區(qū)域教育云系統(tǒng)的構(gòu)建策略

區(qū)域教育云系統(tǒng)的構(gòu)建策略天津市紅橋區(qū)教師進(jìn)修學(xué)校杜永剛內(nèi)容提要：隨著教育信息化的深入發(fā)展，區(qū)域一級的教育云將成為全面提升學(xué)生學(xué)習(xí)、學(xué)校教育管理水平的重要手段。本文從整體架構(gòu)、主要特點、功能設(shè)計等三方面闡述了區(qū)域教育云系統(tǒng)的構(gòu)建策略，提出區(qū)域教育云系統(tǒng)要體現(xiàn)資源池化，彈性擴(kuò)展，安全可控和智能管理四個方面的特點，對區(qū)域教育云系統(tǒng)所包含的云存儲、云平臺和云安全三大子系統(tǒng)，做出詳細(xì)的功能定位與設(shè)計。關(guān)鍵詞：區(qū)域教育云系統(tǒng)云存儲云平臺云安全《教育信息化十年發(fā)展規(guī)劃（2011-2020年）》提出：我國教育信息化總體上處于“初步應(yīng)用整合”階段，正在向“融合創(chuàng)新”階段邁進(jìn)；認(rèn)為未來十年發(fā)展的重點任務(wù)應(yīng)該是：推進(jìn)信息技術(shù)在教學(xué)、管理、科研等方面的深入應(yīng)用，實現(xiàn)信息技術(shù)與教育的全面深度融合，變革教育理念、模式與方法，支撐教育創(chuàng)新發(fā)展。教育部對教育信息化十年規(guī)劃將重點實現(xiàn)“三通兩平臺”：實現(xiàn)寬帶網(wǎng)絡(luò)校校通，優(yōu)質(zhì)資源班班通，學(xué)習(xí)空間人人通，構(gòu)建教育資源公共服務(wù)平臺和教育管理公共服務(wù)平臺。為了適應(yīng)現(xiàn)代化、信息化教學(xué)的需要，作為區(qū)域教育信息化主管部門，應(yīng)該從“三通兩平臺”入手，全面打造面向基礎(chǔ)教育的區(qū)域教育云系統(tǒng)工程，通過信息化手段全面提升學(xué)生學(xué)習(xí)、學(xué)校教育管理水平。一、區(qū)域教育云系統(tǒng)整體架構(gòu)區(qū)域教育云系統(tǒng)應(yīng)包括云存儲、云平臺和云安全三大子系統(tǒng)，承載教育資源和教育管理的業(yè)務(wù)應(yīng)用和數(shù)據(jù)存儲，如下圖所示。最底層是云存儲系統(tǒng)，云存儲系統(tǒng)通過堆疊的交換設(shè)備與計算資源池中的物理主機連接，采用云存儲管理軟件實現(xiàn)對存儲資源的統(tǒng)一分配和管理，提供節(jié)點級數(shù)據(jù)保護(hù)和本地容災(zāi)，單個節(jié)點發(fā)生故障或需要進(jìn)行設(shè)備升級時不影響業(yè)務(wù)應(yīng)用。存儲資源池初期配置高可靠性云存儲服務(wù)器，容量在TB以上，單個存儲節(jié)點配置為RAID5模式，采取單副本節(jié)點級數(shù)據(jù)保護(hù)，可用容量為0TB以上。業(yè)労應(yīng)鼻脛黑器醉察藪心交換柄存權(quán)園空換楓業(yè)務(wù)網(wǎng)關(guān)撕火腳甲半習(xí)滴堆云存儲簷朋業(yè)労應(yīng)鼻脛黑器醉察藪心交換柄存權(quán)園空換楓業(yè)務(wù)網(wǎng)關(guān)撕火腳甲半習(xí)滴堆云存儲簷朋區(qū)域教育云系統(tǒng)整體架構(gòu)在資源池基礎(chǔ)上以學(xué)校為基本管理單位虛擬出若干臺虛擬機運行教育資源和教育管理系統(tǒng)，各個虛擬機采用多路綁定千兆以太網(wǎng)相互連接，并通過單獨的千兆以太網(wǎng)訪問存儲資源池。納入云平臺管理的服務(wù)器需要合計10顆物理CPU的軟件授權(quán)，其中6顆物理CPU用于前端業(yè)務(wù)應(yīng)用，另4顆物理CPU用于提供數(shù)據(jù)庫服務(wù)，這兩個類型的物理主機之間采取邏輯隔離措施，外部連接無法直接訪問運行數(shù)據(jù)庫服務(wù)的虛擬機。