政務云平臺建設思路探討

陳慧娟

2022年，中辦29號文提出繼續推進信息化自主可控；中央網信辦13號文提出做好應對已失去官方技術支持的服務器操作系統的要求；國務院《關于加強數字政府建設的指導意見》提出，依托全國一體化政務大數據體系，統籌整合現有政務云資源，構建全國一體化政務云平臺體系，實現政務云資源統籌建設、互聯互通、集約共享。

一、政務上云已成普遍趨勢

政府數字化轉型步伐加快，政務服務的變化驅動網絡技術演進，電子政務的發展不能一成不變，傳統服務器投入成本高、資源浪費、性價比低，急需探索發展新模式，轉變建設思路和規劃理念，鼓勵應用虛擬化、云計算技術整合改造現有電子政務信息系統，實現各領域從分散式向集約化轉變。近年來，政務上云已成普遍趨勢，國家、省、市級各單位各部門逐步采用建設服務器虛擬化平臺方式提供服務器資源，虛擬化技術的優勢在于可以將傳統服務器的空閑算力資源分配給其他業務系統使用，提高了服務器的利用率，同時虛擬化的快照等技術也大大提高了服務器的安全性。

二、政務云平臺建設目標和建設內容

（一）建設目標

從系統的可擴展性、安全性、可靠性等多個方面綜合考慮，達到以下目標：[1]

1.設計規范化，統籌信息基礎設施。在政務外網建設一套新的規范的虛擬化平臺，構建統一的政務云中心，符合《基于云計算的電子政務公共平臺頂層設計指南》等國家及行業標準，并將已有平臺的政務外網業務遷移至該平臺，充分整合利用各地各部門電子政務網絡設施，減少不必要的重復投入，實現互聯互通、集約共享、安全可控。

2.數據資源集中化，健全云服務目錄。包含計算、存儲、網絡、安全、備份、中間件、數據庫等云服務目錄，同時兼顧各使用部門現有系統軟硬件資源情況，提供設備托管服務，便于使用部門利舊。方便用戶以數據為中心構建政務應用，提升各政務部門信息化應用水平。

3.構建安全保障體系。按照《信息安全技術網絡安全等級保護基本要求》等國家政務云相關安全要求，開展數據備份建設工作，強化數據備份手段，確保數據安全，構建完整、有效、可信的政務云安全保障體系架構。[2]

（二）建設內容

采用云計算資源池建設模式，充分考慮既有系統搬遷和新系統建設需求，所有資源整合后在邏輯上以單一整體的形式呈現，并根據需要進行動態擴展和配置。統籌利用已有的計算資源、網絡資源、存儲資源、應用支撐、信息資源等條件，根據業務需求，為各用戶提供基礎設施、支撐軟件、應用功能、信息資源、運行保障和信息安全等服務的基于云計算的服務平臺，實現服務資源集中管理，為各類業務提供有力保障與支撐。建設內容包括：

1.進一步“云”化政務云平臺，即：建設業務系統所需的統一的資源池?！霸啤被哪康木褪前褦祿行牡乃匈Y源按照承載服務對象的不同，形成統一資源池。業務部署時優先考慮使用虛擬化平臺，對虛擬主機無法滿足的應用業務，使用物理服務器來滿足。[3]

2.統一管理運營運維平臺，即：實現對政務云資源的統一管理。建立統一的運營運維服務體系，制定服務標準和規范，提供滿足需求、響應及時、安全可靠的運維保障服務，包括為保障業務應用的順利部署、開通，以及網絡、硬件、軟件、數據、機房環境等安全、穩定、高效運行而進行的一系列策劃、實施、檢查與改進過程，實現政務云多云管理高效協同運維。[4]

三、文化和旅游部云平臺建設思路探討

自2015年起，文化和旅游信息化業務建設的需求增加，逐步采用建設虛擬化平臺方式提供服務器資源。

（一）存在問題

1.設施集約不足。目前，基礎設施資源中部分服務器已滿6年或近6年，超過使用年限，其穩定性和性能逐漸降低；近兩年在疫情影響下，信息化建設需求激增，新建大量虛擬機用以保障業務發展，致使虛擬化平臺服務器資源長時間處于超負荷狀態，存儲空間日趨緊張，使用率均超過80%，已不能滿足虛擬機定期鏡像和備份的基本要求。

