大家好！我来自新加坡，我负责营运，公司是i-Sprint。今天我想跟大家分享一些云安全的问题。三年前，唉，我关注一个用户可以上网，我在公司里有一些GAP可以用，用帐号密码登录。现在我有云，非常复杂，我外包出去一些在远方，我也不清楚我的数据在哪儿，全部在云端。我问自己说，我上一个云的时候，我只是用一把钥匙进来，什么钥匙？我的密码，帐号、密码，有些问题就会出现了。
　　
　　今天我简单讲几个议题：一是云的定义；二是云认证以及单点登录；三是你需要做什么？四是案例。
　　
　　云就是云+云=两片云，云×云=云，云-云=太阳，很多人误解到说云是不是我的虚拟化的系统？有很小的一部分，我问人家云是什么？云是把什么东西放到云就好。
　　
　　云有三个层面：一是架构服务；二是平台、三是软件运营服务。你是谁？它的意义就是你的身份问题，我要确认谁进来，比如说谁进来我的网络平台我要确认，一个银行要知道谁进来了，我让谁来转帐，我送钱给谁呀。可是在一个网络端的时候，你知道对方是谁吗？我知道啊，我已经把他的帐号密码确认过了，这样足够吗？我看了很多文章，看了很多报道，一个小男生11岁，下载一些软体去扫描一下，可以扫到几万个明码出来，都是帐号密码，你觉得安全吗？还有在一个英国的BBC，说70%的人换一包糖果就可以给你密码，你说密码都不懂，有些人对电脑不熟，我就给你，你给我一包糖就好。
　　
　　云安全的强烈关注：我有渠道知道你的帐号和密码，我今天可以变成另外的人了。我跟高德纳说，高德纳从去年到2012年的时候非常关注云安全，在1600多件案件里面都在讲身份，我讲确保身份。当你还没有云的架构的时候，要跑到云的架构的时候，你也失去了很多东西。失去什么？就是很多的东西已经不用再买了，他们已经帮我搞定了。还有就是你的管理，那时候你的机房都看得到，现在你看不到了，都在云端，你失去了控制跟管理。还有你的密码策略，当时我的密码是10个码，但是上了云全部都是6码，不可能为你而改，大家都是一致的。那我要10个码可以吗？但是我是云，不可能用10个码。
　　
　　还有一个网络上都在讨论的话题，假如我的系统出现问题的时候怎么办呢？我们需要看一些Log，你觉得你看得到吗？一个简单的图片，假如这是一个人，你的公司员工都在这里，内部有很多的应用，应用上有很多的帐号密码，你加上云，每个云端都有一个帐号密码应用。大家说这些帐号密码都是明码，问题就来了，不能强制密码策略。
　　
　　在云环境中必须实施什么？我们在内部有很多的帐号密码，在云端也有很多的帐号密码，我可以用回我的认证码？就是说只要你上了云端，不是你管的，是别人的，你是付和一笔钱每个月，他管你的帐号密码，你的帐号密码认证的时候就是认证到云，不是认证到你的控制上。假如说今天我要上云，可是我要认证到我的系统，不是云上的系统，可以做得到吗？可以。
　　
　　想一想，我们会使用你现有的认证机制，如AD、LDAP。假如说有一些风险高的，比如像金融业、保险业，我可以用手机认证码？我可以用灵牌认证码？我在新加坡工作，新加坡银监会规定，每家银行有网络银行就必须用双证书认证，就是有一个动态密码，密码每分钟或者30秒都会变更，这样比较安全。开始在新加坡做了，香港也做了。香港我有一个汇丰的，这个是真的，我一直带在手上，这是我的钥匙，我要上网，要上云。为什么要用这个认证？很麻烦呀，还要放到口袋里面，没办法，儿子说，爸爸我要钱，我要带这个去做一个认证，然后转钱给他。为什么要这个钥匙？大家知道帐号密码不安全，很容易被盗的。新加坡我也做了，网络银行规定你必须要做。大家想一想泰国八大银行、五大银行都是用i-Sprint的产品，为什么？因为他们银监会很弱，没有规定要做双证书认证，但是他们的银行全部都做了，为什么？问题是新加坡、香港穿着避弹衣，泰国没有规定但是他们也做了，这是一个策略。
　　
