2024发电企业私云平台技术方案

企业私云平台技术方案2024TOC\o"1-6"\h\u40771弹性云服务器 ），每张网卡可以在不同的子网内，私网IP可以通过DHCP分配或指定IP地址；公网IP可以对外连接企业内大网或互联网，可以根据需要申请绑定“EIP”为ECS实例申请公网IP。4、提供公共镜像能力和私有镜像服务，免安装快速部署操作系统与软件。公共镜像：公共镜像由系统管理员制作并注册到系统中，一般提供常见的标准操作系统镜像，所有用户可见。包含操作系统以及预装的公共应用。私有镜像：私有镜像服务用于满足用户个性化需求。选择私有镜像创建云主机，可以节省重复配置云主机的时间。私有镜像仅用户自己可见。包含操作系统、预装的公共应用以及用户的私有应用。用户可基于ECS实例或者已有的镜像文件创建的私有镜像。提供VNC控制台、远程终端和API等多种管理方式，满足用户多种登录需求，简化运维人员的工作难度，提升运维效率。用户可以完全控制自己创建的ECS实例。通过VNC控制台连接终端，解决系统问题，进行各项操作；也可以通过ECS服务控制台、API、命令行等类似工具对服务器进行启动、重启、关机等操作。5、安全。支持用户申请时指定实例登录方式，ECS实例支持多种登录方式（密码、密钥对），密码防暴力破解，满足用户的登录安全需求。对于Windows的ECS实例，用户只能使用密码登陆。支持云硬盘备份，在磁盘故障或数据错误时可快速恢复，使数据更加安全可靠。实例反亲和性：支持在ECS控制台上创建一个或多个反亲和性组。在一个反亲和性组中的ECS实例将分配到不同的物理主机上来保证高可用。用户可以把同一应用模块的ECS实例加入反亲和性组，增强应用的可靠性。2弹性伸缩服务弹性伸缩（AutoScaling）服务，是根据用户的业务需求和策略，自动调整其弹性计算资源的管理服务。用户根据自己的业务需求，设置相应的策略，系统则据此自动调整其弹性计算资源，在满足业务需求高峰增长时，自动增加弹性云主机（ECS）实例，并在业务需求下降时，自动减少ECS实例以节约成本。弹性伸缩根据用户的业务需求和策略，自动调整弹性云主机的数量。如在业务量增长超过一定阈值时，系统可自动扩展（ScaleOut）弹性云主机实例数量；然后在业务量下降到一定的阈值时，系统自动收缩（ScaleIn）弹性云主机实例数量。同时，可以指定需要运行的实例的最小数目（MinimumNumber）和最大数目（MaximumNumber），根据规则集自动添加或删除VM。设置最小数目，可确保应用程序在没有负载的情况下也会运行。设置最大数目是为了限制每小时可能会引发的总成本。可以使用创建的规则在这两种极限之间自动缩放。当满足规则条件时，将触发一个或多个自动缩放操作。可以自动添加和删除云主机，或执行其他操作。弹性伸缩的工作流程如下：在用户完成启动配置、伸缩组、伸缩策略创建并启用后，系统会自动化执行以下流程（以增加ECS实例为例）：1、系统自动通过接口触发伸缩活动，并在该接口中指定需要执行的伸缩规则的资源唯一标识符。监控策略会实时监控伸缩组内ECS实例的性能（参考图中步骤1），并根据用户配置的告警规则（如伸缩组内所有ECS实例的CPU使用率平均值大于80%），触发执行伸缩动作。。定时策略会根据用户配置的时间来触发执行伸缩规则请求。周期策略会根据用户配置的周期定期来触发执行伸缩规则请求。健康检查任务会按照用户设定的间隔定期检查伸缩组内ECS实例的健康情况，如发现有不健康的ECS实例（如，关机状态）会按照用户设定的伸缩组默认移除方式移除不健康实例。2、根据步骤2传入的伸缩规则获取伸缩策略、伸缩组、启动配置的相关信息，并创建伸缩活动。