岳軒宇, 陳遠(yuǎn)平, 杜義華, 李鎮(zhèn)陽, 王 鎮(zhèn)

?

基于“云服務(wù)”的分布式系統(tǒng)移動應(yīng)用中心建設(shè)①

岳軒宇1,2, 陳遠(yuǎn)平1, 杜義華1, 李鎮(zhèn)陽1, 王 鎮(zhèn)1

1(中國科學(xué)院計算機(jī)網(wǎng)絡(luò)信息中心, 北京 100190)2(中國科學(xué)院大學(xué), 北京 100049)

介紹了在中科院分布式科研管理系統(tǒng)—ARP系統(tǒng)環(huán)境下, 基于“云服務(wù)”模式移動應(yīng)用中心的建設(shè)方案及具體技術(shù)路線, 并針對建設(shè)過程中的關(guān)鍵問題, 如分布式環(huán)境下“云”服務(wù)功能數(shù)據(jù)的獲取機(jī)制、數(shù)據(jù)訪問的安全保障措施以及用戶認(rèn)證機(jī)制等方面進(jìn)行了重點(diǎn)闡述.

分布式系統(tǒng); 移動應(yīng)用; 云服務(wù); 安全; ARP

中國科學(xué)院資源規(guī)劃項目(Academia Resource Planning, 簡稱ARP), 是從院所兩級治理結(jié)構(gòu)出發(fā), 以科研計劃與執(zhí)行管理為核心設(shè)計并開發(fā)的資源配置管理平臺[1]. 歷經(jīng)十余年的建設(shè)與應(yīng)用, ARP系統(tǒng)逐漸形成了十大業(yè)務(wù)系統(tǒng)(人力資源管理、綜合財務(wù)管理、科研項目管理、科研條件管理、基本建設(shè)管理、知識產(chǎn)權(quán)管理、國際合作系統(tǒng)、院地合作管理、教育資源管理和評估評價)、兩大應(yīng)用平臺(公共事務(wù)處理和信息資源服務(wù)), 院所兩級聯(lián)動的應(yīng)用格局. 到目前為止, ARP系統(tǒng)在中國科學(xué)院內(nèi)共有130個上線單位, 為院所各級領(lǐng)導(dǎo)、管理人員、科研人員提供科研管理核心業(yè)務(wù)支持, 核心用戶近4000人, 其中員工自助、網(wǎng)上報銷、日常事務(wù)管理等子系統(tǒng)涉及全體員工, 直接服務(wù)總?cè)藬?shù)達(dá)5.5萬人, 在提高管理工作效率、促進(jìn)管理方式變革等方面發(fā)揮了重要作用.

ARP系統(tǒng)采用的是“院-所”兩級分布式部署架構(gòu),每個上線單位(各研究所)均擁有一套獨(dú)立的物理服務(wù)器環(huán)境并部署了相應(yīng)的業(yè)務(wù)管理系統(tǒng), 各所級業(yè)務(wù)系統(tǒng)通過數(shù)據(jù)交換平臺與院級業(yè)務(wù)系統(tǒng)進(jìn)行交互. ARP系統(tǒng)院-所兩級結(jié)構(gòu)如圖1所示.

圖1 “院-所”兩級系統(tǒng)結(jié)構(gòu)圖

此外, 在院級系統(tǒng)層面組建了信息資源中心(IRC), 負(fù)責(zé)完成全院各所級節(jié)點(diǎn)業(yè)務(wù)系統(tǒng)日常運(yùn)行過程中產(chǎn)生的各類科研管理數(shù)據(jù)的匯聚任務(wù), 并通過ETL(抽取、轉(zhuǎn)換、加載)操作構(gòu)建形成中心數(shù)據(jù)倉庫及數(shù)據(jù)資源池, 為院、所兩級決策者、業(yè)務(wù)管理人員及科研人員提供信息資源服務(wù)[2].

