1、国家教育管理公共服务平台国家教育管理公共服务平台省级数据中心建设指南省级数据中心建设指南i目目录录一一、引言引言 1 1 二二、建设目标与基本原则建设目标与基本原则 3 31.省级数据中心的建设目标 32.省级数据中心建设应遵循的原则 3三三、建设总体要求建设总体要求 4 41.满足应用系统部署和服务的需要 41.承载国家信息系统部署 42.承载自建及其他应用系统的部署运行 53.提供本省教育信息化基础设施云服务 52.形成完善的基础设施环境 53.符合国家及教育部信息化有关标准规范 54.建设集中统一的教育基础数据库 65.构建网络与信息安全保障体系 66.建立运行维护和技术服务体系 77.
2、规范省级数据中心建设工程管理 7四四、建设内容建设内容 9 91.省级数据中心分类 92.机房设施 93.省级教育管理云平台 121.总体架构 122.基础设施层 133.云平台管理层 214.桌面云服务 234.公共软件平台 241.应用公共支撑平台 242.数据库平台 263.密码安全服务平台 275.信息安全保障体系 27ii1.信息安全保障体系总体要求 272.信息安全方针策略 293.安全技术体系 294.安全管理体系 365.运行维护与技术服务体系 391.机构和职责 392.运行维护服务体系总体架构 403.运行维护服务体系建设内容 41附录附录一一规划内容与测算方法及参考案例规
3、划内容与测算方法及参考案例 47 47 附录附录二二统一规划的国家信息系统一览表统一规划的国家信息系统一览表 5555一一、引言引言教育管理信息系统建设是 国家中长期教育改革和发展规划纲要(2010-2020 年)以及教育信息化十年发展规划（2011-2020 年）中确定的重要内容，是支撑教育管理现代化、促进教育改革发展的基 础性工程。国家教育管理公共服务平台建设是“十二五”期间的教育管理信 息系统建设的核心任务，是“三通两平台”的重点内容之一。其具体 内容是建立覆盖全国各级教育行政部门和各级各类学校的管理信息 系统及基础数据库,为加强教育监管、支持教育宏观决策、全面提升 教育公共服务能力提供
4、技术和数据支撑。平台按照“两级建设、五级 应用”体系进行实施。两级建设是指在教育部和各省级教育行政部门 分别建立中央和省两级数据中心，建设数据集中、系统集成的应用环 境；五级应用是指各类教育管理信息系统均同步建设中央、省、地市、县、学校五级系统，由教育部统一组织开发，其中中央级系统部署在 中央级数据中心，省、地市、县、学校级系统下发并部署在省级数据 中心，供中央、各地和学校使用，以上由教育部统一组织开发的国家 教育管理信息系统在本指南中简称为国家信息系统。平台将整合各级 各类教育管理信息资源和信息化基础设施，建设包含教育机构、学生、教师和学校资产及办学条件等各类教育管理与服务对象，覆盖国家、各
5、地和学校等多层次的共享的教育基础数据库，以及信息整合、业务 聚合、服务融合的教育管理信息系统，实现教育行政部门与学校间的 数据互通和系统互联，提升教育监管能力与公共服务水平。国家教育管理公共服务平台建设以各地和学校的相关信息系统 和数据作为基础，需要推动国家信息系统在各地和学校的部署与应12用。国家教育管理公共服务平台省级数据中心建设是构建“两级建设 和五级应用”、保证国家信息系统在省级部署与应用的关键设施。近 几年各省借助教育信息化工程实施建设了所属的数据中心，但是整体 上各省级数据中心依然存在着设计不完整，可靠性、可用性、可持续 发展能力严重不足，专业化运行维护管理水平需要进一步提高等诸多
6、 问题。同时，国家信息系统在各省的部署，需要在设计和运行环境上（如数据库平台、中间件、数据采集、地理信息等公共平台，数据交 换、安全体系等互联互通设施）提供相应的框架规范，迫切需要在技 术层面上进行规划与指导。本指南将为各省级教育行政部门在国家教育管理公共服务平台 省级数据中心基础设施、公共软件平台、信息安全、技术服务与运行 维护体系等各方面的设计和建设提供指导。3二二、建设目标与基本原则建设目标与基本原则1.省级数据中心的建设目标省级数据中心是为本省提供教育管理信息系统运行的云服务平 台，承载和满足国家教育管理公共服务平台在省级教育行政部门的部 署和运行；集成和支撑省本级各类教育基础数据库和
