【51CTO.com 综合报道】在前不久，刚刚结束的RSA 2010大会上，我们聆听了多为嘉宾的演讲。51CTO作为特邀媒体，对大会进行了相关报道。更多内容请参阅RSA 2010信息安全国际论坛专题报道。那么，对于大会中所涉及的一些演讲内容，这里我们再来总结一下。现在，先让我们一起来回顾下VMware公司大中华技术总监张振伦，所带来的演讲《私有云安全构架概览》。
张振伦：大家下午好！今天很高兴有这样一个机会，一起跟大家分享一下关于虚拟化以及云计算上的安全问题。实际上我相信大家刚才听了很多介绍，包括我刚才听陈教授的介绍，大家都在讲云存储以及云各个方面的安全，好像现在所有的安全在云上也变成的一个特别特别重要的话题。今天大家都在讲公有云的时候，都觉得最最重要的一个障碍也是安全。我们如何看安全？在云的架构下，会发生哪些方式的一些改变，从整个架构的角度，我们应该怎么样重新考量？在这之前，我想问一下在座的各位，我不知道有多少人知道VMware公司是做什么的？（听众回答：虚拟机）
这位先生说VMware公司是做虚拟机的，还有人知道VMware公司是做什么的？我相信几年前大家去看VMware的时候，很多人都知道VMware做服务器虚拟化，这个概念已经过时了。可能两三年前，或者说到我加入VMware的时候，说VMware开始做数据中心虚拟化，数据中心虚拟化比服务器虚拟化的内容拓展了很多，因为这中间加入了网络虚拟化、存储虚拟化、内存虚拟化、应用虚拟化、桌面虚拟化、安全虚拟化等等。也就是说它变成了整个数据中心，在做虚拟化。
今天我告诉各位，VMware也不是做数据中心虚拟化，这个概念也已经过时了，那VMware到底在做什么？如果说前些日子大家去关注VMware刚刚在美国召开的用户大会，我们VMware 2010，相信大家看到一个很明确的主题，在这次大会上VMware正式发布的内容。以前很多人都在用VMware的服务器，后来我们改名VMware。今天看到我们发布vSphere，标志着VMware在云计算方面的产品正式落地，同时上周我们在欧洲的用户大会上，VMware又正式发布了vSphere 4.20。这两个重要的发布意味着我们云不是一直飘在天上，要落地了一旦要落地，我们就引出今天的话题，如果说前几年大家一直在说云在天上，这个云下到地上，变成雨之后，长成什么样子，大家会有各种各样的想法，这些想法就造成我们今天根本就没有方向。但是今天这两个对于云计算重要的发布，已经让我们云计算真正可以落地，有现成的产品，我相信如果说我们回过去20年的时候，大家都会觉得互联网是一个很神秘的东西，但是说互联网会带来什么样的影响，没人知道。大家只是觉得我们有很多的东西要往这个方向去走。但是今天我们已经到了另外一个时点，就是云计算。这个时点就是云计算真正落地之后，我们架构的一些挑战。我们今天开始正式看我们整个架构的挑战，在这个架构上，我们怎么样把我们安全的东西加到这个平台，让我们构建一个安全的私有云，或者公有云。
我们分成几个阶段去看，我们去看今天我们的数据中心或者这样一个虚拟的云计算的平台到底有什么样的挑战，我们如果用传统的安全架构去做，我们还有一些什么样的漏洞，或者有一些什么样的差距，我们要去弥补，来确保我们上到云计算的时候，我们在安全体系上没有任何的问题。在这里讨论很多可能都是面向于体系结构的角度，可能不是加密、解密等等某一个组件角度怎么样去看。我们去构建整个安全的架构，然后在云计算这个平台上，同时我们也会看一下混合云的平台下如何解决安全的问题。
