集团企业信息化规划之技术架构规划报告

集团企业信息化规划之技术架构规划报告2022年

目录1.1 目标与理解 41.2 技术架构设计原则 51.3 信息化技术架构蓝图 61.4 信息系统应用技术架构 61.4.1 SOA和微服务架构 61.4.2 微服务架构实现途径 91.5 私有云平台架构规划 121.5.1 规划总体原则 121.5.2 基础网络管理 131.5.3 服务器和数据库管理 151.5.4 存储管理 151.5.5 终端管理 161.5.6 私有云平台架构 171.6 灾备体系 211.6.1 灾备体系建设现状 221.6.2 灾备规划及策略 231.7 信息安全 241.7.1 国家等保要求 241.7.2 信息安全规划及策略 25

目标与理解技术架构是支持数据架构和应用架构落地的基础，根据股份公司对信息系统技术的架构的整体要求，集团公司在此基础上进行补充说明，以保证技术架构可以支撑将来业务发展的需要。技术架构规划总体目标：在股份公司总体技术架构的框架内，为电气化集团建立一个具备高可用、高安全、高性能、易管理的信息化技术支撑环境，承接并确保上层应用架构规划成果的落地实现，助力集团公司信息化水平的跃升，推进业务应用深度集成，打造坚实可靠的信息化基础支撑环境，同时保障业务操作处理的连续性和时效性。信息化技术架构为集团公司的应用系统架构提供必要、有力的技术支持，为已经在运行以及未来上线的应用系统提供统一、共享的服务，总体架构设计策略如下：立足当前系统建设现状，适应集团公司中长期业务发展趋势的，同时要对已有硬件设施充分利用，并制定切实可行的总体设计方案和实施步骤。考虑技术满足网络安全、数据完整、有效性等数据安全要求。统一规划建设，统筹分配系统资源，建立运行环境安全可靠的系统基础平台。充分考虑软硬件发展趋势，具有一定的新技术吸纳能力和扩展能力，使系统资源能够随业务扩张而逐步增加。技术架构设计原则安全性技术架构必须是能够提供访问控制能力的环境，以确保业务关键信息的完整性与保密性；设计中应尽最大可能减少因基础设施故障而造成正常业务无法正常进行的现象的发生，同时设计中还应该注重信息安全体系的建设，提高信息基础设施的整体安全性。可扩展性可扩展性是指当未来应用系统的业务量增加时，技术架构能够扩展以适应更多用户、交易与更多数据处理的能力。可扩展性应该通过尽可能扩展己有的系统来实现，而不是必须替换己有系统。可扩展性通过硬件、软件与应用等方面提供；灵活性技术架构必须能够满足新的服务需求，而不需要对架构进行完全重新设计或进行超出正常维护时间之外的重大修改。获得灵活性的方法是依靠组件化的设计架构；可靠性技术架构中应采用高可靠的产品和技术，充分考虑系统的应变能力、错能力和纠错能力，确保整个技术系统运行稳定、可靠；可用性系统的可用性指业务应用系统每天能有多少小时，每周有多少天，每年有多少周可以为用户提供服务，以及这些应用在发生故障时可以多快恢复工作的时间。信息化技术架构蓝图从应用系统的技术架构、应用系统的管理架构、数据中心、机房环境管理、灾备和信息安全角度进行集团公司技术架构的设计。下图是集团公司技术架构的整体蓝图。图6.3-1：集团公司技术架构蓝图信息系统应用技术架构SOA和微服务架构（一）SOA架构SOA将应用程序的模块化组件通过定义明确的接口和契约联系起来，接口是采用中立的方式进行定义的，独立于某种语言、硬件和操作系统，通常通过网络通信来完成，但是并不局限于某种网络协议，可以是底层的TCP/IP，可以是应用层的HTTP，也可以是消息队列协议，甚至可以是约定的某种数据库存储形式。这使得各种各样的系统中的模块化组件可以一种统一和通用的方式进行交互。