XX智慧城市政務云平臺項目建建設方案2022年05月目錄1項目總體概述 1.1項目建設背景 1.1.1政策背景 1.1.2技術背景 11.1.3業(yè)務背景 3 3 3 3 4 4 41.2項目建設依據(jù) 51.2.1編制依據(jù)文件和要求 51.2.2參考的規(guī)劃、標準規(guī)范等 52項目建設需求 2.1項目建設目標 2.2項目建設內容 2.3項目建設要求 2.3.1基礎設施服務建設 2.3.2信息安全服務建設 2.3.3運行保障服務建設 2.3.4業(yè)務應用支撐建設 3平臺建設方案 3.1總體建設原則 3.2.1方案設計思路 3.2.2總體架構設計 3.3資源池建設方案 3.3.1資源池總體規(guī)劃 3.3.2計算資源池建設 203.3.3存儲資源池建設 20 213.3.4網(wǎng)絡資源池建設 22 233.4設備配置方案 3.4.1服務器配置清單 3.4.2網(wǎng)絡設備配置清單 3.4.3安全設備配置清單 3.5信息安全保障方案 3.5.1安全法規(guī)要求 313.5.2總體安全規(guī)劃 3.5.3安全保障設計 3 33 41 413.5.4安全運維管理 43 43 44 45 .2云日志審計 3.6應用部署和遷移方案 3.6.1應用部署規(guī)范 52應用部署的角色及職責 52應用部署整體流程 53應用部署流程說明 53 部署策略 55部署技術方案 553.6.2應用遷移規(guī)范 應用遷移的角色及職責 56應用遷移整體流程 57應用遷移流程說明 57遷移清單 遷移策略 59遷移技術方案 593.6.3應用遷移方案 60遷移前準備 60應用遷移 62.1應用遷移方法 64虛擬化遷移 65 .2虛擬化遷移方案 67.2.1遷移方式選型 67.2.2虛擬資源計算 68.2.3遷移計劃設計 68.2.4遷移注意事項 68數(shù)據(jù)遷移 69 70 70 71.5異構數(shù)據(jù)庫移植 4平臺產品方案 754.1私有云平臺產品簡介 4.1.1產品概述 75 814.1.4技術架構特性 82 全異步架構 分布式 高可用 業(yè)務實現(xiàn)分離 組件化 4.1.5應用場景 虛擬化&云化 業(yè)務快速交付 超融合一體機 8 4.2平臺部署架構 90 管理節(jié)點 91計算節(jié)點 91獨立存儲節(jié)點 93基礎監(jiān)控節(jié)點 93物理網(wǎng)絡架構 93架構規(guī)模 94網(wǎng)絡區(qū)域 95標準架構擴展 97 9推薦配置 99最低配置 4.2.3機柜規(guī)劃(示例 4.3產品功能架構 4.3.1虛擬化核心 計算虛擬化 .6VM異常重啟 .2在線遷移 .3宕機遷移 存儲虛擬化 .4數(shù)據(jù)條帶化 .6數(shù)據(jù)故障重建 .7數(shù)據(jù)清洗 .8可用性和可擴展性 .9塊存儲服務 .11性能指標 網(wǎng)絡虛擬化 分布式架構 通信機制 網(wǎng)絡功能簡介 4.3.2復用公有云 4.3.3核心功能概念 可用區(qū) 集群 業(yè)務組 實例規(guī)格 鏡像 .3鏡像存儲 虛擬網(wǎng)卡 彈性網(wǎng)卡 安全組 生命周期 云硬盤概述 功能與特性 應用場景 4.3.6私有網(wǎng)絡 功能與特性 概述 物理架構 邏輯架構 功能特性 4.3.8NAT網(wǎng)關 產品概述 應用場景 架構原理 功能特性 負載均衡概述 應用場景 架構原理 功能特性 負載均衡隔離性 概述 邏輯架構 伸縮組工作流程 伸縮器工作流程 功能特性 概述 功能特性 4.4平臺災備方案 4.4.2異地災備服務 4.4.3公有云災備服務 4.4.4兩地三中心災備服務 業(yè)務部署 數(shù)據(jù)復制 業(yè)務恢復 4.4.5災備網(wǎng)絡架構 4.4.6災備切換 計劃內切換 計劃外切換 災備回切 5項目實施方案 2005.1項目建設周期 2005.2項目組織保障 2005.2.1領導和管理機構 5.2.2項目實施機構 5.2.3運行維護機構 2025.3項目培訓方案 2036項目風險及控制措施 2046.1項目風險概述 2046.2風險標識 2046.3風險估算 2046.4風險評價與管理 2046.5項目實施的外部風險與控制措施 2056.5.1風險識別 6.5.2控制措施 6.6項目實施的內部風險與控制措施 2056.6.1風險識別 2056.6.2控制措施本項目的規(guī)劃和實施從下面幾個方面盡可能的將項目的內部風險降到最6.7項目長期運行風險與控制措施 2086.7.1風險識別 6.7.2控制措施 近年來，政府高度重視信息化和電子政務發(fā)展，在組織領導、戰(zhàn)略布局、政策發(fā)布等方面均為電子政務發(fā)展提供強有力制度保障。中央網(wǎng)絡安全和信息化建設領導小組正式成立，體現(xiàn)中國最高層全面深化改革，著力保障網(wǎng)絡安全，推動信息化發(fā)展的決心。新組建的領導小組層次之高前所未有，黨和國家最高領導人出任組長、副組長，第一次比較徹底地體現(xiàn)了信息化是“一把手工程”的內在要求。同時，新的領導小組也體現(xiàn)了黨政軍一體化融合推進的要求。無論從哪個角度看，今后總攬全局、統(tǒng)籌推進的規(guī)劃能力和協(xié)調能力都將大大提高。作為國家信息化的重要組成部分，電子政務發(fā)展也同樣有了更強的組織保障。從國家戰(zhàn)略層面看，全面深化改革、推進國家治理體系和治理能力現(xiàn)代化，任重而道遠。如何形成與國家治理體系相適應的電子政務管理體系，構建適應和推進治理能力現(xiàn)代化的電子政務發(fā)展模式，成為“十三五”我國電子政務發(fā)展的重要方向。從政府改革層面看，新一屆政府對建設創(chuàng)新政府、廉潔政府、法治政府提出了更高的要求，轉變政府職能、簡政放權的力度明顯增強，這些工作都需要電子政務做好支撐。從信息化發(fā)展層面看，國家把推進信息化、建設網(wǎng)絡強國的戰(zhàn)略部署與“兩個一百年”奮斗目標和實現(xiàn)民族復興的“中國夢”緊密聯(lián)系，信息化的戰(zhàn)略地位前所未有。在此三重背景下，我國電子政務的重要戰(zhàn)略地位也不言而喻。S縣電子政務云平臺的建設緊緊圍繞區(qū)政府、各政務部門深化電子政務應用、提高履行職責能力的迫切需要，為各部門實現(xiàn)政務、業(yè)務目標提供公共的技術環(huán)境和服務支撐，有效支持政務部門靈活、快速部署應用業(yè)務，滿足業(yè)務不斷發(fā)展和改革的需要；滿足跨地區(qū)、跨部門、跨層級信息共享，以及行業(yè)系統(tǒng)與政府應用結合的需要；滿足大量數(shù)據(jù)訪問、存儲和智能化處理的需要；滿足安全可靠運為了促進服務型政府建設，推動S縣政務數(shù)據(jù)產業(yè)的發(fā)展，滿足S縣電子政務、發(fā)展提供政策指導。2014年12月，國務院辦公廳發(fā)布《關于促進電子政務協(xié)調發(fā)展的指導意見》(國辦發(fā)〔2014〕66號),從響。2015年1月，國務院發(fā)布《關于促進云計算創(chuàng)新發(fā)展培育信息產業(yè)新意見》(國發(fā)〔2015)5號〕,提出“電子政容建設的意見》(國辦發(fā)〔2014)57號〕,中央網(wǎng)信辦發(fā)布了《關于加強黨政機關網(wǎng)站安全管理的通知》(中網(wǎng)辦發(fā)文〔2014)1號〕等文件，為政府網(wǎng)站建設府部門利用先進的信息技術，網(wǎng)絡技術和軟件技術，建立并實現(xiàn)了部門內部、政出多門、分散建設、低水平重復、投資浪費等現(xiàn)象；同時建設缺乏規(guī)范性，的必要性和優(yōu)越性。很多政府逐漸實現(xiàn)了從網(wǎng)絡到應用的集中共享建設模式。等問題。S縣政務數(shù)據(jù)中心在基礎設施和應用系統(tǒng)建設方面取得了很大的成績，但S縣政務內部電子政務外網(wǎng)和互聯(lián)網(wǎng)業(yè)務的增入和運維帶來挑戰(zhàn)。●業(yè)務部署緩慢在傳統(tǒng)的模式下，政府信息中心的各個部門如果要部署新的業(yè)務，那么在提交變更請求與進行運營變更之間存在較大延遲，每一次的業(yè)務部署都要經(jīng)歷硬件選型、采購、上架安裝、操作系統(tǒng)和應用程序安裝以及網(wǎng)絡配置等操作，使得業(yè)務的部署極為緩慢。●管理策略分散當前的電子政務外網(wǎng)和政務互聯(lián)網(wǎng)的運維管理缺乏統(tǒng)計的集中化IT構建IT管理策略分散。