Gartner：向私有云过渡须升级安全策略

Gartner表示，从虚拟化数据中心向私有云计算基础架构的过渡必须有升级的安全性提供保障。虽然信息安全的基本原则保持不变，但企业部署和交付安全服务的方式必须有所改变。Gartner预测，到2015年，企业数据中心所使用的安全管控措施中将会有40%是虚拟化的，而2010年还不足5%。

"对于大多数企业，虚拟化将为向私有云计算的演化奠定基础。" Gartner的副总裁和著名分析师Thomas Bittman称，"然而，安全需求是不容忽视的，也不能等到转向私有云之后再对其进行加强。"

Bittman解释说，不管是保护物理数据中心、虚拟化数据中心还是私有云，信息安全基本原则都是不会改变的–确保我们信息和工作负载的保密性、完整性、认证、访问和审核。但未来，交付安全的方式就会有显著变化。无论是支持私有云计算、公共云计算亦或是两者兼而有之，安全都必须适应于这样一种模式–工作负载与底层物理硬件分离开来，并自动分配到一个计算资源结构。

Gartner副总裁和研究员Neil MacDonald表示，与物理属性(如服务器、IP地址、MAC地址或其他用于提供隔离的物理主机分离地址)相关的策略，都会随着私有云计算的发展瓦解。对于大多数企业机构，安全控制的虚拟化将为私有云计算架构的安全提供基础，但仅靠它，还不足以创建一个安全的私有云。

为了支持安全的私有云计算，其必须包括以下几个特性：它必须是私有云结构中一个完整但可独立配置的部分，可设计成一组按需、弹性且可程序化的服务项目，还可利用与逻辑属性紧密关联的策略进行配置，以用于创建自适应信任区间来分离多租户。根据Macdonald所解释的，私有云安全框架必须具备以下六种特性：

一组按需且具有弹性的服务项目

安全特性应该是一组按需交付、用于保护工作负载和信息的服务，而不是作为内嵌与物理设备的单机安全产品。这些服务项目需要集成到私有云的供应和管理流程中，提供给任何类型的工作负载–服务器或台式机。随着工作负载的分配、移动、修改、复制及最终的撤销，适当的安全策略将贯穿于它的整个生命周期。

可编程的架构

提供安全服务的安全架构必须是"可编程的"–也就是说，这些服务项目对于编程访问是开放的。根据定义，私有云和公共云计算架构是用户基于互联网标准使用的。对于可编程的安全架构，这些服务项目通常是使用RESTful API开放的，它们是编程语言和独立框架。从策略管理和决策点来看，通过API提供安全服务项目，安全策略执行点架构变得可编程。这样的转变使得信息网络专家可以专注在管理策略，而不是编程架构上。

基于逻辑而不是物理属性的策略，可以将运行环境纳入到实时安全决策

安全策略具有自动配置可编程基础架构的特性，这些策略也需要改变。随着企业转向虚拟化数据中心，之后再转向私有云架构，安全策略将更多地与逻辑(而不是物理)属性相关联。对整个IT堆栈进行解耦和提取，继而迁移至私有云和公共云计算模式，这意味着工作负载和信息都不再局限于特定的设备、固定的IP或MAC地址，这也打破了基于物理属性的静态安全策略。为了更快速和精确的判断所给指令是否应该执行或拒绝，就必须在安全决策制定时纳入更多的实时环境信息。

自适应信任区间能够高可信的分离不同的信任级别

为代替VM (虚拟机)-by-VM基准的管理安全策略，基于逻辑属性的安全策略将用于建立信任区间–具有类似安全要求和信任级别的工作负载逻辑组。由于策略关联于成群的虚拟机，而不和物理架构关联，所以不管是移动单个虚拟机，还是在信任区间引入和分配新工作负载，这些区间都会适用于虚拟机的整个生命周期。私有云架构需要安全服务，并作为核心能力提供不同信任级别工作量的高可信分离。Gartner预计，到2015年，将有 70%的企业允许不同信任级别的服务器工作负载在数据中心内共享相同的物理硬件，除非监管或审计法规明确禁止的地方。

分离的可配置安全策略管理和控制

安全是不能被削弱的，因为它是虚拟化且被纳入到云计算架构中。正如当今的物理基础架构和虚拟化基础架构一样，在私有云架构中需要强制执行IT运营与安全之间职责和关注的分离。这种分离发生在多个层面上。如果软件控制实现了虚拟化，我们则不能失去在现实世界的职责分离。这需要虚拟化和私有云计算平台的供应商能够将安全策略信息和安全虚拟机操作，从管理策略信息和其他数据中心虚拟机的操作中区分开来。

"可联合的"安全策略和认证

私有云是渐进式部署的，而不是一次性的全部部署完。数据中心只有一小部分被被转换为私有云模型。理想的情况下，私有云安全架构将能够与其他数据中心安全基础架构架构交换、共享策略，部署在跨物理和虚拟架构的安全控制能够智能协同进行工作负载检查。而且，在一定的前提下，旨在保护工作负载的安全策略也可作作为面向公共云提供商进行联合的理想选择。虽然目前并没有对此建立确定的标准，但VMware vCloud API是一个起点，还有分布式管理工作小组(DMTF)正在拓展开放虚拟化格式(OVF)来明确安全策略。