01数据中心架构acloud资源池新建场景方案模板

1、x 公司数据中心 aCloud 资源池新建场景解决方案深信服科技2019 年文档名称：数据中心架构 aCloud 资源池新建场景方案建议书版本作者行动日期1.0N/A新建2017/6/152.0李长京更新稿件内容2019/04/09目 录需求分析3化建设背景3XXX 公司现有平台建设需求分析31.2.1现状. 3现有数据中心逻辑架构图3业务系统现状与的. 31.2.2需求分析5项目建设目标51.3.11.3.21.3.3构建构建并不断丰富层资源池服务5高效的智能运维和管理能力6度的安全防护能力7中心资源池的意义所在8运营成本考虑8监管合规考虑8业务考虑9X 数据中心 ACLOUD 资源池建设方

2、案10设计原则10系统架构. 103.2.1数据中心资源池整体建设架构. 10系统拓扑图10方案简述113.2.2 IT 基础架构建设. 13系统拓扑图13数据中心 aCloud 资源池系统架构特性13数据中心 ACLOUD 资源池的统一化管理143.3.1运营管理14统一化管理界面14用户服务管理界面15线上工单申请与审批流程15多租户管理16计量与计费18异构 VMware 平台纳管19多租户的分布式. 20分级与分权管理21镜像管理21统一认证. 233.3.2超融合资源池提供的基础服务. 26计算资源服务26四层服务26四到七层 vAF服务26服务26负载均衡 vAD 服务组件26所化

3、即所得26虚拟数据中心 VPC 服务27多种用户角色27计算资源池功能. 273.4.13.4.23.4.33.4.4计算资源池具备的功能27虚拟化平台业务应用类型划分28虚拟化具备的功能29金属服务器区域29资源池功能. 303.5.1平台架构设计与规划30资源池逻辑拓扑图30方案描述30资源按需要在线扩展31系统扩展后性能线性增加31数据多副本机制32高可用性功能32能够应对业务系统性能突发需求343.5.23.5.33.5.43.5.53.5.6网络系统建设方案343.6.1网络平台架构设计与规划34逻辑拓扑图34方案简述35网络资源池35基础物理网络35基础物理网络方案描述37虚拟网络

4、38网络虚拟化38网络资源管理38资源管理和调度平台393.6.23.6.3SDN 之 Overlay 网络技术. 39Overlay 基础概念39Overlay 技术标准40VxLAN 工作原理42主机部署与物理位置解耦和45分布式网关45Overlay 网络路由46主机迁移策略跟随46Overlay 网关高可靠性47实施计划. 49实施计划49实施步骤494.2.14.2.24.2.3实施第一阶段：部分业务融合资源池迁移49第二阶段：实现完整的资源池搭建50第三阶段：两地二灾. 50. 50前期硬件资源规划和采购建议52实体硬件数量说明52案例详细. 53河北省邢台市银行536.1.16.

5、1.26.1.36.1.4客户简介53需求分析53解决方案54价值. 54需求分析xx化建设背景备注说明：此部分需要一线使用者能够根据客户的实际需求进行修改和添加，不可直接使用。近年来，随着我国国民的持续健康发展，中小企业融资需求和新农村建设需要的不断增强，中小银行纷纷成立，为地方建设提供了强的金融支持。与此同时，中小银行自身化建设能力很大，在资金和有限的情，在风险必须可控的前提下，又快又好地建设银行业务全系统和基础设施成为中小银行发展亟需解决的掣肘。云计算作为创新服务模式的集中体现，已经成为支撑各行业发展的关键基础设施，是金融行业分布式架构转型的助燃剂，为中小银行快速部署银行业务系统提供了有

6、力的化支撑，能够促进中小银行提高化管理能力，有效增强业务竞争能力。x 公司现有平台建设需求分析1.2.1现状现有数据中心逻辑架构图现有公司数据中心现状逻辑拓扑图。备注：此部分需要进一步确认提供问题。业务系统现状与的现有公司银行前置机、备份系统 、测试平台运行在 VMware 虚拟化平台上，服务器一共 50 多台左右，业务系统采用 FC-SAN 架构进行部署，采用 NetApp。平台采用勤智ITmanager 平台，该平台可以公司现有的业务系统Oracle数据库、中间件、OA、人力等做 APM 级别，、思科等网络做 NPM 监控、同时，、服务器做统一。采用 SNMP、Telnet 下发策略，并做