S縣政務的云數(shù)據(jù)中心建設作為政府信息中心運行關鍵業(yè)務運行平臺和進一步發(fā)展的基石，必須擁有更強的IT服務能力，保持高效穩(wěn)定的運行，數(shù)據(jù)中心的升級建設勢在必行。另外，隨著S縣政務政府信息中心IT建設的迅速開展，云數(shù)據(jù)中心承載著政府信息中心內部的關鍵業(yè)務、核心應用，對于信息數(shù)據(jù)的完整性、業(yè)務運行的可靠性、網(wǎng)絡系統(tǒng)的可用性的要求越來越重要。目前IT信息技術已經(jīng)延伸到政府信息中心的各個層面，從政府信息中心角度看，云計算有利于整合信息資源，實現(xiàn)信息共享，促進政府信息中心信息化的發(fā)展。從用戶角度看，利用云計算可以獨立實現(xiàn)或享受某一項具體的業(yè)務和服務。因此云計算將在政府信息中心的IT政策和戰(zhàn)略中正扮演越來越重要的角色。S縣政務云數(shù)據(jù)中心的建設，未來的核心業(yè)務涵蓋如下范圍：■以“統(tǒng)規(guī)、統(tǒng)建、統(tǒng)維”思想為指導，以豐富的云基礎設施，云存儲，云安全和各類云服務共同構建S縣政務云數(shù)據(jù)中心，服務于各部門的電子政務外網(wǎng)和電子政務互聯(lián)網(wǎng)。■數(shù)據(jù)處理：海量數(shù)據(jù)的處理和分析。為S縣政務各部門集中提供基礎的信息處理能力，承接政府信息中心各部門的應用系統(tǒng)遷移和部署，實現(xiàn)相關云數(shù)據(jù)中心的資源整合、集中部署與統(tǒng)一項目建設應從S縣政務云數(shù)據(jù)中心信息化發(fā)展方向以及發(fā)展現(xiàn)狀出發(fā)，加作效率高和具有可持續(xù)發(fā)展能力的云數(shù)據(jù)中心多業(yè)S縣已建成的各類信息系統(tǒng)有效支撐了現(xiàn)階段政府管理和民生服務的需求。展空間。政府采購云服務，是降低行政成本，提高行政效力的有效途徑，推進購買云服務，能破解政府信息化建設高重復、高耗能、低效率的困局。提高政府信息安全在云計算架構下，數(shù)據(jù)集中存儲在云端，數(shù)據(jù)存儲介質難以通過物理方法獲得，可有效降低數(shù)據(jù)泄露風險。云服務模式降低了對單臺設備可靠性的要求，更能體現(xiàn)國產設備性價比高的優(yōu)勢。政府采購云服務將極大的推進政府社會管理和提供公共服務的水平，提升政府的效力和公信力。同時也是維護國家信息安全的有力手段。目前各行業(yè)，尤其是政府機構，將逐步降低對國外廠商與產品的依夯實維護國家信息安全的基礎。此外，云服務商會根據(jù)用戶要求，對云端用戶數(shù)據(jù)進行統(tǒng)一管理。當前我國推進國家治理體系和治理能力現(xiàn)代化的一個重要內涵是，促進政策形成趨于量化、精細化。云服務模式是大數(shù)據(jù)治國背景下的重要基礎設施。云服務模式具有政府信息中心無法比擬的專業(yè)優(yōu)勢，可搭建經(jīng)濟社會多領域數(shù)據(jù)融合的平臺，挖掘數(shù)據(jù)信息潛在相關關系和發(fā)展趨勢，能促進政府科學判斷和預測。從信息化系統(tǒng)的業(yè)務角度出發(fā)，基礎設施的集中后，政府信息化的項目管理單位，省去基礎實施資源的規(guī)劃、維護的工作與安全防護的責任。從信息數(shù)據(jù)的角度出發(fā)，云架構的網(wǎng)絡與存儲的集約化建設，為數(shù)據(jù)的匯聚、交換、共享，提供了更為便捷的渠道與基礎。從縣內信息化系統(tǒng)的統(tǒng)籌管理與監(jiān)管的角度出發(fā)，通過統(tǒng)一的云管平臺可以實現(xiàn)全縣的設備的集中的信息化管理。避免原先的分散管理帶來的溝通成本，使得區(qū)內信息化的統(tǒng)籌安排與調度成為可能。1.2項目建設依據(jù)>中共中央辦公廳、國務院辦公廳關于轉發(fā)《國家信息化領導小組關于我國電子政務建設指導意見》的通知(中辦發(fā)[2002]17號);>中共中央辦公廳、國務院辦公廳關于加強信息資源開發(fā)利用工作的若干意見(中辦發(fā)[2004]34號);>《中共中央辦公廳、國務院辦公廳關于深化政務公開見》(中辦發(fā)〔2011〕22號);辦發(fā)[2006]11號);>國務院下發(fā)的《關于大力推進信息化發(fā)展和切實保障信息安全見》(國發(fā)〔2012〕23號);>《國家電子政務工程建設項目管理辦法》(國家發(fā)改委令第55號)>《國務院關于大力推進信息化發(fā)展和切實保障信息安全的若干意見》(國發(fā)〔2012〕23號)>《“十二五”國家政務信息化工程建設規(guī)劃》(發(fā)改高技〔2012〕1202號)>《基于云計算的平臺頂層設計指南》(工信信函(2013)2號)>《信息安全等級保護管理辦法》(公通字【2007】43號)>《電子政務信息安全等級保護實施指南(試行)》(國信辦[2005]25號)>GB/T31167-2014《信息安全技術云計算服務安全指南》>GB/T20988-2007《>《云計算》中國云計算專家委員會，201>《云計算核心技術刨析》,2011;>《云計算關鍵領域的安全指南》云計算聯(lián)盟，2009;>《GB/T31167-2014信息安全技術云計算服務安全指南》;>《GB/T31168-2014信息安全技術云計算服務安全能力要求》;>《政務云安全技術要求與實施指南》;>《政務云平臺安全等級保護測評方法與規(guī)范》;>中網(wǎng)辦發(fā)文〔2014〕14號《關于加強黨政部門云計算服務網(wǎng)絡安全管理>《信息安全技術信息系統(tǒng)安全等級保護第一分冊基本要求》;>《信息安全技術信息系統(tǒng)安全等級保護測評要求基本要求》;>《信息安全技術信息系統(tǒng)安全等級保護第二分冊云計算安全要求>《信息安全技術信息系統(tǒng)安全等級保護測評要求云計算安全要求>《國務院辦公廳關于促進電子政務協(xié)調發(fā)展的指導意見》【國辦發(fā)[2014]66號】加強國家電子政務外網(wǎng)建設和管理。進一步理順國家電子政務外網(wǎng)建設和管理工作機制；充分利用各地區(qū)現(xiàn)有電子政務基礎網(wǎng)絡資源，加強電子政務外網(wǎng)網(wǎng)絡平臺和安全體系建設，加快推動地方部門接入網(wǎng)絡平臺，實現(xiàn)外網(wǎng)橫向縱向聯(lián)通；重點加強外網(wǎng)應用建設，促進外網(wǎng)信息資源整合利用和數(shù)據(jù)共享。積極推動各地區(qū)各部門業(yè)務專網(wǎng)應用遷移和網(wǎng)絡對接。各地區(qū)各部門對現(xiàn)有業(yè)務專網(wǎng)應用進行合理分類，分別向國家電子政務內網(wǎng)或外網(wǎng)遷移；國務院各部門同步整合內部業(yè)務專網(wǎng)和向下延伸的業(yè)務應用；各地區(qū)各部門現(xiàn)有業(yè)務專網(wǎng)要理清邊界，逐步實現(xiàn)與統(tǒng)一國家電子政務網(wǎng)絡的網(wǎng)絡對接和業(yè)務融合，推動數(shù)據(jù)交換和共享安全可控。推動基礎信息資源庫分別在國家電子政務內網(wǎng)、外網(wǎng)平臺上部署；圍繞重點應用領域，開展基礎信息資源應用試點進一步推動政府系統(tǒng)電子政務科學、可持續(xù)發(fā)展，逐步建立與政府履職相適應的的電子政務體系，有效服務于創(chuàng)新政府、廉潔政府、法治政府建設，不斷提升信息化條件下政府治理能力。以服務創(chuàng)新帶動技術創(chuàng)新，充分發(fā)揮云計算整合IT資源、促進新興產業(yè)發(fā)展和服務民生等方面的作用，著力增強云計算服務能力、關鍵技術產品和解決方案供給能力、云計算安全保障能力，完善云計算支撐體系，推動我國云計算健康有序發(fā)展。各級政務部門要抓緊制定本部門業(yè)務專網(wǎng)的遷移規(guī)劃和實施方案，根據(jù)業(yè)務需求確定需在國家電子政務內網(wǎng)和國家電子政務外網(wǎng)上部署的業(yè)務，有計劃地分別向國家電子政務內網(wǎng)和國家電子政務外網(wǎng)遷移。原則上，涉及國家秘密的機密級及以下的業(yè)務信息系統(tǒng)部署在國家電子政務內網(wǎng)上，非涉及國家秘密的業(yè)務信息系統(tǒng)部署在國家電子政務外網(wǎng)上。>《國務院關于促進云計算創(chuàng)新發(fā)展培育信息產業(yè)新業(yè)態(tài)的意見》【國辦發(fā)[2015]5號】鼓勵應用云計算技術整合改造現(xiàn)有電子政務信息系統(tǒng)，實現(xiàn)各領域政務信息系統(tǒng)整體部署和共建共用，大幅減少政府自建數(shù)據(jù)中心的數(shù)量。