阿里云混合云密码应用分析

Posted 2022-06-28 混合云君(Apsara Stack)

“十四五”是国家数字化战略转型建设的关键阶段，5G、人工智能、云计算、大数据等新一代信息技术进一步加快了工业和信息化领域数字化转型的步伐。与此同时，也带来了新的网络安全风险。加快推动商用密码与新一代信息技术的深度融合和协同创新，增加商用密码技术在工业和信息化领域应用推广，提升安全保障能力已达成业界广泛共识。

为进一步推动商用密码应用，促进商用密码产业供需双向对接，工业和信息化部商用密码应用产业促进联盟（CCPA）联合产学研各方力量举办了系列活动，6月24日，“工业和信息化领域商用密码应用推进技术论坛”第二期在线如期举行。本期技术论坛特邀行业专家及头部企业代表，共同探索密码在新技术领域的应用落地路径，推动商用密码技术创新应用发展。阿里云智能混合云平台高级技术专家杨晓黎应邀参加本次技术论坛，分享了「阿里云混合云密码应用分析」，深入交流了阿里云混合云对云上密码应用场景的分析，以及面临的挑战与思考。

 

混合云是实现政企数智化创新最佳选择

如今政企数字化转型全面进入“云”时代，云已经成为了数字化转型的基石和枢纽，混合云是实现政企数智化创新的优选方案。阿里云混合云是首个全自研大规模成熟商用的原生混合云。基于阿里云分布式架构，针对企业级市场使用特点，为客户量身打造的开放、统一、可信的企业级云平台，混合云与阿里云公共云同根同源，客户可在任何环境本地化部署公共云产品及服务，并具备一键弹性至公共云的能力，让客户随时随地尽享混合云产品服务。

从阿里云混合云成立至今经历了从1.0到2.0的进化。Apsara Stack 2.0在继承公共云稳定基因和一致性体验的同时，对比1.0主要有以下几个变化。首先，飞天2.0完全继承了阿里云公共云最新的技术成果，具备一云多芯、一云多Region和全场景灾备的能力。同时，对云的“管理”升级成了对云的“运营”。此外，当前的阿里云混合云不仅有中心云，也有我们的边缘云，构筑了云边一体的完整方案。今天的Apsara Stack 2.0已经从单一的私有云场景演进到服务于大型集团&行业云场景，成为企业客户上云的最佳选择。

阿里云混合云密码应用场景分析

安全面临的挑战

在数字化的整体趋势下，互联网和大数据给人们的生活方式带来了巨大的改变，随着云计算的日益普及，各行各业都在进行信息化改造和上云，这也对信息的安全提出了更高的要求。在当下，信息安全已经不仅仅只是关乎个人隐私，还会危及到国计民生，云计算做为信息的基础设施，承载的数据越来越多，数据安全影响面越来越大，仅仅从勒索软件的危害，就可见一斑，勒索团伙以窃取的数据为要挟，单次敲诈金额可达千万美金，近年来几乎所有国家的政府、金融、教育、医疗、制造、交通、能源等行业均受到影响  可以说有互联网的地方就可能存在攻击。

近几年来信息安全引起国家的重视，上升到了国家安全的高度，多个关系网络安全的法规陆续出台，各个行业的技术规范也都对安全提出明确的要求。这就要求我们在云计算上密码应用的范围会越来越广、越来越深入。

夯实密码基础服务，服务上层应用

应用的对象为云系统，云系统从可变更人角度分为云平台和租户侧，除了最底层的物理基础设施，云平台自身还包括云平台基础服务层、融合管控层和云服务与接口层，层和层之间、服务和服务之间存在各种相互依赖。

如何让整个云平台快速落地实现密码应用，阿里云混合云给密码应用改造确定的原则是通过“夯实密码基础服务、服务上层应用”来实现密码改造的全路径。

具体需要考虑的几个方面包括：

1.      夯实密码应用基础服务，这也是支撑整个云平台密码应用的基础；

2.      在底层基础设施能力具备的基础上，需要考虑上层云平台如何使用这些密码基础服务，以达到业务无感知；

3.      业务的连续性不受影响，可扩展性良好。

解决了以上三个方面整个云平台其实就初步具备了密码应用能力。但这还不够！接下来需要思考的是可视化能力，可见可查，以方便审查。

对云平台，由阿里云混合云提供密码技术应用，而对租户侧，是由客户来实施密码应用改造，阿里云混合云提供密码应用的能力，以方便客户对应用实施密码技术应用。

平台访问边界

我们以双机房容灾场景为分析目标。

可控机房我们视为相对安全区域，对安全区域外到安全区域内的访问，安全性要求更高；之所以称为可控机房，从技术上需要具备两个层面的的密码技术控制访问：一个是物理环境管理，另外一个是网络访问边界。

