T技术架构-10运维自动化企业IT管理-06企业I

企业IT管理之IT技术架构

-运维自动化

八、企业IT技术架构..................................................2

8.10运维自动化...................................................3

8.10.1常见的代码管理软件....................................3

8.10.1.1SVN...............................................4

8.10.1.2Git...............................................5

8.10.1.3GitHub............................................6

8.10.1.4Gitlab...........................................6

8.10.2运维自动化工具.........................................7

8.10.2.1IP地址管理工具..................................7

8.10.2.2Windows批量装机软件.............................8

8.10.2.3Linux批量装机软件(PXE+Kickstar).................8

8.10.3Ansible................................................10

8.10.4运维监控软件..........................................12

特点.............................................13

8.10.4.2构成.............................................13

8.10.4.3支持的监控对象..................................14

8.10.5日志平台...............................................14

8.10.5.1对比传统的日志管理..............................15

常见产品........................................16

8.10.5.3ELK...............................................16

8.10.6堡垒机.................................................17

8.10.6.1按角色分........................................18

8.10.6.2账户管控........................................18

8.10.6.3工作机制........................................19

常见产品........................................20

八、企业IT技术架构

企业IT技术架构是企业为了满足特定的目标和需求所构建的IT技术体系。IT技术架构

是由一系列相互关联的组件和技术组成，定义了各组件之间的交互关系，包括网络架构、服

务器和存储架构、软件架构等。IT技术架构的建设如同盖房子打地基，IT部门在设计技术架

构时，需要长远考虑架构的灵活性、稳定性、安全性。

IT技术架构的核心是匹配业务需求，它需要考虑到企业发展、业务需求变化和技术的发

展演进，确保IT技术架楂的平滑升级和长期发展。

如果企业IT技术架构设计灵活可靠，那么它就可以快速帮助企业实现业务目标，并在

市场中提供竞争优势，助力企业告诉发展。相反，如果仝业IT技术架构设“不合理、不稳

定、不灵活,企业将会在发展和信息化建设路上遇到坎坷,随之带来的将是业务发展的阻碍、

企业生产力和效率的降低，企业在发展中也将付出重大代价。

一供应企业财务:女*

喜鸣隘敢播量谢

个人■私

数据

业务应用

OABPMEmailSCMQMSPLMMPMERPMESCRM

平台

掾作系统，中间件，数据库，

文件系统、存储系统，Hypervisor

基础设施

CPU,内存.磁盘.网线.