图6.4-1SOA架构逻辑（1）服务层是SOA的基础，可以直接被不同的应用所调用，从而有效控制系统的人为依赖性。（2）在设计过程中，各种组件的开发、部署形式都可以引用SOA的思想，以原子服务、组合服务的方式构建业务模型，在业务流程编排、符合应用阶段，原子服务（模型）被不同的流程和模块所调用，服务之间通过简单、精确定义接口进行通讯，而不涉及底层编程接口和通讯模型。（二）微服务架构微服务架构倡导将软件应用设计成多个可独立开发、可配置、可运行和可维护的子服务，子服务之间通过良好的接口定义通信机制，HTTP协议有跨语言、跨异构系统的优点，当然，也可以通过底层的二进制协议、消息队列协议等进行交互。这些服务不需要中心化的统一管理，每个服务的功能可自治，并且可以由不同的语言、系统和平台实现。图6.4-2微服务架构总之，SOA架构模式是为了保证现有信息系统的正常使用，在信息系统正常使用的情况下，继续沿用原来的架构进行升级，并且采用SOA数据总线的模式进行数据接口的开发和维护。微服务架构是一种继承性、可维护性更高的架构方式，对于全新开发的信息系统，建议采用微服务架构的方式，以保证系统具有更高的灵活性和适应性。考虑到股份公司技术架构要求，因此建议集团公司采用“SOA和微服务”相结合的技术架构方式，如下图所示：图6.4-3分布式技术架构微服务架构实现途径（一）微服务架构的使用场景对于工程行业，微服务架构由于其部署的灵活性，可以应用在很多的业务场景，大大简化业务人员的工作量。场景1：工程施工现场信息采集和沟通：工程施工现场的图片、视频可以通过移动终端的微应用APP，直接上传到总部；施工现场的纸质文件资料也可以随时通过移动终端转化成图片文件上传到总部；场景2：集团实时经营数据：可以通过微服务APP移动终端直接传到总部，各种文件的审批、请示和汇报也可以通过微服务APP移动终端实现上传；同时，也可以通过移动终端实现对工程现场施工人员的定位，以及安全管理等；场景3：…..（二）微服务架构的实现途径企业基于微服务架构搭建IT系统，可以主要分为系统设计和微服务平台搭建两个部分，其中微服务平台搭建工作相对标准化，而系统设计部分则需要根据企业自身业务流程进行个性化实施。图6.4-4微服务架构实现途径1）原有系统有效拆分微服务架构具备“独立”特性，这种独立性是其性能优势的基础。在进行系统设计时，首先需要对公司的业务流程和后续规划进行统一，随后据此进行领域驱动设计。此外，在应用架构变革的同时，团队架构亦需同步调整。传统架构下，企业IT团队基本以职能划分，开发项目时需要不同团队之间的协作；而在微服务架构下，则需要围绕每一个独立的服务能力组建团队，从开发到运维形成完整闭环，从而保证开发效率。2）组件集群高效管理（容器云平台）微服务架构下，企业应用系统微服务组件数量可多达数百个，如何将这些微服务进行统一管理编排，以满足各种业务需求，是微服务平台架构的核心能力。容器技术的发展使得对微服务的管理成为可能。近年来微服务的兴起，很大程度上得益于容器技术的发展。事实上，容器并非微服务部署的唯一选择，但容器由于其自身特质，非常适合作为微服务的载体，进行迁移、编排和后续治理、运维。图6.4-5容器技术架构逻辑多云平台为微服务提供了资源能力（计算、存储和网络等），承载企业微服务的容器作为最小工作单元被管理平台调度和编排，实现有效的服务治理，最后通过APIGateway对外提供微服务的业务接口。私有云平台架构规划私有云平台是用于支撑业务应用运行的基础环境和载体，包括机房、服务器、网络、存储等物理设备和配套的管理平台。技术稳定、可靠运行的能力，直接影响业务应用的高效顺畅运行。一般性的信息化技术的存放环境是在传统机房或者数据中心。根据私有云平台需要提供的业务支撑能力，需要按照一定的等级要求规划私有云平台架构。