7、统一化监控展示。所有的业务系统全部在亦庄托管IDC 机房，部分边缘业务系统在公司本部机房，两个机房之间采用 10Gb光纤连接，同时还有一根 100Mb 的备用线路。两个机房分别部署了爱数的备份一体机，通过主 IDC 机房爱数向备用机房做数据，数据灾备切换时间在 30 分钟以内可以完成。目前，公司计划建设私有云平台，并服务于集团内部和外部客户，并且能够通过云平台为底层基础支撑，形成适合的自助服务目录，做创新，真正能够通过云平台的建设形成从、PAAS、SAAS 三层平台的建设维度，满足于实际使用需求，而构建上述平台的前提是需要通过资源池的构建，打通现有网络系统架构，能够整合系统资源，构建一个开放的

8、平台，能够通过定义的方式进行部署，而不被某个厂商所绑死。而目前现有的平台规模依然诸多和需要改进的地方，主要如下：（1）传统烟囱式的建设方式导致资源无法统一规划、资源无法共享。各业务系统在建设的时候规划，即使业务系统采用了 VMware 虚拟化，但系统间仍然无法拉通。一些资源无法在业务系统之间共享，不同阶段购置型号不同，即使有统一化平台，但也会增加了维护的一些难度。（2）IT 架构缺乏弹性目前的业务发展和规划已经超出预期，现在的平台建设模式无法根据业务需求动态调整资源供给，难以满足业务快速增长的需求。未来层云平台架构，需要灵活部署业务系统，随时申请、随时使用、随时上线，根据用户使用的不同维度资源

9、灵活分配和在资源池内调度，并且进行统一化和运维、大屏呈现等，所以，对现有的 IT 基础架构进行改造是必须的。（3）运维偏大运维主要来自于系统资源的和管理，如是否运行正常、应用平台的优化、的升级等问题。现有运维体系依托ITmanager平台，初步实现了专业化分工，公司运维能够通过平台的提示和告警，能够比较快速的发现问题并做一些处理工作，但是由于平台仅仅是底层和部分做整体，而依赖于平台仍然无法做部分的自动化故障处理工作，偶发的部分问题定位难的问题，也同样影响着运维的效率和水平。（4）安全运维与管理的不足公司传统的安全建设大部分是碎片化的，不管是的堆叠还是人工服务的组合，都缺乏系统性的规划，普遍重防

10、御，轻检测，弱响应的情况。传统安全服务的周期性间隔（按次/月/季度/年）过大，无法应对持续性的安全威胁，例如新漏洞的不断发现、持续性等。并且传统安全服务以人、厂商售后为主要中心，以工作量为导向，服务效果取决于一线的能力，而目前，国内的网络安全专业匮乏，特别是高阶的安全风险分析和应急处置，这就导致大部分一线服务能力水平参差不齐，服务效果难以实现标准化。所以这点对于公司而言尤为重要，本身数量不足，一人身兼数职，很多安全响应、保障工作、处置工作严重乏术，这时就需要借助外部力量进行整体安全管理和运维。（5）现有业务系统的制约公司现有环境中部分来就 x86 服务器，使用年限在 5 年以上，已经到了硬件故

11、障的高发期，后续会经常出现硬件故障，部分系统单点故障，缺乏高可用设计，有必要对服务器在虚拟化基础上做进一步规划和升级，采用目前的超融合技术来节省网络、安全的投入，另外，考虑到目前按照云平台做整体技术路线规划，现有环境的肯定是不能满足未来业务系统的上线速度、资源弹性扩展、数据多机制安全保护、等保三级等诸多要求，所以，很有必要进行进行整体系统架构的设计。1.2.2需求分析公司对新建资源池平台的诉求有更新、更高、更要求，采用应用成熟、适度先进的技术，构建新型数据中心，并整合现有的资源，建立基于资源池层的基础软、硬件资源池，并进行动态调度、自动管控和共享使用，为集团和分、子公司各类业务应用提供标准化、

12、可定制化的运行环境，提高整体运营效率和 IT 设施的可靠性、安全性，并有效降低运营成本，促进企业化的式发展。同时，满足未来一定范围内多数据中心之间资源共享、统一管控的要求。·建立高效灵活的 IT 架构，实现 IT 资源对业务变化的快速响业务场景变化时能够自动化的实现 IT 资源的调度，缩短业务系统的建设周期，提高业务系统的使用体验用户满意度。·通过统一化管理、统一运维，以及标准化的运维流程和智能化的与分析，提高运维效率、降低运维成本。·等级保护 3 级要求和业务应用的实际需求，提供事前防御、事中综合考虑、事后审计全方位保障，提高防护能力。·IDC 托管机

