華南理工大學(xué)高校私有云如何玩轉(zhuǎn)校內(nèi)公共服務(wù)

華南理工大學(xué)高校私有云如何玩轉(zhuǎn)校內(nèi)公共服務(wù)

陸以勤 華南理工大學(xué)

高校提供云服務(wù)有許多種模式，有的高校利用社會(huì)公共云平臺(tái)為學(xué)校提供云服務(wù)，有些高校特別是研究型大學(xué)，可能會(huì)建設(shè)學(xué)校自己的云平臺(tái)為校內(nèi)單位和老師提供云服務(wù)。后者的性質(zhì)屬于私有云，但從使用的流程上來(lái)看，因其提供校內(nèi)的公共服務(wù)，與公有云是類似的，為了便于敘述，我們將其定義為校內(nèi)“公共云”，即在學(xué)校內(nèi)部提供公共服務(wù)的平臺(tái)。

現(xiàn)狀及需求

校園云公共服務(wù)面臨眾多問(wèn)題。第一個(gè)問(wèn)題是如何做到快速交付。現(xiàn)有高校云平臺(tái)的服務(wù)流程中，學(xué)院、二級(jí)部處用戶通過(guò)紙質(zhì)線下申請(qǐng)，缺乏自動(dòng)化交付；同時(shí)，帶寬、安全、計(jì)算、存儲(chǔ)和網(wǎng)絡(luò)資源由信息中心管理員手動(dòng)分配交付，缺乏快速部署能力。所以，資源調(diào)整維護(hù)占用管理員大量精力。

校園云公共服務(wù)面臨的第二個(gè)問(wèn)題是資源如何進(jìn)行合理分配。很多用戶會(huì)向云管理人員提出要虛擬機(jī)的需求。云管理人員如何確定給不同的用戶分配多少資源的虛擬機(jī)呢？合理的分配需要對(duì)資源量化，折算出成本，這包括一系列數(shù)據(jù)，例如，數(shù)據(jù)中心有多少資源？ 每個(gè)學(xué)院的IT成本是多少？ 哪個(gè)學(xué)院用得最多？ 每個(gè)用戶數(shù)據(jù)中心資源賬單？ 數(shù)據(jù)中心投入產(chǎn)出比是多少？如果對(duì)于數(shù)據(jù)中心使用資源無(wú)法準(zhǔn)確量化評(píng)價(jià)，會(huì)帶來(lái)過(guò)期資源無(wú)法及時(shí)釋放的問(wèn)題，存在資源濫用與浪費(fèi)情況。

校園云公共服務(wù)面臨的第三個(gè)問(wèn)題，管理模式的問(wèn)題。傳統(tǒng)的私有云采用“資源劃分，部門自管”的運(yùn)營(yíng)方式，很多部門的管理者不是專業(yè)人員，要管理好分配給他們的資源比較困難，因此這種模式不適合高校的模式運(yùn)行。校園云公共服務(wù)面臨的第四個(gè)問(wèn)題是安全問(wèn)題，普通用戶共享計(jì)算資源池，由于用戶網(wǎng)絡(luò)安全防范意識(shí)較弱，虛擬機(jī)被攻擊后容易對(duì)內(nèi)網(wǎng)其他虛擬機(jī)造成危害。例如，黑客攻破某一臺(tái)虛擬機(jī)，通過(guò)跳板機(jī)對(duì)內(nèi)網(wǎng)其他虛擬機(jī)造成威脅，或者用戶訪問(wèn)病毒網(wǎng)站、或者操作系統(tǒng)漏洞造成病毒在內(nèi)網(wǎng)蔓延；再如校園內(nèi)部網(wǎng)絡(luò)安全愛(ài)好者探測(cè)內(nèi)部網(wǎng)絡(luò)，造成安全風(fēng)險(xiǎn)。

高校私有云提供公共服務(wù)的模式

根據(jù)以上的問(wèn)題，校園公共服務(wù)云平臺(tái)建設(shè)，即建一個(gè)“校內(nèi)公共云”，需要達(dá)到如下的目標(biāo)。第一，要提供全方位安全保障。第二，要和現(xiàn)有的IT資源兼容。第三，服務(wù)流程自動(dòng)化，實(shí)現(xiàn)快速交付。第四，資源的使用量要量化評(píng)價(jià)。第五，支持學(xué)校的創(chuàng)新、科研活動(dòng)，使得服務(wù)對(duì)象擴(kuò)大，服務(wù)種類增加。

