基于安全控制與分布式部署的科技云盤的實現

蘇鴻 葉波 劉昱良 萬錦輝

【摘 要】文章就科技資源管理現狀，在現有文件加密的前提下，設計了基于安全控制策略的云存儲文件管理系統，通過將用戶角色和權限進行設置并對文件的關聯群組進行劃分，提高了系統的安全性。與此同時，在FastDFS的基礎上，實現了統一認證中心的分布式部署方案。

【關鍵詞】科技云盤;安全控制;分布式部署

【中圖分類號】TP333 【文獻標識碼】A 【文章編號】1674-0688（2019）02-0125-05

隨著政務辦公電子化推進速度加快，科技行業飛速發展，知識成為最重要的科技載體，知識文檔則是知識的具體表現。隨著公眾對知識產權日益看重，國家對知識產權保護日益提升，科技知識的力量日益凸顯。我國各省、直轄市、自治區科技廳是知識管理的源頭，是科技行業的龍頭力量，對知識產權的共享和科技行業的發展有著方向性的決定作用。

科技云通過云計算、云存儲和云應用等技術，從科技工作者日常工作出發，對科研文檔加以整理、收集、歸類和保護，實現科技數據永遠在線，為科研院所、高校、科技工作者、科技企業、實驗室、工程研究中心、技術中心、科技管理部門創建專屬的網絡虛擬工作環境，讓科技工作人員更加輕松、放心地工作。

分布式文件系統作為企業私有云盤的關鍵技術，國外早在 20世紀80年代就對其進行研究[1]，并把分布式文件系統運用到企業和學校的私有云盤、大數據處理等領域。我國在此方面的研究起步較晚，并且多數處于理論階段。而將分布式概念用于科技資源的整合利用尚處于空白階段。本文主要通過分析科技工作者對文件管理的需求，在對分布式文件系統進行研究并選擇合適的分布式文件系統的基礎上，最終設計并實現一個滿足科技工作者需求的私有云盤[2]。

1 科技云安全控制機制

1.1 科技云簡介

科技云平臺涵蓋了IT網絡架構和云計算基礎架構等基礎設施，科研單位業務需求等資源，以及安全、隱私等管理功能，此外還包含關聯科技云實際應用的前端用戶方、后臺管理方兩方面角色。從平臺的角度上看，科技信息資源的聚攏歸一化處理涉及不同的科技組織、科技研發者和使用者，這些組成部分之間時刻存在著大量的信息交互。

科技云則打破現有信息資源存在的時間和空間壁壘，通過虛擬和共享的方式，將信息資源放入云端再進行角色認證的映射各取所需，完成信息資源的高效運作[3]。通過資源池分配方式，根據不同的角色將人進行分類，再與相應的信息資源節點進行映射，采取認證的方式接入，通過信息流動完成資源交互。

隨著云計算技術日益發展，人們對于云盤的需求越來越高。云盤作為人們存儲各類數據的載體，它承載了海量的用戶隱私信息，其安全性面臨各種各樣的挑戰。我們除了對數據進行相應地加密之外，安全控制也能為信息資源提供保障，避免受到威脅[4]。

科技云采用了統一的認證中心、用戶管理、功能權限、單位權限、訪問控制一系列安全控制方案，大大提高了云盤的安全性。該過程融入了改進的認證方案，在一定程度上可以保證用戶數據的安全，阻止非法用戶入侵和破壞。另外，用戶登錄時的身份認證，使得只有合法的用戶才能順利登錄系統。文件訪問控制策略的設定，提供了文件訪問權限的規范，不同身份的用戶擁有不同的文件操作權。這些設置在一定范圍內保障了用戶數據的安全。

1.2 統一的認證中心

科技云采用統一的認證中心進行不同節點間的訪問控制。其中，各個節點的用戶通過與中心server通訊的方式獲取訪問權限，server在收到節點的訪問請求時，匹配server上的用戶數據庫判斷該用戶屬于哪個節點，然后跳轉到該節點的Web應用程序上。用戶對于文件的操作是統一經過中心server的鑒權和判斷。中心server只負責進行通訊鑒權跳轉和存儲用戶信息，文件信息還是存在本地的服務器上。

統一認證中心將數據與用戶分離，將數據存儲在本地的storage上，然后通過特定的通訊方式進行認證和操作，在提高數據安全性的同時，也為用戶的集中管理提供了便利[5]。