7、各类教育管理信 息系统；服务于所辖区域内教育行政部门和学校的信息化管理业务应 用，带动全省教育信息化发展。2.省级数据中心建设应遵循的原则省级数据中心建设应遵循“三项原则”。1 1实用性和先进性原则实用性和先进性原则省级数据中心建设既要充分考虑实用性，始终面向业务应用，又 要考虑先进性，保持适度前瞻。在进行架构规划时，不盲目追求设备 的超前采购，在充分考虑应用性能的基础上，保护原有投资。同时要 采用成熟先进的理念、技术和方法，适应发展潮流。2 2可靠性和稳定性原则可靠性和稳定性原则省级数据中心建设要确保系统运行的可靠性和稳定性，要从系统 架构、技术措施、设备性能、系统管理、厂商技术支持及维修能
8、力等 多方面进行设计规划，确保系统运行的可靠稳定。3 3可扩展性和易维护性原则可扩展性和易维护性原则省级数据中心建设应充分考虑可扩展性和易维护性，适应系统变 化要求，尽量降低电力、人力等各方面资源维护费用。三三、建设总体要求建设总体要求3.1 满足应用系统部署和服务的需要省级数据中心首先要承载国家信息系统的部署运行，也要支撑本 省自建应用系统及其他应用系统的部署运行，要采取云服务模式，为 本级及所属各级教育行政部门和学校提供信息系统和数据库存储与 服务，具体情况如图 1 所示。基础设施云平台中 小 学 学 籍 管 理系统学 前 教 育 管 理 系统中 小 学 校 舍 管 理系统教育部 门户网
9、站内部办 公系统其 他 综 合 服 务 系统中 小 学 学 籍 管 理系统学 前 教 育 管 理 系统中 小 学 校 舍 管 理系统教 育 资 源 服 务 平台教育教 学系统省政府 下发的 有关系 统教教 育育 部部 数数 据据 中中 心心省省 级级 数数 据据 中中 心心图 1 省级数据中心承载应用系统示意图3.1.1 承载国家信息系统部署承载国家信息系统部署“教育服务与监管体系信息化建设”项目作为国家教育管理信息 化的先导工程，已完成顶层设计。教育部正在统一开发建设一系列与 学生、教师、学校资产及办学条件相关的系统，并陆续开始在部（中45央）、省两级投入部署运行(部分信息系统见附录：统一规
10、划的国家信息系统一览表)。省级数据中心必须能够承载这些信息系统的运行，在设计和建设中满足这些信息系统的计算、存储需求。2.2.承载自建及其他应用系统的部署运行承载自建及其他应用系统的部署运行为满足本省教育信息化的应用需求，省级教育行政部门可以建设 自己需要的特定应用系统（如教育教学相关信息系统、教育信息服务 门户等）。省级数据中心在保证国家信息系统部署运行的基础上，也 要考虑本级教育管理和服务信息系统的开发、运行需要。3.3.提供本省教育信息化基础设施云服务提供本省教育信息化基础设施云服务为统筹本省教育信息化基础设施建设，避免基础设施重复建设，省级数据中心在建设时应充分利用云计算技术，搭建云服
11、务平台，为 本省教育行政部门和学校提供计算、存储等基础设施云服务。2.形成完善的基础设施环境省级数据中心要按照国家信息系统的运行要求，构建机房、网络、计算、存储等基础环境和设施；根据业务系统和数据中心运行维护和 管理的需要，构建基础软件支撑平台，包括数据库、门户、数据交换 和系统管理等平台；建立重要系统和业务数据容灾备份；为应用系统 敏感数据建立统一密码安全服务平台，实现敏感数据加密存储和安全 访问；建设与教育部数据中心之间的数据交换平台与安全网络通道，保障部、省两级数据中心间的数据传输安全。3.符合国家及教育部信息化有关标准规范省级数据中心的建设必须严格遵循国家各类信息化标准、规 范，采用教
12、育信息化有关标准规范。包括但不限于以下内容。(1)国家电子政务工程建设项目管理暂行办法(2)GB 50174-2008 电子信息系统机房设计规范(3)GB 50462-2008 电子信息系统机房施工及验收规范(4)GB 50311-2007 综合布线工程设计规范(5)GB 50312-2007 综合布线系统工程验收规范(6)GB 50395-2007 视频安防监控系统设计规范(7)GB 50263-2007 气体灭火系统施工及验收规范(8)GB 50394-2007 入侵报警系统工程设计规范(9)GB/T 20269-2006 信息安全技术信息系统安全管理要求(10)GB/T 20984-20
13、07 信息安全技术信息安全风险评估规范(11)GB/T 22239-2008 信息安全技术信息系统安全等级保护 基本要求(12)GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南(13)GA/T 388-2002B计算机信息系统安全等级保护管理要求(14)教育管理信息标准（教技20123 号）(15)其他相关技术规范4.建设集中统一的教育基础数据库省级数据中心要建设省本级教育管理和服务集中统一的教育基 础数据库，纵向贯穿学前教育、中小学教育、中等职业教育、高等教 育和成人教育等各个教育层次,形成上下一致的教育机构、学生、教 师（职工）、学校资产及办学条件基础数据库；横向打