　　策略中我们还有一个解决方案，就是你需要做一个登录，或是用帐号密码，或者用内部的AD，或者是用手机都可以做登录，你上云的时候，它就帮你做单点登录，很多人就把单点登录跟认证分开。我要讲一下，我去很多家银行，给他们做培训，跟他们做交流，他们说假如我们用到这些令牌的时候，也想做单点登录。为什么？是因为帐号密码都是一个钥匙，进我的应用有很多把钥匙，等你把全部的密钥统一起来，用一个更强的认证的时候，第二步会说我已经把全部的钥匙集中到一个强制的钥匙，我不想再做登录了，为什么我要做登录，用一把钥匙就可以了。所以要做到这个层面，我登录到内部可控的环境做认证，然后可以到云，它就可以帮我完成，上云的时候就不用再做登录了。
　　
　　后面一定有一个提示，后面一定有一个系统，这个系统叫UAS通用服务器，可以服务到云的强制认证。事实上大概有一百种不同的认证，我要用哪些认证呢？就要看您的风险。有些用字母，有些只是用动态密码，有些用手机，现在第二代的要做签章，就是对第三方转帐需要比较高风险的认证。做到认证可以做端到端的加密，什么叫端到端加密？听着很可怕，因为很多时候网络游一些保护，到了云上就变成明码了，端到端就是帐号密码的尾巴，就是你的加密机才能解开。中端可能会到法院，法院可以肯定我的用户跟我的加密机知道密码，我本人在银行不懂这个密码，我在法院做这个监控。还可以提供密码的策略和我们所说的规则，最终可以用加密机做加密。
　　
　　我们做解决方案是一体的产品，是用一个平台上建立四个产品。第一个是通用认证，这个通用认证可以符合多元化的认证方式；第二做到认证方式就可以做到但点登录，但点登录的意义就是把帐号密码统一起来，把帐号密码管理起来，然后有些密码是特权的，你必须要用特权的方式管理这些特权帐号。最终就是我们所说的4A，就是你连授权都要布置，不光是但点登录，还要有授权。
　　
　　i-Sprint这个公司已经12年了，去年3月28号跟华胜就拼在一起了，就变成了华胜的子公司，所以我们的产品是中国制造。这个唯一的公司在2006年到今天，也是唯一一家，但点登录也是一样的，也是唯一一家。我们有一系列的客户，有一系列的案例。我们不是卖印刷机，不是卖服务器的，他们用的东西就是把安全当核心来用。这是我们在亚洲服务的银行，在台湾、泰国、香港，还有一些我们服务的大企业，本田、麦当劳。
　　
　　在云计算的时代，你要想到安全策略的时候，从没有云到有云的时候，没有云的时候一切的自治可以通用倒运上面去吗？要思考一些策略，最重点是要双认证，还有一些帐号密码的策略管理。重点就是数据库，必须要保留。早上讲到了一个案例，把整个数据库备份到上面去，拜托要做一些机制的加密。
　　
　　谢谢！
　　
　　何宇：
　　
　　各位嘉宾下午好！
　　
　　我的演讲是下午的第一场，我今天演讲的题目是“天成云泰，云环境下监控与运作新思路”。监控我相信在座的各位应该都非常熟悉了，因为每个单位或多或少上了监控软件。过去几年我跟IT人员沟通过，听主管人员跟我讲监控软件有用，但是又不是特别有用，慢慢就变成了IT部门变成了辅助部门，监控软件就变成了辅助工具。这些年我们不停地跟客户交流沟通，帮客户建设一些项目，我们有一些新思路分享给大家，就是IT基础架构到全业务的生命周期。
　　
　　一直以来，在我们企业的IT部门分成三种角色，这三种角色也像软件厂商做IT维护和监控软件的厂商的客户，不同的角色诉求不一样，比如说对于基层的IT运维工程师来说，关心的是如何监控与管理因云环境下的IT基础架构？对企业IT部门最高的主管除了考虑业务的保障外，还关注的是如何体现IT部门的价值，难道IT部门永远是一个企业的辅助性的保障性的部门吗？为什么IT部门不能够业务部门一样得到企业领导的关注呢？其实，从监控的角度来说，我们的传统的监控软件，一直满足的第一类客户的需求，就是运维工程师的需求。但是一直没有很好的回答，IT部门的主管们的诉求，所以接下来我希望通过短短的15分钟演讲，让大家知道我们的新思路如何让一个企业更好的保障业务，如何让一个IT部门，不仅仅是只跟在业务部门后面的保障部门，其实他是可以引导业务部门的。
　　
