RSA中國(guó)大會(huì)張振倫：私有云安全構(gòu)架概覽
【51CTO.com 綜合報(bào)道】在前不久，剛剛結(jié)束的RSA 2010大會(huì)上，我們聆聽了多為嘉賓的演講。51CTO作為特邀媒體，對(duì)大會(huì)進(jìn)行了相關(guān)報(bào)道。更多內(nèi)容請(qǐng)參閱RSA 2010信息安全國(guó)際論壇專題報(bào)道。那么，對(duì)于大會(huì)中所涉及的一些演講內(nèi)容，這里我們?cè)賮?lái)總結(jié)一下?，F(xiàn)在，先讓我們一起來(lái)回顧下VMware公司大中華技術(shù)總監(jiān)張振倫，所帶來(lái)的演講《私有云安全構(gòu)架概覽》。
張振倫：大家下午好！今天很高興有這樣一個(gè)機(jī)會(huì)，一起跟大家分享一下關(guān)于虛擬化以及云計(jì)算上的安全問(wèn)題。實(shí)際上我相信大家剛才聽了很多介紹，包括我剛才聽陳教授的介紹，大家都在講云存儲(chǔ)以及云各個(gè)方面的安全，好像現(xiàn)在所有的安全在云上也變成的一個(gè)特別特別重要的話題。今天大家都在講公有云的時(shí)候，都覺得最最重要的一個(gè)障礙也是安全。我們?nèi)绾慰窗踩吭谠频募軜?gòu)下，會(huì)發(fā)生哪些方式的一些改變，從整個(gè)架構(gòu)的角度，我們應(yīng)該怎么樣重新考量？在這之前，我想問(wèn)一下在座的各位，我不知道有多少人知道VMware公司是做什么的？（聽眾回答：虛擬機(jī)）
這位先生說(shuō)VMware公司是做虛擬機(jī)的，還有人知道VMware公司是做什么的？我相信幾年前大家去看VMware的時(shí)候，很多人都知道VMware做服務(wù)器虛擬化，這個(gè)概念已經(jīng)過(guò)時(shí)了。可能兩三年前，或者說(shuō)到我加入VMware的時(shí)候，說(shuō)VMware開始做數(shù)據(jù)中心虛擬化，數(shù)據(jù)中心虛擬化比服務(wù)器虛擬化的內(nèi)容拓展了很多，因?yàn)檫@中間加入了網(wǎng)絡(luò)虛擬化、存儲(chǔ)虛擬化、內(nèi)存虛擬化、應(yīng)用虛擬化、桌面虛擬化、安全虛擬化等等。也就是說(shuō)它變成了整個(gè)數(shù)據(jù)中心，在做虛擬化。
今天我告訴各位，VMware也不是做數(shù)據(jù)中心虛擬化，這個(gè)概念也已經(jīng)過(guò)時(shí)了，那VMware到底在做什么？如果說(shuō)前些日子大家去關(guān)注VMware剛剛在美國(guó)召開的用戶大會(huì)，我們VMware 2010，相信大家看到一個(gè)很明確的主題，在這次大會(huì)上VMware正式發(fā)布的內(nèi)容。以前很多人都在用VMware的服務(wù)器，后來(lái)我們改名VMware。今天看到我們發(fā)布vSphere，標(biāo)志著VMware在云計(jì)算方面的產(chǎn)品正式落地，同時(shí)上周我們?cè)跉W洲的用戶大會(huì)上，VMware又正式發(fā)布了vSphere 4.20。這兩個(gè)重要的發(fā)布意味著我們?cè)撇皇且恢憋h在天上，要落地了一旦要落地，我們就引出今天的話題，如果說(shuō)前幾年大家一直在說(shuō)云在天上，這個(gè)云下到地上，變成雨之后，長(zhǎng)成什么樣子，大家會(huì)有各種各樣的想法，這些想法就造成我們今天根本就沒有方向。但是今天這兩個(gè)對(duì)于云計(jì)算重要的發(fā)布，已經(jīng)讓我們?cè)朴?jì)算真正可以落地，有現(xiàn)成的產(chǎn)品，我相信如果說(shuō)我們回過(guò)去20年的時(shí)候，大家都會(huì)覺得互聯(lián)網(wǎng)是一個(gè)很神秘的東西，但是說(shuō)互聯(lián)網(wǎng)會(huì)帶來(lái)什么樣的影響，沒人知道。大家只是覺得我們有很多的東西要往這個(gè)方向去走。但是今天我們已經(jīng)到了另外一個(gè)時(shí)點(diǎn)，就是云計(jì)算。這個(gè)時(shí)點(diǎn)就是云計(jì)算真正落地之后，我們架構(gòu)的一些挑戰(zhàn)。我們今天開始正式看我們整個(gè)架構(gòu)的挑戰(zhàn)，在這個(gè)架構(gòu)上，我們?cè)趺礃影盐覀儼踩臇|西加到這個(gè)平臺(tái)，讓我們構(gòu)建一個(gè)安全的私有云，或者公有云。
我們分成幾個(gè)階段去看，我們?nèi)タ唇裉煳覀兊臄?shù)據(jù)中心或者這樣一個(gè)虛擬的云計(jì)算的平臺(tái)到底有什么樣的挑戰(zhàn)，我們?nèi)绻脗鹘y(tǒng)的安全架構(gòu)去做，我們還有一些什么樣的漏洞，或者有一些什么樣的差距，我們要去彌補(bǔ)，來(lái)確保我們上到云計(jì)算的時(shí)候，我們?cè)诎踩w系上沒有任何的問(wèn)題。在這里討論很多可能都是面向于體系結(jié)構(gòu)的角度，可能不是加密、解密等等某一個(gè)組件角度怎么樣去看。我們?nèi)?gòu)建整個(gè)安全的架構(gòu)，然后在云計(jì)算這個(gè)平臺(tái)上，同時(shí)我們也會(huì)看一下混合云的平臺(tái)下如何解決安全的問(wèn)題。
