基于XenApp技術(shù)的區(qū)域性教育資源云平臺(tái)安全布署

桑子華++喻愛(ài)惠

摘 要 針對(duì)云平臺(tái)的運(yùn)行效率及信息的安全問(wèn)題，引入思杰XenApp技術(shù)，設(shè)計(jì)了以身份認(rèn)證、權(quán)限管理、數(shù)據(jù)保護(hù)、行為監(jiān)控四維一體的安全部署思想，從數(shù)據(jù)傳輸?shù)叫畔踩珵閰^(qū)域云量身打造高效安全的運(yùn)行環(huán)境，為解決云安全問(wèn)題提供科學(xué)而有效的方法.

關(guān)鍵詞 區(qū)域性教育資源；云平臺(tái)；Xen虛擬化應(yīng)用技術(shù)

中圖分類(lèi)號(hào) TP39308 文獻(xiàn)標(biāo)識(shí)碼 A 文章編號(hào) 10002537（2016）01005506

Security Deployment of Regional Education Resources Cloud Platform Based on the XenApp Technology

SANG Zihua， YU Aihui*

（Department of Economic and Trade Management， Changsha Vocationl and Technical College， Changsha 410217， China）

Abstract Aiming at the problem of working efficiency and information safety of the cloud platform， the Citrix XenApp application was introduced. The fourinone dimensional safety thought was designed for identity authentication， rights management， data protection， and behavior monitoring. A safe and efficient operating environment can be created from data transfer to information security for regional cloud platform.

Key words regional education resources； cloud platform； Xen virtualization technology

由優(yōu)質(zhì)的教學(xué)資源整合至教育云平臺(tái)構(gòu)建，通過(guò)利用最新IT成果服務(wù)模式，云平臺(tái)技術(shù)運(yùn)用與當(dāng)前教育及至教學(xué)各個(gè)方面的結(jié)合密切[1]；隨著云計(jì)算技術(shù)用于教育界的深入，云平臺(tái)服務(wù)逐步發(fā)展成為目前最新模式.它是以云計(jì)算技術(shù)為基礎(chǔ)，近幾年發(fā)展成為能整合傳統(tǒng)的電子觸摸板、光影感應(yīng)器以及IPAD、智能手機(jī)等各種泛在的終端設(shè)備，代表未來(lái)教育發(fā)展新方向.但是，云平臺(tái)自身相對(duì)于各類(lèi)應(yīng)用及信息的多樣性及靈活性等特點(diǎn)，雖然在使用時(shí)給用戶(hù)帶來(lái)極大方便，但在共享狀態(tài)下種類(lèi)信息的安全隱患也相當(dāng)嚴(yán)重，因此對(duì)云平臺(tái)構(gòu)建和使用中的信息安全的研究具有重大的實(shí)用價(jià)值.

1 區(qū)域性教育資源、云平臺(tái)及其安全

1.1 區(qū)域性教育資源

區(qū)域性教育資源一般指一定行政區(qū)域內(nèi)各高校、企事業(yè)單位內(nèi)部的各類(lèi)與教育實(shí)踐活動(dòng)相關(guān)的資源，其中以直接支持學(xué)科教學(xué)的結(jié)構(gòu)性信息化資源為主.將教育資源概括成三大類(lèi)型：第一類(lèi)，素材類(lèi)課程資源主要有：一般素材（文本、圖形圖像視頻與動(dòng)畫(huà)）、習(xí)題答卷問(wèn)卷等、常用問(wèn)題解答及資源索引等；第二類(lèi)，結(jié)構(gòu)類(lèi)課程資源主要有，那些根據(jù)特定的教學(xué)目標(biāo)及應(yīng)用目的，將各類(lèi)媒體素材、資源進(jìn)行有效的分類(lèi)重組成“復(fù)合型”的資源；如網(wǎng)絡(luò)課件，應(yīng)用操作步驟與課堂練習(xí)、微課型世界、學(xué)習(xí)型游戲類(lèi)、期刊類(lèi)、教學(xué)仿真模擬類(lèi)、專(zhuān)題型教育網(wǎng)站等等.第三類(lèi)，網(wǎng)絡(luò)課程資源，指展現(xiàn)在網(wǎng)頁(yè)或網(wǎng)站上的各學(xué)科教學(xué)內(nèi)容及實(shí)施的相關(guān)教育、教學(xué)內(nèi)容與活動(dòng)等資料.

1.2 云平臺(tái)