云平臺運行的所有虛擬機采用面向服務(wù)且無狀態(tài)的云安全管理系統(tǒng)，提供跨越物理機和虛擬機的無代理安全防護(hù)功能?；谔摂M化技術(shù)構(gòu)建的云數(shù)據(jù)中心需要采用全新的信息安全防護(hù)系統(tǒng)，能夠通過病毒防護(hù)、訪問控制、入侵檢測、虛擬補丁等功能實現(xiàn)虛擬主機和虛擬系統(tǒng)的安全防護(hù)，并滿足信息系統(tǒng)合規(guī)性審計要求。云安全系統(tǒng)按物理PU顆數(shù)進(jìn)行授權(quán)，合計6顆物理CPU,滿足前端業(yè)務(wù)應(yīng)用安全防護(hù)要求。二、區(qū)域教育云系統(tǒng)主要特點區(qū)域教育云系統(tǒng)的特點主要體現(xiàn)在資源池化，彈性擴(kuò)展，安全可控和智能管理四個方面。資源池化：是將計算資源、存儲資源、網(wǎng)絡(luò)資源通過虛擬化技術(shù)，將構(gòu)成相應(yīng)資源的眾多物理設(shè)備組合成一個整體，形成相應(yīng)的計算資源池、存儲資源池、網(wǎng)絡(luò)資源池，提供給上層應(yīng)用軟件使用。彈性擴(kuò)展：是指實現(xiàn)業(yè)務(wù)系統(tǒng)資源配備的動態(tài)管理和按需調(diào)整，結(jié)合管理系統(tǒng)的資源監(jiān)控，根據(jù)業(yè)務(wù)負(fù)載等情況，調(diào)整業(yè)務(wù)資源配給，保障業(yè)務(wù)系統(tǒng)的資源供給，滿足其運行需要，保障服務(wù)質(zhì)量。安全可控：是指對物理資源、虛擬資源池、虛擬組織提供多類型、多層面的資源實時保護(hù)，整合網(wǎng)絡(luò)安全、系統(tǒng)與應(yīng)用安全、數(shù)據(jù)安全等眾多安全防護(hù)手段，提供多層次全方位的安全防護(hù)和完備的安全管理與監(jiān)控功能。智能管理：主要體現(xiàn)在針對資源的構(gòu)成更加復(fù)雜、規(guī)模更加龐大的基礎(chǔ)設(shè)施，采用資源綜合管理方式，將系統(tǒng)中的計算、存儲、網(wǎng)絡(luò)等資源視為整體系統(tǒng)，實施統(tǒng)一管理有，利于優(yōu)化整體性能、精確定位存在問題。三、區(qū)域教育云系統(tǒng)功能設(shè)計1、云存儲子系統(tǒng)云存儲子系統(tǒng)以存儲虛擬化技術(shù)為基礎(chǔ)，是云數(shù)據(jù)中心的核心部分，由高可靠性存儲服務(wù)器、存儲網(wǎng)絡(luò)交換設(shè)備和云存儲管理系統(tǒng)組成，云存儲管理系統(tǒng)采用可用容量授權(quán)方式。云存儲子系統(tǒng)配置一套高可靠性云存儲服務(wù)器，共有4個存儲節(jié)點，合計容量為48TB。每個節(jié)點配置6塊2TBSATA硬盤，采取RAID5模式，按照N+1計算的每節(jié)點可用容量為10TB。按單副本方式實現(xiàn)節(jié)點級數(shù)據(jù)保護(hù)，云存儲系統(tǒng)總的可用容量為。每個存儲節(jié)點配置用于存儲網(wǎng)絡(luò)的雙口萬兆模塊一個，采用兩臺堆疊交換機實現(xiàn)高速數(shù)據(jù)訪問。數(shù)據(jù)存儲集群通過統(tǒng)一的分布式文件系統(tǒng)，將各類存儲設(shè)備集合起來協(xié)同工作，共同提供數(shù)據(jù)存儲和業(yè)務(wù)訪問功能，能夠同時滿足結(jié)構(gòu)化數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù)存儲要求，可以通過配置方式實現(xiàn)對結(jié)構(gòu)化存儲節(jié)點和非結(jié)構(gòu)化數(shù)據(jù)存儲節(jié)點的資源調(diào)度，采用標(biāo)準(zhǔn)化的接口協(xié)議，支持運行在任何標(biāo)準(zhǔn)IP網(wǎng)絡(luò)上的應(yīng)用程序和客戶端連接，具備大規(guī)模高并發(fā)請求響應(yīng)能力，具備節(jié)點級數(shù)據(jù)保護(hù)和容災(zāi)能力，具有橫向擴(kuò)展能力，通過內(nèi)建的集中式備份功能實現(xiàn)數(shù)據(jù)快照、增量備份和故障恢復(fù)。