比如這是一個(gè)企業(yè)級(jí)的虛擬的云計(jì)算中心，或者我們叫做內(nèi)部云。今天很多人都聽到內(nèi)部云、外部云、混合云，或者說(shuō)內(nèi)部云和外部云之間如何協(xié)同的問(wèn)題，這不是我們今天討論的主題，但是我們會(huì)想到今天云計(jì)算的第一步，對(duì)于企業(yè)的數(shù)據(jù)中心來(lái)說(shuō)，大家想到就是怎么變成內(nèi)部云。從今天或者說(shuō)從前些年大家一直在提的概念，（NGDC），到今天大家基本上又把這個(gè)概念OUT了，然后變成內(nèi)部云這個(gè)概念，我們要想完成這個(gè)華麗的轉(zhuǎn)身，其中從安全的架構(gòu)商來(lái)說(shuō)，我們有誰(shuí)挑戰(zhàn)，比如我們看到有各種各樣的安全的設(shè)備，無(wú)論從防火墻，從VPN等等，IDS、IPS一些防御機(jī)制，這些事情逐漸堆積在我們整個(gè)云計(jì)算或者企業(yè)數(shù)據(jù)中心當(dāng)中，同時(shí)我們傳統(tǒng)都是煙囪式的管理機(jī)制，每一個(gè)部分可能都沒有很好的實(shí)現(xiàn)均衡，我們也建了越來(lái)越多的VLAN，如果說(shuō)隨著云規(guī)模逐漸擴(kuò)大，整個(gè)架構(gòu)變得越來(lái)越復(fù)雜，我們?cè)赩LAN建設(shè)上可能也會(huì)窮盡我們所能設(shè)計(jì)的VLAN數(shù)量，導(dǎo)致我們最后設(shè)不下去，同時(shí)我們所有建制的這些安全傳統(tǒng)的策略都是靜態(tài)的。所謂靜態(tài)的，我們?cè)趺礃痈摂M機(jī)或者我們?cè)萍軜?gòu)上的動(dòng)態(tài)資源調(diào)度，能夠確保安全跟著動(dòng)態(tài)變化。如果這些安全結(jié)構(gòu)和體系不能夠給云計(jì)算動(dòng)態(tài)的調(diào)整和優(yōu)化做好很好的整合的話，那么安全就帶來(lái)了巨大的挑戰(zhàn)，可能會(huì)限制很多資源就無(wú)法調(diào)度。在這里可能又回到傳統(tǒng)的模式。
當(dāng)然我們也看到其他一些挑戰(zhàn)，跟云結(jié)合的時(shí)候一系列的挑戰(zhàn)，我們傳統(tǒng)都沒有考慮這些動(dòng)態(tài)的因素，資源可以調(diào)度來(lái)調(diào)度去，虛擬機(jī)可以在不同物理機(jī)上通過(guò)其他一些機(jī)制進(jìn)行漂移，漂移走了之后，連接物理的端口，連接防火墻或者一些安全機(jī)制都在發(fā)生變更，怎么樣來(lái)保證這些有效的連接。
剛才講的是數(shù)據(jù)中心，另外一塊也不容忽視，就是我們的桌面或者我們的終端。有很多人都會(huì)說(shuō)數(shù)據(jù)中心是我們今天要重點(diǎn)關(guān)注的，桌面，有專門做IT的人去管。實(shí)際上我們走到云計(jì)算階段的時(shí)候，大家千萬(wàn)不要忽略了桌面。我們?cè)谧烂嫔峡梢园l(fā)生各種各樣的問(wèn)題。
我不知道大家有沒有去關(guān)注，前一段時(shí)間，比如我們都知道一個(gè)事件，肯德基的"秒殺門"，是怎么導(dǎo)致的。另外在歐洲一個(gè)事件，匯豐銀行發(fā)生了9.7萬(wàn)個(gè)客戶信息的泄露，這意味著什么？這意味著要有很多的罰款，要有很多形象的損失等等一系列問(wèn)題。大家想想這些都是黑客攻擊到你的數(shù)據(jù)中心，把這些數(shù)據(jù)給拿走的嗎？真的是有人跑到你的數(shù)據(jù)中心把你的門撬開，把里面的磁盤搬走的嗎？我們說(shuō)可能那個(gè)磁盤搬走也沒有用。剛才陳教授講的時(shí)候，里面也有各種數(shù)據(jù)的加密，我搬走這個(gè)數(shù)據(jù)也沒有用，也解不開，但為什么這些數(shù)據(jù)輕輕松松泄露到市場(chǎng)上去了？到底誰(shuí)干的？到底我們的問(wèn)題何在？實(shí)際上不是數(shù)據(jù)中心的保安問(wèn)題，也不是數(shù)據(jù)中心設(shè)置一些防火墻或者防入侵等等系統(tǒng)有問(wèn)題，而是我們的桌面有問(wèn)題，我們的人有問(wèn)題。這是最最重要的，最最關(guān)鍵的，無(wú)論怎么樣加密，無(wú)論這個(gè)系統(tǒng)再怎么樣安全，總歸有幾個(gè)人，甚至幾十個(gè)人，能夠去訪問(wèn)這些數(shù)據(jù)。如果你要訪問(wèn)這些數(shù)據(jù)的時(shí)候，這些人會(huì)不會(huì)把這個(gè)數(shù)據(jù)挪作他用，那怎么辦。
這實(shí)際上就是我們今天很多時(shí)候講到桌面云的概念，桌面建數(shù)據(jù)中心的時(shí)候，千萬(wàn)不要覺得它不重要，建云的時(shí)候，千萬(wàn)要覺得這一塊也是整個(gè)安全架構(gòu)最薄弱環(huán)節(jié)，也應(yīng)該把它考慮進(jìn)來(lái)，應(yīng)該形成桌面云。作為桌面云，給我們企業(yè)級(jí)的數(shù)據(jù)中心，或者虛擬數(shù)據(jù)中心有同樣的問(wèn)題，當(dāng)然我們也有很多不同的一些問(wèn)題，比如說(shuō)我們桌面這一塊要裝各種各樣的軟件，要裝安全防護(hù)，今天防病毒，明天防入侵，不斷往里面加很多的東西，一旦形成桌面云，就是想桌面應(yīng)該是放在數(shù)據(jù)中心的，前面盡可能是一種安全的訪問(wèn)架構(gòu)，這種安全的訪問(wèn)架構(gòu)意味著前臺(tái)的東西就變成了類似于受客戶機(jī)一切軟件裝到你的傳統(tǒng)筆記本、臺(tái)式機(jī)上，然后直接訪問(wèn)后臺(tái)，盡可能不讓你前臺(tái)能夠拿到這些數(shù)據(jù)，你可以看，但是你沒辦法把它拷走，把它復(fù)制，然后把它刻成光盤，把它從網(wǎng)絡(luò)上傳走，等等都不可以做。
