作者@恺风Wei
一些术语和概念
逻辑网络边界（logical network perimeter）通常是由提供和控制数据中心连接的网络设备建立，例如虚拟防火墙，虚拟网络（VLAN、VPN）
虚拟服务器（VM），虚拟基础设施管理器（VIM，虚拟基础设施管理器，用于协调与VM实例创建相关的物理服务器）
云存贮设备：cloud storage device。设备的实例可以被虚拟化。单位为
1、文件；
2、块（NFS、CIFS-Common Internet File System）；
3、数据集dataset（例如SQL）
4、对象：各种类型的数据都可以作为web资源被引用和存储，例如利用HTTP的CRUD（create、retrieve、update、delete）操作（如CDMI，Cloud Data Management Interface）
云使用监控用于收集和处理IT资源的使用数据。包括有
1、监控代理（作为服务代理位于通信路径上，对数据流进行透明的监控和分析）；
2、资源代理（事件驱动，例如观测启动、暂停、恢复、垂直扩展等事件）；
3、轮询代理（polling agent，常被用于周期性地监控IT资源状态，例如正常运行时间和停机时间）
资源复制（resource replication）对同一个IT资源创建多个实例。
已就绪环境机制是PaaS云交付模型的定义组件，基于云平台，已有一组安装好的IT资源，可以被云用户使用和定制。云用户使用这些，远程开发和配置自身的服务和应用程序。例如数据库，中间件，开发工具和管理工具，例如进行开发和部署Web应用程序。
特殊云机制
自动伸缩监听器（automated scaling listener）是代理服务，监听和追踪用户和云服务之间的通信或IT资源的使用情况，通常靠近FW。实际就是监听，如果发现超过阈值（大或者小，例如CPU>70%，用户请求每秒大于10个，并持续10分钟），通知云用户（VIM平台），云用户（VIM平台）可以进行调整。注意，这只是监听器，监听在动伸缩的需求，不是处理自动伸缩。如果扩展需求在同一物理服务器上无法实现，则需要VIM执行虚拟机在线迁移，迁移到满足条件的另一台物理服务器上。
负载均衡器（load balancer），有下面几种方式，都是分布式，而不是主备的方式，因为这是讲balance。可以通过交换机，专门的硬件/软件设备，以及服务代理
1、非对称分配（asymmetric distribution）：较大的工作复杂被送到具有较强处理能的IT资源。
2、负载优先级（workload prioritization）：复杂根据其优先级别进行调度、排队、丢弃和分配。
3、上下文感知的分配（content-aware distribution）：根据请求内容分配到不同的IT资源。
SLA监控器（SLA monitor），例如轮询检测是否在线，检测QoS是否达到SLA的要求。
按使用付费监控器（pay-per-use monitor），按预定的定价参数测量IT资源的使用情况，提供给计费系统。典型的有：请求/响应消息数量，传送的数据量，带宽消耗量。
审计监控器用来收集网络和IT资源的审计记录数据，用以满足管理需要或者合同义务。例如位于认证服务器之前的审计监控器可以截获用户的登录请求，在日志数据库中存贮请求者的安全证书，以及成功和失败的尝试，供以后的审计报告用。
故障转移系统（failover system）通过集群技术提供冗余实现IT资源的可靠性和可用性。有两种基本配置：
1、主动-主动：本例是负荷均衡的，失效的实例从负荷均衡调度器中删除（或置为失效）
2、主动-被动：有活跃实例和待机实例（无负荷，可最小配置），如果如果检测到活跃实例失效是，将被重定向到待机实例，该待机实例就成为了活跃实例。原来的活跃实例如果恢复或者重新建立，可成为新的待机实例。这是冗余机制。
Wei：现在有技术进行在线备份或者迁移的，能够对有上下文要求的，有状态机要求的进行复制，也就是说可以无缝接管，这种属于主导-被动方式。而负载均衡只是对新请求进行保护，对于正在处理的请求（或者请求组）是会丢失的。采用哪种方式，具体业务特性决定。
虚拟机监控器（hypervisor）用来在物理机器上生成虚拟服务器实例，通常限于一台物理服务器内，提供对硬件资源使用的控制、共享和调度。VIM提供了一组特性来管理跨物理服务器的多hypervisor，看进行数据中心的硬件资源调度，例如分配合适hypervision，进行在线迁移到空闲的物理机等。
