1.2　云計算

云計算架構從虛擬化技術開始發展，云操作系統通過資源池化和資源自動編排實現對多硬件的資源統一管理。通過軟件分配資源，以提升資源利用率，支持大規模存儲、計算、網絡等需求。早期云架構主要在一些大型公司的內部基礎設施中使用，逐漸推廣為提供公共服務的公有云架構。

2006年3月，亞馬遜（Amazon）推出彈性計算云（Elastic Compute Cloud，EC2）服務。2006年8月9日，Google首席執行官埃里克·施密特（Eric Emerson Schmidt）在搜索引擎大會（SES San Jose 2006）首次提出“云計算”的概念。

云計算因為敏捷、彈性和規模經濟等特性，可以帶來巨大的潛在收益。因為大幅降低了購買、部署和維護硬件的時間，所有的資源都可以由云服務商提供，通過軟件定義，可以快速實現資源的擴容，從容應對突發的業務峰值，所以組織可以運轉得更快；由于云固有的彈性特征，因此減少停機時間對業務的影響；由于資本支出減少，需求和能力匹配，按需使用，按實際使用量付費，因此節省資金。

1.2.1　定義云計算

NIST將云計算定義為：云計算是一種無處不在的、便捷的、按需的，通過網絡來訪問共享可配置的計算機資源（如網絡、服務器、存儲、應用和服務）的模式，可以通過最少的管理工作或與服務提供商的互動來快速提供并發布。ISO/IEC的定義與其非常相似：通過自服務配置和按需管理，啟用通過網絡訪問可擴展的、彈性的共享物理或虛擬資源池的模式。

描述云的一種簡單的方法是，它有一組資源（如處理器和內存），并將它們放到一個大的池中（在這種情況下，使用虛擬化）。消費者需要從池中獲得需要的東西（如CPU和內存），而云將這些資源分配給客戶端，然后客戶端連接到網絡并在網絡上使用這些資源。當客戶端使用完成時，他們可以將資源釋放回池中供其他人使用。云幾乎可以由任何資源組成，從計算（如處理器和內存）到網絡、存儲及更高級別資源（如數據庫和應用程序）。

云用戶是請求和使用資源的人或組織，云提供商是分發它的人或組織。有時還會使用術語“客戶”和“消費者”來指代云用戶，用“服務”或簡單的“云”來描述云提供商。NIST 500-292使用“cloud actor”這個術語，并增加了云代理、運營商和審計人員的角色。ISO/IEC17788使用術語云服務用戶、云服務合作伙伴和云服務提供商。

創建云的關鍵技術是抽象和編排。從底層的物理基礎設施中抽象出資源來創建資源池，并使用編排（或自動化）來協調從資源池分配和分發各種資源到用戶，這兩種技術創造了用來定義“云”的所有基本特征。這就是云計算和傳統的虛擬化之間的區別。虛擬化技術將資源抽象化，但是它通常缺乏將它們整合在一起并按需分發給用戶的調度能力，而是依賴手動流程。

云天然就是多租戶的。多個不同的消費者共享同一個資源池，但彼此相互隔離和孤立。隔離允許云提供商將資源分配到不同的組，孤立確保他們不能看到或修改對方的資產。多租戶不僅應用于不同的組織；還用于在單一業務或組織中分配不同單元之間的資源。

1.2.2　定義模型

云安全聯盟（CSA）使用“NIST云計算模型”作為定義云計算的標準。CSA還支持更深入的“ISO/IEC模型”作為參考模型。

在NIST對云計算的定義中，包括了5個基本特征、3個服務模型及4個部署模型。圖1-2所示為NIST云計算基本特征與模型示意。

1. 基本特征

如果具備以下特征，就把它看作云計算。如果它缺少其中任何一個，就很可能不屬于云計算。

（1）資源池是最基本的特性。云服務提供商對資源進行抽象，并將其聚集到一個池中，其中的一部分可以分配給不同的用戶（通常是基于策略的）。

（2）用戶自己可以按需自動配置資源，他們自己管理自己的資源，無須與服務提供商的服務人員互動。

（3）廣泛的網絡訪問意味著所有的資源都可以通過網絡獲得，而不需要直接的物理實體訪問；網絡并不是服務必需的部分。

（4）快速彈性允許用戶從池中按需使用資源（啟用和釋放），通常完全自動。這使他們更緊密地匹配資源消耗需求。例如，當需求增加時添加虛擬服務器，當需求終止時釋放它們。

（5）提供可測量的服務，以確保用戶只使用他們所分配的資源，如果有必要，還可以對他們收取費用。這就是“使用量計算”術語的由來，因為計算資源現在可以像水和電一樣消耗，客戶只需要支付他們所使用的部分。