物理环境管理主要为机房的门禁、监控等措施，能够从物理上隔离开风险；

网络访问边界包含三个场景：

1.      通过互联网到云平台的访问：这种场景主要为通过VPN接入；

2.      局域网访问：也就是通过办公网接入运营、运维平台等实施运营和运维操作；

3.      机房间的通信：这种通信包含了不同云产品之间的访问以及产品内部不同机房间的数据同步等。

云平台上的应用

混合云管理平台（Apsara Uni-manager）的主要作用是提供产品和服务给客户使用，并不是为了直接提供应用。是面向阿里云专有云和混合云场景的企业级云管理平台。它提供全方位的云资源供给、运维和运营管理能力，具备一体化管控、智能化运维、精细化运营及个性化扩展等核心竞争力，简化混合云管理，提升用户体验，加速企业数字化转型。

混合云管理平台（Apsara Uni-manager）由以下几部分组成：

运营控制台：通过一体化的管控入口，提供精细化资源治理、智能化数据分析和个性化功能扩展等能力，降低企业的云管理成本。

运维控制台：通过自动化的运维流程，提供主动式监控告警、根源问题定位和故障自动修复等能力，降低云环境的运维成本，保障云环境安全稳定运行。

智能指挥官：通过高可视化的数据大屏，为企业IT的决策者提供了混合云多维度的全景数据展示，包括混合云总体运行状态和资源使用情况，并支持针对不同角色设置不同的首页仪表盘。

混合云平台密码应用技术

定义了边界和平台上的应用，那么密码应用的范围就清楚了，对于云平台密码技术应用，密码应用基础服务是基础设施，提供服务给上层云产品，满足身份鉴别、信息传输加密、重要数据落盘加密、和日志完整性等对密码技术的需要。

引入的密码基础服务包含：云服务密码机、密钥管理服务、证书基础服务、认证和鉴权服务、国密算法库以及协议栈里的国密算法套件。

具体到平台改造上，包含了如下几个场景：

1.      互联网访问场景下的用户登录身份鉴别、数据传输加密、重要信息落盘加密保护和日志完整性以达到从用户登录开始到操作可追溯，数据有保护；

2.      局域网访问场景下，控制台和堡垒机的身份鉴别、传输加密、账密和个人信息等落盘加密、日志的完整性保护；

3.      机房间通信的传输加密。

混合云租户侧密码应用技术

平台的密码应用是租户侧的能力，阿里云混合云在租户侧主要提供密码应用的能力，整体建设思路：

1.      全面合规对标，分别建设面向云平台和云租户的独立密码服务体系；

2.      IAAS层密码服务体系以符合安全等级要求的密码硬件方式提供，满足密评要求；

3.      提供密码PaaS层服务，面向各租户提供合规密码服务，满足密评要求；

4.      租户层面统一实现对底层密码资源、密钥资源的合规管理，满足密评要求；

5.      提供统一、标准、流程化的密码服务接口及指南，快速与应用体系整合。

客户可以使用这些能力来实现密码改造，分为两种方式提供：第一种是密码服务，借助密码产品，提供如签名验签、数据加解密等服务；第二种是云产品本身提供的密码应用能力，如WAF上的SSL卸载，存储落盘加密能力等。

国内首家通过商用密码应用安全性评估

在密码法颁布之后，阿里云凭借自研飞天云操作系统的全方位安全能力,成为国内首家通过云平台密评的云厂商,客户在阿里云上能享受到更安全、合规的云服务。

阿里云一直重视密码标准工作,密切关注密码领域相关技术标准要求,并按照密评标准要求对云平台进行了持续、彻底的改造,使云平台在底座架构的关键数据链路上能够符合密评标准要求。

更多产品资讯欢迎访问#阿里云混合云或加入钉群（32450454）交流。