独角兽企业重金招聘Python工程师标准>>>
基本系统部署
下图是一个简单的网络架构:
接下来以此为例来说明如何在云环境上部署一套应用系统。
1.1 基本网络架构
云平台以专有网络VPC (Virtual Private Cloud)的模式向用户交付网络服务,VPC下划分DMZ和SF两个基本的网络区域。
两种网络类型说明如下:
DMZ:内网与互联网之间隔离的区域,通常部署web server或者前置、代理服务器,可通过开通防火墙向Internet提供服务。
SF:部署内网应用和核心应用的区域。
必须是创建好了网络域和子网之后,才能创建主机环境。
1.2 网络域部署
登录云平台后,进入控制台,展开产品菜单:
随后进入VPC产品目录:
随后再进入专用网络目录,点击创建专有网络开始创建网络域服务:
VPC的名称和描述可自定义:
创建完成之后,VPC的状态会由“创建中”切换为“可用”,随后点击下一步开始创建子网和网络域:
VPC创建完成之后,如需创建更多网络域,可进去VPC内,创建网络域:
点击VPC名称进入VPC内,点击创建网络域的按钮开始进行网络域的创建:
根据实际需求创建DMZ、PTR或者SF网络域
创建完成后,可以在网络域目录下看到对应的网络域情况:
如需多个子网,或者子网IP用完,可以进入网络域内给网络域创建子网:
可根据实际需求选择子网掩码,来确认网段大小:
子网创建完成后,可以在子网目录下看到.
子网创建完成之后,就可以进行主机的创建了。
通常情况下,一个租户下的一个业务只需要创建一个VPC,不同VPC之间的网络是隔离的。
一个VPC下对应一个DMZ和SF的网络域,每个网络域下可以有多个子网,同一个网络域下的子网网络是互通的。
1.3 计算服务部署
参考网络架构图,我们这里需要创建6台主机,其中4台位于DMZ网络域,2台位于SF网络域。
进入云主机产品目录,点击创建实例按钮开始进行云主机的创建:
选择好对应的VPC和网络域之后,根据实际主机配置需求、操作系统需求等来购买主机:
主机创建完成之后,在实例管理页面能够看到创建的所有主机:
点击实例名,进入主机详情页面,可以看到主机的配置、初始密码等信息。
1.4 存储服务部署
1.4.1 购买云磁盘
主机默认的系统盘大小是60GB,如果主机需要额外的存储服务,可以给主机购买云磁盘服务。
在云磁盘的目录下,点击创建磁盘按钮,开始进行磁盘购买:
随后点击选择云主机的按钮,选择要给哪些主机添加磁盘:
勾选需要添加磁盘的云主机:
随后输入磁盘大小:
1.4.2 初始化磁盘
Windows主机需要手动初始化云磁盘之后才能正常使用云磁盘。
操作步骤如下:
• 打开服务器管理器:
• 当前云磁盘属于脱机状态
• 点击联机按钮
• 随后点击初始化磁盘按钮
• 默认使用MBR分区
• 随后新建卷
• 之后会进入欢迎界面
• 定义分区大小
• 分配磁盘盘符
• 格式化磁盘
格式化完成之后磁盘创建完成。
如果是windows server R2版本的主机,可以右键点击windows徽标按钮,然后进入磁盘管理进行上述操作:
Linux主机也需要进行磁盘的初始化操作。
登陆主机后,通过lsblk命令查看磁盘列表:
可以看到刚刚购买的云磁盘目前无挂载点信息,需要手工挂载,这里以挂载到/data目录为例来说明磁盘挂载操作。
首先创建/data目录,随后初始化磁盘,使用pvcreate命令创建PV
PV创建完成之后在创建VG卷组,并将vdb磁盘加入VG
VG创建完成之后需要激活VG
VG激活完成之后,需要在VG中创建LV逻辑卷组:
如上图所示,我们在VolGroup01里面创建lv,命名为LVdata
随后将LVdata进行格式化操作:
格式化完成之后,挂载磁盘到/data目录
