FusionCloud金融行业桌面云方案

1、FusionCloud金融行业桌面云方案Content金融行业桌面云解决方案桌面现状及转型趋势桌面云案例分享1234金融行业的桌面场景分析多类人员接入办公，无审计网络金融发展迅猛，易攻击经营跨地域多分支，难管理移动融入金融业务，新风险驱动力金融行业信息安全建设驱动力典型金融机构国家/地区网点数四大行国内100+个城市64055分行及分支机构四大行海外32个国家和地区850+分行及海外代表处美国银行、汇丰、花旗、富国（TOP4）150个国家和地区 27000个网点内部员工、IT外包、合作伙伴、供应商众多角色接入内网金融业的外包规模仅在制造业之后，位居第二，覆盖了各类及各种规模的金融企业45%：使

2、用移动设备管理银行账户42%：使用移动设备网上购物39%：使用移动设备账单支付19%：使用移动设备投资理财 -花旗银行客户分析报告金融机构网络出现开放和互联的趋势网上银行：交易规模为820万亿元，增长率为7.0%中间业务：公积金、电子口岸、代收税/社保、代收话费、代收水电等金融行业信息系统信息安全等级保护实施指引JRT0071-2012：编号要求类别详细要求要求金融行业信息系统信息安全等级保护实施指引JRT0071-2012身份鉴别e) 主机系统应对与之相连的服务器或终端设备进行身份标识和鉴别，当通过互联网对服务器进行远程管理时，应采取加密措施，防止鉴别信息在网络传输过程中被窃听；（F3）f)

3、 宜采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别，例如以密钥证书、动态口令卡、生物特征等作为身份鉴别信息。 防泄密金融行业信息系统信息安全等级保护实施指引JRT0071-2012 安全审计审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用、账号的分配、创建与变更、审计策略的调整、审计系统功能的关闭与启动等系统内重要的安全相关事件；可审计金融行业信息系统信息安全等级保护实施指引JRT0071-2012 数据保密性对于重要文档，如是纸质文档则应实行借阅登记制度，未经相关部门领导批准，任何人不得将文档转借、复制或对外公开，如是电子文档则应采用OA等电子化办公审批平台进行管理

4、；（F3）金融机构客户端应统一安装病毒防治软件，设置用户密码和屏幕保护口令等安全防护措施，确保及时更新病毒特征码并安装必要的补丁程序；（F3）集中管理一级二级三级四级五级安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理物理安全网络安全主机安全应用安全数据安全金融等级保护合规技术要求实施指引对金融内部信息安全提出了防泄密、可审计、集中管理的要求金融机构内部信息安全管控解决思路-精简终端、文档云化、策略集中设计思路解决方案政策要求身份鉴别安全审计数据保密性访问控制边界完整性检查。剩余信息保护资源控制外包管理金融行业信息系统信息安全等级保护实施指引（20120706 人行发布）终端简化，

5、管理后移，桌面推送至终端完善准入和认证机制，杜绝安全风险从终端传播至内网文档云化、集中授权使用多角色全方位审计，即使泄密也可审本地存储、计算和应用程序全部迁移到云数据中心PC变成瘦客户机移动终端瘦客户机PC传统桌面安全性差、运维管理困难，难以满足金融行业的要求信息安全业务保障传统PC向员工发放消耗时间长终端故障需现场维护，时间长、效率低软硬件多种多样，桌面标准化管理困难，不堪重负传统PC磁盘易造成个人数据丢失，影响业务运行终端的安全防护、管理运维耗费大量资源，业务中断时间长，效果不尽人意资源固化硬件标准化配置，无法满足用户个性化需求硬件配置无法灵活升级硬件资源固化，空闲时无法复用，资源利用率低

