中原大数据集团有限公司媒体云投标技术方案.docx

河南中原云大数据集团有限公司媒体云数据中心（一期）建设项目河南中原云大数据集团有限公司媒体云数据中心（一期）建设项目投标技术方案目录第1章 项目背景5第2章 建设目标52.1 媒体云数据中心建设目标6第3章 媒体云数据中心业务架构设计63.1 媒体云数据中心业务流程设计73.2 媒体云数据中心云平台逻辑框架设计83.2.1 媒体云数据中心外部支撑及服务对象：83.2.2 媒体云数据中心内部支撑及服务对象：93.2.3 媒体云数据中心系统架构设计：93.3 媒体云数据中心业务分区及流程设计103.3.1 媒体云数据中心业务分区：103.3.2 业务分区及安全访问流程：11第4章 媒体云数据中心建设需求分析114.1 媒体云数据中心功能需求分析124.2 媒体云数据中心业务需求与业务服务器、存储量化计算134.2.1 媒体云数据中心业务对应服务器量化计算过程：134.2.2 媒体云数据中心业务对应存储数量计算过程：15第5章 总体方案设计215.1 总体设计原则215.2 总体设计思路225.2.1 基于云的统一数据中心235.2.2 云网融合平台235.2.3 基于云计算的安全235.3 媒体云数据中心系统总体架构23第6章 架构分区设计266.1 总体架构设计266.1 边界安全分区276.1.1 媒体云数据中心与公有云边界安全资源池276.1.2 数据输出边界安全资源池区需求286.1 核心交换分区296.2 新闻岛-生产网业务分区296.2.1 媒体汇聚系统分区296.2.2 媒体制作系统分区306.2.3 媒体发布系统分区326.2.4 新闻指挥中心分区326.3 备播区需求336.4 web应用分区346.5 数据交换控制区346.1 电台、电视台全台网对接传输分区356.1 管理系统区356.1 oa办公分区366.1.1 oa业务分区366.1.2 远程办公接入区36第7章 媒体云数据中心解决方案377.1 媒体云数据中心iaas层云管理平台设计方案377.1.1 iaas云管理平台逻辑架构377.1.2 iaas云管理平台软件部署387.1.3 iaas云管理功能特性397.1.4 组织架构下的虚拟数据中心交付467.1.5 iaas云管理平台对外接口设计467.2 安全资源池设计方案487.2.1 安全整体架构487.2.1 物理安全设计497.2.2 网络安全设计497.2.3 主机安全517.2.4 应用安全527.2.5 云安全设计（虚机安全、服务链等）537.2.6 日志审计统一管理解决方案587.3 网络资源池设计方案597.3.1 网络需求分析597.3.2 网络设计原则597.3.3 网络方案拓扑607.3.4 数据中心网络技术627.3.5 关键技术优势647.4 计算资源池设计方案667.4.1 计算资源划分667.4.2 uis 2.0系统架构667.4.3 uis 2.0系统部件组成677.4.4 uis 2.0系统方案价值687.4.5 云非编资源池设计697.4.6 虚拟化平台整体设计707.4.7 虚拟化平台接口设计827.5 存储资源池设计方案837.5.1 方案技术847.5.2 oracle环境解决方案907.6 云桌面资源池设计方案997.6.1 虚拟桌面部署997.6.2 虚拟桌面克隆1157.6.3 ha功能设置1167.6.4 动态资源调整设置1177.7 运维平台设计方案1187.7.1 imc运维管理软件118第1章 项目背景随着互联网技术不断创新，三网融合工作快速推进，我国媒体产业迎来快速发展的重大机遇。作为党和国家宣传战线的重要阵地，当前的形势要求河南中原云大数据集团有限公司媒体云数据中心（一期）建设项目简称媒体云数据中心必须跳出传统媒介的束缚，把握先机，做大做强全媒体产业，构建适应当代技术发展与用户需求的现代媒体产业体系、提升产业核心竞争力。河南中原云大数据集团有限公司媒体云数据中心（一期）建设项目简称媒体云数据中心以全媒体平台为核心，对传统媒体和新兴媒体进行二次整合、深度融合，一体发展，真正实现“一次采集，多种生成，多元传播”。河南中原云大数据集团有限公司媒体云数据中心（一期）建设项目的方案设计完全依据实际业务模型，业务流、业务需求进行部署。建设媒体云数据中心主要目的是实现全媒体平台模式化，打破以往专属数据中心的孤岛传统建设模式。媒体云数据中心除了服务于传统媒体与新媒体的融合之外，还将侧重于移动端、办公瘦客户机、pc端和pad端的建设与应用。第2章 建设目标拉通以往传统媒体信息化建设各系统各自为政，各个部门集中精力建设自己的应用系统，没有统一的规划部署，各个业务系统厂商将软件系统与传统数据中心硬件基础设施形成紧耦合的封闭系统，导致各应用系统都成了信息孤岛，业务难以随需求扩展，更难以按业务需求分配硬件资源。