云存儲子系統(tǒng)具備跨數(shù)據(jù)中心存儲整合管理能力，為主云數(shù)據(jù)中心和各分云數(shù)據(jù)中心之間的業(yè)務(wù)應(yīng)用，資源共享和信息交換提供技術(shù)實現(xiàn)的可能性，提供云數(shù)據(jù)中心異地容災(zāi)能力。云存儲系統(tǒng)可滿足如下五個方面的功能特性：（1） 滿足高性能需求：在虛擬化環(huán)境下滿足硬盤持續(xù)高帶寬、高吞吐量存儲需求，為虛擬機運行提供良好的性能保證。（2） 滿足高可靠性需求：防止因設(shè)備、部件等故障而導(dǎo)致停機或數(shù)據(jù)丟失。數(shù)據(jù)安全已經(jīng)成為了業(yè)務(wù)連續(xù)性的基本保障，傳統(tǒng)的RAID技術(shù)只能從硬盤級別提供數(shù)據(jù)保護(hù)，隨著磁盤數(shù)量的增多，硬盤故障的幾率增加，RAID技術(shù)數(shù)據(jù)恢復(fù)時間長、保護(hù)范圍有限等缺陷使其越來越不能滿足實際應(yīng)用的需求，需要更高可靠性的設(shè)計。（3） 滿足可擴(kuò)展性需求：支持未來靈活在線擴(kuò)展，無論是硬件還是軟件的擴(kuò)充，均需要滿足不斷變化的業(yè)務(wù)需求。對于存儲設(shè)備和空間支持在線擴(kuò)容，能夠滿足未來海量數(shù)據(jù)的爆炸式增長。（4） 滿足可管理性需求：便于存儲系統(tǒng)相關(guān)資源管理及媒體資源一體化管理，使IT管理員更加簡潔有效地監(jiān)控、管理和分配資源。（5）滿足異地容災(zāi)要求：云存儲系統(tǒng)提供跨廣域網(wǎng)的遠(yuǎn)程異地備份和恢復(fù)功能，能夠?qū)崿F(xiàn)對本地存儲數(shù)據(jù)的異地容災(zāi)保護(hù)，消除安全策略的地域限制，從而構(gòu)建全面的、完整的數(shù)據(jù)安全策略。2、云平臺子系統(tǒng)區(qū)域教育云系統(tǒng)的管理需要采用全新的管理模型和靈活的功能架構(gòu)，并且充分考慮基礎(chǔ)設(shè)施、業(yè)務(wù)運行、運維服務(wù)等各種管理要素，面向用戶應(yīng)用需求，通過按需裝配資源組件，建立一個開放式、標(biāo)準(zhǔn)化、易擴(kuò)展、資源可聯(lián)動的統(tǒng)一智能云平臺，實現(xiàn)精細(xì)化管理，為各種業(yè)務(wù)系統(tǒng)提供支撐。云平臺子系統(tǒng)主要進(jìn)行系統(tǒng)資源的服務(wù)化、實現(xiàn)資源快速部署與按需分發(fā)等功能。云平臺系統(tǒng)軟件授權(quán)采用CPU方式，每個計算節(jié)點配置2顆AMDOpteron系列CPU，合計10顆物理CPU。其中6顆物理CPU用于前端業(yè)務(wù)應(yīng)用，另4顆物理CPU用于提供數(shù)據(jù)庫服務(wù)，這兩個類型的物理主機之間采取邏輯隔離措施，外部連接無法直接訪問運行數(shù)據(jù)庫服務(wù)的虛擬機。計算節(jié)點通過服務(wù)器虛擬化技術(shù)實現(xiàn)統(tǒng)一的池化管理。每個計算節(jié)點配置用于業(yè)務(wù)網(wǎng)絡(luò)千兆模塊一個，用于存儲網(wǎng)絡(luò)的千兆模塊一個，云平臺子系統(tǒng)業(yè)務(wù)網(wǎng)絡(luò)采用現(xiàn)有千兆交換機實現(xiàn)互聯(lián)，通過綜合業(yè)務(wù)網(wǎng)關(guān)設(shè)備實現(xiàn)邊界安全管理與防護(hù)。