龍 燕,王 莉

（新疆油田公司勘探開發(fā)研究院 計算信息中心,新疆 克拉瑪依 834000）

1 引言

云計算技術(shù)目前仍在迅猛發(fā)展，新技術(shù)層出不窮，同時研究院及油田公司等各研究單位需求各有不同。為了在未來能融合更先進的技術(shù)，并滿足不同的需求，勘探云平臺被設(shè)計為具有開放式的平臺架構(gòu)，能夠方便地融合各種云計算技術(shù)，實現(xiàn)多樣的功能，以滿足未來升級和推廣的要求。在云計算環(huán)境中，用戶不再擁有基礎(chǔ)設(shè)施的硬件資源，軟件都運行在云中，業(yè)務(wù)數(shù)據(jù)也存儲在云中，本文將對云計算所面臨的諸多安全問題進行深入探討。

2 云計算體系架構(gòu)

勘探開發(fā)研究院勘探云平臺目標是建立統(tǒng)一的登錄門戶，實現(xiàn)異地資源共享和異地協(xié)同工作。根據(jù)勘探科研生產(chǎn)現(xiàn)有的軟硬件環(huán)境，規(guī)劃以 DCV（Linux平臺）、Citrix（Windows平臺）為基礎(chǔ)組件，研發(fā)統(tǒng)一集成管理平臺，實現(xiàn)勘探協(xié)同“云計算”平臺。云端用戶通過管理系統(tǒng)和部署工具接入服務(wù)集群中，即云中。通過云完成海量計算和存儲業(yè)務(wù)，如圖1所示。

圖1 勘探云平臺總體框架圖

3 云計算安全技術(shù)研究

由于云計算獨特的模式，最初是在企業(yè)內(nèi)部網(wǎng)絡(luò)運行的，并不對外開放，在設(shè)計之初沒有太多考慮安全性問題，從而導致了現(xiàn)在云計算安全的一系列問題。從上到下可以歸結(jié)為身份和訪問安全，數(shù)據(jù)安全，網(wǎng)絡(luò)、存儲、服務(wù)器安全，物理安全幾個方面的安全問題。若用戶在包括互聯(lián)網(wǎng)的任意地點通過統(tǒng)一門戶獲取所需資源，從上到下可依次采用用戶認證與授權(quán)，數(shù)據(jù)隔離、加密及保護，網(wǎng)絡(luò)隔離，災備管理幾個措施。如圖2所示。

圖2 云計算安全層次歸結(jié)及安全措施

3.1 用戶認證與授權(quán)

用戶認證與授權(quán)旨在授權(quán)合法用戶進入系統(tǒng)和訪問數(shù)據(jù)，同時保護這些資產(chǎn)免受非授權(quán)用戶的訪問。

云計算的用戶認證與授權(quán)措施需要具備如下的能力：

(1)身份管理。在用戶身份生命周期中，有效管理用戶身份和訪問資源的權(quán)限。

(2)訪問授權(quán)。訪問授權(quán)應(yīng)該在用戶生命周期內(nèi)提供及時的訪問，從而加強安全和保護IT資源。

(3)基于LDAP的統(tǒng)一身份認證完成將分散的用戶和權(quán)限資源進行統(tǒng)一、集中的管理，實現(xiàn)用戶單點登錄就可以訪問多個系統(tǒng)。

(4)管理分布式環(huán)境下的用戶，包括能夠為用戶配置一個或多個角色。

在原有勘探協(xié)同環(huán)境中，不同的專業(yè)軟件需要不同的賬號，而同一個項目組的科研人員在使用一款專業(yè)軟件時要使用同一個賬號，這不僅很不方便，而且在權(quán)限管理和數(shù)據(jù)安全上有較大的隱患。在勘探協(xié)同研究云平臺中，實現(xiàn)了用戶和軟件的跨平臺統(tǒng)一管理，每位科研人員均有自己的唯一賬號，并可通過該賬號訪問其有權(quán)限使用的軟件和數(shù)據(jù)資源。