6、下数据在终端本地存储各种端口难以管控使用者行为难以约束电脑失窃导致数据丢失和信息泄露虚拟桌面优势资源共享业务灵活高效管理数据安全集中管理快速发放分时复用灵活调整随时随地访问信息安全集中管控虚拟桌面瘦终端应用系统终端无数据存储OS OSAPP APP分支n分支1分支2分支3管理员桌面云虚拟桌面企业总部异地出差在家办公Content金融行业桌面云解决方案桌面现状及转型趋势桌面云案例分享1234金融行业的桌面场景分析金融行业的桌面场景及要求桌面云平台营业厅业务网点在此输入内容安全办公网管维护研发中心外设种类繁多应用相对简单可用性要求高网点分散安全控制要求高应用较为统一个性化要求多应用比较复杂信息安全

7、要求高与生产网络隔离软硬件升级繁琐桌面性能要求高不同的场景，有不同的特点和要求，需要桌面云能灵活适配满足根据实际客户情况进行删减虚拟桌面建设诉求 如何保持与传统PC的一致性体验？ 如何简单处理用户请求，快速故障处理？数据安全的同时，如何保障接入、传输、统一维护管理的安全可靠？是否能快速交付？是否能灵活部署可扩展？用户体验运维管理安全可靠交付部署Content金融行业桌面云解决方案桌面现状及转型趋势华为桌面云案例1234金融行业的桌面场景分析安全办公接入安全，传输安全，数据安全，管理安全安全办公OA内网内部研发网管维护涉密部门数据存放在云平台避免本地存放端到端安全防护安全系统统一部署防攻击、放泄

8、露业务高可靠金融行业桌面安全需求理解信息安全 监管部门要求内部需求 现存问题OA，研发，监察，BPM，行政，外包，运维远程/移动接入管控保密管理制度桌面云/应用虚拟化移动介质管控数据交换审计安全行为审计数据集中安全策略集中敏感业务操作审计运维过程审计终端设备系统集中运维数据不落地防泄密可审计集中管理行为可追溯策略规范化华为桌面云大幅度提升桌面安全性防泄密移动介质管控终端安全管理网络分区隔离防病毒/木马/恶意软件+数据不落地(云)+堡垒机+外设重定向策略可审计主机防火墙(安全助手)主机应用管控非法外联非本地硬件操作审计网络异常检查+敏感业务操作审计+运维操作审计+数据交换审计+设备ID绑定集中管

9、理AD账号认证准入控制安全基线/补丁管理网络访问控制策略+集中运维管理+集中策略管理+集中资源管理+AD域控策略+文件集中留存NAS+桌面云协议ACL *外设重定向策略：虚拟机特有策略，从云上映射端口到本地，如USB、磁盘、COM、打印机、扫描仪等外设系统管理安全管理审计管理管理角色透明加解密用户无感知USB Key支持安全删除虚拟机剩余信息全0覆写避免剩余信息泄露管理平台防护终端确保接入安全 更多防护手段日志审计三员分立剩余信息擦除 用户数据存储合法认证安全TC全面灵活的E2E安全防护设计用户数据加密剩余信息擦除数据安全统一管理入口管理员行为监控操作日志记录安全策略配置安全操作执行安全管理日

10、志统一日志管理 合规审计增强接入认证域帐号指纹USB key动态口令无AD域认证安全网关国家保密局测评SSL加密传输支持BM17加密禁用存储设备禁止在TC上自行安装软件TC合法性认证用户与TC绑定虚拟桌面虚拟化防病毒虚拟桌面隔离第三方数字证书认证系统TC加固，端口管控，防止病从口入瘦终端采用精简的OS固件，系统更为安全可靠定制操作系统界面TC无法保存数据 无硬盘设计仅提供桌面云相关的操作界面用户无法进行拷屏、文件管理、命令行执行等操作TC身份认证TC X.509数据证书认证外设端口接入控制，可通过TC和桌面协议管控外设使用端口控制完善的用户接入身份认证适用于不同安全管控场景指纹认证AD/非AD

11、认证 USB KEY第三方系统智能卡+第三网关认证丰富的认证方式，支持多级认证、双因子认证AD非ADWin7本地认证WinServer AD认证分权分域客户价值遵循NIST标准的RBAC模型，支持分权分域管理，防止越权管理满足安全办公应用场景。系统实现系统管理员、安全管理员、安全审计员的权限制衡。如何在桌面虚拟化后进行安全区域划分，防止越权管理？ 如何进行管理权限的限制？管理安全：分权分域 三员分立集群1集群2FW 红区管理员综合管理员绿区管理员管理网络越权操作FusionSphereVM1VM2VM3FusionSphereVM1VM2VM3FusionSphereVM1VM2VM3Fusi