借助于云平臺，可以構(gòu)建易于管理、動態(tài)高效、靈活擴(kuò)展、穩(wěn)定可靠、按需使用的新一代云數(shù)據(jù)中心。云平臺應(yīng)具備硬件無關(guān)性特點，支持主流的標(biāo)準(zhǔn)硬件。采用開放云平臺基礎(chǔ)，不會通過技術(shù)鎖定用戶，提高用戶可選擇性。具備廣泛的軟件兼容性，不必采用第三方管理工具軟件進(jìn)行配合。提供開放的API，可以為用戶或由用戶根據(jù)實際需要進(jìn)行定制開發(fā)。可充分發(fā)揮網(wǎng)絡(luò)擴(kuò)展性，具體包括以下三個方面的功能特性：（1）個性化資源定制能力：管理員可有效管理各個資源域的資源，按用戶所需去定制化用戶所需的服務(wù)，如可以提供各種可供用戶定制化的虛擬機計算服務(wù)、存儲服務(wù)、網(wǎng)絡(luò)服務(wù)以滿足不同用戶不同應(yīng)用業(yè)務(wù)的需求。（2）異構(gòu)化平臺管理能力：能夠支持異構(gòu)虛擬機，可同時管理VMWarevSphere、CitrixXenServer、RedhatKVM等多種虛擬機環(huán)境下的虛擬機并提供統(tǒng)一的管理界面。云平臺應(yīng)允許這三種不同的虛擬軟件系統(tǒng)可以同時在一個資源池中存在，而且這種異構(gòu)模式對用戶是透明的。用戶在使用他們的虛擬機時并不需要關(guān)心是在哪一種虛擬系統(tǒng)上創(chuàng)建的。（3）動態(tài)化資源擴(kuò)展能力：可在不影響當(dāng)前系統(tǒng)及應(yīng)用的前提下進(jìn)行順利擴(kuò)展或者平滑升級，滿足長期發(fā)展的要求。整個系統(tǒng)平臺的動態(tài)化擴(kuò)展能力具體表現(xiàn)在計算資源的動態(tài)擴(kuò)展。這對于用戶提供更多的選擇性和靈活性，同時這種集中式部署也實現(xiàn)了系統(tǒng)的動態(tài)化擴(kuò)展存儲容量。整個共享資源池可根據(jù)用戶的需求在線增加或減少物理服務(wù)器節(jié)點，滿足用戶對于資源的動態(tài)調(diào)配，實現(xiàn)根據(jù)需要靈活地供給和恢復(fù)IT資源，并根據(jù)使用量進(jìn)行計量。3、云安全系統(tǒng)功能針對云平臺子系統(tǒng)面臨的防護(hù)威脅和安全要求，需要部署統(tǒng)一的云安全系統(tǒng)及虛擬機安全引擎，通過病毒防護(hù)、訪問控制、入侵檢測/入侵防護(hù)、虛擬補丁等功能實現(xiàn)虛擬主機和虛擬系統(tǒng)的全面防護(hù)，滿足信息系統(tǒng)合規(guī)性審計要求，構(gòu)建多層次的虛擬化平臺基礎(chǔ)架構(gòu)綜合防護(hù)體系。另外，采用虛擬機安全引擎，在虛擬系統(tǒng)中占用更少的資源還，能有效避免過度消耗宿主服務(wù)器的硬件能力。云安全系統(tǒng)授權(quán)采用CPU方式，滿足前端業(yè)務(wù)應(yīng)用安全防護(hù)要求，合計6顆物理CPU，能夠為物理主機和虛擬機提供統(tǒng)一的安全防護(hù)。云安全系統(tǒng)能夠降低服務(wù)器和虛擬機的安全威脅。