但是你一旦做成這些架構(gòu)之后，比如早晨上班，所有員工登陸這些系統(tǒng)，所有機(jī)器開始幾點(diǎn)鐘指定做病毒掃描，會(huì)不會(huì)造成整個(gè)桌面的災(zāi)難。這些方面怎么解決？如果我們還是在玩?zhèn)鹘y(tǒng)警察抓小偷的游戲，那我們今天的社會(huì)治安肯定就會(huì)變得更為糟糕。#p#
我們今天所有的防病毒、防入侵很多機(jī)制是怎么樣來(lái)做的，我們說(shuō)這臺(tái)PC怎么樣保證安全，我要裝一個(gè)防病毒軟件，防病毒軟件是根據(jù)一些字節(jié)、特征來(lái)進(jìn)行不斷的掃描，任何數(shù)據(jù)進(jìn)來(lái)之后，確保沒有問(wèn)題。一旦有病毒就要怎么樣跟這個(gè)病毒進(jìn)行打架。這就類似于傳統(tǒng)的我們警察看到一個(gè)小偷怎么辦。警察看到小偷，警察就拼命去追，看警察是不是能追上。如果警察追上了，小偷倒霉被抓了，如果警察追不上，小偷就跑了。我們今天防病毒、防入侵很多機(jī)制都是類似的概念。如果我們不去改變這種概念，我們今天整個(gè)架構(gòu)就是可怕的。就像我們今天的社會(huì)，如果僅僅說(shuō)警察跟小偷之間看誰(shuí)跑得快，我相信大多數(shù)的小偷都跑得比警察快，我們警察肯定追不上。但是我們知道警察為什么能夠抓到小偷，小偷一般都沒有槍，警察配槍。警察有各種先進(jìn)的裝備，我們做防病毒、防入侵的時(shí)候，是不是也應(yīng)該給這些模塊賦予更高的一些策略和機(jī)制，讓它這些先進(jìn)的配備跟病毒進(jìn)行戰(zhàn)斗的時(shí)候，它勝出的機(jī)率更高，否則的話這個(gè)系統(tǒng)可以想像它的安全不安全，純粹只能靠大家燒香燒的及時(shí)不及時(shí)，如果燒的不及時(shí)就不安全。
當(dāng)然在服務(wù)器這一端，我們也有很多問(wèn)題需要解決，我們要在上面不斷加模塊，因?yàn)檫@些安全的機(jī)制還是要放在后臺(tái)，桌面有一個(gè)很重要的特點(diǎn)，就是我們桌面都飄到后臺(tái)去了，它的操作系統(tǒng)和數(shù)據(jù)都在后端，這些數(shù)據(jù)如何有效保護(hù)，在服務(wù)器端也要做很多這樣的工作。
如何解決這個(gè)問(wèn)題？我們都知道云計(jì)算有很多的好處，我們有很多計(jì)費(fèi)上一些優(yōu)惠，我們有很多管理上的便利性，可以讓IT真正進(jìn)行產(chǎn)業(yè)化，或者工業(yè)化。云計(jì)算讓整個(gè)IT變得工業(yè)化或者產(chǎn)業(yè)化。我不知道大家有沒有想過(guò)一件事情，如果用今天IT這種銷售機(jī)制去賣汽車的話，今天你要買汽車應(yīng)該是一個(gè)什么樣的概念。你應(yīng)該找一家廠商，買到了一個(gè)輪胎，那邊買到一個(gè)發(fā)動(dòng)機(jī)，在那家廠商買到一個(gè)汽車的車蓋，那家買到一個(gè)車燈，回家找一個(gè)集成商把所有東西裝起來(lái)，然后往路上一跑，原先發(fā)動(dòng)機(jī)廠商告訴我這個(gè)汽車可以跑每小時(shí)200公里，我到外面一開只能開20公里，這個(gè)汽車怎么有問(wèn)題，我們應(yīng)該找一個(gè)汽車的調(diào)優(yōu)師，就是我們一些專業(yè)人士來(lái)調(diào)一下，這個(gè)汽車總算上路了。哪天又開不動(dòng)了，發(fā)動(dòng)機(jī)廠商告訴你這跟發(fā)動(dòng)機(jī)沒有問(wèn)題，我們發(fā)動(dòng)機(jī)好，我們輪胎是好的，沒有問(wèn)題。如果今天汽車還處于這樣一個(gè)階段，我們汽車能賣多少。
今天云計(jì)算徹底改變這種架構(gòu)，讓IT真正變成產(chǎn)業(yè)化，類似汽車這種模式。不應(yīng)該考慮這些復(fù)雜的管理的問(wèn)題，復(fù)雜的集成的問(wèn)題，組裝的問(wèn)題，這一系列的東西不需要你太多的關(guān)注，你更多的類似一個(gè)自助服務(wù)。云帶來(lái)這么多的好處，類似我們?nèi)ベI汽車、買房一樣，應(yīng)該是全裝修的，它是一個(gè)交鑰匙工程。
有這么多的好處，但是我們也看到了很多今天去擔(dān)心的一些問(wèn)題，如果不能滿足這些方面的問(wèn)題，就成了一個(gè)很追求的挑戰(zhàn)，可能這個(gè)云根本走不下去。其中會(huì)看到安全可能是重中之重。說(shuō)到云的安全，我們后面會(huì)看架構(gòu)，但是其中有一點(diǎn)大家也要記住，我覺得云的安全實(shí)際上有很多是跟法律法規(guī)，然后跟大家傳統(tǒng)的理念直接相關(guān)。大家可以想一下，如果我們回到200年前或者300年前，大家那時(shí)候有了錢是放在什么地方，半夜睡覺，放在枕頭下面，在家里挖一個(gè)坑，找個(gè)罐子把錢埋在地下，大家覺得最安全。我不知道今天還有誰(shuí)把自己家的鈔票這樣放的，可能我們偶爾會(huì)看到幾個(gè)個(gè)案，有一些貪官是這樣放的，但是大多數(shù)正常的人都會(huì)把自己的錢放到銀行，可能大家最后看到的是一串?dāng)?shù)字。我們之所以把錢敢放到銀行，因?yàn)槲覀冎婪旁诶锩婺苋〉贸鰜?lái)，我們放在銀行里面，銀行里面有各種各樣的保障機(jī)制，不會(huì)倒閉，并且這個(gè)銀行也不會(huì)把我們的一些信息透露出去。就像我們今天說(shuō)到云一樣，這些都需要一個(gè)慢慢的健全體系去保障。我們接下來(lái)要講怎么樣確保銀行的安全。這是從架構(gòu)上，法律的問(wèn)題還是留給法律工作者去考慮，不是我們今天討論的重要范圍。
