基于安全控制與分布式部署的科技云盤(pán)的實(shí)現(xiàn)

蘇鴻 葉波 劉昱良 萬(wàn)錦輝

【摘 要】文章就科技資源管理現(xiàn)狀，在現(xiàn)有文件加密的前提下，設(shè)計(jì)了基于安全控制策略的云存儲(chǔ)文件管理系統(tǒng)，通過(guò)將用戶角色和權(quán)限進(jìn)行設(shè)置并對(duì)文件的關(guān)聯(lián)群組進(jìn)行劃分，提高了系統(tǒng)的安全性。與此同時(shí)，在FastDFS的基礎(chǔ)上，實(shí)現(xiàn)了統(tǒng)一認(rèn)證中心的分布式部署方案。

【關(guān)鍵詞】科技云盤(pán);安全控制;分布式部署

【中圖分類(lèi)號(hào)】TP333 【文獻(xiàn)標(biāo)識(shí)碼】A 【文章編號(hào)】1674-0688（2019）02-0125-05

隨著政務(wù)辦公電子化推進(jìn)速度加快，科技行業(yè)飛速發(fā)展，知識(shí)成為最重要的科技載體，知識(shí)文檔則是知識(shí)的具體表現(xiàn)。隨著公眾對(duì)知識(shí)產(chǎn)權(quán)日益看重，國(guó)家對(duì)知識(shí)產(chǎn)權(quán)保護(hù)日益提升，科技知識(shí)的力量日益凸顯。我國(guó)各省、直轄市、自治區(qū)科技廳是知識(shí)管理的源頭，是科技行業(yè)的龍頭力量，對(duì)知識(shí)產(chǎn)權(quán)的共享和科技行業(yè)的發(fā)展有著方向性的決定作用。

科技云通過(guò)云計(jì)算、云存儲(chǔ)和云應(yīng)用等技術(shù)，從科技工作者日常工作出發(fā)，對(duì)科研文檔加以整理、收集、歸類(lèi)和保護(hù)，實(shí)現(xiàn)科技數(shù)據(jù)永遠(yuǎn)在線，為科研院所、高校、科技工作者、科技企業(yè)、實(shí)驗(yàn)室、工程研究中心、技術(shù)中心、科技管理部門(mén)創(chuàng)建專(zhuān)屬的網(wǎng)絡(luò)虛擬工作環(huán)境，讓科技工作人員更加輕松、放心地工作。

分布式文件系統(tǒng)作為企業(yè)私有云盤(pán)的關(guān)鍵技術(shù)，國(guó)外早在 20世紀(jì)80年代就對(duì)其進(jìn)行研究[1]，并把分布式文件系統(tǒng)運(yùn)用到企業(yè)和學(xué)校的私有云盤(pán)、大數(shù)據(jù)處理等領(lǐng)域。我國(guó)在此方面的研究起步較晚，并且多數(shù)處于理論階段。而將分布式概念用于科技資源的整合利用尚處于空白階段。本文主要通過(guò)分析科技工作者對(duì)文件管理的需求，在對(duì)分布式文件系統(tǒng)進(jìn)行研究并選擇合適的分布式文件系統(tǒng)的基礎(chǔ)上，最終設(shè)計(jì)并實(shí)現(xiàn)一個(gè)滿足科技工作者需求的私有云盤(pán)[2]。

1 科技云安全控制機(jī)制

1.1 科技云簡(jiǎn)介

科技云平臺(tái)涵蓋了IT網(wǎng)絡(luò)架構(gòu)和云計(jì)算基礎(chǔ)架構(gòu)等基礎(chǔ)設(shè)施，科研單位業(yè)務(wù)需求等資源，以及安全、隱私等管理功能，此外還包含關(guān)聯(lián)科技云實(shí)際應(yīng)用的前端用戶方、后臺(tái)管理方兩方面角色。從平臺(tái)的角度上看，科技信息資源的聚攏歸一化處理涉及不同的科技組織、科技研發(fā)者和使用者，這些組成部分之間時(shí)刻存在著大量的信息交互。

