首页 >饮食

易捷思达架构师宋巍OpenStack数据

2019-12-04 06:33:13 | 来源: 饮食

易捷思达架构师宋巍:OpenStack数据保护思考及实践

我今天分享的话题是OpenStack数据保护思考及实践,我为什么选这个话题呢?我们拿到会务组邀请以后,我们内部定了两个问题,一个是行业云在OpenStack的落地思考,另外一个是EasyStack数据保护思考与实践,因为我们给客户拜访、交流、服务当中,发现很多用户对于OpenStack的安全,或者OpenStack在企业构建以后,如何在哪些方面提高可靠性安全性,有很多疑问。所以基于这一点考虑,我们准备今天的话题也在OpenStack方面的安全防护方面的思考及实践。这是一个完整云系统的参考架构,这个非常细了,包括资源层、服务层、访问层、用户层,这是我们做云的时候参考的模型,我们发现它特意把安全放在跨横的里面,也就是说,不管在资源层、服务层、访问层、用户层,每一层都需要安全,其实安全话题很大。今天因为时间很短,我没有办法展开说,今天更多是说基于OpenStack落地的时候我们应该考虑哪些安全。这张片子列出了整体云安全,包括介入层安全、云自身平台安全、云服务安全、传统云安全、安全运维平台等等。EasyStack是创业公司,我们人员非常有限,我们可能把它们做得很大,所以我们强调一个是专注,一个是开放,专注是专注在专业领域,开放是我们秉持包容的心态,所以我们通过合作伙伴方式一体的完善解决方案,把我们解决方案最终交付给用户,让用户能够放心可靠的使用这个平台。

所以图上蓝色的主要是我们自己关注的OpenStack安全加固,怎么在OpenStack平台里完成数据保护,包括数据备份、数据恢复、容灾。安全方面更多是包括OpenStack计算、存储、络,这里面会发现落地的时候用户可能不光关心性能,稳定性,还会关心安全。这几个模块其实有很多跟安全相关的点,我们可以完善。所以刚才我也说到,其实我们今天更多话题是想让大家了解OpenStack每个层面模块在社区里面,社区的建议是什么,我们怎么做。这张片子应该是我在两年前拿到的片子,这张片子里总结了一些OpenStack常用的安全技术,包括我们大家耳熟能详的安全组、防火墙技术,每个技术所分布的点,还包括一些特定的点,包括防火墙项目,包括策略安全项目,这个其实是从整体上来看,OpenStack目前已经提供了一些和安全相关的功能,或者一些项目。我们在去介绍整体方案之前,我想让大家看一下OpenStack每个点里面有很多非常细的安全要求,我是分模块来说。我的模块里所列出所有的一些建议或者意见,都是摘自OpenStack社区安全建云手册,里面列出了我们应该做的安全防护措施,通过安全防护措施加固每个模块安全的等级,通过每个模块分组以后,来完善平台安全性。这里面列出了很多,比如提到访问首先用户端访问用户界面的时候,提到的一些方式。同时提到私有云配置的时候,可以通过一些主机登录到平台来进行防护,另外建议不采用二次域名的方式,因为有些用户是主域名下面有二次域名,这些域名是很容易被发现的,所以面临很多安全风险。这只是我总结的一部分,每个模块里都有很多的安全要求。

下面是认证,认证也提到很多,比如说要配置访问控制列表,要配置访问控制策略,包括过期时间也要配置,包括每次请求的最大size也要配置,如果不配置的话,可能有一些黑客或者不法人员对整个访问造成堵塞。包括OpenStack和其他组件的访问,建议通过安全电路传输,通过安全协议来访问。这些都是在白皮书里所列到的,大家可以自己回去到OpenStack站上查,专门有安全的文档,大家可以从文档里面看到非常细的介绍。包括计算也提到很多,包括操作系统层,虚拟机层也需要做加固,这里面也提到很多加固的措施。在存储方面,也提到了很多点,一个是配置文件的读写,控制权限,包括建议我们启动删除的功能,当你把卷删除的时候能够触发底层机制进行删除,保证数据可靠。同时建议需要增加一些和卷加密相关的机制,来对存储在数据卷上的数据或者文件进行加密保护。另外在规划的时候,书里面也提到建议我们配置多后端存储,给不同租户把他的数据放在不同存储说,实现物理隔离,这个其实是社区对Cinder的要求和建议。