按照私有云平台技术标准要求，推荐集团公司的私有云平台级别为T3（可并行维护级），要求可以在不关闭计算机硬件设备的情况下进行计划性维护，允许支撑系统设备任何计划性的动作而不会导致机房设备的任何服务中断。规划总体原则安全可靠性原则基础设施的规划必须遵循可靠性的原则，规划中应尽最大可能减少因基础设施故障而造成正常业务无法正常进行的现象的发生。（如：因服务器或网络故障造成用户无法访问系统，进而无法进行正常业务的现象等）。同时，设计中还应注重信息安全体系的建设，提高信息基础设施的整体安全性，进一步保证数据安全。先进成熟性原则基础设施的规划应具有产品和技术先进性，先进的产品和技术是未来系统性能的保证。在信息技术飞速发展的今天，选择的产品和技术应具有一定的前瞻性，能够适应未来一段时间（3~5年）业务需求及技术发展变化的需要。同时，尽可能兼顾产品和技术的成熟性，增强IT基础设施的整体稳定性。开放与可扩展性原则基础设施的规划应选择开放式的技术，满足系统间灵活的信息交互的需要。同时，充分考虑可扩展性，满足不断发展变化的业务和技术需求。统一标准化原则基础设施的规划应该坚持标准化的原则，采用业界公认的行业或技术标准，降低管理复杂度。同时，坚持统一化的原则，整个系统内的所有同类的IT基础设施应尽可能采用统一的标准。经济性原则基础设施的规划必须实用、经济，应该尽量利用现有资源，坚持在先进、高性能前提下合理投资，以期在成本最佳的前提下获得最大的经济效益和社会效益。基础网络管理IPSecVPN网络架构必要性保证总部和分公司数据传输安全。总部和分公司之间传输的数据安全性要求较高，不适合在Internet上传输，通过VPN就可以解决数据传输安全的问题。解决专线数据传输成本较高的问题。VPN是在inernet上临时建立的安全专用虚拟网络，用户节省了租用专线的费用，同时除了购买VPN设备和VPN软件外，企业所支付的仅仅是向企业所在地的ISP支付一定的上网费用，同时也可以节省长途电话费用。VPN网络可以支持不用类型网络用户的接入方式，包括移动用户接入。分子公司、移动用户、商业伙伴都可以方便的接入公司的内网，方便业务使用。IPSecVPN的网络基础架构为了让网络基础设施更好适应集团公司的发展与数据传输需求，集团和分子公司之间通过VPN技术进行组网互联，利用组织已有的互联网出口，虚拟出一条“专线”，将组织的分支机构和总部连接起来，组成一个大的局域网。IPSecVPN最大特点是安全性高，主要体现在两方面：一是IPSecVPN隧道是要经过一整套安全参数（SA）协商，并得到隧道两端共同认可后才能建立的，即VPN隧道本身也是受保护的；二是在IPSecVPN中传输的数据不仅要经过加密处理，还支持数据完整性验证和数据源身份认证功能（支持像预共享密钥、数字证书和数字信封等多种认证方式），进一步确保隧道端点所接收的数据是没有被非法篡改，而且来源是合法的。IPSecVPN用户可以任意方式（如专线接入方式、PPPoE拨号接入方式，甚至传统的Modem、ISDN拨号方式）接入Internet，且不受地理因素的限制。所以，IPSecVPN不仅适用于移动办公员工、商业伙伴接入，也适用于企业分支机构之间站点到站点（Site-to-Site）的互连互通。服务器和数据库管理服务器和数据库管理目标自动收集服务器和数据库的性能参数，分析问题原因并在其影响其它资源之前做自我修复。服务器和数据库管理范围数据库管理：通过单个具有一致架构的平台，管理不同平台上的多个数据库，控制捕获的关键指标以确保其数据库正常运行，自动处理日常任务，提高生产率。虚拟服务器管理：集中监视服务器虚拟和整合资源的性能和可用性，以实现高效和经济有效的IT操作。预配置的、可自定义的报告和警告。