华为FusionSphere安全技术

华为FusionSphere 6.0云套件安全技术白皮书（云数据中心）文档版本V1.0 发布日期 2016-04-30华为技术华为FusionSphere 6.0云套件安全技术白皮书 (云数据中心)Doc Number:OFFE00019187_PMD966ZHRevision:A拟制/Prepared by: chenfujun 90002776;评审/Reviewed by: huangdenghui 00283052;zouxiaowei 00348656;pengzhao jun 00286002;youwenwei 00176512;yanzhongwei 00232184批准/Approved by: youwenwei 001765122015-12-29Huawei Technologies Co., Ltd.华为技术All rights reserved所有侵权必究所有©华为技术 2016。

保留一切权利。

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档容的部分或全部，并不得以任何形式传播。

商标声明和其他华为商标均为华为技术的商标。

本文档提及的其他所有商标或注册商标，由各自的所有人拥有。

注意您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用围之。

除非合同另有约定，华为公司对本文档容不做任何明示或暗示的声明或保证。

由于产品版本升级或其他原因，本文档容会不定期进行更新。

除非另有约定，本文档仅作为使用指导，本文档中的所有述、信息和建议不构成任何明示或暗示的担保。

华为技术地址：市龙岗区坂田华为总部办公楼邮编：518129网址：enterprise.huawei.目录1 云计算平台安全威胁分析 (1)1.1 概述 (1)1.2 云安全威胁分析 (1)1.2.1 传统的安全威胁 (1)1.2.2 云计算带来的新的安全威胁 (3)1.3 云计算的安全价值 (3)2 FusionSphere安全方案 (5)2.1 FusionSphere总体安全框架 (5)2.2 FusionSphereOpenstack安全框架 (6)2.3 网络安全 (6)2.3.1 网络平面隔离 (6)2.3.2 VLAN隔离 (7)2.3.3 安全组 (8)2.3.4 防IP及MAC仿冒 (8)2.3.5 DHCP隔离 (8)2.4 虚拟化安全 (8)2.4.1 vCPU调度隔离安全 (9)2.4.2 存隔离 (9)2.4.3 部网络隔离 (9)2.4.4 磁盘I/O隔离 (10)2.5 数据安全 (10)2.5.1 数据访问控制 (10)2.5.2 剩余信息保护 (10)2.5.3 数据备份 (10)2.5.4 控制台登录虚拟机支持密码认证 (10)2.6 运维管理安全 (10)2.6.1 管理员分权分域管理 (11)2.6.2 账号密码管理 (11)2.6.3 日志管理 (11)2.6.4 传输加密 (11)2.6.5 数据库备份 (11)2.7 基础设施安全 (12)2.7.1 操作系统加固 (12)2.7.2 Web安全 (12)2.7.3 数据库加固 (12)2.7.4 安全补丁 (13)2.7.5 防病毒 (13)1 云计算平台安全威胁分析1.1 概述云计算平台作为一种新的计算资源提供方式，用户在享受它带来的便利性、低成本等优越性的同时，也对其自身的安全性也存在疑虑。

1、FusionSphere是华为自主知识产权的云操作系统，集虚拟化平台和云管理特性于一身，让云计算平台建设和使用更加简捷，专门满足企业和运营商客户云计算的需求。

VMware：是全2113球5261云基础架构和移动商务解决4102方案1653厂商，提供基于VMware的解决方案，企业通过数据中心改造和公有云整合业务。

2、Hyper-V：是微软的一款虚拟化产品，是微软第一个采用类似Vmware和Citrix开源Xen一样的基于hypervisor的技术。

这也意味着微软会更1653加直接地与市场先行者VMware展开竞争，但竞争的方式会有所不同。

二、功能不同1、VMware：不需要分区或重开机就能在同一台PC上使用两种以上的操作系统。

完全隔离并且保护不同OS的操作环境以及所有安装在OS上面的应用软件和资料。

不同的OS之间还能互动操作，包括网络、周边、文件分享以及复制粘贴功能。

2、Hyper-V：采用微内核的架构，兼顾了安全性和性能的要求。

Hyper-V底层的Hypervisor运行在最高的特权级别下，微软将其称为ring -1（而Intel则将其称为root mode），而虚拟机的OS内核和驱动运行在ring 0，应用程序运行在ring 3下。

UCACHE灾备云利用现有的数据中心及软硬件的整体方案实现了云端灾备，成本低，灵活的方案，保证企业重复数据删除技术：累积重删比高达99%,减少备份窗口,压缩比例1:7.UCACHE灾备云功能列举：数据保留策略、流量控制、任务告警、任务日志、FusionCloud云平台备份/恢复、FusionCloud云平台备份/恢复、VMware架构虚拟化备份/恢复、H3CCAS云平台备份/恢复、OpenStack云平台备份/恢复、XenServer虚拟化备份/恢复、Hyper-v虚拟化平台、公有云实例备份/恢复、操作系统备份（windows、linux）备份/恢复、文件系统备份/恢复、卷级备份/恢复、并行重删、并行重删DB2\GaussDB\GBase\MySQL\Oracle\SAP HANA\SQL\Sybase\TimesTen备份/恢复等。

华为云计算IE⾯试笔记-Fusionsphere架构及组件介绍（服务器虚拟化解决⽅案）eDSK 最上层则是eDSK是我们FusionSphere服务器虚拟化解决⽅案中的虚拟化北向统⼀API接⼝，其他的第三⽅系统或者是其他运营平台（FC、VMware等）可以通过eDSK轻松完成⽆缝对接，对上形成统⼀的资源模型，上层使⽤资源模型的时候不⽤知道底下使⽤的什么虚拟化资源。

eDSK开放了FusionSphere服务器虚拟化的全部能⼒，包括虚拟机的⽣命周期管理，虚拟化⾼级功能，运维管理功能等等。

ebackup 可选组件是虚拟化备份软件，配合fusioncompute快照功能和CBT备份功能实现FusionSphere的虚拟机数据备份⽅案。

备份的最好单位是虚拟机，也可以备份其他资源模型如主机、集群、虚拟化环境等。

备份针对数据，如果业务发⽣中断或⼈为操作失误，可以保证磁盘数据不丢失。

UltraVR 可选组件是容灾业务管理软件，利⽤底层SAN存储系统提供的异步远程复制特性，提供虚拟机关键的数据保护和容灾恢复。

容灾针对业务，保证业务连续性（业务不中断），如⾦融、证券、教育、政府等⾏业对业务可⽤性要求⽐较⾼的是尤其需要双活的。

FusionManager 可选组件服务器虚拟化管理组件主要对云计算的软件和硬件进⾏全⾯的监控和管理，实现同构资源（同⼀个⼚商的，如FC）和异构的VMware（管理组件vcenter）虚拟化多资源池管理。

软硬件统⼀告警监控，并向内部运维管理⼈员提供管理界⾯。

FusionCompute 必选组件 FC是云操作系统软件，主要负责硬件资源的虚拟化，以及对虚拟资源，业务资源，⽤户在资源的集中管理，它采⽤虚拟计算，虚拟存储，虚拟⽹络等技术，完成计算资源，存储资源，⽹络资源的虚拟化。

同时通过统⼀的接⼝，对这些虚拟化资源进⾏集中调度和管理，从⽽降低业务的运⾏成本，保证系统的安全性和可靠性，协助运营商和企业构筑安全，绿⾊节能的云数据中⼼能⼒。