2.版本老化嚴重。在2015年至2017年期間建設的Vmware和華為Fusion Sphere虛擬化軟件不支持國產化操作系統。按照中央網信辦要求，采用CentOS操作系統的服務器須更換為國產化操作系統。根據官方通報，所使用的Vmware Vsphere6.0以及華為Fusion Sphere 6.1版本不再支持較新版本的Linux操作系統及國產化操作系統。同時，由于Vmware和華為虛擬化版本較老，升級到新版本風險極高，不具備升級條件，因此不建議在這兩個版本虛擬化上面增加新的業務系統。

3.缺乏統一規劃，無法統一管理。目前各單位建設的虛擬化平臺7個，由于每個平臺需要保留一定的資源供平臺自身使用，因此7個平臺會比1個平臺的資源利用率降低。同時由于7個平臺用了三套不同的虛擬化平臺，目前無法做到統一管理統一分配，亟需使用納管平臺進行統一管理，統一資源調配。另外，缺乏統一備份管理，當前有的采用本地快照方式備份，有的采用備份一體機的方式備份，前者相較于后者存在一定安全風險，整體備份方式不統一。

（二）解決思路

一是對軟硬件基礎較好的云平臺開展升級擴容工作，將存在隱患的互聯網應用系統逐步遷移到該云平臺上，此種方式最為經濟，最終實現統一管理、統一建設、協調高效的運維機制。

二是同步開展操作系統及硬件的國產化遷移替代工作，保障網絡安全和供應安全。建議選擇銀河麒麟、統信UOS操作系統與X86和ARM兩大CPU技術路線，因其有著豐富的生態、較高的性能，并經歷了市場的檢驗。使用同源異構的銀河麒麟操作系統和統信UOS操作系統，是因其在中國Linux市場占有率排名前列，能夠有效的避免斷供風險。

三是建設多云管理平臺，實現兩套云平臺的統一管理；開展數據備份建設工作，強化數據備份手段，確保數據安全。

（三）方案設計

1.云平臺架構設計

云平臺ISW交換機通過防火墻與云外網絡互聯，云外網絡包括互聯網或云外其他業務網絡。

在訪問控制方面，通過配置白名單方式在網絡邊界或區域之間根據訪問控制策略設置訪問控制規則，刪除多余或無效的訪問控制規則，優化訪問控制列表，并保證訪問控制規則數量最小化；通過物理防火墻或安全組對源地址、源端口和協議等進行檢查，以允許/拒絕數據包進出，并提供明確的允許/拒絕訪問的能力；通過Web應用防火墻對進出網絡的數據流實現基于應用協議和應用內容的訪問控制。

在網絡架構層面，網絡匯聚區：主要由兩臺核心交換機（DSW）組成，核心交換機選擇框式交換機,并下掛8臺接入交換機（ASW）。

2.云平臺擴容規劃

存儲擴容。目前共需要372TB存儲容量，ZSTACK云平臺可用存儲容量為106TB存儲容量,為了平臺穩定性，建議再擴容300TB存儲容量。按照每臺有效容量32T計算，建議擴容10臺分布式存儲服務器。

計算資源擴容。目前Vmware和華為云共40臺服務器，每臺服務器配置256GB內存共10,240GB內存，現有ZSTACK云平臺共有約4TB內存可用空間，建議再擴容約6TB內存容量空間，從而滿足CPU和內存需求，建議擴容45臺物理機。

3.芯片選型建議

目前，國產CPU中鯤鵬、飛騰、海光、龍芯采用指令集授權或自研架構，自主先進程度相對較高。其中鯤鵬、飛騰為ARM架構，龍芯為MIPS自研架構，海光基于AMD最新的Zen1進行自主開發，為X86架構，從性能上對比，海光（X86)＞鯤鵬(ARM)＞飛騰(ARM)＞龍芯(MIPS)＞兆芯(X86)。海光以及鯤鵬性能較優，龍芯和兆芯目前性能較弱不建議作為選型考慮。