政府部門要加大采購云計算服務的力度，積極開展試點示范，探索基于云計算的政務信息化建設運行新機制，推動政務信息資源共享和業(yè)務協(xié)同，促進簡政放權，加強事中事后監(jiān)管，為云計算創(chuàng)造更大市場空間，帶動云計算產業(yè)快速發(fā)《中華人民共和國國民經(jīng)濟和社會發(fā)展第十二個五年規(guī)劃綱要》中明確指出，大力推進國家電子政務建設，加強云計算服務平臺建設，構建下一代信息基礎設施。《國務院關于大力推進信息化發(fā)展和切實保障信息安全的若干意見》明確要求“電子政務快速發(fā)展，到‘十二五’末，國家電子政務網(wǎng)絡基本建成，信息共享和業(yè)務協(xié)同框架基本建立",提出“提升電子政務服務能力。圍繞提升服務和監(jiān)管能力，促進政府管理創(chuàng)新，加強電子政務頂層設計。全面提升電子政務技術明確要求“建設完善電子政務公共平臺。完成以云計算為基礎的電子政務公共平臺頂層設計、全面提升電子政務技術服務能力、制定電子政務云計算標準規(guī)范。”我國政府鼓勵和支持利用云計算技術構建新一代電子政務基礎設施(即電子政務公共平臺),促進政府職能的轉變和改變電子政務的發(fā)展方式。隨著我國政府向公共服務型政府的轉型，政府對民生問題的重視不斷加強，電子政務是重要抓手。特別是十八大將信息化列為“新四化”(新型工業(yè)化、信息化、城鎮(zhèn)化、農業(yè)現(xiàn)代化道路)之一，意味著信息化將成為推進我國經(jīng)濟社會轉型的核心力量之一。國家發(fā)改委發(fā)布的《關于加強和完善國家電子政務工程建設管理的意見》中特別指出要"推進新技術在電子政務項目中的應用。鼓勵在電子政務項目中采用物聯(lián)網(wǎng)、云計算、大數(shù)據(jù)、下一代互聯(lián)網(wǎng)、綠色節(jié)能、模擬仿真等新技術，推動新技術在電子政務項目建設中的廣泛應用",“發(fā)揮國家電子政務網(wǎng)絡支撐作用。項目建設部門必須充分利用國家電子政務網(wǎng)絡開展電子政務項目建設。項目建設部門應根據(jù)業(yè)務需求，將涉及國家秘密的機密級及以下的業(yè)務系統(tǒng)部署在國家電子政務內網(wǎng)上，將非涉及國家秘密的業(yè)務信息系統(tǒng)部署在國家電子政務外網(wǎng)上。現(xiàn)有部門專網(wǎng)承載的涉及國家秘密的業(yè)務信息系統(tǒng)和非涉及國家秘密的業(yè)務信息系統(tǒng)要分別逐步遷移到國家電子政務內網(wǎng)和國家電子政務外網(wǎng)上來。國家原則上不再審批新建部門專網(wǎng)，具體要求按《關于進一步加強國家電子政務網(wǎng)絡和應用的通知》(發(fā)改高技[2012]1986號)執(zhí)行。”并且在相關的指導意見中重點強調要保障電子政務項目安全可控。某智慧城市總體項目采用分階段方式進行建設。第一階段，完成Iaas層面的上搭建S縣政務云Paas平臺，提供統(tǒng)一的公共服務，并逐步要求區(qū)內新建信息系平臺的建設，實現(xiàn)“云數(shù)聯(lián)動”,在“三個實有”的基礎S縣政務云平臺是某智慧城市項目第一階段的重點建設內容。負責建設云網(wǎng)云資源池完成4000核能力的建設。通過S縣政個委辦局訪問內網(wǎng)應用系統(tǒng)，并將現(xiàn)有網(wǎng)絡及鏈路安全進行全面加固。通過S縣在整合政府部門現(xiàn)有軟硬件資源基礎上建設電子政務標準公共機房基礎服使用、動態(tài)擴展的特性。為各級機關、企業(yè)提供計算、數(shù)據(jù)存儲和災備信息資源服務，實現(xiàn)軟硬件統(tǒng)籌規(guī)劃、統(tǒng)一標準、集中部署、統(tǒng)建共用避免重復投資>政務應用云化構建可控安全的電子政務云，以可靠性、安全、易管理、動態(tài)變更、可伸縮作為解決方案的主要特征，面向各級政府部門及直屬委、辦、局。統(tǒng)籌各部門需信息共享和業(yè)務協(xié)同。本項目重點建設云網(wǎng)大數(shù)據(jù)中心的基本硬件、基礎平臺，建成S縣云節(jié)點機房，云資源池并完成4000核能力的構建。本項目需要建設S縣政務云平臺，構建政務云計算資源池，包括服務器、網(wǎng)絡設備、存儲、安全及相應的云計算平臺軟件、云管理平臺軟件等。政務云平臺建設完成后，各委辦局電子政務外網(wǎng)和互聯(lián)網(wǎng)逐步將全部遷入云平臺架構，將來新業(yè)務需求也將通過云平臺架構進行橫向擴展，簡化平臺擴容難度。具體，S縣政務云平臺建設內容包括：●建設統(tǒng)一云平臺，提供云主機、云存儲等IAAS資源池能力，云平臺提供多租戶的自助服務能力，并具有軟件定義的虛擬網(wǎng)絡技術為實現(xiàn)租戶VPC●建成S縣政務云資源池，云資源池規(guī)模為4000核。●構建政務公共政務云平臺和互聯(lián)網(wǎng)政務平臺兩個獨立的政務云平臺，兩網(wǎng)平臺都具備云計算能力提供服務，平臺間采用網(wǎng)閘隔離，以保障安全。●云平臺為租戶提供完善的自主服務流程，具備申請、審批和自動化運維●云平臺具備完善的安全標準，能夠根據(jù)委辦局的需求實現(xiàn)等保二級/三級，云平臺租戶具備完善安全能力，保障業(yè)務安全。●云平臺具有備份能力，并能夠在將來根據(jù)需求為業(yè)務提供容災能力。●云平臺具備靈活的擴容能力，能夠按需平滑擴容至數(shù)百臺，并且擴容時不需要中斷業(yè)務。2.3項目建設要求境中等級保護的要求，應從區(qū)域邊界安全、計算環(huán)境安全(主機/虛擬主機)、虛的使用者(公眾、公務人員以及機構用戶)。本項目方案為承接商洛智慧城市項目中的S縣政務云建設工程，為S縣設計政務云計算中心的云服務平臺。旨在縣政務云計算中心為滿足各部門集約化建設需求，在提升能力和擴容進程中，向社會力量購買的政務云基礎設施所需的網(wǎng)絡接入、機房環(huán)境、硬件、基礎軟件設施及相關管理等基礎設施保障服務。本期項目建設將基于私有政務云平臺產品為基礎，采用軟件定義的技術路線，計算虛擬化、存儲虛擬化、網(wǎng)絡虛擬化及云管理系統(tǒng)均須滿足以上基本要求。建設實施范圍包括總部機房計算、存儲和網(wǎng)絡的資源池與云管理系統(tǒng)。含各資源池的設計、實施，含網(wǎng)絡總體拓撲架構設計，含基于存儲虛擬化的存儲架構、規(guī)范等的設計、實施。根據(jù)現(xiàn)有電子政務發(fā)展的現(xiàn)狀，結合成熟可落地的新興IT技術，本次S縣政府政務云的總體建設原則如下：1、穩(wěn)定性應采取各種必要技術措施，保證信息化云服務平臺具備有優(yōu)秀的穩(wěn)定性，在保證性能的前提下，為主要業(yè)務提供7x24小時持續(xù)的支撐服務。2、安全性平臺系統(tǒng)應能充分考慮用戶數(shù)據(jù)的安全，避免用戶受到異常攻擊或敏感數(shù)據(jù)竊取。應能主動評估業(yè)務系統(tǒng)的安全狀況及提供彌補措施，并提供各種操作行為確保機房及信息化云服務平臺運行的安全。3、可擴展性各平臺應具備良好的擴展能力，滿足數(shù)據(jù)中心長期發(fā)展的要求。根據(jù)業(yè)務的發(fā)展預測，平臺系統(tǒng)定期按照適度預留的原則進行建設，能在規(guī)定時間內快速響應新的用戶，新的業(yè)務的新增要求。4、靈活的IT基礎架構滿足資源的隨時隨地按需分配，需要建立一個靈活的硬件基礎架構。硬件基礎架構通常由虛擬的服務器池、共享的存儲系統(tǒng)、網(wǎng)絡和硬件管理軟件組成。5、自動化資源部署云計算運行管理平臺的核心功能是自動為用戶提供服務器、存儲以及相關的系統(tǒng)軟件和應用軟件。用戶、管理員和其他人員能通過Web界面使用該功能。自動化的部署流程不僅能做到“隨需應變”,適應用戶的需求，而且能夠帶來以下好處：引入技術和創(chuàng)新的時間縮短，設計、采購和構建硬件和軟件平臺的人力成本降低，以及通過提高現(xiàn)有資源的利用率和復用率節(jié)省成本。6、端服務請求管理云計算運行管理平臺提供一個統(tǒng)一的管理平臺來實現(xiàn)端到端的流程管理，協(xié)調各個部門的合作，提高管理效率。同時該管理平臺負責全部的人工交互界面，權限控制和用戶管理等功能。7、完善的資源監(jiān)控及故障處理手段云計算服務管理平臺提供資源和服務的各種運維能力，可以監(jiān)控資源的使用情況，對于平臺故障提供及時地預警報警，保證云計算平臺的穩(wěn)定運行。