ICS01.140.20ICS01.140.20CCSL70DB43/T2254—2021信息技術(shù)應(yīng)用創(chuàng)新工程建設(shè)規(guī)范第15部分：云計算通用技術(shù)要求EngineeringspecificationfortheApplicationInnovationProjectofInformationTechnologyPart15:GeneraltechnicalrequirementsofcloudcomputingI Ⅲ V 1 1 1 1 1 1 1 1 2 2 2 2 2 2 23.13多云管理平臺multi-clou 2 2 2 2 23.18雙因子認證two-factoraut 3 3 3 3 3 4 4 5 7 8 9 請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別專利的責(zé)任?！?部分：操作系統(tǒng)軟件兼容性通用技術(shù)要求；——第8部分：電子公文通用技術(shù)要求；符利華、羅笛、肖慧、黃晉藝、譚一帆、周裕君、張琿、張永森、曾慶順、何利明、許V信息技術(shù)應(yīng)用創(chuàng)新工程建設(shè)規(guī)范第15部分：云計算通用技術(shù)要求信創(chuàng)云independentcon云資源池包括云計算資源池、云存儲資源池、云網(wǎng)絡(luò)資源池、云安全資物理計算資源或虛擬計算資源的集合，可以從2物理存儲資源或虛擬存儲資源的集合，可以從池物理網(wǎng)絡(luò)資源或虛擬網(wǎng)絡(luò)資源的集合，可以從池物理安全資源或虛擬安全資源的集合，可以從池塊存儲指在一個RAID（獨立磁盤冗余陣列）集中，一個控制器加入一組磁盤驅(qū)動器，然后提供固管理多種異構(gòu)云基礎(chǔ)設(shè)施，提供統(tǒng)一的一站云主機冷遷移cloudinstanc3 雙因子認證two-factora指密鑰管理中使用主密鑰和其變量對副密鑰和基本密鑰CPU：中央處理器（CentralProcessingARM：高級RISC處理器（AdvancedPKI：公鑰基礎(chǔ)設(shè)施（PublicKeyInfrastructuSM2：基于橢圓曲線的國產(chǎn)公鑰密碼算法（非對SM3：國產(chǎn)哈希算法SM3（CryptographicHashASM4：國產(chǎn)分組密碼算法SM3（InformationsecuritySM7：另一種國產(chǎn)分組加密算法SM7（InformationsecuritCA：證書簽發(fā)機構(gòu)（CertificationAuthoHTTPS：超文本傳輸安全協(xié)議（HyperTextTransferProtocoloverSecureSocketLayeiSCSI：Internet小型計算機系統(tǒng)接口（InterneNFS：網(wǎng)絡(luò)文件系統(tǒng)（NetworkFileSystem)CIFS：通用網(wǎng)絡(luò)文件系統(tǒng)(CommonInternetFileSS3：簡單存儲服務(wù)（SimpleStorageCephFS：Ceph文件系統(tǒng)（CepAZ：可用域（AvailabilityZone）RBAC：基于角色的訪問控制（Role-BasedAccessContrAK：密鑰的AccessKeyPPS：數(shù)據(jù)包每秒（packagepersec4DNS：域名系統(tǒng)（DomainNameSysteRAM：隨機存取存儲器（RandomAccessMeVHD：虛擬磁盤格式（MicrosoftVirtualHardDiskforDocker：一個開源的應(yīng)用容器引擎Kafka：由Apache軟件基金會開發(fā)的一個開源流處理平臺，由Scala和Java編寫試的量測方式（Input/OutputOperationsPeQos：服務(wù)質(zhì)量（QualityofSerRESTful：一種網(wǎng)絡(luò)應(yīng)用程序的設(shè)計風(fēng)格和開發(fā)方式（RepresentationalStateTransfRAID：磁盤陣列（RedundantArraysofIndependentACL：訪問控制列表(AccessControlLists)CA：證書頒發(fā)機構(gòu)(CertificateAuthoVlan：虛擬局域網(wǎng)（VirtualLocalAreaNetworVxLAN：虛擬擴展局域網(wǎng)（VirtualExtensibleLocalAreaNetwork）DHCP：動態(tài)主機配置協(xié)議（DynamicHostConfigurationProtocol）NAT：網(wǎng)絡(luò)地址轉(zhuǎn)換（NetworkAddressTranslatioVPN：虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwoHypervisor：虛擬機監(jiān)視器（virtualmachinemonitor）5 l）云平臺：實現(xiàn)信創(chuàng)云的計算、存儲、網(wǎng)絡(luò)、安全m）多云管理平臺：實現(xiàn)多個信創(chuàng)云的統(tǒng)一管理服務(wù)平臺。算服務(wù)器，為用戶打造一個高效、可靠、安全的計b）使用X86物理主機時支持至少一種國產(chǎn)或者vGPU的云主機。ARM物理主機包括飛騰和鯤鵬兩種CPU；d）云主機系統(tǒng)盤和數(shù)據(jù)盤均支持使用分布6系統(tǒng)；支持租戶可以制作鏡像，跨租戶共享k）支持創(chuàng)建云主機時可以設(shè)置密碼或者SSHKey登陸，Linux密碼丟失時可以通過云平臺重m）支持計算能力的彈性伸縮，可根據(jù)性能監(jiān)控指標(biāo)或者定時任務(wù)，增加、刪除或者設(shè)置云主機7 d）支持監(jiān)控分布式云存儲的集群容量、健康狀況、服務(wù)狀態(tài)x）數(shù)據(jù)傳輸支持使用基于國密算法的SSL進行加密傳輸。服務(wù)訪問具有嚴(yán)格的AK/SK訪問授時支持空間級別ACL、對象級別ACL和Bucket空間策略等多種安全配置；）；8j）支持新建VPC網(wǎng)絡(luò)配置IPv6地址或?qū)ΜF(xiàn)有VPC網(wǎng)絡(luò)添加IPV6網(wǎng)段，k）VPC內(nèi)云主機和物理主機可共享NAT網(wǎng)關(guān)訪問外部，NAT作用域可以是整個VPC，也可以是r）同一個負載均衡器下支持掛載云主機和裸金屬服務(wù)器，支持將流量按權(quán)重負載分發(fā)到云主9 一站式創(chuàng)建托管集群，構(gòu)建容器平臺，并提供容器集群的生b）支持集群的擴縮容，添加、刪除節(jié)點；d）支持節(jié)點池管理：集群節(jié)點可以按照nodepool靈活創(chuàng)建和伸縮，節(jié)點按照nodepool維度e）支持集群的權(quán)限管理：支持基于用戶/用戶組的RBAC權(quán)限控制能力，可對集群以及集群中所為了快速響應(yīng)業(yè)務(wù)資源訴求，更好地應(yīng)對業(yè)務(wù)洪峰，集群需要提供集群資源的彈性伸a）支持基于CPU、內(nèi)存等指標(biāo)策略的集群支持多云容器平臺通過集群聯(lián)邦實現(xiàn)對已有集群的納管并進行統(tǒng)一管理，支持動態(tài)集群接入和全局集群監(jiān)控儀表盤。通過多云容器平臺的多集群統(tǒng)一管理入口可以實現(xiàn)統(tǒng)一部署、統(tǒng)一發(fā)布及統(tǒng)b）支持通過Helmchart模板部署應(yīng)用，b）支持無狀態(tài)部署（容器應(yīng)用b）支持發(fā)布NodePort類型的Kubernetesc）支持發(fā)布LoadBalancerd）支持發(fā)布ExternalName類a）支持ConfigMap配置項用于保存應(yīng)用的配置參數(shù)，b）支持Secret秘鑰用于存儲敏感配置信息，如用戶名、a）支持業(yè)界常用指標(biāo)項，包括磁盤、網(wǎng)絡(luò)、CP b）指標(biāo)聚合：提供豐富的指標(biāo)計算、聚合能力，支持多種統(tǒng)計方式、多周期聚合，支持應(yīng)用實例、容器匯聚到應(yīng)用、節(jié)點和應(yīng)用實例匯聚速構(gòu)建與擴容高性能需求的應(yīng)用服務(wù)。