12、onSphereVM1VM2VM3越权操作安全管理员安全审计员系统管理员安全管理用户审批权限管理安全策略管理.系统管理用户创建虚拟机管理存储管理网络管理.超级管理员日志审计日志查看日志导出 三员分立三员分立，权限由系统管理员、安全管理员、安全审计员分摊(无超级管理员)管理员间的权限应相互制约、互相监督，避免由于权限过于集中带来的安全风险如何提升云平台整体系统的防病毒能力和效率？虚拟化防病毒SVMAnti-virus EngineDriverVMDriverVMVMHypervisorDistributed Virtual SwitchVirtual FirewallPhysical Serve

13、rInternalCommunicationExternal CommunicationDriverDriver分布式虚拟防火墙ACL安全组IDS/IPS探测及防入侵主机内部VM通信及外部通信控制无代理防病毒虚拟化层防病毒虚拟机无需安装杀毒代理有效避免杀毒风暴AppAppApp客户价值避免杀毒风暴，单虚拟机用户系统负载降低，体验提升10%以上集中管理，无需对每个虚拟机安装和升级病毒库，省时、省事、省资源行业应用某企业虚拟化平台使用传统防病毒产品时，需专人定期进行服务器全盘扫描，且每个用户虚拟机需安装杀毒软件和定期更新。采用虚拟化无代理防病毒功能后，可实现统一管理机制，功耗更低，用户体验更好研发

14、中心、网管维护卓越体验，敏捷高效，系统可靠软件开发、测试办公场景 统一平台 统一管理 全自动运维快速响应办公人员资源调整需求绿色环保省成本办公环境安静绿色环保硬件复用比高，节省Capex动态节能技术、耗电低，降低Opex系统可靠多媒体体验显示清晰、音视频体验佳友好的用户界面桌面性能桌面性能好大型开发软件运行流畅智能加速，避免开机风暴全方位可靠性保障数据可靠不丢失金融行业研发办公的主要诉求体验保障：性能领先的虚拟化软件平台虚拟化性能业界最佳，助力桌面虚拟化 密度提升、规模交付、卓越体验FusionSphere 5.0版本测试结果2014年：SPECvirt_sc2013官方测试VMVMVMVMV

15、MVM虚拟平台与硬件Blue = Disk IOGreen = Network IOTile1Tile2Tile3Tile NOSOSOSOSOSOSInfraWebIMAPAPPDBIdleQOS总体得分：99.75%/virt_sc2013/results/specvirt_sc2013_perf.htmlSPECvirt得分：4687SPECvirt VM数：48虚拟化厂商服务器类型处理器配置SPECvirt VM数SPECvirt得分排名Huawei FusionSphere 5.0ProLiant DL380p Gen8Intel Xeon E5-2690376321Red Hat

16、Enterprise Linux 6.4 (KVM)Flex System x240Intel Xeon E5-2690376252VMware ESXi 5.1ProLiant DL380p Gen8Intel Xeon E5-269027472 3核心技术：FusionAccess全新一代桌面协议，带来更佳用户体验USB TunnelAudio TunnelDisplay TunnelMedia TunnelManagement TunnelMouse ClientOther 服务端(VM)客户端(TC)HDP: Huawei Desktop Protocol无失真显示1080P 高清视频

17、高清语音 PESQ 3.4 高保真音频压缩算法：自动识别声音场景，针对人声优化特殊优化，其他厂商PESQ最高 3.0自动降噪算法：VoIP启动自动降噪来压抑周边嘈杂音和背景声音，即使嘈杂环境也能通话自如最大帧率35fps ：业界最高，视频流畅度最优动态调整：根据网络的质量动态调整视频播放的帧率，保证流畅度高清支持：结合TC重定向能力，支持1080p视频自动识别整幅图像中的文字、windows图框、线条等非自然图象无损压缩， PSNR指标达50000dB以上，SSIM指标0.999955（1代表完全无损）关键技术内存去重压缩和复用技术，桌面VM的系统盘放到内存中，重启还原初始状态全内存VDI存储