8、有助于建立IT管理規(guī)則為了實現(xiàn)數(shù)據(jù)中心的規(guī)范管理，需要以云計算運行管理平臺為基礎，有助于為數(shù)據(jù)中心制定一套完整的管理規(guī)則。9、開放性要求各類系統(tǒng)設計、產品及網(wǎng)絡構建都要滿足相關的國際標準和國家標準，提供標準結構及接口，有效地兼容各種品牌、廠商、電子運營商的系統(tǒng)和網(wǎng)絡，實現(xiàn)多系統(tǒng)、多平臺的互聯(lián)互通。云平臺是云計算交付能力的集中展現(xiàn)，云平臺通過基礎架構環(huán)境的各個管理角色系統(tǒng)調度底層IT資源(如：服務器、存儲、網(wǎng)絡等),再利用管理系統(tǒng)間的管理聯(lián)動，與云平臺自身的流程審批、成本核算以及業(yè)務邏輯管理等功能相結合，即可實現(xiàn)企業(yè)私有云平臺的資源自助按需供給、應用資源彈性調度、系統(tǒng)故障自動修復等高級管理特性。云管理平臺從資源接管、資源建模、資源申請、資源調度、資源使用、資源監(jiān)控、資源回收等方面形成閉環(huán)的IT基礎資源管理體系；實現(xiàn)信息系統(tǒng)軟硬件資源的統(tǒng)一管理、統(tǒng)一分配、統(tǒng)一調度、統(tǒng)一運維，優(yōu)化資源管控模式，提高資源利用率，實現(xiàn)資源容量的可控有序增長，為業(yè)務應用提供穩(wěn)定的、高效的、可動態(tài)調整的基礎設施資源。1)基于IaaS云管理平臺建設的自動化云數(shù)據(jù)中心設計通過計算虛擬化系統(tǒng)建設的數(shù)據(jù)中心，采用云管理平臺進行資源的管理，并提供自助式的云服務，能有效實現(xiàn)企業(yè)信息系統(tǒng)的技術標準化和管理規(guī)范化，為企業(yè)信息系統(tǒng)提供更好的支撐。云管理平臺需要在虛擬化技術的支撐下，對包括計算資源、存儲資源、網(wǎng)絡資源等在內的基礎架構進行管理，實現(xiàn)按需的、自動化的、可計量的對基礎架構資源進行分配，同時，實現(xiàn)對資源使用情況和健康情況進行監(jiān)控和管理。2)基于軟件定義+網(wǎng)絡虛擬化動態(tài)靈活的云網(wǎng)融合設計云數(shù)據(jù)中心引入服務器虛擬化技術后，對網(wǎng)絡要求大二層設計，傳統(tǒng)的VLAN技術設計云化數(shù)據(jù)中心網(wǎng)絡存在種種限制，而基于新一代VxLAN技術實現(xiàn)的大二層網(wǎng)絡，能夠通過在物理網(wǎng)絡上疊加一個軟件定義的邏輯網(wǎng)絡，物理網(wǎng)絡不變，通過定義其上的邏輯網(wǎng)絡，實現(xiàn)業(yè)務邏輯，從而解決傳統(tǒng)數(shù)據(jù)中心的網(wǎng)絡問題，極大的節(jié)省了用戶投資。軟件定義+網(wǎng)絡虛擬化實現(xiàn)網(wǎng)絡動態(tài)感知虛擬機遷移，實現(xiàn)網(wǎng)絡策略的動態(tài)跟隨，真正實現(xiàn)云、網(wǎng)融合。3)基于軟件定義的信息安全與基礎資源動態(tài)調度設計虛擬化和云的引入，形成計算、存儲、網(wǎng)絡及安全資源池，資源池化后網(wǎng)絡邊界模糊，需要引入新的技術解決虛擬化環(huán)境的隔離能力，并且能夠實現(xiàn)資源池的基礎資源能夠在不同租戶間的動態(tài)調度能力。基于軟件定義技術，通過將計算資源、存儲資源、網(wǎng)絡及安全資源分配給不同租戶，構成虛擬云平臺，虛擬云平臺之間可以實現(xiàn)有效的、安全的隔離，使之符合安全等保(等保三級)的要求；并且通過云管理平臺能夠實現(xiàn)基礎資源在不同的虛擬數(shù)據(jù)中心間靈活調度，真正實現(xiàn)云計算數(shù)據(jù)中心資源的動態(tài)、按需的分配/調度和提供資源。3.2.2總體架構設計隨著智慧城市的興起，IT信息化的不斷發(fā)展和推進，S縣政務業(yè)務系統(tǒng)需要一個安全、穩(wěn)定、可靠、高性能的基礎架構平臺來進行承載，來滿足未來業(yè)務發(fā)展的需要。穩(wěn)態(tài)技術服務平臺大數(shù)據(jù)平臺云資源池基核查與需洞掃描標準Ⅱ基礎識施X?6服務器X?6服務器…統(tǒng)一安全態(tài)勢感知系統(tǒng)安全建設體系云服務平臺基礎架構S縣政務云數(shù)據(jù)中心按照支持多數(shù)據(jù)中心統(tǒng)一管控的模式進行建設。S縣政務云數(shù)據(jù)中心分為互聯(lián)網(wǎng)業(yè)務分區(qū)、政務外網(wǎng)分區(qū)，承擔政府及委辦局業(yè)務系統(tǒng)，政務外網(wǎng)分區(qū)本地放置了業(yè)務系統(tǒng)數(shù)據(jù)的備份分區(qū)，以實現(xiàn)數(shù)據(jù)的連續(xù)性保護。S縣政務云平臺建設的平臺作為S縣政府整體的運營和管理平臺，下屬各個委辦局單位、政府內部使用人員可以通過云管理平臺進行資源的申請，如：云主云存儲、網(wǎng)絡、IP地址(公網(wǎng)IP、私網(wǎng)IP)、操作系統(tǒng)、數(shù)據(jù)庫等IT基礎設施資源，未來也可以申請各種服務：如安全服務、備份服務、RDS服務等內容。下屬各個委辦局單位可以利用統(tǒng)一的云管理平臺申請資源(如虛擬數(shù)據(jù)中心、主機、網(wǎng)絡、安全、存儲等資源),獨立管理和運維。具體本次S縣政務云平臺的架構設數(shù)細交趣5上髕髕S安全中心區(qū)客災備份機心F資源池是軟硬件資源的集合，包括各類服務器、存儲、網(wǎng)絡等基礎資源，提供了動態(tài)供應資源的能力，是企業(yè)級IT基礎設施嶄新的應用形式，在云計算環(huán)境下是推動基礎架構轉型的重要推手之一，對于加強資源管控、實現(xiàn)成本領先具有重要意義。按照總體項目規(guī)劃，S縣政務云平臺資源池建設初期需要完成4000核能力的構建，因此本次S縣政務云平臺計算資源池的規(guī)模設計為4000物理核。按此規(guī)劃，本項目將部署193臺x86服務器，其中3臺為管理節(jié)點(不計入資源池),其余190臺服務器節(jié)點共同構成S縣政務云平臺資源池。具體，本次S縣政務云平臺資源池的核心資源建設規(guī)模如下：>總計190臺服務器，所有服務器節(jié)點均有配有存儲功能與資源，其中120臺為計算與存儲資源節(jié)點，70臺為獨立存儲資源節(jié)點；>總計4000核物理CPU;>總計53040GB內存；>總計存儲空間為7276TB(如果通過三副本保障數(shù)據(jù)安全的機制，則真實可用空間為2425TB);>具體服務器配置可見下文《服務器配置清單》。擬化技術，全面采用x86服務器作為計算資源，并將物理資源劃分為不同性能的私有云平臺計算虛擬化通過KVM硬件輔助的全虛擬化技術實現(xiàn)，因此需要本項目將部署193臺x86服務器，其中3臺為管理節(jié)點(不計入資源池),其余190臺服務器節(jié)點共同構成S縣政務云平臺資源池。而其中有120臺服務節(jié)點，共同構建了S縣政務云平臺的計算資源池，總計規(guī)模為2880核。具體計算>SATA型計算節(jié)點80臺，每臺配置2*12即24核CPU,共計1920核；>SSD型計算節(jié)點40臺，每臺配置2*12即24核CPU,共計960核；義、可部署于x86通用服務器的高性能、高可靠、高擴展、高安全、易管理且成部分，為用戶提供多種存儲服務及PB級數(shù)據(jù)存儲能力，適用于虛擬機、數(shù)據(jù)庫等應用場景，滿足關鍵業(yè)務的存儲需求，保證業(yè)務高效穩(wěn)定且可靠的運行。節(jié)點自帶的SATA/SAS磁盤構建為普通性能存儲集群。分布式存儲系統(tǒng)將集群數(shù)據(jù)寫入時通過三副本、寫入確認機制及副本分布策略等措施，最大限度保障數(shù)據(jù)安全性和可用性。邏輯架構如下：私有云平臺分布式存儲系統(tǒng)是整個云平臺架構不可或缺的核心組件，通過分布式存儲集群體系結構提供基礎存儲資源，并支持在線水平擴容，同時融合智能存儲集群、多副本機制、數(shù)據(jù)條帶化、數(shù)據(jù)自動精簡配置及快照等技術，為虛擬化存儲提供高性能、高可靠、高擴展、易管理及數(shù)據(jù)安全性保障，全方面提升存儲虛擬化及云平臺的服務質量。存儲資源池規(guī)劃本項目將部署193臺x86服務器，其中3臺為管理節(jié)點(不計入資源池),其余190臺服務器節(jié)點共同構成S縣政務云平臺資源池，所有節(jié)點均支持存儲功能并配置了存儲資源。利用私有云平臺分布式存儲系統(tǒng)統(tǒng)一進行管理，實現(xiàn)存儲資源的池化，為各類政務應用提供大量、高性能的存儲服務。