随后lsblk命令可以看到磁盘挂载成功。
如果需要开机磁盘自动挂载,则需要将挂载信息写入/etc/fstab文件中。
输入vi /etc/fstab命令来编辑fstab文件:
在文件最后加入磁盘的挂载点信息,随后保存文件。到此磁盘初始化完毕。
1.5 互联网服务部署
如果需要访问云服务,需要将对应的服务或者负载均衡服务接入互联网才能实现。所以我们首先需要申请一个互联网网关。
进入互联网网关目录下,进行网关的申请:
点击创建互联网网关的按钮开始进行创建操作:
选择到对应的VPC,随后点击创建按钮即可开始创建操作:
创建完成后,点击网关名称进入网关的详细配置:
点击申请按钮来申请一个公网IP:
输入需要的带宽大小,随后点击创建按钮即可开始申请公网IP:
申请完成后,在互联网网关详情页面可以看到公网IP地址,如下图所示:
1.5.1 主机互联网接入
在互联网网关的互联网连接目录下,可以给主机添加互联网网卡:
点击创建按钮:
随后点击添加主机实例,就能给对应的主机添加一块网卡,网卡直连到互联网,仅有DMZ区域的主机能够添加公网网卡。
添加完成后就能看到对应的主机公网IP了:
(1)通过互联网连接主机
如果需要从互联网连接主机,windows主机需要放开入方向的TCP 3389端口,Linux主机则需要放开TCP 22端口,这些功能在安全策略管理中实现。
点击图中创建的按钮来创建安全规则:
这里以Linux主机为例,放开入方向的22端口,授权地址0.0.0.0/0表示的是整个互联网网段。如果需要通过特定的网段来登陆,这里可以换成特定网段地址。
如果是需要主机对公网提供web服务等,这里端口则是80、443端口。
(2)主机访问互联网
如果主机需要通过浏览器访问互联网,则需要创建出方向的80、443端口:
端口范围如果需要填多个,则用英文的逗号隔开即可。
如果主机需要使用互联网的DNS服务,则需要放开出方向的TCP和UDP的53端口。同时给主机配置DNS服务器。
例如Windows服务器,我这里给公网网卡配置了对应的DNS服务器:
配置完成后可看到这个网卡的网络连接详细信息中有DNS服务器:
Linux主机也是如此,需要给主机添加一条DNS服务器:
输入命令vi /etc/resolv.conf来修改主机DNS配置,加入下图中这条即可
修改完成之后保存文件。
随后查看DNS状态:
此时DNS服务器已添加。
默认情况下无需手动添加DNS服务器或者更改DNS信息。
1.5.2 负载均衡互联网接入
如果系统是通过负载均衡向互联网提供web服务,则需要将互联网网关添加到负载均衡。
(1)配置负载均衡
在产品与服务目录下,进入负载均衡ELB目录,创建负载均衡服务。
点击创建按钮开始进行负载均衡实例的创建,目前提供公网类型实例和金融类型实例。
这里以公网类型实例为例来说明。
选择对应的VPC和网络域,输入显示名称之后开始创建:
购买之后可以在实例管理页面看到,点击实例名称可进入实例管理配置页面:
首先在监听器选项卡下,点击创建监听器来添加后台实例:
配置好相关项目后,点击创建即可完成监听器的创建操作:
随后在服务器资源池选项卡下,创建服务器资源池:
选好主机和监听器后,点击图中箭头,将主机添加到新建的服务器资源池中:
填好后端端口之后,点击创建开始创建服务器资源池。
随后配置监听器,点击编辑进入编辑界面。并选择公共创建的资源池:
随后点确认完成配置。
创建完成之后,资源池、监听器和负载均衡实例的状态都会变成可用。
(2)配置DNAT映射
可通过配置DNAT规则,将金融类负载均衡服务发布到互联网。
在互联网网关的公网IP地址下,先创建公网IP:
公网IP创建完成之后,可以将公网IP绑定到负载均衡实例。
在DNAT规则下点击创建按钮:
