【云安全01】云计算概念和架构

一、云计算概念和架构（Cloud Computing Concepts & Architectures）

1.1、云计算的定义

• 云计算通过对共享资源进行抽象化管理，实现了资源的快速编排、自动化部署、弹性扩展以及生命周期退役。它以按需服务（on-demand utility）的模式交付计算能力，具备协同能力强、敏捷性高、弹性伸缩、持续可用、高可恢复性以及显著降低总体成本等优势。
• NIST SP 800-145 将云计算定义为：

云计算是一种模型，用于实现对共享的可配置计算资源池（例如网络、服务器、存储、应用程序及服务）的普遍、便捷、按需网络访问。这些资源可以在最少管理开销或最小服务提供商交互的情况下被快速配置和释放。

• ISO/IEC 22123-1:2023 将云计算定义为：

云计算是一种范式，用于通过网络访问可扩展且具备弹性能力的可共享物理或虚拟资源池，并支持按需自助式资源配置与管理。

• 从架构角度来看，云计算通过虚拟化技术将处理器、内存等底层计算资源进行统一抽象与池化，形成集中式资源池，并向上层以服务形式交付。
• 抽象与编排（Abstraction & Orchestration）—— 资源从底层物理基础设施中被抽象出来，形成统一的资源池；通过编排（以及自动化）机制，对资源进行协调、分配和交付，以向云服务客户（CSCs）提供服务。云在本质上是多租户的。多个云服务客户共享同一资源池，但在逻辑层面上，并且在某些情况下在物理层面上，彼此之间是隔离和分割的。

1.2、云计算模型

• NIST 云计算模型的五大基本特性（Five Essential Characteristics）:
  • 资源池化（Resource Pooling）
  • 广泛网络访问（Broad Network Access）
  • 快速弹性（Rapid Elasticity）
  • 可度量服务（Measured Service）
  • 按需自助服务（On-Demand Self-Service）
• 三种服务模型（Three Service Models）：
  • 软件即服务（SaaS）
  • 平台即服务（PaaS）
  • 基础设施即服务（IaaS）
• Four Deployment Models
  • 公有云（Public Cloud）
  • 私有云（Private Cloud）
  • 混合云（Hybrid Cloud）
  • 社区云（Community Cloud）

1.2.1、 NIST 云计算模型的五大基本特性（Five Essential Characteristics）

美国国家标准与技术研究院（NIST）通过五个基本特性对云计算进行定义，这些特性将云计算与传统托管服务明确区分开来。

1. 资源池化（Resource Pooling）：云计算通过多租户模型，将多种物理和虚拟资源进行池化，以服务多个云服务客户（CSCs）。这些资源（如存储、处理器、内存和网络带宽）根据需求动态分配与重新分配。
2. 广泛网络访问（Broad Network Access）：云服务通过网络提供访问能力，可通过 Web 浏览器或专用应用程序进行访问，支持异构的瘦客户端或胖客户端平台（例如服务器、移动电话、笔记本电脑、物联网设备和平板设备）。
3. 快速弹性（Rapid Elasticity）：资源可以被快速且弹性地配置，在某些情况下可自动化完成扩展与收缩。对于云服务客户而言，所提供的能力通常看似是无限的，并且可以在任何时间按任意数量进行获取。
4. 可度量服务（Measured Service）：云系统通过在适当抽象层级引入计量机制（例如存储容量、带宽、活跃用户账户数量等），自动控制和优化资源使用情况。资源使用情况可被测量、监控、控制和报告，从而为云服务提供商（CSP）和云服务客户（CSC）提供透明性。这一特性支持基于使用量计费（如按需付费，Pay-as-you-go 模式），提高成本效率与责任可追溯性。
5. 按需自助服务（On-Demand Self-Service）：云服务客户可以在无需与云服务提供商进行人工交互的情况下，单方面按需申请计算能力（例如计算时间和网络存储），并实现自动化资源配置。

ISO/IEC 22123:2023 列出了六个关键特性，其中将多租户（Multi-tenancy）作为一个独立特性单独提出，这一点区别于 NIST 模型（NIST 将多租户隐含在资源池化特性中）。