比如这是一个企业级的虚拟的云计算中心，或者我们叫做内部云。今天很多人都听到内部云、外部云、混合云，或者说内部云和外部云之间如何协同的问题，这不是我们今天讨论的主题，但是我们会想到今天云计算的第一步，对于企业的数据中心来说，大家想到就是怎么变成内部云。从今天或者说从前些年大家一直在提的概念，（NGDC），到今天大家基本上又把这个概念OUT了，然后变成内部云这个概念，我们要想完成这个华丽的转身，其中从安全的架构商来说，我们有谁挑战，比如我们看到有各种各样的安全的设备，无论从防火墙，从VPN等等，IDS、IPS一些防御机制，这些事情逐渐堆积在我们整个云计算或者企业数据中心当中，同时我们传统都是烟囱式的管理机制，每一个部分可能都没有很好的实现均衡，我们也建了越来越多的VLAN，如果说随着云规模逐渐扩大，整个架构变得越来越复杂，我们在VLAN建设上可能也会穷尽我们所能设计的VLAN数量，导致我们最后设不下去，同时我们所有建制的这些安全传统的策略都是静态的。所谓静态的，我们怎么样跟着虚拟机或者我们云架构上的动态资源调度，能够确保安全跟着动态变化。如果这些安全结构和体系不能够给云计算动态的调整和优化做好很好的整合的话，那么安全就带来了巨大的挑战，可能会限制很多资源就无法调度。在这里可能又回到传统的模式。
当然我们也看到其他一些挑战，跟云结合的时候一系列的挑战，我们传统都没有考虑这些动态的因素，资源可以调度来调度去，虚拟机可以在不同物理机上通过其他一些机制进行漂移，漂移走了之后，连接物理的端口，连接防火墙或者一些安全机制都在发生变更，怎么样来保证这些有效的连接。
刚才讲的是数据中心，另外一块也不容忽视，就是我们的桌面或者我们的终端。有很多人都会说数据中心是我们今天要重点关注的，桌面，有专门做IT的人去管。实际上我们走到云计算阶段的时候，大家千万不要忽略了桌面。我们在桌面上可以发生各种各样的问题。
我不知道大家有没有去关注，前一段时间，比如我们都知道一个事件，肯德基的"秒杀门"，是怎么导致的。另外在欧洲一个事件，汇丰银行发生了9.7万个客户信息的泄露，这意味着什么？这意味着要有很多的罚款，要有很多形象的损失等等一系列问题。大家想想这些都是黑客攻击到你的数据中心，把这些数据给拿走的吗？真的是有人跑到你的数据中心把你的门撬开，把里面的磁盘搬走的吗？我们说可能那个磁盘搬走也没有用。刚才陈教授讲的时候，里面也有各种数据的加密，我搬走这个数据也没有用，也解不开，但为什么这些数据轻轻松松泄露到市场上去了？到底谁干的？到底我们的问题何在？实际上不是数据中心的保安问题，也不是数据中心设置一些防火墙或者防入侵等等系统有问题，而是我们的桌面有问题，我们的人有问题。这是最最重要的，最最关键的，无论怎么样加密，无论这个系统再怎么样安全，总归有几个人，甚至几十个人，能够去访问这些数据。如果你要访问这些数据的时候，这些人会不会把这个数据挪作他用，那怎么办。
这实际上就是我们今天很多时候讲到桌面云的概念，桌面建数据中心的时候，千万不要觉得它不重要，建云的时候，千万要觉得这一块也是整个安全架构最薄弱环节，也应该把它考虑进来，应该形成桌面云。作为桌面云，给我们企业级的数据中心，或者虚拟数据中心有同样的问题，当然我们也有很多不同的一些问题，比如说我们桌面这一块要装各种各样的软件，要装安全防护，今天防病毒，明天防入侵，不断往里面加很多的东西，一旦形成桌面云，就是想桌面应该是放在数据中心的，前面尽可能是一种安全的访问架构，这种安全的访问架构意味着前台的东西就变成了类似于受客户机一切软件装到你的传统笔记本、台式机上，然后直接访问后台，尽可能不让你前台能够拿到这些数据，你可以看，但是你没办法把它拷走，把它复制，然后把它刻成光盘，把它从网络上传走，等等都不可以做。