18、。突破内存介质专用的实时在线重删技术、在线压缩技术；提供高速IO能力和高速克隆能力，提供超过300 IOPS每桌面VM磁盘读写操作，转化为内存操作，批量创建分发等管理效率大幅提升对一些呼叫中心等应用型场景，如何提升管理员批量虚拟管理的效率？如何提升批量开关机的效率？如何进行虚机状态还原？虚拟机桌面使用共享的后端存储，如何让虚拟桌面的存储IO性能追平和超越物理桌面？ 全内存桌面：适用于任务型员工NAS或SANVMHypervisor存储资源系统母盘(共用只读)差分盘用户盘VM用户盘VM计算资源系统母盘(压缩去重)差分盘差分盘内存资源客户价值提高批操作效率，提供系统还原能力，提升管理体验提升部署等

19、工程效率。降低磁盘采购成本消除虚拟机对存储的IO性能瓶颈，提升用户使用体行业应用客服、营业厅等任务型工作场景支持存储空间回收与办公桌面隔离的专用上网桌面建设从端到端架构层面保障系统可靠性管理节点可靠性用户连接可靠性FusionAccessFusionSphereLB/AGUsers用户资源VMOSAPPAgentVMOSAPPAgentVMOSVMOS管理节点FusionAccessFusionSphereclientHAHA服务端客户端桌面管理云平台管理数据流加密传输客户端网络网络闪断自动重连网络状态自动侦测服务端桌面代理进程端口冲突自动切换桌面代理软件防误删、防误杀进程文件保护VM蓝屏自动

20、重启桌面管理可靠性桌面架构之关键节点不依赖windows，HDC不依赖于域控业务层状态检测并进行故障自动隔离和恢复云平台管理可靠性管理节点冗余VM故障自动恢复管理节点内存，CPU，硬盘状态自动监控管理数据备份如何保障灾难发生后的业务继续运行？ 如何减少整个站点故障时业务中断时间和用户数据丢失量， 减少损失？业务容灾GSLB (global server load balancing)业务冗余容灾方案在容灾站点构建一套与生产中心相当的灾备中心 (可负荷分担)针对关键业务用户，在两个数据中心内分别为其分配桌面资源TC主动探测业务容灾方案没部署GSLB情况下，由TC上软件进行生产和灾备中心的健康检查

21、灾难发生时，客户端软件自动切换到灾备站点价值&场景价值：保障业务连续性适用场景：适合不需要数据容灾,但需要保证业务可用性的场景，如: 客服坐席等场景FusionSphereVM1VM2VMFusionSphereVM1VM2VM生产局容灾局全局负载均衡器全局负载均衡器瘦客户端接入网络主AD备ADFusionSphereVM1VM2VMFusionSphereVM1VM2VM生产局容灾局瘦客户端接入网络主AD备AD容灾Agent营业业务网点场景网点分散，分支机构，外设兼容普通办公场景 统一平台 统一管理 全自动运维运维远程自动化，大大提升运维效率绿色环保省成本分支机构多分支机构远程统一运维外设种

22、类多桌面云与现有外设完美兼容智能卡一般USB设备摄像头扫描仪串口设备打印机TC/SC终端服务器/VM桌面HDP自研协议外设支持类别Huawei-HDPUSB重定向(U盘、USB接口设备)支持PC/SC重定向(智能卡、USBKey等)支持摄像头重定向支持（支持压缩）TWAIN重定向(扫描仪、数码像机等）支持串口重定向支持打印机重定向(并口打印机等）支持自研协议，可快速响应适配客户的外设兼容新需求桌面云外设的工程解决方案1、售前工具2、外设维护和问题定位工具3、Huawei Ready认证最新的兼容性能力查询网站：supportContent金融行业桌面云解决方案桌面现状及转型趋势桌面云案例分享1