3、执行伸缩活动。通过伸缩规则查询伸缩策略以及相应的伸缩组信息，计算出需要增加的ECS实例数量，并获得需要配置的SLB信息。（SLB为可选项）通过伸缩组查询到相应的伸缩配置信息，获得需要创建的ECS实例的配置信息（CPU、内存、带宽等）。根据需要增加的ECS实例数量、ECS实例配置信息、需要配置的SLB实例创建伸缩活动。4、在伸缩活动中，自动创建ECS实例并配置SLB（SLB为可选项）。按照实例配置信息创建指定数量的ECS实例。将创建好的ECS实例添加到指定的SLB实例当中。5、伸缩活动完成后，启动伸缩组的沉默功能。待沉默时间完成后，该伸缩组才能接收新的执行伸缩规则请求。伸缩效果示例伸缩组创建后，弹性伸缩组是缺省停用的，用户需要创建使用策略才能实际使用弹性伸缩功能。以下以监控项为伸缩组内ECS实例的内存使用率平均值，触发弹性扩张的阈值为70%，触发弹性收缩的阈值为20%，扩容/缩容动作为增加/减少1台云主机为例进行说明。当用户的业务需求上升时，弹性伸缩自动完成底层资源升级，避免访问延时和资源超负荷运行。例如，当后台监控检测到伸缩组内的ECS实例内存使用率平均值超过70%时，弹性伸缩根据用户配置的伸缩规则弹性扩张ECS资源，自动创建1台ECS实例加入伸缩组。当用户业务需求下降时，弹性伸缩自动完成底层资源释放，避免资源浪费。例如，后台监控检测到伸缩组内的ECS实例内存使用率平均值低于20%时，弹性伸缩根据用户配置的伸缩规则弹性收缩ECS资源，自动移除1台ECS实例。弹性伸缩提供健康检查功能，自动监控伸缩组内的ECS实例的健康状态，避免伸缩组内健康ECS实例低于用户设置的最小值。当检测到某台ECS实例处于不健康状态（如关机状态）时，伸缩组将自动移除不健康ECS实例并创建新的ECS实例。3资源编排服务服务构建器提供图形化资源模板编排以及通过导入RTS模板编排、一键式应用部署、弹性伸缩的应用自动化部署服务。管理员和租户通过可视化编排界面任意拖拽图元或通过导入的RTS模板，快速完成计算，存储，网络，应用等资源的组合编排和自动化部署，并作为一个整体为用户服务，支撑业务快速上线。并且可以自定义自动伸缩策略以达到自动扩容和减容的弹性云服务器，以实现负载均衡，资源充分利用。服务构建器的主要功能如下：服务模板是将计算、存储、网络、伸缩组、脚本等多种资源，按照特定关系的有机结合，基于服务模板可以快速构建服务并上线到服务目录。用户可以新建模板，也可以导入已有的模板，并支持Heat模板的导入。为了方便用户使用，缩短用户的学习过程，系统预置了大量常用的模板，包括：典型Web三层架构网站模板、安装MySQL服务模板、安装MongoDB集群模板、安装Kafka集群模板、安装Nginx服务模板、安装Apache服务模板、安装Tomcat服务模板等；服务构建器提供图形化模板编排功能。资源管理员可以在可视化界面通过拖拽图元的方式完成服务模板的设计、制作。可编排的元素包括弹性云服务器、网络、弹性负载均衡、脚本等元素，可设置各元素的信息和各元素之间的关联关系，编排完成后保存为模板。基于模板，可以构建服务并上架到服务目录。构建服务过程中，可以分类组合参数，锁定参数取值或开放出来由用户申请时指定。服务上架之后，用户可以一键式申请服务并部署应用实例，系统根据模板定义创建服务实例、设置服务实例之间的关联并根据脚本自动部署应用软件，实现一键式应用部署。申请过程中，用户还可以指定服务实例归属哪个应用，也可以不指定应用，服务构建完成后自动生成一个应用，完成服务资源和应用的关联，便于后续基于应用管理资源。编排服务模板时，可以指定在弹性云服务器上运行的脚本，通过脚本完成应用软件的安装部署。