但是你一旦做成这些架构之后，比如早晨上班，所有员工登陆这些系统，所有机器开始几点钟指定做病毒扫描，会不会造成整个桌面的灾难。这些方面怎么解决？如果我们还是在玩传统警察抓小偷的游戏，那我们今天的社会治安肯定就会变得更为糟糕。#p#
我们今天所有的防病毒、防入侵很多机制是怎么样来做的，我们说这台PC怎么样保证安全，我要装一个防病毒软件，防病毒软件是根据一些字节、特征来进行不断的扫描，任何数据进来之后，确保没有问题。一旦有病毒就要怎么样跟这个病毒进行打架。这就类似于传统的我们警察看到一个小偷怎么办。警察看到小偷，警察就拼命去追，看警察是不是能追上。如果警察追上了，小偷倒霉被抓了，如果警察追不上，小偷就跑了。我们今天防病毒、防入侵很多机制都是类似的概念。如果我们不去改变这种概念，我们今天整个架构就是可怕的。就像我们今天的社会，如果仅仅说警察跟小偷之间看谁跑得快，我相信大多数的小偷都跑得比警察快，我们警察肯定追不上。但是我们知道警察为什么能够抓到小偷，小偷一般都没有枪，警察配枪。警察有各种先进的装备，我们做防病毒、防入侵的时候，是不是也应该给这些模块赋予更高的一些策略和机制，让它这些先进的配备跟病毒进行战斗的时候，它胜出的机率更高，否则的话这个系统可以想像它的安全不安全，纯粹只能靠大家烧香烧的及时不及时，如果烧的不及时就不安全。
当然在服务器这一端，我们也有很多问题需要解决，我们要在上面不断加模块，因为这些安全的机制还是要放在后台，桌面有一个很重要的特点，就是我们桌面都飘到后台去了，它的操作系统和数据都在后端，这些数据如何有效保护，在服务器端也要做很多这样的工作。
如何解决这个问题？我们都知道云计算有很多的好处，我们有很多计费上一些优惠，我们有很多管理上的便利性，可以让IT真正进行产业化，或者工业化。云计算让整个IT变得工业化或者产业化。我不知道大家有没有想过一件事情，如果用今天IT这种销售机制去卖汽车的话，今天你要买汽车应该是一个什么样的概念。你应该找一家厂商，买到了一个轮胎，那边买到一个发动机，在那家厂商买到一个汽车的车盖，那家买到一个车灯，回家找一个集成商把所有东西装起来，然后往路上一跑，原先发动机厂商告诉我这个汽车可以跑每小时200公里，我到外面一开只能开20公里，这个汽车怎么有问题，我们应该找一个汽车的调优师，就是我们一些专业人士来调一下，这个汽车总算上路了。哪天又开不动了，发动机厂商告诉你这跟发动机没有问题，我们发动机好，我们轮胎是好的，没有问题。如果今天汽车还处于这样一个阶段，我们汽车能卖多少。
今天云计算彻底改变这种架构，让IT真正变成产业化，类似汽车这种模式。不应该考虑这些复杂的管理的问题，复杂的集成的问题，组装的问题，这一系列的东西不需要你太多的关注，你更多的类似一个自助服务。云带来这么多的好处，类似我们去买汽车、买房一样，应该是全装修的，它是一个交钥匙工程。
有这么多的好处，但是我们也看到了很多今天去担心的一些问题，如果不能满足这些方面的问题，就成了一个很追求的挑战，可能这个云根本走不下去。其中会看到安全可能是重中之重。说到云的安全，我们后面会看架构，但是其中有一点大家也要记住，我觉得云的安全实际上有很多是跟法律法规，然后跟大家传统的理念直接相关。大家可以想一下，如果我们回到200年前或者300年前，大家那时候有了钱是放在什么地方，半夜睡觉，放在枕头下面，在家里挖一个坑，找个罐子把钱埋在地下，大家觉得最安全。我不知道今天还有谁把自己家的钞票这样放的，可能我们偶尔会看到几个个案，有一些贪官是这样放的，但是大多数正常的人都会把自己的钱放到银行，可能大家最后看到的是一串数字。我们之所以把钱敢放到银行，因为我们知道放在里面能取得出来，我们放在银行里面，银行里面有各种各样的保障机制，不会倒闭，并且这个银行也不会把我们的一些信息透露出去。就像我们今天说到云一样，这些都需要一个慢慢的健全体系去保障。我们接下来要讲怎么样确保银行的安全。这是从架构上，法律的问题还是留给法律工作者去考虑，不是我们今天讨论的重要范围。