裸金屬服務(wù)器能夠自動化安裝操作系a）支持對裸金屬服務(wù)器的全生命周期管理，包括創(chuàng)建、刪除、啟動、關(guān)閉、重啟、重裝l）提供裸金屬服務(wù)器功能，支持在同一個VPC下創(chuàng)建裸金屬服務(wù)器與云主機，同VPC下裸金b）支持不同數(shù)據(jù)中心信創(chuàng)云平臺的統(tǒng)一管理；d）支持對多個信創(chuàng)云平臺的云主機、云存儲、云網(wǎng)統(tǒng)一運維支持對多個信創(chuàng)云平臺的物理主機和云主機的日常運維工作，應(yīng)統(tǒng)一監(jiān)控管理支持對多個信創(chuàng)云平臺的物理主機和云主機的監(jiān)控告警，應(yīng)滿b）支持對不同資源設(shè)置不同告警規(guī)則，監(jiān)控c）支持對所有監(jiān)控對象的告警數(shù)量、告警a）多云管理平臺的服務(wù)自身支持高可用部署，高可用部署最小支持兩個管理節(jié)點。一個節(jié)點針對云平臺的南北向和東西向流量安全防護和安全審計，對業(yè)務(wù)流量進行L2~L7層全面的安全防a）整個生命周期內(nèi)用戶的身份標(biāo)識應(yīng)具e）對云平臺的管理須創(chuàng)建安全可信的訪問通道，提供身份安全管理、數(shù)據(jù)安全存儲、行為管控 和審計、文件標(biāo)志識別和管控、惡意代碼防護a）物理主機根據(jù)不同的工作負載，操作系統(tǒng)啟用不同的安b）物理主機具有通過內(nèi)核級的強制訪問控制技術(shù)提升操作系統(tǒng)安全的能力，可利用主機安全c）物理主機系統(tǒng)可對全部的分區(qū)或文件目錄根據(jù)關(guān)鍵性嚴(yán)格分配讀寫權(quán)限，保證內(nèi)核版本的a）收縮云資源管理和安全管理區(qū)域的暴露面，形成各自管理專網(wǎng)，并嚴(yán)格管理各區(qū)域訪問控b）在數(shù)據(jù)域網(wǎng)絡(luò)邊界處建設(shè)統(tǒng)一安全接入邊界，縮小業(yè)務(wù)應(yīng)用暴露面。b）通過CPU隔離、內(nèi)存隔離和I/Ob）云主機操作系統(tǒng)具備必要的安全功能，包括身份標(biāo)識和鑒別、訪問控制、角色管理、安全審b）在云租戶數(shù)據(jù)隔離方面，分布式系統(tǒng)可將用戶數(shù)據(jù)離散存儲在分布式文件系統(tǒng)中，應(yīng)對用戶a）云租戶隔離：VPC應(yīng)支持創(chuàng)建相互a）支持對API進行身份驗證，確保只有經(jīng)過身份驗證的云租戶或應(yīng)用才能利用API訪問和管b）支持云租戶管理、組織管理、工作流管理、自助界面等，實現(xiàn)從NFV資源的申請、審批到部a）使用的密碼算法、密碼技術(shù)應(yīng)符合法律、法規(guī)的規(guī)定和密碼相關(guān)國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)的有關(guān)c）使用的密碼產(chǎn)品，如符合GB/T37092—2018要求，則應(yīng)達到GB/T37092—20 數(shù)據(jù)存儲的可用性定義：合同期內(nèi)數(shù)據(jù)保持存儲狀態(tài)不丟失的概率。可用性為99.9％以上意為合 當(dāng)數(shù)據(jù)庫服務(wù)出現(xiàn)服務(wù)器整機下架或故障硬盤下架時會進行b）支持云主機快照備份和保存；f）支持云主機在線遷移，支持冷遷移和熱遷云存儲需要具備高可用性，同時可以高度可擴展b）支持應(yīng)用及服務(wù)的數(shù)據(jù)備份、遷移及恢復(fù)能力； b）對遷移設(shè)計（包括遷移的場景、方法、步驟等）等方面需要滿足的技術(shù)要求、環(huán)境因素以及c）提供遷移目標(biāo)環(huán)境運行參數(shù)相同的模擬環(huán)境，包括服務(wù)器型號、配置、操作系統(tǒng)版本、中間f）支持遷移過程可監(jiān)控，展示遷移狀態(tài)、剩余時間、遷移后應(yīng)a）按照最小化原則，關(guān)閉各類操作系統(tǒng)中使用不到的服務(wù)組件b）系統(tǒng)層面禁止一切特權(quán)賬號和功能，對全部的分區(qū)或文件目錄根據(jù)關(guān)鍵性嚴(yán)格分配讀寫權(quán)限；c）按需要開啟配置基礎(chǔ)訪問控制、強訪問控制等安全功能，實現(xiàn)對操作系統(tǒng)文件、進程、注冊a）在業(yè)務(wù)系統(tǒng)物理主機和云主機上部署的惡意代碼防范軟件采用輕量級的殺毒引擎，確保全網(wǎng)具有一致的防病毒