1.3 操作者管理

從操作者的角度來劃分管理角色，總共分為兩部分：一部分是roles（角色），另一部分是user（用戶）。

操作者管理定義了該系統最基本的權限。采取分組的方式，對角色和用戶進行規范。角色和用戶之間具有從屬關系，從邏輯的角度分析，角色與用戶是1對N的關系，但角色與角色、用戶與用戶間是相對獨立沒有交集的。簡單來說，同一個角色可以包含很多不同的用戶，但是對用戶來說，一個用戶只能有一個角色。

該系統通過分層把權限定義在角色層，而不是針對具體的用戶進行賦權，這樣的權限管理更清晰明了，從權限集合的角度上看，更便于對操作者進行統一管理。

該系統還設計了更安全、更嚴謹的操作者管理模式，就是將操作者與指定的計算機進行綁定，即操作者的賬戶信息和計算機的MAC地址進行單一性鎖定，被鎖定的操作者只能在與其綁定的計算機上進行單點登錄，這種唯一性和排他性大大提高了系統賬戶的安全性。除此之外，還可以設置操作者操作的有效時限，即操作者只能在每天的指定時間里進行賬戶操作。

1.4 角色權限的功能性劃分

角色權限的功能性劃分就是針對實際情況、操作者的業務需求，對操作者的角色權限進行職能劃分，這種劃分通過對數據的不同操作進行確定，例如文件的查詢、瀏覽、讀取、修改;數據的同步、更新、審核和維護;文檔的排序、重命名等，最后便是日志的更新和系統的維護。

不同的角色權限包含不同的功能權限，通過對功能權限的控制實現對于操作者的系統操作限制。

1.5 節點賦權

采取總節點鑒權的方式，不同的單位作為子節點只能訪問該節點上的數據。而操作者通過不同的賬戶進入不同的數據節點。簡單來說，就是操作者的賬戶信息是不同節點相互區分和所屬節點識別的唯一標識。

1.6 訪問控制

科技云盤可以根據數據的使用權限將其分為兩種不同類別。一種是僅對用戶自己可見的私人空間，其他任何用戶都沒有訪問權限;另一種是共享空間里面的數據，該部分數據是對用戶開放的。但是除了數據來源方之外，其他任何人都無法對數據進行刪除。對于上述兩個不同訪問類別，針對其操作文件權限的不同，分別采用不同的文件空間表示，并體現在用戶與文件的關系映射表中。

在用戶信息表，以每個用戶的身份標識user_id為主鍵，將所有屬于該用戶的文件都加入上述文件信息表中，構成了用戶-文件映射關系。在該表內的所有文件，都允許所屬用戶讀寫、修改和刪除等操作，其他用戶沒有訪問該文件表內數據的權限。同理，該用戶進行的所有文件操作也僅限于該文件表，對于其他文件表中的文件，用戶沒有任何訪問權限，無法進行任何讀寫文件的操作。此外，設置某一文件屬于特定的用戶群組，可使該群組中所有用戶都具有該文件的訪問權限。針對用戶身份的不同，設置不同的群組，規定每個群組的權限大小，這樣就可以在文件信息表中通過設置其所屬空間來限制不同的訪問者。因此，訪問控制策略規范了用戶的操作權限，在一定程度上保護了云盤中文件的安全。

2 基于FastDFS的分布式部署

2.1 FastDFS的基本構架

科技云盤涉及大量文檔存儲、安全等需求，科技云平臺的基本構架是基于FastDFS分布式文件系統[6]，該構架的核心功能就是對文件進行管理，而這些管理包含了我們工作生活中所涉及的文件操作，例如文件的存儲、同步、上傳、下載等，科技云系統采用該架構不僅解決了文件大容量存儲問題，也在負載均衡方面做了優化。

科技云平臺基本構架一共通過3個服務角色實現，這3個角色分別是跟蹤服務器（Tracker server）、存儲服務器（storage server）和用戶端（client）。

跟蹤服務器的主要作用是調度和指揮，相當于一個“指揮官”的角色，協調各種資源，起到均衡的作用;該“指揮官”還負責管理所有的storage server和group，每個storage在啟動后會連接Tracker，告知自己所屬group等信息，并保持周期性心跳，Tracker根據storage心跳信息，建立group→[storage server list]的映射表;Tracker管理的元數據很少，會直接存放在內存;Tracker上的元信息由storage匯報的信息生成，本身不需要持久化任何數據。