管理自动化：利用应用程序级自动化降低操作的复杂性，减少人工干预和依赖性的需求，提高IT基础设施的效率、可靠性和可服务性。系统性能：自动收集系统的CPU、内存吞吐率、带宽利用率等信息，自定义的警告、报告和异常分析，跟踪异常事件，简化管理。访问管理：保护应用程序和数据库，跟踪登录进程，并应用防止未授权访问的策略，提供有关用户活动的安全相关信息，跟踪敏感访问尝试。存储管理存储管理目标高效、自动、可扩展、跨平台存储系统管理，确保存储信息的可访问性、可用性和存储性能。存储管理范围存储虚拟化：通过存储虚拟化技术，建立数据的跨平台、跨系统的高速共享系统，为分散的系统提供统一的数据平台。分级存储管理：根据预先设定的策略，存储管理系统能够自动和透明将文件从在线存储移动到近线存储，从近线存储备份到磁盘系统。存储资源管理：存储资源管理能够列出各服务器的存储使用情况，可以确定存储优先级，并可以对数据的移动、归档、删除做事先评估。SAN管理：集中对SAN资源进行管理，响应存储请求和分配读写权限等。利用SAN的高速通道，实现数据高速共享，符合数据恢复、管理等要求。数据保护：能够对网络中所有的客户机（无论是笔记本、PC还是服务器）进行数据归档、备份、加密和恢复等操作。终端管理目标实现软硬件资产自动收集和追踪、系统补丁和软件自动分发，远程用户支持，确保终端的最佳配置。范围软件分发管理：支持PC、笔记本、服务器以及PDA软件的分发和补丁的部署，确保软件部署和管理的一致性和可靠性。操作系统安装：能够快速的在“裸机”上安装、配置一个操作系统，并能自动安装预定义的应用软件集合，降低管理员工作量。远程用户支持：管理员可以通过安全的连接方式，远程查看、控制终端，并可以定制被管理的终端的数量。资产管理：自动发现，硬件和软件资产清单、配置管理、软件使用监控、软件许可管理、资产跟踪以及提供各类报告。私有云平台架构集团公司云管理平台建设规划建设私有云是集团化企业IT发展的趋势，多数企业从旧系统架构向云服务转变过程中代价较高过程较长，集团公司应利用信息化重新规划建设的契机，以云为标准，建立云计算和云服务的领先优势。图6.5-1基于云的网络拓扑结构1）云计算模式选择：由于集团目前应用系统部署在租赁的私有云架构上面，建议选择基于IaaS、PaaS的云服务交付模型作为架构规划的模式：图6.5-2云服务交付模型2）云架构概念模型：集团公司云服务管理中心对覆盖容灾中心和各下属子公司前置环境云服务进行全面管理。3）集团公司云中心架构：建立基于虚拟平台的云服务环境，同时部署服务门户、服务总线统一管理云服务资源。计算中心作为云服务的核心资源中心、运营监控中心和服务管理中心；计算中心云环境主要支持行业共享系统的运行，兼顾为行业用户提供基础设施服务；资源总线应支持对云环境和传统环境的综合管理。图6.5-3云服务中心架构4）集团私有云搭建步骤：建设企业的私有云，就要求企业把自己的数据共享中心构建成一个高可扩展性、超大规模、高可用性、成本低廉的数据共享中心。通话虚拟化、网格计算、自动化管理等云计算技术，逐步把企业内部的数据共享中心建设成面向企业内部系统的具有公共云平台特性的云计算平台。第一步：根据业务目标设置云计算目标同业务人员、开发人员沟通对云计算业务目标的讨论，制定清晰的业务目标，比如需要支持哪些业务、业务流转效率提升目标、业务提供方式如何进行改变等；第二步：定位私有云环境的工作负载评估当前的工作负载，以确定哪些适用于私有云的此快照将用于设置针对私有云的总工作负载百分比的长期目标。在短期内，它还将用于识别初始云部署的工作负载。第三步：采用企业基础设施的投资组合，计算资源虚拟化绝大多数私有云都基于虚拟机(VM)的部署，利用虚拟软件对服务器虚拟化，作为私有云的基础；私有云并不简单等同于虚拟化加上易用的虚拟机部署平台。