服务构建器支持三种应用软件部署模式：镜像、Cloud-init、脚本，脚本的部署方式最灵活，功能也最强大。系统支持脚本管理功能，用户可以将本地的脚本文件上传到系统，系统会将脚本信息保存到数据库中，后续使用模板发放实例时，可以选择已有的脚本。4对象存储对象存储（Object-basedStorage)是一种新的网络存储架构，基于对象存储技术的设备就是对象存储设备（Object-basedStorageDevice）简称OSD。1999年成立的全球网络存储工业协会（SNIA）的对象存储设备工作组发布了ANSI的X3T10标准。总体上来讲，对象存储综合了NAS和SAN的优点，同时具有SAN的高速直接访问和NAS的分布式数据共享等优势，提供了具有高性能、高可靠性、跨平台以及安全的数据共享的存储体系结构。SAN存储架构，采用SCSI快I/O命令集，通过磁盘或FC（iberChannel）级的数据访问提供高性能的随机I/O个数据吞吐率，它具有高宽带、低时延的优势，在高性能计算中占有一席之地，如SGI的CXFS文件系统就是基于SAN实现高性能文件存储的，但是由于SAN系统的价格较高，且扩展性较差，已不能满足成千上万个CPU规模的系统。NAS存储架构，它采用NFS或CIFS命令集访问数据，以文件为传输协议，通过TCP/IP实现网络化存储，可扩展行好、价格便宜、用户易管理，如目前在集群计算中应用较多的NFS文件系统，但由于NAS的西医开销高、带宽低、延迟大，不利于在高性能集群中使用。对象存储架构，核心是将数据通路（数据读或写）和控制通路（元数据）分离，并且基于对象存储设备构建存储系统，每个对象存储设备具有一定的只能，能够自动管理其上的数据分布。对象存储结构由对象、对象存储设备、元数据服务器、对象存储系统的客户端四部分组成。5块存储块存储资源池由资源池管理系统和基础设施组成。在资源池管理系统中每个Tier可以由多个来自不同厂家不同存储设备的存储池构成，块存储Tier指定了可以创建哪种类型的卷，管理员可以创建、删除、修改块存储服务等级。资源池管理系统能够实现逻辑层面的块存储资源虚拟化。块存储资源虚拟化是通过将不同厂商、不同型号的存储设备接入到系统中，对存储设备上的存储池按照一定规则（性能/保护能力等）进行分组，组成不同的块存储资源池。进行资源分配时，只需要在这些块存储资源池中申请块存储服务，不用再关注不同存储设备的操作差异。在上图中，可用分区（AvailabilityZone，简称AZ）定义了一个可用域，在这个域里面包含了主机，存储设备等对象，AZ本身可以由存储管理员设定，AZ内包含的对象也由存储管理员定义，但是所有对象需遵循一个原则，即域内的所有存储设备与所有物理主机都是物理可达的，使用的物理网络就是域内定义的光纤网络（Fabric）。因此，AZ域实际上定义了一个全连通域，域内的主机与存储是可任意两两互联的，不会出现由于物理连接的限制导致分配的存储空间无法访问的问题。实际配置过程中，存储管理员可以合理的规划AZ的范围。由于物理连通性的要求，实际分配过程中AZ的范围应该是以FC网络为基准的。当申请存储卷创建服务的时候，系统会在指定的AZ范围内调度存储空间的分配，使存储只分配给同一AZ内的主机使用。6负载均衡ELB（ElasticLoadBalance），即弹性负载均衡，是将访问流量根据转发策略分发到后端多台弹性云服务器的流量分发控制服务。弹性负载均衡可以通过流量分发扩展应用系统对外的服务能力，实现更高水平的应用程序容错性能。弹性负载均衡可以消除单点故障，提高整个系统的可用性。