如何规划局部化的建设了办公网络与生产网网络的建设要求，媒体云数据中心建设项目架构系统的关键所在是统一规划与无信息系统孤岛，媒体云数据中心iaas层基础设施能够随业务需求按需分配。媒体云数据中心建设项目要实现iaas层云管理平台统一规划、基础设施层的网络资源池、安全资源池、云计算资源池、存储资源池按需调度分配的云网融合解决方案。建设适配未来大众化、个性化媒体、社交媒体自媒体等多样化媒体形态的技术支撑体系；建立面向互联网应用、具备公共服务能力的制作、播出和发布服务平台，建立基于全媒体业务的管理、决策和运营支撑平台；使之成为媒体社会化服务的优选应用入口。2.1 媒体云数据中心建设目标媒体云以融媒体平台为核心，对传统媒体和新兴媒体进行二次整合、深度融合、一体发展，真正实现信息的“一次采集、多种生成、多元传播”。在技术系统规划和建设中突出针对智能化实现以及业务应用的云计算资源池、云存储资源池、云安全资源池、云网络资源池为支撑平台，建设统一数据中心和云管理系统；建设融媒体业务应用系统，提供新闻指挥中心管理决策支持；完善大容量、低成本、高性能、高可用的内容处理、存储、管理和交互平台；拓展并完善融媒体系统与融媒技术体系之间的数据和业务交互通道，为媒体融合提供基础支撑；建立统一网络管理、安全防护和监控、运维平台，保障业务运行。重点强化针对系统管理、业务运转、资源运营和运行维护方面的全局性、专业化和智能化支持力度：实现融媒体和办公系统数据中心整合统一管理，并融入技术体系；实现数据中心内部资源动态调配，具备全局资源共享能力；开启基于融媒体的数据综合治理进程，起到示范和推动作用；贯彻安全服务整合理念，满足全台信息安全防护统筹管理三级等保需要；在系统建设过程中充分考虑并实现统一管理和标准化运维需求。 第3章 媒体云数据中心业务架构设计3.1 媒体云数据中心业务流程设计媒体云数据中心业务功能以全媒体新闻指挥中心为核心来介绍：全媒体协同指挥贯穿线索、选题、任务管理、资源调度、制播所有环节，在具体形态上是系统实现的核心功能，也是主要的人机交互部分，主要用于解决新闻业务在全媒体运营环境下的统一调度管理，并提供流程执行状态、资源状态、舆情反馈等方面的统一展示，以供新闻业务管理者作决策参考。媒体汇聚系统对接媒体汇聚系统是新闻线索的主要来源，全媒体新闻协同指挥系统与媒体聚合系统通过接口无缝衔接：一是将系统内部的新闻站点、频道、微博账号等配置信息同步给新闻指挥中心系统，以供用户下发汇聚任务时定向选择抓取；二是可以接收新闻指挥中心系统下发的定向汇聚任务，并将汇聚信息和智能分析的热词、热点事件推送至全媒体新闻协同指挥系统。融媒体生产系统对接新闻指挥中心系统与融媒体生产系统通过系统接口无缝衔接，可以调度并下发任务给融媒体生产系统进行对应的传统或新媒体生产，包含文稿撰写、视音频、图片等编辑处理，任务进入生产环节后，新闻指挥人员可以随时监看生产状态，了解生产的最新情况，及时发现生产过程中的异常情况并及时处理。生产系统包括：视频生产制作、合成、转码等业务功能，以上环节需要通过gpu服务器形成计算资源池承载业务应用。全媒体发布系统对接 新闻指挥中心系统与全媒体互动发布系统通过系统接口无缝衔接，全媒体互动发布平台发布的预热信息反馈（观众通过微信、微博、网络等方式回复）和发布状态信息通过系统接口反馈给新闻指挥中心系统，通过查看分析反馈信息，为责编或记者进行新闻角度调整提供依据。大屏显示系统对接新闻指挥中心系统通过大屏监看服务，将相关信息和统计数据输出给大屏指挥系统，指挥人员通过大屏查看所有直播信号，互联网热点，当天的采访任务、资源调度情况，最新报片，各发布平台的数据统计，互动反馈，天气数据等信息。3.2 媒体云数据中心云平台逻辑框架设计3.2.1 媒体云数据中心外部支撑及服务对象：媒体云数据中心以中原云数据中心（阿里公有云）：海量存储为依托，将生产制作的媒资长期存储在中原云数据中心的存储中，通过中原云即阿里公有作为互联网出口，同时将其作为粗编、互联网素材的渠道。通过互联网向用户提供各种应用服务ott业务互联网电视、app应用等业务。iptv、cdn等诸多业务功能。3.2.2 媒体云数据中心内部支撑及服务对象：媒体云数据中心可以与电台、电视台等单位实现媒资共享，从这些单位提供或提取相应的媒资素材。在外出差的工作人员可以在采访完相应的新闻事件实现远程传送素材和办公业务功能。对于内部办公网可以安全访问生产网进行业务素材汇聚、制作生产、并发布及新闻指挥中心等业务流程全程参与。3.2.3 媒体云数据中心系统架构设计：媒体云数据中心系统以下核心资源池及系统组成： 计算资源池：由oa办公资源池、云非编业务资源池、通用服务器资源池、物理站点资源池组成。 存储资源池：由业务存储资源池、镜像存储资源池组成。且关键业务实现备份。 网络、安全资源池：由网络设备核心交换机、tor交换机、边界安全资源池（防火墙、ips、防病毒、web防火墙、网页防篡改系统、审计系统）等设备通过软件定义网络sdn技术实现资源池。同时满足不同域间按需二层互通，满足业务按需分配需的能网络技术功能。 