云計算的下半場(chǎng)：云原生計算

隨著(zhù)的日益普及，企業(yè)上云已經(jīng)成為必然的趨勢。Gartner曾做出一個(gè)預測：在2020年前，50%的企業(yè)將業(yè)務(wù)工作流放到本地需要作為異常事件進(jìn)行審批，公司“無(wú)云”的策略會(huì )和現在“無(wú)網(wǎng)絡(luò )”的策略一樣少?？梢?jiàn)，云計算將成為企業(yè)各項應用 必不可少的服務(wù)平臺和基礎設施，那么討論網(wǎng)絡(luò )安全怎么做，就必須要考慮面向云計算的網(wǎng)絡(luò )安全怎么做，例如虛擬網(wǎng)絡(luò )隔離、東西向的入侵檢測，等等。

云計算與各行各業(yè)的IT基礎設施進(jìn)一步融合，云或是基礎或為組件。例如，5G、邊緣計算和工 業(yè)互聯(lián)網(wǎng)，都需要云計算技術(shù)構建云化的基礎設施 或編排平臺，那么這些新型系統的基礎設施安全，本質(zhì)上就是云計算IaaS/PaaS/CaaS的安全；此外， 如欺騙技術(shù)、靶場(chǎng)技術(shù)等新的網(wǎng)絡(luò )安全機制，或多或少地使用了虛擬化、容器等技術(shù)，因而，這些與云計算技術(shù)融合后，就形成了新的、普適的安全技術(shù)，即“just security”。

一方面，云化的基礎設施和平臺需要安全防護，用傳統安全手段賦能云計算；另一方面，云計算的各種新技術(shù)、新理念（如軟件定義、虛擬化、容器、編排和微服務(wù)等），也在深刻變革著(zhù)當前的安全技術(shù)發(fā)展路線(xiàn)。因而，未來(lái)的，一定會(huì )將“云” 這個(gè)定語(yǔ)去除，云安全等價(jià)于安全本身，即安全技術(shù)必然覆蓋云計算場(chǎng)景，安全技術(shù)必然利用云計算技術(shù)。

云原生計算

如很多其他新技術(shù)一樣，云計算起源于美國，但千萬(wàn)不能照搬美國的云計算發(fā)展過(guò)程到國內，復制一套相似的產(chǎn)品。事實(shí)上，在云計算的上半場(chǎng)，即從云計算誕生至今，中美兩國走了兩條不同的發(fā)展路線(xiàn)，這與兩國的各自國情是有密切關(guān)系的。

具體而言，美國的云計算發(fā)展路線(xiàn)是先 SaaS（Software as a Service，軟件即服務(wù)）后IaaS（Infrastructure as a Service，基礎設施即服務(wù)）。SaaS是最早的云計算服務(wù)形態(tài)。早在1999年，甲骨文前執行官貝尼奧夫就創(chuàng )辦了Salesforce，這是當前最大的客戶(hù)關(guān)系管理（CRM）SaaS服務(wù)提供商。經(jīng)過(guò)20年的發(fā)展，美國的SaaS服務(wù)已經(jīng)深入企業(yè)的具體業(yè)務(wù)，平均每個(gè)企業(yè)會(huì )用到1427個(gè)云服務(wù)，平均每名員工會(huì )用到36個(gè)云服務(wù)。SaaS的安全防護主要是以云端接入安全代理為主，因而國外的安全代理市場(chǎng)巨大，但其挑戰在于需要適配大量SaaS服務(wù)，所以這個(gè)市場(chǎng)的玩家目前主要是Skyhigh、Netskope等巨頭。

近幾年來(lái)，隨著(zhù)企業(yè)進(jìn)一步將業(yè)務(wù)云化，特別是將IT基礎設施替換為IaaS服務(wù)中的虛擬計算資源，通過(guò)軟件定義廣域網(wǎng)（SDWAN）連接分支結構、云端資源，形成全棧云化、全分支機構云化的趨勢。此時(shí)，雖然 IaaS 整體營(yíng)收還遠不及SaaS，但其增長(cháng)率激增，2019年的公有IaaS服務(wù)增長(cháng)率達到了37.3%，遠超云服務(wù)的總體增長(cháng)率17.5%。如亞馬遜云服務(wù)這樣的公有IaaS，其安全防護主要是利用亞馬遜（AWS）提供的各類(lèi)接口，在虛擬網(wǎng)絡(luò )、虛擬機層面提供網(wǎng)絡(luò )和終端防護，Gartner把虛擬機層面的安全防護技術(shù)稱(chēng)為云工作負載保護平臺。