以華南理工大學(xué)為例，校園公共服務(wù)云平臺(tái)的實(shí)現(xiàn)方式主要包括幾個(gè)方面。第一，華南理工大學(xué)在校園云統(tǒng)一服務(wù)門戶上實(shí)現(xiàn)申請(qǐng)，申請(qǐng)的時(shí)候，能滿足不同IT能力用戶使用需求，例如，普通用戶傻瓜式使用，高級(jí)用戶全功能使用，開(kāi)放用戶靈活使用。第二，結(jié)合學(xué)校關(guān)于公共云的管理辦法，實(shí)現(xiàn)信息中心服務(wù)流程電子化。第三，實(shí)現(xiàn)學(xué)校云服務(wù)創(chuàng)新，不僅僅是提供虛擬機(jī)服務(wù)，而且包括增加服務(wù)種類、擴(kuò)大服務(wù)對(duì)象。第四，可視化云安全保護(hù)，讓沒(méi)有IT基礎(chǔ)的用戶，都會(huì)配置安全策略。第五，量化資源的使用成本，提供計(jì)費(fèi)、報(bào)表，讓云服務(wù)的價(jià)值能夠體現(xiàn)。成本用貨幣的形式來(lái)體現(xiàn)。當(dāng)然，用戶不一定需要付費(fèi)，但這種價(jià)值的表現(xiàn)方式容易為人理解。

在實(shí)現(xiàn)中，需要注意做到不改變二級(jí)部門負(fù)責(zé)人的審批習(xí)慣，能實(shí)現(xiàn)公共云與現(xiàn)有流程管理平臺(tái)對(duì)接，例如，用戶申請(qǐng)?zhí)摂M主機(jī)后，系統(tǒng)自動(dòng)通過(guò)郵件、短信等方式通知二級(jí)部門負(fù)責(zé)人，負(fù)責(zé)人可以從郵件中直接查看本學(xué)院資源池的剩余配額并直接審批。負(fù)責(zé)人審批同意后，由云平臺(tái)管理員審核后（這個(gè)步驟根據(jù)運(yùn)行情況可以考慮省略），系統(tǒng)自動(dòng)完成云資源分配并交付給用戶。

云資源使用情況的度量和統(tǒng)計(jì)如何實(shí)現(xiàn)呢？首先，根據(jù)自定義計(jì)費(fèi)策略，例如可以針對(duì)CPU、內(nèi)存、硬盤、云防火墻、云負(fù)載均衡等資源的占用情況和使用時(shí)長(zhǎng)進(jìn)行計(jì)費(fèi)，時(shí)長(zhǎng)可以是小時(shí)、天、月，可以根據(jù)時(shí)段輸出費(fèi)用。其次，可以按二級(jí)機(jī)構(gòu)（如學(xué)院）、全校角度進(jìn)行統(tǒng)計(jì)，可以提前批量充值，對(duì)實(shí)際費(fèi)用進(jìn)行查詢，對(duì)云資源利用率進(jìn)行統(tǒng)計(jì)等。

對(duì)于全方位安全保障的方面，進(jìn)行資源池的安全隔離。首先，典型用戶類型進(jìn)行劃分。例如，個(gè)人業(yè)務(wù)用戶與學(xué)院業(yè)務(wù)用戶；課題組用戶和創(chuàng)業(yè)團(tuán)隊(duì)用戶； 一般技術(shù)水平用戶和高技術(shù)水平用戶；安全防范意識(shí)高用戶（難中毒）和意識(shí)低用戶（易中毒）。其次，典型資源池進(jìn)行劃分。例如，按虛擬化品牌和服務(wù)器性能劃分；按使用對(duì)象劃分，分為公共資源池（供多個(gè)用戶共用）、專屬資源池（供某一個(gè)特定用戶使用）。最后，通過(guò)南北向硬件安全網(wǎng)關(guān)+虛擬化環(huán)境中的云安全技術(shù)，將不同類型的資源池與不同的用戶群體進(jìn)行綁定，實(shí)現(xiàn)不同類型用戶使用指定的資源池，保證在資源池層面不同類型用戶的安全隔離。