13、房数据中心、集团本部七层数据中心在内的多数据考虑安全管理、数据中心的建设。·采用桌面虚拟化技术，实现业务办公的半自动化，实现办公系统的统一管控、统一运维和监管，实现故障的一键定位，实现桌面的安全、整洁、准入机制完善的办公环境。备注说明：此部分需要一线使用者能够根据客户的实际需求进行修改和添加，不可直接使用。项目建设目标1.3.1构建并不断丰富层资源池服务通过不断完善和优化现有 IT 系统的基础设施和环境，不断提供 IT 系统的建设程度，在现有 IT系统之上，拥抱金融行业新技术和建设新思路，并且保证现有业务系统的性的，做好上云基础，未来实现资源的目标，并且能够实现更加可靠的系统运行，实

14、现弹性、灵活、高效的资源使用，实现统一化、智能化、灵活化的运维，具体内容如下：（1） 物理资源池：云平台将以服务目录的方式实现虚拟机、虚拟网络、分布式技术、安全的自助申请、审批、计量计费、权限管理、日志审计、桌面虚拟化的行为审计和管控等。（2） 虚拟资源池：通过虚拟化技术、分布式技术、虚拟机网络技术、NFV 功能虚拟化技术，真正形成计算资源池、资源池、网络资源池、安全资源池的划分，资源对上层都是可见，并且可以划分成更细小的服务单元，向用户提供云主机、云（块、文件、对象）、络（VDC、VPC）、云安全、云模块、业务系统镜像管理、自动化部署安装、故障重建，并通过统一化管理平台能够将这些资源进行系统

15、的灵活认证和鉴权、调度、分配和安装部署。（3） 虚拟数据中心（VDC）资源：可为用户以小型逻辑数据中心的模式提供批量的物理、虚拟的计算、网络、安全等资源集合。（4） 虚拟分区资源（VPC）：可以为用户提供基于资源层的网络，可以采用 VLAN、VXLAN 等技术，保证用户资源的使用保障和通过方式的安全。（5） 分布式应用资源：可分布式架构业务系统，提供基于融合 Kubernetes、DevOps、微服务架构等全新技术理念提升 IT 和研发模式，构建基于容器的 PaaS 平台，同时引入多类型数据库服务、消息队列（MQ）服务、缓存（Redis）服务、大数据服务等完善 PaaS 层业务应用系统的建设和

16、服务，所需的基础环境（由于基于分布式架构的应用本身非标准化应用性情都是由应用系统开发商结合自身业务特点，选用并搭建相关环境，无法在没有具体需求时提前搭建，故本次数据中心设计方案不包含具体的分布式应用供给，仅考虑提供系统所需的物理机/虚拟机、传统 SAN 或分布式，并通过云平台实现基础设施层面的统一管理）。1.3.2高效的智能运维和管理能力（1） 业务系统的自动化部署。将特定规格的虚拟机、数据库、中间件等事先编排成模板，用户可以通过自助菜单申请应用资源环境，实现应用的快速部署。（2） 云备份能力。提供虚拟机整机的备份功能，结合虚拟化漂移能力，实现应用主机的高可用。最终形成多份数据的保存，保证数据

17、安全性。（3） 完善灾和能力。在两个数据中心网络打通的前提下，支持基于用户视角实现单个业务的多数据中心的容灾、建设。（4） 主机迁移服务。实现物理机到虚拟机、虚拟机到虚拟机之间在线迁移。（5） 高效运维能力。通过对基础资源（主机、网络、）、应用组件（数据库、中间件、web 服务等）统一以及日志分析，及时发现故障隐患、性能瓶颈，实现业务运行。（6）服务开通时间：0.5 天（不审批流程）（7）故障恢复时间：对于硬件故障：5 分钟以内对于系统环境故障：20 分钟对于数据来类故障：依赖业务数据量和恢复速度。1.3.3度的安全防护能力实现业务系统登录认证、防御、数据传输及保护、日志审计等全过程管理，并配

