监控
各部门管理员可以获取虚拟机CPU占用率、内存占用率、网络流速和磁盘I/O等信息，还可以按周、月、年及自定义时段查询性能监控结果。
2.3.3.4 虚拟桌面服务
1、OA办公虚拟桌面
OA办公桌面云是指企业使用桌面云来进行正常的办公活动。用户的虚拟机运行Windows XP、Windows 7、Windows8.1系统，运行各种文字办公软件，如Office编辑文档、Project、Visio、Internet Explorer浏览网页、Outlook处理邮件、金山词霸等。桌面云可对接入USB设备、打印设备、存储设备进行映射管理；虚拟机里可安装监控软件，提供多种安全方案，保证办公环境的信息安全。
OA办公用户采用完整复制桌面云。完整复制桌面云基于虚拟机级别的隔离，每个桌面都有单独的系统盘，安全性高；个性化强；外设支持类型丰富；用户体验与传统PC一致。每个用户都有一个独立的虚拟机，虚拟机系统盘采用服务器的本地存储，高度集成。用户如果需要扩展存储空间，可增加SAN存储。OA办公的用户与虚拟机采用1：1配置，每个人独占一台虚拟机。用户通过本地瘦终端，或软终端可以远程登录虚拟机。虚拟机采用业界高保真的HDP协议将虚拟机桌面显示投送到用户终端上。瘦终端的无本地存储，不涉密。可管控，功耗低。办公环境相对PC环境更简洁，无噪音。
基于桌面云的移动办公方案，桌面云与移动终端结合，用户可以在家或非办公室时通过3G/4G网络，或通过WIFI网络接入桌面云。用户不仅可远程登陆虚拟机，同时也可以通过发布的应用程序如Word、Powerpoint，进行移动办公，此时用户无需登陆虚拟机直接使用应用，对带宽的要求更低。
为保证桌面云接入的安全性，增加一个接入网关。华为桌面云支持各种移动笔记本电脑、Pad、手机终端接入，可以实现无缝的随时随地接入进行远程办公，提升效率。手持终端支持的系统如下：Android系统、苹果iOS系统。
【备案】


2、图书馆阅览室虚拟桌面
电子阅览室场景中，用户只需要登陆和使用虚拟机，阅览所需要的软件提前安装在镜像中，业务比较简单。电子阅览室主要有如下特点： 
• 可以上网，网络传播的病毒、木马、防不胜防。
• 人员流动性大，虚拟机无需经常关机。
• 需要支持外接U盘。
• 维护简单，提高工作效率。
此场景对存储的要求不高，考虑到存在安全威胁，非常适用链接克隆虚拟桌面。链接克隆共用一个只读的系统母盘，这个母盘中安装电子阅览所需要应用软件。这个母盘不会感染病毒、木马。用户登录使用时，上网、浏览产生的临时数据保存在差分盘中，即使差分盘中了病毒木马。只需要对虚拟机进行重启，差分盘即可清除，还原到系统的初始状态。管理员要对虚拟机进行升级、打补丁，只要更新母盘即可。
为提高资源复用率，可采用动态多用户方式（动态池）分配给用户。每个TC绑定固定的虚拟机账户，开机即可登录使用。流动的用户不用再输入帐户与密码，使用起来非常方便。
 
【备案】


2.3.3.5 虚拟网络服务
公共平台可为租用的各部门提供各种网络服务，各部门管理员可以使用公共平台提供的网络服务，根据自己也为需求特点搭建相应的虚拟网络，实现业务间的互通、隔离、及对外部网络的互联互通等，具体如下：
1. DNAT服务
当VPC内部需要提供对教师或学生的服务时，通过互联网发起连接请求，由防火墙上的网关接收这个连接，然后将连接转换到内部，此过程是由带有公网IP的网关替代内部服务来接收外部的连接，然后在内部做地址转换，此转换称为DNAT，主要用于内部服务对外发布，如下图所示：
2. SNAT服务
内部地址单向发起请求访问公网上的服务时（如web访问），内部地址会主动发起连接，由防火墙上的网关对内部地址做地址转换，将内部IP地址转换为公网IP地址。这个由网关完成的地址转换称为SNAT，主要用于内部共享IP访问外部，如下图所示。
3. VPN服务
实现将VPN映射到公共平台中为各部门分配的业务资源中。对于公共业务，划分独立的公共业务资源区，并将公共VPN进行映射。
VPN业务用于在公网和 学校校园云平台内部网络之上建立一条安全、稳定的通信隧道，各部门的私有业务隔离开来，确保各业务部门的私有业务之间相互隔离，并保证通信隧道内发送和接收数据的安全性。对于公共业务亦实现与部门私有业务之间的隔离。
4. 安全组服务
安全组用来实现安全组内和组间虚拟机的访问控制，加强虚拟机的安全保护。安全组创建后，管理员可以在安全组中定义各种访问规则，当虚拟机加入该安全组后，即受到这些访问规则的保护。
典型场景举例：虚拟机隔离。例如，在同一VLAN下的两个部门之间相互隔离，同一部门之间的虚拟机可以相互访问，但是所有虚拟机都可以和服务器通信。解决方法如下图所示，分别为部门1、部门2创建安全组1、安全组2，且安全组为组内互通；为安全组1和安全组2添加安全组规则，允许服务器的IP地址段访问安全组。
虚拟机隔离如下图：
【备案】