華南理工大學(xué)的云平臺(tái)建設(shè)實(shí)踐

華南理工大學(xué)于2011年開(kāi)始建設(shè)云平臺(tái)，2011年6月在《中國(guó)教育網(wǎng)絡(luò)》發(fā)表過(guò)文章《如何打造美麗的教育云》。根據(jù)規(guī)劃，第一階段是單一的云，第二階段是運(yùn)行云、公共云和科研云結(jié)合的“三朵云”，第三階段是“混合云+容器云”。

目前是第二個(gè)階段，即主要有“三朵云”。運(yùn)行云是網(wǎng)絡(luò)中心的私有云，為學(xué)校核心的應(yīng)用提供運(yùn)行環(huán)境；公共云是“小公共云”，即校內(nèi)人員叫它公共云，在校外又屬于私有云，學(xué)校通過(guò)這個(gè)平臺(tái)面向全校機(jī)關(guān)部處、科研團(tuán)隊(duì)提供計(jì)算和存儲(chǔ)資源的服務(wù)；科研云是采用開(kāi)源軟件與自主研發(fā)核心技術(shù)相結(jié)合的形式，為科研活動(dòng)和學(xué)生創(chuàng)新提供一個(gè)開(kāi)放的空間。關(guān)于這“三朵云”的詳細(xì)情況可以參考發(fā)表在2016年11月《中國(guó)教育網(wǎng)絡(luò)》的文章“華南理工大學(xué)：三‘云’合一讓服務(wù)更靈活”，這篇文章在《中國(guó)教育網(wǎng)絡(luò)》雜志主辦的“2016高校信息化創(chuàng)新獎(jiǎng)”活動(dòng)中被評(píng)為2016年度“高校云計(jì)算創(chuàng)新推薦方案”。

華南理工大學(xué)如何構(gòu)建校內(nèi)服務(wù)“公共云”平臺(tái)并提供公共服務(wù)呢？首先，通過(guò)互聯(lián)網(wǎng)式服務(wù)門戶，實(shí)現(xiàn)公有云運(yùn)營(yíng)體驗(yàn)和校內(nèi)資源一站式發(fā)布。第二，云服務(wù)平臺(tái)位于五山校區(qū)的數(shù)據(jù)中心，機(jī)房重新裝修，已建設(shè)1250kV×2兩路高可靠獨(dú)立供電系統(tǒng)，和600kVA的備供電路（在建），已建成首期建設(shè)的規(guī)模為：計(jì)算節(jié)點(diǎn)含392個(gè)物理核心，2TB內(nèi)存；存儲(chǔ)系統(tǒng)含256GB緩存，600TB存儲(chǔ)能力；軟件系統(tǒng)采取基于Openstack和KVM的云計(jì)算解決方案；預(yù)計(jì)提供虛擬機(jī)數(shù)量在400個(gè)以上。

根據(jù)規(guī)劃，云平臺(tái)主要為提供基礎(chǔ)云服務(wù)和高級(jí)云服務(wù)。高級(jí)云服務(wù)包括云桌面服務(wù)、云網(wǎng)盤服務(wù)、大數(shù)據(jù)服務(wù)、虛擬數(shù)據(jù)中心服務(wù)、開(kāi)發(fā)環(huán)境服務(wù)、應(yīng)用商店、域名服務(wù)。高級(jí)云服務(wù)目前還沒(méi)有開(kāi)通，現(xiàn)在主要是基礎(chǔ)的云服務(wù)。基礎(chǔ)云服務(wù)包括虛擬機(jī)服務(wù)、塊存儲(chǔ)服務(wù)、裸金屬服務(wù)、防火墻服務(wù)、負(fù)載均衡服務(wù)、防病毒服務(wù)等。目前實(shí)現(xiàn)了基礎(chǔ)云服務(wù)。

為了便于用戶快速配備資源，華南理工大學(xué)給用戶做了幾個(gè)標(biāo)準(zhǔn)的資源套餐，根據(jù)資源的使用量來(lái)區(qū)別每個(gè)套餐，價(jià)格參考公有云定價(jià)。另外，資源分配受到雙重限制，一方面，部門資源配額，即按部門為單位進(jìn)行資源配額設(shè)定，按需進(jìn)行配額分配，防止資源濫用和不均。另一方面，用戶余額。用戶能申請(qǐng)?zhí)摂M機(jī)的條件需滿足兩個(gè)條件：1.所在部門有剩余配額；2.用戶本身余額足夠支付虛擬機(jī)費(fèi)用。