络服务也包括配置文件、权限、访问控制、每个组件安全访问协议的配置,包括要去对端口做一些安全防护,包括做一些配置限额,包括用户访问需要先经过验证,然后再进行后台访问。在镜像方面提到要对镜像卷进行加密,同时对镜像做数字签名,这样规避一些风险。后面是一些对象存储,包括我们在OpenStack平台里除了刚才提到的OpenStack自身的一些项目之外,我们还会使用到一些数据库,相对列,在数据库、相对列社区给到一些建议,比如相对列建议配置相对列隔离机制,我们其实是吸收了社区很好的建议,同时基于我们的理解我们也做了一定强化,我们推出了OpenStack针对ESCloud多层面、多维度云安全体系,在这个体系里,我们看到不光包括安全,还包括数据保护,还包括监控。基本来说我们架构整体分成几个层次,首先是底层系统层,包括操作系统、虚拟机、内核。第二层是数据层,存储在OpenStack不管是对象层,还是块层,这些数据怎么做保护。另外是传输层,包括内部传输,包括内部对外部的传输。然后是接入层,用户登录平台的时候我们也做一些安全防护,刚才谈到更多是一些横向,纵向我们贯穿每一层包括监控、日志管理,对安全的风险管理,包括数据备份,包括平台容灾点在里面。所以这个其实是我们EasyStack针对OpenStack提供的一整套安全防控体系。每一层我们都用了哪些技术呢?

首先看接入层,用户访问OpenStack的时候,可以通过命令行,可以通过API和用户功能界面。在访问层我们做了一些工作,比如要求客户,包括客户端访问OpenStackUI的时候,我们建议必须通过HTS进行访问。第二,我们做了一些访问站点安全加固,提升安全的效果。第三,我们用社区帮助你做身份认证和授权,但是基于我们之前服务的一些企业,对客户的需求,我们自己设计的一个四层组织架构,我们做到了企业、部门、项目、用户,针对每一层我们都提供相应的安全防护策略。另外我们也提供多租户隔离,包括用户配置申请也好,调整也好,都是通过流程化方式进行批复。同时用户在平台里做的任何一项操作,我们都是有日志的,可以做后台审计。另外是虚拟机访问的时候,我们会通过加密机制,让用户访问OpenStack平台所提供的云主机安全防控。这个更多是在接入层,在用户界面层提供一些跟安全相关的东西。

在传输层面,我们也加了很多,除了社区提供的安全组、防火墙之外,我们还提供了很多功能,比如在规划层面,帮助用户设计逻辑格局或者物理格局安全域,通过安全域隔离风险,包括络也会提供不同络的保护数据。另外EasyStack有自己一些擅长的领域,安全范围很大,我们不可能包罗万象,我们也会借助第三方力量完善我们解决方案。在传输层结合第三方解决方案,为络服务加固,包括我们也会结合第三方解决方案来进行有络安全行为的分析,包括预警功能在里面。在部署的时候,如果我们结合第三方方案的时候,我们在部署的时候会有很多种部署方式,包括纯软方式,包括软硬结合的方式,来满足不同场景。

数据层方面首先会对数据卷加密,如果用户可以提供高端商业化存储的话,商业化存储是有自己内置安全机制在里面的,我们会对于存储在商业存储里面的文件进行加密。同时在分布式存储方面,我们通过对数据链进行加密。另外我们会借助社区的项目,对于数据库、配置文件、日志当中核心敏感数据做加密存储。另外我们建议有能力的客户尽量配置多后端存储,把敏感数据放在相互隔离的存储上,这样会稍微好一些。