中國的云計算發(fā)展是從虛擬化起步，從私有云到公有行業(yè)云，走出了一條具有中國特色的發(fā)展路線(xiàn)。里程碑是開(kāi)源的IaaS 項目 OpenStack 在國內 興起，國內廠(chǎng)商（如華為、華三、EasyStack 等企業(yè)）基于OpenStack研發(fā)了各自的云平臺，此時(shí)國 內的云計算需求主要是將硬件服務(wù)器虛擬化，再加入多租戶(hù)管理、網(wǎng)絡(luò )隔離等需求，因而，多數云計算服務(wù)商提供的是私有云的解決方案。通常商用私有云系統是封閉的，缺乏對網(wǎng)絡(luò )流量按需控制的應用接口，因而，針對這類(lèi)私有云的安全機制多為安 全資源池，通過(guò)路由、VLAN或開(kāi)放網(wǎng)絡(luò )接口將流量牽引到資源池進(jìn)行處理。隨著(zhù)節約成本、集約化管理和提供增值服務(wù)等需求的進(jìn)一步增強，具有云平臺開(kāi)發(fā)能力的服務(wù)商基于前述的私有云平臺，提供了公有IaaS的服務(wù)。然而，這種公有IaaS 服務(wù)與AWS、阿里云不太一樣，它們具有鮮明的行業(yè)特性。例如，為政府提供的政務(wù)云，將所有政府下屬機構的服務(wù)器遷移到新的云平臺上，提供政務(wù)相關(guān)的服務(wù)。這樣的公有IaaS服務(wù)，本質(zhì)上還是前述的OpenStack系的系統，其封裝了自服務(wù)功能，并提供行業(yè)相關(guān)的合規服務(wù)和增值服務(wù)，因而其安全防護技術(shù)也可以基于安全資源池之上，提供面向租戶(hù)的安全即服務(wù)（Security as a Service）。

但總體而言，這樣的上云實(shí)踐只是“形”上的改變，還遠沒(méi)有到“神”上的變化。過(guò)去兩年的行業(yè)發(fā)展表明，無(wú)論是中國還是美國，云計算的新增長(cháng)點(diǎn)已經(jīng)都轉向云原生相關(guān)的領(lǐng)域，如容器即服務(wù)（Containers as a Service，CaaS）、編排技術(shù)、微服務(wù)、DevOps等，至此云計算進(jìn)入下半場(chǎng)，其驅動(dòng)力無(wú)外乎以下兩方面：

1. 應用快速交付和開(kāi)發(fā)運營(yíng)一體化。DevOps的開(kāi)發(fā)運營(yíng)模式已經(jīng)深入人心，由開(kāi)發(fā)團隊驅動(dòng)的容器化部署、應用編排等，事實(shí)上提出了新型的云交付模式。

2. 新型IT基礎設施部署。如5G、工業(yè)互聯(lián)網(wǎng)和邊緣計算場(chǎng)景下，資源受限，有資源虛擬化等需求，大量使用了容器、編排和微服務(wù)等技術(shù)，也使得云原生應用未來(lái)可期。

云原生相關(guān)的技術(shù)棧在過(guò)去3~5年中得到了快速發(fā)展，以Docker、Kubernetes、Istio為代表的容器運行時(shí)、編排系統、服務(wù)網(wǎng)格已經(jīng)成為事實(shí)上的標準，而API網(wǎng)關(guān)、無(wú)服務(wù)框架也在快速演進(jìn)中?？梢灶A計，未來(lái)5年內，云原生相關(guān)的技術(shù)會(huì )在互 聯(lián)網(wǎng)企業(yè)、金融、運營(yíng)商等行業(yè)得到大量應用。因此，云原生就是云計算的下半場(chǎng)，誰(shuí)贏(yíng)得云原生的賽道，誰(shuí)才真正贏(yíng)得了云計算。