文档

中体彩基于Landing Zone实现统一规划和组织协同

更新时间:
一键部署

中体彩简介

中国体育彩票于1994年开始发行,当前主要包括乐透型彩票、竞猜型彩票和即开型彩票三大类别。从“十三五”开始,全国体育彩票系统以新时代中国特色社会主义思想为指导,不断深化党建引领,坚定以人民为中心的发展理念,确定了“建设负责任、可信赖、健康持续发展的国家公益彩票”的总体发展目标。始终倡导“公益体彩,乐善人生”的公益理念,形成了服务社会、践行公益,具有中国特色的体育彩票发展道路。

2018年,中国体育彩票通过世界彩票协会(World Lottery Association)责任彩票三级认证,标志着中国体育彩票在践行责任理念、坚持合规运营、承担社会责任等方面得到世界的认可。

2020年,中国体育彩票全年发行量达到1895 亿元,为国家筹集体彩公益金508亿元。这些公益金被广泛用于补充全国社会保障基金、抗震救灾、教育助学、残疾人救助、扶贫、法律援助等多项社会公益事业,并通过支持“全民健身计划”等公益活动,在构建公共体育服务体系、助力健康中国战略、建设体育强国中发挥作用。

云转型历程

中体彩的IT系统为体育彩票事业贡献了基础的保障能力,大致经过了如下的三个阶段。

第一阶段虚拟化:2013年在对全国的四个区域数据中心进行集中后,为了提高IT资源的利用率,进行大批量的虚拟化建设,包括计算资源的虚拟化和存储环境的虚拟化。

第二阶段双模平台:完成了基础环境的虚拟化改造后,2017年基于开源如OpenStack云化技术栈和传统的虚拟化技术栈,参考Gartner机构的Bimodal IT发展模式建议,体彩在新数据中心的IT基础环境建设时实现了敏态和稳态环境双模平台。

第三阶段混合云:2021年对体彩云进行了新的定义,由私有云、公有云、统一云管平台、专用通道组成的混合云。配合新业务上线,除了在自有数据中心建设搭建云平台之外,充分利用阿里公有云平台提供的丰富能力。

上云的挑战

虽然中体彩在传统数据中心积累了丰富的经验,但是对于公共云还是比较陌生的。面对业务的复杂性、多团队的协同,如何确保上云的统一规划和建设,是中体彩云团队面临的挑战。因此从组织管理、技术诉求进行了分析和梳理。

组织管理和技术诉求

当业务需要部署在公有云上时,除了业务的基础要求,还有如下的组织管理诉求:

  • 计划:在有限的时间下,按时上线过程的方向把控、问题的及时发现、预防和纠正;

  • 组织结构要求:组织中不同团队的职责各级组织的职责体现、相互之间的协调机制;

  • 合规安全要求:技术架构满足中体彩的安全管理与合规要求;

  • 人员培养:规划设计团队在完成公有云的引入和设计后,还多支持后续的运维运营承接团队,简单的说,就是能把后续的队伍扶上马,送一程。

以上是新业务需要部署在公有云环境时,以管理诉求的直接需求的角度提出。如果把上述的原始需求转换成技术需求的语言,就是:

  • 计划:业务上线时间倒排,确定工作模块的组成以及模块之间的依赖关系;

  • 架构合理性:现有环境(迁移前技术栈)的评估,平滑迁移,最少的业务应用代码改动,迁移后架构是不是Best Practice;

  • 合规安全要求:用户访问方式和权限的定义,云上网络内部之间的安全访问,VPC之间、实例之间等,网上网络对外出口的访问;

  • 组织结构要求:业务需求方、数据中心运维方、管理方、架构设计方、安全合规等多方,可以在云上协同完成工作;

  • 人员培养:提供基于公有云的知识库以及学习验证环境。

公有云与传统数据中心的异同

从技术实现的角度,在网络架构设计、安全防护和合规审计领域,公有云与传统数据中心的原理基本相同。但在如租户管理,财务管理(成本分摊)的模型和IT系统的组织模型领域存在较大区别,同时公有云和传统数据中心内都要进行身份权限定义、日常运维和开发自动化代码的工作。

1

基于Landing Zone框架的规划

为了解决上述的组织管理和技术的诉求,体彩在进行业务的公有云部署前,基于阿里云Landing Zone上云框架进行整体设计,确保构建一个安全合规、可管理和可扩展的阿里云环境。

2

账号组织架构和权限

基于阿里云的资源目录(ResourceDirectory)服务,实现云上的结构设计和实际的组织管理架构相匹配。其中,体育彩票管理中心为企业管理账号,在整体组织内具有最高权限,而下属的其它各类业务应用均为应用账号,确保了管理与应用的职责分离,各个应用账号也可以实现租户隔离。