18、合边界、检测、实时等运维措施，实现端到端的安全。（1）登录安全：采用 CA 认证及堡垒机登录，确份可信，并对登录账号进行权限管理。（2）传输安全：外部登录数据传输采用隧道方式接入，对明文数据进行 SSL 加密。（3）边界安全：根据安全级别对业务系统进行安全区域划分，分区间采用进行安全；在互联网出口处部署检测防御、检测防御、抗 DDOS等安全措施个区域边界进出数据和流量的安全。（4）主机安全：采用系统安全加固、防保证业务主机安全。（5）数据安全：采用数据加密、介质冗余、定时备份等措施，确保数据安全。（6）运维安全：利用日志审计、数据库审计系统及时发现系统中的或潜在的威胁，并通过实时发现异常情况以

19、及时处理。（7）云安全：利用 VLAN、策略，结合边界共同部署构筑南北+东西流量安全防护机制，并对云平台、API 接口进行安全加固，确保云平台自身的安全。（8） 移动办公安全：利用“移动数据安全平台”可以实现从传输安全、落地数据安全和数据丢失管理的维度确保端到端的数据管控。其中传输数据安全由隧道加密传输保障，数据落地安全通过移动安全沙箱来保护，数据丢失管理通过 MDM 的锁定和擦除来保障。备注说明：此部分需要一线使用者能够根据客户的实际需求进行修改和添加，不可直接使用。构建运营成本考虑中心资源池的意义所在正如前文所述，公司从IT系统建设整体角度出发，并且综合考虑公司运营成本等多维度因素，虽然是

20、有来自银监会的直接监管和要求，但不建议公司像大型银行那样投入较大人力、物力来全面建设的IDC机房，建议采用能够满足自身需要和未来发展云服务的模式，构建属于的私有云平台，并且考虑到目前市场上主流的技术，考量发展科技的财力、人力，这几个方面也将极大的减轻。从投资方面来看，公司可以采用节省数据中心建设资金和成本的角度考虑，采用诸如定义数据中心的方式来建设资源池平台，并且未来可以以相对低廉的“月租服务费”方式运营，系统建设前期也不用投入过多的资金。同时，通过云平台的建设，无需再多配备IT方面的专业运维，从最大程度上减轻了在财力、人力上的，从而使其可以集中投入发展业务。监管合规考虑公司面对较为严格的监管

21、合规要求，在云服务部署模型选择上必须慎重考虑。行业云可以满足监管的要求，普通公有云往往难以满足监管要求。部分银行业监管要求规范如下：²JR/T00112004银行集中式数据中心规范²JR/T00442008银行业系统恢复管理规范²JR/T01402017中小银行系统托管维护服务规范²银监会银行业科技“十三五”发展规划监管指导意见（征求）²银行计算机系统管理规定（2010276号）²²商业银行科技风险管理指引（银监发200919号文）商业银行数据中心监管指引（银监发2010114号文）²商业银行业务连续性监管指引（银

22、监发2011104号文）²银行业金融机构科技外包风险管理指引（银监发20135号文）业务考虑不同数据中心资源池部署模型对于业务本身的提升效果也区别，行业数据中心优势较为明显。一方面，面向金融行业的行业业务更加有性，能够有为金融业务定制资源配比、市场需求优化金融类和服务。另一方面，业务部署周期缩短，中小银行不再需要漫长的开发周期来完善其 IT 系统，只要从服务商那就可以获得最先进的应用技术和服务支持，加快了业务部署和迭代的步伐。x 数据中心 aCloud 资源池建设方案设计原则n统筹整合在x 公司新建数据中心资源池的规划和建设中，要坚持统一机构、统一规划、统一网络、统一平台和分级推进的

23、“分”管理体制，集中建设和完善基础架构平台，通过基础设施共享、平台共享、应用共享，加大省级数据整合力度，巩固集约化模式。n均衡发展破除重技术引进轻业务创新、重建设轻应用、重监管化轻服务化、重机关化轻基层化的“四重四轻”倾向，坚持以为用户需求为导向、以应用为中心、以服务为重点，推动业务转方式调结构，实现均衡发展，提升整体绩效。n协同共享通过制度建设、模式创新、技术约束等配套措施，不断破除“孤岛”和业务分割，促进跨业务系统互联资源共享和管理服务协作，努力建设统一网络环境下的业务平台，为集团分公司、对外提供一站式服务，推动业务向更好方向发展。n安全可靠坚持抓发展、抓安全，不断加强安全技术体系建设和应