场景1南北向ELB用户通过internet访问ELB服务。公网负载均衡通过创建时分配或选择的弹性IP对外提供服务。场景2东西向ELB内网租户在云网络内部访问ELB服务。私网负载均衡通过创建时分配或指定的私网IP地址对同一VPC下其他服务器提供服务。ELB服务具有以下功能：支持多监听器能力，提供不同业务申请不同的监听器提供服务访问；支持TCP、UDP、HTTP、HTTPS的负载均衡。支持HTTPSSSL证书卸载。支持证书管理。支持RR、源IP、最小连接的负载均衡算法。支持源IP、HTTP_Cookie、APP_Cookie的会话保持。支持TCP、HTTP的健康检查。支持访问白名单控制。支持按域名、URL转发。支持高级转发策略。高级转发策略开启后，ELB实例会根据用户配置的高级转发策略将不同的请求按照不同的方式处理支持的转发规则有：域名、URL、多URL或者多域名的组合。支持的动作类型有：转发至后端服务器组、重定向至监听器、重定向至URL。支持IPv4和IPv6。支持实例限速：新建连接数，并发连接数，带宽支持国密算法和证书：支持《GM/T0024-2014:SSLVPN技术规范》定义的ECDHE-SM4-SM3、ECC-SM4-SM3算法套件。支持国密证书（签名证书、加密证书）支持混合负载均衡。混合负载均衡的后端服务器组不仅支持添加云上VPC内的服务器实例，还支持以TargetIP地址形式添加。可以是本VPCIP、其他VPCIP、其他RegionIP、云下数据中心的服务器IP。帮助用户根据业务诉求灵活配置，将流量请求转发到云上、云间或云下的服务器上。7虚拟网络服务VPC即虚拟私有云，是通过逻辑方式进行网络隔离，提供安全、隔离的网络环境，提供与传统网络无差别的虚拟网络。场景1多个子网的VPC首先按照网络规划创建VPC和subnet，并在虚拟私有云中创建云主机使用；VPC间隔离。场景2VPC互通首先规划创建两个VPC，互通VPC的子网地址不能重叠。场景3VPC通过SNAT访问公网多个子网的虚拟机通过SNAT共享EIP访问Internet网络。如下图，VPC1内subnet1、subnet2子网内的所有VM都共享EIP1访问外网。网络服务整体架构VPC网络服务分为VPC云服务层、网络控制层、基础设施层。1、云服务层云服务层提供统一的云服务申请和自助操作服务控制台。VPC服务提供VPC服务实例申请和自助操作维护控制台。VPC服务分为VPCUI和VPCService两部分，VPCUI提供面向用户的控制台VPCService提供服务管理功能。2、网络控制&转发层管理与控制能力由Openstack、PecadoSDN控制器、计算节点agent来提供；VPC网络数据转发承载在OVS、VPCGW之上。3、基础设施层服务器、存储、网络等物理基础设施，构成数据中心资源池的基础架构。服务能力VPC服务通过web管理控制台，让用户自主的完成服务的开通与关闭，让用户灵活使用VPC服务，达到即开即用，用完归还的目标。VPC服务具有以下功能：1、支持子网管理可以创建多个子网，指定子网申请虚拟IP，以及修改私有IP地址。支持IPv4，IPv6双栈场景。2、项目级子网项目级子网是通过子网提供与其他网络隔离的、可以独享的网络资源，仅加入到该子网的虚拟机才能访问该网络上的资源。项目级子网仅有二层能力，无外部网络出口。3、共享VPC通常同一个项目中计算ECS、网络VPC、存储EVS等由VDC业务员发放。为了实现网络资源的统一管理，在一个项目中由网络管理员统一发放VPC网络资源，在其它项目使用这个VPC资源。4、路由管理配置VPC的默认路由，把指定目的网段的报文发给指定下一跳。