快速發(fā)展的現(xiàn)代信息化教與學(xué)的環(huán)境將越來(lái)越多元化、復(fù)雜化，教學(xué)資源也將更加豐富，區(qū)域云平臺(tái)技術(shù)將有助于解決局部教育資源共建共享進(jìn)程中前段高原期的困惑，如減少信息資源孤島問(wèn)題，溝通各類(lèi)系統(tǒng)，使之能相互關(guān)聯(lián)、從而實(shí)現(xiàn)各類(lèi)資源或應(yīng)用的跨平臺(tái)共建、共用、共享等.建立在云計(jì)算技術(shù)基礎(chǔ)上的云平臺(tái)，不只提供高層次的集成式信息化資源，而且也為教、學(xué)交互形式展現(xiàn)出了更寬、更廣、更深、更方便使用的發(fā)展遠(yuǎn)景[2]， 利用云服務(wù)器的高運(yùn)算能力及存儲(chǔ)在數(shù)據(jù)服務(wù)器中海量的各類(lèi)整合后的資源，取代以前工作站上有限的運(yùn)算能力與稀少的孤立的資源，因此它對(duì)客戶(hù)終端設(shè)備的功能要求降低了很多.云平臺(tái)建設(shè)要求達(dá)到“大家一起建設(shè)、集中統(tǒng)一調(diào)控、用戶(hù)按需索求”的原則，使云平臺(tái)內(nèi)整合后的資源能按需高效地服務(wù)于群體[3].用戶(hù)只需持有能聯(lián)網(wǎng)的終端，可泛在的通過(guò)網(wǎng)絡(luò)享受服務(wù)，如師生線上互動(dòng)交流，可讓教師即時(shí)開(kāi)壇論講，讓學(xué)生可直接通過(guò)云平臺(tái)服務(wù)，接受到指定教師的定向指導(dǎo)與解答. 如何提高云平臺(tái)技術(shù)與教學(xué)實(shí)踐活動(dòng)結(jié)合的水平，不僅是當(dāng)前教育資源共建、共享要面對(duì)的重點(diǎn)，而且它還是未來(lái)教育技術(shù)內(nèi)在發(fā)展的使命[4].云平臺(tái)通過(guò)虛擬化技術(shù)將區(qū)域內(nèi)各類(lèi)軟件及硬件資源聚集重新整合分類(lèi)，弱化平臺(tái)內(nèi)各類(lèi)服務(wù)器端、客戶(hù)終端的設(shè)備、網(wǎng)絡(luò)層及不同存儲(chǔ)介質(zhì)間的物理依賴(lài)，實(shí)現(xiàn)集約化、統(tǒng)一化，對(duì)用戶(hù)透明管理方式，從而提高應(yīng)用及相關(guān)信息資源運(yùn)用上的彈性，利用統(tǒng)一重組與控配，使用區(qū)域內(nèi)所有客戶(hù)享有集中全面公平安全的云空間.目前云平臺(tái)服務(wù)結(jié)構(gòu)一般由公共云端與用戶(hù)端組成.

1.3 云平臺(tái)的特點(diǎn)

相對(duì)于傳統(tǒng)的云計(jì)算平臺(tái)的架構(gòu)方法，基于虛擬化技術(shù)搭建的云計(jì)算平臺(tái)所體現(xiàn)的優(yōu)勢(shì)主要表現(xiàn)在以下幾個(gè)方面：

（1）可伸縮性.基于虛擬化技術(shù)的云計(jì)算平臺(tái)，利用有目的地調(diào)整虛擬機(jī)資源進(jìn)而實(shí)現(xiàn)系統(tǒng)的可伸縮性.相比傳統(tǒng)的云計(jì)算構(gòu)建方法所采用的調(diào)整物理主機(jī)資源的方法，具有快速、靈活的特定，能更易于實(shí)現(xiàn)軟件系統(tǒng)的可伸縮性需求.

（2）高可用性，多終端支持下的互動(dòng)學(xué)習(xí)空間.基于虛擬化技術(shù)的云計(jì)算平臺(tái)架構(gòu)可以通過(guò)虛擬機(jī)配置進(jìn)行高效部署并實(shí)現(xiàn)了系統(tǒng)功能的實(shí)時(shí)遷移，從而很大程度上提高了系統(tǒng)的可用性；互動(dòng)是課堂教學(xué)的核心[5].基于云平臺(tái)的課堂教學(xué)運(yùn)用 反饋觸摸屏板、終端瀏覽器及相關(guān)軟件，對(duì)師生課堂的相互溝通活動(dòng)的全程錄像實(shí)時(shí)反饋、從而實(shí)現(xiàn)教、學(xué)雙邊活動(dòng)的多元化、提高雙方交互活動(dòng)的真實(shí)性與有效性.方便重復(fù)與再現(xiàn)教學(xué)活動(dòng)，突出教學(xué)活動(dòng)的動(dòng)態(tài)和重點(diǎn)，保障學(xué)生根據(jù)自己的學(xué)習(xí)情況擇重學(xué)習(xí)與復(fù)習(xí)，提高師生教、學(xué)互動(dòng)，使得學(xué)生在協(xié)作學(xué)習(xí)過(guò)程中也可及時(shí)與教師溝通，不再只是被動(dòng)地看教學(xué)視頻.

（3）負(fù)載均衡，信息資源的高度集中重整，真正做到泛在的提供應(yīng)用服務(wù).采用虛擬化的云計(jì)算平臺(tái)架構(gòu)，通過(guò)將高負(fù)載節(jié)點(diǎn)的虛擬機(jī)動(dòng)態(tài)實(shí)時(shí)遷移到低負(fù)載點(diǎn)，從而保障了系統(tǒng)運(yùn)行的負(fù)載平衡，有效的保護(hù)了節(jié)點(diǎn)上層的應(yīng)用性能，虛擬機(jī)在功能實(shí)現(xiàn)上同時(shí)包含了節(jié)點(diǎn)上層運(yùn)行環(huán)境，因此系統(tǒng)的動(dòng)態(tài)遷移操作，對(duì)上層結(jié)構(gòu)并未影響，另外云平臺(tái)高度整合了信息資源，集中管理，高效的分類(lèi)查詢(xún)，準(zhǔn)確及時(shí)的對(duì)各類(lèi)信息資源優(yōu)化與重組，使得用戶(hù)可以方便的在各類(lèi)交互式終端中同步獲取信息，并可通過(guò)云平臺(tái)實(shí)時(shí)與朋友們無(wú)障礙分享.

