企业云的解决方案

2017年3月在开源软件史上是一个重要的月份。在这个月AWS与创业公司Heptio合作在AWS云上启动了Kubernetes（以下简称K8S）开源容器集群服务，K8S源自谷歌技术并形成了由谷歌支持的开源社区，此前已经被除了AWS之外几乎所有云平台支持。同样在3月，谷歌K8S与Pivotal的Cloud Foundry也握手言和，之前这两个被视为竞争性的技术也互相支持互相融合了，从而把K8S带向了企业级市场。简单说，K8S已经取得了压倒性优势。

在近两年兴起的容器技术体系中，一个重要的技术层就是容器集群管理技术，一共有源于谷歌技术派的K8S、源自高校学院派的Mesos和源自Docker公司的Swarm三大开源社区。单一的容器本身并没有太大的意义，必须有容器集群管理技术才能管理和调度成千上万甚至上亿的容器，这才在有实际的意义。这三大容器集群管理技术各有千秋，各自适应不同的应用环境，总体来说K8S的功能最为强大且由谷歌在幕后支持，大有一统江湖的势头。

2017年3月，国内OpenStack开源企业EasyStack正式发布基于Kubernetes技术的容器集群产品ESContainer，并宣布不仅在OpenStack最新的Ocata版本中核心代码贡献全球TOP9，在Kubernetes容器领域核心代码贡献也排名全球TOP9。除EasyStack外，国内其它OpenStack公司也纷纷发布了自己的K8S产品，“容器+云”终成大势。

K8S+OpenStack形成1+1>2效应

Linux基金会执行董事吉姆·泽姆林（JimZemlin）表示，Kubernetes正迅速成为云计算的“Linux”。

K8S是谷歌开源的Docker容器集群管理系统，前身为谷歌容器集群管理系统Borg。K8S为容器化的应用提供资源调度、部署运行、服务发现、扩容缩容等整一套功能，本质上可看作是基于容器技术的新一代PaaS平台。目前，Kubernetes由CNCF社区支持，这是由Google发起的开源社区并将K8S捐赠给了该社区，谷歌每年仍会投入大量工程师全职开发K8S。K8S是整个谷歌技术开放生态战略的一个重要组成部分，K8S由Go语言编写、与谷歌深度学习开源软件TensorFlow以及其它谷歌开源软件有着天然的兼容性。

那么，为什么会说K8S是云计算的“Linux”呢？这句话的意思，就是K8S是云操作系统的核心。在一个由上千台乃至上万台服务器组成的云数据中心以及跨云数据中心的“云计算”中，硬件和软件资源调度管理具有高度的复杂性，K8S可以理解为云应用软件的动态资源调度管理平台，这就是操作系统的核心。之前的OpenStack主要实现的是服务器、存储和网络等基础硬件资源的云化和虚拟化，当这一步完成以后就需要进一步与K8S这样的调度系统集成与对接，面向云应用完成从上到下的云计算资源动态调度与管理，实现无缝的用户体验。

EasyStack CTO刘国辉表示，EasyStack从很早以前就已经开始注意到K8S了。K8S的前身是谷歌Borg，于2014年6月开源。而EasyStack成立于2014年2月，创始团队来自IBM中国研发中心的OpenStack核心技术人员。从谷歌开始发表学术文章介绍Borg的时候，EasyStack的创始团队就已经开始从中了解Borg的核心思想，当K8S开源后即跟进并开始技术积累。

“我们认为，K8S+底层的IaaS云，是1+1>2的叠加效应。”刘国辉认为，“EasyStack这次推出的是第三代容器云，是容器与云的深度一体化集成，可称为one platform for next generation application。”什么是第三代容器云呢？第一代是容器与IaaS云各自独立发展；第二代是AWS与谷歌云等IaaS云开始支持容器，但处于分裂的手工配置状态；第三代就是类似EasyStack ESContainer这样自上而下Docker容器、K8S调度系统、OpenStack IaaS云乃至更底层裸机的一体化融合云。

EasyStack的ESContainer所实现的K8S加上OpenStack，是可以从上层应用到底层各类物理资源的打穿式融合，这样就很适合企业级计算环境。EasyStack从成立第一天起就是面向大型企业市场，为企业级应用提供OpenStack IaaS云计算环境，如今再加上K8S就形成了一个完整的IaaS+PaaS企业云解决方案，在这之上就可以运行深度学习等企业级应用。