其中很重要的一点，我们从架构上，力所能及的范围之内如何设计云的体系，它可以让大家放心，大家把自己的应用放在那儿，不会有安全隐患的云架构。
首先，看到云的一个重要的特性是我们要构建安全的一个模块，没有这个模块的话，云对企业带来很多的优势我们都不敢去享受，因为有安全的挑战。如何去做？把安全做成安全的虚拟机，这意味着我们不需要在每一个应用上面，或者每一个虚拟机里面都具有安全的模块，这应该有专门的人负责。就像银行一样，有很多部门，每个部门不可能都有自己的安全员去做专业的事情，而是我们在整个系统设计，有一个专门安全部门去管理，确保它的安全。
第二，我们要在虚拟化层，hypervisor以及上面的管理层如何确保它的安全，这块的安全性是从整个虚拟化的架构、资源池架构上去实现，我们如何构建一些可信任的区域，然后急于策略的构建整个模块化，使这个架构实现整个外部云、内部云，以及混合云的结构。
我们做这个架构的时候，不是VMware成为了一个专业的安全的厂商，然后把所有安全厂商生意都抢过来，然后VMware去替代，这是不可以的，因为有很多专业的安全的厂商，他们积累了那么多的经验，我们应该把接口开放出来，他们基于这个去开发，实现云的自动化，我们也应该整个虚拟数据中心的级别实现一些封装，实现一些混合云的安全，当然我们最终的目的是让这个云更安全，同时又不能够搞的特别复杂。特复杂的结果，就像刚才有人提的问题一样，可能会导致整个性能的损失，也是让我们无法忍受的。
有人说我想建一个百分之百安全的体系，有没有？如果从理论上讲绝对可以做到，只是投资你可不可以接受。如果有无穷多的钱，我们把飞船送上月球都做到了，我们做这个安全可以做到，但是我们想到一个企业可用安全解决方案的时候，我们绝对不能用嫦娥奔月项目的思路去而想，那样设计的话，我想没有几个企业用得起，那不是我们今天要去真正产业化的东西。
有了这样一个基本思路之后，我们第一步应该做什么？怎么样把这些安全的设备、硬件的设备进行虚拟化。我们可以把所有物理资源进行整合，整合成资源池，对于服务器来说就是整合成群集。整合成群集之后，我们可以把这些安全的功能，一项一项的移到hypervisor里面去，移到虚拟化层上面去。我们原先放在应用这个层次上的一些安全的模块，或者放在服务器这个等级的，我们一项一项把它移到hypervisor里去，同时我们其他一些安全模组，防火墙，网关等等都可以往hypervisor层次去移。于是真正构建的是一个安全的云的计算平台，而不是在上面做很多安全的模块，应该去构建和谐社会，也可以说这是云计算里面的和谐社会，这是很的一支安全的力量。
同样在服务器这一层也要做类似的事情，我们在接入层也可以把这些安全的模组都移到hypervisor里面去。我们原先用硬件去实现的一个一个模组，我们专门做了很多固定的硬件，这些硬件实际上今天都可以加到hypervisor这个层次里面去。原先需要很多计算，这个计算现在放到hypervisor里面去，谁来帮计算。hypervisor是装在PC服务器上，PC服务器负责去完成这个计算，用PC服务器的CPU去完成。当然很多人会说传统复杂的计算能力都放到这里，对服务器计算性能会有多大影响。VMware作出了hypervisor对整个服务器CPU都在10%之内，也就是我们把这么多安全、管理、资源池的模组放在里面，对性能的影响还是很小，我们到今天为止，看到虚拟化的应用，可以到99%点多，因此可能只有极个别特殊的情况做不到，但是在我们企业数据中心能看到的基本上接近百分之百都可以做到。#p#