傳統(tǒng)安全產(chǎn)品雖然可以在物理網(wǎng)絡(luò)層很好地保護(hù)服務(wù)器系統(tǒng)，但它們終究無法應(yīng)對虛擬系統(tǒng)面臨新的安全威脅，所以需要采用創(chuàng)新的安全技術(shù)才能完善信息安全防護(hù)體系的基礎(chǔ)架構(gòu)，同時具備對最新安全威脅的抵抗力，降低安全威脅出現(xiàn)到可以真正進(jìn)行防范的時間差，提高服務(wù)器的安全性和抗攻擊能力，從而提供業(yè)務(wù)系統(tǒng)應(yīng)用的可用性，云安全系統(tǒng)具備如下三方面功能特性：（1）訪問控制：傳統(tǒng)技術(shù)的防火墻技術(shù)常常以硬件形式存在，用于通過訪問控制和安全區(qū)域間的劃分，計算資源虛擬化后導(dǎo)致邊界模糊，很多的信息交換在虛擬系統(tǒng)內(nèi)部就實現(xiàn)了，而傳統(tǒng)防火墻在物理網(wǎng)絡(luò)層提供訪問控制，如何在虛擬系統(tǒng)內(nèi)部實現(xiàn)訪問控制和病毒傳播抑制是虛擬系統(tǒng)面臨的最基本安全問題。虛擬機安全引擎可以提供基于狀態(tài)檢測的細(xì)粒度訪問控制功能，可以實現(xiàn)針對虛擬交換機基于網(wǎng)口的訪問控制和虛擬系統(tǒng)之間的區(qū)域邏輯隔離，同時支持各種泛洪攻擊的識別和攔截。（2）入侵檢測/防護(hù)：虛擬機安全引擎能夠同時在主機和網(wǎng)絡(luò)層面進(jìn)行入侵監(jiān)測和預(yù)防。隨著虛擬化技術(shù)的出現(xiàn)，傳統(tǒng)的入侵監(jiān)測工具可能沒法融入或運行在虛擬化的網(wǎng)絡(luò)或系統(tǒng)中。云安全管理系統(tǒng)可以對系統(tǒng)交換機或端口組進(jìn)行管理，這時虛擬的IDS傳感器能夠感知在同一虛擬段上的網(wǎng)絡(luò)流量。除了提供傳統(tǒng)IDS/IPS系統(tǒng)功能外，還提供虛擬環(huán)境中基于政策的（policy-based）監(jiān)控和分析工具，使云安全管理系統(tǒng)能夠更精確的進(jìn)行流量監(jiān)控、分析和訪問控制，還能分析網(wǎng)絡(luò)行為，為虛擬網(wǎng)絡(luò)提供更高的安全性。（3）虛擬補丁防護(hù)：隨著新的漏洞不斷出現(xiàn)，傳統(tǒng)數(shù)據(jù)中心管理員在為系統(tǒng)打補丁上疲于應(yīng)付，等待安裝重要安全補丁的維護(hù)時段可能是一段艱難的時期。另外，操作系統(tǒng)及應(yīng)用廠商針對一些版本不提供漏洞的補丁，或者發(fā)布補丁的時間嚴(yán)重滯后，還有最重要的是，如果IT人員的配備不足，時間又不充裕，那么系統(tǒng)在審查、測試和安裝官方補丁更新期間很容易陷入風(fēng)險。云安全管理系統(tǒng)通過虛擬補丁技術(shù)完全可以解決由于補丁導(dǎo)致的問題，通過在虛擬系統(tǒng)的接口對虛擬機系統(tǒng)進(jìn)行評估，并可以自動對每個虛擬主機提供全面的漏洞修補功能，在操作系統(tǒng)在沒有安裝補丁程序之前，提供針對漏洞攻擊的攔截。云安全管理系統(tǒng)的虛擬補丁功能既不需要停機安裝，也不需要進(jìn)行廣泛的應(yīng)用程序測試。構(gòu)建區(qū)域教育云系統(tǒng)，能夠打破目前教育信息化的不均衡和不兼容，學(xué)校和相關(guān)教育部門可以統(tǒng)一使用云平臺獲得相同的硬件基礎(chǔ)設(shè)施服務(wù)和軟件平臺服務(wù)，提供兼有共性服務(wù)和個性服務(wù)兩種功能的教育服務(wù)平臺建設(shè)。以資源為中心，以學(xué)生為核心，以優(yōu)質(zhì)的教學(xué)共享資源為基礎(chǔ)，以科學(xué)的教育管理服務(wù)水平為指導(dǎo)，以教育管理與先進(jìn)的技術(shù)相融合為手段，構(gòu)建統(tǒng)一的用戶信息管理系統(tǒng)和優(yōu)質(zhì)教育資源中心，有效解決教育信息互通、數(shù)據(jù)共享和應(yīng)用集成等傳統(tǒng)教育信息化建設(shè)出現(xiàn)的各類問題，真正實現(xiàn)數(shù)據(jù)共享、資源整合、應(yīng)用集成的教育應(yīng)用服務(wù)目標(biāo)。參考文獻(xiàn)：教育部.教育信息化十年發(fā)展規(guī)劃（2011-2020年）[DB/OL]./ewebeditor/