（4）低成本運(yùn)營(yíng)，為客戶(hù)提供高效教、學(xué)服務(wù).云平臺(tái)充分整合現(xiàn)有教學(xué)設(shè)施，并加以?xún)?yōu)化，用戶(hù)只需擁有云平臺(tái)統(tǒng)一的終端軟件，借用各類(lèi)觸摸式或語(yǔ)音式交互面板即可滿(mǎn)足網(wǎng)絡(luò)在線的教、學(xué)需求，而軟硬件的只需利用現(xiàn)有的升級(jí)部分設(shè)備通過(guò)XENAPP技術(shù)統(tǒng)一布置，規(guī)劃可節(jié)約大量資金、另外管理及維護(hù)維修點(diǎn)大量減少，從而進(jìn)一步節(jié)約成本，達(dá)到在一定區(qū)域范圍內(nèi)提供高效率的服務(wù)于教育、教學(xué)的目的.

（5）便于對(duì)終端的行為監(jiān)控.充分利用已有的多媒體終端設(shè)備，可新增高智能化各類(lèi)手持設(shè)備，如IPAD、手機(jī)等多種移動(dòng)設(shè)備也可以順利接入本區(qū)域內(nèi)的云服務(wù)平臺(tái)上，構(gòu)成云平臺(tái)服務(wù)系統(tǒng)的必要組件，可利用XENAPP方便的使用終端痕跡跟蹤，從而方便對(duì)用戶(hù)在終端各種操作進(jìn)行記錄.

2 XenApp 原理及其在云平臺(tái)安全上的應(yīng)用

2.1 XenApp 的原理

Citrix（思杰）XenApp（應(yīng)用虛擬化）技術(shù)可將應(yīng)用層與物理層進(jìn)行相互隔離的技術(shù)，其交互過(guò)程僅由客戶(hù)端傳輸?shù)椒?wù)器，在服務(wù)器端自動(dòng)生成獨(dú)立的會(huì)話通道，單獨(dú)反饋該用戶(hù)的應(yīng)用需求，并將運(yùn)行結(jié)果以WEB的形式展示到客戶(hù)端，在用戶(hù)看來(lái)就如其在本地運(yùn)行相關(guān)應(yīng)用程序一樣的現(xiàn)場(chǎng)感受[6].其核心是 ICA協(xié)議，該協(xié)議能夠適用于TCP/IP，IPX/SPX等多種協(xié)議，各類(lèi)應(yīng)用軟件的安裝和運(yùn)行全部安排在服務(wù)器端操作，它通過(guò)云平臺(tái)網(wǎng)絡(luò)系統(tǒng)傳遞各類(lèi)交互數(shù)據(jù)信息（如單雙擊、鍵盤(pán)響應(yīng)、語(yǔ)音指令等）而建立各類(lèi)獨(dú)立虛擬通道，使得服務(wù)器上的應(yīng)用通過(guò)虛擬通道與用戶(hù)終端在遠(yuǎn)程也能連接，讓用戶(hù)得到應(yīng)用好似在終端直接使用的體驗(yàn)，借此將云平臺(tái)上服務(wù)器群內(nèi)的應(yīng)用運(yùn)行后將結(jié)果傳送到客戶(hù)端.并且運(yùn)用ICA 協(xié)議傳輸方式可以有效阻隔核心數(shù)據(jù)被傳離后臺(tái)，幾乎不存在應(yīng)用cookie數(shù)據(jù)保留在客戶(hù)終端；客戶(hù)訪問(wèn)指令傳輸?shù)氖且呀?jīng)加密過(guò)的刷屏結(jié)果以及響應(yīng)的點(diǎn)擊或鍵盤(pán)操作指令等基本數(shù)據(jù)信息，這類(lèi)數(shù)據(jù)一方面較難被竊獲，即便被竊獲，也會(huì)因信息量太少而不會(huì)導(dǎo)致安全問(wèn)題.采用XenApp對(duì)應(yīng)用實(shí)行優(yōu)化整合并統(tǒng)一重新在云端部署，可以有效地防止重要信息被泄露，對(duì)實(shí)行云服務(wù)平臺(tái)服務(wù)器群內(nèi)資源的統(tǒng)一調(diào)控、集中管理、精準(zhǔn)維護(hù)提供了有效的安全保障.

2.2 XenApp 在云平臺(tái)安全運(yùn)用上的優(yōu)勢(shì)

（1）訪問(wèn)操作簡(jiǎn)單、方便流暢.XenApp采用一種“高清使用體驗(yàn)”技術(shù)，此技術(shù)使得應(yīng)用程序在與用戶(hù)交互過(guò)程傳輸數(shù)據(jù)最優(yōu)化，占用網(wǎng)絡(luò)帶寬很小，平均每個(gè)應(yīng)用自服務(wù)器端至終端傳輸數(shù)據(jù)約20 kbps，可以高效地利用WIFI，GPRS，2G/3G等網(wǎng)絡(luò)也能得到流暢的傳輸使用體驗(yàn).此技術(shù)能夠智能感知傳輸網(wǎng)絡(luò)和各類(lèi)在線設(shè)備的基本傳輸能力，以此為依據(jù)，為不同網(wǎng)絡(luò)環(huán)境的用戶(hù)分別針對(duì)語(yǔ)音、視頻等各類(lèi)傳輸信息流的提供最佳分配傳輸方案，隨時(shí)調(diào)整或改善虛擬通道內(nèi)應(yīng)用的傳送和存取方式，以確保終端用戶(hù)能體驗(yàn)到如同在本地一樣流暢的使用應(yīng)用程序.