选好对应的公网IP和负载均衡实例,填好端口之后,点击确定即可。
随后可以看到公网IP和内网IP实现了IP和端口映射:
1.6 Terminal主机接入
通常为了安全起见,会创建一台Terminal主机,作为登录云主机的跳板,Terminal主机部署在DMZ区域,且需要开通主机到对应SF区域的安全策略。这里以windows主机来做说明。
首先参考互联网接入的章节,给主机绑定互联网网关,且放开入方向的3389端口,然后就能通过互联网远程桌面这台主机了。
1.6.1 配置安全组
云环境内,同一个VPC内不同的网络域之间是有防火墙和ACL隔离的,用户可通过配置安全组策略来开通不同网络域的主机互访权限。
在云服务器目录下有安全组配置目录:
进入安全组之后,点击创建安全组按钮,我这里需要通过位于DMZ区域的Terminal主机访问位于SF区域的主机,所以创建一个网络域为SF的安全组:
安全组创建完毕后,点击安全组名称,进入详细的配置页面:
随后点击添加主机实例的按钮,将Terminal主机添加到安全组:
添加完成后,进入安全组规则选项卡进行安全组规则的详细配置:
点击创建按钮开始进行安全规则的创建。
1.6.2 配置安全规则
这里的需求是通过DMZ区域的Terminal主机ECA-WJ3600013来访问SF网络域(10.2.0.160/27)的主机。
所以需要放开出方向(OUT)到SF网段10.2.0.160/27的22端口:
随后在主机上测试网络是否已能够联通:
telnet 10.2.0.168 22
测试通过,此时已经能够通过ssh登陆这个网段的主机。
如果是需要访问Windows主机,这里的安全策略就还需要放通3389端口。
2.7 跨VPC互访
2.7.1 同租户内访问
如果在同一个租户内,有多个VPC的情况,不同VPC之间的ECS实例需要互访,除了
需要放开安全策略以外,还需要配置VPC之间的高速通道。
下面以如下两台主机为例,说明如何配置同租户的跨VPC访问:
这两台主机分别位于不同VPC的SF区域和DMZ区域。
其中,SF的子网为: 10.2.0.160/27
DMZ的子网为:10.1.2.96/28
(1)创建高速通道
先创建高速通道:
产品与服务,网络文件夹下有高速通道的产品项:
点击添加按钮:
随后选择对应的本端VPC和对端VPC,选好了VPC之后,在下面的互访IP地址中,就能够选择到对应的子网网段了:
配置完成之后点击确定完成高速通道的创建。如下是配置完成之后的高速通道:
登录主机进行ping测试
此时能够ping通,说明高速通道配置成功。但是此时是无法访问主机的,端口策略都未开通:
(2)配置安全策略
高速通道配置成功之后,如果需要互相访问,需要放开对应端口的安全策略,这里以22端口为例来进行说明。
首先创建一个安全组,VPC和网络域选择主机对应的网络域:
随后将实例加入安全组:
随后创建安全组规则:
这样入方向的安全组配置完毕,除此之外,还要在被访问的主机那里配置入方向的安全策略。
同样的步骤配置安全组:
并将主机加入安全组:
配置完成之后,测试telnet 22端口,测试通过:
2.7.2 跨租户访问
跨租户进行主机互访,同样也是需要先配置高速通道。
这里以如下两台主机的互访进行说明,这两台主机分别位于不同的租户:
ECA-LJ3600044和ECA-LP1600023
填好对应的租户和VPC信息之后,还需要获取授权码:
并配置好互访IP地址,随后点击确认:
随后在之前的安全组内添加策略:
在另一个租户内也需要配置对应的安全组信息:
随后将实例加入安全组:
并配置安全策略:
配置完成之后测试连接情况,能够正常访问22端口:
2.8 访问控制RAM