在这个基础上，有了这样一个基础，我们把很多虚拟的安全模组都弄到hypervisor这个层次上之后，IaaS层次已经实现了可信的、安全的模组。上面还有云应用的平台，是做云应用开发的，云应用开发就意味着我们将来要面对的一些应用，不是今天的应用。今天现有的这些应用，我们怎么样牵上去，是今天的问题。将来的应用，我们要移到云平台上去，我们要开发基于云的应用，这时候我们要有云应用平台，在这个平台上我们如何保证，实际上就是SaaS的平台，都是设计企业级的应用，这些应用我们如何保证基于云开发。基于云开发好了之后，最上面是一些前端的客户端，客户端怎么样保证，从架构到应用到上面的客户端，每个层次我们应该怎么样保证安全，整个安全实际上是跨这三个层次，在每一个层次上都有相应的模组去完成。
比如我们在最上面的，可能我们有一些身份认证。在每个层次，我们能够确保它的安全，就意味着整个架构的安全，整个架构设计的安全。这是谁来提供？所有安全部件是VMware和我们共同合作伙伴提供，而不是VMware一家独大的其提供。VMware构建了一个云时代的IT的生态环境，这个生态环境可能跟我们传统IT有很大的差别，基本上大家探讨都是机遇的云的API，基于云上面的模组怎么样构建。VMware从虚拟服务器，到软件服务器，一起去构建，今天我们全球的合作伙伴数千家，大家共同打造一个让大家放心的安全的体系。
第一个阶段，怎么样让我们虚拟架构变得安全，也就意味着我们资源池构建时候的安全。就涉及到虚拟机，也有相应的客户端，可能有不同的一些应用，比如有桌面，有数据中心，有企业级应用云的，有桌面云，这其中VMware有一个很产品的发布，前不久刚刚结束，9月22日在美国拉斯维加斯发布的，是基于下一代，基于动态架构、云架构的安全模块，让大家能够更好的让各个厂商基于这个平台开发它的安全的一些模组，动态的满足云计算的需求。它首先可以形成安全的虚拟机，专门由安全构建。在这之上进行应用的安全，进行客户端安全的一些规划，这个客户端的安全意味着我们桌面这一级的安全。传统的来说，这个桌面一级，现在我们用这个模组，可以配上枪，配上直升机等等一些先进的武器，确保我们终端的安全。
同时我们在上面这个层次也加了很多安全的一些模组，我们在边缘这一块有一个VMsafe，是基于每一个VDC，都会受到它进行保障，它会建一个一个的VDC，就类似于我们针对每一个部门或者每一个应用来形成的虚拟的数据中心，不是整个大的数据中心，数据中心里面可以形成很多虚拟的数据中心。从而能够构成一个安全的模组，形成一些安全的边界。同时有一个vShield管理者统一管理，同时vShield管理者还可以和我刚才提到的集成在一起，然后进行有效管控，这个安全模组不需要单独或者独立于整个架构体系之外的一个系统去管理，跟它完全融合在一起，然后管理起来更为方便。从整个架构角度来说，通过这样几个模组把虚拟架构形成一个安全的虚拟架构。
通过vShield zones，我们还可以去创建授信的区域或者授信分区，授信分区可以基于你的虚拟机，也可以基于你的操作系统或者应用，也可以基于其他更多一些资源，根据你的需要，整个VDC也可以形成整个授信的区域，这些授信的区域就可以进一步的帮助你更灵活配制这些云资源更安全。配制好了以后，可以随着资源动态调整进行有效流动，来确保这些安全的策略不会固化到某一个硬件端口，或者受某一个硬件资源的限制而限制了云里面资源动态调度的能力。这些从虚拟机到虚拟的应用，到虚拟的VDC，到客户可以根据需要自己进行定制化，然后形成一个安全的管理和机制。