融媒体iaas层云管理平台：实现iaas层安全资源池、网络资源池、计算资源池、存储资源池统一资源调度和云化管理；同时根据媒体云人员组织架构定义了云平台的运营流程，实现了用户申请云安全、云网络、云计算、云存储等云资源。 融媒体办公及生产业务平台：运行在iaas层基础设施，如汇聚系统、制作生产、发布等各个业务子系统为满足不同业务需求而运行。 新闻指挥中心系统：，主要用于解决新闻业务在全媒体运营环境下的统一调度管理，并提供流程执行状态、资源状态、舆情反馈等方面的统一展示，以供新闻业务管理者作决策参考。3.3 媒体云数据中心业务分区及流程设计根据三级等保严格要求设计媒体云数据中心业务分区及流程方案。如，非编制作生产网部分符合二级等保要求；播出部分严格符合三级等保要求。3.3.1 媒体云数据中心业务分区：第一、河南媒体云数据中心集团要将所有的oa办公全部通过虚拟化桌面、精编业务即云非编同样采用远程工作站方式工作的方式实现，并与生产网业务通过安全策略无缝对接。第二、生产网媒体采集汇聚、生产制作、媒体发布及新闻应急指挥中心平台统一拉通，可以根据实时需要调整融媒体业务的网络、计算、存储资源应用。第三、根据媒体云数据中心接入业务规划主要有3部分分区内部接入、外部接入及生产网。内部接入：oa办公区主要是满足oa办公、精编客户端的接入、与电台、媒体云数据中心全台网对接传输系统；外部接入：iptv、cdn、ott、公有云。第四、建设专业的媒体云数据中心云安全系统、管理系统、及运维系统。3.3.2 业务分区及安全访问流程：第一、外部业务区：媒体云数据中心外部支撑及服务包括中原云数据中心（阿里公有云）承载部分信息来源、部分编辑业务、媒体云数据中心媒资扩展业务、ott业务、iptv业务、cdn业务通过边界安全资源池中的防火墙功能、ips入侵防御功能、在线病毒查杀功能监控业务交互的实时安全状态，并作安全日志留存。第二、内部电台、电视台业务区：通过数据交换控制器进行管控双向业务交互的实时安全状态及安全日志。第三、内部远程办公业务首先通过vpn安全准入，再次跳转到数据交换控制区进行生产业务办公；若访问的oa办公系统通过vpn准入后不需要跳转到数据交换控制区，而是直接访问oa办公业务系统。第四、内部办公瘦客户机首先认证准入，其次访问虚拟化桌面系统，再次通过防火墙隔离，最后需要通过数据交换控制区进行安全监控后才能访问生产业务；若访问oa办公业务则不需要经过数据交换控制区监控，直接访问。第五、新闻岛安全域、备播区安全域、web业务应用安全域均要通过vdc、防火墙安全隔离，隔离要求符合三级等保要求，并且各个安全域数据库需要数据审计系统防护防止数据被修改、窃取；web业务安全域需要配合web防火墙、网页防篡改系统、漏洞扫描系统同时并行防护，防止网站被恶意篡改。第六、管理系统区需要通过堡垒机的网管监控后才能跳转到安全资源池、网络资源池、计算资源池、存储资源池进行网络管理业务。同时针对各个资源池的云化调度需要通过云安全监测中心系统的监控。第4章 媒体云数据中心建设需求分析1） 实现云管理平台对iaas层安全资源池、网络资源池、计算资源池、存储资源池统一资源调度和云化管理；同时根据客户单位人员组织架构定义了云平台的运营流程，实现了用户申请云安全、云网络、云计算、云存储等云资源。2） 实现软件定义网络（sdn）对云数据中心的云安全、云网络等虚拟节点的架构根据业务需求进行定义；实现云数据中心跨三层节点二层互通，虚拟机迁移网络属性跟随，解决传统数据中心技术难以解决的问题；实现sdn南桥设备的管理和北桥云管理平台的对接，形成一个云化数据中心或多个虚拟云数据中心。3） 实现avid、新奥特、索贝、大洋等公司云非编业务系统，其他业务系统，包括素材汇聚系统、云转码、生产发布系统、播出系统、媒资系统、新闻指挥中心系统、ip调度系统等业务软件系统在虚拟化场景稳定运行；并且根据本次云平台建设原则实现各个公司的业务软件系统与硬件支撑平台的解耦要求。4） 实现办公云桌面（vdi）用户应用自定义功能，满足每个办公人员应用个性化的安装办公软件习惯。满足在此云桌面环境中充分发挥每个办公人员的发散思维和灵感。4.1 媒体云数据中心功能需求分析 iaas层基础设施资源与paas、saas层实现解耦：生产系统软件厂商绑定硬件，不利于扩建成本较高，实现解耦iaas层基础设施层可以随业务需求进行扩容。 工作人员可以任意选择生产系统对应的工作终端，不需要适应生产系统而是生产系统随需提供。 生产设备由虚拟化 的方式提供提高设备利用率，而不是生产设备使用传统专属模式造成资源难以高效利用。 随时随地生产的需求支撑访问业务系统，提高工作效率。 要求提供丰富多业务形态生产支撑能力，一种设备可以承担多种应用. 业务系统资源的伸缩性:在高峰、低谷期间自动调用iaas层基础设施资源满足业务紧张的应用。 跨安全域（新闻岛域、备播域、web应用域）实现iaas层资源自动按需调配，同时保证媒体云数据中心安全保障。