刘国辉表示，ESContainer带来K8S与OpenStack的1+1>2的能力：ESCloud专注于数据中心基础设施的管理和支撑传统应用业务的运行，ESContainer专注于为企业新型应用的改造提供一站式平台，两者结合优势互补，成为新型的异构数据中心基础设施平台。

在正确的时间推出正确的产品

“大家可能觉得奇怪，怎么EasyStack之前并没有在K8S领域发声，然后一发声怎么就在Kubernetes容器领域核心代码贡献也排名全球TOP9呢？”EasyStack CEO陈喜伦强调说，“我们不是机会主义者，而是早已有一个长期布局。”

陈喜伦说EasyStack的技术战略观为三条：首先追求技术与战略的前瞻性，其次是根据客户需求进行判断，第三是以社区入手布局未来的产品与服务。

EasyStack的创始团队从很早就已经开始关注Borg和K8S技术以及CNCF社区的发展，所以当判断K8S技术开始趋于成熟和主流的时候，就决定对K8S社区进行投入。2016年下半年，EasyStack相继加入了CNCF基金会和OCI开放容器基金会，从国际开源社区入手布局K8S。

在客户需求的成熟度方面，由于EasyStack针对的是大型B端企业，任何从互联网企业产生的技术到企业级应用都有一个曲线，而EasyStack相应推出产品的时间就是当企业开始用这个技术的时候，就是最佳时机。“我们现在服务一百多家大型企业级客户，很多客户都有对Kubernetes的需求，因为要解决最后这一公里的企业级应用的问题，所以选择在这个时间点推出ESContainer。”

陈喜伦强调说，EasyStack现在迈出K8S这一步是公司三年成立时就确定的核心战略的充分体现，未来还将推出更多基于开源技术的产品和服务，但是目标是一致的，即以开源技术为核心的新一代技术软件领导者。

而在开源社区方面，EasyStack加入OCI和CNCF社区并成为社区贡献Top 9，主要是为了保持开源技术供应商的本质，跟随标准化开源技术的发展而成为大生态中的一员。“我们做任何产品都是以开源技术为基础，但我们做好开源技术的产品化，这很关键，这就解决了开源技术的可用、能用和好用的问题。”陈喜伦说。

以集群的可扩展为例，ESContainer可做到多层多级扩展，在K8S层可扩展、在虚机和祼机层还分别可以扩展，这样一来容器除了可以部署到虚机上还可以直接部署到裸金属服务器上，直接部署到裸金属服务器上的最大好处就是带来了更高的安全性，符合金融等企业级应用的需求。

此外，ESContainer可直接使用Neutron二层网络作为网络驱动，用Neutron统一管理虚拟机和容器网络，减少多层Overlay叠加带来的性能损失；同时由于虚拟机和容器处于同一个子网中，可做到虚拟机和容器应用的二层网络直通，适用于企业中传统业务和云原生业务共存并需要直接数据交换的场景。Neutron是OpenStack核心项目之一，提供云计算环境下的虚拟网络功能，在多租户环境下可提供给每个租户独立的网络环境。

当然，作为一个独立的第三方开源技术供应商，EasyStack除了K8S外也将支持Mesos和Swarm以满足用户的需求。

“你看红帽基本上和每家厂商都合作，原因是什么？就是因为它坚守开源路线，它不和任何一家厂商做深度绑定，这个事情也正在发生在EasyStack身上。我们的定位，就是开放的、中立的、以开源技术为核心的技术供应商。”陈喜伦强调。

接下来，EasyStack还要解决整个企业原生云应用的技术生态环境问题。有了K8S+OpenStack的ESContainer仅仅是第一步，关于企业如何构建下一代的应用架构还需要整个产业达成一个共识，而这不仅是容器、K8S集群和OpenStack所能解决的问题，而是包括了整个DevOps开发过程、应用架构升级换代甚至企业敏捷开发文化的建立等综合性体系问题。