存儲服務器的作用是提供容量和備份服務，該角色相當于一個倉庫，用來存放數據。在服務器主要以group為單位，每個group內可以包含多臺storage server，數據互為備份，存儲容量空間以group內容量最小的storage為準。

2.2 科技云盤部署方案

科技云盤采用跨地域分布部署模式。通過設置統一的認證中心進行統一管理。不同地域作為不同節點，節點對應本地的storage，節點數據統一存放在本地的storage上，需要訪問時得和認證中心進行通訊鑒權，認證后授權訪問。所有節點用戶依托權限體系通過瀏覽器或者客戶端進行登錄，可以看到自己節點范圍內的信息，然后進行相應的數據操作處理。

2.3 科技云盤分布式部署

科技云盤的計算資源主要架設在云主機，剩余硬件資源有存儲服務器、數據庫服務器、負載均衡服務器、交換機、KVM等。

2.4 科技云盤的數據庫服務器

采用兩臺MySQL服務器10.137.172.213和10.137.172.

214雙向復制、互為主從。使用RoseMirrorHA產生虛擬IP地址10.137.172.210，連接其中一臺服務器進行讀寫，另一臺同步進行更新，出現故障時自動切換至備用服務器。

服務器啟動方法：

#/opt/yliyun/mysqld start

#mirrorha start

2.5 科技云盤的網站服務器

安裝有openresty，通過負載均衡服務器來轉發請求，通過nginx提供Web服務。其中，IP地址為10.137.147.67、10.137.147.68和10.137.147.69。

服務器啟動方法：

#/opt/yliyun/nginx start

2.6 科技云盤的下載服務器

對外提供Andiord和iPhone客戶端下載服務，下載服務頁面地址為http：//121.31.255.206。

服務器啟動方法：

#/opt/yliyun/nginx start

#service heartbeat start

2.7 科技云盤的應用服務器

提供應用服務，tomcat的項目為filemanager和server。

服務器啟動方法：

#/opt/yliyun/node start

#/opt/yliyun/tomcat start

#/opt/yliyun/redis start

2.8 科技云盤的存儲服務器

提供文件服務，存儲用戶上傳的文件，安裝FastDFS。

服務器啟動方法：

#/opt/yliyun/nginx start

#/opt/yliyun/fdfs_storaged start

2.9 科技云盤的負載均衡服務器

提供高可用服務，通過nginx實現業務負載均衡，當節點出現故障時由Heartbeat進行心跳檢測產生虛擬IP地址10.137.172.194，轉移至另一臺服務器接替工作。

服務器啟動方法：

#/opt/yliyun/nginx start

#service heartbeat start

3 結語

借鑒云計算的基本思想，我們提出科技云盤這種全新的科技信息資源開發與利用方式，在不改變科技信息資源所有權的情況下實現了資源云化及服務整合，為提高資源的利用效率、加快科技創新進程、提升科技活動效率提供了新的思路[7]。

科技云盤的推出，為科技工作者和科技資源提供了扁平化的交互方式。對于科技工作者而言，是一種創新的信息服務模式。使用科技云盤，有助于科技工作者方便快捷地獲取科技資源，高效有序地管理科技資源，有的放矢地利用科技資源。科技云盤打造了一個“互聯網+知識管理”的云服務平臺，使科技資源的管理更具生命力與活力。

參 考 文 獻

[1]李青.科技云平臺的數據存儲管理技術研究[D].北京：北方工業大學，2016.

[2]南凱.社區云的關鍵技術、架構及挑戰——以科技云為例[J].科研信息化技術與應用，2016，7（1）：10-14.

[3]亓巍，張云川，陳晟，等.科技信息資源開發與利用的新范式——科技云[J].科技管理研究，2014，302（4）：190-194.

[4]錢進進.私有云安全存儲技術的研究與實現[D].廣州：廣東工業大學，2013.

[5]樊超.云計算環境下基于標識的用戶身份認證技術研究[D].廣州：廣東工業大學，2014.

[6]陸峰.基于FastDFS的企業私有云盤的設計與實現[D].長春：吉林大學，2016.

[7]劉巖，張文宇，蔣婷婷，等.農業科技云服務平臺設計與實現[J].安徽農業科學，2016，44（29）：240-242.

[責任編輯：鐘聲賢]