科技云則打破現(xiàn)有信息資源存在的時(shí)間和空間壁壘，通過(guò)虛擬和共享的方式，將信息資源放入云端再進(jìn)行角色認(rèn)證的映射各取所需，完成信息資源的高效運(yùn)作[3]。通過(guò)資源池分配方式，根據(jù)不同的角色將人進(jìn)行分類(lèi)，再與相應(yīng)的信息資源節(jié)點(diǎn)進(jìn)行映射，采取認(rèn)證的方式接入，通過(guò)信息流動(dòng)完成資源交互。

隨著云計(jì)算技術(shù)日益發(fā)展，人們對(duì)于云盤(pán)的需求越來(lái)越高。云盤(pán)作為人們存儲(chǔ)各類(lèi)數(shù)據(jù)的載體，它承載了海量的用戶隱私信息，其安全性面臨各種各樣的挑戰(zhàn)。我們除了對(duì)數(shù)據(jù)進(jìn)行相應(yīng)地加密之外，安全控制也能為信息資源提供保障，避免受到威脅[4]。

科技云采用了統(tǒng)一的認(rèn)證中心、用戶管理、功能權(quán)限、單位權(quán)限、訪問(wèn)控制一系列安全控制方案，大大提高了云盤(pán)的安全性。該過(guò)程融入了改進(jìn)的認(rèn)證方案，在一定程度上可以保證用戶數(shù)據(jù)的安全，阻止非法用戶入侵和破壞。另外，用戶登錄時(shí)的身份認(rèn)證，使得只有合法的用戶才能順利登錄系統(tǒng)。文件訪問(wèn)控制策略的設(shè)定，提供了文件訪問(wèn)權(quán)限的規(guī)范，不同身份的用戶擁有不同的文件操作權(quán)。這些設(shè)置在一定范圍內(nèi)保障了用戶數(shù)據(jù)的安全。

1.2 統(tǒng)一的認(rèn)證中心

科技云采用統(tǒng)一的認(rèn)證中心進(jìn)行不同節(jié)點(diǎn)間的訪問(wèn)控制。其中，各個(gè)節(jié)點(diǎn)的用戶通過(guò)與中心server通訊的方式獲取訪問(wèn)權(quán)限，server在收到節(jié)點(diǎn)的訪問(wèn)請(qǐng)求時(shí)，匹配server上的用戶數(shù)據(jù)庫(kù)判斷該用戶屬于哪個(gè)節(jié)點(diǎn)，然后跳轉(zhuǎn)到該節(jié)點(diǎn)的Web應(yīng)用程序上。用戶對(duì)于文件的操作是統(tǒng)一經(jīng)過(guò)中心server的鑒權(quán)和判斷。中心server只負(fù)責(zé)進(jìn)行通訊鑒權(quán)跳轉(zhuǎn)和存儲(chǔ)用戶信息，文件信息還是存在本地的服務(wù)器上。

統(tǒng)一認(rèn)證中心將數(shù)據(jù)與用戶分離，將數(shù)據(jù)存儲(chǔ)在本地的storage上，然后通過(guò)特定的通訊方式進(jìn)行認(rèn)證和操作，在提高數(shù)據(jù)安全性的同時(shí)，也為用戶的集中管理提供了便利[5]。

1.3 操作者管理

從操作者的角度來(lái)劃分管理角色，總共分為兩部分：一部分是roles（角色），另一部分是user（用戶）。

操作者管理定義了該系統(tǒng)最基本的權(quán)限。采取分組的方式，對(duì)角色和用戶進(jìn)行規(guī)范。角色和用戶之間具有從屬關(guān)系，從邏輯的角度分析，角色與用戶是1對(duì)N的關(guān)系，但角色與角色、用戶與用戶間是相對(duì)獨(dú)立沒(méi)有交集的。簡(jiǎn)單來(lái)說(shuō)，同一個(gè)角色可以包含很多不同的用戶，但是對(duì)用戶來(lái)說(shuō)，一個(gè)用戶只能有一個(gè)角色。

該系統(tǒng)通過(guò)分層把權(quán)限定義在角色層，而不是針對(duì)具體的用戶進(jìn)行賦權(quán)，這樣的權(quán)限管理更清晰明了，從權(quán)限集合的角度上看，更便于對(duì)操作者進(jìn)行統(tǒng)一管理。