1　ARP系統(tǒng)面臨的移動應(yīng)用需求

目前我們正身處移動互聯(lián)網(wǎng)時代, 智能手機(jī)、平板電腦已普及千家萬戶, 各類雨后春筍般出現(xiàn)的移動應(yīng)用正逐漸地改變?nèi)藗兊纳詈凸ぷ鞣绞絒3,4]. ARP系統(tǒng)作為中國科學(xué)院科研管理信息化的重要支持平臺, 旨在利用移動終端平臺提供業(yè)務(wù)審批、課題經(jīng)費(fèi)查詢、個人工資信息查詢等常見功能, 使得用戶可以隨時隨地的進(jìn)行業(yè)務(wù)處理及信息服務(wù)獲取, 進(jìn)一步提高工作效率及工作體驗.

2012至2013年, 作為運(yùn)維支撐部門的ARP中心曾嘗試開發(fā)并實現(xiàn)了ARP移動辦文項目[5], 然而由于該項目的部署模式仍采用分布式結(jié)構(gòu), 需要在各ARP上線節(jié)點(diǎn)部署相應(yīng)的程序包, 最終由于部署過程復(fù)雜、功能拓展不便及系統(tǒng)升級困難等各方面因素導(dǎo)致項目的應(yīng)用效果并不理想.

隨著辦公人員對移動應(yīng)用需求的不斷變化和拓展, 若依然按照分布式系統(tǒng)結(jié)構(gòu)進(jìn)行系統(tǒng)功能應(yīng)用部署、拓展、升級等操作, 則不可避免的需要在各上線單位持續(xù)地增加服務(wù)器, 在未來的運(yùn)維過程中還需反復(fù)下發(fā)程序補(bǔ)丁, 并要求各ARP系統(tǒng)上線單位系統(tǒng)管理員及時部署程序升級包. 可以預(yù)見的是, 分布式架構(gòu)下復(fù)雜和繁瑣的工作流程勢必將嚴(yán)重限制著ARP系統(tǒng)應(yīng)用功能的發(fā)揮, 更重要的是分布式架構(gòu)下不能充分利用院級信息資源中心匯聚的各ARP上線單位的數(shù)據(jù)資源, 從而無法為不同類別用戶提供定制服務(wù), 進(jìn)而嚴(yán)重影響ARP系統(tǒng)整體效益的發(fā)揮. 此外, 使用分布式架構(gòu)將面臨著系統(tǒng)平臺的統(tǒng)一管理的一系列挑戰(zhàn), 諸如用戶行為數(shù)據(jù)的收集、系統(tǒng)安全的統(tǒng)一控制等.

近年來, 伴隨著“云服務(wù)”概念的興起以及相關(guān)開發(fā)技術(shù)的日趨成熟, 依托于“云架構(gòu)”及相關(guān)技術(shù)在院級系統(tǒng)層面統(tǒng)一開發(fā)和部署“云服務(wù)”模式的ARP移動應(yīng)用中心, 將能更合理、有效的解決前述問題, 更加充分地利用院所兩級的整體資源.

2　系統(tǒng)建設(shè)方案

針對目前已經(jīng)存在的大規(guī)模分布式結(jié)構(gòu)的所級ARP系統(tǒng), 建立起一個基于“云服務(wù)”模式并能充分兼容原有分布式系統(tǒng)結(jié)構(gòu)的集中式移動應(yīng)用中心勢必充滿著一系列的挑戰(zhàn)及困難, 主要包括以下幾個方面:

①如何實現(xiàn)分布式系統(tǒng)下ARP用戶的統(tǒng)一登錄及權(quán)限驗證問題;

②如何解決分布式環(huán)境下業(yè)務(wù)數(shù)據(jù)的實時訪問、處理問題;

③如何解決移動應(yīng)用VPN訪問及分布式現(xiàn)狀下業(yè)務(wù)用戶應(yīng)用路由問題.

2.1系統(tǒng)整體結(jié)構(gòu)

針對上述提出需要解決的問題, 綜合考慮設(shè)計系統(tǒng)整體結(jié)構(gòu)如圖2所示.