光纤,交换机

■公众号•被摧残的IT人生

企业IT技术架构大体可以总结为硬件和软件两部分组成。硬件包含服务器、存储、网

络等基础架构设备。软件主要包含运行在硬件之上的系统和IT使用环境，主要包含操作系

统、虚拟化技术、数据库、中间件、邮件系统等。

企业IT技术每天都在变化,从过去大型机、小型机时代到今天的X86服务器架构时代，

硬件架构在变化。从过去物理机时代，到虚拟化和容器架构、云计算时代，企业系统平台在

更新。企业愿意将内部业务系统，迁移到云平台，企业IT观念也在与时俱进。IT从传统运

维到自动化运维再到AI运维，IT从业者技能也在不断转变。

IT行业是当今世界发展最为蓬勃的行业之一，也是一个技术创新很快的行业，这些年

“云计算”“大数据”“数字化转型”等火热的话题，让很多企业显得很焦虑。许多企业认

为,企业应该追赶IT潮流.如果不跟随主流技术，信息化建设将会落后。所以导致企业管

理者盲目进行信息化建设和扩张。最后发现业务需求与预期效果不匹配，很多预期的想法无

法落地，导致浪费大量人力和财力。所以，主流的技术，未必是最适合的。适合自己业务的

信息化建设才是最好的。

8.10运维自动化

IT技术架构-PaaS-运维自动化（代码管理软件、运维自动化工具及Ansible）,你招了解

用这些工具代替人工完成一些服务器部署和管理等运维工作。

在了解什么是自动化运维之前，先看下之前传统的运维工作。

以前的IT运维工作，每一块都是独立的分工，网络同事只负责网络故障处理，邮件管

理员负责邮件故障处理、张号创建，系统管理员负责系统的安装、监控等工作。现在我们

假设一个场景，如果用户需申请一台服务器，并且开通网络权限和邮件账号。这时候用户可

能需要先申请服务器，然后找系统管理员安装操作系统，找网络工程师开通网络权限，然后

找邮件管理员配置邮箱。整个过程下来少说需要一天，多的话可能需要一周时间才能将每个

环节完成。

这种做法在企业发展的前期，规模较小的情况下可以适用。但是当企业服务器、网络设

备规模达到数千台时，IT日常管理也逐渐繁杂。如果通过人工方式每天对服务器部署和管

理，势必会浪费大量的时间，而且很可能会造成人为操作上的一些疏忽和遗漏，另外对于用

户来说，每个环节处理都会消耗太多时间，导致工作效率很低。

所以，我们需要尽可能实现IT自动化，将日常工作中的每一个环节都通过流程和自动

化来完成，最终实现用户只需提交对应需求流程，剩余的都通过自动化来实现。

8.10.1常见的代码管理软件

自动化部署服务器软件和配置，首先需要基于代码和配置管理工具，所以先来了解下常

见的代码管理软件。

SVN、Git、Gitlab这几个都是企业常用的代码管理平台，版本控制是指对软件开发过程

中各种程序代码、配置文件及说明文档等文件变更的管理。

GitvsSVN

GitSVN

SVN

SVN是Subversion的简称，目前是Apache项目底下的一个开放源代码的版本控制系

统。SVN是一个开源的版本控制系统，支持Windows下安装和配置，支持和AD账号集成，

SVN大幅提升了开发人员的工作效率。用户可以随时提交代码到自己的分支上，最后对所

有分支进行合并，解决冲突即可。

SVN优点：集中式管理，SVN代码可以在服务端统一控制好访问权限，管理员可以根

据AD账号和群组进行权限访问控制。另外如果公司存在多个站点，需要实现跨地域多个站

点之间SVN服务器同步，SVN也有商业产品解决方案比如VisualSVNo

SVN缺点：因为SVN所有操作都需要通过服务端进行同步，这会导致对服务器性能要

求依赖性比较高。另外因为集中式管理，所以需要在联网的情况下才能连接SVN服务器。

如果无法连接到SVN服务器就无法提交自己的代码，如果用户不在公司内就需要先拨VPN

后才能进行操作，整个过程都比较依赖网络的连接。

Git

Git是开放源码的版本控制软件，与SVN最大的区别就是分布式的管理。分布式相比于

集中式的最大区别在于开发者可以将代码提交到本地，每个开发者可以通过克隆方式，在本

地机器上拷贝一个完整的Git仓库。

Git优点：Git是一款免费的、开源的、分布式的版本控制系统，每一个Git克隆都是

一个完整的文件库，含有全部历史记录和修订追踪能力，不依赖于网络连接或中心服务器。

其最大特色就是“分支"及“合并”操作非常快速,简便。程序员在进行分布式开发时

可以先克隆一个本地代码版本，然后在本地进行操作提交，本地可以完成一个完整的版本控

制，在发布的时候使用push来推送到远程即可。

Git并且较好的解决了冲突问题，当多人开发时很容易就会出现冲突，这时候可以先pull

