雲端運算系統架構

1. NIST的雲端運算定義 8-1 雲端儲存技術與雲端儲存服務 8-5 雲端運算系統架構 8-2 行動雲端運算（MCC） 8-6 統一Fabric和網路雲端 8-3 小結 8-7 雲端安全與安全作為雲端服務 8-4

2. 8.1NIST的雲端運算定義 • 據ISO組織2009年的調查，雲端運算的定義多達20多種（如圖8-1所示），業內人士都難以統一意見，發出同一個聲音，作為業外人士的大部分使用者和各界需要瞭解雲端運算的人士就更是“雲裏來，霧裏去”了。 圖8-1

3. 要對雲端有一個清晰的理解就必須抓住與之相關的技術發展和演變的主線。要對雲端有一個清晰的理解就必須抓住與之相關的技術發展和演變的主線。 • 主線可以總結為如下兩點。 • 網格運算（包括分散式計算、機群和群集、並行與超級計算、HPC等）系統架構提供基礎設施（計算節點、儲存資源等），即IaaS。

4. 中間層（包括SOA、Web Services、Multi-Tenancy、Hypervisor單機虛擬化等技術和Grid Middleware、DRM、PFS、多機虛擬化、公用計算等技術）提供可互操作的業務整合平台（PaaS）和在其上建立的應用軟體（SaaS）。

5. 可按IBM的分步法（如圖8-3所示），把它們轉換成一個高效率的雲端運算系統。可按IBM的分步法（如圖8-3所示），把它們轉換成一個高效率的雲端運算系統。 • 使用以Hypervisor為主的單機虛擬化技術，把計算資源整合（Consolidate）為執行少數幾種需要的OS機組。 • 使用多機虛擬化技術，也就是分散式（Grid Middleware）機群和群集技術，把所有的計算資源整合為一個或多個為不同用途服務的系統。

6. 使用SOA（Web Services）、效用（Utility）計算、多租戶（Multi-Tenancy）。

7. 圖8-3

8. NIST提出了一個雲端運算的定義，這可能是目前唯一一個得到廣泛認同和支援的定義。NIST提出了一個雲端運算的定義，這可能是目前唯一一個得到廣泛認同和支援的定義。 • 雲端運算是一種能夠透過網路以便利的、按需付費的方式獲取計算資源（包括網路、伺服器、儲存、應用和服務等）並提高其可用性的模式，這些資源來自一個共用的、可配置的資源池，並能夠以最省力和無人干預的方式取得和釋放。這種模式具有5個關鍵功能，還包括3種服務模式和4種部署方式。

9. 有12種技術是雲端運算的基礎或是雲端運算得以成為它現在達到的狀態的致能技術或推動力量：虛擬化、分散式計算、自治系統技術（Autonomic Systems）、網格運算、寬頻網、Web 2.0、SOA、開源軟體、Web應用框架、瀏覽器的發展、SLA（Servcie Level Aggreements）、公用計算。

10. 8.2　雲端運算系統架構 • 美國總統奧巴馬在2009年3月5日任命Vivek Kundra為聯邦政府第一任首席資訊官CIO，在2009年5月22日任命Aneesh Chopra為美國的第一位首席技術官CTO。CIO所承擔的責任是利用資訊技術來改造政府的業務處理方法。CTO的職責是利用先進技術制定國家戰略，改變國家經濟和社會形式，例如，促進私營企業的創新，透過應用IT減少醫療業的行政銷耗和醫療錯誤，並利用科技改善教育狀況等。

11. 在新CIO的推動下，正在積極推進聯邦機構採購雲端運算服務並專門建立了apps.gov網站。雲端運算可以幫助“降低政府運作成本，同時推動創新”，他認為雲端運算是“已經很久沒有出現過了的一場大革命” 。

12. 8.2.1　三層SPI架構 • 按NIST的定義，雲端運算的三個服務模式：如圖8-6所示。 • SaaS：提供給客戶的服務是營運商執行在雲端運算基礎設施上的應用程式，使用者可以在各種設備上透過精簡型電腦存取，如瀏覽器。消費者不需要管理或控制任何雲端運算基礎設施，包括網路、伺服器、作業系統、儲存等等。

13. PaaS：提供給消費者的服務是把客戶採用提供的開發語言和工具（例如Java、python、.Net等）開發的或收購的應用程式部署到供應商的雲端運算基礎設施上。客戶不需要管理或控制底層的雲端基礎設施，包括網路、伺服器、作業系統、儲存等，但客戶能控制部署的應用程式，也可能控制執行應用程式的託管環境配置。PaaS：提供給消費者的服務是把客戶採用提供的開發語言和工具（例如Java、python、.Net等）開發的或收購的應用程式部署到供應商的雲端運算基礎設施上。客戶不需要管理或控制底層的雲端基礎設施，包括網路、伺服器、作業系統、儲存等，但客戶能控制部署的應用程式，也可能控制執行應用程式的託管環境配置。

