政務(wù)云平臺(tái)建設(shè)思路探討

陳慧娟

2022年，中辦29號(hào)文提出繼續(xù)推進(jìn)信息化自主可控；中央網(wǎng)信辦13號(hào)文提出做好應(yīng)對(duì)已失去官方技術(shù)支持的服務(wù)器操作系統(tǒng)的要求；國(guó)務(wù)院《關(guān)于加強(qiáng)數(shù)字政府建設(shè)的指導(dǎo)意見》提出，依托全國(guó)一體化政務(wù)大數(shù)據(jù)體系，統(tǒng)籌整合現(xiàn)有政務(wù)云資源，構(gòu)建全國(guó)一體化政務(wù)云平臺(tái)體系，實(shí)現(xiàn)政務(wù)云資源統(tǒng)籌建設(shè)、互聯(lián)互通、集約共享。

一、政務(wù)上云已成普遍趨勢(shì)

政府?dāng)?shù)字化轉(zhuǎn)型步伐加快，政務(wù)服務(wù)的變化驅(qū)動(dòng)網(wǎng)絡(luò)技術(shù)演進(jìn)，電子政務(wù)的發(fā)展不能一成不變，傳統(tǒng)服務(wù)器投入成本高、資源浪費(fèi)、性價(jià)比低，急需探索發(fā)展新模式，轉(zhuǎn)變建設(shè)思路和規(guī)劃理念，鼓勵(lì)應(yīng)用虛擬化、云計(jì)算技術(shù)整合改造現(xiàn)有電子政務(wù)信息系統(tǒng)，實(shí)現(xiàn)各領(lǐng)域從分散式向集約化轉(zhuǎn)變。近年來，政務(wù)上云已成普遍趨勢(shì)，國(guó)家、省、市級(jí)各單位各部門逐步采用建設(shè)服務(wù)器虛擬化平臺(tái)方式提供服務(wù)器資源，虛擬化技術(shù)的優(yōu)勢(shì)在于可以將傳統(tǒng)服務(wù)器的空閑算力資源分配給其他業(yè)務(wù)系統(tǒng)使用，提高了服務(wù)器的利用率，同時(shí)虛擬化的快照等技術(shù)也大大提高了服務(wù)器的安全性。

二、政務(wù)云平臺(tái)建設(shè)目標(biāo)和建設(shè)內(nèi)容

（一）建設(shè)目標(biāo)

從系統(tǒng)的可擴(kuò)展性、安全性、可靠性等多個(gè)方面綜合考慮，達(dá)到以下目標(biāo)：[1]

1.設(shè)計(jì)規(guī)范化，統(tǒng)籌信息基礎(chǔ)設(shè)施。在政務(wù)外網(wǎng)建設(shè)一套新的規(guī)范的虛擬化平臺(tái)，構(gòu)建統(tǒng)一的政務(wù)云中心，符合《基于云計(jì)算的電子政務(wù)公共平臺(tái)頂層設(shè)計(jì)指南》等國(guó)家及行業(yè)標(biāo)準(zhǔn)，并將已有平臺(tái)的政務(wù)外網(wǎng)業(yè)務(wù)遷移至該平臺(tái)，充分整合利用各地各部門電子政務(wù)網(wǎng)絡(luò)設(shè)施，減少不必要的重復(fù)投入，實(shí)現(xiàn)互聯(lián)互通、集約共享、安全可控。

2.數(shù)據(jù)資源集中化，健全云服務(wù)目錄。包含計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)、安全、備份、中間件、數(shù)據(jù)庫等云服務(wù)目錄，同時(shí)兼顧各使用部門現(xiàn)有系統(tǒng)軟硬件資源情況，提供設(shè)備托管服務(wù)，便于使用部門利舊。方便用戶以數(shù)據(jù)為中心構(gòu)建政務(wù)應(yīng)用，提升各政務(wù)部門信息化應(yīng)用水平。

3.構(gòu)建安全保障體系。按照《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》等國(guó)家政務(wù)云相關(guān)安全要求，開展數(shù)據(jù)備份建設(shè)工作，強(qiáng)化數(shù)據(jù)備份手段，確保數(shù)據(jù)安全，構(gòu)建完整、有效、可信的政務(wù)云安全保障體系架構(gòu)。[2]