整个都是基于策略的，形成一个安全的框架架构。下面有这些安全的加强模块，从FW到VPN到LB等等，DLP，全部基于策略去实现。在这之上我们会加上相应安全的管理组件，可以基于策略的动态去管理，管理这些授信分区，当然也会提供API给我们合作伙伴，这些合作伙伴可以开发他们相应的模组。
说要API，有很多API比如今天我们用亚马逊，用谷歌，发觉一个应用如果今天能放到谷歌上，下一段时间想移到亚马逊上去，把应用直接拷贝过去，是不是就可以用了呢？实际上发觉不是，因为他们提供的API接口不一样。我前一段时间去参加上海市整个云计算项目的规划，上海云海战略一些课题研究的时候，他们也提到上海应该形成这样一个云的标准，今天国内一些厂商也看到每家都在做一些标准，这家作出的云的API有20个，那边作出有100个，那边作出有80个，各家都不一样。实际上这就会导致我们将来没有形成统一标准的话，我们应用就无所适从，我们移到另外一个平台都会受到挑战。 我们提到一些API，已经递交DMTF，相信今年下半年或者明年应该就会成为整个业界的标准，也就是说我们除了在推动这一块之外，提供给你API，我们是提交了一个业界功用的API标准，让我们在用的时候，这些安全厂商没有后顾之忧。
我们在VMware发布的vShield上提供一系列的产品，vShield Edge是构建安全的边缘，vShield App是基于虚拟机里面的应用，也是基于虚拟化这样一个单位去做安全；vShield Endpoint进行安全扫描等等。通过这个我们可以实现一些私有云的架构，从而确保我们实现端到端云的安全
vShield Endpoint和我们业界所有安全厂商一起协作，我们提供一个类似界面，一个接口，大家可以在这个基础上把他们的东西装到安全的虚机里先去，这个安全的虚拟机是在每一个服务器上只要装一个，这个服务器上面可能装了30个虚拟机，不需要在每一个机器里面单独的安装防病毒、防入侵引擎，只需要在这个里面进行安装。这个安装好了之后，从hypervisor监控上面的所有数据流的安全，所有病毒的扫描，所有来避免任何恶意的一些攻击。
当然通过这种方式，这不仅适用于内部云，也适用于外部云和混合云。和哪种云的架构没有关系，因为是在一个服务器上面，无论哪种云可能都需要这种资源区构建。有了VMsafe zone，通过它可以把这些安全的策略，跟着虚拟机去做迁移，这些虚拟机迁移的过程当中，安全的策略没有被破坏，我们不需要重新设计，从而形成一个安全策略跟着虚拟机的动态迁移进行迁移，然后形成一个动态的、可控的、可管理的，基于策略的安全的策略，来满足云计算的需求。
我们在vShield Edge，形成在VDC这样一个级别，不是在某一个服务器上去确保它的一些安全策略的构建，它的整个思路基本上形成一些资源池，端口组，这是怎么样形成一个VDC，创建好了这个VDC之后，就会启动一些服务，这就是vShield Edge，在这里面从内部到外部，形成各种各样的服务，这些服务都是原先我们在很多硬件上要去实现的，现在都是在hypervisor层次实现，可以看到有net，甚至有负载均衡。我们这个VDC取了一个名字叫做Org VDC，在里面创建它的一些安全的应用，有了这些应用之后，我们可以对vShield Edge进行应用保护，构建授信区，在授信区里面装vShield App，在这里面干各种各样的事情，包括安全访问控制等共享的服务，在共享服务基础上创建内部的授信区，形成一些内部网络，同时把这些虚拟机变成虚拟的应用，通过vShield App形成它的整个安全的架构。