14. IaaS：提供給消費者的服務是對所有設施的利用，包括處理、儲存、網路和其他基本的計算資源，使用者能夠部署和執行任意軟體，包括作業系統和應用程式。消費者不管理或控制任何雲端運算基礎設施，但能控制作業系統的選擇、儲存空間、部署的應用，也有可能獲得有限制的網路元件（例如，防火牆、負載等化器等）的控制。 IaaS：提供給消費者的服務是對所有設施的利用，包括處理、儲存、網路和其他基本的計算資源，使用者能夠部署和執行任意軟體，包括作業系統和應用程式。消費者不管理或控制任何雲端運算基礎設施，但能控制作業系統的選擇、儲存空間、部署的應用，也有可能獲得有限制的網路元件（例如，防火牆、負載等化器等）的控制。

15. 圖8-6

16. SaaS、PaaS和IaaS的首字母縮寫是SPI，這也就是所謂的雲端運算SPI金字塔（Cloud Pyramid）架構，如圖8-7所示。 圖8-7

17. 正確而規範的基於業務的劃分方式如圖8-10所示。正確而規範的基於業務的劃分方式如圖8-10所示。 圖8-10

18. 圖8-11是一個更技術化的SPI三層架構（Cloud Stack）劃分，圖中把虛擬化的硬體、儲存設施等都劃分為IaaS的一部分。

19. 圖8-11

20. 如圖8-12所示展示了一個機構使用者不採用雲端運算和採用三種不同的雲端運算服務模式資源佈局情況。如圖8-12所示展示了一個機構使用者不採用雲端運算和採用三種不同的雲端運算服務模式資源佈局情況。

21. 圖8-12

22. 在雲端運算系統中這三個層次的關係和應用服務中間層三層架構中三者缺一不可的情況是不一樣的。在雲端運算系統中這三個層次的關係和應用服務中間層三層架構中三者缺一不可的情況是不一樣的。

23. 8.2.2　四種部署方式 • NIST把雲端運算系統的部署方式或存在實體分為四大類： • 私有雲端（Private Cloud）。 • 社區雲端（Community Cloud）。 • 公有雲端（Public Cloud）。 • 混合雲端（Hybrid Cloud）。

24. 圖8-14

25. 不過NIST沒有說明為什麼要把“社區雲端”作為一種基本的“雲端”單獨列出來，也許是考慮到美國聯邦政府所轄的部委和委辦局之間的共用。或者它是一種對應VPN網路或Extranet的VPC或混合雲端，而私有雲端對應Intranet，公有雲端對應Internet。對社區雲端的理解有很多不同的觀點，比較混亂，如圖8-15所示列舉了兩種，一種觀點認為社區雲端的使用者只能透過內網（Intranet）存取。

26. 圖8-15

27. 有了社區雲端，幾種雲端的關係就很不清楚了，或許NIST應該考慮在下一版本中把社區雲端去掉。有了社區雲端，幾種雲端的關係就很不清楚了，或許NIST應該考慮在下一版本中把社區雲端去掉。

28. 圖8-16

29. 私有雲端和公有雲端的對比關係及部署關係如圖8-17所示。私有雲端和公有雲端的對比關係及部署關係如圖8-17所示。 圖8-17

30. 圖8-18分析和展示了使用者採用“全部自建”和“全部購買（即SaaS模式）”相對於“全部自營”和“全部託管”4種組合的象限圖。圖8-18分析和展示了使用者採用“全部自建”和“全部購買（即SaaS模式）”相對於“全部自營”和“全部託管”4種組合的象限圖。

31. 圖8-18

32. 圖8-19分析和展示了幾種部署模式針對總營運成本（Total Cost of Ownership，TCO）。

33. 圖8-19

34. 8.2.3　五大關鍵功能 • NIST提出了五大關鍵功能。 • 按需自助服務（On Demand Self-Service）。 • 普及的網路存取方式（Broad Network Access）。 • 動態的資源池（Resource Pooling）。 • 快速可伸縮性（Rapid Elasticity）。 • 可計量的服務（Measured Service）。

35. 8.2.4　六大基本特性 • 業界還總結了雲端運算的八大基本特徵。 • 大規模的可伸縮性（Massive Scale）。 • 可修復能力（Resilience）。 • 同質性（Homogeneity）。 • 廣泛的地理分佈。 • 虛擬化（Virtualization）。 • 面向服務特性（Service Oriented）。 • 低費用（Low Cost）。 • 先進的安全措施。