圖2 系統(tǒng)整體結(jié)構(gòu)圖

系統(tǒng)由移動“云服務(wù)”中間平臺、所級業(yè)務(wù)管理系統(tǒng)、中轉(zhuǎn)路由三部分組成, 針對系統(tǒng)所需要處理的業(yè)務(wù)而言, 構(gòu)建偽代碼描述如下:

GetTheRequestFromUser();

if (CaVerifyNoPassed(userId))

return falseInformationToUser();

else

FindTheInformationForUser();

FindWebServiceAddressFromXml();

CallOnWebServiceAndProcessRequest();

“云服務(wù)”模式的集中式移動應(yīng)用中心處理的典型

業(yè)務(wù)請求如下:

①處理涉及讀寫操作的業(yè)務(wù)數(shù)據(jù)請求(如公文批示)時, 移動“云服務(wù)”中間平臺將充當(dāng)認(rèn)證門戶, 進(jìn)行統(tǒng)一用戶認(rèn)證保證系統(tǒng)的安全性及控制權(quán)限. 若用戶沒有通過驗證, 返回錯誤提示信息, 若用戶通過認(rèn)證, 通過查詢路由信息表判斷業(yè)務(wù)請求數(shù)據(jù)源, 調(diào)用“云服務(wù)”中間平臺內(nèi)保存的對應(yīng)所級業(yè)務(wù)處理系統(tǒng)WebService接口進(jìn)行請求轉(zhuǎn)發(fā), 在所級系統(tǒng)內(nèi)進(jìn)行更進(jìn)一步的業(yè)務(wù)邏輯處理;

②處理僅涉及讀操作的業(yè)務(wù)數(shù)據(jù)請求(如個人工資查詢請求)時, 集中式服務(wù)平臺為通過統(tǒng)一認(rèn)證的用戶從平臺持有的數(shù)據(jù)庫連接池中動態(tài)創(chuàng)建JDBC連接, 連到遠(yuǎn)程相應(yīng)所級數(shù)據(jù)庫, 并為該請求創(chuàng)建一個對應(yīng)所級數(shù)據(jù)庫系統(tǒng)最小權(quán)限(只讀)的用戶, 通過該連接直接查詢遠(yuǎn)程分布式數(shù)據(jù)庫的數(shù)據(jù)作為查詢結(jié)果返回.

2.2系統(tǒng)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

VPN專網(wǎng)作為ARP網(wǎng)絡(luò)安全防護(hù)的重要措施之一, 通過VPN加密隧道將院機(jī)關(guān)局域網(wǎng)和各研究所局域網(wǎng)連接起來, 所級用戶通過VPN加密隧道進(jìn)行信息交互.

當(dāng)用戶訪問集中式云移動應(yīng)用中心時, 若各類用戶均先登錄院級VPN專網(wǎng), 需在院級VPN服務(wù)器上為各所各用戶再單獨(dú)創(chuàng)建帳號, 這樣的處理方式不方便且不現(xiàn)實, 且容易造成VPN服務(wù)器承受過大的性能壓力.

為解決上述問題, ARP移動應(yīng)用中心部署于院級VPN區(qū)中, 系統(tǒng)在各上線單位VPN防火墻服務(wù)器上為本單位用戶開通院級VPN登錄帳號, 使用ARP業(yè)務(wù)系統(tǒng)時用戶需先登錄本單位VPN服務(wù)器, 通過VPN加密隧道訪問院級數(shù)據(jù)資源. 系統(tǒng)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖3所示.

圖3 系統(tǒng)VPN網(wǎng)絡(luò)結(jié)構(gòu)圖

系統(tǒng)通過設(shè)置嚴(yán)格的防火墻規(guī)則, 研究所與研究所之間劃分了各自的局域網(wǎng)域, 僅允許對院中心特定IP服務(wù)器、協(xié)議和端口的訪問, 從而保證數(shù)據(jù)訪問的安全.

2.3用戶管理認(rèn)證方案

ARP移動應(yīng)用中心的用戶群體主要包括全院ARP系統(tǒng)核心用戶及科研人員, 用戶在本單位ARP業(yè)務(wù)系統(tǒng)中已持有帳號及密碼, 并且該賬戶與人力資源模塊中的組織結(jié)構(gòu)、人員編號等信息相關(guān)聯(lián). 集中式移動應(yīng)用中心不宜重新創(chuàng)建組織結(jié)構(gòu)及用戶帳號, 造成資源的重用浪費(fèi), 更合理地處理方式是在保障安全地前提下利用已有業(yè)務(wù)系統(tǒng)的賬號密碼信息實現(xiàn)用戶權(quán)限管理的無縫銜接.