策略和最新的病毒查殺能力；a）審計記錄應(yīng)包括關(guān)鍵事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)b）根據(jù)用戶需要，可提供線上、線下等a）支持本地災(zāi)備、異地災(zāi)備、公有云災(zāi)備多種災(zāi)b）支持用戶按周/天/小時為任務(wù)設(shè)置備份策略，已創(chuàng)建的備份任務(wù)支持更新備份策略；c）支持多節(jié)點集群容災(zāi)環(huán)境，避免因為單點故障出現(xiàn)業(yè)務(wù)停頓造成不可挽回的a）硬件部署安裝包括：機器上架、線纜連接、標(biāo)保障信創(chuàng)云計算平臺的建設(shè)質(zhì)量，支撐信創(chuàng)信息系統(tǒng)在云 適用于通用信創(chuàng)云計算平臺檢測認定。金融、醫(yī)療、教信創(chuàng)云平臺的認定主要評估兩方面內(nèi)容，即信創(chuàng)云平臺的自主能力評估與技術(shù)能力評估。信創(chuàng)云平臺從底層的硬件到上層的云管理平臺均需采用信創(chuàng)技術(shù)和（2）名錄內(nèi)未涵蓋的產(chǎn)品類型，優(yōu)先選用已通過第三方質(zhì)量檢測的國信創(chuàng)云平臺的技術(shù)能力應(yīng)從功能性、效率、可靠性、信息安全性、兼容性、應(yīng)用/數(shù)據(jù)遷移等方面（1）功能性：運用黑盒測試技術(shù)，通過設(shè)計覆蓋軟件產(chǎn)品功能實現(xiàn)的（3）可靠性：通過在指定條件下、指定時間內(nèi)系統(tǒng)連續(xù)執(zhí)行指定功能的方式對（4）信息安全性：通過設(shè)計軟件產(chǎn)品測試用例，從身份鑒別、訪問控制、數(shù)（5）兼容性：根據(jù)被測軟件產(chǎn)品的特點，采用黑盒測試技術(shù)，通過設(shè)計測試用技術(shù)能力兩個層面依次開展，若自主能力判定為（含）90擴展測評項通過率高于（含）30％。1必須全部使用基于鯤鵬或飛騰芯片的234567123456789123456789支持通過java客戶端完成Object123456789提供輪詢、最小連接數(shù)、主備(主服務(wù)器掛了，流量自動切換到同一個負載均衡器下支持掛載云主機和裸金屬服務(wù)器,支持將12345678912345納入云管理平臺后，不影響原有云主機的運行狀態(tài)6支持在資源申請數(shù)量管理上，為不同資源池的不同資源78統(tǒng)一管理系統(tǒng)資源，各租戶/子部門/部門申請的資源9支持在權(quán)限管理上采用角色-權(quán)限-用戶三員管理的結(jié)構(gòu)體系支持超級管理員，部門管理員，用戶菜單權(quán)限靈活配支持運維策略，對運維管理員，運維時段，運維權(quán)限支持對不同資源設(shè)置不同告警規(guī)則，監(jiān)控項，監(jiān)控頻2個管理節(jié)點。一個節(jié)點的服務(wù)出現(xiàn)異常，不影響1提供統(tǒng)一的用戶、權(quán)限管理模塊實現(xiàn)訪問控制功能，并依據(jù)安全僅允許授權(quán)的管理員配置訪問控制策略，并根據(jù)訪問控制策略限2物理宿主機操作系統(tǒng)具備不同安全策略配置功能，安全策略配置可通過內(nèi)核級的強制訪問控制技術(shù)提升操作系統(tǒng)安全能力，可利宿主機系統(tǒng)可對全部的分區(qū)或文件目錄根據(jù)關(guān)鍵性嚴(yán)格分配讀寫權(quán)限，需要開啟配置基礎(chǔ)訪問控制、強訪問控制等安全功能，可對操作系統(tǒng)文件、進程、注冊表、服務(wù)、賬戶實現(xiàn)強訪問控制，3可依據(jù)安全管理區(qū)域，形成各自管理專網(wǎng)，并嚴(yán)格管理各區(qū)域訪度、可動態(tài)分配的邏輯資源，并在單個物理主機上構(gòu)建多個同時可實現(xiàn)主機操作系統(tǒng)與云主機操作系統(tǒng)之間的隔離，使用不同權(quán)限運行讓主機操作系統(tǒng)與云主機操作系統(tǒng)使用不同的權(quán)限運行，4云操作系統(tǒng)具備必要的安全功能,包括身份標(biāo)識和鑒別、訪問控云主機、虛擬網(wǎng)絡(luò)安全、云主機備份和恢復(fù)、數(shù)據(jù)保護、剩余信5678云安全管理平臺提