1.2.2 、三种服务模型（Three Service Models）

美国国家标准与技术研究院（NIST）定义了三种服务模型，用于描述云服务的基础类别：

1. 软件即服务（Software as a Service，SaaS）：SaaS 是由云服务提供商（CSP）托管和管理的应用程序。云服务客户（CSC）通过 Web 浏览器、移动应用程序、应用程序编程接口（APIs）或轻量级客户端访问该应用。在该模型中，CSC 仅负责应用层面的配置管理，而无需关注底层基础设施或平台资源。
2. 平台即服务（Platform as a Service，PaaS）：PaaS 提供经过抽象的应用平台环境，例如：应用平台（即应用开发与运行环境）、数据库、文件存储以及协作开发环境。其他示例包括用于机器学习、大数据处理的应用处理环境，或对 SaaS 功能进行 API 访问的运行平台。其核心差异在于：在 PaaS 模型中，CSC 不管理底层基础设施。
3. 基础设施即服务（Infrastructure as a Service，IaaS）：IaaS 提供对基础计算资源池的访问能力，例如网络、计算资源和存储资源。在 IaaS 模型中，CSC 负责管理虚拟基础设施，包括：虚拟机、虚拟网络、存储资源以及运行中的应用程序。

ISO/IEC 22123-3:2023 采用了更加复杂和细化的定义体系。引入了与 SaaS、PaaS 和 IaaS（亦称 SPI）服务模型层级（应用、平台及基础设施能力类型）高度对应的云能力类型。随后扩展为更细粒度的云服务类别，例如通信即服务（CaaS）、网络即服务（NaaS）

模型	CSP 管理	CSC 管理	风险集中点
SaaS	应用以下全部	仅配置	身份与数据
PaaS	基础设施 + 平台	应用代码	应用漏洞
IaaS	物理层 + 虚拟化层	OS 以上	配置错误

1.2.3、四种云部署模型（Four Deployment Models）

NIST 与 ISO/IEC 采用相同的四种云部署模型。部署模型描述的是云技术在不同组织环境中的部署方式、使用方式以及在各类服务模型中的应用形态。

1. 公有云（Public Cloud）：云基础设施向公众或某一大型行业群体开放，由云服务提供商（CSP）拥有和运营。该基础设施通常位于云服务提供商的数据中心，并由其统一管理。
2. 私有云（Private Cloud）：云基础设施专门为单一组织运营。它可以由该组织自身或第三方进行管理，部署位置可以在本地（On-Premises）或异地（Off-Premises）。
3. 社区云（Community Cloud）：云基础设施由多个组织共享，用于支持具有共同关注点的特定社区，例如：共同使命、相同安全要求、统一政策、合规性要求。该云环境可由一个或多个云服务客户（CSCs）或第三方进行管理，并可部署在本地或异地。
4. 混合云（Hybrid Cloud）：云基础设施由两个或多个独立的云环境（私有云、社区云或公有云）组合而成。这些云环境保持各自独立实体属性，但通过标准化或专有技术进行连接，以实现数据与应用的可移植性，例如通过“云突发（Cloud Bursting）”实现跨云负载均衡。

其他常见部署模型：

• 多云（Multi-Cloud）：在多云环境中，云服务客户（CSC）同时使用来自不同云服务提供商（CSP）的多个云服务（例如不同云上的应用和系统）。采用多云策略通常是为了：降低对单一云服务商的依赖（避免 Vendor Lock-in）、提升架构韧性、优化成本与技术选型。
• 混合多云（Hybrid Multi-Cloud）：混合多云通常指公有云与私有资源的组合，通常包含：公有云平台、传统数据中心（On-Prem Data Center）。本质上是“混合云 + 多云”的叠加架构。

模型	最大安全挑战
公有云	多租户隔离 + 暴露面
私有云	内部权限滥用
社区云	合规复杂性
混合云	跨环境身份与数据流动
多云	统一安全策略难度
混合多云	IAM + 网络复杂度爆炸

[!IMPORTANT]

无论 SPI 还是部署模型，本质都在三个面：

1. 控制平面（Control Plane）
2. 数据平面（Data Plane）
3. 身份平面（Identity Plane）

而现代攻击几乎全部围绕：

• API
• IAM
• 自动化系统
• 编排系统