支持IPv4，IPv6双栈场景。5、VPCPeering支持租户使用私有业务IP地址在安全隔离的VPC之间实现三层路由互通。支持IPv4，IPv6双栈场景。6、虚拟IP服务虚拟IP（即VIP）是一个未分配给真实弹性云服务器网卡的IP地址，可以同时绑定多个虚拟机网卡。主要用在弹性云服务器的主备切换，达到高可用性HA（HighAvailability）的目的。需要注意的是用户绑定的多个弹性云服务器自身要能提供类似keepalive的动态配置虚拟ip的能力。7、VPC流日志可以记录虚拟私有云中的流量信息，帮助用户检查和优化安全组和网络ACL控制规则、监控网络流量、进行网络攻击分析等。支持VPC、子网、端口三种粒度的流日志设置。8、虚拟网卡限速可以基于虚拟网卡进行出方向流量的带宽上限限速，防止单个虚拟网卡流量对同主机其它虚拟网卡流量造成冲击。9、支持路由表路由表由一系列路由规则组成，用于控制虚拟私有云内子网的出流量走向。VPC中的每个子网都必须关联一个路由表，一个子网一次只能关联一个路由表，但一个路由表可以关联多个子网。路由表分两类：默认路由表和自定义路由表用户创建虚拟私有云时，系统会自动为其生成一个默认路由表，创建子网后，子网会自动关联默认路由表。用户可以在默认路由表中添加、删除和修改路由规则，但不能删除默认路由表。创建VPN、云专线、云连接服务时，默认路由表会自动下发路由，云连接路由不能删除和修改，用户可以将子网关联到自定义路由表或者复制该条路由到自定义路由表中，在自定义路由表中添加、修改和删除路由。路由表管理支持的操作包括（1）创建、删除、查询自定义路由表（2）子网关联路由表、更新关联路由表（3）添加、修改、查询路由。自定义路由表仅支持IPv4路由。路由的下一跳支持：服务器实例、扩展网卡、虚拟IP、VPN网关、云专线网关、NAT网关、云连接、对等连接8云平台运营管理运营服务中心是云管平台的资源、服务管理中心，支持多租户模式，租户自助申请服务、管理资源，支持服务流程合规检查，提升运营效率，包括：多云管理：支持对多个Region的云服务进行统一运营管理，满足大型企业或组织跨地域运营混合云的需求，支持多云管理，包括华为云、AWS、AZure、华为虚拟化、VMware等。政企组织结构管理：匹配政企多级组织管理模型，满足各级组织灵活使用云服务资源的需求，同时支持政企IT项目管理，把项目预算转换成资源配额，管控各业务部门的云资源池使用量，使得各业务部门在预算范围内合理使用云资源。权限管理：提供不同的运营权限，包括预置权限和自定义策略，满足政企不同用户角色的权限控制需求。服务管理：提供开箱即用的服务目录，支持服务按租户、按部门上架、下架，同时支持按需构建服务，支持跨region、跨云的组合服务编排，支持重新编排云服务的申请页面，服务申请客户化，助力政企数字化转型；资源管理：支持全局统一的资源中心，运营管理员、租户可以在一张资源视图内管理所有region的云服务资源，支持对资源进行监控、执行常用操作。应用管理：提供应用管理，政企的业务系统可以定义为应用，支持应用部署，以应用为中心管理云资源，提升运营管理效率；服务流程管理：提供图形化、按需定义的服务流程编排能力，可自定义服务流程（包括并行、串行处理）、流程节点、节点的表单定义，指定各节点的审批人，灵活适配各企业不同的业务审批诉求。运营管理：提供订单管理、配额管理、计量计价、购物车、回收站等运营能力，满足租户自助申请服务的诉求，提升运营效率。运营服务中心在匹配政企组织管理模型的基础上，围绕服务、资源、应用的生命周期，结合统一服务流程进行合规管理。