陳慧娟

2022年，中辦29號文提出繼續(xù)推進(jìn)信息化自主可控；中央網(wǎng)信辦13號文提出做好應(yīng)對已失去官方技術(shù)支持的服務(wù)器操作系統(tǒng)的要求；國務(wù)院《關(guān)于加強(qiáng)數(shù)字政府建設(shè)的指導(dǎo)意見》提出，依托全國一體化政務(wù)大數(shù)據(jù)體系，統(tǒng)籌整合現(xiàn)有政務(wù)云資源，構(gòu)建全國一體化政務(wù)云平臺體系，實現(xiàn)政務(wù)云資源統(tǒng)籌建設(shè)、互聯(lián)互通、集約共享。

一、政務(wù)上云已成普遍趨勢

政府?dāng)?shù)字化轉(zhuǎn)型步伐加快，政務(wù)服務(wù)的變化驅(qū)動網(wǎng)絡(luò)技術(shù)演進(jìn)，電子政務(wù)的發(fā)展不能一成不變，傳統(tǒng)服務(wù)器投入成本高、資源浪費(fèi)、性價比低，急需探索發(fā)展新模式，轉(zhuǎn)變建設(shè)思路和規(guī)劃理念，鼓勵應(yīng)用虛擬化、云計算技術(shù)整合改造現(xiàn)有電子政務(wù)信息系統(tǒng)，實現(xiàn)各領(lǐng)域從分散式向集約化轉(zhuǎn)變。近年來，政務(wù)上云已成普遍趨勢，國家、省、市級各單位各部門逐步采用建設(shè)服務(wù)器虛擬化平臺方式提供服務(wù)器資源，虛擬化技術(shù)的優(yōu)勢在于可以將傳統(tǒng)服務(wù)器的空閑算力資源分配給其他業(yè)務(wù)系統(tǒng)使用，提高了服務(wù)器的利用率，同時虛擬化的快照等技術(shù)也大大提高了服務(wù)器的安全性。

二、政務(wù)云平臺建設(shè)目標(biāo)和建設(shè)內(nèi)容

（一）建設(shè)目標(biāo)

從系統(tǒng)的可擴(kuò)展性、安全性、可靠性等多個方面綜合考慮，達(dá)到以下目標(biāo)：[1]

1.設(shè)計規(guī)范化，統(tǒng)籌信息基礎(chǔ)設(shè)施。在政務(wù)外網(wǎng)建設(shè)一套新的規(guī)范的虛擬化平臺，構(gòu)建統(tǒng)一的政務(wù)云中心，符合《基于云計算的電子政務(wù)公共平臺頂層設(shè)計指南》等國家及行業(yè)標(biāo)準(zhǔn)，并將已有平臺的政務(wù)外網(wǎng)業(yè)務(wù)遷移至該平臺，充分整合利用各地各部門電子政務(wù)網(wǎng)絡(luò)設(shè)施，減少不必要的重復(fù)投入，實現(xiàn)互聯(lián)互通、集約共享、安全可控。

2.數(shù)據(jù)資源集中化，健全云服務(wù)目錄。包含計算、存儲、網(wǎng)絡(luò)、安全、備份、中間件、數(shù)據(jù)庫等云服務(wù)目錄，同時兼顧各使用部門現(xiàn)有系統(tǒng)軟硬件資源情況，提供設(shè)備托管服務(wù)，便于使用部門利舊。方便用戶以數(shù)據(jù)為中心構(gòu)建政務(wù)應(yīng)用，提升各政務(wù)部門信息化應(yīng)用水平。

3.構(gòu)建安全保障體系。按照《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》等國家政務(wù)云相關(guān)安全要求，開展數(shù)據(jù)備份建設(shè)工作，強(qiáng)化數(shù)據(jù)備份手段，確保數(shù)據(jù)安全，構(gòu)建完整、有效、可信的政務(wù)云安全保障體系架構(gòu)。[2]

（二）建設(shè)內(nèi)容

采用云計算資源池建設(shè)模式，充分考慮既有系統(tǒng)搬遷和新系統(tǒng)建設(shè)需求，所有資源整合后在邏輯上以單一整體的形式呈現(xiàn)，并根據(jù)需要進(jìn)行動態(tài)擴(kuò)展和配置。統(tǒng)籌利用已有的計算資源、網(wǎng)絡(luò)資源、存儲資源、應(yīng)用支撐、信息資源等條件，根據(jù)業(yè)務(wù)需求，為各用戶提供基礎(chǔ)設(shè)施、支撐軟件、應(yīng)用功能、信息資源、運(yùn)行保障和信息安全等服務(wù)的基于云計算的服務(wù)平臺，實現(xiàn)服務(wù)資源集中管理，為各類業(yè)務(wù)提供有力保障與支撐。建設(shè)內(nèi)容包括：