5. 弹性IP服务
对于学校需要对互联网用户提供服务的业务， 学校云校园云平台公共服务平台为 应用提供弹性IP服务。
弹性IP地址是一个公网IP地址，该IP地址可以与各部门VPC内部署的 应用虚拟机或负载均衡的内部地址进行绑定，从而实现互联网用户的访问。这个内部地址可以是虚拟机的IP地址，弹性负载均衡（VLB）的虚拟IP地址，或者是浮动IP地址。例如，为VPC内的Web服务器绑定弹性IP后，公网用户通过访问弹性IP地址使用Web服务，如下图所示：
各部门可根据需要调整自己的弹性IP对应的虚拟机或负载均衡地址。
6. 弹性负载均衡服务
学校云校园云平台公共服务平台为各部门应用虚拟机提供负载均衡服务，各部门可以申请负载均衡器，将业务主机关联到负载均衡器中。负载均衡器可以根据用户设定的负载均衡策略，将业务请求均匀分发到相互关联的主机上，使得每个业务主机的负载保持均衡，保证业务运行的稳定性和可靠性。
负载均衡器能够检查服务池中云服务器的健康状态，自动隔离异常状态的云服务器，从而解决单台服务器在处理性能、扩展性、稳定性方面的问题，同时负载均衡器还能起到增强服务器池抗攻击的能力。
弹性负载均衡可以由负载均衡硬件或者负载均衡软件提供。其中，硬件负载均衡器具有高性能、高稳定性、高可靠性、高成本、支持协议多的特点。负载均衡软件属于经济型负载均衡器，具有稳定性差、可靠性低、成本低、支持协议少的特点。
2.3.4 云平台服务管理
2.3.4.1 服务定义
服务中心预置了开箱即用服务，包括VDC、云主机、云磁盘、物理机等服务，这些预置服务向用户开放所有的服务参数，用户在申请服务时可以选择或输入服务参数，完全由用户自定义所要的服务。例如通过预置服务申请云主机时，用户选择云主机的硬件规格、操作系统版本，配置云主机的网络。
除了预置服务，全局业务管理员或VDC业务管理员可以根据企业、部门情况，自定义服务目录。例如，全局业务管理员可以定义“标准测试Linux主机”服务，此服务已经固定使用了哪种操作系统类型、硬件规格，甚至云主机所使用的网络、IP地址也是由管理员决定的，用户申请“标准测试Linux主机”时只能输入数量、申请时长，不能由用户决定安装哪种操作系统类型，选择哪种硬件规格。
全局业务管理员或VDC业务管理员在服务定义时，可定义项目包括：
1. 服务名称、描述、图标。
2. 用户申请服务时可输入哪些服务参数。（例如可以在定义服务时开放云主机规格由用户申请云主机服务时用户自己输入）。
3. 管理员审批时可以配置哪些服务参数。（例如管理员收到云主机申请后，可以给云主机配置一个静态IP）
4. 锁定某些服务参数，锁定的服务参数在用户申请服务时没有权限配置。（例如定义云主机服务指定操作系统类型为Win7）。
5. 配置服务的审批策略：需要审批、不需要审批。
2.3.4.2 服务申请
用户可在自助务门户的服务目录中查看到管理员预定义的各类服务，并根据自己的业务需要选择相应的服务提交申请。申请时可以指定服务的规格参数和使用期限；
各预置服务申请功能列表：
预置服务功能列表：
服务 申请功能
云主机 用户可以指定地域、可用分区、操作系统类型、硬件规格、云主机所在网络，云主机个数。
云磁盘 用户可以指定地域、可用分区、硬件规格、存储类型、云磁盘个数。
VDC 用户可指定配额（CPU核数、内存、存储、弹性IP个数、VPC个数、安全组个数、虚拟机个数）、VDC可使用哪些资源池。
弹性IP 用户可以指定地域、VPC、弹性IP个数，当前采用硬件路由器时，可以指定规格、公网IP池。
2.3.4.3 服务审批
VDC 业务管理员可以审批来自VDC内用户提交的服务申请，全局业务管理员可以审批来自VDC 业务管理员提交的VDC服务申请。审批时，审批者可以选择“同意”或者拒绝外，还可以配置一些服务参数，例如虚拟机所使用的网络（审批者可以配置哪些服务参数可以在定义服务阶段配置）。
2.3.4.4 服务维护
业务用户可以对已申请服务进行维护操作，例如VNC登录虚拟机、虚拟机上/下电，虚拟机绑定弹性IP，磁盘绑定虚拟机。 
各服务维护功能列表：
服务维护功能列表：
服务 维护功能
云主机 云主机上/下电、重启、休眠、云主机转虚拟机模板、VNC登录、查看监控信息、创建云主机快照。
云磁盘 云磁盘挂载到云主机，或从云主机上卸载。
弹性IP 弹性IP绑定到云主机或负载均衡器，或从云主机、负载均衡器解绑定。
VDC 查看VDC配额使用情况，VDC下已申请资源列表，资源数量统计。
VPC 查看VPC网络拓扑，在VPC下管理网络、路由器、防火墙、安全组、弹性IP、负载均衡器、VPN、DNAT。