（二）建設(shè)內(nèi)容

采用云計(jì)算資源池建設(shè)模式，充分考慮既有系統(tǒng)搬遷和新系統(tǒng)建設(shè)需求，所有資源整合后在邏輯上以單一整體的形式呈現(xiàn)，并根據(jù)需要進(jìn)行動(dòng)態(tài)擴(kuò)展和配置。統(tǒng)籌利用已有的計(jì)算資源、網(wǎng)絡(luò)資源、存儲(chǔ)資源、應(yīng)用支撐、信息資源等條件，根據(jù)業(yè)務(wù)需求，為各用戶提供基礎(chǔ)設(shè)施、支撐軟件、應(yīng)用功能、信息資源、運(yùn)行保障和信息安全等服務(wù)的基于云計(jì)算的服務(wù)平臺(tái)，實(shí)現(xiàn)服務(wù)資源集中管理，為各類業(yè)務(wù)提供有力保障與支撐。建設(shè)內(nèi)容包括：

1.進(jìn)一步“云”化政務(wù)云平臺(tái)，即：建設(shè)業(yè)務(wù)系統(tǒng)所需的統(tǒng)一的資源池?！霸啤被哪康木褪前褦?shù)據(jù)中心的所有資源按照承載服務(wù)對(duì)象的不同，形成統(tǒng)一資源池。業(yè)務(wù)部署時(shí)優(yōu)先考慮使用虛擬化平臺(tái)，對(duì)虛擬主機(jī)無法滿足的應(yīng)用業(yè)務(wù)，使用物理服務(wù)器來滿足。[3]

2.統(tǒng)一管理運(yùn)營(yíng)運(yùn)維平臺(tái)，即：實(shí)現(xiàn)對(duì)政務(wù)云資源的統(tǒng)一管理。建立統(tǒng)一的運(yùn)營(yíng)運(yùn)維服務(wù)體系，制定服務(wù)標(biāo)準(zhǔn)和規(guī)范，提供滿足需求、響應(yīng)及時(shí)、安全可靠的運(yùn)維保障服務(wù)，包括為保障業(yè)務(wù)應(yīng)用的順利部署、開通，以及網(wǎng)絡(luò)、硬件、軟件、數(shù)據(jù)、機(jī)房環(huán)境等安全、穩(wěn)定、高效運(yùn)行而進(jìn)行的一系列策劃、實(shí)施、檢查與改進(jìn)過程，實(shí)現(xiàn)政務(wù)云多云管理高效協(xié)同運(yùn)維。[4]

三、文化和旅游部云平臺(tái)建設(shè)思路探討

自2015年起，文化和旅游信息化業(yè)務(wù)建設(shè)的需求增加，逐步采用建設(shè)虛擬化平臺(tái)方式提供服務(wù)器資源。

（一）存在問題

1.設(shè)施集約不足。目前，基礎(chǔ)設(shè)施資源中部分服務(wù)器已滿6年或近6年，超過使用年限，其穩(wěn)定性和性能逐漸降低；近兩年在疫情影響下，信息化建設(shè)需求激增，新建大量虛擬機(jī)用以保障業(yè)務(wù)發(fā)展，致使虛擬化平臺(tái)服務(wù)器資源長(zhǎng)時(shí)間處于超負(fù)荷狀態(tài)，存儲(chǔ)空間日趨緊張，使用率均超過80%，已不能滿足虛擬機(jī)定期鏡像和備份的基本要求。

2.版本老化嚴(yán)重。在2015年至2017年期間建設(shè)的Vmware和華為Fusion Sphere虛擬化軟件不支持國(guó)產(chǎn)化操作系統(tǒng)。按照中央網(wǎng)信辦要求，采用CentOS操作系統(tǒng)的服務(wù)器須更換為國(guó)產(chǎn)化操作系統(tǒng)。根據(jù)官方通報(bào)，所使用的Vmware Vsphere6.0以及華為Fusion Sphere 6.1版本不再支持較新版本的Linux操作系統(tǒng)及國(guó)產(chǎn)化操作系統(tǒng)。同時(shí)，由于Vmware和華為虛擬化版本較老，升級(jí)到新版本風(fēng)險(xiǎn)極高，不具備升級(jí)條件，因此不建議在這兩個(gè)版本虛擬化上面增加新的業(yè)務(wù)系統(tǒng)。