它还在包含网络在内的各层面实现了灵活性，需要利用软件定义网络(SDN)对网络进行虚拟化；存储是另一项需要高度可扩展性的层级。对存储虚拟化，需要在软件中监控各项操作，便能顺利使用额外的存储。第四步：选择合适的私有云云端管理软件单纯汇总集成上述组件并不能构成私有云，你还需要有云端的管理产品。今天主流的软件供应商都有其云端方案，但是并不是所有产品都可以让你运行在内部的私有云上。例如，MicrosoftAzure仅可用作公有云。而OpenStack、OracleCloud和VMwareIntegratedOpenStack等则允许你在个人站点上运行私有云上的产品。第五步：实施管理在内部部署私有云解决方案，并对部署后的方案进行验证。同时，需要培养内部的私有云IT管理人员，需要具备有关存储和网络，以及云平台本身的专业知识。5）集团公司采用私有云计算平台实际建设意义整合资源提高利用率：云计算通过虚拟化技术将分散的资源聚集起来，集中统一加以利用。有效解决传统基础资源利用低的缺点。降低对数据中心机房的电力、制冷、空间消耗，进一步实现绿色节能。提高IT资源部署效率：云计算的引入能够显著缩短硬件资源、平台环境、应用系统的部署周期，实现以“随需即取”的方式获取系统部署所需的基础资源和运维服务资源。促进IT服务标准化：通过定制基础资源、平台环境的标准模板，结合运维管理服务模板，依靠自动化技术及云管理平台来交付规范的、有质量的服务。促进公司技术、运维的标准化运作。提供更便捷的IT资源和服务：通过云管理平台可由集团公司通过出租服务的方式为下属单位信息化建设提供便利。甚至可以提供IT基础和运维的“全托管服务”，帮助新成立单位快速建设信息化应用。促进IT建设的发展变革：使传统意义上的数据中心从原来的成本中心转变成服务中心。灾备体系根据《中华人民共和国网络安全法》中规定需要对重要系统和数据库进行容灾备份。另外国家《信息系统安全等级保护基本要求》（GB/T22239-2008）三级要求中有关灾备的要求：应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；应根据数据备份的需要对某些介质实行异地存储，存储地的环境要求和管理方法应与本地相同；灾备体系建设现状集团公司尚未系统开展业务中断影响分析；灾备技术体系有待完善；灾备相关人员组织及岗位职责有待完善；风险上报、预警、危机响应等相关流程有待完善；灾备日常管理规范及机制有待完善。总之，集团公司灾备体系建设尚处于起步阶段——即T4.5级别，但是不完善。级别名称定义Tier0无异地备份在数据中心本地存放备份介质，成本低、管理方便，但存在数据丢失问题，恢复时间很长，一旦数据库发生灾难后介质安全无法得到保障，会造成所有数据均无法恢复Tier1PTAM（PickupTruckAccessMethod）冷备份将备份数据通过交通工具运到异地容灾中心进行周期性备份Tier2PTAM结合热备份中心建立备份中心，数据中心的数据备份每天通过交通工具运输到异地备份中心存放Tier3网络备份包含了第二级的所有功能，同时一些数据子集通过通讯线路传送到备份中心存放，可避免交通运输对数据备份所带来的危险和不便，同时对备份的对象、时间、数据量的大小也具有一定的灵活性Tier4批量在线数据库镜像与日志在第三级的基础上，增加数据库的镜像与日志备份Tier5两中心，两阶段确认在有主机运行的远程备份中心，通过远程磁带库备份和远程电子日志备份，一旦数据中心出现灾难，可以通过一套专用的系统进行数据恢复，利用备份中心的主机替代业务处理，大大减少了灾难恢复的时间。