远程到本地然后在本地合并一下分支解决好冲突，再push到远程即可。另外Git服务器对

网络的依赖性没有SVN服务器高，程序员可以在非公司网络下开发，等开发完成后只需等

联网后再提交、合并即可，

Git缺点：Git权限控制不如SVN方便，另外如果开发者把整个库克隆下来，开发者本

地就可以完全公开所有代码和版本信息，对于数据安全管控不如SVN严格。

GitHub

一个面向开源及私有软件项目的托管平台,Github是一个代码托管平台和开发者社区，

开发者可以在Github上创建自己的开源项目并与其他开发者协作编码。创业公司可以用它

来托管软件项目，开源项目可以免费托管。

QGitHub

■公众号•被推残的IT人生

Github是目前全球最大的代码托管平台，可以帮助程序员之间互相交流和学习。很多

技术问题也可以在Github上可以找到一些解决思路，但是因为Github在互联网上，对于安

全问题公司无法自主掌控，所以对于信息安全要求较高的公司一般会禁止员工访问，以防止

核心资料流出。

Gitlab

企业内部的代码管理平台，一个开源的版本管理系统，可以实现一个自托管的Git项目

仓库，可通过Web界面进行访问公开的或者私人项目。它拥有与Github类似的功能，能够

浏览源代码，管理缺陷和注释。

可以管理团队对仓库的访问，它非常易于浏览提交过的版本并提供一个文件历史库。团

队成员可以利用内置的简单聊天程序进行交流。因为企业有信息安全要求，所以Gitlab成为

了众多企业内部的首选，但因为安全需要,却失去了与外部的技术分享和沟通。

8.10.2运维自动化工具

日常运维工作中为了解决重复杂乱的日常工作，IT需要借助于自动化运维工具进行效

率提升。自动化运维意味着它不仅可以提高产出，还可以将运维人员从复杂的传统运维工作

中释放出来，将其时间和精力应用于创造更有价值的工作和任务上。此外，通过减少琐碎的

问题处理时间，工作效率和服务满意度也会大大提升。

IP地址管理工具

传统运维方式中IP地址分配都是靠网络工程师或者服务器管理员人工完成，当用户需

要申请IP地址时，管理员从IP地址管理台账中找一个空闲的IP分配给用户。这种方式如果

是多人维护，很容易导致IP地址管理混乱、IP地址冲突，影响服务器和网络的正常使用。

为了规范IP地址使用，IT需要有一套基础配置关系库来维护IT资产基础信息。很多公

司会用一套CMDB系统，或者IP地址管理系统来维护公司的基础信息配置库。IP地址管理

软件，现在有开源的也有商业的方案，开源有phpipam软件，如果公司IT管理员开发能力

强，可以使用该平台上和其他系统对接，实现IP和基础信息的自动化管理。比如，可以考

虑将IP地址管理平台和企业OA流程对接，实现资源自动申请以及IP地址的动态分配和更

新，从而替换企业传统的excel管理方式。

子网使用率Tcp10

IP地址分配情况-/26

■««中・30天内«枇口30^帆8用过融G

t已分配C彩网力广SJ

iaiM}4ar72

9、

Wi

第:DN$i®IW«B.cthrnwt

53S4.

IPS：10.205120IOO«IMlIIBIftiQHI3郡酎产：1fcgi，丽I

IRhrZ1/0/13终端综合查询

.WOM2AM'玄・审工照小

Windows批量装机软件

对于规模较大的企业，电脑安装系统已经不再是一件困难的事，只要有一个U盘或光

盘就能实现安装。但如果司时有上百台甚至更多的电脑需要安装系统时，如果还是用U盘

或光盘方法，那显然不太现实。另外通过镜像安装方式，当镜像中的其中某个软件需要更新

或者删除时，IT管理员需要将镜像重新进行构建，如果企业在用的电脑中存在多个电脑型

号，每个镜像都将需要更新，从而加大了IT管理员工作量。

WindowsPC批量安装软件有很多种，其中微软的WDS(WindowsDeploymentServices)

在企业用的较多。管理员可以较好的结合企业当前的Windowsserver环境进行搭建，企业

可以通过WDS+MDT(MicrosoftDeploymentTools)结合企业AD和DHCP服务器，批量进

行PC的安装和镜像更新。

乙©羽器沿部黑

服务器管理器,WDS▼©|1r跣理(M)im(D脾(V)汨此(H)

里Windows郡雷浪务

面仪表板

文件(F)卷作(A)5«(V)M&D(H)

i本地服务款

♦，।力mi6白।日加

■■所启服与器

金Windows舒野斐分!«■1自

国WDSV羽展西H

§3月找公忤状态ga^MWK

VWIN

ii文件和存储服先国WIN已配^^t/UWind...