4.2 媒体云数据中心业务需求与业务服务器、存储量化计算序号iaas层基础设施业务类型需求数量（个）虚拟机数：2路物理机测试比例2路服务器8核1计算gpu虚拟化gpu虚拟机1005:120转码gpu虚拟机55:11通用虚拟化新闻指挥中心通用虚拟机308:14媒体汇聚通用虚拟机408:15媒体发布通用虚拟机308:14大象网通用虚拟机4010:14映象网通用虚拟机10010:110审计通用虚拟机1010:11oa数据库4路服务器物理机物理机1非编数据库4路服务器物理机物理机1web应用数据库4路服务器物理机物理机1数据交换控制区虚拟化4路服务器2办公区oa-vdi计算虚拟化7004914 oa业务虚拟化168:12存储服务器存储多格式兼容服务器2iaas层业务类型存储套数有效存储量t裸存储量t2存储oa办公区镜像、素材173.197.2生产网云非编业务23056.64数据库生产网镜像、数据库10.8web应用服务区web服务、网站视频点播媒资15137084.2.1 媒体云数据中心业务对应服务器量化计算过程：一、 gpu服务器量化计算过程：用户单位非编精编业务100个瘦终端需求，根据前期测试精编业务最佳状态时，每台刀片服务器承载gpu虚拟机直通为5至6个。本次按照5个gpu直通计算。本次100个瘦终端精编业务gpu刀片服务器数量=100个瘦客户机数量/每台gpu刀片承载gpu虚拟机数=100/5=20台。另外转码gpu虚拟机5个，则需要转码服务器数量=5/5=1台。并且如果转码gpu虚拟机需要更高，可以使用每台非编精编业务空余的一个gpu虚拟机也可以用作转码虚拟机以作为转码虚拟机补充。因此gpu刀片服务器总数=非编精编gpu服务器台数+转码gpu服务器台数=20+1=21（台）。非编软件在每台虚拟机上云运行业务测试：l 每层视频压缩格式：dnxhd 120 8bit， 码率 120mb/s；l 每个虚拟机运行5层；l 所占总带宽：120mbit*5= 600mb/s；每台物理机分出5个虚拟机，因此每台gpu服务器承载单向带宽为5*600mbit=3gbit。因此必须配置万兆网卡。根据测试每台刀片最佳状态，每个gpu虚拟机分配4个vcpu，内存加载为16-24g，由于刀片本身运行需要内存占服务器总内存的25-30%，因此每台刀片服务器的配置为：2*e5-2690：2路10核cpu,主频在2.9ghz，内存配置160g,2块300gsas10k硬盘，2端口万兆网卡。二、 通用虚拟化服务器量化计算过程 新闻指挥中心通用虚拟机量化服务器：需求为30个虚拟机，每台服务器测试最佳状态的承载8个虚拟机，每个虚拟机内存为16g，刀片服务器自身运行内存为总内存的25-30%,测试cpu型号为e5-2650，因此每台刀片配置为：2*e5-2650，内存配置160g，2块300gsas10k硬盘，2端口万兆网卡。服务器数量=30/84（台）。 媒体汇聚通用虚拟机量化服务器： 需求为40个虚拟机，每台服务器测试最佳状态的承载8个虚拟机，每个虚拟机内存为16g，刀片服务器自身运行内存为总内存的25-30%,测试cpu型号为e5-2650，因此每台刀片配置为：2*e5-2650，内存配置160g，2块300gsas10k硬盘，2端口万兆网卡。服务器数量=40/8=5（台）。 媒体发布通用虚拟机量化服务器：需求为30个虚拟机，每台服务器测试最佳状态的承载8个虚拟机，每个虚拟机内存为16g，刀片服务器自身运行内存为总内存的25-30%,测试cpu型号为e5-2680，因此每台刀片配置为：2*e5-2680，内存配置160g，2块300gsas10k硬盘，2端口万兆网卡。服务器数量=30/84（台）。 大象网通用虚拟机量化服务器：需求为40个虚拟机，每台服务器测试最佳状态的承载10个虚拟机，每个虚拟机内存为8-12g，刀片服务器自身运行内存为总内存的25-30%,测试cpu型号为e5-2650，因此每台刀片配置为：2*e5-2650，内存配置160g，2块300gsas10k硬盘，2端口万兆网卡。服务器数量=40/10=4（台）。 映象网通用虚拟机量化服务器：需求为100个虚拟机，每台服务器测试最佳状态的承载10个虚拟机，每个虚拟机内存为8-12g，刀片服务器自身运行内存为总内存的25-30%,测试cpu型号为e5-2650，因此每台刀片配置为：2*e5-2650，内存配置160g，2块300gsas10k硬盘，2端口万兆网卡。服务器数量=100/10=10（台）。 审计通用虚拟机量化服务器：需求为10个虚拟机，每台服务器测试最佳状态的承载10个虚拟机，每个虚拟机内存为8g，刀片服务器自身运行内存为总内存的25-30%,测试cpu型号为e5-2650，因此每台刀片配置为：2*e5-2650，内存配置160g，2块300gsas10k硬盘，2端口万兆网卡。服务器数量=10/10=1（台）。