該系統(tǒng)還設(shè)計(jì)了更安全、更嚴(yán)謹(jǐn)?shù)牟僮髡吖芾砟Ｊ?，就是將操作者與指定的計(jì)算機(jī)進(jìn)行綁定，即操作者的賬戶信息和計(jì)算機(jī)的MAC地址進(jìn)行單一性鎖定，被鎖定的操作者只能在與其綁定的計(jì)算機(jī)上進(jìn)行單點(diǎn)登錄，這種唯一性和排他性大大提高了系統(tǒng)賬戶的安全性。除此之外，還可以設(shè)置操作者操作的有效時(shí)限，即操作者只能在每天的指定時(shí)間里進(jìn)行賬戶操作。

1.4 角色權(quán)限的功能性劃分

角色權(quán)限的功能性劃分就是針對(duì)實(shí)際情況、操作者的業(yè)務(wù)需求，對(duì)操作者的角色權(quán)限進(jìn)行職能劃分，這種劃分通過(guò)對(duì)數(shù)據(jù)的不同操作進(jìn)行確定，例如文件的查詢(xún)、瀏覽、讀取、修改;數(shù)據(jù)的同步、更新、審核和維護(hù);文檔的排序、重命名等，最后便是日志的更新和系統(tǒng)的維護(hù)。

不同的角色權(quán)限包含不同的功能權(quán)限，通過(guò)對(duì)功能權(quán)限的控制實(shí)現(xiàn)對(duì)于操作者的系統(tǒng)操作限制。

1.5 節(jié)點(diǎn)賦權(quán)

采取總節(jié)點(diǎn)鑒權(quán)的方式，不同的單位作為子節(jié)點(diǎn)只能訪問(wèn)該節(jié)點(diǎn)上的數(shù)據(jù)。而操作者通過(guò)不同的賬戶進(jìn)入不同的數(shù)據(jù)節(jié)點(diǎn)。簡(jiǎn)單來(lái)說(shuō)，就是操作者的賬戶信息是不同節(jié)點(diǎn)相互區(qū)分和所屬節(jié)點(diǎn)識(shí)別的唯一標(biāo)識(shí)。

1.6 訪問(wèn)控制

科技云盤(pán)可以根據(jù)數(shù)據(jù)的使用權(quán)限將其分為兩種不同類(lèi)別。一種是僅對(duì)用戶自己可見(jiàn)的私人空間，其他任何用戶都沒(méi)有訪問(wèn)權(quán)限;另一種是共享空間里面的數(shù)據(jù)，該部分?jǐn)?shù)據(jù)是對(duì)用戶開(kāi)放的。但是除了數(shù)據(jù)來(lái)源方之外，其他任何人都無(wú)法對(duì)數(shù)據(jù)進(jìn)行刪除。對(duì)于上述兩個(gè)不同訪問(wèn)類(lèi)別，針對(duì)其操作文件權(quán)限的不同，分別采用不同的文件空間表示，并體現(xiàn)在用戶與文件的關(guān)系映射表中。

在用戶信息表，以每個(gè)用戶的身份標(biāo)識(shí)user_id為主鍵，將所有屬于該用戶的文件都加入上述文件信息表中，構(gòu)成了用戶-文件映射關(guān)系。在該表內(nèi)的所有文件，都允許所屬用戶讀寫(xiě)、修改和刪除等操作，其他用戶沒(méi)有訪問(wèn)該文件表內(nèi)數(shù)據(jù)的權(quán)限。同理，該用戶進(jìn)行的所有文件操作也僅限于該文件表，對(duì)于其他文件表中的文件，用戶沒(méi)有任何訪問(wèn)權(quán)限，無(wú)法進(jìn)行任何讀寫(xiě)文件的操作。此外，設(shè)置某一文件屬于特定的用戶群組，可使該群組中所有用戶都具有該文件的訪問(wèn)權(quán)限。針對(duì)用戶身份的不同，設(shè)置不同的群組，規(guī)定每個(gè)群組的權(quán)限大小，這樣就可以在文件信息表中通過(guò)設(shè)置其所屬空間來(lái)限制不同的訪問(wèn)者。因此，訪問(wèn)控制策略規(guī)范了用戶的操作權(quán)限，在一定程度上保護(hù)了云盤(pán)中文件的安全。