>二支妥笠像

>上言沥袭管

电运起的设箭

工预备设备

(3：备瘠停械

~二芟汕同序

>蜃所有程序包

>▲DriverGroupI

>aActiveDirectory预fit设第

Linux批量装机软件(PXE+Kickstar)

PXE(Pre-bootExecutionEnvironment)是由Intel公司开发的最新技术，工作于

Client/server的网络模式，支持工作站通过网络从远端服务器下载映像，并由此支持通过网

络启动操作系统。在启动过程中，终端要求服务器分配IP地址，再用TFTP(trivialfiletransfer

protocol)协议下载一个启动软件包到本机内存中执行，从而引导预先安装在服务器中的终

端操作系统。

请求IP地址

・返回IP她址和PXE文件位置

请求pxelinux.O

.…-----------------------------------------------------------

发送pxelinux.O

.1执行pxelinux.0

P

X请求配置文件(pxelinux.cfg/default)

ET

.F

发送配置文件(pxelinux.cfg/default)

T

口读取配置文件P

请求vmlinuz

■.

发送vmlinuz

请求init「d・img

.…---------------------------------------------------------

发送initrd.img

.1启动linux内核

PXE并不是一种安装方式而是一种引导方式，进行PXE安装的必要条件是在要安装的

计算机中必须包含一个PXE支持的网卡，PXE协议可以使计算机通过网络启动。当计算机引

导时，BIOS把PXEClient调入内存中执行，然后由PXEClient将放置在远端的文件通过网

络下载到本地运行。运行PXE协议需要设置DHCP服务器和TFTP服务器。DHCP服务

器会给PXEClient（将要安装系统的主机）分配一个IP地址，通过TFTP协议到TFTP

Server上下载所需的文件，然后实现自动化安装。

Kickstart是一种无人值守的安装方式，它的工作原理是在安装过程中记录典型的需要人

工干预填写的各种参数，并生成一个名为ks.cfg的文件,

Kickstart配置程序

文件(F)帮助(H)