2.3.4.5 服务变更
对于已发放的资源，用户可以提出变更申请对服务参数进行变更。如，用户可以申请将一台已发放的4G内存的虚拟机变更为8G内存。
服务变更功能列表：
服务 变更功能
云主机 变更云主机硬件规格、服务到期时间。
云磁盘 变更块云磁盘规格、服务到期时间。
VDC 变更VDC的配额、服务到期时间。
弹性IP 服务到期时间。
2.3.4.6 服务释放
对于不再使用的资源，用户可以提出释放申请，系统会自动释放用户的资源。也支持服务到期后，由管理员释放资源。对于到期的服务，业务用户和VDC业务管理员登录到租户Portal后，会收到到期提醒。对于已经到期的VDC，用户无法从VDC服务目录下继续申请服务。
2.4 运维敏捷性设计【对运维敏捷的见解力】
2.4.1 统一运维管理平台
数据中心综合运维管理针对的主要问题是资源利用率低下、运维效率低下、维护成本高、业务上线慢、系统故障频发等。为此需要实现的主要目标是运维自动化、便捷化、低成本、高效率，以及高可靠和高可用。
云数据中心运维管理平台提供一站式解决方案，把物理分散的多数据中心资源整合为逻辑统一的资源池；把计算、存储、网络等基础架构资源作为云服务向用户提供；实现了用户自助服务；数据中心物理资源和虚拟资源统一调度，自动化控制和部署；流程化、标准化的对云服务进行统一监管维护。
统一运维管理平台通过对老校区数据中心资源的统一管理达成如下目标：
1. 提高资源利用率，降低TCO
整合现有数据中心资源，将多个物理分离的数据中心整合为逻辑上统一的大资源池。在统一资源池内统一分配和调度位于不同数据中心的资源。资源分配时，可以按业务资源使用量进行调度。对物理资源池、资源分区，做资源碎片整理，避免盲目资源扩容。
2. 业务敏捷，缩短业务上线时间
通过服务目录、自助服务，业务部门可以自助、快速的申请资源；通过所见即所得的服务编排，快速定义业务运行需要的计算、网络、存储等环境模板；根据模板，能够实现资源的自动化控制，使业务所需资源可以及时获取。
3. 创新服务模式
基于各部门或业务单元对资源使用进行计量、统计，为各部门或业务单元分担资源成本提供依据。如按数字图书馆的资源需求分配资源。
统一运维管理平台的系统功能要求如下：
1. 云服务运营
为用户提供统一的自服务门户，用户在门户中可以进行服务申请、资源管理、资源操作等。
为管理员提供管理门户，门户的主要功能包括服务定义、订单审批、服务流程编排、用户管理、资源管理、模板管理、资源和运营报表等。
把新校区（西校区）数据中心与老校区数据中心的资源池整合为一个大的逻辑资源池，完成全局资源监控、全局资源调度、资源使用计量、资源容量规划等功能。
2. 服务运维
基于ITIL V3最佳实践，提供事件管理、配置管理、发布管理、变更管理、容量管理、CMDB等功能。
3. 维护中心
提供多数据中心全局统一的监控、告警管理、性能管理。是数据中心日常运维的门户。
4. 资源池管理
接受服务运营模块的资源服务请求，实现本地资源的分配调度，并对计算、存储、网络等设备做自动化控制、部署，以提供满足业务要求的运行环境。
实现数据中心本地资源的自动发现、自动化控制，通过监控感知资源状态、资源负载，并根据策略对资源做动态调整。
提供本地管理Portal，实现本地资源配置、模板管理、镜像管理。
统一运维管理平台的使用价值要求如下：
1. 易于使用
系统本身具有直观、易理解的操作界面，让用户第一眼就能找到自己最关注的功能操作和数据信息。操作步骤、结果不违背多数人的常识和常规意识，并提供详细的帮助信息。
UI界面分角色，呈现用户角色关心的信息，少部分用户使用的高级特性通过选项方式呈现。
90%以上的任务操作小于3步，超过5步的操作采用导航的方式。
要让系统总是在合理的时间反馈给用户合理的信息，而不是让用户等待，操作响应小于3秒。
2. VMware异构虚拟化兼容管理
通过FusionManager与vCenter对接可以管理VMware虚拟化资源池，可以实现虚拟机的创建、删除、迁移、关闭等生命周期管理，对外呈现的统一的资源服务。可以实现虚拟机的监控和集群的监控。