2 基于FastDFS的分布式部署

2.1 FastDFS的基本構(gòu)架

科技云盤(pán)涉及大量文檔存儲(chǔ)、安全等需求，科技云平臺(tái)的基本構(gòu)架是基于FastDFS分布式文件系統(tǒng)[6]，該構(gòu)架的核心功能就是對(duì)文件進(jìn)行管理，而這些管理包含了我們工作生活中所涉及的文件操作，例如文件的存儲(chǔ)、同步、上傳、下載等，科技云系統(tǒng)采用該架構(gòu)不僅解決了文件大容量存儲(chǔ)問(wèn)題，也在負(fù)載均衡方面做了優(yōu)化。

科技云平臺(tái)基本構(gòu)架一共通過(guò)3個(gè)服務(wù)角色實(shí)現(xiàn)，這3個(gè)角色分別是跟蹤服務(wù)器（Tracker server）、存儲(chǔ)服務(wù)器（storage server）和用戶端（client）。

跟蹤服務(wù)器的主要作用是調(diào)度和指揮，相當(dāng)于一個(gè)“指揮官”的角色，協(xié)調(diào)各種資源，起到均衡的作用;該“指揮官”還負(fù)責(zé)管理所有的storage server和group，每個(gè)storage在啟動(dòng)后會(huì)連接Tracker，告知自己所屬group等信息，并保持周期性心跳，Tracker根據(jù)storage心跳信息，建立group→[storage server list]的映射表;Tracker管理的元數(shù)據(jù)很少，會(huì)直接存放在內(nèi)存;Tracker上的元信息由storage匯報(bào)的信息生成，本身不需要持久化任何數(shù)據(jù)。

存儲(chǔ)服務(wù)器的作用是提供容量和備份服務(wù)，該角色相當(dāng)于一個(gè)倉(cāng)庫(kù)，用來(lái)存放數(shù)據(jù)。在服務(wù)器主要以group為單位，每個(gè)group內(nèi)可以包含多臺(tái)storage server，數(shù)據(jù)互為備份，存儲(chǔ)容量空間以group內(nèi)容量最小的storage為準(zhǔn)。

2.2 科技云盤(pán)部署方案

科技云盤(pán)采用跨地域分布部署模式。通過(guò)設(shè)置統(tǒng)一的認(rèn)證中心進(jìn)行統(tǒng)一管理。不同地域作為不同節(jié)點(diǎn)，節(jié)點(diǎn)對(duì)應(yīng)本地的storage，節(jié)點(diǎn)數(shù)據(jù)統(tǒng)一存放在本地的storage上，需要訪問(wèn)時(shí)得和認(rèn)證中心進(jìn)行通訊鑒權(quán)，認(rèn)證后授權(quán)訪問(wèn)。所有節(jié)點(diǎn)用戶依托權(quán)限體系通過(guò)瀏覽器或者客戶端進(jìn)行登錄，可以看到自己節(jié)點(diǎn)范圍內(nèi)的信息，然后進(jìn)行相應(yīng)的數(shù)據(jù)操作處理。

2.3 科技云盤(pán)分布式部署

科技云盤(pán)的計(jì)算資源主要架設(shè)在云主機(jī)，剩余硬件資源有存儲(chǔ)服務(wù)器、數(shù)據(jù)庫(kù)服務(wù)器、負(fù)載均衡服務(wù)器、交換機(jī)、KVM等。

2.4 科技云盤(pán)的數(shù)據(jù)庫(kù)服務(wù)器

采用兩臺(tái)MySQL服務(wù)器10.137.172.213和10.137.172.

214雙向復(fù)制、互為主從。使用RoseMirrorHA產(chǎn)生虛擬IP地址10.137.172.210，連接其中一臺(tái)服務(wù)器進(jìn)行讀寫(xiě)，另一臺(tái)同步進(jìn)行更新，出現(xiàn)故障時(shí)自動(dòng)切換至備用服務(wù)器。

服務(wù)器啟動(dòng)方法：

#/opt/yliyun/mysqld start

#mirrorha start

2.5 科技云盤(pán)的網(wǎng)站服務(wù)器

安裝有openresty，通過(guò)負(fù)載均衡服務(wù)器來(lái)轉(zhuǎn)發(fā)請(qǐng)求，通過(guò)nginx提供Web服務(wù)。其中，IP地址為10.137.147.67、10.137.147.68和10.137.147.69。