本次S縣政務云平臺存儲資源池由190臺服務器節(jié)點組成，其中120臺為計算與存儲資源節(jié)點，70臺為獨立存儲資源節(jié)點，總存儲資源池規(guī)模為7276TB(如果通過三副本保障數(shù)據(jù)安全的機制，則真實可用空間為2425TB)。具體配置信息如>SATA計算存儲節(jié)點80臺單臺服務器(配置6塊4T的數(shù)據(jù)盤)容量為6*4T=24T,總容量24T*80=1920TB,分布式存儲可用容量1920TB/3=640TB。單臺服務器(配置12塊8TB數(shù)據(jù)盤)容量為12量為12.8T*20=256TB,分布式存儲可用移動智由A區(qū)金屬服外伊節(jié)s起化服務節(jié)物理服務的節(jié)髖s數(shù)冊交趣髕區(qū)、政務外網(wǎng)接入?yún)^(qū)、核心交換區(qū)、安全運維管理區(qū)、云管平臺區(qū)域等),互聯(lián)域根據(jù)業(yè)務的不同，部署不同設備，以滿足業(yè)務的要求。通過分層分區(qū)部署可以使整個系統(tǒng)具有很好的擴展性(無需干擾其它區(qū)域就能根據(jù)需要增加容量),可以提升整個系統(tǒng)的可用性(隔離故障域降低故障對網(wǎng)絡的影響),可以簡化系統(tǒng)絡的管理(拓撲結構結構更清晰)。基于分區(qū)規(guī)劃設計，為支撐中建后續(xù)業(yè)務發(fā)展，以性等需求。/外網(wǎng)接入交換機。具體說明如下：√內網(wǎng)核心交換機：采用三層交換機堆疊作為一組內網(wǎng)核心，用于承載內網(wǎng)接入交換機的匯聚和管理；√外網(wǎng)核心交換機：采用萬兆三層交換機堆疊作為一組外網(wǎng)核心，用于承載外網(wǎng)接入交換機的匯聚和管理；√內網(wǎng)接入交換機：采用萬兆交換機堆疊作為一組內網(wǎng)接入，用于承載服√外網(wǎng)接入交換機：采用千兆交換機堆疊作為一組外網(wǎng)接入，用于承載臺服務器外網(wǎng)接入；√除Internet連接外，網(wǎng)絡均為大二層環(huán)境，采用LLDP協(xié)議獲取網(wǎng)絡拓撲信息，所有網(wǎng)絡接入均為端口聚合，保證高可用；同時通過控制接口廣播報文流量，抑制網(wǎng)絡廣播風暴；√外網(wǎng)核心交換機與Internet之間可以為二層聚合、三層聚合、L3ECMP、√云平臺提供的網(wǎng)絡功能均采用軟件定義的方式實現(xiàn)，物理交換機僅作為LACP及IPV6等，無需采用SDN交換機實現(xiàn)虛擬網(wǎng)絡的通信。若云平臺虛擬機需要與數(shù)據(jù)中心的物理服務器進行通信，如標準架構圖所示，需要將物理網(wǎng)絡與云平臺外網(wǎng)交換機進行互聯(lián)，通過云平臺提供的【物理IP】產品進行綁定并通信。標準網(wǎng)絡架構中，通常推薦至少采用萬兆及以上級別的交換機，保證平臺節(jié)點內網(wǎng)接入、虛擬資源通信及分布式存儲的性能及可用性。由于外網(wǎng)接入帶寬一般較小，通常推薦采用千兆交換機作為外網(wǎng)接入設備。說明節(jié)點節(jié)點3節(jié)點節(jié)點Data:SATA3HDD4TB6Gb/s720CPU是24核心；+SSD節(jié)點Cache,3.20GHz*2】Data:SATA3SSD960GB6CPU是24核心；節(jié)點型【CPU:Intel圓XeonRGold4110CPU是16核心；CPU是16核心；匯總說明內網(wǎng)核心交換機2做堆疊，保證高可外網(wǎng)核心交換機2內外接入交換機64外網(wǎng)接入交換機2帶外管理交換機48個千兆SFP,4個萬兆SFP+48*10/100/1000BASE-T以太網(wǎng)1網(wǎng)閘吞吐量1Gbps,并發(fā)會話50萬，2U標準機架空個千兆電口4個千兆光口2網(wǎng)業(yè)務區(qū)與政務外網(wǎng)區(qū)能：防火墻吞吐率：10Gbps,應用層42)產品由專用的硬件平臺、安全操作系統(tǒng)及功能軟件構成。設備采用自主知識產權的專用安全操作系統(tǒng)，采用多核多平臺并行處理特性；安全操作系統(tǒng)采用冗余設計，出于安全性考慮，多系統(tǒng)需在設備啟動過程中進行選擇不得在WEB維護界面中設不少于11種的負載分擔算法，靈活實現(xiàn)對聚合組內業(yè)務流量的負載分擔。4)支持智能DNS及DNSDoctoring解析請求定向到真實內網(wǎng)資源，提高訪問效率，同時支持通過配置多條DNSDoctoring,實現(xiàn)內網(wǎng)資源服務器的負載均衡；5)支持在一臺物理設備上劃分出128個相互獨立的虛擬系統(tǒng)，可根據(jù)連接配額及連接新建速率為每個虛擬系統(tǒng)分配資源；6)支持對單條訪問控制策略進行最大并發(fā)連接數(shù)限制；沖突檢查，并且可在WEB界面顯示檢測結果：紅色為冗余策略，綠色為沖突策略；8)支持對業(yè)務被掛黑鏈進行檢測，支持顯示TOP5黑鏈主機及黑鏈戲、色情、反動及非法內容等)類型分布、危害或影響；9)支持多鏈路出站負載，支持基于源/目的IP、源/目的端口、協(xié)議、應用類型以及國家地域來進行選路的策略路由選路功能，以實現(xiàn)不同的數(shù)據(jù)走不同的外網(wǎng)線路的自動選路功能；10)支持設備排障界面展示丟包信息包含具體模塊、相關策略、原因和排障建議等；限速、源認證、會話認證的防御策略。小時軟硬件售后保修和軟件升級服務。【性能參數(shù)】網(wǎng)絡層吞吐量10Gbps,IPS吞吐量4Gbps,并發(fā)連結數(shù)2雙電源；網(wǎng)絡接口：10個千兆電口，4個千兆光口【功能參數(shù)】下行/上行端口自動切斷鏈路；2.支持同訪問控制規(guī)則進行聯(lián)動，可以針對檢測到的攻擊源IP進行聯(lián)動封鎖，支持自定義封鎖時間；3、持基于應用類型，網(wǎng)站類型，文件類型進行帶寬分配和流量控制，支持基于時間、地域、認證用戶、子接口和VLAN等因素實現(xiàn)對象的流量控制；3.支持采用無特征AI檢測技術對惡意勒索病毒及挖礦病毒等熱點病毒進行檢測，給出基于Al技術的病毒檢測報告；4.設備具備獨立的入侵防護漏洞規(guī)則特征庫，特征總數(shù)在7000條以上；性、識別方式、開放的服務與端口、敏感數(shù)據(jù)頁面數(shù)以及更新時間等；和自動檢測，發(fā)現(xiàn)問題后支持一鍵生成防護規(guī)則；7.支持對終端已被種植了遠控木馬或者病毒等惡意軟件進行檢測，并且能夠對檢測到的惡意軟件行為進行深入的分析，展示和外部命令控制服務器的交互行為和其他可疑行為。日志審存儲容量12T,標配Raid5。最大支持300日志源授權。包含日志收集、收速率，降低對系統(tǒng)資源的占用，保障重要日志的收集；5、支持根據(jù)2設備重要程度設置獨立設置每個被采集源的日志、報表數(shù)據(jù)存儲時間為1個月、3個月、6個月和永久保存等參數(shù)；6、支持首頁以全國地圖、全球地圖展示最近24小時日志訪問源和訪問目的的分布，能根據(jù)顏色區(qū)分訪問來源和訪問目的數(shù)據(jù)量大小，能夠通過首頁地圖快速下鉆查詢指定區(qū)域的日志詳細信息；7、支持基于拓撲圖的日志源相關數(shù)據(jù)信息快速查看；支持通過拓撲下鉆查看對應日志源的日志、報表、告警數(shù)據(jù)。8、支持將常用IP地址或IP地址網(wǎng)段標記為自定義名稱，在日志查詢界面可以在IP列中對應懸浮顯示自定義名稱；數(shù)據(jù)庫審計系統(tǒng)存儲空間，配置冗余電源，帶有液晶屏；默認含3年攻擊檢測規(guī)則庫升3、支持IPv6網(wǎng)絡環(huán)境下的數(shù)據(jù)庫審計，可識別IPv6的相關5、支持首頁直觀展示數(shù)據(jù)庫審計系統(tǒng)的運行情況，比如并發(fā)連接數(shù)、每秒新建連接速率、版本號、運行時間以及CPU、內存、硬盤等資源占7、支持系統(tǒng)本身主要運行功能服務模塊的運行狀態(tài)巡檢，保證系統(tǒng)安8、支持云檢測，可對本單位部署的同一品牌的多臺審計或者多類型安全設備(版本號、序列號、型號、運行時長、CPU和內存占用、并發(fā)和新建連接數(shù)、設備流量等)進行遠程統(tǒng)一檢測，保障各設備的安全穩(wěn)定29、支持薩班斯法案報表模板以及自定義報表，可以按日、周、月等周期自動生成報表1、2U機型，1個console口，2個USB口；6個千兆電口，4個SFP插槽，2個可擴展插槽；4T存儲空間，雙電源；支持300資源授權，用戶數(shù)不限制；2、采用物理旁路部署，不改變現(xiàn)有網(wǎng)絡結構；支持雙機部署，保證系統(tǒng)發(fā)生故障時的可用性；支持自建集群部署：支持無縫橫向擴展，輕松應對高并發(fā)需求；分布式部署：分擔堡壘機主服高整體性能；器、網(wǎng)絡設備、安全設備、數(shù)據(jù)庫等的資產管理池、數(shù)據(jù)中心多種運維場景；4、公有云設備支持一鍵更新發(fā)現(xiàn)功能；5、支持改密結果自動發(fā)送到制定改密計劃的管理員郵箱；密碼采用密碼信封加密保存，以保證安全性；6、圖像審計采用OCR圖像識別技術，通過可以識別圖形操作中的程序標題、快捷方式標題、窗口內容中的文本信息；支持RDP、VNC圖形操作過程中鍵盤輸入操作記錄、剪貼板和鼠標點擊行為記錄；7、系統(tǒng)內置豐富報表統(tǒng)計模板：協(xié)議運維排名、資產運維次數(shù)top10、數(shù)top10、指令分布top10、top10指令資產分布、指令用戶分布top10、等多種類型報表模板。