3. 统一门户
统一管理门户提供了各类管理子系统的单点登录入口，也提供集成客户已有管理系统入口的能力。另外，统一管理门户提供了可定制的各类Dashboard，为用户直观展现所关心的数据中心各类指标。
4. 统一管理
支持对单个或多个分布式数据中心内的物理和虚拟资源进行统一管理。
5. 灵活定制
支持通过插件方式，实现南向接口能力扩展、和客户已有IT管理系统进行对接。
服务目录、资源模型、资源视图、调度策略等，支持客户自定义，通过插件扩展调度策略、服务类型。
支持资源和服务的灵活编排，统一调度计算、存储、网络资源。
可视化流程设计，通过插件扩展流程节点，满足灵活多样的用户服务请求和配置策略。
6. 平滑扩展
系统按照高性能、大容量原则设计，提供平滑可伸缩的系统架构，支持高并发量用户访问，具备良好的扩展性。
7. 开放标准
系统采用SOA架构，提供开放的API，易于跟第三方系统集成对接；采用开放的体系架构，遵循国际标准、行业标准，能够适应业界主流的操作系统、Web中间件、数据库等，保证系统能够随时无障碍地进行更新和移植。
8. 组件化、松耦合
系统各部件之间松耦合，功能部件间的升级、变动不影响其他组件。
9. 高可靠
统一运维管理平台具备高可用性、高可靠性。采用高可用双机技术、流量控制及过载保护机制，从硬件、网络、软件等各层次进行系统可靠性系统架构设计，保证系统能够提供高性能的数据处理和应用响应能力，确保各类应用系统和数据库的高效运行，承载大量的用户访问。


2.4.2 云平台可扩展性
2.4.2.1 主机可扩展性
云平台中每个FusionManager最大支持256个VRM集群，4096个主机服务器、80000个虚拟机支持。每VRM集群支持的服务器数量最大可达到256台，每VRM集群支持32个HA资源池。每HA资源池内支持的服务器数量最多可扩展至128台服务器，可轻松满足未来桌面的平滑扩容需求。
单虚拟机可扩展性设计：单虚拟机支持vCPU个数最大可以扩展到64个，内存可以扩展到1024GB，支持的虚拟网卡数最多可以支持12个，可充分满足虚拟机规格的弹性伸缩。
2.4.2.2 虚拟桌面扩展性
虚拟桌面管理节点可分布式平滑扩展。一套虚拟桌面最大支持20000桌面用户，当超过20000用户容量后，需要新增加一套虚拟桌面管理节点，虚拟桌面管理节点之间属于分布式，相互之间完全独立。
2.4.2.3 存储扩展性
根据存储需求增长，可以实现存储在线平滑扩容，根据规划可以在线扩展磁盘、磁盘框、控制框。华为FusionSphere支持存储冷热迁移，支持将虚拟机的存储卷在同一套存储中的不同LUN，或者两套不同存储之间进行迁移；满足客户存储进行平滑扩容的需求。


