本文轉載自微信公眾號「匠心獨運維妙維效」，作者金鑫。轉載本文請聯系匠心獨運維妙維效公眾號。

引言

2018年國家工信部印發《推動企業上云實施指南(2018-2020年)》的通知中，明確指出：“到2020年，力爭實現企業上云環境進一步優化，行業企業上云意識和積極性明顯提高，上云比例和應用深度顯著提升，云計算在企業生產、經營、管理中的應用廣泛普及，全國新增上云企業100萬家，形成典型標桿應用案例100個以上，形成一批有影響力、帶動力的云平臺和企業上云體驗中心。”由此可見，企業上云已上升為國家政策。

G行從2012年開始積極探索云計算前沿技術，歷經多年的持續建設，建立了貫穿基礎設施、技術中臺、業務平臺多層次的安沃云工程體系。從最初面向資源敏捷的私有云階段(IaaS)，到面向技術賦能的平臺云階段(PaaS)，再到如今面向安全可控、業務使能的全棧云階段(IaaS + CaaS + PaaS + SaaS)，“應用上云”始終是G行的重點研究方向。作為G行123+N數字化銀行發展體系中基礎技術平臺的云計算平臺，全棧云平臺于2021年正式投產運行，下面本文將著重結合全棧云的上云規劃和上云設計，分享下G行應用上云的理論方法和實踐經驗。

一. 應用上云總體規劃思路

G行從上云原則、上云設計和上云執行三個層級展開應用上全棧云的總體規劃設計，其中上云原則主要指企業在開展應用上云工作前為實現應用上云目標而制定的一系列指導性策略意見，上云設計是指圍繞上云原則設計的全量可落地執行的上云指導方案，上云執行是指遵照上云指導方案圍繞應用上云開展的一系列生產行為活動。總而言之，上云原則用于指導應用上云的總體規劃，上云設計用于指導應上云的方案制定，上云執行用于支撐上云原則及上云設計的最終執行落地。

圖1 應用上云規劃體系

二. 上云原則

G行從自身業務發展戰略出發，通過制定務實的上云目標、選取合理的上云策略和分析多維的上云視角，從而推導出現階段應用上云的總體指導性原則。

1所有應用類系統“應上盡上”全棧云

原則上所有應用類系統都要上全棧云，并優先使用容器化上云方式。針對不能上云的業務系統要一事一議，分析不能上云的原因，如果是全棧云平臺支持能力、兼容性等導致不能上云，可以單獨備案，如果是應用系統自身的問題，需要進行相應的改造之后上云。

2不允許自建全棧云已有的服務能力

全棧云平臺提供種類豐富、規格多樣的IaaS及PaaS類云服務，應用類系統在上云的過程中應該優先調用全棧云平臺提供的云服務能力，原則上不允許自建相關組件，如安全、備份、容災、關系型數據庫、容器等，若全棧云平臺無法提供業務系統所需要服務能力，允許備案后自建。

3按需申請全棧云資源

應用類系統在申請全棧云的服務資源時，應遵循“最小規格、按需使用”的基本原則，根據業務系統所處理的業務量、用戶數、并發用戶數等因素綜合考慮，合理申請資源的規格和數量。

三. 上云設計

1開展上云調研

對于新建系統上云，調研重點在于應用架構設計和服務能力需求。應用在架構設計及研發過程中，應與全棧云平臺架構適配，并充分利用其提供的云服務能力，避免出現上層應用與底層平臺架構不適配或平臺能力重復建設。

對于存量系統上云，需對存量系統現狀做全面的分析和收集，從業務需求出發，分析應用系統上云的必要性、可行性和難易度，包括系統現狀調研、架構、資源梳理等，具體流程可參照下圖。首先，評估系統遷移是否符合監管要求，并確認是否存在相關的技術架構要求，以及該要求能否被滿足;其次，應考慮系統遷移的難度、時間、成本以及資源需求(包括計算、網絡、存儲、安全和運維等);最后，綜合考慮應用系統的架構、流程、邊界、資源和非功能來制定遷移策略和方案。

圖2 上云調研流程圖

2識別關鍵技術變化

圖3 傳統環境與全棧云環境對比圖

全棧云體系下的云服務，無論是產品特性或者使用方法，都與現有平臺存在極大差別，導致傳統的應用上云解決方案無法適用于全棧云場景，這對適應并習慣了傳統上云解決方案的開發和運維人員提出了極大的用云挑戰。具體差異體現以下幾方面：

2.1大二層網絡VS三層網絡

G行目前采用標準的兩地三中心災備體系架構，傳統網絡通過DCI Overlay封裝技術將同城兩個物理數據中心二層拉通整合為一個邏輯數據中心，業務可以實現跨中心同網段部署。而全棧云體系下，各數據中心的網絡架構相互獨立，通過云匯聚交換機實現數據中心間的三層互聯，即不同數據中心內部署的應用實例不再處于同一網段，這一變化直接導致浮動IP實現跨中心主備切換、F5實現跨中心負載均衡等原有的技術解決方案失效。