從性能、應用適配性以及芯片斷供對芯片廠家的影響考慮，建議搭建海光（X86）以及鯤鵬(ARM)兩種資源池，一方面目前應用系統使用的架構均為X86架構，且部分應用都為老舊應用無法進行二次改造，如選型為ARM架構需做業務代碼重構，但如選擇基于海光的X86架構可平滑遷移現有業務至信創云平臺，可快速滿足云平臺合規需求；另一方面，由于擔心單一芯片選型更容易受到芯片斷供影響，因此建議同步搭建一套鯤鵬芯片的資源池，對于新建應用或者具備遷移至ARM芯片條件的應用系統，可以直接在鯤鵬芯片資源池運行。

4.服務器操作系統國產化改造規劃

（1）總體方案。對于新建的政務信息應用系統，選用麒麟或者統信UOS操作系統；對于已經或將停服的CentOS版本，有序更換為麒麟和統信UOS操作系統；對于從技術層面難以操作實現的，加強安全保障維護，確保應用系統穩定安全運行。

一是優先遷移獨立系統或與其他應用系統耦合較少的應用系統。J2EE程序不存在難度，但是需要找到源代碼，主要涉及配置文件的更改。對于不同操作系統和不同CPU架構都可以進行較為順滑的遷移適配。對于應用層面如果系統基于系統的頁面框架使用EasyUI、NUI、JQuery；系統的開發框架是Struts+Spring+Hibernate、MVC；系統的應用服務器是為運行Java程序服務的，則可較容易實現遷移。

使用全棧國產化，CPU跨架構遷移，則如圖所示對JAVA軟件進行重構：

圖1 JAVA軟件重構

二是不能遷移的采用安全接管的加固措施。不能遷移的系統采用EDR等產品的加固方式，由麒麟軟件或者統信進行安全接管服務。

三是測試驗證。在測試環境中完成對數據和業務系統的遷移測試工作，驗證遷移結果的正確性以及遷移策略的有效性，對發現的問題進行優化解決。同時需要在實驗環境下進行完整的功能測試、性能測試、可靠性測試、兼容性測試等，對發現的問題予以解決，形成測試報告。

（2）改造流程。目前ZSTACK云平臺共23臺Host物理機節點運行CentOS 7.6作為底層支撐平臺，面臨Centos停服風險，按照合規要求，則規劃ZSTACK底層Host升級為信創操作系統，ZSTACK針對已適配銀河麒麟操作系統V10可滿足用戶的合規要求。云平臺升級為最新的國產操作系統，本質上等于平臺重新部署，但考慮業務風險,停機ZSTACK可提供重啟云主機的方式,以平滑過渡的方式完成底層Host的替換。

5.安全建設規劃

以《網絡安全等級保護基本要求》(GBT 22239-2019)為基礎進行設計，滿足等保三級要求，考慮到云平臺的高安全性要求，將基于一期安全建設成果，以滿足擴容為需求，為云用戶（租戶）層面提供安全保障。配置的安全產品里，WAF是硬件，堡壘機、安騎士、數據庫審計是軟件產品，需要部署在云平臺虛擬機上，如圖2。

圖2 云平臺虛擬機部署

6.備份建設

方案規劃。在LAN網絡內接入一套備份一體機集群，在ZSTACK計算節點（物理機）上安裝客戶端，以此實現對互聯網VPC及政務外網VPC云主機的數據備份。為減輕網絡帶寬壓力，備份部署要求管理網和數據網分離，具體如圖3所示：

圖3 備份部署圖

配置要求?？紤]到ZSTACK云平臺擴容容量為400TB，按照備份規律，建議規劃備份一體機集群可用空間及容量授權至少為300TB。同時，需配置重復數據刪除模塊、永久增量模塊、統一監管模塊，以此降低備份存儲空間使用提高備份效率及運維效率。

結語

文章通過分析政務云平臺建設的必要性，從政務云平臺的建設目標和建設內容著手，結合文化和旅游部服務器資源存在的問題，提出文旅政務云平臺建設的思路，并從云平臺架構設計、云平臺擴容規劃、芯片選型建議、服務器操作系統國產化改造規劃、安全建設規劃和備份建設方面形成方案設計，為其他行業的政務云平臺建設提供參考。