（2）終端設(shè)備支持廣泛.在服務(wù)器端運(yùn)用XenApp虛擬化技術(shù)，將所有應(yīng)用一次性的部署完成，用戶(hù)無(wú)論在終端PC，IPAD，智能手機(jī)等各類(lèi)手持設(shè)備或終端，只要安裝上統(tǒng)一的 ICA 客戶(hù)App，就能象使用手機(jī)QQ或其他應(yīng)用程序一樣，啟動(dòng)程序——登錄——驗(yàn)證——在授權(quán)范圍內(nèi)自由訪問(wèn)，全程無(wú)須額外的專(zhuān)門(mén)技術(shù)支持.而且服務(wù)器操作系統(tǒng)一接管ICA 客戶(hù)端上的各類(lèi)APP，使得網(wǎng)絡(luò)硬件及應(yīng)用程序維護(hù)、維修的工作量很少.ICA 客戶(hù)APP可運(yùn)行在目前絕大多數(shù)的系統(tǒng)平臺(tái)及多類(lèi)智能手機(jī)和其他手持設(shè)備終端，包括目前市場(chǎng)上最新的IPAD或PC機(jī)以及數(shù)千種智能終端設(shè)備[7]，應(yīng)用安裝后就能直接接入使用，不再需二次開(kāi)發(fā)運(yùn)用.

（3）服務(wù)上的應(yīng)用穩(wěn)定可靠.即使因不確定因素導(dǎo)致通道中斷，用戶(hù)端指令也會(huì)被自動(dòng)保存到后臺(tái)，只要網(wǎng)絡(luò)連接恢復(fù)，將直接繼續(xù)中斷前的操作；另外XenApp 服務(wù)器可根據(jù)網(wǎng)絡(luò)傳輸數(shù)據(jù)量，按照既定的管理策略自主分配負(fù)載，提高服務(wù)器群中各個(gè)服務(wù)器的使用效率[8]，確保云服務(wù)器群中個(gè)別服務(wù)器出現(xiàn)故障時(shí)，也不會(huì)影響其他云平臺(tái)的正常運(yùn)行.

（4）云平臺(tái)建設(shè)投資風(fēng)險(xiǎn)低.通過(guò)Citrix XenApp 將軟件硬件通過(guò)虛擬化技術(shù)，降低了部分軟硬成本，實(shí)際建設(shè)過(guò)程中，只要在現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)上，增加幾臺(tái)服務(wù)器，構(gòu)成必須的服務(wù)器群，通過(guò)虛擬化技術(shù)統(tǒng)一部署，安裝好相關(guān)應(yīng)用，就能構(gòu)建出全新的云服務(wù)平臺(tái)，終端用戶(hù)的操作習(xí)慣及交互界面將完整保留，從而不必對(duì)用戶(hù)進(jìn)行新的操作培訓(xùn)，對(duì)在用的系統(tǒng)及其基本架構(gòu)不造成任何負(fù)面影響，能在極大地保留原來(lái)系統(tǒng)的運(yùn)作模式及基本架構(gòu)基礎(chǔ)上[9]，盡快地提質(zhì)以滿(mǎn)足了教、學(xué)需求的增長(zhǎng)，從而降低了區(qū)域內(nèi)學(xué)院或企業(yè)獨(dú)立建設(shè)云平臺(tái)的投資及風(fēng)險(xiǎn).

3 區(qū)域性教育資源云安全部署

3.1 基于 XenApp 的云架構(gòu)