因此, 采取將各所級用戶信息(如所屬研究所信息等)抽取并實時匯聚到集中式移動應(yīng)用中心的云端, 用戶在云端登錄驗證時使用與所級業(yè)務(wù)系統(tǒng)相同的加密判斷算法的方式, 可以很好地解決集中式登錄問題.

用戶的登陸認(rèn)證流程圖如圖4所示.

圖4 系統(tǒng)用戶登陸認(rèn)證流程圖

①用戶提交認(rèn)證請求給驗證服務(wù)器;

②驗證服務(wù)器進(jìn)行用戶驗證并返回給用戶票據(jù)信息;

③客戶端解析票據(jù), 判斷如果認(rèn)證成功, 為用戶分配相應(yīng)的權(quán)限, 并調(diào)用VPN的sdk包(ios/安卓)建立一條VPN服務(wù)通道以便進(jìn)行數(shù)據(jù)傳輸 ;

④如果客戶端解析認(rèn)證失敗, 則提示給客戶端認(rèn)證失敗信息.

由于客戶端在提交數(shù)據(jù)請求時, 數(shù)據(jù)都是在VPN服務(wù)通道中傳輸?shù)? 即使客戶端沒有使用安全的加密措施, 由于VPN服務(wù)通道的高安全性, 可以充分地保證數(shù)據(jù)請求的安全性.

2.4 數(shù)據(jù)與業(yè)務(wù)實時性方案

云端院ARP信息資源中心(以下簡稱IRC)中已按月、周或日匯聚存儲或加工整理有全院各類科研管理的基礎(chǔ)數(shù)據(jù), 已能滿足各級領(lǐng)導(dǎo)的常用各類查詢展示、報表統(tǒng)計和態(tài)勢分析服務(wù).

當(dāng)ARP移動應(yīng)用中心需支持快捷辦公實現(xiàn)與業(yè)務(wù)系統(tǒng)交互、面向普通人員提供最新數(shù)據(jù)服務(wù)時, 信息資源中心匯聚的集中數(shù)據(jù)相對實時性不夠, 且無法回寫到源ARP業(yè)務(wù)系統(tǒng).

采用“集中數(shù)據(jù)+分布式數(shù)據(jù)”結(jié)合方式, 開放云端海端點(diǎn)對點(diǎn)間數(shù)據(jù)訪問通道, 對一些涉及交互操作和實時明細(xì)數(shù)據(jù), 程序直接調(diào)用原所級ARP業(yè)務(wù)系統(tǒng), 如個人工資明細(xì)、課題經(jīng)費(fèi)收支明細(xì)、批閱待辦公文等 , 可解決常規(guī)數(shù)據(jù)的集中與實時數(shù)據(jù)的分布、IRC數(shù)據(jù)的只讀與辦公功能的互動問題, 同時可減輕IRC實時數(shù)據(jù)匯聚、加載轉(zhuǎn)換的壓力, 數(shù)據(jù)匯集過程如圖5所示.

圖5 系統(tǒng)“集中+分布式”數(shù)據(jù)模式

3　系統(tǒng)技術(shù)實現(xiàn)

3.1 開發(fā)語言與框架

目前主流的智能移動終端操作系統(tǒng)包括Android、IOS、WP7等, 根據(jù)開發(fā)實現(xiàn)方式的不同移動應(yīng)用可進(jìn)一步劃分為: 基于具體的手機(jī)操作系統(tǒng), 使用原生程序開發(fā)語言編寫運(yùn)行的原生應(yīng)用(Native App); 基于Web系統(tǒng)的, 向廣大的最終用戶發(fā)布一組復(fù)雜的內(nèi)容和功能的網(wǎng)頁應(yīng)用(Web App); 介于原生應(yīng)用(Native App)、網(wǎng)頁應(yīng)用(Web App)這兩者之間的混合應(yīng)用(Hybrid App), 三者的技術(shù)特性對比如下:

①原生應(yīng)用具備最高的性能, 支持離線及各類的設(shè)備原生功能, 對網(wǎng)絡(luò)依賴低;