24、用过程中的管理制度建设,提高安全防御能力和系统管理水平。系统架构3.2.1数据中心资源池整体建设架构系统拓扑图根据前面需求分析，公司数据中心资源池平台的设计与规划逻辑拓扑图如下：业务层在线电商金融监管系统网银系统结算系统核算系统服务层安全机房云资源业务状态运维统一运维平台云平台网络虚拟化安全虚拟化虚拟化金属+非虚拟化物理层云专属集群硬件服务器网络图.数据中心 aCloud 资源池平台承载业务划分蓝图方案简述于公司现有数据中心化现状的理解和认识以及未来化发展目标，公司新一代关键业务平台应该是以 x86 虚拟化为基础的集中部署、以现代化应用开发框架为业务支撑、以弹性数据分析为完善业务、以应用服务为

25、导向、以终端用户为交付对象、以自动化故障转移和可靠的灾后恢复为目标，满足公司业务的快速发展需要，优化软硬件资源，降低总体运营成本。同时，也可以为集团业务和数据大集中做准备，借助新一代关键业务平台的规划、建设和实施，公司也可以为全国集团下属分公司行业领域的专属型系统平台建设提供经验。公司新建数据中心新一代业务平台的 IT 资源主要采用 x86 虚拟化为基础架构的集中部署模式，统一管理，各业务部门均采用自助服务的方式申请属于的虚拟数据中心资源，这些资源涵盖了计算、网络、安全、应用和数据等。Ø 借助 x86 服务器虚拟化技术，形成省分公司统一的计算资源池和内存资源池，做到资源共享和弹性调配

26、，提升系统资源的使用率，减少物理服务器的个数，节约机房空间，节省电力和空调消耗，建设绿色数据中心。计算虚拟化负载均衡云数据库云缓存消息队列日志服务云弹性主机专属主机块对象VPCSD-WAN金属主机云资源统一管理平台托管服务业务迁移运维托管安全托管合规服务等保合规监管整改三方认证业务安全服务漏洞扫描事件监控应急响应安全联动数据安全服务业务容灾数据备份文件归档异地灾备应用服务大数据平台微服务架构分布式架构第三方应用Ø采用 x86 服务器虚拟化技术，获得系统级高可用、系统级容错、应用级高可用、虚拟机在线迁移、资源动态负载均衡等能力，使得业务系统在可靠性、可用性、可服务性等方面得到提升，全年

27、业务系统可用性达 99.999%以上，真正满足业务的 7*24 小时服务。Ø实施虚拟化能力，可以按照业务系统对于 SLA 的要求提供不同的 IOPS 性能和存储容量，并且是动态可扩展。当前性能和容量不能满足现有客户业务系统的情，采用在线迁移技术，完整系统的热迁移。Ø在贵方的虚拟数据中心内，可以考虑采用网络虚拟化技术，于路由器、等硬件网络，可以更加灵活的设计和规划网络资源池和 IP 地址，实现可扩展的多租户网络，降低虚拟机在线迁移技术对于二层网络的依赖，完成复杂网络部署的自动化交付。Ø在虚拟数据中心内，网络由原来的物理网络或物理端口变为虚拟网络和虚拟端口，其安全管理

28、边界将发生变化，因此必须要采用虚拟化的安全技术，实现路由、地址切换、负载均衡、动态地址分配及等边界网关服务，实现网络/主机/应用的能力，实现无防能力，实现数据敏感性保护服务等。Ø管理是数据中心的重要支撑体系，从服务器、网络到操作系统、中间件、数据库、应用及桌面，都需要统一纳入到体系内考虑，借助健康度、风险、效率等指标分析云平台的运行状况，根据现有平台资源使用规划未来容量，基于性能曲线系统的性能趋势，收集各种未来可能会出现的问题。用户还需要将数据中心的指标按时间区间以报表的方式呈现，详细了解业务系统的运行成本，优化数据中心的效能。同时，以将整个系统规划前期做好，将现有的和资源能够在未来

29、同样进行融合起来使用，前期设计的方案必须要满足灵活的扩展性，为将来做资源扩展预留，并且非常容易形成大的资源池，整个资源池的使用性能并且是呈直线上升的。整个资源池建设好之后，能够将内部业务系统资源更搞笑的抽象，并且建立的系统属性的划分，能够形成不同业务系统的资源、网络的VPC、系统数据的即安全性等特点，所以，从初期建设的角度来看，就需要按照资源池的方式进行底层建设。3.2.2IT 基础架构建设系统拓扑图数据中心 aCloud 资源池基础架构网络系统建设逻辑拓扑图如下所示：数据中心 aCloud 资源池系统架构特性3.2.2.2.1 高弹性数据中心 aCloud 资源池应具备资源弹性伸缩能力。在业