其中很重要的一點(diǎn)，我們從架構(gòu)上，力所能及的范圍之內(nèi)如何設(shè)計(jì)云的體系，它可以讓大家放心，大家把自己的應(yīng)用放在那兒，不會(huì)有安全隱患的云架構(gòu)。
首先，看到云的一個(gè)重要的特性是我們要構(gòu)建安全的一個(gè)模塊，沒有這個(gè)模塊的話，云對(duì)企業(yè)帶來(lái)很多的優(yōu)勢(shì)我們都不敢去享受，因?yàn)橛邪踩奶魬?zhàn)。如何去做？把安全做成安全的虛擬機(jī)，這意味著我們不需要在每一個(gè)應(yīng)用上面，或者每一個(gè)虛擬機(jī)里面都具有安全的模塊，這應(yīng)該有專門的人負(fù)責(zé)。就像銀行一樣，有很多部門，每個(gè)部門不可能都有自己的安全員去做專業(yè)的事情，而是我們?cè)谡麄€(gè)系統(tǒng)設(shè)計(jì)，有一個(gè)專門安全部門去管理，確保它的安全。
第二，我們要在虛擬化層，hypervisor以及上面的管理層如何確保它的安全，這塊的安全性是從整個(gè)虛擬化的架構(gòu)、資源池架構(gòu)上去實(shí)現(xiàn)，我們?nèi)绾螛?gòu)建一些可信任的區(qū)域，然后急于策略的構(gòu)建整個(gè)模塊化，使這個(gè)架構(gòu)實(shí)現(xiàn)整個(gè)外部云、內(nèi)部云，以及混合云的結(jié)構(gòu)。
我們做這個(gè)架構(gòu)的時(shí)候，不是VMware成為了一個(gè)專業(yè)的安全的廠商，然后把所有安全廠商生意都搶過(guò)來(lái)，然后VMware去替代，這是不可以的，因?yàn)橛泻芏鄬I(yè)的安全的廠商，他們積累了那么多的經(jīng)驗(yàn)，我們應(yīng)該把接口開放出來(lái)，他們基于這個(gè)去開發(fā)，實(shí)現(xiàn)云的自動(dòng)化，我們也應(yīng)該整個(gè)虛擬數(shù)據(jù)中心的級(jí)別實(shí)現(xiàn)一些封裝，實(shí)現(xiàn)一些混合云的安全，當(dāng)然我們最終的目的是讓這個(gè)云更安全，同時(shí)又不能夠搞的特別復(fù)雜。特復(fù)雜的結(jié)果，就像剛才有人提的問(wèn)題一樣，可能會(huì)導(dǎo)致整個(gè)性能的損失，也是讓我們無(wú)法忍受的。
有人說(shuō)我想建一個(gè)百分之百安全的體系，有沒有？如果從理論上講絕對(duì)可以做到，只是投資你可不可以接受。如果有無(wú)窮多的錢，我們把飛船送上月球都做到了，我們做這個(gè)安全可以做到，但是我們想到一個(gè)企業(yè)可用安全解決方案的時(shí)候，我們絕對(duì)不能用嫦娥奔月項(xiàng)目的思路去而想，那樣設(shè)計(jì)的話，我想沒有幾個(gè)企業(yè)用得起，那不是我們今天要去真正產(chǎn)業(yè)化的東西。
有了這樣一個(gè)基本思路之后，我們第一步應(yīng)該做什么？怎么樣把這些安全的設(shè)備、硬件的設(shè)備進(jìn)行虛擬化。我們可以把所有物理資源進(jìn)行整合，整合成資源池，對(duì)于服務(wù)器來(lái)說(shuō)就是整合成群集。整合成群集之后，我們可以把這些安全的功能，一項(xiàng)一項(xiàng)的移到hypervisor里面去，移到虛擬化層上面去。我們?cè)确旁趹?yīng)用這個(gè)層次上的一些安全的模塊，或者放在服務(wù)器這個(gè)等級(jí)的，我們一項(xiàng)一項(xiàng)把它移到hypervisor里去，同時(shí)我們其他一些安全模組，防火墻，網(wǎng)關(guān)等等都可以往hypervisor層次去移。于是真正構(gòu)建的是一個(gè)安全的云的計(jì)算平臺(tái)，而不是在上面做很多安全的模塊，應(yīng)該去構(gòu)建和諧社會(huì)，也可以說(shuō)這是云計(jì)算里面的和諧社會(huì)，這是很的一支安全的力量。
同樣在服務(wù)器這一層也要做類似的事情，我們?cè)诮尤雽右部梢园堰@些安全的模組都移到hypervisor里面去。我們?cè)扔糜布?shí)現(xiàn)的一個(gè)一個(gè)模組，我們專門做了很多固定的硬件，這些硬件實(shí)際上今天都可以加到hypervisor這個(gè)層次里面去。原先需要很多計(jì)算，這個(gè)計(jì)算現(xiàn)在放到hypervisor里面去，誰(shuí)來(lái)幫計(jì)算。hypervisor是裝在PC服務(wù)器上，PC服務(wù)器負(fù)責(zé)去完成這個(gè)計(jì)算，用PC服務(wù)器的CPU去完成。當(dāng)然很多人會(huì)說(shuō)傳統(tǒng)復(fù)雜的計(jì)算能力都放到這里，對(duì)服務(wù)器計(jì)算性能會(huì)有多大影響。VMware作出了hypervisor對(duì)整個(gè)服務(wù)器CPU都在10%之內(nèi)，也就是我們把這么多安全、管理、資源池的模組放在里面，對(duì)性能的影響還是很小，我們到今天為止，看到虛擬化的應(yīng)用，可以到99%點(diǎn)多，因此可能只有極個(gè)別特殊的情況做不到，但是在我們企業(yè)數(shù)據(jù)中心能看到的基本上接近百分之百都可以做到。#p#