以長(zhǎng)沙職業(yè)技術(shù)學(xué)院所在的長(zhǎng)沙高新區(qū)內(nèi)部分高校、企業(yè)區(qū)域云平臺(tái)為例，對(duì)實(shí)現(xiàn)區(qū)域內(nèi)云平臺(tái)的架構(gòu)的運(yùn)行及安全進(jìn)行探索.該平臺(tái)是基于現(xiàn)有的普通網(wǎng)絡(luò)數(shù)字化教育信息服務(wù)共享平臺(tái)基礎(chǔ)上進(jìn)行優(yōu)化整合、提質(zhì)改造而成的，旨在利用云計(jì)算機(jī)技術(shù)對(duì)本區(qū)域性各企事業(yè)單位的教學(xué)資源進(jìn)行優(yōu)化整合，集中于云平臺(tái)中真正實(shí)現(xiàn)“共建，共享，各取所需”.只要處于本“云平臺(tái)”服務(wù)區(qū)內(nèi)，例如教師用戶(hù)，他們上課不必再如以前一樣要帶大量的授課講義及其他參考資料，只須在個(gè)人手持終端（云終端）上像使用微信或校內(nèi)OA系統(tǒng)一樣，打開(kāi)瀏覽器——輸入賬號(hào)并通過(guò)身份驗(yàn)證，相關(guān)教學(xué)資源內(nèi)容就會(huì)自動(dòng)展現(xiàn)；同時(shí)教師自創(chuàng)教學(xué)成果如相關(guān)課程設(shè)計(jì)、講義內(nèi)容以及教學(xué)全過(guò)程都會(huì)被同步傳送并保存于云端的教學(xué)資源空間，區(qū)域內(nèi)其他用戶(hù)（如該教師的學(xué)生）可根據(jù)自己的需要，在本平臺(tái)服務(wù)區(qū)域任意范圍內(nèi)如自修室、圖書(shū)館等公共場(chǎng)所或?qū)嬍?、辦公室等秘密空間登錄查閱.用戶(hù)于“云中”翱翔，盡享云服務(wù)新模式下學(xué)習(xí)所帶來(lái)的新體驗(yàn)，但由于云平臺(tái)必須要事先在數(shù)據(jù)服務(wù)中心安裝部署相關(guān)的應(yīng)用程序，并為各類(lèi)終端用戶(hù)提供信息資源的訪問(wèn)例如上傳文檔，下載課件，打印文件等種類(lèi)操作，這樣就存在多用戶(hù)同時(shí)要求使用同一設(shè)備或程序，導(dǎo)致錯(cuò)誤指令或一般性誤操作等動(dòng)作變換；另外，大量具有不同身份標(biāo)識(shí)的用戶(hù)在特定時(shí)間、空間范圍內(nèi)（如網(wǎng)絡(luò)投票活動(dòng)，視頻廣播會(huì)議等情況下）集中使用云平臺(tái)服務(wù)器時(shí)[10]，如何快速追蹤和審計(jì)分辨這些用戶(hù)行為，在響應(yīng)用戶(hù)行為之前必須隨時(shí)確認(rèn)用戶(hù)的合法身份，以防非法用戶(hù)進(jìn)行危險(xiǎn)操作，是一個(gè)迫切解決的課題.本研究所采用的思杰XenApp，能夠幫助學(xué)院及相關(guān)單位在確保安全的基礎(chǔ)上，提供方便快捷地為云平臺(tái)終端使用者提供對(duì)具體應(yīng)用及桌面的精細(xì)化訪問(wèn)，即時(shí)過(guò)濾可疑數(shù)據(jù)，對(duì)可訪問(wèn)資源重新分配集中掌控，從而達(dá)到云平臺(tái)高效率功能與安全需求.基于思杰XenApp 的云中心服務(wù)器，負(fù)責(zé)整個(gè)平臺(tái)的應(yīng)用程序的管理及數(shù)據(jù)庫(kù)的后臺(tái)支持，并確保新增的 XenApp 組件與平臺(tái)的最佳配合，以期達(dá)到對(duì)平臺(tái)自身安全保護(hù)的目的；客戶(hù)終端與虛擬應(yīng)用服務(wù)器之間的傳遞的并非實(shí)際的業(yè)務(wù)數(shù)據(jù)，而是虛擬化后的加密數(shù)據(jù)，其傳送帶寬優(yōu)化到只需20 kB左右的流量[11].這樣既保證了OA系統(tǒng)可以在低帶寬網(wǎng)絡(luò)下使用，又減少了大量業(yè)務(wù)數(shù)據(jù)在公網(wǎng)傳輸?shù)陌踩[患.終端用戶(hù)可用使用IPAD、智能手機(jī)等各類(lèi)手持終端隨時(shí)隨地登錄云平臺(tái)獲取所需的教、學(xué)內(nèi)容，也可參與在線學(xué)習(xí)討論或模擬實(shí)操訓(xùn)練，具體實(shí)現(xiàn)見(jiàn)圖1.

圖1 區(qū)域云安全部署示意圖

Fig.1 Regional cloud security deployments scheme

系統(tǒng)正常運(yùn)作的基本流程及必要組件如下（見(jiàn)圖2）：

（1）能統(tǒng)一管理和維護(hù)的應(yīng)用虛擬化服務(wù)器群（XenApp Server Farms）.在此云平臺(tái)服務(wù)器群中，應(yīng)用程序服務(wù)器、后臺(tái)數(shù)據(jù)庫(kù)服務(wù)器等服務(wù)器群通過(guò)協(xié)作運(yùn)行來(lái)為用戶(hù)提供會(huì)話訪問(wèn)，通過(guò)XenAppServer專(zhuān)用管理系統(tǒng)，協(xié)調(diào)并控制著各類(lèi)用戶(hù)訪問(wèn)所需資源，并向目標(biāo)用戶(hù)展示其能訪問(wèn)的信息（實(shí)際應(yīng)用、交互指令等信息）.在沒(méi)使用云平臺(tái)之前需要安裝在每個(gè)要求使用的用戶(hù)端的軟件，現(xiàn)在利用平臺(tái)服務(wù)器群，統(tǒng)一管理只需在任何一個(gè)服務(wù)器上安裝一次就可以供所有客戶(hù)終端隨時(shí)提供運(yùn)算與服務(wù)，從而真正實(shí)現(xiàn)統(tǒng)一的管理和維護(hù).

（2）能使所有客戶(hù)在云平臺(tái)中得到統(tǒng)一訪問(wèn)接口服務(wù)（Citrix XML Serveice）.它擔(dān)任各類(lèi)用戶(hù)端和服務(wù)器群之間實(shí)現(xiàn)對(duì)用戶(hù)而言是透明通信節(jié)點(diǎn)，對(duì)過(guò)此節(jié)點(diǎn)，可以讓終端用戶(hù)訪問(wèn)到任何分布式的各類(lèi)數(shù)據(jù)，它相當(dāng)于貿(mào)易平臺(tái)，無(wú)論用戶(hù)拿來(lái)什么樣的貨物在此都可以?xún)稉Q成統(tǒng)一使用的貨幣，然后用戶(hù)使用貨幣取回貿(mào)易平臺(tái)上所有其他的東西，而不必知道這東西從哪來(lái)，因此用戶(hù)通過(guò)此接口從服務(wù)器上檢索到自己所需的數(shù)據(jù)信息并予以返回結(jié)果.