“大型行业企业都已经在思考下一代企业应用平台，但是还没有形成一个共识，我们已经提前去布局这个事情了。”陈喜伦透露在2017年EasyStack还将发布更多的产品，为搭建针对企业原生云应用的企业级容器云环境找到一个最佳路径。（文/宁川）

如今，云计算正在不断改变组织使用、存储和共享数据、应用程序以及工作负载的方式。但是与此同时，它也引发了一系列新的安全威胁和挑战。随着越来越多的数据进入云端，尤其是进入公共云服务，这些资源自然而然地就沦为了网络犯罪分子的目标。

为了让企业了解云安全问题，以便他们能够就云采用策略做出明智的决策，云安全联盟(CSA)近日发布了最新版本的《12大顶级云安全威胁：行业见解报告》(以下简称《报告》)。以下是12个最严重的云安全问题的具体内容(按照调查结果的严重程度排序)：

01. 数据泄露

数据泄露可能是有针对性攻击的主要目标，也可能是人为错误、应用程序漏洞或安全措施不佳所导致的后果。这可能涉及任何非公开发布的信息，其中包括个人健康信息、财务信息、个人身份信息(PII)、商业机密以及知识产权等。由于不同的原因，组织基于云端的数据可能会对不同的组织具有更大的价值。数据泄露的风险并不是云计算所独有的，但它始终是云计算用户需要首要考虑的因素。

具有10年数据保护经验的大数据、云计算安全专家中科同向建议：企业可采用身份验证和加密措施来防护数据泄密。

云备份：http://heartsone/

02. 身份、凭证和访问管理不足

《报告》表示，恶意行为者会通过伪装成合法用户、运营人员或开发人员来读取、修改和删除数据;获取控制平台和管理功能;在传输数据的过程中进行窥探，或释放看似来源于合法来源的恶意软件。

因此，身份认证不足、凭证或密钥管理不善都可能会导致未经授权的数据访问行为发生，由此可能对组织或最终用户造成灾难性的损害。

03. 不安全应用程序接口

《报告》指出，云服务提供商会公开一组客户使用的软件用户界面(UI)或API来管理和与云服务进行交互。其配置、管理和监控都是通过这些接口来实现执行的，一般来说，云服务的安全性和可用性也都取决于API的安全性。它们需要被设计用来防止意外和恶意的绕过安全协议的企图。

大数据、云计算安全专家中科同向团队建议，企业应对API引入足够的安全控制机制，培训员工识别各种网络钓鱼技巧也很关键。

04. 系统漏洞

系统漏洞是系统程序中存在的可用漏洞，利用这些漏洞，攻击者能够渗透进系统，并窃取数据、控制系统或中断服务操作。《报告》中提到，操作系统组件中存在的漏洞，使得所有服务和数据的安全性都面临了重大的安全风险。随着云端多租户形式的出现，来自不同组织的系统开始呈现彼此靠近的局面，且允许在同一平台、云端的用户都能够访问共享内存和资源，这也导致了新的攻击面的出现，扩大了安全风险。

中科同向建议，企业应主动定时组织专业人员进行漏洞扫描、及时补丁管理和紧跟系统威胁报告，保卫核心数据安全。

05. 账户劫持

《报告》指出，账户或服务劫持并不是什么新鲜事物，但云服务为这一景观增添了新的威胁。如果攻击者获得了对用户凭证的访问权限，他们就能够窃听用户的活动和交易行为，操纵数据，返回伪造的信息并将客户重定向到非法的钓鱼站点中。账户或服务实例可能成为攻击者的新基础。由于凭证被盗，攻击者经常可以访问云计算服务的关键区域，从而危及这些服务的机密性、完整性以及可用性。

06. 恶意的内部人员

《报告》表示，虽然内部人员造成的威胁程度是存在争议的，但不可否认的是，内部威胁确实是一种实实在在的威胁。一名怀有恶意企图的内部人员(如系统管理员)，他们能够访问潜在的敏感信息，并且可以越来越多地访问更重要的系统，并最终访问到机密数据。仅仅依靠云服务提供商提供安全措施的系统势必将面临更大的安全风险。

中科同向团队建议：公司企业要自己控制加密过程和密钥，分离职责，最小化用户权限。管理员活动的有效日志记录、监测和审计也是非常重要。

07. 高级持续性威胁(APT)