　　在我开始接下来演讲之前，我先举一个例子，今天在会场上有以前的客户来问，什么时候能给我们讲讲我们在北京电视台做的案例呢？我今天就用一个简短的5分钟时间，先从一个案例开始。
　　
　　其实要把BTV的成功案例经验分享给大家要用半个小时，我就把最典型的场景给大家分析一下，我们在北京电视台怎么帮我们的客户从基础架构到业务系统。大家知道对于一个电视台来说，最核心的业务就是节目的生产、制作到审核、最后播放。电视台是一个高度政治性的部门，任何一个运维的小事故都可能演变成一个政治性事件，所以他们的压力非常大。这是北京电视台系统的逻辑图（PPT），左边大家看到的这些就是北京电视台分很多生产系统，每个生产网生产出来的节目以媒体文件的方式通过主干系统到总编室去做审核，每一个节目播出一定得严格审核的，分技术审核、内容审核，最后有可能也会到媒体系统作为一个仓库，为将来的其他节目做素材用。一直以来业务部门，比如说在电视台的业务人员就是制片人，在节目备播过程中非常关注被制播的过程，他关注我的节目被送到总编室处于哪个环节，有没有问题。上面大家看到这是一个标准的电视节目的完整的过程，从文稿素材的准备，到制作，到审核，到迁移，到播出，是一个标准的过程。其实北京电视台是中国最早实现全台网的，对它来说每一个业务的环节完全实现了网络化、信息化。也就是说，每一个环节其实依赖于若干个核心的业务服务支撑，比如说有直播的服务，集成的服务、合成的服务等等。每个核心的业务服务又依托很多软硬件系统技术架构的支撑，就是网络主机、数据库、存储。大家看这张图，再结合您单位的IT业务部门的逻辑架构，其实大同小异，不同的就是业务流程不一样，核心的业务服务部一样，其实也就这三层架构。
　　
　　我记得最早我在北京电视台客户交流的时候，他就跟我讲过，我们想采购监控，但是觉得监控对我没什么用，比如说它不能帮我解决这样的问题。比如说在北京电视台晚上八点钟有一个节目要播出，但是到晚上6点钟电视节目的媒体文件还没有送到总编室做审核，大家知道其实这在电视台是一个严重的播出事故了，因为有可能8点钟就没有节目播了。我们的客户跟我讲，传统的监控软件不能帮我发现这样的问题呀，是不能发现，后来我们就帮他建设了依托于我们自身的产品，BSM的基础上，就帮他建设了从业务流程的监控，到业务服务监控，再到基础架构监控，三位一体的完整的监控。我用一个典型的场景跟大家分享一下，建设的内容其实很多，还有运维部分，但是在这儿我专门讲一下业务流程这部分。
　　
　　大家看到，这是北京电视台一个王牌节目，叫军情解码，某一天完整的业务流程。绿色的环节表示这个业务环节已经走过去了，并且成功的执行了，灰色的表示还没有走到，蓝色表示当前正在执行的业务环节。这张图大家可以看到，不仅对IT运维人员有用，其实对于一个业务人员也非常有用。电视台的业务人员是什么？典型的像制片人，军情解码的制片人，当他把这个业务送出去之后就要看这张图，随时知道我这个节目媒体文件到了哪个环节，是不是停住了，停住了有几种可能，有可能系统出了问题，也有可能是人为的，审核的人出去吃饭了，吃饭花了两个小时，节目就一直停在审核的环节。以这个例子为例，当前在主干迁移这个环节，这个环节标红了，什么意思？有问题了。我们多的平台就会发给运维人员，首先会看业务流程的业务信息是什么，是什么样的节目，由谁制作的，接着可以看一下出问题的业务环节到底是什么问题。从这个信息里面可以看到，这时候的监控已经脱离了传统意义上的CPU利用率、内存利用率的信息，上面展现的全是业务信息，从这个业务信息会说原来是迁移超时了，赶紧得去解决，首先得找到故障，他只需要点击进入主干迁移的业务环节，调出支撑这个业务环节的核心的业务服务的逻辑图，从这个逻辑图很容易看到原来是一个服务器亮了红灯，他再点击进这个服务器去查，原来这台服务器宕机了，这是一台转码的服务器。接下来运维人员怎么快速的找到这台服务器，然后解决这个故障。你知道对于北京电视台主干机房有上千台设备，你怎么能快速的在上千台设备里面找到服务器并且解除故障呢？传统的方式要花很长时间，但是对于系统来说很简单，只要点击一个物理位置的按纽，就会调出主干机房3D全景机房图，可以看到在机房里面有一个机柜亮了红灯，点击进入这个机柜就很容易找到出故障的设备，就可以派工程师进去解决故障。这就是一个典型的例子，怎么为BTV这个客户实现了从基础架构舰空导业务服务监控，到最上面的业务系统监控，三位一体的监控，用一套平台实现这样的关联监控。