3.缺乏統(tǒng)一規(guī)劃，無法統(tǒng)一管理。目前各單位建設(shè)的虛擬化平臺(tái)7個(gè)，由于每個(gè)平臺(tái)需要保留一定的資源供平臺(tái)自身使用，因此7個(gè)平臺(tái)會(huì)比1個(gè)平臺(tái)的資源利用率降低。同時(shí)由于7個(gè)平臺(tái)用了三套不同的虛擬化平臺(tái)，目前無法做到統(tǒng)一管理統(tǒng)一分配，亟需使用納管平臺(tái)進(jìn)行統(tǒng)一管理，統(tǒng)一資源調(diào)配。另外，缺乏統(tǒng)一備份管理，當(dāng)前有的采用本地快照方式備份，有的采用備份一體機(jī)的方式備份，前者相較于后者存在一定安全風(fēng)險(xiǎn)，整體備份方式不統(tǒng)一。

（二）解決思路

一是對(duì)軟硬件基礎(chǔ)較好的云平臺(tái)開展升級(jí)擴(kuò)容工作，將存在隱患的互聯(lián)網(wǎng)應(yīng)用系統(tǒng)逐步遷移到該云平臺(tái)上，此種方式最為經(jīng)濟(jì)，最終實(shí)現(xiàn)統(tǒng)一管理、統(tǒng)一建設(shè)、協(xié)調(diào)高效的運(yùn)維機(jī)制。

二是同步開展操作系統(tǒng)及硬件的國(guó)產(chǎn)化遷移替代工作，保障網(wǎng)絡(luò)安全和供應(yīng)安全。建議選擇銀河麒麟、統(tǒng)信UOS操作系統(tǒng)與X86和ARM兩大CPU技術(shù)路線，因其有著豐富的生態(tài)、較高的性能，并經(jīng)歷了市場(chǎng)的檢驗(yàn)。使用同源異構(gòu)的銀河麒麟操作系統(tǒng)和統(tǒng)信UOS操作系統(tǒng)，是因其在中國(guó)Linux市場(chǎng)占有率排名前列，能夠有效的避免斷供風(fēng)險(xiǎn)。

三是建設(shè)多云管理平臺(tái)，實(shí)現(xiàn)兩套云平臺(tái)的統(tǒng)一管理；開展數(shù)據(jù)備份建設(shè)工作，強(qiáng)化數(shù)據(jù)備份手段，確保數(shù)據(jù)安全。

（三）方案設(shè)計(jì)

1.云平臺(tái)架構(gòu)設(shè)計(jì)

云平臺(tái)ISW交換機(jī)通過防火墻與云外網(wǎng)絡(luò)互聯(lián)，云外網(wǎng)絡(luò)包括互聯(lián)網(wǎng)或云外其他業(yè)務(wù)網(wǎng)絡(luò)。

在訪問控制方面，通過配置白名單方式在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化；通過物理防火墻或安全組對(duì)源地址、源端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數(shù)據(jù)包進(jìn)出，并提供明確的允許/拒絕訪問的能力；通過Web應(yīng)用防火墻對(duì)進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流實(shí)現(xiàn)基于應(yīng)用協(xié)議和應(yīng)用內(nèi)容的訪問控制。

在網(wǎng)絡(luò)架構(gòu)層面，網(wǎng)絡(luò)匯聚區(qū)：主要由兩臺(tái)核心交換機(jī)（DSW）組成，核心交換機(jī)選擇框式交換機(jī),并下掛8臺(tái)接入交換機(jī)（ASW）。

2.云平臺(tái)擴(kuò)容規(guī)劃

存儲(chǔ)擴(kuò)容。目前共需要372TB存儲(chǔ)容量，ZSTACK云平臺(tái)可用存儲(chǔ)容量為106TB存儲(chǔ)容量,為了平臺(tái)穩(wěn)定性，建議再擴(kuò)容300TB存儲(chǔ)容量。按照每臺(tái)有效容量32T計(jì)算，建議擴(kuò)容10臺(tái)分布式存儲(chǔ)服務(wù)器。