高级持续性威胁(APT)是一种寄生式的网络攻击形式，它通过渗透到目标公司的IT基础设施来建立立足点的系统，并从中窃取数据。高级持续性威胁(APT)通常能够适应抵御它们的安全措施，并在目标系统中“潜伏”很长一段时间。一旦准备就绪(如收集到足够的信息)，高级持续性威胁(APT)就可以通过数据中心网络横向移动，并与正常的网络流量相融合，以实现他们的最终目标。

08. 数据丢失

《报告》表示，存储在云中的数据可能会因恶意攻击以外的原因而丢失。云计算服务提供商的意外删除行为、火灾或地震等物理灾难都可能会导致客户数据的永久性丢失，除非云服务提供商或云计算用户采取了适当的措施来备份数据，遵循业务连续性的最佳实践，否则将无法实现灾难恢复。

大数据、云计算安全专家中科同向在此提醒：数据丢失并非不可避免，多地分布式部署数据和应用以增强防护，同时，大量的实践表明，足够的数据备份措施，坚守业务持续性和灾难恢复最佳实践，都是最基本的防永久数据丢失的方法。日常数据备份和离线存储在云环境下依然重要。

09. 尽职调查不足

《报告》表示，当企业高管制定业务战略时，必须充分考虑到云计算技术和服务提供商。在评估云技术和服务提供商时，制定一个良好的路线图和尽职调查清单对于获得最大的成功机会可谓至关重要。而在没有执行尽职调查的情况下，就急于采用云计算技术并选择提供商的组织势必将面临诸多安全风险。

10. 滥用和恶意使用云服务

《报告》指出，云服务部署不充分，免费的云服务试用以及通过支付工具欺诈进行的欺诈性账户登录，将使云计算模式暴露于恶意攻击之下。恶意行为者可能会利用云计算资源来定位用户、组织或其他云服务提供商。其中滥用云端资源的例子包括启动分布式拒绝服务攻击(DDoS)、垃圾邮件和网络钓鱼攻击等。

数据灾难恢复：http://heartsone/show_product_8_333_2252.html

11. 拒绝服务(DoS)

拒绝服务(DoS)攻击旨在防止服务的用户访问其数据或应用程序。拒绝服务(DoS)攻击可以通过强制目标云服务消耗过多的有限系统资源(如处理器能力，内存，磁盘空间或网络带宽)，来帮助攻击者降低系统的运行速度，并使所有合法的用户无法访问服务。

12. 共享的技术漏洞

《报告》强调，云计算服务提供商通过共享基础架构、平台或应用程序来扩展其服务。云技术将“即服务”(aas)产品划分为多个产品，而不会大幅改变现成的硬件/软件(有时以牺牲安全性为代价)。构成支持云计算服务部署的底层组件，可能并未设计成为“多租户”架构或多客户应用程序提供强大的隔离性能。这可能会导致共享技术漏洞的出现，并可能在所有交付模式中被恶意攻击者滥用。

★★总结：

数据安全专家中科同向指出：“最小化云端安全风险的第一步，就是要认清这些顶级云安全威胁。并采取积极主动的措施，防患于未然。”

企 业 上 云

企业“上云”计划

“企业上云”是指企业通过高速互联网络，将企业的基础系统、业务、平台部署到云端，利用网络便捷地获取计算、存储、数据、应用等服务，有利于降低企业信息化建设成本，构建工业互联网创新发展生态，促进实现制造业全过程、全产业链和产品全生命周期的优化，提升制造业与互联网融合发展水平。

“企业上云”步骤主要分为上云前的规划、设计，上云的实施以及上云后的验证和维护。具体“企业上云”流程如下：

1 上云规划

1、信息收集

“企业上云”需要进行严谨细致的调研工作，需要收集硬件及网络环境信息、现有及将来可能增加的业务各类需求、系统配置信息、应用系统信息、数据风险等。

2、需求评估

从业务需求的角度分析各业务的目前现状、存在的问题、是否可以云化、业务未来的发展需求，定制对各个业务系统迁移的目标。

从系统的角度分析各系统的目前现状，包括了主机、存储、网络及安全，分析系统存在的问题，根据评估结果进行规划。

从企业自身信息化水平的角度进行分析。对于有信息化基础并拥有信息系统硬件环境、维护开发队伍的企业，可根据企业发展规划，逐步进行新、老系统迁移。对于无信息化基础企业，以企业迫切需解决问题为导向，加快相关应用上线。