但是这个级别的备份技术复杂，成本较高，同时数据仍有部分丢失Tier6远程磁盘镜像与自动切换包含了第五级的功能，数据中心和灾难备份中心通过高速通讯链路进行磁盘镜像，一旦灾难发生，数据丢失量极少或没有。此方案要求灾难备份中心配备数据中心部分或全部的专用设备，较第五级而言，通讯成本高，灾难恢复时间进一步缩短灾备规划及策略图6.6-1电气化局集团异地灾备方案针对不同的单点故障或灾难，建议集团公司采用不同的应对措施：服务器电源采用UPS和冗余电源多路供电的方式；对于单机硬件故障，需通过采用冗余硬件设备来防止单点错误，包括CPU、网络设备、磁盘等；对于整机、系统软件及应用软件的保护可以通过构筑群集系统来保证；对人为因素所造成的故障要通过加强对人员的培训和标准化操作与管理来减少和避免；对于灾难性事故，根据不同业务的关键程度设计不同的灾难恢复机制；对于连续性要求高的关键核心业务系统，未来可以考虑建立灾备中心，将数据实时复制到备份中心；对于连续性要求较低的系统，可以考虑磁带备份的方式，将数据异地备份，并可以通过异地恢复的手段，在一定时间内恢复数据信息安全国家等保要求近年来，随着“震网”、“永恒之蓝”、“勒索”病毒为代表的新型间谍程序对很多企事业单位实施了攻击活动，导致了大量的系统陷入瘫痪。近年来，国家也高度重视网络安全，2015国家成立了中央网络安全和信息化领导小组，习近平总书记任领导小组组长，2018年国家正式颁布了《网络安全法》的同时，针对日益严峻的信息安全，国家推出了相应的信息安全标准，指导企业进行信息安全建设：国家标准：信息安全等级保护规定GB/T22239-2008。在该体系中包含定级、建设、测评及管理等内容，详细的指导了企业在信息安全领域的相关活动。国家对信息安全有明确的要求：对于影响国家安全的企业，其信息安全必须达到国家信息安全等保三级：由于集团公司属于大型央企，建议采用国家信息安全等级报告（简称国家等保）作为信息安全建设的标准。级别名称定义第一级用户自主保护级本级的计算机信息系统可信计算基通过隔离用户与数据，使用户具备自主安全保护的能力。它具有多种形式的控制能力，对用户实施访问控制，即为用户提供可行的手段，保护用户和用户信息，避免其他用户对数据的非法读写与破坏。第二级系统审计保护级与用户自主保护级相比，本级的计算机信息系统可信计算基实施了粒度更细的自主访问控制，它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。第三级安全标记保护级本级的计算机信息系统可信计算基具有系统审计保护级的所有功能。此外，还需提供有关安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述，具有准确地标记输出信息的能力；消除通过测试发现的任何错误。第四级机构化保护级本级的计算机信息系统可信计算基建立于一个明确定义的形式安全策略模型之上，要求将第三级系统中的自主和强制访问控制扩展到所有主体与客体。此外，还要考虑隐蔽通道。本级的计算机信息系统可信计算基必须结构化为关键保护元素和非关键保护元素。计算机信息系统可信计算基的借口也必须明确定义，使其设计与实现能经受更充分的测试和更完整的复审。加强了鉴别机制；支持系统管理员和操作员的职能；提供可信设施管理；增强了配置管理控制。系统具有相当的抗渗透能力第五级访问验证保护级本级的计算机信息系统可信计算基满足访问控制器需求。访问监控器仲裁主体对客体的全部访问。访问监控器本身是抗篡改的；必须足够小，能够分析和测试。为了满足访问监控器需求，计算机信息系统可信计算基在其构造时，排除那些对实施安全策略来说并非必要的代码；在设计和现实时，从系统工程角度将其复杂性降低到最小程度。支持安全管理员职能；扩充审计机制，当发生与安全相关的事件时发