基本配置软件包选择

安装方法

引导装载程序选项

分区信息

网络配置

蛉证

防火墙配置

显示配置

软件包选择

未分类的

■»!安装脚不

桌面

安装后脚本

基本开发环境。

如果在安装过程中,如果出现要填写参数的情况，安装程序首先会去查找Kickstart生成

的文件，如果找到合适的参数，就采用所找到的参数。如果没有找到合适的参数，便需要安

装者手工干预了。所以，如果Kickstart文件涵盖了安装过程中可能出现的所有需要填写的

参数，那么安装者完全可以只告诉安装程序从何处取kscfg文件，然后就去忙自己的事情。

等安装完毕，安装程序会艰据ks.cfg中的设置重启系统，并结束安装，从而减少了人工的交

互过程。

8.10.3Ansible

Ansible是新出现的自动化运维工具，基于主流Python语言开发，实现了批量系统配

置、批量程序部署、批量运行命令等功能。Ansible不需要在远程主机上安装agent,因为它

们是基于SSH来和远程主机通讯的，所以非常轻量。它提供Linux、Windows.UNIX和网络

设备的无代理支持，可以适用于物理、虚拟、云和容器环境。如果需要对Ansible任务和流

程进行编排，可以使用Ansible商业产品Tower。管理员通过Tower可以管理主机清单、创

建登录凭据、创建Project、对流程和任务进行编排，并且可以实现和其他业务系统对接，实

现流程审批和自动化触发任务功能。

Pubhr/pfitatecloud

users

多

个

远

投

主

机

众

号

Ansible目前已经已经被红帽官方收购，是目前自动化运维工具中大家认可度最高的使

用最广的工具之一，上手容易、学习简单。因为是基于模块工作，所以可使用任意语言开发，

模块使用YAML语言定制剧本playbook,主要包含如下核心元素：

Host:指定执行的主机组名称

Remote_user:指定远程主机组执行的用户名

Vars：指定该playbook包含的变量

Tasks:要执行的具体任务集合

Name:Playbook的名称

Yum：执行该任务所执行的具体的模块

Ansible可以帮助管理员批量完成任务，或者完成一些重复的工作，比如安装软件、批

量修改配置文件、批量执行任务等。如果有多个任务，还可以通过编写playbook,将任务串

联起来执行。对于服务器管理规模较大的使用环境，对运维效率是很大的提升。

8.10.4运维监控软件

日常工作中，IT需要对维护的设备和业务系统进行监控和预警，以便当出现问题时能及

时预警。监控系统无疑是重要性最高的机制之一，但它却常常遭到我们的忽视。如果能够建

立起一套坚实的监控系统来针对可能发生的故障加以警示，我们就有机会迅速启动应急方

案和故障排除，这对于任何规模的企业而言都极具巨大的实际价值。

目前常用的监控软件分为商业、开源软件。常用的开源监控软件有Nagios、Zabbix、

Grafana、Open-falconxCacti等等。商业的监控软件有卓豪、Solarwinds、监控易等软件平

台。随着对运维监控产品要求提高，近些年国内又出现了比较火热的智能运维、AI运维、故

障自愈等产品方案。

主流监控系统

新一代监控系统Open-Falcon

Prometheus

下面我们重点了解下Zabbix.Zabbix是一个基于WEB界面的提供分布式系统监控以及

网络监控功能的企业级开源运维平台，也是目前国内用户中使用最广的监控软件。

特点

Zabbix入门容易、上手简单、功能强大并且开源免费，并且易于管理和配置，能生成比

较漂亮的数据图，其自动发现功能大大减轻日常管理的工作量。丰富的数据采集方式和API

接口可以让用户灵活进行数据采集，而分布式系统架构可以支持监控更多的设备，对于企业

规模较大或者分支较多的环境，分布式架构非常适用。

构成

zabbix由2部分构成，zabbixserver与可选组件zabbixagent。zabbixserver可以通过

SNMP,zabbixagent,ping,端口监视等方法提供对远程服务器/网络状态的监视，数据收

集等功能，它可以运行在Linux,Solaris,HP-UX,AIX,Windows等平台上。

数据采集Zabbix基础监控架构图

核心组件主要是Agent和Server,其中Agent主要负责采集数据并通过主动或者被动

的方式采集数据发送到Server/Proxy。除此之外，为了扩展监控项Agent还支持执行自定义

脚本，管理员可以根据自己的实际需求编写脚本，然后添加到监控中。

Server主要负责接收Agent发送的监控信息，并进行汇总存储、触发告警等。Zabbix

Server将收集的监控数据存储到ZabbixDatabase中然后触发告警。ZabbixDatabase支持

常用的关系型数据库，如MySQL、PostgreSQLsOracle等。

工作机制如下：

图像将多个图像排列在一起屏幕

graph展示，形成屏幕screenscreen

每一个item都可以

生成一个趋势图形

可以为一台host监控项—「触发器

主机

host配置多个itemitemJitem的状态由0K转为It"gger

PROBLEM,会产生事件

event,进而引发动作

action

媒介

mediatype

通过媒介mediatype向月户动作action

报警user发送通知，即实现报警功能由如下3部分组成

用户通知内容Qction

user

条件condition

；操作operotion

支持的监控对象

我们选择监控产品一般可以从监控的宽度和深度来分析,Zabbix支持常见的硬件设备、

操作系统、中间件、数据库等基础需求，同时又可以将每一块监控项再深入挖掘和细化。另

外Zabbix是一个分布式的监控系统，支持在每个网络区域内部署一个Proxy负责收集当前

区域的监控对象的监控数据，并把收集到的数据统一提供给ZabbixServer进行后续处理,

比如邮件和短信告警等。

Zabbix可以监控几乎所有类型的网络设备，包括但不限于路由器、交换机、防火墙、负载

均衡器、服务器、存储设备、打印机等

•Windowt

•Linux

•AIX

•ESXI

•MySQLK・基时梁梅

•$QL5erv»f•OA办公系统

•Redis•微留务

•PostgfeSQL•林动App

8.10.5日志平台

为了更好的了解各业务系统的运行状态，企业通常需要搭建统一的日志中心，并将各业

务系统的系统日志、应用程序日志和安全日志传送到日志平台。系统管理员和业务负责人通

过日志，可以详细了解服务器软硬件信息、系统运行状况以及风险，从而及时采取对应的应

对措施。

移动端日志安全

Click日志

攻击预警

CDN日志运营

日志审计

Ingress日志业务走势

DevOps

入侵检测

调用链日志留存分析

监控告警

App访问日志攻击溯源

运营监测

链路追踪

Apptgi吴日志

增长黑客

中间件日志日志查10

审计日志根囚分析

网络日志

系统组件日志

内核日志

对比传统的日志管理

传统的做法是日志被分散储存在不同的设备上，如果你管理上百台服务器，需依次登录

每台机器查阅日志，这样导致操作很繁琐、并且效率很低。

工■劣

服务器管理器,ADDS•@IF«ai«

«1收”