針對兩種操作系統(tǒng)采用了不同的專業(yè)軟件授權(quán)技術(shù)：

（1）云應(yīng)用管理臺建立與NIS系統(tǒng)一一對應(yīng)的賬號，并與NIS系統(tǒng)的賬號實現(xiàn)映射，被授權(quán)的云應(yīng)用管理臺用戶以Linux系統(tǒng)內(nèi)的NIS賬號身份訪問專業(yè)軟件。

（2）云應(yīng)用管理臺建立與AD系統(tǒng)一一對應(yīng)的AD組，并與AD系統(tǒng)的AD組實現(xiàn)映射，被授權(quán)的云應(yīng)用管理臺用戶以AD組成員的身份訪問專業(yè)軟件。

3.2 數(shù)據(jù)安全

在勘探協(xié)同研究云平臺中，應(yīng)用服務(wù)器和存儲集中存放在服務(wù)器機房，雙網(wǎng)段的設(shè)置保證了數(shù)據(jù)交換僅在機房內(nèi)部進行，客戶端與服務(wù)器之間的通信數(shù)據(jù)只有經(jīng)過壓縮的屏幕顯示，有效防止了數(shù)據(jù)外泄。同時改變了原有的用戶管理模式，每個科研人員都有自己唯一的賬號，增強了用戶賬號的安全性。

3.2.1 數(shù)據(jù)隔離

云計算系統(tǒng)對于客戶數(shù)據(jù)的存放可采用兩種方式實現(xiàn)，即提供統(tǒng)一共享的存儲設(shè)備或者單獨的存儲設(shè)備。目前各個部門都有單獨的存儲，但后續(xù)規(guī)劃是建成統(tǒng)一的數(shù)據(jù)存儲系統(tǒng)。這就需要存儲自身的安全措施，比如存儲映射等功能可以確保數(shù)據(jù)的隔離性，它基于共享存儲的方式，能夠節(jié)約存儲空間并且統(tǒng)一管理。

3.2.2 數(shù)據(jù)保護

對于存儲在云計算平臺中的數(shù)據(jù)，可采取快照、備份和容災等重要保護手段確?？蛻糁匾獢?shù)據(jù)的安全。對于數(shù)據(jù)備份，可通過現(xiàn)有的企業(yè)級備份軟件或者存儲備份功能實現(xiàn)，可按照用戶設(shè)定的備份策略對其文件和數(shù)據(jù)庫進行自動備份及恢復，包括在線和離線備份，如圖3所示。一般數(shù)據(jù)庫備份推薦一周一次全備,根據(jù)實際情況配置差分增量備份,差分增量適合數(shù)據(jù)量變化多的數(shù)據(jù)庫，恢復時需要的恢復次數(shù)較多。

圖3 企業(yè)級備份軟件

3.3 網(wǎng)絡(luò)安全

在進行勘探云平臺建設(shè)的過程中，網(wǎng)絡(luò)虛擬化技術(shù)是其中的一個必要環(huán)節(jié)和組成部分。利用網(wǎng)絡(luò)虛擬化技術(shù)可以比較好地提供網(wǎng)絡(luò)鏈路安全和網(wǎng)絡(luò)隔離的解決方案，不僅可以提供高帶寬和低延時，還能提供負載均衡和高強度的冗余性，為云平臺業(yè)務(wù)應(yīng)用提供可靠的網(wǎng)絡(luò)環(huán)境保障。3.3.1 網(wǎng)絡(luò)鏈路安全

網(wǎng)絡(luò)鏈路是一個端到端的通路，一邊是服務(wù)器端，一邊是交換機端。在服務(wù)器端應(yīng)用端口虛擬化連接技術(shù)，可以將實際的物理網(wǎng)絡(luò)端口，按照需求通過虛擬化連接管理配置到各個不同的VLAN端口中，在與交換機的鏈接上，可通過端口匯聚技術(shù)及協(xié)議實現(xiàn)高帶寬、負載均衡以及多鏈路冗余，在端對端配置的過程中，必須遵照相互可通行的網(wǎng)絡(luò)協(xié)議。應(yīng)用網(wǎng)絡(luò)虛擬化技術(shù)后不但可以滿足勘探云平臺的網(wǎng)絡(luò)速度的要求，同時也提供了可靠的網(wǎng)絡(luò)鏈路保障。如圖4所示。