在這個(gè)基礎(chǔ)上，有了這樣一個(gè)基礎(chǔ)，我們把很多虛擬的安全模組都弄到hypervisor這個(gè)層次上之后，IaaS層次已經(jīng)實(shí)現(xiàn)了可信的、安全的模組。上面還有云應(yīng)用的平臺(tái)，是做云應(yīng)用開發(fā)的，云應(yīng)用開發(fā)就意味著我們將來(lái)要面對(duì)的一些應(yīng)用，不是今天的應(yīng)用。今天現(xiàn)有的這些應(yīng)用，我們?cè)趺礃訝可先?，是今天的?wèn)題。將來(lái)的應(yīng)用，我們要移到云平臺(tái)上去，我們要開發(fā)基于云的應(yīng)用，這時(shí)候我們要有云應(yīng)用平臺(tái)，在這個(gè)平臺(tái)上我們?nèi)绾伪ＷC，實(shí)際上就是SaaS的平臺(tái)，都是設(shè)計(jì)企業(yè)級(jí)的應(yīng)用，這些應(yīng)用我們?nèi)绾伪ＷC基于云開發(fā)?；谠崎_發(fā)好了之后，最上面是一些前端的客戶端，客戶端怎么樣保證，從架構(gòu)到應(yīng)用到上面的客戶端，每個(gè)層次我們應(yīng)該怎么樣保證安全，整個(gè)安全實(shí)際上是跨這三個(gè)層次，在每一個(gè)層次上都有相應(yīng)的模組去完成。
比如我們?cè)谧钌厦娴?，可能我們有一些身份認(rèn)證。在每個(gè)層次，我們能夠確保它的安全，就意味著整個(gè)架構(gòu)的安全，整個(gè)架構(gòu)設(shè)計(jì)的安全。這是誰(shuí)來(lái)提供？所有安全部件是VMware和我們共同合作伙伴提供，而不是VMware一家獨(dú)大的其提供。VMware構(gòu)建了一個(gè)云時(shí)代的IT的生態(tài)環(huán)境，這個(gè)生態(tài)環(huán)境可能跟我們傳統(tǒng)IT有很大的差別，基本上大家探討都是機(jī)遇的云的API，基于云上面的模組怎么樣構(gòu)建。VMware從虛擬服務(wù)器，到軟件服務(wù)器，一起去構(gòu)建，今天我們?nèi)虻暮献骰锇閿?shù)千家，大家共同打造一個(gè)讓大家放心的安全的體系。
第一個(gè)階段，怎么樣讓我們虛擬架構(gòu)變得安全，也就意味著我們資源池構(gòu)建時(shí)候的安全。就涉及到虛擬機(jī)，也有相應(yīng)的客戶端，可能有不同的一些應(yīng)用，比如有桌面，有數(shù)據(jù)中心，有企業(yè)級(jí)應(yīng)用云的，有桌面云，這其中VMware有一個(gè)很產(chǎn)品的發(fā)布，前不久剛剛結(jié)束，9月22日在美國(guó)拉斯維加斯發(fā)布的，是基于下一代，基于動(dòng)態(tài)架構(gòu)、云架構(gòu)的安全模塊，讓大家能夠更好的讓各個(gè)廠商基于這個(gè)平臺(tái)開發(fā)它的安全的一些模組，動(dòng)態(tài)的滿足云計(jì)算的需求。它首先可以形成安全的虛擬機(jī)，專門由安全構(gòu)建。在這之上進(jìn)行應(yīng)用的安全，進(jìn)行客戶端安全的一些規(guī)劃，這個(gè)客戶端的安全意味著我們桌面這一級(jí)的安全。傳統(tǒng)的來(lái)說(shuō)，這個(gè)桌面一級(jí)，現(xiàn)在我們用這個(gè)模組，可以配上槍，配上直升機(jī)等等一些先進(jìn)的武器，確保我們終端的安全。
同時(shí)我們?cè)谏厦孢@個(gè)層次也加了很多安全的一些模組，我們?cè)谶吘夁@一塊有一個(gè)VMsafe，是基于每一個(gè)VDC，都會(huì)受到它進(jìn)行保障，它會(huì)建一個(gè)一個(gè)的VDC，就類似于我們針對(duì)每一個(gè)部門或者每一個(gè)應(yīng)用來(lái)形成的虛擬的數(shù)據(jù)中心，不是整個(gè)大的數(shù)據(jù)中心，數(shù)據(jù)中心里面可以形成很多虛擬的數(shù)據(jù)中心。從而能夠構(gòu)成一個(gè)安全的模組，形成一些安全的邊界。同時(shí)有一個(gè)vShield管理者統(tǒng)一管理，同時(shí)vShield管理者還可以和我剛才提到的集成在一起，然后進(jìn)行有效管控，這個(gè)安全模組不需要單獨(dú)或者獨(dú)立于整個(gè)架構(gòu)體系之外的一個(gè)系統(tǒng)去管理，跟它完全融合在一起，然后管理起來(lái)更為方便。從整個(gè)架構(gòu)角度來(lái)說(shuō)，通過(guò)這樣幾個(gè)模組把虛擬架構(gòu)形成一個(gè)安全的虛擬架構(gòu)。
通過(guò)vShield zones，我們還可以去創(chuàng)建授信的區(qū)域或者授信分區(qū)，授信分區(qū)可以基于你的虛擬機(jī)，也可以基于你的操作系統(tǒng)或者應(yīng)用，也可以基于其他更多一些資源，根據(jù)你的需要，整個(gè)VDC也可以形成整個(gè)授信的區(qū)域，這些授信的區(qū)域就可以進(jìn)一步的幫助你更靈活配制這些云資源更安全。配制好了以后，可以隨著資源動(dòng)態(tài)調(diào)整進(jìn)行有效流動(dòng)，來(lái)確保這些安全的策略不會(huì)固化到某一個(gè)硬件端口，或者受某一個(gè)硬件資源的限制而限制了云里面資源動(dòng)態(tài)調(diào)度的能力。這些從虛擬機(jī)到虛擬的應(yīng)用，到虛擬的VDC，到客戶可以根據(jù)需要自己進(jìn)行定制化，然后形成一個(gè)安全的管理和機(jī)制。