（3）能提供各服務(wù)器群之間的訪問(wèn)接口（Web Interface）.此統(tǒng)一接口相當(dāng)于多個(gè)貿(mào)易平臺(tái)間貨幣交易平臺(tái)，讓各貿(mào)易平臺(tái)的貨幣能相互兌換，從而將各個(gè)獨(dú)立的貿(mào)易平臺(tái)串聯(lián)起來(lái)構(gòu)成一個(gè)統(tǒng)一接口——服務(wù)器群結(jié)點(diǎn).由Citrix XML Service檢索得來(lái)的信息通過(guò)此結(jié)點(diǎn)兌換變?yōu)榻y(tǒng)一的WEB格式的“貨幣”返回到用戶(hù)終端.

圖2 基于思杰XenApp 的云平臺(tái)運(yùn)行流程圖

Fig.2 Citrix XenApp running a flowchartbased cloud platform

① 于終端運(yùn)行 ICA 客戶(hù)端，輸入登錄信息（注冊(cè)名、密碼/指紋/臉譜等憑據(jù)信息），提交后系統(tǒng)自動(dòng)發(fā)送此信息當(dāng)作普通的HTTP 請(qǐng)求傳送到 Access Gateway.

② Access Gateway 訪問(wèn)域控制器，檢索用戶(hù)相關(guān)注冊(cè)，遍歷AD驗(yàn)證用戶(hù)憑證的信息.

③ 身份確定后，Access Gateway 傳遞給Web Interface服務(wù)請(qǐng)求，服務(wù)請(qǐng)求被其接受后，它即將用戶(hù)的合法使用身份傳送給統(tǒng)一訪問(wèn)接口服務(wù)器，并自動(dòng)連接代理服務(wù).

④ 通過(guò)對(duì)用戶(hù)合法身份的識(shí)別，統(tǒng)一接口服務(wù)器使用代理，代理服務(wù)器便會(huì)依據(jù)用戶(hù)身份從服務(wù)器群提供的各類(lèi)應(yīng)用程序中檢索到相應(yīng)可訪問(wèn)的資源集[12]，此資源集被傳回到Web Interface，通過(guò)底部程序解析，按需動(dòng)態(tài)生成一個(gè)包含有相應(yīng)應(yīng)用程序快捷鍵的WEB頁(yè)面，用戶(hù)只需點(diǎn)擊頁(yè)面上的各程序的快捷鍵圖標(biāo)，這個(gè)基本的點(diǎn)擊（交互）動(dòng)作會(huì)通過(guò)加密反饋到Web Interface，從而使用戶(hù)間接地獲取到云平臺(tái)內(nèi)相關(guān)應(yīng)用的ICA文件.

⑤ Web Interface 再次連接統(tǒng)一接口服務(wù)器，通過(guò)接口服務(wù)器查找到包含用戶(hù)所選定的應(yīng)用程序并且相對(duì)空閑的服務(wù)器的地址，并將此地址傳回給 Web Interface，由其自動(dòng)建立一個(gè)與相關(guān)地址的ICA 文檔，服務(wù)器根據(jù)ICA文檔建立虛擬通道完成用戶(hù)請(qǐng)求.

圖3 基于 Citrix XenApp 的云平臺(tái)安全部署

Fig.3 Citrix XenApp platform based on cloud security deployment diagram

3.2 基于XenApp 的區(qū)域云安全部署方案

通過(guò)對(duì)以上 XenApp云平臺(tái)架構(gòu)的基本動(dòng)作流程及相關(guān)組件的相互配合運(yùn)行，其架構(gòu)上的3個(gè)主要部分各自獨(dú)立又相互配合，其各個(gè)環(huán)節(jié)上已經(jīng)對(duì)云平臺(tái)上數(shù)據(jù)安全做出了相應(yīng)貢獻(xiàn)，通過(guò)進(jìn)一步強(qiáng)化信息安全，加強(qiáng)保障措施，通過(guò)對(duì)本區(qū)域的云平臺(tái)架構(gòu)安全分析，最終形成如圖3 所示的區(qū)域云安全部署方案.包括區(qū)域內(nèi)的師生、員工及管理員等等.

（1）多層次的用戶(hù)身份認(rèn)證.XenApp 通過(guò)身份論證，確認(rèn)訪問(wèn)云平臺(tái)信息的用戶(hù)是否為注冊(cè)（合法用戶(hù)），阻止非法用戶(hù)的入侵，初步為實(shí)現(xiàn)安全的訪問(wèn)和交付把好關(guān).域控制器中有整個(gè)云平臺(tái)的管理員、本區(qū)域內(nèi)教育教學(xué)相關(guān)人員以及其他應(yīng)用系統(tǒng)的所有者等已經(jīng)部署的各類(lèi)用戶(hù)憑證，XenApp利用此憑證進(jìn)行身份確認(rèn).在各層次安全檢測(cè)（活動(dòng)目錄論證、遠(yuǎn)程論證及雙因子驗(yàn)證等）的支持下，通過(guò)各類(lèi)手持終端上的接受插件，采用問(wèn)與答的方式完成身份核實(shí).此外，可選SingleSigned On（單點(diǎn)登錄）模式進(jìn)一步強(qiáng)化密碼規(guī)則[13].