三、数据库服务器量化计算过程媒体云平台主要有oa数据库、非编业务数据库、web数据库，每种数据库均通过4路e7-4870v2cpu,加载128g内存，2端口万兆网卡满足数据库业务。4.2.2 媒体云数据中心业务对应存储数量计算过程：一、 云非编、数据库、生产镜像存储量化计算过程： 云非编精编业务特性如下：高带宽、低延时、高带宽性能计算：根据本次测试每个虚拟机处理5层100-120mbit那么每个gpu虚拟机处理性能=5*100mbit=500mbit，本次项目需求100个gpu虚拟机并发吞吐量为：100*500mbit=50000mbit/s；由于8bit=1byte,因此50000mbit=(50000/8)mb=6250mb,而实际业务中有50%gpu虚拟机为精编业务，其余非编为粗编，则并发性能至少提供在6250mb/2=3125mb低延时计算：非编业务系统每秒运行25帧，因此每帧处理时间为1s/25=1000ms/25=40ms，如果每帧的时延超过40毫秒，那么出现丢帧现象。数据库业务主要体现在高iops，因此单独为数据库配置存储硬盘非常浪费，可以在借助非编多盘位的基础上增加硬盘提高iops较为合理。综上所述：多业务混合使用存储使用合理的配置方案才是最佳选择，配置存储性能如下：存储专业配置工具显示配置吞吐、时延及iops指标：当配置176块300sas 15k硬盘做raid5（7+1）吞吐量为3157mb/s；时延最大29.9ms；iops为64116；完全满足业务需求。以上多种业务通过划分不同的lun实现业务隔离。本次配置ssd 盘iops：51487；本次配置15k sas盘iops：12629；2.吞吐量要求：配置ssd 盘的8k randommix(50/50 r/w)报文吞吐量：402mb/s；本次配置15k sas盘的256k sequential read报文吞吐量：3157mb/s；3.时延要求：配置ssd 盘的iops：21800时的时延：0.5ms；本次配置15k sas盘的吞吐：2880mb/s时的时延：5ms；二、 素材、媒资、web、web媒资应用区存储量化计算过程：媒资、素材、web、web媒资应用区存储主要是体现在大容量和web性能，因此建议硬盘配置单一大容量磁盘，而少量快速磁盘为提速辅助。本次总存储有效空间500t,配置如下：本次配置iops：本次配置sas 盘iops：3391；本次配置nl sas盘iops：4071；本次配置最大iops：7462；2.本次配置吞吐：配置sas 盘的256k sequential writes报文吞吐量：848mb/s; 本次配置nl sas盘的256k sequential writes报文吞吐量：1018mb/s; 3.本次配置时延本次配置sas盘的吞吐量是600mb/s的时延2ms; 本次配置nl sas 盘吞吐量890mb/s时的时延6ms; sas盘配置要求：最高性能sas 10k 900g硬盘数量:40块nl sas盘配置要求：6t nl sas硬盘数量:112块configuration summaryperformance summary三、 办公云桌面存储量化计算过程：办公云桌面业务700台瘦客户机，每台瘦客户登录桌面系统开销存储的30个iops，那么700台云桌面并发为700*30=21000个iops。因此配置存储的性能至少需要21000个iops的性能配置；每个瘦客户机操作系统预留50g，存放数据空间的50g那么存储空间为：(每台瘦客户机操作系统预留50g+每台瘦客户机数据空间50g)*700=70t;因此满足以上2个指标，配置工具显示如下：sas盘配置要求：450g sas硬盘数量：216块configuration summaryperformance summary第5章 总体方案设计5.1 总体设计原则先进性广泛采用虚拟化、自动化调配、分布式等先进技术与模式，并与全媒融媒体业务相结合，确保先进技术与模式应用的有效与适用。媒体云数据中心的建设与业界流行的云计算理念是一致的。方案应将云计算的技术先进性和理念先进性体现在媒体云数据中心（一期）建设项目这一具体的项目上，突出云计算带来的价值。2、可扩展性媒体云数据中心的支持资源需要根据业务应用工作负荷需求进行伸缩，这样，性能及与服务水平的符合性就保持适当。应用程序及其数据资源拉通与松散耦合，以使可扩展性最大化。在系统进行容量扩展时，只需增加相应数量的硬件设备，并在其上部署相应的资源调度管理软件和业务应用软件，即可实现系统扩展。3、成熟性云数据中心的建设，要充分体现系统的成熟性。要考虑采用成熟的各种技术手段，实现各种功能，满足全媒体的业务要求。4、开放性与兼容性媒体云数据中心采用兼容业界通用的服务器，并能够兼容主流的云架构体系如openstack体系、操作系统，虚拟化软件，以及应用程序，只有这样才能帮助采用云计算技术的服务商和用户大大降低开发、运营、维护等成本。5、可靠性媒体云数据中心需提供可靠的计算和存储资源。