14、通学生、教师（职工）、学校资产及办学条件数据，形成全面整合、集中一致的教 育管理和决策基础数据库，为各类业务信息系统提供数据服务。5.构建网络与信息安全保障体系省级数据中心安全建设，要遵照国家信息安全等级保护相关政策 要求和标准规范，遵照教育部有关信息安全的行业要求和标准规范，6形成覆盖技术和管理的整体安全保障体系；建设与教育部数据中心上下级联的安全运行维护、管理、监测与预警的技术和工作管理平台。6.建立运行维护和技术服务体系建立运行维护保障体系，实现集中的教育信息化基础设施的运行 维护；通过制定配套的数据维护、交换、管理制度，实现数据采集、使用的规范化。明确责权明晰的运行维护组织机构，建立信
15、息系统运 行维护队伍，实现运行维护和服务流程化、制度化、专业化。依托数据中心，建设教育管理信息化技术服务体系，采用多种手 段为省本级和所属地区的用户（下属教育行政部门和学校）提供网络 和应用技术服务、数据采集支持服务。7.规范省级数据中心建设工程管理省级数据中心建设工程，按照国家电子政务系统建设管理的有关 规定，从以下几个方面进行管理。1.1.机构与职责机构与职责。省级数据中心建设工作明确由本级教育信息化主 管部门统筹规划与指导和管理，工程建设实施委托相应的教育信息技 术部门承担。2.2.招标管理招标管理。省级数据中心建设和相关服务咨询招标应根据中 华人民共和国招标投标法、中华人民共和国政府采
16、购法及有关规 定，本着公开、公平、公正的原则进行招标。3.3.实施管理实施管理。省级数据中心建设要建立健全项目管理制度，明确 责任，规范实施。按照项目审批部门批复的可行性研究报告、初步设 计方案和投资概算实施项目建设，详细设计方案报教育部教育管理信 息中心审核备案；按照信息系统工程监理的有关规定委托具有相应资 质的监理单位进行监理；按照国家有关规定做好项目建设资料的收 集、整理和归档工作。784.4.资金管理资金管理。省级数据中心建设中，按照国家的法律法规及有关部门的财务管理规定使用资金，专账管理、专款专用；加强财务管理 与会计核算,规范账务设置,建立健全内部财务管理制度；做好固定资 产、软件
17、资产登记与管理工作。5.验收管理验收管理。省级数据中心根据国家电子政务工程建设项目管 理暂行办法规定由立项建设部门组织验收，项目验收前，需由省级 教育行政部门和教育部教育管理信息中心组织，对省级数据中心进行 符合性评估。6.6.运营管理运营管理。省级数据中心建成后，各省级教育行政部门明确省 级数据中心运行机构，配备相应专业管理和技术人员，制定和完善相 应的运行管理制度，落实运行经费,应加强对省级数据中心各系统的 日常运行监管、网络和信息安全评估，确保系统的顺利运行。由于各省的基本情况不同，省级数据中心的建设模式和规模可能 不尽相同，但无论是自建或租赁数据中心，都必须满足本指南的建设 总体要求。
18、四四、建设内容建设内容4.1 省级数据中心分类为使省级数据中心的建设更有针对性和可操作性，按学生总数 将省级数据中心分为A类和B类。学生总数在500万人以上的省份的是A类数据中心，小于500万学生的省份数据中心为B类数据中心。各省 数据中心分类参考如下表所示（可根据实际学生数量调整）。表 1省级数据中心分类参考表西部地区西部地区分分类类中部地区中部地区分分类类东部地区东部地区分分类类内蒙古自治区B山西省A京市A广西壮族自治区A吉林省B天津市A重庆市B黑 龙 江 省 B上海市A四川省A安徽省A江苏省A贵州省A江西省A浙江省A云南省A河南省A福建省A西藏自治区B湖北省A山东省A陕西省B湖南省A广东
19、省A甘肃省B河北省A青海省B辽宁省B宁夏回族自治区B海南省B新疆维吾尔自治区B新疆生产建设兵团BA 类数据中心的机房面积不低于 350 平方米；B 类数据中心的机房面积不低于 250 平方米。4.2 机房设施数据中心机房建设可根据当地的实际情况，采用自建或租用方 式，安全上要求满足国家信息安全等级保护相关技术要求。910省级数据中心建设依据电子信息系统机房设计规范（GB50174-2008）将机房建设成为A级电子信息系统机房。省级数据中心机房设施建设内容应包括：机房布局设计、电气 子系统、防雷接地子系统、不间断电源子系统、空调新风子系统、安防子系统、环境监控子系统、综合布线子系统、消防子系统、