（2）精細(xì)化的用戶(hù)訪問(wèn)權(quán)限管理.云平臺(tái)中Access Gateway組件借助其內(nèi)置的端點(diǎn)掃描及策略控制機(jī)制，僅采用統(tǒng)一的WEB配置的解決方案，依據(jù)用戶(hù)的不同身份、終端設(shè)備配備及網(wǎng)絡(luò)IP就可以確定用戶(hù)對(duì)應(yīng)用和數(shù)據(jù)的訪問(wèn)權(quán)，為各類(lèi)用戶(hù)提供形式多樣地、穩(wěn)定安全地遠(yuǎn)程接入服務(wù).它除開(kāi)能實(shí)現(xiàn)傳統(tǒng)IPSec VPN提供的接入模式的同時(shí)，還并入了SSL技術(shù)，提供更有效的數(shù)據(jù)加密，采用網(wǎng)絡(luò)層加密和應(yīng)用層加密相結(jié)合，使企業(yè)不再需要維護(hù)兩個(gè)單獨(dú)的VPN基礎(chǔ)架構(gòu)[14]， 且思杰 Access Gateway部署在企業(yè)Intranet的DMZ中，為遠(yuǎn)程客戶(hù)創(chuàng)建一條基于SSL的虛擬加密通道，通過(guò)簡(jiǎn)單訪問(wèn)安全的WEB地址或直接點(diǎn)擊桌面應(yīng)用程序圖標(biāo)，就可迅速啟動(dòng)Access Agent，隨后Access Gateway就會(huì)利用云平臺(tái)中心服務(wù)器來(lái)檢驗(yàn)身份的真實(shí)性，一旦通過(guò)驗(yàn)證，Secure Access Agent就會(huì)在終端客戶(hù)桌面上被激活，并通過(guò)與Access Gateway 建立的安全通道來(lái)高度安全的訪問(wèn)平臺(tái)內(nèi)部的各類(lèi)應(yīng)用資源，如包括IP協(xié)議的任何應(yīng)用，甚至是基于IP的語(yǔ)音等即時(shí)通訊，當(dāng)然也可在此通道上通過(guò)訪問(wèn)思杰個(gè)人服務(wù)器群，在其上發(fā)布用戶(hù)自己的各種應(yīng)用程序.由上述分析結(jié)果，思杰 Access Gateway 可確定客戶(hù)機(jī)信任及訪問(wèn)控制的級(jí)別，自行確定各類(lèi)級(jí)別的用戶(hù)哪些應(yīng)用可使用，擁有相關(guān)應(yīng)用的哪些權(quán)限，而不是簡(jiǎn)單的禁止訪問(wèn)，即形成了對(duì)應(yīng)用程序的精細(xì)化訪問(wèn)策略.

（3）低風(fēng)險(xiǎn)的數(shù)據(jù)傳輸.XenApp 技術(shù)保證數(shù)據(jù)傳輸?shù)牡惋L(fēng)險(xiǎn)性，其中數(shù)據(jù)安全性通過(guò)XenApp Server Farms，F(xiàn)ile Servers以及Data Encryption Protocol等方式，確保用戶(hù)在編輯、拷貝或打印輸出操作中的信息安全.利用XenApp Server Farms對(duì)應(yīng)用程序的統(tǒng)一調(diào)控，以保證僅有相關(guān)程序的點(diǎn)擊或鍵盤(pán)指令數(shù)據(jù)信息傳輸?shù)椒?wù)器，并由服務(wù)器將應(yīng)用請(qǐng)求執(zhí)行結(jié)果動(dòng)態(tài)地反饋到用戶(hù)終端，實(shí)體的應(yīng)用自身及相關(guān)數(shù)據(jù)并沒(méi)有在網(wǎng)絡(luò)內(nèi)傳輸，仍保留在云服務(wù)器內(nèi)，最大限度地降低了重要數(shù)據(jù)丟失或被盜的風(fēng)險(xiǎn).另外，云平臺(tái)中的應(yīng)用服務(wù)器群實(shí)現(xiàn)集中管控還有以下優(yōu)勢(shì)：首先可以享受在統(tǒng)一整合過(guò)程中自動(dòng)同步，可以使終端、虛擬應(yīng)用等信息得到及時(shí)同步更新，利于高效地發(fā)現(xiàn)和及時(shí)修補(bǔ)應(yīng)用的安全問(wèn)題；其次利用云平臺(tái)能夠充分保護(hù)所有集中化部署的應(yīng)用或數(shù)據(jù).云平臺(tái)中的File Servers負(fù)責(zé)對(duì)終端數(shù)據(jù)的存儲(chǔ)以及隔離工作.通過(guò)選擇活動(dòng)目錄文件系統(tǒng)和用戶(hù)文件配置機(jī)制[15]，每個(gè)用戶(hù)可以享有私密的云空間.當(dāng)云平臺(tái)為用戶(hù)建立合法的任意應(yīng)用的會(huì)話通道時(shí)， 在XenApp 中Data Encryption Protocol負(fù)責(zé)為全部P2P通信創(chuàng)建臨時(shí)虛擬加密通道，掩藏終端實(shí)際地址信息，阻止惡意入侵，確保所有應(yīng)用交互通信都是安全的低風(fēng)險(xiǎn)的傳輸.