1.進(jìn)一步“云”化政務(wù)云平臺，即：建設(shè)業(yè)務(wù)系統(tǒng)所需的統(tǒng)一的資源池?！霸啤被哪康木褪前褦?shù)據(jù)中心的所有資源按照承載服務(wù)對象的不同，形成統(tǒng)一資源池。業(yè)務(wù)部署時優(yōu)先考慮使用虛擬化平臺，對虛擬主機(jī)無法滿足的應(yīng)用業(yè)務(wù)，使用物理服務(wù)器來滿足。[3]

2.統(tǒng)一管理運(yùn)營運(yùn)維平臺，即：實現(xiàn)對政務(wù)云資源的統(tǒng)一管理。建立統(tǒng)一的運(yùn)營運(yùn)維服務(wù)體系，制定服務(wù)標(biāo)準(zhǔn)和規(guī)范，提供滿足需求、響應(yīng)及時、安全可靠的運(yùn)維保障服務(wù)，包括為保障業(yè)務(wù)應(yīng)用的順利部署、開通，以及網(wǎng)絡(luò)、硬件、軟件、數(shù)據(jù)、機(jī)房環(huán)境等安全、穩(wěn)定、高效運(yùn)行而進(jìn)行的一系列策劃、實施、檢查與改進(jìn)過程，實現(xiàn)政務(wù)云多云管理高效協(xié)同運(yùn)維。[4]

三、文化和旅游部云平臺建設(shè)思路探討

自2015年起，文化和旅游信息化業(yè)務(wù)建設(shè)的需求增加，逐步采用建設(shè)虛擬化平臺方式提供服務(wù)器資源。

（一）存在問題

1.設(shè)施集約不足。目前，基礎(chǔ)設(shè)施資源中部分服務(wù)器已滿6年或近6年，超過使用年限，其穩(wěn)定性和性能逐漸降低；近兩年在疫情影響下，信息化建設(shè)需求激增，新建大量虛擬機(jī)用以保障業(yè)務(wù)發(fā)展，致使虛擬化平臺服務(wù)器資源長時間處于超負(fù)荷狀態(tài)，存儲空間日趨緊張，使用率均超過80%，已不能滿足虛擬機(jī)定期鏡像和備份的基本要求。

2.版本老化嚴(yán)重。在2015年至2017年期間建設(shè)的Vmware和華為Fusion Sphere虛擬化軟件不支持國產(chǎn)化操作系統(tǒng)。按照中央網(wǎng)信辦要求，采用CentOS操作系統(tǒng)的服務(wù)器須更換為國產(chǎn)化操作系統(tǒng)。根據(jù)官方通報，所使用的Vmware Vsphere6.0以及華為Fusion Sphere 6.1版本不再支持較新版本的Linux操作系統(tǒng)及國產(chǎn)化操作系統(tǒng)。同時，由于Vmware和華為虛擬化版本較老，升級到新版本風(fēng)險極高，不具備升級條件，因此不建議在這兩個版本虛擬化上面增加新的業(yè)務(wù)系統(tǒng)。

3.缺乏統(tǒng)一規(guī)劃，無法統(tǒng)一管理。目前各單位建設(shè)的虛擬化平臺7個，由于每個平臺需要保留一定的資源供平臺自身使用，因此7個平臺會比1個平臺的資源利用率降低。同時由于7個平臺用了三套不同的虛擬化平臺，目前無法做到統(tǒng)一管理統(tǒng)一分配，亟需使用納管平臺進(jìn)行統(tǒng)一管理，統(tǒng)一資源調(diào)配。另外，缺乏統(tǒng)一備份管理，當(dāng)前有的采用本地快照方式備份，有的采用備份一體機(jī)的方式備份，前者相較于后者存在一定安全風(fēng)險，整體備份方式不統(tǒng)一。

（二）解決思路

一是對軟硬件基礎(chǔ)較好的云平臺開展升級擴(kuò)容工作，將存在隱患的互聯(lián)網(wǎng)應(yīng)用系統(tǒng)逐步遷移到該云平臺上，此種方式最為經(jīng)濟(jì)，最終實現(xiàn)統(tǒng)一管理、統(tǒng)一建設(shè)、協(xié)調(diào)高效的運(yùn)維機(jī)制。

二是同步開展操作系統(tǒng)及硬件的國產(chǎn)化遷移替代工作，保障網(wǎng)絡(luò)安全和供應(yīng)安全。建議選擇銀河麒麟、統(tǒng)信UOS操作系統(tǒng)與X86和ARM兩大CPU技術(shù)路線，因其有著豐富的生態(tài)、較高的性能，并經(jīng)歷了市場的檢驗。使用同源異構(gòu)的銀河麒麟操作系統(tǒng)和統(tǒng)信UOS操作系統(tǒng)，是因其在中國Linux市場占有率排名前列，能夠有效的避免斷供風(fēng)險。