36. 我們可以把八大特徵縮減為六大特性，即：可自修復能力、透過單機虛擬化實作的同質性、廣泛的地理分佈、面向服務的SOA架構、低費用和先進的安全措施。Gartner也提出了雲端運算/雲服務的六大特性，如圖8-22所示。我們可以把八大特徵縮減為六大特性，即：可自修復能力、透過單機虛擬化實作的同質性、廣泛的地理分佈、面向服務的SOA架構、低費用和先進的安全措施。Gartner也提出了雲端運算/雲服務的六大特性，如圖8-22所示。

37. 圖8-22

38. 總結為“3-4-5-6”即SPI三層服務模式、四種部署方式、五個關鍵功能和六種基本特性，如圖8-23所示。總結為“3-4-5-6”即SPI三層服務模式、四種部署方式、五個關鍵功能和六種基本特性，如圖8-23所示。 圖8-23a

39. 圖8-23b

40. 8.3　統一Fabric和網路雲端 • Fabric計算（Fabric Computing），目前還沒有統一的中文翻譯，它指的是把分散在各地的計算節點像Fabric（複雜編織的布料）一樣連接起來作為一個統一的計算設施。其實這個概念同網格運算、雲端運算和COW的理念基本上是一樣的，同樣也來自一種大眾化的比喻，只是它來自於網路設備提供商的觀點。

41. 廠商推出了Unified Fabric和Unified Computing（統一Fabric+計算節點）概念，其作用是透過一個單一的、高速的和高可用的網路來整合多種不同類型的流量，例如網路流量和儲存流量等，透過整合能極大地簡化資料中心內的網路架構和降低成本。為了實作整合，一個統一Fabric必須有能力判別各種流量，並使用合適的方法來處理它們。統一Fabric為網路和儲存提供一個統一的管理介面，來更好地支援大規模虛擬技術在資料中心中實務。

42. 基於統一Fabric的Unified Computing的理念和雲端運算理念實屬殊途同歸，Unified Computing是從網路整合的角度實作雲端運算的功能。如圖8-26所示展示了統一Fabric和Unified Computing在把資料中心變成雲端運算中心（也就是Data Center 3.0）的過程中產生的作用。

43. 圖8-26

44. Unified Computing的理念和願景（如圖8-27所示），最後走向網路雲端（Inter-Cloud，即Cloud of Clouds），就像網路當年從眾多的Networks發展到Inter-Networking一樣。

45. 圖8-27

46. 8.4　雲端安全與安全作為雲端服務 • 雲端安全（Cloud Security）是網際網路和雲端運算融合的時代資訊安全的最新發展，它融合了並行處理、網格運算、SOA、P2P技術、未知病毒行為判斷等新興技術和概念，有以下兩方面的含義。 • 透過執行在“雲端”裏的大量使用者端對網路中軟體行為的異常監測。 • 雲端運算對資訊安全和雲端服務本身的安全提出的新要求的解決方案和技術。

47. 前者指的是資訊安全產品和服務提供商利用雲端運算技術手段提供（Delivery）資訊安全服務的模式，屬於雲端運算SaaS模式的一種。前者指的是資訊安全產品和服務提供商利用雲端運算技術手段提供（Delivery）資訊安全服務的模式，屬於雲端運算SaaS模式的一種。 • 這裡主要介紹後者，即雲端運算帶來的安全問題及解決辦法。安全是IT主管關心的首要問題，其次是性能，第三是利用內部IT資源進行雲端服務的整合能力。

48. 雲端運算服務像自來水公司的供水服務，每個家庭和單位自己挖水井、修水塔，自己負責水的安全問題，例如，避免受到污染，防止別人偷水等。雲端運算服務像自來水公司的供水服務，每個家庭和單位自己挖水井、修水塔，自己負責水的安全問題，例如，避免受到污染，防止別人偷水等。

49. 雲端運算的安全問題也大致分為3個方面。 • 雲端運算的服務提供商的網路是否安全，別人是否很容易盜用使用者帳號？儲存是否安全，會不會造成資料洩密？緊急情況時得不到雲端服務造成的損失如何處理？ • 客戶在使用雲端運算提供的服務時要注意在雲端運算服務提供商的安全性和自己資料的安全性上做個平衡。 • 客戶要保管好自己的帳戶。

50. 雲端運算的特點是使用者把更多的控制權交給了服務商，這些控制權表現在雲端運算SPI三層架構的不同層面。雲端運算的特點是使用者把更多的控制權交給了服務商，這些控制權表現在雲端運算SPI三層架構的不同層面。 • IaaS層：需關注物理安全、儲存安全和網路安全。 • PaaS層：需關注系統安全、管理安全。 • SaaS層：需關注資訊安全、應用安全。 • 一直以來，雲端運算環境下的安全問題可能被誇大了，許多人列舉了一大堆對於雲端運算服務的安全需求，而這些需求目前在他們自己的資料中心內也尚未實現。