2.5 等级保护安全设计
网络安全
  1、划分安全域：安全域的划分从规划和设计上将不同用户的不同安全等级要求网络进行划分，为部署和实施隔离措施提供了依据。
  2、防火墙：在网络边界对网络进行隔离和访问控制
     管理防火墙：部署在数据中心云管理设备和云管理网络边界，完成两者之间的隔离和防护，是运营商的基础设施
业务防火墙：部署在数据中心和外网(如Internet)的边界，完成两者之间的隔离和防护，是运营商的基础设施
虚拟防火墙：部署在企业出租虚拟机的边界，主要租赁给企业完成各个租户网络和外部网络的隔离和防护，企业根据自己的策略定制防火墙规则
3、流量清洗：对DDoS等恶意流量进行清洗，保护网络的可用性（高强度、高精度、灵活部署、系列化）
  4、VPN 接入：通过传输加密措施，保护数据传输的机密性、完整性
数据中心传输安全由以下几个方面保证：
• 管理面信任域与非信任域之间全部SSL加密；
• 用户管理接入支持HTTPS，安全性要求高的提供SSL VPN接入用户访问虚拟机支持SSH。
  5、入侵检测与防御：对网络上的攻击行为进行实施检测、防御并响应
◆实时检测与拦截网络攻击
对网络流量进行实时检测，拦截各种网络攻击及维护网络安全的行为。
◆产生报警并提供统计分析数据
对攻击行为产生实时报警，并存储历史报警数据，通过统计历史数据进行统计分析，提供各
种维度的数据报表，供决策使用。
  6、网络防病毒：在网络上对病毒进行拦截
  7、网闸：实现不同安全等级网络间的隔离
数据只能以专有数据块方式静态地在两个网络间进行“摆渡”，从而切断了不同安全等级网络之间的所有直接连接，保证数据能够安全、可靠地交换
2、主机安全：主机恶意软件防护、主机安全系统加固
系统加固：通过合理配置相应系统参数、降低程序运行权限等手段，达到增强系统安全能力的目的，保护租户的业务数据和资产安全


3、虚拟化安全
云平台安全加固：提供针对Cloud管理应用和HyperVisor的安全加固解决方案
虚拟机模板加固：提供基于业界最佳实践的云主机加固模板
恶意虚拟机防护：提供基于虚拟机的IPS解决方案，弥补了传统网络层入侵检测和入侵防御措施的不足，及时发现入侵威胁，并进行有效处理
安全隔离：有完善的虚拟机隔离机制，同时，提供虚拟安全组解决方案， 满足租户为确保对所租用的虚拟机自身的安全而进行安全隔离的需求
◆物理资源与虚拟资源的隔离
• Hypervisor统一管理物理硬件资源，保证每个虚拟机都能获得相对独立的资源；
• 屏蔽虚拟资源故障，虚拟机崩溃不影响Hypervisor。
◆虚拟机之间的隔离
• Hypervisor从物理层面隔离虚拟机各类资源，使得虚拟机在整个生命周期内互不可见，避免虚拟机之间的数据窃取或恶意攻击；
• 支持定制每个虚拟机的资源配额，保证虚拟机的资源使用不受周边虚拟机的影响。
虚拟安全组：
◆ 虚拟机实例可以动态地加入 和退出安全组 ， 实现虚拟机间的访问控制。
◆可以实现在同一个安全组的虚拟机之间、在不同安全组的虚拟机之间的访问控制。
◆安全组规则可以随虚拟机动态迁移。
数据安全：
1、防止数据被窃取：提供虚拟机数据卷加密的解决方案，确保云主机上的数据机密性，防止被窃取
2、文档权限管理：提供文档权限解决方案，确保不同权限的用户只能访问相应权限的文档
3、数据销毁：提供数据销毁机制，防止用户敏感信息泄露。
用户管理：
1、强认证与单点登录方案：结合数据中心众多业务系统，避免信息孤岛问题，同时结
合双因子认证等方式避免口令泄漏导致系统遭受破坏
2、运维账户分权分域管理：通过运维管理系统对用户运维操作进行分权分域控制，避
免多个业务系统用户独立登录各个系统，解决了口令维护和易用性问题。