也就是说整个VDC的构建，变成可能我只需要几分钟的时间就可以完成，也就意味着通过这种方式去构建一个很安全、很可靠的一个内部云的组件也变得相当的方便，再也不需要传统的方式带来的这儿要去定制，那儿要做很多集成的工作，这些过程都可以通过vShield这个家族去实现，而整个创建过程，实际上里面很多步骤。
通过这样一个模组VDC，有了这个VDC，比如企业数据中心的VDC，企业桌面的VDC，因为他们API，他们的接口是完全兼容的，意味着他们可以讲同一种语言，中间就不需要做任何的翻译，意味着将来我们去做内部云和外部云之间协同的时候，或者联邦的时候，这之间就更方便。这个基础都是在这里一同去构建的。同时看到安全模组可以跨内部云和外部云，来形成一个联邦，不仅仅说我架构怎么来建，安全的架构也是跟随这样一个体系去构建的。从VMware角度来说，云是一个旅程，云不是一蹴而就，也就是说你会让天下一场雨不是那么简单的，你会看到天上的云是慢慢增多，然后乌云密布，然后怎么样在其中加一点催化剂，有时候实在不下雨，我们只好在里面搞一点人工降雨，慢慢的形成雨，雨往往刚开始慢慢下，然后越下越大，最后形成大到暴雨的过程，云也一样，云往往也是在企业里面某一块，比如某一个应用，某一个部门先形成云，然后在这个基础上积累经验，慢慢扩展到其他一些应用，从边缘应用到核心应用，到我们可能原先一直认为这些应用太关键，我们真的不敢往云上放，到后来我们大胆可以放到上面的这些应用，包括今天我们看到不仅仅国外的用户，国内很多用户已经把他们的SAT等等这些应用都放到上面来，而在云上的安全也是一个旅程。我们首先会形成积攒这些安全的模组，在构建一个小的云架构的时候，我们去实践这种安全，再去考验这种安全，再去积累安全的一些经验，然后我们逐渐构建一些授信的区域，可能我们只建一个区域的时候无所谓授信不授信，如果我们构建很多的时候就会涉及到这一点。当然我们慢慢的也会从我们的内部云而扩展到内部云，内外部云之间协同的时候，安全怎么样有效的协同，构建的是一个"安全的混合云"，安全的混合云最后是我们实现的一个终极目标。这可能根据不同的企业，每一个阶段需要停留的时间，需要学习的时间不一样，但是任何的企业应该都是沿着这个步骤一步步走下去，绝对不是一日之间，昨天是一个传统的架构，今天就变成了一个安全混合云的架构，这是绝对做不到的。#p#
这中间大家怎么样一步步走好这个路程，VMware在这里会一直支持中国的一些用户往这方向去走。我们不仅仅在美国有庞大的研发体系，在中国，特别是在清华科技园，我们有很多清华的、北大的，有很多北邮电的，很多很聪明、很智慧的毕业生，都去构建这一块的安全体系。我们今天在清华科技园的研发人员已经超过300人。2007年下半年我们开始招第一个人，到今天有300人，每年校园宣讲也在吸引全国各高校人才来加入这个团队，我们同时也在做一些核心的开发，包括安全，包括云计算，包括虚拟桌面等等，这一切都给中国客户足够的信心，你在部署和实施的不是一个遥不可及开发出来的产品，我们在北京有我们的售后支持团队，同时也有我们的研发团队，来保证用户从简单的今天的数据中心架构，转变成安全的最终的混合云的架构的旅程，一路平安和顺利。谢谢！
提问：我有两个问题，第一个问题，您讲云计算的时候，举了一个银行的例子。到云计算里面我存的是信息，和银行不一样，您把银行的例子用到信息例子里面，应该会有一点变化。