申請(qǐng)的過(guò)程采用學(xué)校統(tǒng)一認(rèn)證鏡像用戶身份驗(yàn)證，用戶進(jìn)行在線自助申請(qǐng)。此外，還開(kāi)發(fā)了一個(gè)在線充值功能，用戶通過(guò)支付寶、微信充值后，其配額就增加了。不過(guò)，因?yàn)樯婕暗绞召M(fèi)問(wèn)題，目前還沒(méi)有開(kāi)放這服務(wù)。

用戶通過(guò)自助服務(wù)門戶申請(qǐng)?jiān)浦鳈C(jī)（虛擬機(jī)）資源，經(jīng)過(guò)用戶部門負(fù)責(zé)人審批和云平臺(tái)管理人員審核后，系統(tǒng)根據(jù)獲批準(zhǔn)的用戶配置自動(dòng)生成虛擬機(jī)自動(dòng)生成，這個(gè)過(guò)程很快，只要一分鐘。

申請(qǐng)的過(guò)程非常人性化(見(jiàn)圖1），用戶根據(jù)自己需求選擇虛擬機(jī)的各種參數(shù)。為防止出現(xiàn)僵尸虛擬機(jī)，避免用戶對(duì)于資源濫用，每個(gè)虛擬機(jī)都設(shè)置了租期，租期最長(zhǎng)是三年。在用戶資源到期后，通過(guò)郵件通知的方式，告知虛擬機(jī)期限狀態(tài)，提醒用戶處理，防止遺忘。審批的流程可以通過(guò)圖形化、拖拽的方式重新定義。

從運(yùn)營(yíng)功能來(lái)看，主要包括服務(wù)發(fā)布、虛擬機(jī)過(guò)戶、審計(jì)功能、信息通知、二次密碼認(rèn)證、服務(wù)定價(jià)、用戶充值計(jì)費(fèi)、資源使用統(tǒng)計(jì)報(bào)表等功能。其中，服務(wù)發(fā)布，是通過(guò)公有云式的運(yùn)營(yíng)，直觀地發(fā)布校內(nèi)云資源服務(wù)，服務(wù)交付更易用、更直觀、更快速。虛擬機(jī)過(guò)戶，是將一個(gè)虛擬機(jī)從用戶A過(guò)戶給用戶B。例如，在部門調(diào)動(dòng)情況下，人員調(diào)動(dòng)后，將某個(gè)人名下管理虛擬機(jī)或者其它資源，過(guò)戶到原部門其他管理人員。關(guān)于定價(jià)維度，可根據(jù)不同的校區(qū)、不同的資源池、不同的主機(jī)規(guī)格等資源類型設(shè)定計(jì)費(fèi)規(guī)則，按小時(shí)、天、月時(shí)間維度計(jì)費(fèi)。

在安全方面，公共云通過(guò)無(wú)代理方式，實(shí)現(xiàn)虛擬機(jī)殺毒即服務(wù)，保護(hù)虛擬機(jī)應(yīng)用層安全。所謂的無(wú)代理是，虛擬機(jī)中無(wú)需安裝殺毒軟件；病毒庫(kù)統(tǒng)一更新，無(wú)需擔(dān)心病毒庫(kù)過(guò)舊、導(dǎo)致的查殺不及時(shí)問(wèn)題。同時(shí)，查殺資源調(diào)度，節(jié)省宿主機(jī)計(jì)算資源。

公共服務(wù)云平臺(tái)為每個(gè)組織、每個(gè)業(yè)務(wù)分配一個(gè)獨(dú)立的虛擬防火墻，用戶可以配置他的防火墻，配置他的策略。虛擬防火墻作為租戶虛擬數(shù)據(jù)中心的安全屏障，實(shí)現(xiàn)租戶之間的安全隔離，另外，租戶管理員具有云防火墻的安全策略配置權(quán)限，從而實(shí)現(xiàn)以組織、業(yè)務(wù)為顆粒度的安全防護(hù)，實(shí)現(xiàn)不同組織、業(yè)務(wù)間的訪問(wèn)控制。

圖1 用戶通過(guò)自助服務(wù)門戶申請(qǐng)?jiān)浦鳈C(jī)（虛擬機(jī)）資源

（責(zé)編：陶春）

（本文根據(jù)華南理工大學(xué)信息化辦公室主任陸以勤在“2017年高等教育信息化創(chuàng)新論壇”上的演講整理）