安全管理：
1、安全信息与事件管理：各种设备产生大量的日志信息需要进行同一管理和存储，并进行关联分析以发现可能的威胁
◆日志统一管理与关联分析
集中日志存储，提供统一的日志备份、管理，并对不同设备的日志进行关联分析，发现可能存在的攻击。
◆对合规提供支持
根据不同的合规要求提供报表模板，根据日志内容自动化分析合规满足程度。
2、安全策略管理：设备间的策略必须有一致性，并可统一管理
3、弱点管理：需要提前了解系统中存在的弱点，在被恶意利用前进行修补


【可以对前面的隔离加以补充】
虚拟化安全隔离
虚拟机VLAN隔离
虚拟机之间可以采用VLAN隔离的方式，保障各虚拟机之间的网络交互安全性和可控制性。
具体隔离策略可参考如下规则：
a)同一虚拟交换机内同一VLAN通信：不出虚拟交换机，直接在虚拟交换内部完成交换；
b)同一虚拟交换机内不同VLAN通信：通过外部三层互通网关完成VLAN间互通；
c)不同虚拟交换机间同一VLAN通信（同一物理接入交换机内）：通过物理接入交换机二层互通；
d)不同虚拟交换机间同一VLAN通信（跨物理接入交换机）：同2，通过外部三层互通网关完成VLAN互通。
虚拟机安全组隔离
VPC安全组，可对虚拟机设置灵活的访问权限控制。
安全组：具有相同的安全策略的一组VM的集合,支持安全组间的访问控制策略和安全组内成员间的互访策略。
每个VM一组ACL，互不影响，VM迁移时安全策略自动刷新。
提供VM粒度的隔离机制，解决VLAN资源不足、配置工作量大的问题。
分布式策略控制，报文无需迂回到集中的策略控制点，避免形成性能瓶颈。
可以和边界防火墙共同部署，构筑立体安全防护能力（南北向流量控制+东西向流量控制）。