三是建設(shè)多云管理平臺，實現(xiàn)兩套云平臺的統(tǒng)一管理；開展數(shù)據(jù)備份建設(shè)工作，強(qiáng)化數(shù)據(jù)備份手段，確保數(shù)據(jù)安全。

（三）方案設(shè)計

1.云平臺架構(gòu)設(shè)計

云平臺ISW交換機(jī)通過防火墻與云外網(wǎng)絡(luò)互聯(lián)，云外網(wǎng)絡(luò)包括互聯(lián)網(wǎng)或云外其他業(yè)務(wù)網(wǎng)絡(luò)。

在訪問控制方面，通過配置白名單方式在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化；通過物理防火墻或安全組對源地址、源端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數(shù)據(jù)包進(jìn)出，并提供明確的允許/拒絕訪問的能力；通過Web應(yīng)用防火墻對進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流實現(xiàn)基于應(yīng)用協(xié)議和應(yīng)用內(nèi)容的訪問控制。

在網(wǎng)絡(luò)架構(gòu)層面，網(wǎng)絡(luò)匯聚區(qū)：主要由兩臺核心交換機(jī)（DSW）組成，核心交換機(jī)選擇框式交換機(jī),并下掛8臺接入交換機(jī)（ASW）。

2.云平臺擴(kuò)容規(guī)劃

存儲擴(kuò)容。目前共需要372TB存儲容量，ZSTACK云平臺可用存儲容量為106TB存儲容量,為了平臺穩(wěn)定性，建議再擴(kuò)容300TB存儲容量。按照每臺有效容量32T計算，建議擴(kuò)容10臺分布式存儲服務(wù)器。

計算資源擴(kuò)容。目前Vmware和華為云共40臺服務(wù)器，每臺服務(wù)器配置256GB內(nèi)存共10,240GB內(nèi)存，現(xiàn)有ZSTACK云平臺共有約4TB內(nèi)存可用空間，建議再擴(kuò)容約6TB內(nèi)存容量空間，從而滿足CPU和內(nèi)存需求，建議擴(kuò)容45臺物理機(jī)。

3.芯片選型建議

目前，國產(chǎn)CPU中鯤鵬、飛騰、海光、龍芯采用指令集授權(quán)或自研架構(gòu)，自主先進(jìn)程度相對較高。其中鯤鵬、飛騰為ARM架構(gòu)，龍芯為MIPS自研架構(gòu)，海光基于AMD最新的Zen1進(jìn)行自主開發(fā)，為X86架構(gòu)，從性能上對比，海光（X86)＞鯤鵬(ARM)＞飛騰(ARM)＞龍芯(MIPS)＞兆芯(X86)。海光以及鯤鵬性能較優(yōu)，龍芯和兆芯目前性能較弱不建議作為選型考慮。

從性能、應(yīng)用適配性以及芯片斷供對芯片廠家的影響考慮，建議搭建海光（X86）以及鯤鵬(ARM)兩種資源池，一方面目前應(yīng)用系統(tǒng)使用的架構(gòu)均為X86架構(gòu)，且部分應(yīng)用都為老舊應(yīng)用無法進(jìn)行二次改造，如選型為ARM架構(gòu)需做業(yè)務(wù)代碼重構(gòu)，但如選擇基于海光的X86架構(gòu)可平滑遷移現(xiàn)有業(yè)務(wù)至信創(chuàng)云平臺，可快速滿足云平臺合規(guī)需求；另一方面，由于擔(dān)心單一芯片選型更容易受到芯片斷供影響，因此建議同步搭建一套鯤鵬芯片的資源池，對于新建應(yīng)用或者具備遷移至ARM芯片條件的應(yīng)用系統(tǒng)，可以直接在鯤鵬芯片資源池運(yùn)行。

4.服務(wù)器操作系統(tǒng)國產(chǎn)化改造規(guī)劃

（1）總體方案。對于新建的政務(wù)信息應(yīng)用系統(tǒng)，選用麒麟或者統(tǒng)信UOS操作系統(tǒng)；對于已經(jīng)或?qū)⑼７腃entOS版本，有序更換為麒麟和統(tǒng)信UOS操作系統(tǒng)；對于從技術(shù)層面難以操作實現(xiàn)的，加強(qiáng)安全保障維護(hù)，確保應(yīng)用系統(tǒng)穩(wěn)定安全運(yùn)行。