资源集群（resource cluster）将多个IT资源实例合并成组，使之能像一个IT资源那样进行操作。也就是N in 1。在实例间就工作符合分别，任务调度，数据共享和系统同步等进行通信。集群管理平台作为分布式中间件运行在所有的集群节点上。类型包括：
1、服务器集群：运行在不同物理服务器上的虚拟机监控器可以被配置为共享虚拟服务器执行状态（例如内存页和处理器寄存器状态），以此建立起集群化的虚拟服务器，通常需物理服务器共享存储，这样虚拟服务器可以从一个物理服务器在线迁移到另一个。
2、数据库集群：具有同步的特性，集群中使用的各个存储设备上存储数据一致性，提供冗余能力。
3、大数据集集群（large dataset cluster）：实现数据的分区和分布，目标数据集可以有效地话费区域，而不需要破空数据的完整性或计算的准确性。每个节点都可以处理总做负载，而不需要向其他类型那样，与其他节点进行很多的通信。
方式分为两类：1、符合均衡的集群；2、HA集群。
多设备代理帮助运行时数据转换，使得云服务被更广泛的用户程序和设备所用，就是多几个接口，格式适配（例如页面适配）这类，例如XML网络，云存储网格、移动设备网关。
状态管理数据库是一种存储设备，是把状态数据缓存在内存的一种替代方法。软件可以将状态数据放入DB中，用以降低程序占用运行时的内存量。
云管理机制
远程管理系统是必不可少的，通过远程管理系统可以访问资源管理系统、SLA管理系统以及计费管理系统。远程管理系统的有两个入口：使用与管理入口，自服务入口。这个系统也包括API，云用户可以通过这些标准API来构建自己的控制台，云用户可能使用多个云提供者的服务，也可能更换提供者。
资源管理系统帮助协调IT资源，其核心是VIM。
SLA管理系统对相关数据的管理、收集、存贮、报告以及运行时通知，通常会有一个服务资料测量库。
计费管理系统根据计费实践和定价模型出具清单。
云安全机制
加密：对明文（plaintext）进行加密（encryption），通过加密部件（cipher）的标准化算法将明文转换为密文（ciphertext），而密钥（encryption key）扮演关键角色。
一、对称加密（symmetric encryption），例如RC4、Triple-DES，AES。
二、非对称加密（asymmetric encryption）。https就是用SSL/TLS作为http的底层加密协议。
哈希：单向的不可逆的数据保护机制，常用于密码。通过哈希可以获得消息摘要（message digest）
数字签名（digital signature）进行数据真实性和完整性的验证，涉及hash和非对称加密，将一个由私钥加密的消息摘要附加到原始消息中，接收者用公钥来解密这个数字签名，得到消息摘要，然后对比原始消息hash得到的message digest，一致则证明消息的真实性和完整性。
公钥管理设施（PKI，public key infrastructure）是管理非对称加密密钥办法，也就是通过数字证书将公钥告知对方。PKI依赖于数字证书（带数字签名的数据结构，与公钥一起验证证书持有者身份），常由第三方证书颁发机构（CA，Certificate Authority）签发。
身份与访问管理（Identity and Access Manager，IAM）机制具有认证、授权、用户管理、证书管理。IAM中有些目标和PKI相似，但还包括访问控制，策略等内容。
单一登录（Single Sign-On）机制使得一个云服务能被一安全代理认证，这个安全代理建立一个安全的上下文，当该云用户访问其他云服务或资源时，这个上下文会被持久化。类似于统一认证，即跨多个云服务为用户进行AAA，无需在用户的使用过程中，进行多次的认证授权的密码请求。例如安全代理通过安全令牌的方式，在分布式的云服务A、云服务B、云服务C中自动认证该用户。又例如安全代理收到安全证书后传播给不同云中的已就绪环境。
基于云的安全组（cloud-based security group）通过基于云资源的分隔减少或避免不同用户的信任边界重叠，当一个云安全组受到攻击时不会波及到另一个云安全组。例如公开组/私有组，开发组/生产组，在VIM分配云资源时，根据SLA，在相应的云安全组的物理机器上进行资源分配。
强化的（hardening）虚拟服务器映像：强化是将不必要的软件从系统中玻璃出来，限制可能被攻击者利用的潜在漏洞，包括关闭不必要的服务器端口，关闭不必要的服务，关闭不需要的内部根账号，关闭对系统目录的的宾客方位，卸载冗余软件，建立内存限额等。