在系统层面,因为我们专门有一个团队,系统工程团队,他们主要是做操作系统,然后做内核,包括做虚拟化的。所以他们会定期发布一些针对操作系统也好,针对虚拟机也好的安全补丁,我们把安全补丁打在我们自己虚拟机平台里,去做一些安全防护。除此之外,我们在操作层里也开启很多功能,包括对系统文件做保护,对账号做控制,包括我们会开启审计功能,包括开启操作系统跟安全相关的功能,我们也会打开。这样在操作系统层面和虚拟机层面,我们尽量保证底层统一性。同时我们会联合第三方合作伙伴,来实现操作系统层面的杀毒功能,包括漏洞扫描功能,同时也会跟第三方合作伙伴结合在一起,加入一些主机监控功能,包括主机防护功能等等。你会发现我们整体方案一部分是通过自研方式实现,一部分借助生态,和合作伙伴一起把底层做牢固。

在日志管理和平台监控方面,基本上我们是follow社区一些开源标准,我们无非是在上面做一些改造。在数据备份方面,现在基本有两种思路,一种思路是我们会用社区备份通过对OpenStack控制节点数据、配置文件、主机来做备份恢复。我们也看到很多用户还留存着一些传统的商业化备份软件,我们在项目上也跟他们有合作的。平台高可用方面,我们基本上针对控制平面,计算平面,络平面,存储都做了高可用性。前不久我们也在客户现场实际模拟机柜感知,我们宕了整个机柜,包括业务和访问都没有中断,当然这是跟可靠性相关的,但是我们恶化总额方案的时候,我们会把可靠性、数据保护,安全防护统统放在安全体系里考虑。最后一个是平台容灾,这个话题尤其金融行业经常会提到怎么做容灾,尤其OpenStack怎么做容灾,经过我们跟客户长期交流探讨,我们设置了基于OpenStack平台的灾备体系,灾备体系里我们主要是防控虚拟机和平台,当虚拟机出现问题的时候我们可以把虚拟机拉出来,当平台出现问题的时候,我们可以在备站点把平台拉起来。当然我们在容灾方面还是更多做数据层,对于IPU、ITO等等是有一些考虑在里面的,可能跟传统相比是稍微有一些差距。

这是我们当时设计的基于OpenStack平台的主备数据及灾备的流程,整体来说,我们会设计一个高敏组概念,把虚拟机放在高敏组里面以后,后台会自动触发虚拟机原数据和虚拟机跨站点的复制,复制以后会通知灾备平台,灾备平台就知道现在两家数据是一致的,当虚拟机做某个站点出问题的时候,我们可以直接把虚拟机拉起来。目前我们考虑的是主备的,下一步我们会考虑同城互备的数据灾备,这个要一点点往下走,等到把所有技术坑趟过以后你才会知道遇到什么问题。我们想法是两个站点做备份的时候,对数据库也好,对于存储也好,我们设计初衷是开放,完全开源,但是路到一步一步走

,所以我们最开始的时候,在落地的时候基于SIF,SIF做数据复制的时候是需要单独链路做复制,还是需要一起走。这些都是我们趟过的坑,因为时间问题,我只是简单把我们在OpenStack层面,我们一些针对数据的防护,数据保护,安全防护一些思考和我们的一些实践,大概给大家分享一下。如果大家有兴趣,我们可以在台下一起交流。最后是我们公司号,大家如果感兴趣可以加一下,另外是我们开源社区的号,主要会发布OpenStack相关的文章。谢谢大家!

宝宝消化不良吃什么好宝宝脾虚吃什么小孩健脾胃的药吃什么好

蕉岭县人民医院
北京京都儿童做检查的费用是多少
乐山好的牛皮癣医院
河北那家专科医院治疗癫痫病
宜昌治疗盆腔炎方法

猜你喜欢