系统需要在硬件、网络、软件等方面考虑一定冗余，避免单点故障，保证客户系统可靠运行。6、安全性对于媒体云数据中心项目需要重点考虑云外安全与云内安全，一方面媒体云数据中心与全媒体云数据中心专属外网、互联网分别连接，必须防范网络入侵攻击、病毒感染；另一方面，媒体云数据中心的资源共享给不同的系统使用，必须保证它们之间不会发生数据泄漏。因此，媒体云数据中心应该在各个层面进行完善的安全防护，确保信息的安全和私密性。本项目符合三级等保标准要求。7、多业务性运营管理平台能将大量用网络连接的计算资源、存储资源进行统一管理和调度，构成一个资源池向多个用户（多种业务）提供按需服务，这是本次系统建设需要重点考虑的疑难问题。8、可运营性媒体云数据中心数据搭建完成之后，需要承载未来全媒融媒体务资源上收或者托管服务，要求云资源运维应该能够按照业务的资源需求申请提供云主机、云存储、云网络、云安全等一系列虚拟化资源，并且具备相对独立隔离的管理环境，并依据资源的使用情况按需运营；5.2 总体设计思路构建面向业务的、自动化的、融合化的it支撑体系，支撑生产业务发展，打造面向生产制作系统的一流it基础设施。5.2.1 基于云的统一数据中心本次云计算基础资源平台项目是通过业界先进的云计算技术构建一套面云计算资源平台，实现办公网数据中心、融媒体数据中心、等基础资源全局共享，统一管理和灵活调度，并与公有云资源互通，建成一个新型统一数据中心。5.2.2 云网融合平台本项目服务器虚拟化也需要采用成熟开放的虚拟化技术，建立一个统一的、开放的性的云平台，整合全网资源，包括安全、网络、计算、存储等资源，并向上层paas层开放接口，以满足各个业务系统的资源使用需求。5.2.3 基于云计算的安全安全系统应基于等保要求和实际业务需求，设计完善的面向全台的统一安全防护体系，充分考虑媒体云数据中心大流量、大带宽及虚拟化环境下的安全防护需求，合理设计云计算环境内安全隔离、监测和审计的方案，提出云计算环境和统一存储的安全解决思路。5.3 媒体云数据中心系统总体架构基础架构即服务iaas由基础设施层、虚拟化层、虚拟化管理、云管理平台构成。其中虚拟化管理包括网络虚拟化管理、安全虚拟化管理、存储虚拟化管理和计算虚拟化管理，形成网络资源池、安全资源池、存储资源池和计算资源池。云管理平台统一监控、调度编排虚拟化层形成的各类资源池资源，并且提供运营支撑管理、计费计量管理、服务流程管理、应用交付管理、虚拟数据中心的发布/监控/运维，并且向paas/saas层提供标准化接口，由上层实现对iaas层资源的自动化调用，与paas/saas形成整体云服务。1、基础设施标准化：根据需求和现有设备的情况，对设备进行分类，对硬件平台的种类进行简化归并，标准化、模块化建设it基础设施，降低运维工作难度，并逐步实现基础设施的自动化编排和自动化部署。2、网络资源池：引入网络虚拟化及虚拟化网络技术，保证资源调度灵活，以高弹性高扩展型的网络架构为基础。搭建统一的核心交换平台，采用成熟可用的大二层、扁平化网络架构，选用的网络设备支持传统网络到overlay重叠网络的平滑演进，支持传统网络和overlay网络的统一管理。可为虚拟机资源池和物理机资源池同时提供overlay网络，并要在overlay网络中保证与传统网络一样的高吞吐、高并发、低时延等方面的要求。3、安全资源池：要保证网络的安全型，同时兼顾灵活性。安全设备采用虚拟化技术，进一步提高可靠性和故障切换体验。考虑在安全领域引进网络功能虚拟化技术，引入虚拟路由器、虚拟防火墙、虚拟负载均衡等多种虚拟化安全设备，可与物理安全设备配合并统一管理。支持虚拟化安全设备的自动批量部署和资源回收。在不同的业务区需要实现专业数据库审计、web安全防护、网页防篡改、堡垒机等安全功能。4、x86计算资源池：引入虚拟化集群云计算技术，以适应当前大数据、大系统环境下支撑系统密集、突发、动态流量的需求。除部分只能运行在物理主机的业务外，其余平台优先选用x86平台并承载于虚机上，现有系统循序渐进的实施p2v的转换。5、云非编资源池：引入虚拟化、桌面云、gpu等云计算技术，构建统一的云非编资源池，实现编导在办公网或者远程生产制作。云非编资源池通过动态分配、自动回收，实现资源的协同共享，提高利用率，从而降低建设运维成本。对于上下载工作站、录音设备等现阶段无法虚拟化的有卡工作站，采用物理主机的方式部署，并纳入到云平台进行统一管理。6、存储资源池：引入存储虚拟化，通过存储虚拟化实现fc/fcoe san、ipsan、文nas san件存储系统、对象存储系统等的融合管理，形成统一存储资源池。实现关键业务非编存储的备份功能。7、统一云资源池管理平台：建设供媒体云数据中心生产网多系统共用的大资源池，资源池由统一平台管理，各子系统根据业务规模和系统重要性申请网络资源、安全资源、通用服务器资源、非编服务器资源、存储资源等。8、运维资源池管理平台：建设供媒体云数据中心生产网多系统共用的大资源池，资源池由统一平台运维管理平台，实时监控数据中心设备、业务运行状态与故障定位与排除。