8、支持對堡壘機虛擬為多臺邏輯堡壘機，虛置、獨立數(shù)據(jù)。實現(xiàn)IT資源的動態(tài)分配、靈活調度、跨資源利用率2上網(wǎng)行1、2U機型；6個千兆電口，4個千兆光口，2個擴展槽；冗余電源；自帶230000個上網(wǎng)用戶使用2、系統(tǒng)CF卡≥4G,設備本身的操作系統(tǒng)單獨存放3、支持路由模式，旁路模式、網(wǎng)橋模式、混合模式部署；綁成一個邏輯的端口以增加帶寬，同時增加鏈路備份)支持基于輪循、6、支持行為管理設備接入集中管控平臺，并通過APP管理集中管理平10、支持短信認證方式、微信認證、釘釘認證、企業(yè)微信對接、二維碼護條例》國務院147號令為根本要求，以等保三級和《“互聯(lián)網(wǎng)+政務服務”技術體系建設指南》為基本要求，提出“政務云”安全建設需求。《網(wǎng)絡安全法》第二十一條明確規(guī)定：國家實行網(wǎng)絡安全等級保護制度。網(wǎng)絡運營者應當按照網(wǎng)絡安全等級保護制度的要求，履行安全保護義務，保障網(wǎng)絡此次依照國家法律法規(guī)及等級保護三級標準要求提出本項目安全建設基本精準定位即時處置實時發(fā)現(xiàn)精準定位即時處置實時發(fā)現(xiàn)業(yè)務)租業(yè)務)租戶安全池化安全能力安全運營服務人員保障運營支撐安全運營服務人員保障運營支撐東西向安全虛擬機微隔離訪問控制云平臺自身安全云管平臺云平臺自身安全云管平臺訪問控制入侵防御流量清洗安全接入全事件信息的收集和分析，與安全設備(虛擬安全設備)聯(lián)動，實現(xiàn)智能安全防聯(lián)動，進而通過安全虛擬化的虛設備部署在虛擬邊界，保護虛擬資源的訪問安全。3.5.3安全保障設計根據(jù)招標文件要求和實際網(wǎng)絡情況，建設S縣政務云數(shù)據(jù)中心架構網(wǎng)絡，根據(jù)業(yè)務情況將S縣政務云數(shù)據(jù)中心劃分為兩大部分，分別為互聯(lián)網(wǎng)業(yè)務區(qū)以及電子政務外網(wǎng)區(qū)。其中，兩部分網(wǎng)絡各通過分區(qū)分域原則劃分為以下區(qū)域：互聯(lián)網(wǎng)出口區(qū)、安全運維管理區(qū)、政務外網(wǎng)接入?yún)^(qū)、業(yè)務核心交換區(qū)、云管平臺區(qū)域、政務云業(yè)務區(qū)等多個區(qū)域。互聯(lián)網(wǎng)出口區(qū)域部署高性能鏈路負載均衡、高性能安全網(wǎng)關下一代防火墻，此外為保障政務服務效果，防止單點故障，出口設備均為雙機部署。其中，鏈路負載均衡支持ipv6以及多種鏈路調度功能，安全網(wǎng)關為國際領先的下一代防火墻，創(chuàng)新融合網(wǎng)絡層防火墻與入侵防御能力，通過一次拆包多次分析技術提升處理效果和網(wǎng)絡體驗，對網(wǎng)絡流量的深度解析，即使準確發(fā)現(xiàn)非法入侵攻擊行為，并執(zhí)行實施精確阻斷，主動而高效的保護用戶網(wǎng)絡安全。鏈路負載均衡本方案建設充分考慮后續(xù)數(shù)據(jù)中心擴展性，采用鏈路負載均衡，后續(xù)網(wǎng)絡和應用系統(tǒng)的擴建、穩(wěn)定性保障以及優(yōu)化建設都有很好的擴展性。1、整個建設方案采用高端鏈路負載均衡設備兩臺全冗余網(wǎng)絡連接方式建設，來保證系統(tǒng)的高可用性和高可靠性。2、電子政務云內網(wǎng)的用戶訪問互聯(lián)網(wǎng)訪問資源時，鏈路負載均衡設備接收到用戶的訪問流量后，通過預先設定鏈路負載策略將用戶訪問流量分配到不同的互聯(lián)網(wǎng)鏈路之上，實現(xiàn)出站流量負載均衡，提升互聯(lián)網(wǎng)鏈路帶寬利用率。3、當外部用戶訪問內部資源時，鏈路負載均衡設備通過智能DNS技術將一個域名綁定多個運營商的公網(wǎng)地址，負責解析來自不同運營商用戶的域名解析請求；鏈路負載均衡設備根據(jù)不同負載均衡策略為不同運營商的用戶返回最佳的訪問地址，實現(xiàn)用戶入站流量的負載均衡。方案實現(xiàn)出站流量(內部用戶訪問互聯(lián)網(wǎng)資源的流量)鏈路負載均衡設備接收到內網(wǎng)用戶訪問的流量以后，可以根據(jù)預先設定負載策略將訪問電信的資源的出站流量分配到電信的鏈路之上，并做源地址的NAT, (可以指定某一合法IP地址進行源地址的NAT,也可以用負載均衡設備的接口地址自動映射),保證數(shù)據(jù)包返回時能夠正確接收；同理，其它的訪問的流量會通過相應策略會被分配到其它的運營商鏈路之上。入站流量(外部用戶訪問政務云互聯(lián)網(wǎng)服務的流量)通過在域名注冊提供商處修改域名NS記錄，負載均衡設備獲得域名解析權，實現(xiàn)一個域名綁定多個運營商的公網(wǎng)地址，負責解析來自多個運營商用戶的域名解析請求。根據(jù)實現(xiàn)設定負載策略可以實現(xiàn)，如電信的用戶通過電信的線路訪問內部資源，聯(lián)通的用戶通過聯(lián)通的線路訪問內部資源；負載均衡設備還可以通過兩條鏈路做反向查詢，根據(jù)RTT時間判斷鏈路的好壞，并且綜合以上兩個參數(shù)返回相應為了方便管理員能夠根據(jù)自身需求選擇相應的鏈路分配策略，支持更多個性化鏈路使用規(guī)則，鏈路負載均衡設備還支持算法例如輪詢、哈希、加權輪詢、帶寬比例、首個可用、加權最少連接、加權最小流量、基于時間段負載算法等等。智能優(yōu)化技術本次建設方案的鏈路負載均衡設備采用智能路由技術、DNS透明代理技術以及鏈路繁忙控制技術可以實現(xiàn)基于鏈路的負荷情況、時間段、用戶群體、訪問對象等因素來分配鏈路的分配機制，進一步提升鏈路優(yōu)化使用率。鏈路繁忙控制，為每條鏈路設定閥值，避免過多用戶被分配到同一鏈路之上，造成用戶訪問速度降低。智能路由，方便用戶配置管理設備，提供基于時間段的鏈路負載機制，在不同時間段使用不同的負載均衡算法，滿足網(wǎng)絡個性管理需求。智能告警，一旦鏈路、應用系統(tǒng)、設備本身出現(xiàn)故障，就會通過郵件或者短信的形式通知管理人員進行相應的處理。健康檢查機制鏈路負載均衡設備通過多個Internet站點的可達性，來共同判斷一條鏈路的狀況。例如，通過電信線路檢查、以及的TCP80端口，并對檢查結果做“或”運算。這樣，只要其中一個站點可達，即可表明鏈路狀態(tài)良好。該方法避免了ICMP檢查的局限性，也避免了單一站點檢查帶來的單點失誤。>下一代防火墻通過在出口雙機部署安全網(wǎng)關，保護電子政務云互聯(lián)網(wǎng)區(qū)域安全，抵御互聯(lián)網(wǎng)威脅。安全網(wǎng)關為下一代防火墻，通過下一代防火墻構建融合安全的防護體系。通過安全能力的融合實現(xiàn)事前風險預知、事中完整防護、事后檢測及響應的閉環(huán)，同時依靠安全能力的融合將安全能力及數(shù)據(jù)進行集中，避免防御短板阻斷高級威脅。全程保護，閉環(huán)防御在整個網(wǎng)絡攻擊的過程中，攻擊者往往也遵循這一定的流程。在攻擊初期進行網(wǎng)絡探測確定攻擊目標尋找安全漏洞，然后在進行邊界突破獲取控制權限，在通過持續(xù)滲透或橫向移動獲取更多的控制權，最終再進行竊取破壞獲得最大的戰(zhàn)為了應對此類攻擊必須要構建完整的防護體系，實現(xiàn)針對攻擊流程的全程保護。