如果您购买了多台云服务器 ECS 实例,您的组织里有多个用户需要使用这些实例。访问控制 RAM 将帮助您管理用户对资源的访问权限控制。RAM (Resource Access Management)是平安云公有云为客户提供的用户身份管理与访问控制服务,使用 RAM,您可以创建、管理用户账号,并可以控制这些用户账号对您名下的资源具有操作权限。
2.8.1 创建用户
登入平安云控制台,选择【访问控制RAM】->【用户管理】->【创建】,进入创建用户页面。
用户创建完成之后,在用户管理页面能够看到创建的所有用户,可在页面上对用户进行加入组、授权、删除的操作。
点击用户名,进入用户详情页面,可以看到用户的基本信息、AccessKey、用户加入的组、用户策略。
创建群组
如果您的账号下创建了多个RAM用户,为了更好的管理用户及其权限,建议您通过用户组(Group)来管理。
操作步骤:进入平安云控制台,选择【访问控制RAM】->【群组管理】 -> 【创建】,在弹出的窗口中填写需要新建的群组名称。
群组创建完成之后,在群组管理页面能够看到创建的所有群组,可在页面上对群组进行编辑、授权、删除的操作。
点击群组,进入群组详情页面,可以看到群组的基本信息、群组成员、群组策略。
2.8.2 创建授权策略
支持两种类型的授权策略:系统授权策略和客户自定义授权策略。
【自定义授权策略】
操作步骤:进入平安云控制台,选择【访问控制RAM】-> 【策略管理】,选择【自定义授权策略】,然后按如下步骤操作:
(1)点击【创建授权策略】,打开创建授权策略弹窗:
(2)选择一个模板(这里选择GetBucketDetail),我们可以基于这个模板进行编辑,如下图所示:
名称:设置授权策略的名称。本示例中为自定义授权策略GetBucketDetail。
内容:输入授权策略内容。本示例中填写如下内容,表示该用户或用户组获取对象存储桶的信息。
Resoure(操作对象列表): 资源是云服务呈现给用户与之交互的对象实体的一种抽象,如 OBS 对象存储,ECS 实例等。
Action(操作名称列表):Action支持多值,取值为云服务所定义的API操作名称。
Effect(授权类型): Effect取值为Allow或Deny。
创建自定义授权策略时,需要了解授权策略语言的基本结构和语法,相关内容的详细描述参考授权策略语言。如果要查看平安云支持的所有系统授权策略,请点击帮助与文档,
用户就可以看到所有的系统授权策略列表.
(3) 策略内容编辑完成后,点击 【创建授权策略】 即可新建自定义授权策略。
策略创建完成之后,在策略管理页面能够看到创建的所有自定义策略,可在页面上对策略进行编辑、删除的操作。
点击策略,进入策略详情页面,可以看到策略当前版本和历史版本,可对当前版本的策略进行编辑的操作。
【系统授权策略】
系统授权策略是平安云提供的一组通用授权策略,主要针对不同产品的只读权限或所有权限。对于平安云提供的这组授权策略,用户只能用于授权,而不能编辑和修改。对于这些系统授权策略,平安云会自动进行更新或修改。
2.8.3 为用户或群组附加授权
为了加强网络安全控制,您可以给某个群组或某个用户附加一个授权策略。
【用户授权】
操作步骤:登入平安云控制台,进入【访问控制RAM】->【用户管理】 -> 】选择用户】 -> 点击授权,进入编辑授权策略的页面,选择合适的授权策略名称进行授权即可。如选择本示例中的GetBucketDetail。
【群组授权】
操作步骤:登入平安云控制台,进入【访问控制RAM】->【群组管理】 -> 选择【群组】 -> 点击授权,进入编辑授权策略的页面,选择合适的授权策略名称进行授权即可。
如果觉得《平安云基本系统部署》对你有帮助,请点赞、收藏,并留下你的观点哦!