圖4 網(wǎng)絡(luò)虛擬化技術(shù)應(yīng)用前后對比

3.3.2 網(wǎng)絡(luò)隔離

針對網(wǎng)絡(luò)、存儲和服務(wù)器安全問題，采用網(wǎng)絡(luò)隔離技術(shù)，網(wǎng)絡(luò)隔離提供數(shù)據(jù)傳輸?shù)陌踩?。從網(wǎng)絡(luò)的角度，業(yè)務(wù)隔離必須要從接入層能夠?qū)⒏鳂I(yè)務(wù)的服務(wù)器分開。

（1）VLAN。VLAN主要用在研究院內(nèi)部，用于隔離不同的應(yīng)用和客戶程序，確保一個客戶無法獲取其他用戶的網(wǎng)絡(luò)數(shù)據(jù)，但是網(wǎng)絡(luò)的管理員可以看到所有的網(wǎng)絡(luò)數(shù)據(jù)。因此，這種方法只有隔離性，沒有保證私密性。

為了既能滿足研究院外網(wǎng)絡(luò)訪問勘探云平臺的要求，又要最大限度地保障勘探數(shù)據(jù)的安全性，勘探云平臺設(shè)計運行在內(nèi)網(wǎng)（192.168.X.X網(wǎng)段用于高速內(nèi)部數(shù)據(jù)交換）和外網(wǎng)（10.72.x.x網(wǎng)段用于外部平臺訪問）兩個不同網(wǎng)段。數(shù)據(jù)庫服務(wù)器、集中存儲系統(tǒng)，關(guān)鍵性管理服務(wù)器僅配置內(nèi)部網(wǎng)段。

（2）VPN。VPN又稱虛擬專用網(wǎng)絡(luò)，是將多臺分布的計算機用一個私有的經(jīng)過加密的網(wǎng)絡(luò)連接起來，形成一個私有的網(wǎng)絡(luò)。當用戶通過數(shù)據(jù)網(wǎng)絡(luò)訪問云服務(wù)時，對鏈路加密是保證用戶數(shù)據(jù)不被非法竊取的必要手段。VPN是通用的鏈路加密方式，在云計算環(huán)境中，SSL是被廣泛使用的VPN技術(shù)，是一種常見的傳輸安全技術(shù)，主要用在瀏覽器和服務(wù)器之間的通信上，比較適合點對點的安全保障。

3.4 災備管理

遇到UPS無法供電、機房失火、地震等極端情況造成的數(shù)據(jù)丟失和業(yè)務(wù)停止，云計算平臺應(yīng)該可以切換到其他備用站點以繼續(xù)提供服務(wù)。對于一個云計算服務(wù)的用戶，可以選擇不同地點的中心機房提供服務(wù)，這樣即使服務(wù)停止用戶也可以保留自己的數(shù)據(jù)，并繼續(xù)運行自己的業(yè)務(wù)。

4 總結(jié)

云計算的優(yōu)勢不可忽視，云計算的發(fā)展趨勢不可阻擋，通過對上述安全技術(shù)研究與應(yīng)用有效提高了勘探云平臺的安全性。今后研究院將整合全院的科研硬件資源，形成具有高性能和高可靠性的研究院統(tǒng)一科研云平臺，實現(xiàn)全部計算資源共享和隨需調(diào)度，建立較為完整的數(shù)據(jù)資源管理體系，并可集中管理所有的軟件許可資產(chǎn)，這必將使云計算面臨更多的安全風險。目前業(yè)界對云計算安全的解決并沒有統(tǒng)一的標準和解決方法，我們只有不斷地深入研究云計算安全技術(shù)，來確?？碧皆破脚_安全高效地運行。

[1]徐立冰，騰云.云計算和大數(shù)據(jù)時代網(wǎng)絡(luò)技術(shù)揭秘[M].北京：人民郵電出版社，2013.

[2]聶元銘，安靖，文暉.云計算信息安全風險探究[J].信息網(wǎng)絡(luò)安全，2011（10）.

[3]張?zhí)炖?，徐飛汀.云計算技術(shù)在石油勘探領(lǐng)域中的研究與實踐[J].高性能計算機技術(shù)，2010（6）.