整個(gè)都是基于策略的，形成一個(gè)安全的框架架構(gòu)。下面有這些安全的加強(qiáng)模塊，從FW到VPN到LB等等，DLP，全部基于策略去實(shí)現(xiàn)。在這之上我們會(huì)加上相應(yīng)安全的管理組件，可以基于策略的動(dòng)態(tài)去管理，管理這些授信分區(qū)，當(dāng)然也會(huì)提供API給我們合作伙伴，這些合作伙伴可以開發(fā)他們相應(yīng)的模組。
說(shuō)要API，有很多API比如今天我們用亞馬遜，用谷歌，發(fā)覺一個(gè)應(yīng)用如果今天能放到谷歌上，下一段時(shí)間想移到亞馬遜上去，把應(yīng)用直接拷貝過(guò)去，是不是就可以用了呢？實(shí)際上發(fā)覺不是，因?yàn)樗麄兲峁┑腁PI接口不一樣。我前一段時(shí)間去參加上海市整個(gè)云計(jì)算項(xiàng)目的規(guī)劃，上海云海戰(zhàn)略一些課題研究的時(shí)候，他們也提到上海應(yīng)該形成這樣一個(gè)云的標(biāo)準(zhǔn)，今天國(guó)內(nèi)一些廠商也看到每家都在做一些標(biāo)準(zhǔn)，這家作出的云的API有20個(gè)，那邊作出有100個(gè)，那邊作出有80個(gè)，各家都不一樣。實(shí)際上這就會(huì)導(dǎo)致我們將來(lái)沒有形成統(tǒng)一標(biāo)準(zhǔn)的話，我們應(yīng)用就無(wú)所適從，我們移到另外一個(gè)平臺(tái)都會(huì)受到挑戰(zhàn)。 我們提到一些API，已經(jīng)遞交DMTF，相信今年下半年或者明年應(yīng)該就會(huì)成為整個(gè)業(yè)界的標(biāo)準(zhǔn)，也就是說(shuō)我們除了在推動(dòng)這一塊之外，提供給你API，我們是提交了一個(gè)業(yè)界功用的API標(biāo)準(zhǔn)，讓我們?cè)谟玫臅r(shí)候，這些安全廠商沒有后顧之憂。
我們?cè)赩Mware發(fā)布的vShield上提供一系列的產(chǎn)品，vShield Edge是構(gòu)建安全的邊緣，vShield App是基于虛擬機(jī)里面的應(yīng)用，也是基于虛擬化這樣一個(gè)單位去做安全；vShield Endpoint進(jìn)行安全掃描等等。通過(guò)這個(gè)我們可以實(shí)現(xiàn)一些私有云的架構(gòu)，從而確保我們實(shí)現(xiàn)端到端云的安全
vShield Endpoint和我們業(yè)界所有安全廠商一起協(xié)作，我們提供一個(gè)類似界面，一個(gè)接口，大家可以在這個(gè)基礎(chǔ)上把他們的東西裝到安全的虛機(jī)里先去，這個(gè)安全的虛擬機(jī)是在每一個(gè)服務(wù)器上只要裝一個(gè)，這個(gè)服務(wù)器上面可能裝了30個(gè)虛擬機(jī)，不需要在每一個(gè)機(jī)器里面單獨(dú)的安裝防病毒、防入侵引擎，只需要在這個(gè)里面進(jìn)行安裝。這個(gè)安裝好了之后，從hypervisor監(jiān)控上面的所有數(shù)據(jù)流的安全，所有病毒的掃描，所有來(lái)避免任何惡意的一些攻擊。
當(dāng)然通過(guò)這種方式，這不僅適用于內(nèi)部云，也適用于外部云和混合云。和哪種云的架構(gòu)沒有關(guān)系，因?yàn)槭窃谝粋€(gè)服務(wù)器上面，無(wú)論哪種云可能都需要這種資源區(qū)構(gòu)建。有了VMsafe zone，通過(guò)它可以把這些安全的策略，跟著虛擬機(jī)去做遷移，這些虛擬機(jī)遷移的過(guò)程當(dāng)中，安全的策略沒有被破壞，我們不需要重新設(shè)計(jì)，從而形成一個(gè)安全策略跟著虛擬機(jī)的動(dòng)態(tài)遷移進(jìn)行遷移，然后形成一個(gè)動(dòng)態(tài)的、可控的、可管理的，基于策略的安全的策略，來(lái)滿足云計(jì)算的需求。
我們?cè)趘Shield Edge，形成在VDC這樣一個(gè)級(jí)別，不是在某一個(gè)服務(wù)器上去確保它的一些安全策略的構(gòu)建，它的整個(gè)思路基本上形成一些資源池，端口組，這是怎么樣形成一個(gè)VDC，創(chuàng)建好了這個(gè)VDC之后，就會(huì)啟動(dòng)一些服務(wù)，這就是vShield Edge，在這里面從內(nèi)部到外部，形成各種各樣的服務(wù)，這些服務(wù)都是原先我們?cè)诤芏嘤布弦?shí)現(xiàn)的，現(xiàn)在都是在hypervisor層次實(shí)現(xiàn)，可以看到有net，甚至有負(fù)載均衡。我們這個(gè)VDC取了一個(gè)名字叫做Org VDC，在里面創(chuàng)建它的一些安全的應(yīng)用，有了這些應(yīng)用之后，我們可以對(duì)vShield Edge進(jìn)行應(yīng)用保護(hù)，構(gòu)建授信區(qū)，在授信區(qū)里面裝vShield App，在這里面干各種各樣的事情，包括安全訪問(wèn)控制等共享的服務(wù)，在共享服務(wù)基礎(chǔ)上創(chuàng)建內(nèi)部的授信區(qū)，形成一些內(nèi)部網(wǎng)絡(luò)，同時(shí)把這些虛擬機(jī)變成虛擬的應(yīng)用，通過(guò)vShield App形成它的整個(gè)安全的架構(gòu)。