20、机 房机柜设备、KVM子系统等。1.1.机房布局设计机房布局设计按照功能布局分为：数据交换区、数据存储区、数据备份区、数据服务器区及监控区等。2.2.电气子系统电气子系统(1)各省级数据中心机房设备用电和动力供电分开。电源采用双 路供电，动力供电的设备包括空调、照明、维修插座等。(2)机房内强电走线为下走线方式，桥架均作接地连接。3 3.防雷接地子系统防雷接地子系统(1)依据机房配电的实际情况，机房防雷按照 IEC 标准进行安全 的二级配合保护。(2)机房内金属天花板、地板、管槽等都要做接地保护，并就近 连接到配电箱 PE 排上。(3)镀锌钢管、金属软管、金属接线盒、金属线槽外壳等均应进 行可
21、靠接地，避免因电源波动较大而干扰设备的正常工作。(4)各省级数据中心机房建设工程在大楼外挖沟埋桩、焊接地 排，使接地电阻小于 1。4.4.不间断电源子系统不间断电源子系统按照机房设备用电量配备UPS设备。5.5.空调新风子系统空调新风子系统各省级数据中心机房建设工程应采取主机房设置精密空调，部分区域设置商用空调的形式。机房内空调采用N台使用加1台备用机 的方式。6 6.安防子系统安防子系统(1)安防子系统包括门禁系统和监控系统。(2)门禁系统主要是在重要的区域设置门禁，对进出人员进行管 理登记。(3)监控系统是指在重要的区域安装摄像头，做到监控无死角，对机房进行实时监控录像。7.7.环境监控子
22、系统环境监控子系统各省级数据中心机房建设工程环境监控系统是对机房的温湿 度、消防、UPS主机、精密空调、配电、漏水等子系统进行全面集中 监控，并要做到准确定位。应具有本地声音报警、短信告警功能，支持实时显示、智能查询、报表、存储功能。支持远程访问，并要 将门禁及监控系统统一平台界面。8.8.综合布线子系统综合布线子系统各省级数据中心机房建设工程每台服务器机柜至网络机柜，承 担信息业务的传输介质应采用光缆或六类及以上等级的对绞电缆，传输介质各组成部分的等级应保持一致，并应采用冗余。双绞线连 接到机柜后侧的配线架上。同时可以在地板下预留弱电线槽，或者 采用机柜上走线方式。9.9.消防子系统消防子系
23、统各省级数据中心机房应配备有效灭火装置。消防工程所采用的 器材和设备必须是经国家指定的检测中心确认合格的产品。消防系 统的设计施工及验收必须经消防检测中心确认及验收。1110.10.机机房房机柜设备机柜设备各省级数据中心机房网络机柜和服务器机柜采用符合国家有关 标准的设备。11.KVM11.KVM 子子系统系统各省级数据中心机房建设工程中所配备的KVM系统应具备主要服 务器的集中操作控制等功能。4.3 省级教育管理云平台4.3.1 总体架构总体架构省级数据中心的核心基础设施采用云技术构建，通过云服务模式 进行运行，称为省级教育管理云平台。在平台上是公共软件平台与应 用层。总体架构如图2所示。图
24、 2省级数据中心的整体架构图省级教育管理云平台要使用符合业界标准的产品来设计，包括硬 件、软件和应用规格化来提供简单可靠、易于部署和管理、便于扩展 和升级的 IT 基础架构，满足云平台新建、升级扩容以及统一管控的1213需求，通过整合资源，统一规划，为各地教育信息化业务应用与拓展提供重要支撑。省级教育管理云平台架构包括基础设施层和云平台管理层。基 础设施层包含网络、服务器、存储备份、容灾备份等。云平台管理 层包含虚拟化管理系统、硬件管理系统、运行维护系统、监控系统 等，对下提供精细化管理，对上实现统一界面和业务入口。省级教育管理云平台至少要满足下列功能和性能要求：1.能够为国家信息系统部署、本
25、省的信息系统运行、本地的信 息系统应用扩展提供基础环境；2.具有足够可以动态调配的计算、存储资源，满足各类信息系 统不同高峰时段的业务需求；3.能够为本省内教育行政部门和学校提供动态和自动的资源使 用云服务；4.保证各类用户访问国家信息系统的速度，建议功能使用反应（等待）时间小于3秒；5.安全保障措施满足国家信息安全等级保护三级要求，保障本 省自建信息系统的安全。4.3.2 基础设施层基础设施层4.3.2.14.3.2.1 网络系统网络系统网络系统要符合国家相关技术要求，提供足够网络带宽容量，承载所有的应用系统运行，同时为数据中心运行维护服务管理提供 足够的工具支持。考虑数据中心的安全性，省级