②網(wǎng)頁應(yīng)用能利用HTML、CSS等技術(shù)進(jìn)行界面渲染, 不能支持照相機(jī)、系統(tǒng)通知等本機(jī)設(shè)備訪問功能, 且大部分依賴網(wǎng)絡(luò);

③混合應(yīng)用則結(jié)合了前兩者的優(yōu)勢, 雖然損耗了部分性能, 但通過HTML、CSS等技術(shù)的結(jié)合保證了界面的美觀, 同時更好的支持設(shè)備的原生功能. 此外, 混合應(yīng)用開發(fā)模式還具備跨平臺性、低成本、移動終端頁面自適應(yīng)的優(yōu)勢.

綜上所述, 結(jié)合實際需求, 對于移動ARP應(yīng)用中心, 系統(tǒng)移動端采用混合應(yīng)用開發(fā)的架構(gòu). 此外, 系統(tǒng)結(jié)合了當(dāng)下流行的HTML5技術(shù)實現(xiàn)移動終端的界面友好交互、跨瀏覽器支持、并利用本地存儲取代cookie.

圖6 系統(tǒng)開發(fā)技術(shù)結(jié)構(gòu)圖

通過研究設(shè)計ARP移動應(yīng)用中心的整體軟件體系架構(gòu), 在數(shù)據(jù)接口層中, 系統(tǒng)采用SSHJ的結(jié)構(gòu), 即Structs+Spring+Hibernate+Json, 數(shù)據(jù)接口層在原有的SSH的框架基礎(chǔ)上, 增加了Json的轉(zhuǎn)換實現(xiàn), 將原有Structs中用于view展現(xiàn)的實體類, 通過數(shù)據(jù)轉(zhuǎn)換, 轉(zhuǎn)換成標(biāo)準(zhǔn)的Json數(shù)據(jù)接口. 通過上述轉(zhuǎn)換力爭實現(xiàn)對需求的快速響應(yīng), 最大程度的降低系統(tǒng)的運(yùn)維成本. 同時基于該技術(shù)路線, 研究并探索移動應(yīng)用緩存管理實現(xiàn)機(jī)制, 實現(xiàn)在線下載、離線閱讀、分類導(dǎo)航、模糊檢索等功能, 提升用戶使用體驗.

此外, 移動應(yīng)用中心需要考慮移動應(yīng)用的安全性, 包括數(shù)據(jù)傳輸?shù)陌踩?、?shù)據(jù)存儲的安全性、移動用戶訪問的安全性等. 系統(tǒng)通過數(shù)據(jù)加密傳輸、VPN專網(wǎng)、對移動智能終端的安全管理等技術(shù)手段進(jìn)行控制. 通過認(rèn)證權(quán)限管理實現(xiàn)移動應(yīng)用訪問入口的統(tǒng)一, 保證了ARP業(yè)務(wù)系統(tǒng)的權(quán)限控制與移動ARP應(yīng)用中心用戶管理的無縫銜接. 同時系統(tǒng)支持ARP系統(tǒng)外用戶的注冊申請, 最終實現(xiàn)用戶的統(tǒng)一, 提高用戶的使用體驗的同時確保系統(tǒng)的安全、健壯. 系統(tǒng)開發(fā)技術(shù)結(jié)構(gòu)圖如圖6所示.

3.2動態(tài)數(shù)據(jù)源的生成

由于中科院下屬的研究所數(shù)目龐大, 如果為每一個數(shù)據(jù)請求都生成數(shù)據(jù)源信息顯然效率低下、并且造成資源大幅浪費(fèi). 為解決該問題, ARP移動應(yīng)用中心采取動態(tài)生成數(shù)據(jù)源的策略, 生成數(shù)據(jù)源的流程如圖7所示.