30、务高峰期，数据中心 aCloud 资源池平台资源能够快速扩容支持大流量、高并发的高峰场景；在业务低谷期，数据中心aCloud 资源池平台资源能够合理收缩，避免资源过度配置。3.2.2.2.2 开放性数据中心aCloud 资源池平台应采用开放的架构体系，不与某个特定的云服务提供者绑定。在资源池使用者中止或变更服务时，数据中心 aCloud 资源池平台应支持应用和数据在不同云计算平台间、用户系统与云计算平台之间进行快速便捷的迁移。3.2.2.2.3 互通性数据中心 aCloud 资源池平台应支持通用、规范的通口，同一云计算平台内或不同云计算平台间的云服务应能够按需进行安全便捷的交互。3.2.2.2

31、.4 高可用性数据中心 aCloud 资源池平台应具备、主机、网络节点、数据中心等层面的高可用保障能力，能够从严重故障或错误中快速恢复，保障应用系统的连续正常运行，满足金融领域业务连续性要求。3.2.2.2.5 数据安全性数据中心 aCloud 资源池平台架构层面保障端到端的数据安全，对用户数据进行命周期的严格保护，保证数据在产生、使用、传输和等过程中的完整性和一致性，避免数据的错误、丢失和泄露。数据中心 aCloud 资源池的统一化管理深信服aCMP理平台能够提供比较丰富的平台特性，IT 业务系统设施基于超融合，能够提供基于、部分 PaaS 平台层应用，能够从资源申请/提交/审批、服务门户、

32、操作系统模板化服务、VMware 异构管理、计量计费（5.8.6 版本）、AZ 故障域（5.8.6 版本）、多卷管理、多集群管理（5.8.6 版本）等诸多功能为前端用户提供服务。具体功能如下：3.3.1运营管理企业 IT 系统的开发、测试、生产运维等环境逐步，使用的用户类别和组织架构越来越复杂，用户在云平台内创建、使用、销毁资源的管理也会变得更加严格，对云服务水平的要求越来越高。由于企业所处的云实施应用阶段不同服务要求业不同，当云计算在企业个部门或分子公司众多全面应用时，用户所遇到的资源、建模应用复杂、流程性操作繁琐等问题，需要运维或平台管理员及时协助，依靠传统的表单、邮件、等方式已无法满足服

33、务管理的标准化和规范化需求。为了更规范权责，提高工作效率，往往需要整体考虑 IT 建设的规范化、标准化，企业 IT 管理部门势必对工作的流程管理有一定的要求，有些复杂的流程可能还要跨部门跨组织进行审批管理。统一化管理界面用户服务管理界面深信服 aCMP 平台可以提供统一化的资源申请界面，用户可以通过该界面进行资源的集中化申请，在申请平台上可以清晰的看到所提供的资源类型，比如vCPU、内存、网络、镜像等。线上工单申请与审批流程最终用户可以通过工单向组织管理员申请虚拟机资源使用，组织管理员可以通过或者拒绝工单，云资源的发放。1.新建虚拟机2.变更虚拟机配置3.删除虚拟机多租户管理租户使用者可以通过

34、服务 Protal 界面，想组织或者平台申请获得所需要 vCPU、内存、存储、网口、数据库镜像、操作系统镜像等资源。那么，我们在云平台上创建多个组织后，为了能实现平台运营管理需求，前期初始化设置时，需要设置不同的用户角色来管理和使用云平台。用户总共分为三级：平台管理、组织管理、最终用户，每个层面的功能如下所示：平台管理员：作为平台基础运维，需要创建组织、管理组织资源的，管理和增添平台物理资源，通常是 IT 部门。组织管理员：在平台管理员创建组织时指定，负责组织内的网络、云主机、告警等功能的运维，通常是子部门、子、二级、第公司的运维。组织成员：可以由平台管理员创建，也可以由组织管理员创建，是资源