一是優(yōu)先遷移獨(dú)立系統(tǒng)或與其他應(yīng)用系統(tǒng)耦合較少的應(yīng)用系統(tǒng)。J2EE程序不存在難度，但是需要找到源代碼，主要涉及配置文件的更改。對于不同操作系統(tǒng)和不同CPU架構(gòu)都可以進(jìn)行較為順滑的遷移適配。對于應(yīng)用層面如果系統(tǒng)基于系統(tǒng)的頁面框架使用EasyUI、NUI、JQuery；系統(tǒng)的開發(fā)框架是Struts+Spring+Hibernate、MVC；系統(tǒng)的應(yīng)用服務(wù)器是為運(yùn)行Java程序服務(wù)的，則可較容易實現(xiàn)遷移。

使用全棧國產(chǎn)化，CPU跨架構(gòu)遷移，則如圖所示對JAVA軟件進(jìn)行重構(gòu)：

圖1 JAVA軟件重構(gòu)

二是不能遷移的采用安全接管的加固措施。不能遷移的系統(tǒng)采用EDR等產(chǎn)品的加固方式，由麒麟軟件或者統(tǒng)信進(jìn)行安全接管服務(wù)。

三是測試驗證。在測試環(huán)境中完成對數(shù)據(jù)和業(yè)務(wù)系統(tǒng)的遷移測試工作，驗證遷移結(jié)果的正確性以及遷移策略的有效性，對發(fā)現(xiàn)的問題進(jìn)行優(yōu)化解決。同時需要在實驗環(huán)境下進(jìn)行完整的功能測試、性能測試、可靠性測試、兼容性測試等，對發(fā)現(xiàn)的問題予以解決，形成測試報告。

（2）改造流程。目前ZSTACK云平臺共23臺Host物理機(jī)節(jié)點(diǎn)運(yùn)行CentOS 7.6作為底層支撐平臺，面臨Centos停服風(fēng)險，按照合規(guī)要求，則規(guī)劃ZSTACK底層Host升級為信創(chuàng)操作系統(tǒng)，ZSTACK針對已適配銀河麒麟操作系統(tǒng)V10可滿足用戶的合規(guī)要求。云平臺升級為最新的國產(chǎn)操作系統(tǒng)，本質(zhì)上等于平臺重新部署，但考慮業(yè)務(wù)風(fēng)險,停機(jī)ZSTACK可提供重啟云主機(jī)的方式,以平滑過渡的方式完成底層Host的替換。

5.安全建設(shè)規(guī)劃

以《網(wǎng)絡(luò)安全等級保護(hù)基本要求》(GBT 22239-2019)為基礎(chǔ)進(jìn)行設(shè)計，滿足等保三級要求，考慮到云平臺的高安全性要求，將基于一期安全建設(shè)成果，以滿足擴(kuò)容為需求，為云用戶（租戶）層面提供安全保障。配置的安全產(chǎn)品里，WAF是硬件，堡壘機(jī)、安騎士、數(shù)據(jù)庫審計是軟件產(chǎn)品，需要部署在云平臺虛擬機(jī)上，如圖2。

圖2 云平臺虛擬機(jī)部署

6.備份建設(shè)

方案規(guī)劃。在LAN網(wǎng)絡(luò)內(nèi)接入一套備份一體機(jī)集群，在ZSTACK計算節(jié)點(diǎn)（物理機(jī)）上安裝客戶端，以此實現(xiàn)對互聯(lián)網(wǎng)VPC及政務(wù)外網(wǎng)VPC云主機(jī)的數(shù)據(jù)備份。為減輕網(wǎng)絡(luò)帶寬壓力，備份部署要求管理網(wǎng)和數(shù)據(jù)網(wǎng)分離，具體如圖3所示：

圖3 備份部署圖

配置要求?？紤]到ZSTACK云平臺擴(kuò)容容量為400TB，按照備份規(guī)律，建議規(guī)劃備份一體機(jī)集群可用空間及容量授權(quán)至少為300TB。同時，需配置重復(fù)數(shù)據(jù)刪除模塊、永久增量模塊、統(tǒng)一監(jiān)管模塊，以此降低備份存儲空間使用提高備份效率及運(yùn)維效率。

結(jié)語

文章通過分析政務(wù)云平臺建設(shè)的必要性，從政務(wù)云平臺的建設(shè)目標(biāo)和建設(shè)內(nèi)容著手，結(jié)合文化和旅游部服務(wù)器資源存在的問題，提出文旅政務(wù)云平臺建設(shè)的思路，并從云平臺架構(gòu)設(shè)計、云平臺擴(kuò)容規(guī)劃、芯片選型建議、服務(wù)器操作系統(tǒng)國產(chǎn)化改造規(guī)劃、安全建設(shè)規(guī)劃和備份建設(shè)方面形成方案設(shè)計，為其他行業(yè)的政務(wù)云平臺建設(shè)提供參考。