企业私有云案例

VA技术支持

【摘要】私有云IT平台的安全性必须给予足够重视，应提供必要的安全管理手段和功能：登录安全保护、接入安全验证、服务器安全策略、实时监控、安全审计以及虚拟应用自身的系统数据安全操作等。

　　从最初作为满足“远程接入”、“远程应用”刚性需求而出现的虚拟应用软件，在逐步体现出占用资源少、便于管理集中应用等优势之后，得到了更多认可。随着移动客户端的需求快速增长，虚拟应用模式对于跨平台的支持更加有了用武之地，越来越多的企事业单位选择使用虚拟应用软件来搭建私有云IT平台。

　　与此同时，与受限于局域网相比，访问接入的开放将给信息系统的安全带来更多的考验，必须给予足够重视。作为虚拟应用管理的平台软件，应提供必要的安全管理手段和功能。

　　一、登录安全保护

　　用户名/密码（静态口令）登录基本上依靠用户本人的安全意识，是系统安全的主要隐患。对安全要求较高的用户登录方式，目前常用的有动态密码（动态口令）、 USB Key（U盾、加密锁）等，操作简单，安全性强。随着此类硬件产品的完善和价格降低，已经得到广泛普及。

　　私有云IT平台需要提供对动态口令和USB Key的支持，满足重要岗位或应用的安全性高要求。特别是USB Key登录方式，带来的操作便捷也会显著提升用户体验的满意度。

图1： USB Disk Key是VA虚拟应用管理平台客户端登录模式之一，该模式可以简化登录和提升安全

　　二、接入安全验证

　　作为企业内部的信息管理系统，仅仅依靠用户名/密码访问验证是不够的，多数情况下还需要更复杂的后台验证，同时对访问对象进行适当的限制。这类验证技术的实现我们称之为“接入防火墙”。

　　接入防火墙设置访问规则，保障“云终端”访问的合法性。防火墙通过用户/用户组、IP地址/客户机指纹/客户机名/内外网限制等方式过滤客户端设备，从而保证了合法的客户端访问服务器。同时防火墙还可以控制客户端或注册用户访问不同应用的时间。因此接入防火墙可以简单描述为：什么人、从哪来、在什么时间、访问什么应用、被允许还是被拒绝。

　　还可以对系统运行的稳定性发挥作用。例如，可以限制外网访问某些网络流量较大的应用，保护其他的远程接入带宽。

图2： VA虚拟应用管理防火墙 对访问者和访问资源全面管理

　　三、服务器安全策略

　　虚拟应用采用基于服务器计算模式技术（server-based  computing），服务器集群是应用虚拟化的基础平台，保证了这个平台的稳定和安全，就保证了私有云系统的稳定和安全。为了更好地对服务器系统进行安全策略设置，需要针对虚拟应用的特点，预设各种级别安全策略，并支持自定义安全策略，为每个用户绑定。

　　在某些情况下，安全策略的限制会造成应用程序加载问题，所以需要能够设置应用程序的不同加载方式，避免此类问题。

图3：VA虚拟应用的服务器安全策略，通过200余项策略设置，可以有效防范对服务器未经授权的操作。

　　四、实时监控

　　系统的实时监控包括：服务器资源和运行状态、接入会话的全面信息、被访问应用的情况等。可以查看整个平台的实时状态和访问细节，必要时可进行干预控制和应急处理。

图4：VA虚拟应用的集群状态监控，包括图示服务器状态和会话状态、应用状态

　　五、系统数据安全

　　虚拟应用自身的系统数据安全必须得到有效保护。同时，备份与恢复的操作，卸载、升级以及迁移等情况下的处理，应该提供相应的维护工具和实用的处理方案。

图5：VA虚拟应用的系统数据安全设计，有效保障云计算平台安全

　　六、安全审计

　　作为例行监督检查或事后核查，安全审计的基础，是系统运行和用户活动的相关记录。系统需要提供尽可能全面的数据和核查功能，包括上述安全管理的记录、会话和访问应用的记录、打印记录、系统运行报警事件记录、文件访问记录等。

图6：VA虚拟应用的历史日记数据 提供全面的运行记录

　　总结：信息系统的安全需要全方位的保护，建设私有云信息化平台应该选择具有全方位安全功能的虚拟应用软件，在保证技术手段的同时，还要重视安全管理制度的建设和执行，为新一代的企业IT平台提供有效的安全保障。