　　
　　接下来我讲一下产品怎么样能够分别做到呢？
　　
　　首先，基础架构的监控对于产品来说，跟很多传统的产品都能做到，比如说我们可以有在云环境下网络TOP的自动发现，可以由在云环境下网络TOP的管理和监控，以及有对耽搁的网络设备的监控，以及对虚拟资源的监控。有些企业还订购了远在天边的CRM的服务，我们也可以帮你对它进行监控。机房所有的设备，软硬件都在机房里面，对机房监控也是基础架构很重要的一部分，我们提供了纯3D实景的监控。
　　
　　在基础架构这一层的监控能监控所有主流的，非主流的，网络设备、操作系统应用，以及实时的高警平台。就像北京电视台一样，有一个十几平米的大屏幕，打在上面，运维人员坐在下面，看实时更新的高警平台。
　　
　　做了基础架构的监控其实只是满足了IT运维工程师的需求，但是没有满足IT部门主管和CIO的需求，接下来您可以尝试往前走一步，对企业里面的业务服务进行监控。什么是业务服务？
　　
　　其实业务服务概念很简单，就是把企业里面的IT资源，不管是物理资源还是虚拟资源，还是云环境，以及企业的业务系统做一个打包，把它们之间的关联关系定义上，以及哪些部门会影响使用到你的业务服务，这样就可以从业务的角度进行监控。业务服务定义出来之后，我们能对它做什么呢？第一，实时监控；第二，故障影响，当业务服务出现问题快速地知道会影响哪些业务部门；第三，还能进行KPI的分析。你定义企业的业务服务能做什么？我们提供一个业务服务的雷达，在业务服务的雷达商动态的扫描定义出来的业务服务的健康状况，如果有亮红灯，运维工程师可以点击进去调出业务服务的逻辑TOP图，很容易的找到它是哪怕一般台物理机器，或者是虚拟资源出了故障，然后进去排除故障，找到它所在的位置，解除故障之后再回到这张业务服务的逻辑TOP图，去验证这个故障是否得到了解除。
　　
　　做到了业务服务监控还是不够的，因为最终的核心就是业务系统，要能对业务系统进行监控。在业务系统监控里面分两个成面：一是像BTV能对业务的全流程，全生命周期进行监控，有些企业可能没有业务的全流程，就需要对单个业务系统里面进行监控。我给大家讲一个商业银行的例子，就是对某一个核心业务系统里面进行深入的监控。大家知道银行的业务，有银行的客户会非常了解，银行都有自己的核心业务系统，前面有很多渠道，包括您去银行交电话费、水电费其实也是一个渠道，当然还有ATM机，在渠道每天做的交易中都会通过大前置机最终进入银行的核心业务系统，所以对银行来说，大前置业务是非常核心的业务，如果大前置Down掉了，也没法交水电费，也没有在POS机上取款了。我们就帮银行监控大前置，其实监控大前置产生的数据不仅对IT运维工程师有用，而且对业务部门的人有用，因为他可以通过数据分析知道哪些渠道交易量非常大，哪些渠道交易不大，对银行来说交易量太大太小都不好，大家可以看到做业务系统的监控，不只是有益于IT运维部门，其实对业务部门也非常有用。
　　
　　最后，我想总结一下，如果一个IT部门想真正能够做到对业务的保障，光有基础架构是不够的，必须能做到从基础架构到业务服务，再到业务系统三位完整的监控，而且这个监控必须是关联性监控，相互之间是关联的，不是脱节的，这样才能真正做到业务保障。另外，当IT部门真正能对业务系统进行监控的时候，其实你的IT部门已经渐渐不再是一个服务性的部门了，因为你手头上有业务的监控数据，你可以通过业务监控数据的分析引导业务部门。所以，这是我中间想讲的，从基础架构监控到业务系统全流程监控的价值。
　　
　　这就是我简短的介绍。谢谢大家！

　　责任编辑：yayo