26、数据中心网络拓扑可以参考图3进 行优化。在教育部、省之间建立VPN隧道，保障数据传输安全。图3省级数据中心网络拓扑示意图关于网络结构设计的说明：1.1.互联网边界区互联网边界区基于各省级数据中心已有的网络出口，主要实现网络出口及出 口的安全管理、带宽管理、负载均衡控制。2.2.核心交换区核心交换区采用核心交换设备保障核心交换能力。可采用双核心交换设 备，以保证核心交换网络的高可用性。3.3.终端接入区终端接入区省级教育行政部门使用教育信息系统，通过内部网络端口接入数 据中心运行环境，使用终端接入区，通过终端接入区经防火墙进入 网络内部。14154.4.前置服务区前置服务区提供Web服务的服务器
27、被放置在前置服务区，可以增加整个网络 的安全性。在前置服务区配合WAF、SSL VPN等设备，加强网络安 全。在前置服务区配置应用负载均衡设备实现整个网络的负载均 衡。5.5.应用服务区应用服务区应用服务区主要承载运行环境内的应用服务器，包括中间件服 务器等。核心区通过独立的防火墙设备接入应用服务区。6.6.数据库服务区数据库服务区数据库服务区承载了运行环境下所有应用系统的数据库。数据 库区包含一系列的数据库服务器及存储设备。在该区内承载的数据 库服务建议采用高可用集群设计；在该区域保存的数据，建议在存储 设备上保存一份冗余实例，实现数据服务的高可用性。数据库服务区 通过独立的防火墙接入核心交
28、换区。7.7.网络管理区网络管理区网络管理区用于网络和服务器、安全设备、存储等设施的管理操 作设施。该区内包括网络设备，管理用服务器，以及网络和设备管理 软件平台。4.3.2.24.3.2.2 服务器系统服务器系统省级教育管理云平台的各类服务器建议采用服务器虚拟化平台设计，利用虚拟化整合物理服务器，形成各自的服务器计算池，将业 务迁移到云平台上，通过资源共享实现资源的动态调度，达到利用 最大化，节约硬件投资和维护成本。1 1服务器系统框架服务器系统框架16服务器系统架构以三层架构为主，即由Web服务器、应用服务器、数据库服务器组成，同时配置辅助管理类服务器。使用负载均衡技术，是实现服务器架构的
29、可用性和可扩充性的主 要手段。这样服务器数量可以根据信息系统和用户的增加逐步扩充，每层架构上均配置多台服务器，将单个信息系统的计算分散到多个 服务器（或虚拟机），根据用户数量进行动态调整，以及故障切换。当应用系统增加、负载增大时，可以通过层内横向的服务器扩充，满足应用的服务器资源需求，可以实现服务器系统“统一规划、分 步扩充”的战略，提高资金使用效果。2 2服务器系统的规模和性能服务器系统的规模和性能服务器的数量和单台计算能力是 A 类数据中心与 B 类数据中心 的主要差异化指标之一。同类数据中心的服务器配置也会不同。可参 考本指南附录一进行测算。服务器系统至少要满足下列云服务的功能和性能要求
30、：1单台服务器、整体服务器都要分别有足够的虚拟化容量，能够实现应用的集群和负载均衡，提供业务应用系统高峰的扩展能 力，以及系统的动态迁移能力；2数据库服务器具备超大记录数据库的大访问量实时处理 能力。3 3服务器系统设计服务器系统设计省级数据中心将承载国家信息系统运行，同时还将承载本地区 信息系统的运行和服务，以及数据中心管理平台、应用支撑平台及数 据库平台。服务器系统主要设计部署于以下区域：(1)前置服务区（DMZ，DemilitarizedZone）所有对外提供服务的Web服务器都放置在DMZ区。一般Web服务器采用虚拟机（服务器）方式提供服务。在DMZ区将服务器群配置成为 一定数量的虚拟
31、化服务器。对于不同处理能力需要的业务系统，分 配不同数量的虚拟化服务器，适应并发访问数量的需求。可对特定时 间的用户访问量变化进行虚拟化服务器使用数量的调整，实现服务器 资源的最优化使用。(2)应用服务区应用服务器主要负责承载应用系统的业务逻辑层计算，采用虚 拟化服务器方式可有效提高服务器资源利用率。对于不同业务处理 能力的业务系统，将分配不同格式的虚拟化服务器，以满足计算量 要求。(3)数据库服务区数据库服务区中将放置数据库服务器，根据业务系统处理能力 的不同，为不同业务系统分配不同资源，包括配置不同处理能力的 物理服务器，建立不同级别的数据库服务。(4)运行维护服务管理区数据中心运行维护服