第6章 架构分区设计6.1 总体架构设计根据本项目的业务分区及流程图分析将设计出融媒云数据中心的整体拓扑图。针对整体数据拓扑图依次分区设计，同时建议iaas层基础设施分类规划设计。6.1 边界安全分区6.1.1 媒体云数据中心与公有云边界安全资源池由于公有云为各个行业提供云服务，兼具internet服务区，同时公有云与媒体云数据中心数据双向交互、办公网访问internet服务，媒体云数据中心、办公网与公有云对接安全问题是大融媒体考虑的首要问题，可能发生的互联网威胁主要有暴力猜解(brut-force-attack)，端口扫描(portscan)，嗅探，病毒，蠕虫，垃圾邮件，木马，sql注入、网络攻击ddos等多种安全威胁，因此只有防火墙是不能保证数据中心内网安全的。建议通过安全资源池通过不同的安全设备实现多种安全防护功能即媒体云数据中心与公有云边界安全资源池为媒体云数据中心提供防火墙(fw)、防毒墙(av)、入侵防御(ips)功能。安全资源池2台要求：单台配置双主控，4电源，4交换网板，32端口万兆，4端口40g，1块吞吐量40g能力的防火墙板卡、开启防毒墙、入侵防御ips、防病毒av功能。6.1.2 数据输出边界安全资源池区需求数据输出边界安全资源池是cdn、iptv、ott等业务的安全防护，可能发生的互联网威胁主要有暴力猜解(brut-force-attack)，端口扫描(portscan)，嗅探，病毒，蠕虫，垃圾邮件，木马，sql注入、网络攻击ddos等多种安全威胁，因此只有防火墙是不能保证数据中心内网安全的。建议通过安全资源池通过不同的安全设备实现多种安全防护功能即媒体云数据中心与公有云边界安全资源池为媒体云数据中心提供防火墙(fw)、防毒墙(av)、入侵防御(ips)等功能。6.1 核心交换分区媒体云数据中心生产网核心交换区承载各个生产业务区，引入网络虚拟化及虚拟化网络技术，保证资源调度灵活，以高弹性高扩展型的网络架构为基础。搭建统一的核心交换平台，采用成熟可用的大二层、扁平化网络架构，选用的网络设备支持传统网络到overlay重叠网络的平滑演进，支持传统网络和overlay网络的统一管理。可为虚拟机资源池和物理机资源池同时提供overlay网络，并要在overlay网络中保证与传统网络一样的高吞吐、高转发、低时延等方面的要求。同时为了保证业务在冗余虚拟化网络中实现动态扩展，因此应用交付网关是核心交换区不可缺失的区域。6.2 新闻岛-生产网业务分区6.2.1 媒体汇聚系统分区媒体汇聚系统即媒体采集区，主要是计算刀片运行虚拟化，完成融媒体材料采集工作。通过通过融合接入交换机上联核心交换区，该融合交换机下挂刀片服务器，由镜像存储配合计算完成计算虚拟化，而计算虚拟化带来的安全问题是通过网络功能虚拟化nfv安全防护实现；由业务存储区配合计算完成采集业务。6.2.2 媒体制作系统分区媒体制作系统区包含云非编业务、通用虚拟化计算、物理站点业务（如，配音、上下载工作站、数据库）与业务存储一起完成媒体制作系统的工作。6.2.2.1 云非编精编gpu虚拟化云非编资源池是基于刀片工作站，引入服务器虚拟化技术、gpu直通或者虚拟化技术、虚拟桌面架构（vdi）技术，构建的云非编制作资源池。其实现如下图所示：建议基于刀片服务器构建非编资源池，刀片服务器上部署虚拟化层，将物理服务器虚拟成多个虚机，然后在虚机上安装操作系统、远程桌面协议以及非编应用软件，即构成非编资源池。用户使用pc机或者瘦客户机通过支持高清视频稳定传输的桌面协议访问虚拟制作工作站（对应一个安装有非编软件的虚机），所有的非编处理工作都在后台完成，前端只是键盘、鼠标操作以及显示制作画面。云非编解决方案的关键技术点和难点1. 虚拟化软件支持gpu直通或者gpu虚拟化，这是因为非编软件需要专业图形卡的辅助处理。2. 远程桌面协议必须实现媒体云数据中心专业制作高清视频的远程实时稳定传输，无丢帧、时延与抖动，同传统制作工作站一致的操作体验。gpu直通与gpu虚拟化的技术选择从目前的测试情况来看，gpu虚拟化对于媒体云数据中心高清制作应用场景来说尚不成熟，从测试效果来看，其用户体验远低于gpu直通的云制作效果；同时gpu虚拟化的实现成本更高，因此性价比较低。因此建议现阶段给予gpu直通技术构建非编资源池。云非编解决方案在不改变用户使用习惯和用户体验的前提下，将传统制作工作站以虚拟制作桌面的形式提供给编导。虚拟桌面运行于云计算数据中心的虚拟制作资源池中，依托云计算管理平台和云业务工作流程，自动化部署编导自助申请的虚拟制作资源，自动部署完成后编导即可使用，用完后自动释放相应资源，从而有效的实现了制作资源的协同共享，极大的提升了制作资源池的弹性和效率。6.2.2.2 通用虚拟化由镜像存储配合计算完成计算虚拟化，而计算虚拟化带来的安全问题是通过网络功能虚拟化nfv安全防护实现；由业务存储区配合计算完成制作。6.2.2.3 物理站点物理站点主要是通过虚拟化无法完成的工作，如，配音、上下载工作站、数据库，通常采用物理机实现功能。