安全網(wǎng)關在事前階段對資產實現(xiàn)自動發(fā)現(xiàn)并進行風險及策略的評估，實現(xiàn)風險預知；在事中通過最新的威脅情報對L2-7層實現(xiàn)聯(lián)動防御的效果；在事后持續(xù)檢測異常行為發(fā)現(xiàn)潛在威脅，并對已經(jīng)發(fā)現(xiàn)的問題提供快速響應防止事件擴大。風險預知持續(xù)檢測積極防御快速響應事中：防御事后：檢測&響應全程保護事前風險預知---資產發(fā)現(xiàn)，避免遺漏在防護體系建設初期，安全網(wǎng)關可以幫助電子政務云運維人員在如此大型的數(shù)據(jù)中心中快速篩選并定位需要保護的資產，避免出現(xiàn)遺漏。通過資產發(fā)現(xiàn)可以保證安全策略真正的產生應有的效果。事前風險預知---風險評估，重點防御針對電子政務云現(xiàn)有資產的漏洞進行安全防護可以幫助我們更好的實現(xiàn)安全防護的價值。安全網(wǎng)關結合漏洞發(fā)現(xiàn)的能力，幫助用戶更好的進行安全防護，使之根據(jù)針對性。安全網(wǎng)關利用獨有的實時漏洞功能，幫助用戶實時發(fā)現(xiàn)現(xiàn)有漏洞進行針對性防護。1)通過數(shù)據(jù)包中應用的版本信息，展示相關版本中存在的漏洞2)通過網(wǎng)站請求包中傳輸?shù)男畔ⅲ瑱z測是否對輸入信息進行限制，服務器是否會做出相應來判定是否存在漏洞3)通過數(shù)據(jù)包中的信息發(fā)現(xiàn)服務器的不安全配置等信息，如：數(shù)據(jù)庫錯誤信息、響應包中允許文件的任意上傳事前風險預知---策略評估，貼合現(xiàn)狀系統(tǒng)上線測試階段通過機器智能識別訪問流量記錄業(yè)務相關信息，NGAF可自動生成策略避免策略遺漏造成的安全風險系統(tǒng)上線后經(jīng)過業(yè)務變更、新老系統(tǒng)增減策略會不停變化，此時通過策略檢查對比現(xiàn)有流量及策略情況發(fā)現(xiàn)變更情況增減策略。事中積極防御---L2-7層的完整防御，避免出現(xiàn)防護短板網(wǎng)絡攻擊從早期的網(wǎng)絡層攻擊到應用層，又到現(xiàn)在的web層攻擊，攻擊手段不斷演進。想要完整的實現(xiàn)事中防御的能力必須要整合傳統(tǒng)防火墻、IPS、WAF防護能力。下一代防火墻在安全防護方面便是如此實現(xiàn)的，通過實現(xiàn)L2-7層的安全防護當安全事件發(fā)生時下一代防火墻便會基于安全事件的具體內容提供相應的融合安全的防護體系使得下一代防火墻實現(xiàn)了前所未有的安全能力的融合使得我們實現(xiàn)了可以針對攻擊鏈條的全程保護，而更強的能力也就帶來了更多的數(shù)據(jù)來源、更全面的分析結果。當我們具備了這些條件以后也就隨之帶來了更加有效的安全防護。管理更簡單下一代防火墻通過運營中心幫助S縣電子政務外網(wǎng)運維人員快速進行安全體檢，幫助運維實現(xiàn)對資產動態(tài)的監(jiān)控、分析。檢測結果形成待處理問題，直接聯(lián)動終端安全組件進行處置與進程取證，安全運營形成閉環(huán)。>網(wǎng)閘安全隔離物理隔離：系統(tǒng)由內網(wǎng)單元、外網(wǎng)單元及安全數(shù)據(jù)交換單元三個物理部分組成。安全數(shù)據(jù)交換單元不同時與內外網(wǎng)處理單元連接。其數(shù)據(jù)流轉過程類似U盤在內外網(wǎng)處理單元之間拷貝數(shù)據(jù)；協(xié)議隔離：內、外網(wǎng)單元主機均采用安全操作系統(tǒng)，分別獨立完成網(wǎng)絡協(xié)議的終止。內、外網(wǎng)單元之間只能通過采用非網(wǎng)式專有安全通道進行間歇性數(shù)據(jù)傳遞，內外網(wǎng)無法直接建立任何的協(xié)議會話，從而阻斷以共同協(xié)議為載體的風險傳應用隔離：系統(tǒng)采用模塊化的應用解碼，內外網(wǎng)單元分別獨立完成與客戶會話交互、提取安全數(shù)據(jù)等待數(shù)據(jù)交換，所以內外網(wǎng)之間不能建立直接的應用會話；內容隔離：內、外網(wǎng)單元分別將待交換傳輸?shù)臄?shù)據(jù)進行內容檢查，不符合安全規(guī)定的數(shù)據(jù)內容將被直接刪除，合法的數(shù)據(jù)才允許被安全數(shù)據(jù)交換單元交換至另一端，從而保證了數(shù)據(jù)內容的安全性；信息交換安全隔離與信息交換系統(tǒng)的工作原理基于人工信息交換的操作模式，即由內外網(wǎng)處理單元分別負責接收來自所連接網(wǎng)絡的訪問請求，兩模塊間沒有直接的物理連接，形成一個物理隔斷，從而保證可信網(wǎng)和非可信網(wǎng)之間沒有數(shù)據(jù)包的交換，沒有網(wǎng)絡連接的建立。在此前提下，通過專有硬件實現(xiàn)網(wǎng)絡間信息的實時交換。這種交換并不是數(shù)據(jù)包的轉發(fā)，而是應用層數(shù)據(jù)的靜態(tài)讀寫操作，因此可信網(wǎng)的用戶可以通過安全隔離與信息交換系統(tǒng)放心地訪問非可信網(wǎng)的資源，而不必擔心可信網(wǎng)的安全受到影響。作，實現(xiàn)內外網(wǎng)間可進行標準的、可控的HTTP通信。如針對絕大多數(shù)Web應用的動作一律阻止；可以禁止JavaScript及ActiveX等腳本程序以屏蔽其帶來的●文件信息交換：通過系統(tǒng)內置的FTP應用協(xié)議處理模塊，安全隔離與信庫處理模塊，系統(tǒng)內能夠處理穿越安全隔離與信息交比如Oracle數(shù)據(jù)庫，我們可以設置只允許Select,不允許Delete、Update以H323等多種視頻信息交換協(xié)議，在指定的通道中綁定視頻媒體模塊后，可以保●DCS工控信息交換：冶金系統(tǒng)、電力系統(tǒng)、煤炭、石油、可控制相應的功能代碼，例如只允許通過MODBUS協(xié)議讀取狀態(tài)信息，不能發(fā)送●組播代理：對于客戶網(wǎng)絡的組播應用做不同網(wǎng)絡之間的代理，支持三層設備的代理穿透，支持PIM協(xié)議的代理，使客戶組播應用無縫跨網(wǎng)代理；●特殊定制信息交換：對于用戶自行研發(fā)的標準TCP/IP通信協(xié)議，可借助提供的協(xié)議分析產品和自定義協(xié)議界面，完成用戶協(xié)議的安全定制，安全隔離與信息交換系統(tǒng)會以用戶定制的命令、參數(shù)等協(xié)議解析方式來解析用戶的通信內容，從而實現(xiàn)在通信端口內只允許用戶特定的協(xié)議通過，遠比其它產品只進行端口過濾和內容過濾安全得多。數(shù)據(jù)內容審查內容檢查是指當安全隔離與信息交換系統(tǒng)準備交換文件之前對文件所進行的安全檢查，確保只有符合保密、安全策略的數(shù)據(jù)、文件才允許被交換至另一端。●行為動作：隔離系統(tǒng)的內、外網(wǎng)單元可依據(jù)管理員設定的各個應用模塊的行為動作策略進行控制，拒絕非允許的動作操作：如針對FTP協(xié)議，允許下載不允許上傳；針對數(shù)據(jù)庫訪問，允許SELECT不允許DELETE等操作，并記錄非授權動作到日志告警；●關鍵字檢查：隔離系統(tǒng)的內、外網(wǎng)單元可依據(jù)管理員設定的涉密或不健康的信息進行過濾，將過濾到關鍵字的信息擯棄并記錄日志告警；●文件類型檢查：隔離系統(tǒng)的內、外網(wǎng)單元可將指定的可能產生危險的文件類型過濾、刪除并且記錄日志告警。安全隔離管理安全的管理通信安全隔離與信息交換系統(tǒng)只允許從管理控制端口進行管理，在通信端口不接受任何管理請求，避免了管理信息的旁入可能。管理者與安全隔離與信息交換系統(tǒng)采用加密的HTTPS協(xié)議進行交互，現(xiàn)有各種監(jiān)聽工具無法獲取其通信內容，保障了管理信息的安全性。權限分配方式安全隔離與信息交換系統(tǒng)采取系統(tǒng)策略配置管理員、安全管理員與日志管理員三種角色分立的權限分配模式。用戶只能維護和操作所屬基礎管理角色的功能與操作，權限各不交叉。系統(tǒng)也提供用戶角色分配權限的策略，使用戶管理更加方便且易于理解。策略定制功能安全隔離與信息交換系統(tǒng)采用面向用戶的策略定制方式，即便是初次使用的用戶也可依據(jù)界面向導，依次制定適應實際網(wǎng)絡應用環(huán)境的交換策略。此外，系統(tǒng)內置的初始策略更是方便了新用戶的使用。日志審計功能安全隔離與信息交換系統(tǒng)提供強大的日志和審計功能，日志默認存儲在設備中。并且支持通過標準SYSLOG的日志格式發(fā)送到遠端日志服務器，為日志審計提供了很好的數(shù)據(jù)支撐和方便性。