也就是說(shuō)整個(gè)VDC的構(gòu)建，變成可能我只需要幾分鐘的時(shí)間就可以完成，也就意味著通過(guò)這種方式去構(gòu)建一個(gè)很安全、很可靠的一個(gè)內(nèi)部云的組件也變得相當(dāng)?shù)姆奖悖僖膊恍枰獋鹘y(tǒng)的方式帶來(lái)的這兒要去定制，那兒要做很多集成的工作，這些過(guò)程都可以通過(guò)vShield這個(gè)家族去實(shí)現(xiàn)，而整個(gè)創(chuàng)建過(guò)程，實(shí)際上里面很多步驟。
通過(guò)這樣一個(gè)模組VDC，有了這個(gè)VDC，比如企業(yè)數(shù)據(jù)中心的VDC，企業(yè)桌面的VDC，因?yàn)樗麄傾PI，他們的接口是完全兼容的，意味著他們可以講同一種語(yǔ)言，中間就不需要做任何的翻譯，意味著將來(lái)我們?nèi)プ鰞?nèi)部云和外部云之間協(xié)同的時(shí)候，或者聯(lián)邦的時(shí)候，這之間就更方便。這個(gè)基礎(chǔ)都是在這里一同去構(gòu)建的。同時(shí)看到安全模組可以跨內(nèi)部云和外部云，來(lái)形成一個(gè)聯(lián)邦，不僅僅說(shuō)我架構(gòu)怎么來(lái)建，安全的架構(gòu)也是跟隨這樣一個(gè)體系去構(gòu)建的。從VMware角度來(lái)說(shuō)，云是一個(gè)旅程，云不是一蹴而就，也就是說(shuō)你會(huì)讓天下一場(chǎng)雨不是那么簡(jiǎn)單的，你會(huì)看到天上的云是慢慢增多，然后烏云密布，然后怎么樣在其中加一點(diǎn)催化劑，有時(shí)候?qū)嵲诓幌掠辏覀冎缓迷诶锩娓阋稽c(diǎn)人工降雨，慢慢的形成雨，雨往往剛開始慢慢下，然后越下越大，最后形成大到暴雨的過(guò)程，云也一樣，云往往也是在企業(yè)里面某一塊，比如某一個(gè)應(yīng)用，某一個(gè)部門先形成云，然后在這個(gè)基礎(chǔ)上積累經(jīng)驗(yàn)，慢慢擴(kuò)展到其他一些應(yīng)用，從邊緣應(yīng)用到核心應(yīng)用，到我們可能原先一直認(rèn)為這些應(yīng)用太關(guān)鍵，我們真的不敢往云上放，到后來(lái)我們大膽可以放到上面的這些應(yīng)用，包括今天我們看到不僅僅國(guó)外的用戶，國(guó)內(nèi)很多用戶已經(jīng)把他們的SAT等等這些應(yīng)用都放到上面來(lái)，而在云上的安全也是一個(gè)旅程。我們首先會(huì)形成積攢這些安全的模組，在構(gòu)建一個(gè)小的云架構(gòu)的時(shí)候，我們?nèi)?shí)踐這種安全，再去考驗(yàn)這種安全，再去積累安全的一些經(jīng)驗(yàn)，然后我們逐漸構(gòu)建一些授信的區(qū)域，可能我們只建一個(gè)區(qū)域的時(shí)候無(wú)所謂授信不授信，如果我們構(gòu)建很多的時(shí)候就會(huì)涉及到這一點(diǎn)。當(dāng)然我們慢慢的也會(huì)從我們的內(nèi)部云而擴(kuò)展到內(nèi)部云，內(nèi)外部云之間協(xié)同的時(shí)候，安全怎么樣有效的協(xié)同，構(gòu)建的是一個(gè)"安全的混合云"，安全的混合云最后是我們實(shí)現(xiàn)的一個(gè)終極目標(biāo)。這可能根據(jù)不同的企業(yè)，每一個(gè)階段需要停留的時(shí)間，需要學(xué)習(xí)的時(shí)間不一樣，但是任何的企業(yè)應(yīng)該都是沿著這個(gè)步驟一步步走下去，絕對(duì)不是一日之間，昨天是一個(gè)傳統(tǒng)的架構(gòu)，今天就變成了一個(gè)安全混合云的架構(gòu)，這是絕對(duì)做不到的。#p#
這中間大家怎么樣一步步走好這個(gè)路程，VMware在這里會(huì)一直支持中國(guó)的一些用戶往這方向去走。我們不僅僅在美國(guó)有龐大的研發(fā)體系，在中國(guó)，特別是在清華科技園，我們有很多清華的、北大的，有很多北郵電的，很多很聰明、很智慧的畢業(yè)生，都去構(gòu)建這一塊的安全體系。我們今天在清華科技園的研發(fā)人員已經(jīng)超過(guò)300人。2007年下半年我們開始招第一個(gè)人，到今天有300人，每年校園宣講也在吸引全國(guó)各高校人才來(lái)加入這個(gè)團(tuán)隊(duì)，我們同時(shí)也在做一些核心的開發(fā)，包括安全，包括云計(jì)算，包括虛擬桌面等等，這一切都給中國(guó)客戶足夠的信心，你在部署和實(shí)施的不是一個(gè)遙不可及開發(fā)出來(lái)的產(chǎn)品，我們?cè)诒本┯形覀兊氖酆笾С謭F(tuán)隊(duì)，同時(shí)也有我們的研發(fā)團(tuán)隊(duì)，來(lái)保證用戶從簡(jiǎn)單的今天的數(shù)據(jù)中心架構(gòu)，轉(zhuǎn)變成安全的最終的混合云的架構(gòu)的旅程，一路平安和順利。謝謝！