3

而更细颗粒度的员工权限,通过云平台上的RAM(Resource Access Management)功能,进行租户内的标准用户权限的用户组定义,以实现基于角色为员工进行授权。

应用账号的费用额度,通过企业管理账号统一划拨,在初次申请时,计算该业务账号预计的年和季度费用,按季度划拨。在季度内,如果业务账号内的资源做了节省或其它原因,业务账号的管理员可以在额度范围内自行创建新的云资源,如果超出了划拨额度,需要进行新的申请。

共享服务租户与业务租户在具体功能上的区别

共享服务租户和业务租户,从云产品的功能本身来说,并没有使用权限上的区别,但是为了实现组织的集中化管理,从架构设计上,将一些共享功能的网络类和安全类产品,如共享带宽、NAT、防火墙和DDoS等,定义为只能在共享服务租户内创建,而一些面向业务的具体计算和存储类产品,如ECS、RDS和SLB等,则定义为创建在业务租户区。这样做的好处有:

首先,保证了边界防护的安全性可管理;

其次,因为这些资源的复用,可以降低整体成本;

再次,因为网络类和安全类产品的配置具有一定专业性,由一个独立的共享服务区配置,可以指定专人,保证配置的有效和合理性,也降低了业务应用开发人员的技术难度;

最后,在整个环境内,将生产环境和测试环境进行区分,保持一定的安全独立性。

租户

网络架构

云上的网络架构,可以参考传统数据中心的设计模式,同时发挥公有云上产品种类多样,连接便利的特点。采用公有云上最彻底的隔离方式,基于租户的隔离,同时通过云企业网CEN,将允许的租户资源互联,并配置全局的旗舰版防护墙,保证南北向和东西向数据流量的安全。各个业务租户区的对外访问,如共享带宽、NAT映射,均由统一的共享租户进行配置,并设置统一的DDoS和WAF应用规则,整个网络内的对外安全标准统一。

对云上的资源需要与云下数据中心互联,采取的是专线接入方式,配合VBR边界路由,实现体彩自有数据中心与阿里云的互通。

网络

安全防护体系

公有云上的安全,体彩在建设时,参考网络安全等保三级的要求,分别从网络层、主机系统层、环境与登录、以及日志审计的维度,建立整体的安全防护体系。

安全防护

其中事前防护的如云防火墙等产品,采取资源目录中可信服务授权的方式,在企业管理账号中操作,将权限授予共享服务租户的管理员操作;事中防护的如配置审计功能,在企业管理账号内打开,配置收集下属各应用业务账号的资源列表,并将企业管理账号内统一的配置规则,下发到各应用业务账号内;事后的操作审计功能配置为默认开启,确保所有操作都可以被审计。

成本分摊规则

云上资源即开即用,虽然具有使用便利性的特点,但如何去衡量云上资源的使用是否合理,成本可见是最基础的。中体彩采取成本分摊的方式,将云上资源的每一项费用,都与具体业务相关联。具体来讲,就是将云上的每个产品成本,通过分摊计费的方式进行累加。

体彩在成本分摊方面,因为对云上的租户分别定义了企业管理租户、共享服务租户和业务租户三种类型的租户,其中企业管理租户自己不创建资源,不承担成本,主要的成本发生在共享服务租户和业务租户两类租户上,我们定义了如下的规则:

1、业务租户的成本,由业务方独自承担;

2、共享租户区的成本,由各使用方按使用量分摊。

所以真正需要分摊的是共享租户区的成本。如前文所述,共享服务区的云产品类型主要以网络类和安全类产品为主,对这些产品采用何种分配方式,是我们主要讨论的内容,基本的分摊原则,制定公式如下:

1

将共享租户区内与租户1代表的业务相关的所有n个云产品分别计算分摊值,并求和。

具体到不同的云产品类型,我们也进行了分别的定义:

成本分摊细则

最终租户1代表的业务总成本,计算规则如下:

5

总结

基于Landing Zone框架将上云的过程进行全方面的规划和设计,既满足业务方对云资源的灵活配置要求,也满足从组织管理角度的安全和资源合理利用的要求,带来的收益有:

  • 统一管控:满足云上资源的统一管控需求,避免影子IT的存在;

  • 安全防护:预先设计的体系化的安全防护,为各业务提供安全保障;

  • 规模效应:云上规模增加的情况下共享资源、降低单位成本,从而实现规模效应;

  • 扩展性:基于多账号架构可灵活地满足组织的增加和业务应用类型的增加。

作者介绍

中体彩公有云架构团队 高迪