张振伦：第一个问题是把很多钱放在银行，大家是通用的一种东西，然后我把我的数据放到数据中心的时候，放到一个外部云的时候，这其中涉及到我的数据可能是不一样的，对各个人的需求是不一样的。这之间的比喻有类似之处，如果看银行另外一个业务，就跟银行的保险柜一样，可能放在保险柜里的东西不一样，有的放一张纸，有的放公司机密，有的放可口可乐的配方，这些机密放在银行保险柜里锁着的，如果看银行这一点业务，跟云计算有某种程度的类似，这中间绝对不是完全可以去比的，因为这之间毕竟有很多东西是不一样的。但是有一点是一样的，就是大家一定要有一个相应的法规来确保。如果东西放到银行，一旦银行出了问题，银行应该有什么法律责任。如果把这个东西放到数据中心，一旦出了问题，数据中心应该有什么样的责任，这中间应该有什么样的条条框框，我可以做一些调查，有什么样的法律来确保。
这为什么说你会看到在欧美一些国家，我们都知道IT外包，这个IT环境建好了，可能在我这儿，但是上班的人都是外面的人，不是我公司自己的人，但是这种模式在欧美很流行。大家可能都知道EDS公司，在欧美和台湾做的很成功，然后到大陆来做得就很不成功，前几年它已经退出，基本上在大陆撤出。最后我问他们，他们在我们宝岛台湾做的业绩是我们大陆好多倍。为什么台湾都可以做到，大家都是中国人，都是炎黄子孙，这中间就是一些法律法规的差异，绝对不是我们技能上有什么差异，相信我们技能是很容易做到的。
第二个问题，我刚才听了下午第一场VMware做的报告，我们从端到虚拟机，到应用都做了相关的安全产品，通过您的演讲，我觉得产品很有吸引力。但是我感觉我们把传统网络安全的产品做到虚拟化的时候，就把网络层所有的安全手段放在hypervisor里，但是可能我认为虚拟化机器和物理机器不一样，hypervisor本来应该做得小一点，做得更可信一点，但是如果把所有的放到hypervisor里面去以后，变得更复杂，整个对于虚拟化来说不见得是一件好事。我认为虚拟化最重要的是，跟物理机器之间的关系，它的物理界限消除了，所以可能更关心虚拟化之后的服务之间的用户的隔离，现在VMware安全架构能够适应这种虚拟的吗？
张振伦：您说的第二个问题，hypervisor在逐渐往里面加很多东西的时候，怎么样确保hypervisor也是授信的，而且是一个可靠的组件。可以从两个方面去看：1、你会看到原先传统的hypervisor，有很多装过的人说你们的hypervisor就是一个Linux。后来大家看到我们ESX又出了一个新的版本叫做ESXI，它只变成了几十兆的东西。今天几十兆的东西，一个hypervisor可以做到几十兆，它的代码量急剧的压缩，它真正成为一个瘦的hypervisor。到今天只有VMware hypervisor做到几十兆，同时我们在这里添加所有东西的时候，都没有把所有的接口，所有的东西公布成谁都可以往里面加。在我们网站上提供很多东西，这个层次的hypervisor今天都是提供给谁，提供给一些大的软件开发商，其中通过一些保密协议去确保。类似于今天看到英特尔它的CPU逐渐加剧很多功能，这个CPU也逐渐变得复杂。但是到今天为止我们看到都是在受控范围之内，我们并没有把这个层次变成一个像OS层次，变成一个让大家觉得安全上不授信的一个体系。所以我觉得在今天这个阶段，看上去可能还没有问题。当然很多时候我们再去加的时候，是不是我们所有的都加在hypervisor里面，可以看到另外一个重要的趋势，为什么讲VM，实际上很多东西是加在VM里面，hypervisor只是加了一些简单的调用在里面，一些文件在里面，而很多计算能力是在VM里面，这样能确保我在hypervisor这个层次加的代码尽可能的少，而使它的架构不至于变成传统OS模式，今天我们看到的趋势也是很好的趋势，我们没看到这个变得越来越庞大，或者变得越来越不可控。
【编辑推荐】