2.2網絡安全域隔離VS虛擬私有云(VPC)隔離

G行目前主要通過劃分網絡安全域配合網絡安全控制策略及防火墻設施，實現全行網絡的安全防護，盡管跨網絡安全域的訪問請求由防火墻嚴格限制，但實際上不同網絡安全域之間地址相互可達。而全棧云采用虛擬私有云(VPC)實現系統間的隔離，由于VPC內的網絡地址為私有地址，與VPC外的地址間默認互不可達，因此不同VPC之間網絡天然隔離。

2.3物理網絡通信地址VS虛擬機私有網絡地址

G行的傳統網絡環境中，IP地址全部為真實物理地址，地址間通信無需進行復雜的地址轉換。全棧云上應用目前使用的云網絡主要為VPC私有網絡，同一VPC內的網絡地址默認相互可達，VPC內同VPC外的地址默認互不可達，通常只能通過EIP進行NAT轉換實現VPC內外的網絡地址通信。

2.4服務訪問使用IP地址VS服務訪問使用DNS域名

G行的傳統大二層網絡，支持使用跨中心的浮動IP地址或負載均衡IP地址實現統一入口訪問，因此傳統環境中應用更傾向于使用IP地址實現數據庫、緩存、批量等服務集成。而全棧云為三層網絡架構，各數據中心內的服務實例不再處于同一網段，因此大多數情況下必須使用DNS域名實現服務訪問的統一入口。

3上云方案設計

應用上云主要指應用系統運行所依賴的全部或部分資源載體(物理機、虛擬機、容器、基礎軟件、中間件、數據庫等)由云平臺供給、調度和管理。根據全棧云體系中的資源載體類型，可將應用上云的方式分為容器化上云、虛擬機上云、裸金屬(物理機)上云和混合上云，具體的上云設計方案說明如下：

3.1容器化上云

容器化上云是指將應用接入層(Web服務器)，應用邏輯層(即應用中間件層，包括JAVA環境、中間件、應用程序包)打包在容器中，通過云平臺進行自動化部署和發布。如果采用容器化上云方式，系統需實現本地持久化數據轉存，即業務邏輯和業務數據解耦，該系統所有的非結構化數據、緩存數據、結構化數據均不能位于本機或本地，應保存在共享存儲或數據庫中。

圖4 容器化上云示意圖

如上圖所示，代理服務層可用全棧云彈性負載均衡器對應現有環境的負載均衡器;應用服務層可用全棧云上的容器平臺部署一些體量較小、需要快速發布、彈性伸縮和故障自愈等功能的服務模塊，如Web服務、小程序服務等;應用運行依賴的中間件全部使用全棧云供給的中間件PaaS服務或云主機部署中間件;數據服務層可用全棧云上的分布式云數據庫或云主機部署數據庫軟件對應現有環境的數據庫;存儲服務層可用全棧云的塊存儲服務、對象存儲服務和文件存儲服務對應現有的集中式SAN存儲和NAS存儲。

3.2虛擬機上云

虛擬機上云是指由云平臺的虛擬化環境支撐業務系統的IT子系統(計算、存儲、網絡、負載均衡等)。如果新建應用采用虛擬機上云，應用代碼層面與傳統方式相比無差別。

圖5 虛擬機上云示意圖

如上圖所示，代理服務層可用全棧云彈性負載均衡器對應現有環境的負載均衡器;應用服務層可用全棧云上的云主機對應現有環境的虛擬機、物理機和小型機;數據服務層可用全棧云上的分布式云數據庫或云主機部署數據庫軟件對應現有環境的數據庫;存儲服務層可用全棧云的塊存儲服務、對象存儲服務、文件存儲服務代替現有的集中式SAN存儲和NAS存儲。

3.3裸金屬上云

裸金屬上云類似于虛擬化上云，通過全棧云平臺實現物理主機的自動發放，并支持自動化的網絡服務和硬盤管理(包括掛載、卸載和擴容)，主要應用于以下場景：

• 核心數據庫場景：部分客戶要求其關鍵的數據庫業務不能部署在虛擬機上，而是必須通過資源專享、網絡隔離、性能有保障的物理服務器承載。
• 高性能計算場景：超算中心、基因測序、圖形渲染等高性能計算場景，處理數據量大，對計算性能、穩定性、實時性等性能要求很高，無法承擔虛擬化帶來的性能損耗和超線程等影響。
• 安全和監管高要求場景：金融、證券等行業對業務部署的合規性要求，以及某些客戶對數據安全的苛刻要求，只能采用物理服務器部署，確保資源獨享、數據隔離和可監管可追溯。

3.4混合上云

混合上云是指業務系統采用上述兩種或兩種以上的上云方式上云，主要針對技術架構復雜且單一的上云模式無法滿足技術架構要求和業務發展需求的業務系統，可根據不同模塊的需求選取各自合適的上云模式，具體不再進行展開說明。

總結

應用上云是一項十分龐大且復雜的工作，并沒有所謂的通用解決方案能夠適配所有企業的上云需求，因此本文通過G行全棧云的上云規劃和上云設計內容，側重分享了G行關于應用上云的理論方法和實踐經驗，希望用一些共性的上云方法論，幫助各位讀者結合自身上云環境，形成最佳上云實踐。