I

ts坐mm,

•«ADCS

VADDS

flDHCP

晶DNS

彳文饵WXE

・若

MM”m个

”麻.MS

而有了日志平台，管理员可以使用集中化的日志管理，将所有服务器、网络设备上的日

志收集汇总。管理员可以主动查询服务器和系统运行情况，也可以通过设置规则，定期往管

理员发送日志或者告警。

监视〉统计〉查询〉追溯〉报表

内关

联

网

分

，小：威

t*«Mrai

析

Muam则的，@(X*m胁

ll|lll|h情

报

CISCO

EXTBUM______

Mcrosofl

DRAGON.====

・ORACLE

A।，MnniK.

)AAAlllllllll

-SmSE-CISCO

Tfnraft^iCirdt

lnform/x

〉备份〉恢复

8.10.5.2常见产品

目前常用的日志平台有商业产品方案,例如日志易、Splunk,也有开源的日志平台方案,

ELK

ELK是由Elasticsearch,Logstash,Kibana三大组件构成的一个基于web页面的日志分

析工具。

日asticSearch一个分布式搜索服务器，提供了一个分布式多用户能力的全文搜索引擎、

自动发现、索引自动分片、索引副本机制、多数据源、自动搜索负责等功能。

Logstash（日志存储）部署在产生日志的应用服务器上，用于收集日志。是一个开源工

具，可以对日志进行收集.过滤，分析，并耨其存储以后使用。

Kibana（日志展示）是一个基于浏览器的日asticSearch的前端展示工具，也是一个开源

和免费的工具，可以为日asticSearch和Logstash提供的日志分析进行友好的Web界面，

并汇总、分析、搜索重要的数据日志。

8.10.6堡垒机

为了规范运维和变更操作流程，IT通常需要对企业核心设备进行运维管控和审计并记

录重要设备变更操作记录。企业传统的做法是每个管理员手工保存各自负责领域的账号和

密码，管理员拥有最大权限。如果管理员操作比较随意，而整个过程缺少监督和审计，将会

导致较高事故风险。

•堡垒机设计理念：通过逻辑上将人与目标设备分离，建立“人-＞主账号（堡垒机用户

账号）-＞授权-＞从账号（目标设备账号）-＞目标设备”的管理模式

运维用户

为了能较好的解决密码托管问题，严格控制对IT安源的访问，并且严格对运维变更流

程进行审计，堡垒机可以确保运维人员在其账号有效权限、期限内合法访问操作资源，降低

操作风险，实现安全监管目的。从而保障运维操作人员的安全合规、以及操作可控。

按角色分

堡垒机按角色通常可以分为普通用户、密码管理员、审计管理员、系统管理员等几个角

色。

普通用户——只能访句指定权限的服务器，不能查看密码、添加设备。

密码管理员——可以查看和管理设备密码，设备管理员可以添加和管控设备，设置用户

权限和分组。

审计管理员——可以对用户的登录和操作进行审计，确保IT管理员的操作流程的合规

性。

账户管控

堡垒机支持统一账户管理策略，能够实现对所有服务器、网络设备、安全设备等账号进

行集中管理，完成对账号整个生命周期的监控。支持的身份认证模式包括动态口令、静态密

码、硬件Key等多种认证方式。

主机a管理员

边界设备管理员7

第三方★

非法用户呛公众其他服务器7人生

工作机制

企业将服务器放在防火墙内部，通过防火墙来隔离月户和服务器之间的访问。用户只能

通过https方式登录堡垒机，通过堡垒机再访问指定服务器，最大程度保障服务器的安全,

堡垒机托管的服务器密码也可以定期修改或者动态更新。

运维区

届⑨

9\________/

、n/

ATXWindowsLinux安全设备；

i