23、234金融行业的桌面场景分析华为桌面云在全球规模商用 政府&公共运营商金融媒资大企业华为桌面云在全球40多个国家260多家企业商用，服务于20+万用户智利铜矿菲律宾APC大学上海联通东方证券无锡广电香港航空非盟CMPAK深交所CCTV大港油田马德里医院浙江移动重庆农商行凤凰卫视华为桌面云助力中国银行打造高效研发开发平台软硬件均采用华为产品构建，通过FusionAccess对刀片服务器、IPSAN进行整合和管理；外包员工通过PC机软终端登录到虚拟机中进行设计和开发，所有数据均保存在数据中心，保证不会被窃取；当开发任务结束，外包人员离开时，可以将虚拟机回收，回收的资源可以提供给其他业务使用华为解决

24、方案软件研发中心有大量外包人员，传统桌面方式在端口、网络、硬盘防护等方面存在安全隐患；PC系统使用存在潮涌现象，需要做到弹性的资源分配和回收人员数量众多地理上分散部署，因此PC的维护工作量比较大业务挑战中国银行，是中国四大国有商业银行之一。业务范围涵盖商业银行、投资银行和保险领域，旗下有中银香港、中银国际、中银保险等控股金融机构，在全球范围内为个人和公司客户提供全面和优质的金融服务。所有数据存储在SAN存储中，本地不保存任何数据，有效保证行内开发的代码、文档等资产的安全性；资源根据用户量按需分配，提高了资源使用效率在统一的Portal上实现了所有资源管理功能，降低了运维成本客户价值现状中国银行

25、高效桌面云研发平台应用场景及需求应用场景研发办公，用户与虚拟机1：1配置，每个用户都独占一台虚拟机。研发人员通过瘦终端访问，只允许连接虚拟桌面，所有USB端口可禁用U盘，本地安全不留密。虚拟机的规格可以按照办公软件的负荷调整。 安全基于虚拟机级别的隔离，每个桌面都有单独的系统盘，安全性高；个性化桌面；外设支持类型丰富；用户体验与传统PC一致；软件研发规模500人，100%并发系统要求Windows 7虚机规格vCPU=4U,Memory=4GB, 系统盘=60GB,数据盘=60GB（计算预留10%，存储预留20%）软件要求MS OFFICE，Outlook，Project，VISIO； Int

26、ernet Explorer,Acrobat Reader,视频播放软件,企业通讯软件,常用输入法，微星阅读器，金山词霸；Visual Studio/My Eclipse/MENTOR/ALTUIM/VC/MATLAB/等软件；外设要求支持金融行业常见的如USB/串口/并口打印机、USB键盘鼠标、摄像头、读卡器、写卡器等各种类型外设。身份认证域帐号+域密码项目应用场景及需求信息安全软件研发中心有大量外包人员驻场工作，对中行开发的软件系统的关键设计、源代码、相关开发文档及过程管理文档等带来泄露的风险；人员流动 软件研发中心在外包人员的使用上存在潮涌现象，上线系统往往需要大量外包人员投入开发和测试

27、工作，任务结束后又需要及时释放维护效率由于软件研发中心人数量众多地理上分散部署，因此PC的维护工作量比较大，间接对软开中心的工作效率产生影响；PC更新换代由于软件研发中心人员多为研发测试场景，使用软件开发工具、数据库管理工具、测试工具等对系统要求较高， 桌面云的技术特点，恰好可以有效解决信息安全、资源弹性管理、简化运维管理等问题，提升中行软件研发中心工作效率。丰富外设兼容性中国银行高效桌面云研发平台安全性设计及经过实际检验的丰富外设兼容性安全性设计外设类型厂商型号打印机南天东华USB接口打印机 型号：PR2E 0B3C PID 0001 REV 0100南天东华串口打印机 型号：PR2EHP网