32、务管理区将包括运行维护服务器，以及相应 的管理平台。4.Web4.Web 服务器服务器Web服务对服务器主机的文件访问或会话数有较大要求，通常Web 服务对主机CPU的总体要求比较低，可通过“虚拟机负载均衡 集群”的方式提高系统的运行效率和可靠性，实现资源的完整利用和 资源的动态调配。Web服务器的操作系统根据国家信息系统部署要求选用Linux或 Windows平台。17185.5.应用、中间件服务器应用、中间件服务器应用、中间件服务器与web服务器一样，以物理主机虚拟出的虚 拟主机提供应用和中间件服务，采用“虚拟机负载均衡集群”的方 式提高系统的运行效率和可靠性，实行资源的完整利用和资源的动
33、态 调配。应用、中间件服务器操作系统根据国家信息系统部署要求选用Linux或windows平台。6.6.数据库服务器数据库服务器数据库服务器根据应用情况通过数据库本身提供的集群软件实 现数据库的高可用。按应用需求可分核心应用和普通应用、大负载 和小负载，并可利用负载均衡技术提高应用服务器的数量以提高系 统的运行能力。对数据库平台的选择，业内以TPC-C的benchmark值 为参考依据，总体思想体现在CPU的缓存大、系统内存高、并发任务 能力强、机器内部的I/O和总线带宽大。数据库服务器采用独立的物 理机部署。数据库服务器操作系统根据国家信息系统部署要求选用Linux或 windows平台。建
34、议选择八路机架服务器或四路机架服务器作为数据库服务器，分别用于大记录数据库和一般数据库。7.7.管理类服务器管理类服务器管理类服务器主要用于虚拟化管理平台、安全管理平台、身份 认证系统、网管、运行维护、备份系统等平台的部署。针对管理类系 统部署在同一区域，采用“虚拟机负载均衡集群”的方式提高系 统的运行效率和可靠度性，达到资源的完整利用和资源的动态调 配。数据备份服务器，由于使用区域和功能的不同，建议使用物理机。4.3.2.34.3.2.3 存储备份系统存储备份系统 1存储的数据类型与规模存储设备是云服务架构的基础，需满足各类应用需求。数据中心 存储容量的估算应包括结构化数据存储容量、非结构化
35、数据存储容 量、虚拟服务器资源池存储容量，同时按照在线、高可用冗余、本 地备份、远程容灾复制等所需要的存储容量。存储容量的测算参照 本指南附录一进行测算。应满足以下基本功能与性能要求：1规划A类数据中心存储数据量至少为100TB，规划B类数据 中心存储数据量至少为70TB；2配置相应的本地备份设备；3具备存储资源池的共享和适时调度功能；4要求设备具有良好的扩展能力，便于存储容量的升级能 力。2存储的类型配置与原则存储根据数据和使用类型进行配置。存储介质的性能选择应遵循 以下原则：(1)结构化数据的数据存储应采用高性能存储介质；(2)虚拟服务器存储池应采用高性能存储介质；(3)本地高可用性磁盘镜
36、像复制应采用高性能存储介质；4.3.2.44.3.2.4 容灾备份系统容灾备份系统容灾备份系统分为数据备份级别和应用容灾级别，可分为本地备份和异地备份。1.1.数据库数据备份设计选择数据库数据备份设计选择1920数据库容灾备份体系结构设计应遵循以下两点要求：(1)确保数据的随时可用性及活动备份；(2)降低成本。针对上述两点要求，建议采用以下拓扑模式及技术实现数据库 系统数据备份。图 4省级数据中心容灾备份系统部署示意图2.2.其他系统的数据备份考虑其他系统的数据备份考虑其他系统的数据备份考虑如下：(1)WEB 虚拟机可基于 IP 网络或磁盘阵列系统的能力，复制原 始镜像到异地；(2)应用服务器
37、虚拟机可基于 IP 网络或磁盘阵列系统的能力，复制原始镜像到异地；(3)非结构化文件系统可基于 IP 网络或磁盘阵列系统的能力，复制全部或部分数据到异地；(4)其它暂不考虑数据备份设计。3.3.应用容灾应用容灾在异地建立各类应用系统和数据的完整、实时备份，作为更加完整的容灾系统建设，建议逐步完成。4.3.3 云平台管理层云平台管理层云平台管理层包含虚拟化软件，虚拟化管理系统、硬件管理系统、运行维护系统、监控系统等，对下提供精细化管理，对上实现统一界 面和业务入口，成为云数据中心统一管理平台。云数据中心统一管理 平台至少满足以下功能和性能要求：（1）对底层服务器的计算、存储等资源池和虚拟化软件进