35、的使用用户，通常是子部门、子、二级、第公司的业务。截图：组织管理->管理组织（管理员和成员）和资源（计算资源 网络 云主机等）创建组织并分配资源->组织资源管理->计量与计费通过各个租户，各个组织的资源使用量的统计，能够量化公司云平台服务部门 IT 的具体服务条目，深信服 aCMP台每隔 10 分钟统计一次租户资源使用量，根据使用量和价格计算费用，界面上每隔 1 小时更新一次资源使用费用。截图：单价设置->租户账单明细->异构 VMware 平台纳管目前用户现有的 VMware 环境，深信服 aCMP台能够做好统一纳管 vSphere 平台，并且统一 aCloud

36、 和 VMware 的管理模式，保护客户已有投资。支持 VMware vSphere 平台在深信服台做编辑云主机的 vCPU、内存、磁盘、网络、云主机名称描述等。截图：编辑 vmware 云主机->多租户的分布式云平台安全方面，深信服超融合平台可以提供增强型的租户空间性，每一个租户对应于一个生效域，将交换机划分到一个生效域中，配置 acl 规则只作用于该生效域换机，以实现 acl 规则的配置。如上图：租户 1 对应生效域 1，租户 1 内的交换机 1、交换机 2、交换机 3 被划分到生效域 1 中。分布式规则在 aCloud 集群上是下发到所有交换机上生效，但是在上做了优化，每个租户内的

37、分布式规则只会下发到隶属的交换机上生效，实现租户之间、租户与平台之间的规则。指定作用域和租户。截图：创建分布式规则->分级与分权管理在深信服的 aCMP 管理平台部署之后，系统内置“超级管理员”、“组织管理员”、“组织成员”三个角色，三个角色各对应企业相应的用户：···超级管理员：IT 部门运维，拥有云平台的最高权限。组织管理员：业务部门运维，拥有组织内的最高权限。组织成员：业务部门内的业务。新建用户的时候可以给用户指定角色（超级管理员角色除外）aCMP 上可以创建其他角色，给角色设置不同的权限：当前 5.8.5版本能实现按照模块划分权限，比如某个管理员管理

38、云主机，另外一个管理员络。还不能实现，指定某个管理员管某个资源可用区，或者指定某个管理员管哪几台云主机。镜像管理云平台中为了方便用户的镜像管理。深信服 aCMP 管理平台上的镜像有两种格式，第一种是 ISO 格式，用于创建一个全新的云主机。第二种 aCloud的格式，模版镜像（acloud上的模版），用于派生云主机。aCMP 的镜像分为三大类：公共镜像、私有镜像、网络镜像··公共镜像：由平台管理员创建，平台管理员、租户内都可以使用。私有镜像：由租户管理员创建，只能在租户内使用。·网络镜像：NFV的模版镜像，由平台管理员上传。镜像上传和分发流程：目前，深信服 aCM

39、P理平台暂时不支持管理和分发 vmware 模版镜像。截图：上传镜像->根据云主机制作镜像->统一认证用户需要的认证需求，深信服 aCMP理平台可以提供灵活的方案，适应客户的业务变化，如下：·整个 aCMP 云平台只使用一个 key，在 aCMP 虚拟机所在的 aCloud 集群上台授权 key，并且到 aCMP 中。·在 aCMP 上手动输入各个组件的序列号或导入文件，aCMP 形成一个池子，aCloud集群接入 aCMP 中，通过 aCMP 给它们。·工作方式如下图所示：截图：在 aCloud 集群台，选择key->添加 USB，将key到

40、aCMP 虚拟机（前提：某台物理主机插上Key）aCMP 平台->集群管理->3.3.2超融合资源池提供的基础服务深信服理平台结合虚拟化平台及基于 OverLay 的 VXLAN 网络互通方案可以为用户提供多种类型的计算、网络、安全等服务。计算资源服务基于深信服 aSV 服务器虚拟化技术为用户提供主机资源功能。用户可在主机中安装所需的应用并对外提供服务。四层基于服务虚拟化技术为用户提供资源及对资源的命周期管理功能。用户通过配置规则可实现对底层主机、网络的东西向安全防护。四到七层 vAF服务在服务的基础上提供 WEB 防护防御系统功能、防、防 DDoS等诸多功能。用户通过配置 vAF