計(jì)算資源擴(kuò)容。目前Vmware和華為云共40臺(tái)服務(wù)器，每臺(tái)服務(wù)器配置256GB內(nèi)存共10,240GB內(nèi)存，現(xiàn)有ZSTACK云平臺(tái)共有約4TB內(nèi)存可用空間，建議再擴(kuò)容約6TB內(nèi)存容量空間，從而滿足CPU和內(nèi)存需求，建議擴(kuò)容45臺(tái)物理機(jī)。

3.芯片選型建議

目前，國(guó)產(chǎn)CPU中鯤鵬、飛騰、海光、龍芯采用指令集授權(quán)或自研架構(gòu)，自主先進(jìn)程度相對(duì)較高。其中鯤鵬、飛騰為ARM架構(gòu)，龍芯為MIPS自研架構(gòu)，海光基于AMD最新的Zen1進(jìn)行自主開發(fā)，為X86架構(gòu)，從性能上對(duì)比，海光（X86)＞鯤鵬(ARM)＞飛騰(ARM)＞龍芯(MIPS)＞兆芯(X86)。海光以及鯤鵬性能較優(yōu)，龍芯和兆芯目前性能較弱不建議作為選型考慮。

從性能、應(yīng)用適配性以及芯片斷供對(duì)芯片廠家的影響考慮，建議搭建海光（X86）以及鯤鵬(ARM)兩種資源池，一方面目前應(yīng)用系統(tǒng)使用的架構(gòu)均為X86架構(gòu)，且部分應(yīng)用都為老舊應(yīng)用無法進(jìn)行二次改造，如選型為ARM架構(gòu)需做業(yè)務(wù)代碼重構(gòu)，但如選擇基于海光的X86架構(gòu)可平滑遷移現(xiàn)有業(yè)務(wù)至信創(chuàng)云平臺(tái)，可快速滿足云平臺(tái)合規(guī)需求；另一方面，由于擔(dān)心單一芯片選型更容易受到芯片斷供影響，因此建議同步搭建一套鯤鵬芯片的資源池，對(duì)于新建應(yīng)用或者具備遷移至ARM芯片條件的應(yīng)用系統(tǒng)，可以直接在鯤鵬芯片資源池運(yùn)行。

4.服務(wù)器操作系統(tǒng)國(guó)產(chǎn)化改造規(guī)劃

（1）總體方案。對(duì)于新建的政務(wù)信息應(yīng)用系統(tǒng)，選用麒麟或者統(tǒng)信UOS操作系統(tǒng)；對(duì)于已經(jīng)或?qū)⑼７腃entOS版本，有序更換為麒麟和統(tǒng)信UOS操作系統(tǒng)；對(duì)于從技術(shù)層面難以操作實(shí)現(xiàn)的，加強(qiáng)安全保障維護(hù)，確保應(yīng)用系統(tǒng)穩(wěn)定安全運(yùn)行。

一是優(yōu)先遷移獨(dú)立系統(tǒng)或與其他應(yīng)用系統(tǒng)耦合較少的應(yīng)用系統(tǒng)。J2EE程序不存在難度，但是需要找到源代碼，主要涉及配置文件的更改。對(duì)于不同操作系統(tǒng)和不同CPU架構(gòu)都可以進(jìn)行較為順滑的遷移適配。對(duì)于應(yīng)用層面如果系統(tǒng)基于系統(tǒng)的頁面框架使用EasyUI、NUI、JQuery；系統(tǒng)的開發(fā)框架是Struts+Spring+Hibernate、MVC；系統(tǒng)的應(yīng)用服務(wù)器是為運(yùn)行Java程序服務(wù)的，則可較容易實(shí)現(xiàn)遷移。

使用全棧國(guó)產(chǎn)化，CPU跨架構(gòu)遷移，則如圖所示對(duì)JAVA軟件進(jìn)行重構(gòu)：

圖1 JAVA軟件重構(gòu)

二是不能遷移的采用安全接管的加固措施。不能遷移的系統(tǒng)采用EDR等產(chǎn)品的加固方式，由麒麟軟件或者統(tǒng)信進(jìn)行安全接管服務(wù)。