38、行管 理，实现资源供应与自服务,提供按需获取，按量计费的可信赖资源 服务；（2）针对管理和运行维护的实际需要，实现云计算服务的交付、云数据中心用户和流程的管理以及数据中心的监控；可以对虚拟资源 和物理资源进行实时的监控和性能查看，并且记录历史数据；（3）与省本级综合门户、应用支撑服务平台等无缝集成和融合；用户可以通过自助式服务门户，自助的申请资源，在配额范围内系统 可以自动审批并创建该资源；（4）业务运营与计费，维护用户的资源使用信息和业务的运营 情况，提供报表等数据给用户参考整个云平台的资源使用情况；（5）自动化分析与调优，动化分析与调优则是基于资源综合管 理系统的数据，通过自学习算法，自适
39、应算法等综合系统，去判断系统的性能瓶颈并给出合理化建议，在提前配置的前提下，可以进行一 些自动的性能调优。云平台管理平台的底层可以是开放式的第三方的虚拟化系统或 者存储系统，也可以是国产的虚拟化系统，通过这些底层系统将物理 的计算资源，存储资源和网络资源整合起来，进行池化和资源管理。2122云数据中心统一管理平台功能参考如表下表所示。表 2云数据中心统一管理平台功能参数概述概述详细描述详细描述综合门户、运行维 护、应用支撑服务支持与省级综合门户、运行维护平台、应用支撑服务平台等无缝集成 和融合广泛的平台支持支持当前主流厂商的 x86 服务器产品，虚拟机支持当前主流的 Windows、Linux
40、 32/64 位操作系统及系统之上的各种应用。多租户机制基于策略的用户控制技术和虚拟交换机的网络隔离技术，可以保 持多租户环境下的安全性和可靠性。资源服务按需获取终端用户可以通过 Web 界面的方式在线自助申请所需的计算、存 储、网络资源，实现资源的按需获取。资源服务按量计费多层次实时的资源使用情况统计，让用户精确掌控自身资源和费 用使用情况。资源弹性扩充资源可以根据需要实现多级别的动态扩充，上到资源池虚拟数据中心的资源扩充，下到虚拟机的 CPU 和内存的动态扩充，都可以 实现无缝动态的资源弹性扩充。服务全生命周期管 理系统可以涵盖服务提供所需的各个环节，通常包括服务的申请和 流程管理；服务的
41、交付和回收；服务的使用统计和计费；服务的 运行监控。多层次的安全保护系统实现从底层虚拟化平台的安全（锁定模式防止通过网络以根 用户访问虚拟化平台），网络安全（多模式的虚拟交换机配置）到管理节点的安全。资源池化通过虚拟数据中心的形式为用户提供资源。通过以逻辑方式将计算、存储和网络容量组合成资源池，利用服务的交付和提供环节 之间的完全抽象化，更高效地管理资源。多级的资源池通过将虚拟数据中心细分为提供者虚拟数据中心和组织虚拟数 据中心，实现了将 IT 服务的消费与交付相分离，从而更有效的 管理资源。准确的监控告警对物理资源及虚拟资源的状态进行实时监控，自动触发告警，通 知管理员对问题设备进行处理，提
42、高了数据中心的运行维护管理效率。丰富的报表统计提供多层次详细的报表数据，方便用户概览资源运行情况和使用23情况。4.3.4 桌面云服务桌面云服务桌面云是云计算的一种应用形态，通过集中化桌面管理，可提高 资源利用率，降低整体拥有成本。将个人桌面环境所需的计算、存储 资源集中于中央服务器上，取代了客户端的本地计算、存储资源；中 央服务器的计算、存储资源同时也是共享、可伸缩的，使得不同个人 桌面环境资源按需分配、交付，总体上降低硬件资源需求。桌面云解决方案在云计算硬件资源和云资源管理及调度、虚拟化 平台的基础上，提供了云终端、接入控制、桌面会话管理等主要组件，以及一体化的云平台和桌面业务管理维护系统
43、，整体架构如图 5 所 示。图 5 桌面云架构图虚拟桌面管理系统的主要构成如下：24(1)“终端接入层”将远程桌面输出到显示器，以及将键盘鼠标输入传递到虚拟桌面。(2)“桌面和应用交付层”接入网关主要提供两个功能，一是对 Web Interface 节点的访问提供负载均衡，保障可靠性；另一个功能 是对远程桌面连接协议 ICA(Independent Computing Architecture)进行加密和转发。(3)“桌面管理系统”用于对用户的虚拟机生命周期管理以及连 接管理，例如创建虚拟机、分配虚拟机等。(4)“虚拟化及平台层”采用业界先进的虚拟化软件，在保证物 理资源充分利用的同时，可提供
44、高可靠性，打造高效、灵活、安全的 云平台。(5)“硬件资源”是云平台的基础，云平台的硬件主要包括服 务器、存储、网络以及安全设备。4.4 公共软件平台4.4.1 应用公共支撑平台应用公共支撑平台应用公共支撑平台层包括以下几个方面。1.1.综合门户综合门户实施省级综合门户建设，建设省级教育管理公共服务门户和教 育信息公共服务门户。省级教育管理公共服务门户要集成省级各应 用系统并集成展示教育基础数据，实现省级单点登录。省级教育信 息公共服务门户要实现公共用户的数据查询和访问服务。2.2.数据交换与共享数据交换与共享由教育部提供数据交换平台，统一部署，实现部、省两级数据中 心的数据交换。基础数据库信