圖7 系統(tǒng)動態(tài)數(shù)據(jù)源的生成

①用戶首先登陸系統(tǒng)并進(jìn)行相關(guān)的身份驗證;

②系統(tǒng)通過用戶信息確認(rèn)用戶所屬機(jī)構(gòu)信息;

③在系統(tǒng)的路由資源配置文件中存有中科院下屬各研究所的所有數(shù)據(jù)源信息, 系統(tǒng)會檢測配置文件中是否存在當(dāng)前請求對應(yīng)的數(shù)據(jù)源, 如果存在, 則使用已存在數(shù)據(jù)源. 如果不存在, 系統(tǒng)會根據(jù)XML配置信息為當(dāng)前請求動態(tài)生成數(shù)據(jù)源;

④動態(tài)生成的數(shù)據(jù)源將被添加到連接池中以便相同所級機(jī)構(gòu)用戶再次請求時重復(fù)使用, 同時該數(shù)據(jù)源將被設(shè)定超時時間, 如果在規(guī)定超時時間內(nèi)沒有該所級用戶的數(shù)據(jù)請求, 系統(tǒng)回收該數(shù)據(jù)源資源.

3.3系統(tǒng)實現(xiàn)展示

系統(tǒng)全部功能展示如圖8所示.

①用戶可以通過系統(tǒng)進(jìn)行日程、課題經(jīng)費(fèi)、差旅費(fèi)、院屬機(jī)構(gòu)等基本辦公信息的查詢;

②用戶可以通過系統(tǒng)進(jìn)行公文辦公, 在移動端完成辦公提高工作效率.

圖8 系統(tǒng)功能效果展示圖

4　結(jié)語

基于“云”模式的ARP移動應(yīng)用中心自部署應(yīng)用以來運(yùn)行效果良好, 目前基于該應(yīng)用平臺提供了包括移動公文辦公、課題經(jīng)費(fèi)查詢、護(hù)照簽證、個人工資、通訊錄、統(tǒng)計分析等主題服務(wù), 有效的解決了分布式業(yè)務(wù)環(huán)境與集中式全局?jǐn)?shù)據(jù)中心信息資源服務(wù)的矛盾, 提供了豐富的服務(wù)功能, 極大的方便了院、所級業(yè)務(wù)管理及科研人員的工作, 另一方面也很好的降低了系統(tǒng)運(yùn)維升級的成本和復(fù)雜度.

總而言之, 通過該移動應(yīng)用中心的建設(shè), 探索了一條大型分布式信息系統(tǒng)下“云服務(wù)”模式應(yīng)用的建設(shè)路徑, 為“十三五”新一代ARP系統(tǒng)的建設(shè)提供了寶貴經(jīng)驗和借鑒.

1 及俊川.十年辛勤耕耘服務(wù)一流管理--紀(jì)念A(yù)RP項目實施10周年.科技促進(jìn)發(fā)展,2012,8(10):11–17.

2 杜義華.大數(shù)據(jù)背景下中科院科研管理數(shù)據(jù)中心建設(shè)探討.計算機(jī)系統(tǒng)應(yīng)用,2015,24(1):79–85.

3 Cisco Visual Networking Index: Forecast and Methodology, 2014-2019 White Paper[Technical Report], Cisco, 2015.

4 中國互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計報告.中國互聯(lián)網(wǎng)信息中心, 2016.1.

5 劉彥良,孫健英.基于Android移動智能終端的ARP公文系統(tǒng)設(shè)計與實現(xiàn).科研信息化技術(shù)與應(yīng)用,2014,5(2): 82–90.

Construction of Distributed System Mobile Application Center Based on “Cloud Service”

YUE Xuan-Yu1,2, CHEN Yuan-Ping1, DU Yi-Hua1, LI Zhen-Yang1, WANG Zhen1

1(Computer Network Information Center, Chinese Academy of Sciences, Beijing 100190, China)2(University of the Chinese Academy of Sciences, Beijing 100049, China)

This paper mainly introduces the construction scheme of mobile application center and the specific technical route, based on “cloud services” model, under the Chinese Academy of Sciences large-scale distributed scientific research management system - ARP system environment. In addition, for the key problems in the construction process under distributed environment, such as the “cloud” services function data obtain mechanism, data access safeguards, user authentication mechanism and other aspects, it carries on the key elaboration.

distributed system; mobile application; cloud service; secure; ARP

中國科學(xué)院計算機(jī)網(wǎng)絡(luò)信息中心一三五規(guī)劃重點(diǎn)培育方向?qū)ｍ?CNIC_PY_1412)

2016-06-06;

2016-07-19

[10.15888/j.cnki.csa.005634]