6.2.3 媒体发布系统分区通过通用虚拟化云计算资源池完成媒体发布到不同媒体频道、渠道。由镜像存储配合计算完成计算虚拟化，而计算虚拟化带来的安全问题是通过网络功能虚拟化nfv安全防护实现；由业务存储区配合计算完成制作。6.2.4 新闻指挥中心分区与汇聚采集、媒体制作、发布系统区计算资源池共用资源。 6.3 备播区需求tor交换机（2台）要求：单台48端口万兆，4端口40g， 机架服务器单台配置要求2颗e5-2650v2处理器，内存64g，双电源，两块300g 10k转速2.5寸热插拔硬盘，硬盘托架支持蓝色背光显示，方便定位，主板集成raid卡，2端口万兆网络适配器， 6.4 web应用分区6.5 数据交换控制区数据交换区，保证远程办公接入区、oa办公区与媒体云数据中心生产业务交互时的安全控制区。当远程办公是网络维护人员需要通过堡垒机跳转；当远程办公是生产业务需要经过入侵防御、数据交换平台安全措施。6.1 电台、电视台全台网对接传输分区与电台、电视台可以通数据交换区，来保证数据推送交互的安全性。见数据交换区。6.1 管理系统区6.1 oa办公分区6.1.1 oa业务分区6.1.2 远程办公接入区远程办公人员从interner/公有云访问媒体云数据中心生产区或oa业务系统的必经区即必须通过办公区vpn网关和准入控制认证后才能访问。第7章 媒体云数据中心解决方案7.1 媒体云数据中心iaas层云管理平台设计方案iaas云管理平台是媒体云数据中心生产网核心组成部分之一，云管理平台具备对物理资源、虚拟化资源、网络资源、安全资源、存储资源的统一管理与调度功能。采用h3cloud云管理平台作为媒体云数据中心生产网的iaas云管理平台。7.1.1 iaas层云管理平台逻辑架构h3cloud云管理平台分为三个层次，分别是：资源抽象与控制层、服务编排层、服务开放层。 资源抽象与控制层资源抽象与控制层主要是将已经虚拟化的各类资源池中的逻辑资源颗粒，进一步抽取关联要素，使其具备不同类型资源融合适配与面向服务进行编排的条件。同时，资源抽象与控制层通过与不同类型虚拟化资源控制器相互配合，完成对各类型逻辑资源的控制，从而实现iaas基础资源云的全虚拟化、全融合以及面向服务的资源交付与智能调度。cvm是h3c cas计算虚拟化系统的管理平台，h3cloud云管理平台通过cvm实现计算虚拟化资源池资源的动态调度、弹性伸缩、智能管理。同时，h3cloud云管理平台还支持对其它主流厂商的计算虚拟化管理系统进行管理，从而实现异构计算虚拟化的管理。sdn控制器是h3c云计算网络方案的核心控制设备，本项目通过vxlan技术建设sdn控制器集中控制的overlay网络资源池。h3cloud云管理平台通过与sdn控制器的交互， 实现对网络资源池的管理。afc控制器是网络功能虚拟化nfv技术方案中的核心控制设备，在本项目中部署了vfw虚拟防火墙组成云安全资源池，用于云内安全边界防护管控。h3cloud云管理平台通过与afc控制器交互，实现对安全资源池的管理，实现在虚拟机发生迁移时，安全策略能够动态跟随。uis manager是对承载计算资源池的刀箱及相关刀片等物理硬件设备进行集中硬件配置管理、运行环境监控等的设备。h3cloud云管理平台通过与uis manager设备交互，将iaas云基础资源中物理硬件设备运行状态纳入监管范围，大幅度提升对运维管理工作的支撑。本期项目建议部署的h3cloud云管理平台的是基于openstack的，openstack目前已经成为一个事实上的行业标准，特别是在计算虚拟化方面具备较好的兼容性，使得媒体云数据中心不会被某个特定的厂商绑定和限制。同时，openstack在可扩展性上有优势,这确保了后期生产网规模不断扩大时候，仍能够具备较高的性能和稳定性。 服务编排层服务编排层是将已经被抽取形成的服务单元（service unit），以面向上层业务服务的视角，对底层逻辑资源进行编排，形成基础资源服务交付组合。再由控制层调度各类资源控制器完成资源调度、管控等等。服务单元（service unit）是服务编排的最小单位。通过iaas云管理平台的自动化编排能力，使得生产网在业务规划、实施、变更和监控的管理复杂性大大降低，实现制播业务快速部署能力。同时iaas云管理平台可以将编排好的符合业务逻辑的相应资源提交给paas/saas层使用。 服务开放层服务开放层是iaas云管理平台中，面向直接用户申请基础资源时的交互界面层，也是面向上层paas平台接受资源申请及交付结果确认的接口层。通过开放iaas云管理平台管理、运维、监控等方面api接口，实现面向上层的paas平台以及制播网业务系统的无缝对接，确保paas平台以及制播网业务系统能够按需、动态调度资源池资源。7.1.2 云管理平台软件部署考虑云管理平台的可靠性，云管理节点建议采用双机。云管理服务服务器部署于管理服务区。7.1.3 云管理功能特