45、息共享使用教育部提供的教育基础信息数据库管理与服务系统平台。3.3.应用系统支撑平台应用系统支撑平台教育部提供与业务信息系统配套的应用系统支撑平台，为各省 的业务信息系统提供全局统一基础性支撑服务，使各应用系统能够 进行有效的整合与协同，形成各省信息系统统一的公共支撑环境，与 国家信息系统一并部署，可提供省级应用涉及的应用集成、技术支 撑、安全服务、运行监控等领域的软件服务集合，应用系统支撑平 台有关内容另行作为技术规范印发。由各省负责应用系统支撑平台的 实施与集成工作。4.4.教育基础信息数据库管理与服务系统教育基础信息数据库管理与服务系统教育部提供教育基础信息数据库管理与服务系统，由各省负
46、责实 施与集成工作。通过该系统建设和实施，建立省级教育基础信息数据 库，为业务系统提供权威、准确、完整有效的数据。教育基础信息 数据库管理与服务系统包括五个方面内容：元数据管理，支持对数据 资源目录的管理；主数据管理，支持主数据的建设与管理；数据质 量管理，支持对教育基础信息数据库的质量管理与评估；数据服 务，提供接口、工具支持数据资源的共享与应用；数据安全管理，控制数据存取和访问，对教育基础信息数据库的运行状态进行监控 和分析。5.5.公共中间件公共中间件公共中间件包括应用服务器中间件、目录服务、商业智能、内容 管理、地理信息系统、报表工具、即时消息等，在此基础上构建统 一的应用软件基础运行
47、支撑环境。教育部提供部分中间件的使用授 权（具体见表5）。25264.4.2 数据库平台数据库平台建设数据库平台是为了实现对数据中心各类资源的合理配置和 有效使用，数据库管理系统选用Oracle和SQL Server。数据库平台属于省级数据中心的核心平台，为省级及以下教育 行政部门、学校和各个应用提供高度安全、可靠的数据平台，利用 数据库平台，可以帮助各级教育行政部门在可信的平台上自如地进 行伸缩，提高管理和开发的工作效率。建立于数据中心平台之上的 应用系统数据库，对结构化数据的存储主要包括以下需求要素：表 3省级数据中心结构化数据存储需求因素编号编号标标准准说说明明D1初始数据容量系统初创的
48、初始化数据量，迁移已有系统的数据容量D2数据年增量每年新增的数据量D3数 据 生 命 周 期在线存储数据量可以根据数据库中需要保留最近多少年的数据进行推算D4近线存储(NearStore)数 据 量数据超出年限迁移出在线数据库，其中哪些年份的数 据应能快速导回在线数据库以备数据查询D5离线存储数据量超过哪些年份的数据基本已不再使用，可以被离线存储归档D6可清除数据量哪些数据量不再需要存储归档，可以进行删除处理D7数 据 恢 复可容忍丢失的最大数据量系统发生意外情况时，允许损失多长时间内的数据，称为数据恢复的 RPO(Recovery Point Objective)D8可容忍的最长数据恢复时间
49、允许在多长时间内完成达到 RPO 要求的数据恢复，称为数据恢复的 RTO(Recovery Time Objective)D9数据备份的保留期保留多长时间内的数据备份副本，或保留最近多少个数据备份副本数据库平台应支持多个逻辑处理器，并有效地利用一流硬件供应商的多核技术体系，保证数据库平台的高性能和可伸缩性,为整合 更多数据源和充分利用硬件资源提高保障。274.4.3 密码安全服务平台密码安全服务平台为解决各应用系统对其核心敏感数据信息进行统一加密的需 求，保证重要数据的机密性、完整性、认证等安全特性，省级数据 中心需按照教育部的统一要求配备部署密码安全服务平台，实现对 应用系统敏感数据信息的加
50、密处理，支持国家标准密码算法，为应 用系统提供数据加密/解密、数字签名/验证签名、密钥管理、访问 控制、密码设备统一管理等密码安全服务。4.5 信息安全保障体系4.5.1 信息安全保障体系总体要求信息安全保障体系总体要求1.1.安全保障体系框架安全保障体系框架根据数据中心的总体安全保障机制，结合国家信息安全等级保护 基本要求，与数据中心整体技术框架相配合，建立相配套的安全保障 体系框架，如图 6 所示。图 6省级数据中心安全保障体系框架2.2.总体安全保障机制总体安全保障机制数据中心建设应采用纵深防御的安全保障机制，确保核心数据 资源的安全保护。核心数据要建立核心存储区域，该区域位于纵深 防御