运营服务逻辑架构1、门户层：统一门户：提供政企统一访问门户，门户支持预集成服务、动态构建注册的服务、ISV开发的服务。2、运营能力层：组织管理：匹配政企组织结构，提供企业、部门、项目不同层级的管理，通过部门配额控制各部门可使用的资源池资源数量，同时也可以通过项目预算为部门录入资源配额，管控各部门可以使用的云资源数量。服务管理：支持服务按部门上架、下架，支持预集成服务、动态构建服务、ISV开发的服务，支持多云服务的统一管理。资源管理：提供全局统一的资源管理中心，支持资源常用操作、资源监控，提供一站式的资源中心。服务构建：支持按需构建服务，支持编排各原子服务API、服务申请页面、申请流程，支持跨云服务编排，组合成用户需要的云服务，发布到服务目录，供租户自助申请使用。应用管理：提供以应用为中心的资源管理，支持以应用为粒度管理、监控资源，支持在云主机上部署应用软件、应用模块进程监控，提供一站式的应用管理。运营管理；提供多云统一订单、配额管理、计量统计。多云管理：支持接入多种云资源池，包括华为云、华为虚拟化、VMware、AWS、AZure等云类型的管理。3、统一服务流程：服务流程：提供服务申请、审批的统一流程，支持图形化可灵活定义的流程编排，支持定义流程表单。4、统一服务接入框架：提供统一的服务接入框架，包括控制台、鉴权认证、计量、订单、配额等。9云平台运维管理随着企业数字化转型的加速，企业业务上云的诉求越来越强烈，而云化数据中心相对于传统的数据中心，运维的复杂度成指数级增加，最典型的问题如：运维效率低，运维难度大，系统稳定性差等。从业界运维的发展历程看，一般是经过大概几个阶段：第一阶段：传统的IT运维，以ITIL为最佳实践的流程化的运维管理，核心在于流程管控第二阶段：以提升效率为核心的自动化运维，以DevOps为最佳实践，实现软件发布、升级、变更、监控、故障处理全流程自动化的运维管理；第三阶段：无人值守的智能化运维，以AIOps为核心，大量引入AI/ML技术，实现机器的故障预测和自主决策。实现监控、故障、执行自闭环的运维管理，最终实现无人值守的运维；云管平台提供统一的运维能力，解决云数据中心运维的几个核心问题：效率、成本和质量。主要面向专业的运维管理员，如一线驻场工程、云平台运维工程师，运维安全工程师、网络运维工程师以及设备运维工程师等。提供标准化、自动化、智能化的运维能力，方便运维人员及时掌握系统运行状况，并提供故障诊断以及闭环的能力。实现了多云、多数据中心、多资源池、多种云服务的统一管理，提供包含资源管理、集中监控、可视化、运维分析、安装部署等功能模块，支撑日常运维、系统变更、运营分析等运维业务场景。运维对象覆盖基础设施、云服务和应用整个云环境的一体化的运维能力。云运维具备以下特点：架构解耦：云运维架构采用微服务架构，具备良好的敏捷交付和可扩展性。能力开放：对外开放北向接口可对接第三方运维平台，第三方可自开发驱动通过南向接口接入集中运维管理平台。分布式架构：每个数据中心部署本地云资源管理系统和物理设备运维系统，负责本地的运维操作、配置和监控数据采集。统一管理：华为云Stack提供了统一的运维门户，和灵活的南向对接能力，基于从南向对接系统中抽取的资源对象的告警、性能、资源等信息，对资源进行监控、统计、分析与预测，从而实现云数据中心资源的统一运维管理。智能分析：利用AI/ML技术，基于客户实际应用场景，构建场景化智能运维能力。10态势感知态势感知（SituationAwareness，SA）是华为云安全管理与态势分析平台。能够检测出8大类的云上安全风险，包括DDoS攻击、暴力破解、Web攻击、后门木马、僵尸主机、异常行为、漏洞攻击、命令与控制等。利用