解析NIST定義的云模型
據統計，當前比較經典的云計算定義超過50種。不同的專家、企業都從自己的角度對云計算的概念進行了定義。其中得到比較認可、比較權威的是美國國家標準技術研究所(NIST)的定義。
NIST對云計算的定義：云計算是一個模型，這個模型可以方便地按需訪問一個可配置的計算資源(例如網絡、服務器、存儲設備、應用程序以及服務)的公共集。這些資源可以被迅速提供并發布，同時最小化管理成本或服務提供商的干涉。云模型由五個基本特征、三個服務模型和四個發布模型組成。
那么該如何解析NIST定義的云模型呢？
首先讓我們了解一下云模型的基本特征。
--按需自助服務。視客戶需要，可以從每個服務提供商那里單方面地向客戶提供計算能力，譬如服務器時間和網絡存儲，而這些是自動進行的無需干涉的。
--廣泛的網絡訪問。具有通過規范機制網絡訪問的能力，這種機制可以使用各種各樣的瘦和胖客戶端平臺(例如攜帶電話、筆記本電腦以及PDA)。
--資源共享。提供商提供的計算資源被集中起來通過一個多客戶共享模型來為多個客戶提供服務，并根據客戶的需求，動態地分配或再分配不同的物理和虛擬資源。有一個區域獨立的觀念，就是客戶通常不需要控制而需要知道被提供資源的確切位置，但是可能會在更高一層的抽象(例如國家、州或者數據中心)領域指定資源的位置。資源的例子包括存儲設備、數據加工、內存、網絡帶寬和虛擬機等。
--快速的可伸縮性。具有快速、可伸縮性提供服務的能力。在一些場景中，所提供的服務可以自動、快速地橫向擴展，在某種條件下迅速釋放以及快速橫向收縮。對于客戶來講，這種能力用于使所提供的服務看起來好像是無限的，并且可以在任何時間購買任何數量。
--可度量的服務。云系統通過一種可計量的能力杠桿在某些抽象層上自動地控制并優化資源以達到某種服務類型(例如存儲、處理、帶寬以及活動用戶賬號)。資源的使用可以被監視和控制，通過向供應商和用戶提供這些被使用服務報告以達到透明化。
該云模型提供了三種服務模型
一是軟件即服務(SaaS)。客戶使用的服務商提供的應用程序運行在云基礎設施上。這些應用程序可以通過各種各樣的客戶端設備來訪問，例如基于WEB的電子郵件。客戶不管理或者控制底層的云基礎架構，包括網絡、服務器、操作系統、存儲設備，甚至獨立的應用程序機能，在可能異常的情況下，限制用戶可配置的應用程序設置。
二是平臺即服務(PaaS)。客戶使用云供應商支持的開發語言和工具，開發出應用程序，發布到云基礎架構上。客戶不管理或者控制底層的云基礎架構，包括網絡、服務器、操作系統或者存儲設備，但是能控制發布應用程序和可能的應用程序運行環境配置。
三是架構即服務(IaaS)。向客戶提供處理、存儲、網絡以及其他基礎計算資源，客戶可以在上面運行任意軟件，包括操作系統和應用程序。用戶不管理或者控制底層的云基礎架構，但是可以控制操作系統、存儲、發布應用程序，以及可能限度的控制選擇的網絡組件(例如防火墻)。
該云模型的發布形態有幾種：私有云、社區云、公有云、混合云。
在云計算的具體實踐中，一般是從某幾個方面開始涉入，與具體的應用結合，找到一條通過云計算技術來提升效率的成功之路。
我國在戰略上非常重視云計算的這一波浪潮，在國家多個部門的“十二五”規劃中，都把云計算提到了一個非常重要的位置，并在多個城市、多個企業開始了云計算的試點。在云計算的試點實踐中，如何有規劃、分步驟地開始云計算系統的建設，是一個重要問題。
云計算系統的安全保障
企業云計算系統的建設過程與安全保障
在國內云計算系統的建設實踐中，比較典型的推進方式是：從私有云開始，從IaaS服務開始，逐漸擴展到云計算應用的其他方面。
如左圖所示，某大型集團企業的云計算系統規劃如下：
1.通過資源層的整合，將核心計算域的服務器資源整合成計算資源池，形成云計算數據中心，并通過引入服務器虛擬化技術來提高資源使用效率。
2.通過統一管理平臺，解決云計算數據中心的資源分配與管理，實現動態彈性部署和備份遷移管理。
3.開發云計算系統的用戶管理和用戶自服務界面，為集團內部各部門和各業務系統提供IaaS服務。
在私有云和IaaS服務的基礎上，擴展到針對集團內部的PaaS/SaaS服務，再擴展到對外提供服務。
在整個云計算系統的實施過程中，相應的安全保障措施是對客戶提出的一項巨大挑戰。根據云計算系統的不同建設階段，提出了相應的安全保障措施。
一是在計算資源整合與服務器虛擬化階段，安全保障的關鍵是解決服務器虛擬化所帶來的安全網關部署位置問題。
二是在統一管理平臺階段，安全保障的重點是解決虛擬服務器動態部署所帶來的安全功能伴隨遷移問題。
三是在用戶自服務接口開發階段，安全保障的重點是統一身份認證系統的建設和運維審計問題。
服務器虛擬化之后的安全設備部署
服務器虛擬化對安全網關設備的部署提出了新的要求。
一是針對傳統的安全設備，需要支持多實例(也稱為虛擬安全網關)，每個實例支持獨立的安全引擎和安全管理配置界面，以支持云計算系統中的多個用戶使用。
二是在同一臺物理服務器內部的不同虛擬化服務器之間的通信流量不經過網絡，需要一種新形態的安全設備，部署在虛擬操作系統內部，可以對虛擬服務器之間的訪問進行控制。
京公網安備 11010502049343號