（4）高效的用戶(hù)行為監(jiān)控.基于XenApp云安全架構(gòu)使用了 Smart Auditor 即智能審計(jì)組件，配合SQL Server database對(duì)用戶(hù)通過(guò)WEB訪問(wèn)云平臺(tái)服務(wù)器的即時(shí)屏幕顯示交互活動(dòng)自動(dòng)錄像，并詳細(xì)將其他基本信息及屏顯操作信息存入SQL數(shù)據(jù)庫(kù)，并將此視頻存放入審計(jì)部門(mén)獨(dú)立的存儲(chǔ)服務(wù)器中， 以防惡意操作，并為管理員及時(shí)發(fā)現(xiàn)安全漏洞提供證據(jù)，以便快速修復(fù)，保證業(yè)務(wù)的連續(xù)性. 當(dāng)然為有效用戶(hù)保護(hù)隱私，Smart Auditor可以由用戶(hù)預(yù)定特征事件制定自己所需的重要的錄像策略，僅在身份認(rèn)證及權(quán)限合法的情況下，云平臺(tái)服務(wù)中心的錄像才能被查閱和瀏覽.這一功能在多名平臺(tái)管理員共同維護(hù)的情況下，可以快速的觀看相關(guān)管理員的操作記錄，以便迅速的確定平臺(tái)故障出現(xiàn)及解決的方法，這些對(duì)降低了維護(hù)成本，提高維護(hù)效率具有重大的意義.

4 結(jié)束語(yǔ)

在國(guó)家大力推進(jìn)教育云平臺(tái)建設(shè)的背景下，作為教育云重要組成部分的區(qū)域性教育資源云平臺(tái)正在快速建設(shè)中，隨之而來(lái)的云安全問(wèn)題也應(yīng)該引起相關(guān)部門(mén)的高度重視，在國(guó)家重視知識(shí)產(chǎn)權(quán)的同時(shí)，特別是區(qū)域性教育服務(wù)云平臺(tái)中的教育資源，構(gòu)建之前的安全性應(yīng)是共建云平臺(tái)時(shí)要考慮的重要因素，并且對(duì)云平臺(tái)建立以后能否持續(xù)構(gòu)建和穩(wěn)定運(yùn)行起至關(guān)重要的作用.將思杰的XenApp技術(shù)實(shí)際應(yīng)用到區(qū)域性教育資源共享云平臺(tái)，對(duì)其架構(gòu)及部署的安全方案做了技術(shù)剖析，提出云安全部署的基本解決方法，在推動(dòng)區(qū)域性教育資源云平臺(tái)共建和共享的同時(shí)，使其安全性得到進(jìn)一步完善方面做出積極探索.

參考文獻(xiàn)：

[1] 張進(jìn)寶，黃榮懷，張連剛.智慧教育云服務(wù)：教育信息化服務(wù)新模式[J].開(kāi)放教育研究， 2012，（3）：2026.

[2] 張國(guó)棟. 基于J2EE的基礎(chǔ)教育信息化服務(wù)平臺(tái)的研究與實(shí)現(xiàn)[D].杭州：杭州師范大學(xué)， 2010.

[3] 陳向東，葉新東，秦嘉悅，等.未來(lái)課堂——高互動(dòng)學(xué)習(xí)空間[J].中國(guó)電化教育， 2011，11（1）：613.

[4] 吳吉義，沈千里，章劍林，等.云計(jì)算：從云安全到可信云[J].計(jì)算機(jī)研究與發(fā)展， 2011，18（17）：229233.

[5] 張利遠(yuǎn).基于 Citrix XenApp 虛擬化技術(shù)的云平臺(tái)安全部署研究[J].現(xiàn)代教育技術(shù)， 2013，7（1）：825.

[6] 趙曉聲. 教育信息化服務(wù)的內(nèi)涵、層次與現(xiàn)實(shí)發(fā)展——對(duì)教育信息化本質(zhì)的新認(rèn)識(shí)[J]. 中國(guó)電化教育， 2012，8（1）：3337.

[7] 章澤昂，鄔家煒. 基于云計(jì)算的教育信息化平臺(tái)的研究[J]. 中國(guó)遠(yuǎn)程教育， 2010，6（1）：6669.

[8] 王靜一. 基于云計(jì)算技術(shù)的數(shù)字圖書(shū)館云服務(wù)平臺(tái)架構(gòu)研究[D].長(zhǎng)春：吉林大學(xué)， 2011.

[9] 張利遠(yuǎn)，王春麗.基于Citrix XenApp虛擬化技術(shù)的云教室安全部署研究[J].現(xiàn)代教育技術(shù)， 2013，7（1）：4057.

[10] 余宗澤.云計(jì)算的基本原理及其對(duì)教育領(lǐng)域的影響[J].中國(guó)教育技術(shù)裝備， 2010，13（1）：9394.

[11] 彭雪莊，彭紅光，程五一.整合社會(huì)資源促進(jìn)教育信息化快速發(fā)展的探索[J].中國(guó)電化教育， 2010，10（1）：4952.

[12] 李超良.無(wú)線傳感器網(wǎng)絡(luò)中面向動(dòng)態(tài)多跳的非均勻分簇路由[J].中南大學(xué)學(xué)報(bào)，2011，42（7）：20482053.

[13] 胡春華.云計(jì)算中基于SLA的服務(wù)可信協(xié)商與訪問(wèn)控制策略[J] 中國(guó)科學(xué)：信息科學(xué)，2011，12（3）：314332.

[14] 胡春華.云計(jì)算環(huán)境下基于信任推理的服務(wù)評(píng)價(jià)方法[J].通信學(xué)報(bào)， 2012，32（1）：7281.

[15] 李士安.基于虛擬化技術(shù)的云計(jì)算平臺(tái)架構(gòu)[N].信息與電腦：理論版， 20140315.

（編輯 CXM）