3、应用分析

应用分析是成功上云，降低业务停滞时间的关键。根据业务的负载、特性、复杂性、关联性分析确定并量化业务上云风险可能对业务造成的影响及损失，以确定业务上云的优先分批范围及上云策略。

4、风险分析

根据收集到的相关信息对目前系统进行业务上云的风险分析，分析各种潜在危险并针对可能发生的危险事件，采取相应措施。

5、上云策略

“企业上云”策略可遵循：统筹规划、分步实施、由易而难、由简单到复杂。一般顺序：（1）独立应用的系统，如邮件系统、合同系统；（2）应用堆叠的应用系统，如办公OA；（3）存在业务依赖的系统，如CRM、ERP、MES系统；

2 上云设计

1、上云计划

企业现有的信息系统分为业务高度依赖型、业务依赖型和非业务依赖型三类：

（1）7*24小时业务高度依赖的生产系统，迁移只能在线时间，迁移策略为：“在线迁移”；

（2）非7*24小时业务依赖的生产系统，迁移时可以接受一定的离线实现时间，迁移策略为：“离线迁移”；

（3）非业务依赖性的生产系统迁移可接受较长的离线时间，迁移策略是“分批次迁移”。

根据以上原则，综合考虑各应用系统及相关设备的调研分析情况，制定出详细的上云计划。

2、方案设计

方案包括：上云实施方案、应用上云方案、数据同步方案、上云回退方案等。

3 上云实施

1、模拟上云

正式上云前模拟一个批次的业务迁移（非正式迁移，业务不割接）。验证业务迁移的及时有效和正确率；针对模拟过程发现各类问题进行修正；改进业务迁移的流程和工作手册，以满足业务的实际需要。

2、系统测试

模拟上云完成后对模拟上云的业务进行一次系统测试，以确定业务迁移到云环境中后能够满足业务需求。

（1）性能测试，包括：上云后系统的应用性能测试；上云后系统的网络性能测试；上云后系统软件版本性能测试等。

（2）压力测试，包括：对上云后系统进行压力测试，并取得关键性能指标达到设计目标；从分支机构发起执行版本验证测试及必要的压力测试等。

（3）业务功能，包括：上云后系统与老系统的连接测试；对上云后系统运行批处理测试；完成数据同步后，执行批处理测试；完成数据同步后，从分支机构发起执行高风险业务功能的测试等；

（4）系统连接性测试，包括：上云后对外围系统，进行全面的连接测试；发现问题，提出整改目标；上云后系统与网络的连接测试等。

3、数据备份

正式上云前，为确保业务数据的完整性、降低上云风险，需要将业务系统及数据进行备份，为提高抗风险能力，建议采用多种备份方式、多分备份数据的方式对业务系统及数据进行备份。

4、上云部署

根据确定的业务上云方案，实施业务上云；根据业务上云方案测试迁移效果，并对业务上云后的系统参数和性能进行调整，使之满足业务系统的需要，并投入实际使用。

4 上云验证

1、上云评估

根据确定的业务上云方案，正式实施业务上云；根据业务上云方案测试业务上云效果，并对业务上云后的系统参数和性能进行调整，使之满足业务系统的需要，并投入实际使用。

2、业务检查

业务正式上云后，进行一定时间的试运行，检测业务上云后是否对业务造成影响，对出现的问题进行及时的解决。

3、问题优化

根据云上系统监控数据和业务系统发展规划，优化业务系统架构，消除性能瓶颈和风险，保障客户业务平稳运行。

5 云上维护

1、运行维护

为上云企业提供全面专业的运维/运营服务，进行资源开通、辅助上云、平台监控、故障排查、容量管理、升级重保、健康检查、性能报告等服务科目，可提供驻场服务、巡场服务和远程服务三种服务类型。

2、场景培训

针对企业客户使用场景，帮助企业熟悉和掌握云上业务操作和云服务技术，培养企业使用习惯，解答企业用户使用过程中遇到的各类问题。

觉得不错，请点赞↓↓↓