提問(wèn)：我有兩個(gè)問(wèn)題，第一個(gè)問(wèn)題，您講云計(jì)算的時(shí)候，舉了一個(gè)銀行的例子。到云計(jì)算里面我存的是信息，和銀行不一樣，您把銀行的例子用到信息例子里面，應(yīng)該會(huì)有一點(diǎn)變化。
張振倫：第一個(gè)問(wèn)題是把很多錢放在銀行，大家是通用的一種東西，然后我把我的數(shù)據(jù)放到數(shù)據(jù)中心的時(shí)候，放到一個(gè)外部云的時(shí)候，這其中涉及到我的數(shù)據(jù)可能是不一樣的，對(duì)各個(gè)人的需求是不一樣的。這之間的比喻有類似之處，如果看銀行另外一個(gè)業(yè)務(wù)，就跟銀行的保險(xiǎn)柜一樣，可能放在保險(xiǎn)柜里的東西不一樣，有的放一張紙，有的放公司機(jī)密，有的放可口可樂的配方，這些機(jī)密放在銀行保險(xiǎn)柜里鎖著的，如果看銀行這一點(diǎn)業(yè)務(wù)，跟云計(jì)算有某種程度的類似，這中間絕對(duì)不是完全可以去比的，因?yàn)檫@之間畢竟有很多東西是不一樣的。但是有一點(diǎn)是一樣的，就是大家一定要有一個(gè)相應(yīng)的法規(guī)來(lái)確保。如果東西放到銀行，一旦銀行出了問(wèn)題，銀行應(yīng)該有什么法律責(zé)任。如果把這個(gè)東西放到數(shù)據(jù)中心，一旦出了問(wèn)題，數(shù)據(jù)中心應(yīng)該有什么樣的責(zé)任，這中間應(yīng)該有什么樣的條條框框，我可以做一些調(diào)查，有什么樣的法律來(lái)確保。
這為什么說(shuō)你會(huì)看到在歐美一些國(guó)家，我們都知道IT外包，這個(gè)IT環(huán)境建好了，可能在我這兒，但是上班的人都是外面的人，不是我公司自己的人，但是這種模式在歐美很流行。大家可能都知道EDS公司，在歐美和臺(tái)灣做的很成功，然后到大陸來(lái)做得就很不成功，前幾年它已經(jīng)退出，基本上在大陸撤出。最后我問(wèn)他們，他們?cè)谖覀儗殟u臺(tái)灣做的業(yè)績(jī)是我們大陸好多倍。為什么臺(tái)灣都可以做到，大家都是中國(guó)人，都是炎黃子孫，這中間就是一些法律法規(guī)的差異，絕對(duì)不是我們技能上有什么差異，相信我們技能是很容易做到的。
第二個(gè)問(wèn)題，我剛才聽了下午第一場(chǎng)VMware做的報(bào)告，我們從端到虛擬機(jī)，到應(yīng)用都做了相關(guān)的安全產(chǎn)品，通過(guò)您的演講，我覺得產(chǎn)品很有吸引力。但是我感覺我們把傳統(tǒng)網(wǎng)絡(luò)安全的產(chǎn)品做到虛擬化的時(shí)候，就把網(wǎng)絡(luò)層所有的安全手段放在hypervisor里，但是可能我認(rèn)為虛擬化機(jī)器和物理機(jī)器不一樣，hypervisor本來(lái)應(yīng)該做得小一點(diǎn)，做得更可信一點(diǎn)，但是如果把所有的放到hypervisor里面去以后，變得更復(fù)雜，整個(gè)對(duì)于虛擬化來(lái)說(shuō)不見得是一件好事。我認(rèn)為虛擬化最重要的是，跟物理機(jī)器之間的關(guān)系，它的物理界限消除了，所以可能更關(guān)心虛擬化之后的服務(wù)之間的用戶的隔離，現(xiàn)在VMware安全架構(gòu)能夠適應(yīng)這種虛擬的嗎？
張振倫：您說(shuō)的第二個(gè)問(wèn)題，hypervisor在逐漸往里面加很多東西的時(shí)候，怎么樣確保hypervisor也是授信的，而且是一個(gè)可靠的組件。可以從兩個(gè)方面去看：1、你會(huì)看到原先傳統(tǒng)的hypervisor，有很多裝過(guò)的人說(shuō)你們的hypervisor就是一個(gè)Linux。后來(lái)大家看到我們ESX又出了一個(gè)新的版本叫做ESXI，它只變成了幾十兆的東西。今天幾十兆的東西，一個(gè)hypervisor可以做到幾十兆，它的代碼量急劇的壓縮，它真正成為一個(gè)瘦的hypervisor。到今天只有VMware hypervisor做到幾十兆，同時(shí)我們?cè)谶@里添加所有東西的時(shí)候，都沒有把所有的接口，所有的東西公布成誰(shuí)都可以往里面加。在我們網(wǎng)站上提供很多東西，這個(gè)層次的hypervisor今天都是提供給誰(shuí)，提供給一些大的軟件開發(fā)商，其中通過(guò)一些保密協(xié)議去確保。類似于今天看到英特爾它的CPU逐漸加劇很多功能，這個(gè)CPU也逐漸變得復(fù)雜。但是到今天為止我們看到都是在受控范圍之內(nèi)，我們并沒有把這個(gè)層次變成一個(gè)像OS層次，變成一個(gè)讓大家覺得安全上不授信的一個(gè)體系。所以我覺得在今天這個(gè)階段，看上去可能還沒有問(wèn)題。當(dāng)然很多時(shí)候我們?cè)偃ゼ拥臅r(shí)候，是不是我們所有的都加在hypervisor里面，可以看到另外一個(gè)重要的趨勢(shì)，為什么講VM，實(shí)際上很多東西是加在VM里面，hypervisor只是加了一些簡(jiǎn)單的調(diào)用在里面，一些文件在里面，而很多計(jì)算能力是在VM里面，這樣能確保我在hypervisor這個(gè)層次加的代碼盡可能的少，而使它的架構(gòu)不至于變成傳統(tǒng)OS模式，今天我們看到的趨勢(shì)也是很好的趨勢(shì)，我們沒看到這個(gè)變得越來(lái)越龐大，或者變得越來(lái)越不可控。
【編輯推薦】