三是測(cè)試驗(yàn)證。在測(cè)試環(huán)境中完成對(duì)數(shù)據(jù)和業(yè)務(wù)系統(tǒng)的遷移測(cè)試工作，驗(yàn)證遷移結(jié)果的正確性以及遷移策略的有效性，對(duì)發(fā)現(xiàn)的問題進(jìn)行優(yōu)化解決。同時(shí)需要在實(shí)驗(yàn)環(huán)境下進(jìn)行完整的功能測(cè)試、性能測(cè)試、可靠性測(cè)試、兼容性測(cè)試等，對(duì)發(fā)現(xiàn)的問題予以解決，形成測(cè)試報(bào)告。

（2）改造流程。目前ZSTACK云平臺(tái)共23臺(tái)Host物理機(jī)節(jié)點(diǎn)運(yùn)行CentOS 7.6作為底層支撐平臺(tái)，面臨Centos停服風(fēng)險(xiǎn)，按照合規(guī)要求，則規(guī)劃ZSTACK底層Host升級(jí)為信創(chuàng)操作系統(tǒng)，ZSTACK針對(duì)已適配銀河麒麟操作系統(tǒng)V10可滿足用戶的合規(guī)要求。云平臺(tái)升級(jí)為最新的國(guó)產(chǎn)操作系統(tǒng)，本質(zhì)上等于平臺(tái)重新部署，但考慮業(yè)務(wù)風(fēng)險(xiǎn),停機(jī)ZSTACK可提供重啟云主機(jī)的方式,以平滑過渡的方式完成底層Host的替換。

5.安全建設(shè)規(guī)劃

以《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》(GBT 22239-2019)為基礎(chǔ)進(jìn)行設(shè)計(jì)，滿足等保三級(jí)要求，考慮到云平臺(tái)的高安全性要求，將基于一期安全建設(shè)成果，以滿足擴(kuò)容為需求，為云用戶（租戶）層面提供安全保障。配置的安全產(chǎn)品里，WAF是硬件，堡壘機(jī)、安騎士、數(shù)據(jù)庫審計(jì)是軟件產(chǎn)品，需要部署在云平臺(tái)虛擬機(jī)上，如圖2。

圖2 云平臺(tái)虛擬機(jī)部署

6.備份建設(shè)

方案規(guī)劃。在LAN網(wǎng)絡(luò)內(nèi)接入一套備份一體機(jī)集群，在ZSTACK計(jì)算節(jié)點(diǎn)（物理機(jī)）上安裝客戶端，以此實(shí)現(xiàn)對(duì)互聯(lián)網(wǎng)VPC及政務(wù)外網(wǎng)VPC云主機(jī)的數(shù)據(jù)備份。為減輕網(wǎng)絡(luò)帶寬壓力，備份部署要求管理網(wǎng)和數(shù)據(jù)網(wǎng)分離，具體如圖3所示：

圖3 備份部署圖

配置要求。考慮到ZSTACK云平臺(tái)擴(kuò)容容量為400TB，按照備份規(guī)律，建議規(guī)劃備份一體機(jī)集群可用空間及容量授權(quán)至少為300TB。同時(shí)，需配置重復(fù)數(shù)據(jù)刪除模塊、永久增量模塊、統(tǒng)一監(jiān)管模塊，以此降低備份存儲(chǔ)空間使用提高備份效率及運(yùn)維效率。

結(jié)語

文章通過分析政務(wù)云平臺(tái)建設(shè)的必要性，從政務(wù)云平臺(tái)的建設(shè)目標(biāo)和建設(shè)內(nèi)容著手，結(jié)合文化和旅游部服務(wù)器資源存在的問題，提出文旅政務(wù)云平臺(tái)建設(shè)的思路，并從云平臺(tái)架構(gòu)設(shè)計(jì)、云平臺(tái)擴(kuò)容規(guī)劃、芯片選型建議、服務(wù)器操作系統(tǒng)國(guó)產(chǎn)化改造規(guī)劃、安全建設(shè)規(guī)劃和備份建設(shè)方面形成方案設(shè)計(jì)，為其他行業(yè)的政務(wù)云平臺(tái)建設(shè)提供參考。