服務(wù)器啟動(dòng)方法：

#/opt/yliyun/nginx start

2.6 科技云盤(pán)的下載服務(wù)器

對(duì)外提供Andiord和iPhone客戶端下載服務(wù)，下載服務(wù)頁(yè)面地址為http：//121.31.255.206。

服務(wù)器啟動(dòng)方法：

#/opt/yliyun/nginx start

#service heartbeat start

2.7 科技云盤(pán)的應(yīng)用服務(wù)器

提供應(yīng)用服務(wù)，tomcat的項(xiàng)目為filemanager和server。

服務(wù)器啟動(dòng)方法：

#/opt/yliyun/node start

#/opt/yliyun/tomcat start

#/opt/yliyun/redis start

2.8 科技云盤(pán)的存儲(chǔ)服務(wù)器

提供文件服務(wù)，存儲(chǔ)用戶上傳的文件，安裝FastDFS。

服務(wù)器啟動(dòng)方法：

#/opt/yliyun/nginx start

#/opt/yliyun/fdfs_storaged start

2.9 科技云盤(pán)的負(fù)載均衡服務(wù)器

提供高可用服務(wù)，通過(guò)nginx實(shí)現(xiàn)業(yè)務(wù)負(fù)載均衡，當(dāng)節(jié)點(diǎn)出現(xiàn)故障時(shí)由Heartbeat進(jìn)行心跳檢測(cè)產(chǎn)生虛擬IP地址10.137.172.194，轉(zhuǎn)移至另一臺(tái)服務(wù)器接替工作。

服務(wù)器啟動(dòng)方法：

#/opt/yliyun/nginx start

#service heartbeat start

3 結(jié)語(yǔ)

借鑒云計(jì)算的基本思想，我們提出科技云盤(pán)這種全新的科技信息資源開(kāi)發(fā)與利用方式，在不改變科技信息資源所有權(quán)的情況下實(shí)現(xiàn)了資源云化及服務(wù)整合，為提高資源的利用效率、加快科技創(chuàng)新進(jìn)程、提升科技活動(dòng)效率提供了新的思路[7]。

科技云盤(pán)的推出，為科技工作者和科技資源提供了扁平化的交互方式。對(duì)于科技工作者而言，是一種創(chuàng)新的信息服務(wù)模式。使用科技云盤(pán)，有助于科技工作者方便快捷地獲取科技資源，高效有序地管理科技資源，有的放矢地利用科技資源?？萍荚票P(pán)打造了一個(gè)“互聯(lián)網(wǎng)+知識(shí)管理”的云服務(wù)平臺(tái)，使科技資源的管理更具生命力與活力。

參 考 文 獻(xiàn)

[1]李青.科技云平臺(tái)的數(shù)據(jù)存儲(chǔ)管理技術(shù)研究[D].北京：北方工業(yè)大學(xué)，2016.

[2]南凱.社區(qū)云的關(guān)鍵技術(shù)、架構(gòu)及挑戰(zhàn)——以科技云為例[J].科研信息化技術(shù)與應(yīng)用，2016，7（1）：10-14.

[3]亓巍，張?jiān)拼?，陳晟，?科技信息資源開(kāi)發(fā)與利用的新范式——科技云[J].科技管理研究，2014，302（4）：190-194.

[4]錢(qián)進(jìn)進(jìn).私有云安全存儲(chǔ)技術(shù)的研究與實(shí)現(xiàn)[D].廣州：廣東工業(yè)大學(xué)，2013.

[5]樊超.云計(jì)算環(huán)境下基于標(biāo)識(shí)的用戶身份認(rèn)證技術(shù)研究[D].廣州：廣東工業(yè)大學(xué)，2014.

[6]陸峰.基于FastDFS的企業(yè)私有云盤(pán)的設(shè)計(jì)與實(shí)現(xiàn)[D].長(zhǎng)春：吉林大學(xué)，2016.

[7]劉巖，張文宇，蔣婷婷，等.農(nóng)業(yè)科技云服務(wù)平臺(tái)設(shè)計(jì)與實(shí)現(xiàn)[J].安徽農(nóng)業(yè)科學(xué)，2016，44（29）：240-242.

[責(zé)任編輯：鐘聲賢]