公共云安全体系结构设计

2.1 用户管理

为确保仅让已知和授权的用户访问和使用云计算中心的计算资源及数据，同时保护数据及计算资源不被非授权用户访问和使用，必须对用户身份进行有效管理。用户管理应包括认证、授权和审计3种基本功能 。

为实现用户应用在云端计算，同时也为保证用户如同在一个可互操作的单一系统上一样访问所有相关云资源，云服务提供商必须提供联合身份验证。联合是指多个独立资源(物理/虚拟硬件、软件、网络、身份、相关配置信息等)组合充当单一资源的能力。联合身份验证是使云计算成为可能的一个基本条件。认证是核实用户或系统身份的过程，用户要使用云计算数据中心资源(包括硬件、软件及数据)需取得相关信任凭证。信任是指双方能通过身份验证机构定义信任关系的能力。这一身份验证机构能交换凭证(通常是用户名/密码和X.509证书)，然后使用这些凭证确保消息安全，创建署名安全令牌，用户通过它们提交任务并接收响应信息。为确保账户安全，这些信息还需要周期性更新，比如周期性地修改密码，并在不需要的时候取消账户登录系统的能力。

授权是确认用户或系统身份后授予使用计算资源和访问数据权限的过程。授权被用来确定用户或服务是否具有执行某项操作所需要的权限。用户的所有操作还应该被审计。审计是指查看和检查有关认证、授权的记录和活动，以确定系统控制的完备性、核实与已有安全策略及过程的符合性，检测安全服务中的违规事件，并能给出相应的对策和整改意见。

2.2 数据安全

相对于传统的计算模式将数据保存在自己可控的局域网环境中，在公共云计算环境中，用户数据保存在云中，数据拥有和管理相分离。为实现用户数据安全，保护云计算中心中的用户数据免遭破坏、恶意修改或泄密，在公共云环境中，要切实保障数据的传输安全和存储安全。

微信扫一扫实时了解行业动态

微信扫一扫分享本文给好友