第3章 配置清单（可参考博主另一篇文章《如何对华为网络产品选型》）

3.1 配置清单
序号 设备名称 型号 配置 数量单位
1 服务器刀箱 E9000 12U一体机化机箱；单框可支持16刀片；配置互为冗余的以太网交换机+FC光纤交换机，冗余交换模块对外，支持16个10GE+16个8G FC光纤上联端口，端口全部激活；本次配置4个10GE光纤多模SFP+模块用于存储连接，配置8个8G FC 光纤多模SFP+模块用于存储连接；配置6个冗余热插拔交流电源；配置14个冗余热插拔风扇；满配冗余1+1热插拔管理模块；可以提供现场或远程方式下对刀片式服务器体系架构中的硬件设备的访问、管理和故障诊断并集成虚拟介质、远程KVM等技术；配置了DVD-ROM驱动器。可远程从本地光盘启动安装操作系统；3年原厂维保；1台
2 虚拟化服务器 CH121 V3 2路刀片式服务器，配置4颗英特尔至强系列Xeon E5-2650 v3 10核处理器,主频2.30GHz；配置256GB DDR4 1.35v低压内存；配置2块300GB  SAS硬盘；配置2个10GE端口,配置2个8G FC端口；3年原厂维保；16台
3 虚拟化网关 VIS6600T 配置存储容灾网关，异构管理其他厂商设备，配置本地镜像和异步远程复制功能；配置2集群节点,192GB缓存,16个8G FC接口,16个GE接口,含2节点集群License、3台异构阵列License。3年维保1台
4 统一存储 5500 V3 多控架构，本次配置控制器2个，最大支持8个控制器；配置存储高速缓存容量128GB；配置SAN和NAS存储功能；配置8个8Gbps FC+8个10GE光口主机接口；配置4个48Gbps（单端口4*12Gbps） SAS3.0后端磁盘端口；配置4块600GB SSD固态硬盘做二级缓存，配置21块900GB 10K SAS硬盘，配置48块3TB 7.2K NL-SAS硬盘，最大支持硬盘数≥700个；冗余电源、风扇、控制器、缓存断电保护功能；磁盘、电源、IO模块都可以不停机热插拔；提供基于硬盘数据块级虚拟化功能，可以把数据均衡分布在存储的所有硬盘上；支持存储统一管理功能，能够实现全系列存储产品统一管理，具有中英文管理界面；3年原厂维保；1台
5 桌面云存储 5500 V3 多控架构，本次配置控制器2个，最大支持8个控制器；配置存储高速缓存容量128GB；配置SAN和NAS存储功能；配置8个8Gbps FC+8个10GE光口主机接口；配置4个48Gbps（单端口4*12Gbps） SAS3.0后端磁盘端口；配置4块600GB SSD固态硬盘做二级缓存，配置40块600GB 10K SAS硬盘作为系统盘，配置24块2TB 7.2K NL-SAS硬盘作为数据盘，最大支持硬盘数≥700个；冗余电源、风扇、控制器、缓存断电保护功能；磁盘、电源、IO模块都可以不停机热插拔；提供基于硬盘数据块级虚拟化功能，可以把数据均衡分布在存储的所有硬盘上；支持存储统一管理功能，能够实现全系列存储产品统一管理，具有中英文管理界面；3年原厂维保；1台
6 虚拟化软件 FusionSphere 5.x 采用裸金属架构，无需绑定操作系统即可搭建虚拟化平台,且支持Intel扩展页表技术。虚拟机之间可以做到隔离保护，其中每一个虚拟机发生故障都不会影响同一个物理机上的其它虚拟机运行，每个虚拟机上的用户权限只限于本虚拟机之内，以保障系统平台的安全性。每个虚拟机都可以安装操作系统，并且操作系统可以异构。虚拟机可以实现物理机的全部功能，如具有自己的资源（内存、CPU、网卡、存储），可以指定单独的IP地址、MAC地址等。能够提供性能监控功能，对资源中CPU、网络、磁盘使用率等指标的实时数据统计，并能反映目前物理机、虚拟机的资源瓶颈。支持现有市场上主要服务器厂商的主流X86服务器；兼容现有市场上主流的存储阵列产品；兼容现有市场上主流的网卡和HBA卡产品；兼容现有市场上X86服务器上能够运行的主流操作系统，支持主流应用软件的运行，包括但不局限于数据库、中间件、ERP等等。本次配置：企业级处理器资源池化授权许可；提供一年厂家免费维保服务，一年厂家免费软件升级服务；20CPU授权
7 瘦客户端 CT3100 ARM双核1.5G，内存1G（OS为512M），4G Flash；支持单实例；最大分辨率为1920*1200，支持1080P高清视频，支持双屏显示；4USB接口；终端支持桌面卧式或壁挂安装，可直接摆放桌上，无底座，标准配件中已包含壁挂；3年维保250台
8 瘦客户端 CT5100 Intel Baytrail 2.41GHz双核处理器；最大支持2实例；支持最大分辨率1920*1200，支持1080P高清视频，支持双显显示；6个USB接口(包含1个USB3.0)；无PS/2口；终端支持桌面立式或壁挂安装，标准配件中已包含底座和壁挂。 3年维保50台
9 云桌面软件（含客户端授权）FusionAccess软件 5.x支持发布虚拟云桌面，可发布Windows XP/Win 7等个人操作系统桌面，用户可通过瘦终端、PC、iOS和Android设备访问虚拟桌面。支持虚拟桌面的批量创建、批量关联、批量解关联，同时可进行定时任务管理。在虚拟机开机、关机过程中，用户可完整看到虚拟机开机和关机过程。桌面通过AD域进行权限管理，支持用户通过域帐号+域密码登录虚拟机，同时支持无AD域的环境；支持多媒体重定向，充分利用TC的硬件解码能力，提升用户视频体验。支持外设重定向，将常用的外设如U盘、串口、并口等设备映射到虚拟机里使用。支持数据单向传输控制保证数据安全：允许将数据文件从VM单向传输到客户端，而不允许客户端向VM传输。支持CPU、内存、网络和存储的Qos控制，限制最低和最高的资源分配。支持将PC机利旧作为桌面的接入终端使用，并且用户登录PC后直接进到桌面登录界面，无法访问PC任务栏和开始菜单, 支持TC开机自动登录；提供一年厂家免费维保服务，一年厂家免费软件升级服务； 300客户端授权