41、 上的相应规则可在南北向防护上提供服务高级防护功能。基于虚拟交换机为用户提供资源及对资源的命周期管理功能。用户通过配置规则可实现对主机的防护。负载均衡 vAD 服务组件基于内部的 vAD 负载均衡虚拟化技术为用户提供负载均衡资源及对资源的命周期管理功能。用户通过配置负载均衡可以实现链路负载的作用，有效的应对类似于 WEB 应用。所化即所得基于层服务来为用户提供更高级的 PaaS 层服务。用户可以基于已定义的应用平台而无需手动安装各种应用。模板快速部署属于虚拟数据中心 VPC 服务基于层服务来为用户提供一个集中的、可视化的、所见即所得的运维服务。用户通过使用该服务即可编排、部署、的私有数据中心和

42、 IT 资源。多种用户角色理员：负责整个云平台的管理，进行全局资源配置，资源规格定义，划分组织和配额，分配组织管理员，统一全局资源的使用情况、计费统计、运维健康状态等（Admin账号是默认的理员）；租户管理员：通过租户服务台操作，可以创建下属组织，为下属组织分配资源，创建本组织的普通用户以及下级组织的管理员和普通用户；为本组织申请网络等资源；查看组织及下属组织的资源使用状况等；普通用户：通过租户服务台操作，可以申请云主机、云等资源服务，并对已申请的资源进行和管理；可以查看的资源使用状况、费用等；自定义权限分组：支持基于上述四种角色，进一步定制用户权限，可以到操作菜单粒度；通过自定义角色分组，可

43、以实现定务目录。计算资源池功能3.4.1计算资源池具备的功能服务器是虚拟化平台的，其承担着虚拟化平台的“计算”功能。对于虚拟化平台上的服务器，通常都是将相同或者相似类型的服务器组合在一起，作为资源分配的母体，即所谓的服务器资源池。在这个服务器资源池上，再通过安装虚拟化，使得其计算资源能以一种虚机 的方式被不同的应用和不同用户使用。深信服 aSV 虚拟化平台作为介于硬件和操作系统之间的层，采用金属架构的 X86虚拟化技术，实现对服务器物理资源的抽象，将 CPU、内存、I/O 等服务器物理资源转化为一组可统一管理、调度和分配的逻辑资源，并基于这些逻辑资源在单个物理服务器上构建多个同时运行、相互的虚

44、拟机执行环境，实现更高的资源利用率，同时满足应用更加灵活的资源动态分配需求，譬如提供热迁移、HA 等高可用特性，实现更低的运营成本、更高的灵活性和更快速的业务响应速度，如下图所示：计算资源池的构建可以采用以下四个步骤完成：计算资源池设计、集群设计、主机池设计、虚机设计四个部分完成。3.4.2虚拟化平台业务应用类型划分在搭建服务器资源池之前，首先确定资源池的数量和种类，并对服务器进行归类。归类的标准通常是根据服务器的 CPU 类型、型号、配置、物理位置和用途来决定，必要时也可以参考内存、I/O 和容量。对虚拟化平台而言，属于同一个资源池的服务器，通常就会将其视为一组可互相替代的资源。所以，都是将

45、相同处理器、相近型号系列并且配置与物理位置接近的服务器：比如相近型号、物理距离不远的机架式服务器。在做资源池规划的时候，也需要考虑其规模和功用。如果单个资源池的规模越大，可以给虚拟化平台提供更大的灵活性和容错性：的应用可以部署在上面，并且单个物理服务器的宕机对整个资源池的影响会更小些。但是同时，太大的规模也会给出口网络吞吐带来更大的，各个不同应用之间的干扰也会更大。所以，初期的计算资源池规划应该所有可能被纳管到虚拟化平台的所有服务器资源，例如：为搭建虚拟化平台新购置的服务器、内部目前闲置的类似配置的服务器以及现有的并正在运行着业务应用的服务器。在虚拟化平台搭建的初期，正在为业务系统服务的服务器并直接被纳入虚拟化平台的管辖。但是随着虚拟化平台的上线和业务系统的逐渐迁移，在后期，这些服务器也将逐渐地被并入虚拟化平台的资源。在计算资源池上，按照业务规模、业务逻辑或者业务属性，规划出一个个不同的集群，所有的主机均可以纳入集群进行管理，也可以，若有部分没有加入集群的主机需要通过虚拟化平台集中管理的时候，规划主机显得非常必要。主机池就是是一系列主机和集群的集合体，没有加入集群的主机全部在主机进行管理，主机可以管理主机，也可以管理集群。3.4.3虚拟化计算资源主要具备的功能物理机和虚拟机两大类，所有计算资源应按照资源池进行管理，计算虚拟化技术和计算资源管理是构建计算资源池的重