28、络打印机 型号 HP LASERJET M15304Epson并口打印机磁条读写卡器南天东华串口/USB转接器 型号：BP8901 UKZ NB045南天东华磁条读卡器 型号 BP8903 VIRA-A(ZH) NI955 VID 0403 PID 6001世融通磁条读写器 型号 WB7H-2000 VER:2.0H VID 10C4 PID EA60扫描仪富士通fi-6225扫描仪 VID 04C5 PID 11EF摄像头罗技/蓝色妖姬主流型号均可支持系统安全方案：“进不来、拿不走、打不开、赖不掉、丢不了”华为通过独特的摄像头重定向技术达到PC体验同时，带宽占用比友商低10倍以上。相比其他协

29、议，华为HDP协议最稳定运行。(USB重试和异常处理能力)华为支持COM口可配置能力（有些外设要求COM固定），其他厂商环境需要单独适配开发。华为桌面云助力兴业银行打造安全高效分支机构办公环境华为推出了分支机构桌面云解决方案，通过降低系统复杂性、提高分布式部署能力，极大地提升了系统的灵活性。分支机构与总部间仅交换管理数据，用户的业务默认由本地分支机构提供，无需远程连接到总部，降低了网络延时对业务的影响率。华为解决方案随着企业市场的扩大，企业在各地的分支机构也会越来越多。而且这些分支机构一般人数较少，为了节约维护成本，要求统一管理。当前的外包开发环境中，数据分散存放于研发人员的电脑上，银行无法对

30、数据进行集中管理和有效的管控；业务挑战兴业银行成立于1988年8月，是经国务院、中国人民银行批准成立的首批股份制商业银行之一，总行设在福建省福州市，2007年2月5日正式在上海证券交易所挂牌上市（股票代码：601166），注册资本190.52亿元。灵活统一的管理维护：由总部管理员统一发布、管理、维护。总部管理员也可为分支机构的本地管理员分配桌面云相关操作权限，进行分权分域管理； 高安全性：各分支机构与管理中心通过SVPN连接，并能做到各分支机构之间互相隔离，组网成本低但数据安全性比较高。客户价值兴业银行分支机构桌面云应用场景及外设需求外设名称外设型号接口类型测试结果兴业银行柜面业务系统-刷卡器

31、南天信息8902-刷卡器串口 COM1:B 兴业刷卡器通用版通过兴业银行柜面业务系统-刷卡器新大陆-BMAG_NL2805W/0/0/CT串口 COM1:B 兴业刷卡器通用版通过兴业银行柜面业务系统-刷卡器/IC卡读卡器二合一南天信息BP8903串口 COM1:B 兴业刷卡器通用版通过兴业银行柜面业务系统-IC卡读卡器南天信息BP89031RA-N串口COM:C通过兴业银行柜面业务系统-IC卡读卡器国光CJ201串口COM:C通过兴业银行柜面业务系统-票据打印机南天信息PR2E并口通过兴业银行柜面业务系统-票据打印机OKI MICROLINE 6100F并口通过兴业银行柜面业务系统-二代身份证

32、阅读器华旭2代身份证读卡器USB通过兴业银行柜面业务系统-二代身份证阅读器精伦二代Idr200USB通过兴业银行柜面业务系统-二代身份证阅读器精伦二代Idr200USB通过兴业银行柜面业务系统-二代身份证阅读器浙威ZWIC-100USB通过兴业银行柜面业务系统-二代身份证阅读器神思SS628(100)USB通过兴业银行柜面业务系统-扫描仪FUJITSU fi-6130ZUSB通过兴业银行的桌面云主要用于上海、福州、成都的研发办公，包括研发日常的OA办公、开发、测试、外包这些场景。三个地方的桌面云要求可以统一运维，同时三个地方也可以单独进行业务发放。兴业银行分支机构桌面云综合考虑统一管理、本地用户体验及安全性分支机构解决方案优势：灵活统一的管理维护：总部管理员可以集中运维，简化终端管理，大幅减少分支机构运维负担。安全策略，软件应用补丁等，由总部管理员统一发布、管理、维护。总部管理员也可为分支机构的本地管理员分配桌面云相关操作权限，进行分权分域管理；虚拟机资源本地获取：分支机构与总部间仅交换管理数据，用户的业务默认由本地分支机构提供，无需远程连接到总部，降低了网络延时对业务的影响。