日志內容完整記錄并保存系統(tǒng)設定、通信控制、內容檢查、連接限制、系統(tǒng)告警等各類日志告警信息。審計模塊可使管理員以多種方式進行查詢、審計，并生成報表。系統(tǒng)具有日志告警信息的導入、導出、備份等功能，保證了日志告警信息的安全性與易用性。政務外網(wǎng)接入安全核心業(yè)務安全息，根據(jù)這些解析后的原始信息，可以精確的檢測其是否包含威脅內容。而傳統(tǒng)的IPS基于DPI深度數(shù)據(jù)包解析技術，只能實現(xiàn)在網(wǎng)絡層數(shù)據(jù)包層面進行重組還原及特征匹配，IPS,僅僅是基于簡單的特征檢測技術，存SQLSQL注入特征XSS攻擊特征敏感信息特征幀頭lp頭Tcp頭惡意代碼深度內容檢測核心業(yè)務防火墻作為web客戶端與服務器請?zhí)峁┦潞笱a償防護手段，即使黑客繞過安全防御體系修改了網(wǎng)站內容，其修改的內容動3.5.4安全運維管理通過安全運維管理實現(xiàn)S縣電子政務云平臺統(tǒng)一管理，建立屬于全縣的統(tǒng)一安全管理中心，實現(xiàn)全縣承載業(yè)務和用戶的基礎網(wǎng)絡安全統(tǒng)一管理，健全政務云平臺的網(wǎng)絡安全合規(guī)能力。安全資源池本次方案設計采用基于標準X86平臺打造的安全資源池，無需交付過多硬件設備堆疊，即可滿足統(tǒng)一安全管理，完成合規(guī)交付；同時也考慮到之后業(yè)務增長帶來的網(wǎng)絡安全壓力，使用安全資源池便于后期靈活擴容。網(wǎng)絡安全：通過安全資源池中的網(wǎng)管系統(tǒng)實現(xiàn)對網(wǎng)絡設備的安全管理要求。主機安全：通過安全資源池中的漏洞掃描工具、病毒查殺等技術手段，實現(xiàn)對數(shù)據(jù)中心的虛擬機、網(wǎng)絡設備、操作系統(tǒng)、中間件和數(shù)據(jù)庫的安全防護，保障用戶虛擬機、網(wǎng)絡設備、操作系統(tǒng)、中間件和數(shù)據(jù)庫不受數(shù)據(jù)中心內外網(wǎng)絡的病毒感染威脅，黑客入侵威脅，安全漏洞威脅，使得用戶的業(yè)務得以長期、穩(wěn)定的運行。數(shù)據(jù)安全：數(shù)據(jù)是單位的核心資產。通過部署云堡壘機、云數(shù)據(jù)庫審計、云日志審計等技術，實現(xiàn)對數(shù)據(jù)的安全防護，防止數(shù)據(jù)泄密、丟失、篡改等行為，并可以在數(shù)據(jù)異常操作發(fā)生后實現(xiàn)安全事件的追溯，從源頭保障數(shù)據(jù)安全。安全管理：通過制定完善管理體系，形成規(guī)范的管理流程，包含管理流程、組織架構、安全策略，結合云安全運維體系。通過統(tǒng)一的安全運維接入和接入訪問控制解決方案，實現(xiàn)對云數(shù)據(jù)中心用戶核心業(yè)務的操作系統(tǒng)、數(shù)據(jù)網(wǎng)絡設備等IT資源的帳號、認證、授權和審計的集中控制和管理。同時，通過將操作日志發(fā)送到統(tǒng)一安全管控中心，可以由統(tǒng)一安全管控中心進行關聯(lián)分析，及時發(fā)現(xiàn)安全風險，為信息安全事件提供責任認定、調查取證的證據(jù)。部署方式在核心路由交換機上，采用物理旁路，邏輯串聯(lián)的方式，核心交換機采用策略路由的方式將被保護業(yè)務系統(tǒng)的流量引流到云安全資源池，通過安全資源池的云堡壘機、云數(shù)據(jù)庫審計、云日志審計、云漏洞掃描、云防病毒、虛擬機監(jiān)測對數(shù)據(jù)量進行安全檢測，檢測完成后在返回給交換機到出口。完成整個數(shù)據(jù)流的安全防護，實現(xiàn)了南北向和東西向縱深防護體系。云安全服務平臺底層采用虛擬化架構，部署在X86服務器上，平臺中計算資源、存儲資源、網(wǎng)絡資源、網(wǎng)絡功能資源、安全功能其中安全功能具備云堡壘機、云數(shù)據(jù)庫審計、云日志審計、云漏洞掃描、云防病毒、虛擬機監(jiān)測等功能組件，能夠實現(xiàn)不同安全功能組件之間的聯(lián)動，形成縱深防護體系。以上落實到實際效果主要體現(xiàn)在兩個部分：一部是為不同業(yè)務的個性化安全需求提供了靈活性的安全部署方式，一部分是實現(xiàn)了業(yè)務系統(tǒng)以及云平臺的安全需求以服務化交付，具體如下：通過安全需求服務化交付，實現(xiàn)了各個業(yè)務系統(tǒng)根據(jù)不同安全功能需求提供了按需服務，根據(jù)各個業(yè)務系統(tǒng)需求實現(xiàn)彈性擴展，滿足各個業(yè)務系統(tǒng)不同等保級別的合規(guī)需求；>通過云安全資源池管理平臺，實現(xiàn)未知威脅發(fā)現(xiàn)、Web業(yè)務系統(tǒng)漏洞掃描和安全監(jiān)測，提前預警和防護；>通過云安全資源池管理平臺，實現(xiàn)全網(wǎng)態(tài)勢感知動態(tài)展示、策略下發(fā)、安全事件實時處置；>后期擴容，可以通過添加X86服務器實現(xiàn)性能擴容。平臺安全組件在安全資源池里部署云堡壘機。堡壘機采用協(xié)議代理方式對各種維護協(xié)議進行轉發(fā)，并在轉發(fā)的過程中分別模擬了協(xié)議的客戶端與服務端，具體如下圖所示：0模擬控制記錄服務端當客戶端通過堡壘機訪問服務器時，首先由堡壘機模擬成遠程訪問的服務端時，接受客戶端發(fā)送的信息，并對其進行協(xié)議的還原、解析、記錄，最終獲得客戶端發(fā)送的指令信息，再模擬成操作的客戶端，與真正的目標服務器建立通訊，并轉發(fā)用戶端發(fā)送的指令信息。接收到服務器端的返回信息后，再反向執(zhí)行此過程，將返回值發(fā)送給客戶端從而實現(xiàn)對各種維護協(xié)議的代理轉發(fā)過程。在通訊過程中，堡壘機會記錄各種指令信息，并根據(jù)違規(guī)規(guī)則庫對指令信息進行比對，如發(fā)現(xiàn)違規(guī)的操作行為，則終止數(shù)據(jù)包的轉發(fā)，并中斷整個TCP會話。支持多種協(xié)議堡壘機在部署時只需要為其分配一個獨立IP地址即可，無需對網(wǎng)絡拓撲結構進行任何調整。客戶端通過網(wǎng)絡連接至堡壘機，由堡壘機將用戶的訪問行為轉發(fā)至目標服務器。部署內部服務器的維護端口只開放給堡壘機，不再再讓運維人員直接訪問。對運維人員，只需開放堡壘機的訪問端口，從而進一步加強內部服務器的安全性。統(tǒng)一用戶身份認證在信息系統(tǒng)的維護管理過程中，經(jīng)常會出現(xiàn)多名運維人員共用同一系統(tǒng)帳號進行登錄訪問的情況，從而導致很多安全事件無法清晰地定位責任人。堡壘機通過“堡壘機帳號”與“服務器帳號”相關聯(lián)的方式，即在系統(tǒng)中為每一個運維人員創(chuàng)建唯一的登錄賬號，運人員通過自身的“審計系統(tǒng)帳號”,先登錄堡壘機，再登錄目標服務器，從而實現(xiàn)將用戶身份的認證落實到“自然人”。堡壘機支持SSO功能，維護人員只要登錄堡壘機，即可訪問所有被授權的服務器系統(tǒng)，無需進行二次登錄認證。訪問權限控制堡壘機可以對運維人員進行細粒度的權限控制，管理可以根據(jù)人員、時間、系統(tǒng)賬戶、操作指令等內容設定訪問權限，如：限制用戶能夠訪問的服務器范圍；限制用戶能夠登錄的時間；設定用戶操作指令黑、白名單，阻止違規(guī)操作行為；堡壘機還支持特有的授權訪問機制，即對某些用戶，,每次訪問特定設備前都需要管理員進行授權才能通行，避免臨時人員在管理員不知情的情況下進行訪服務器密碼管理堡壘機提供服務器密碼管理功能，可以周期性對服務器密碼進行自動修改，并保證密碼復雜程度與密碼文件的安全保管。管理員可以設定改密周期、密碼強度策略等改密要求。對于所有遠程訪問目標服務器的會話連接，堡壘機均可實現(xiàn)同步過程監(jiān)視，運維人員在服務器上做的任何操作都會同步顯示在審計人員的監(jiān)控畫面中，包括vi、smit以及圖形化的RDP、VNC、X11等操作，管理員可以根據(jù)需要隨時切斷違異常行為告警堡壘機內置安全事件規(guī)則庫，并可實時對用戶的操作過程進行檢測，一旦發(fā)現(xiàn)違規(guī)操作行為，可以通過短信、郵件等方式向審計人員及時發(fā)送告警信息或自動中止操作會話。安全事件規(guī)則庫支持自定義擴充功能，管理員可以根據(jù)企業(yè)內部管理需求，靈活擴充規(guī)則庫內容。操作行為記錄對所有經(jīng)過審計系統(tǒng)的操作行為，堡壘機均可完整記錄操作過程，保留操作記錄，記錄內容包括操作時間、IP地