ISO/IEC 17788列出了6個關鍵特性，其中前5個特性與NIST的特征相同。唯一的補充是多租戶，這與資源池是不同的。

2. 服務模型

NIST定義了3個服務模型，它們描述了云服務的不同基礎類別。

（1）軟件即服務（SaaS）是由服務商管理和托管的完整應用軟件。用戶可以通過Web瀏覽器、移動應用或輕量級客戶端應用來訪問它。

（2）平臺即服務（PaaS）抽象并提供開發或應用平臺，如數據庫、應用平臺（如運行Python、PHP或其他代碼的地方）、文件存儲和協作，甚至專有的應用處理（如機器學習、大數據處理或直接API訪問完整的SaaS應用的特性）。關鍵的區別在于，使用PaaS不需要管理底層的服務器、網絡或其他基礎設施。

（3）基礎設施即服務（IaaS）提供了基礎性的計算資源，如計算、網絡或存儲。

有時稱它們為“SPI”模型。

3. 部署模型

NIST和ISO/IEC都使用相同的4個云部署模型。下面描述這些技術是如何部署和使用的，它們適用于整個服務模型的范圍。

（1）公有云。云基礎設施給一般公眾或某個大型行業團體提供服務。并由銷售云計算服務的組織所有。

（2）私有云。云基礎設施專為一個單一的組織運作。它可以由該組織或某個第三方管理并可以位于組織內部或外部。

（3）社區云。云基礎設施由若干個組織共享，支持某個特定有共同關注點（如使命、安全要求、政策或合規性考慮等）的社區。它可以由該組織或某個第三方管理，并可以位于組織內部或外部。

（4）混合云。云基礎設施由兩個或多個云（私有云、社區云或公有云）組成，以獨立實體存在，但是通過標準的或專有的技術綁定，這些技術提升了數據和應用的可移植性（如多云間的負載平衡）。混合通常用于描述非云化數據中心與云服務提供商的互聯。

部署模型是基于云用戶（使用云的用戶）定義的。如圖1-3所示，擁有和管理云的組織即使在單個部署模型中也會有所不同。

4. 邏輯模型

宏觀上，云計算和傳統計算都遵循一種邏輯模型，這種邏輯模型可以基于功能識別不同的層次。這有助于闡明不同計算模型之間的差異。

（1）基礎結構：包括計算系統的核心組件，即計算機、網絡和存儲，是其他結構設立的基礎。

（2）元結構：提供基礎設施層與其他層之間接口的協議和機制，是一種將多種技術緊密聯系起來、實現管理與配置的黏合劑。

（3）信息結構：數據和信息，如數據庫中的內容、文件存儲等。

（4）應用結構：部署在云端的應用程序和用于構建它們的底層應用程序服務。例如，PaaS的功能特性（如消息隊列），人工智能分析或通知服務。

不同的安全性將映射到不同的邏輯層。應用程序安全性映射到應用程序結構，數據安全性映射到信息結構，基礎設施的安全性映射到基礎設施層。

1.2.3　云計算抽象類型

1. 虛擬機

虛擬機是最廣為人知的計算抽象形式，所有的IaaS提供商都可以提供。從基礎鏡像創建（或克隆）出來的虛擬機在云計算中一般被稱為實例。虛擬機管理程序（Hypervisor）理論上也是底層硬件之上的操作系統。現在的Hypervisor可以被嵌入底層硬件功能中且通常應用在標準服務器（或工作站）上，在提供高性能運算的同時加強隔離。虛擬機有遭到內存攻擊的可能性，但由于軟硬件的不斷改進使得隔離逐步加強，現在變得越來越難。在現在的Hypervisor上運行的虛擬機通常會受到有效的安全控制，并且針對虛擬機和安全運行環境的硬件隔離不斷增強也將會不斷提升這些控制能力。

2. 容器

容器是運行在操作系統上的代碼執行環境，共享并充分利用操作系統的資源。虛擬機是操作系統的一個完整抽象，容器是一個受限區域，它是使用操作系統的內核及操作系統其他能力的運行中被隔離的進程。多個容器可以在同一個虛擬機上運行，也可以完全不使用虛擬機直接在硬件上運行。容器提供了一個受限的代碼運行環境，只允許代碼訪問容器的配置定義的進程和功能。容器也隨著不同的管理系統、底層操作系統和容器技術而快速發展。

3. 基于平臺的負載

基于平臺的負載是一個更加復雜的類別，其運行在除虛擬機和容器之外的共享的平臺上，如運行在共享數據庫平臺上的邏輯過程。例如，一個存儲過程在一個多租戶數據庫中運行，或者一項機器學習任務在一個機器學習PaaS平臺上運行。盡管提供商可能公開某些安全選項和控件，平臺提供商需要對其隔離性和安全性負主要責任。

4. 無服務器計算

無服務器是一個廣泛的類別，主要指云用戶不需要管理任何底層硬件或虛擬機的場景，只需要訪問公開的功能。例如，有一些無服務器平臺可以直接執行應用程序代碼。但是在后臺，這些功能仍然采用容器、虛擬機或其他專業硬件平臺的能力。無服務器計算又稱為函數即服務（Functions as a Service，FaaS），用戶只需要把代碼封裝成函數即可在FaaS平臺上運行，適合并發量不大的定制化功能。