3.2　技术架构规划设计

技术架构的规划设计大多通过信息化规划的方式获得，并通过持续改进的方式不断改进、完善。对于未开展信息化规划的企业，企业信息化技术架构或多或少存在这样或那样的缺失。因此，开展完整的技术架构规划设计对企业信息化全局发展是非常必要的。

3.2.1　技术架构总体框架

技术架构的多层级技术设施之间不仅存在复杂的功能与性能方面的支撑关系，随着信息技术的发展和信息技术产品的发展与演进，技术架构的内容和形式均有不同程度的变化。基于当今IT应用情况和主流企业信息化总体架构实践，企业信息化技术架构总体框架如图3-3所示。

企业信息化技术架构可划分为3个层级，即IT基础设施、应用基础设施、业务应用平台。

● IT基础设施：IT基础设施为企业信息化应用的基础支撑，主要包括机房、供电、空调等物理运行环境设施，网络设施，服务器存储备份等数据中心设施，安全设施，基础软件，计算机等终端设备与系统设施，以及运行环境设施。

● 应用基础设施：应用基础设施为企业信息化上层应用的公共支撑。应用基础设施通常包括主数据与基础服务、应用集成平台、门户信息集成平台等公共服务设施。

● 业务应用平台：业务应用平台为企业业务应用系统的具体承载平台，主要涉及业务流程交互和信息处理、存储等。从业务的视角看，业务应用平台主要提供业务流程服务、数据管理服务、检索分析服务和系统管理服务等。

图3-3　企业信息化技术架构总体框架

技术架构规划设计既要考虑本层级技术设施设计的一般需求与要求，也要考虑不同层级设施之间的功能、性能匹配。同时，应做好各层级技术设施在安全区域划分、访问控制、资源授权、安全管控等方面的协调与匹配。

3.2.2　IT基础设施规划

以下对IT基础设施中影响全局发展的网络设施、计算资源设施、存储资源与备份资源设施、终端设备设施以及运行环境设施做简单介绍，旨在为读者开展上述设施规划提供参考。

1．网络设施规划

基于技术架构规划的基本原则，网络设施规划主要包括网络安全区域规划、网络结构与架构规划等内容。

● 网络安全区域规划：为了确保网络安全，需要基于企业网络覆盖的地域和工作区域，规划设立不同的网络安全区域，遵循“科学合理、安全有效”的原则做好网络安全区域规划。网络安全区域规划遵从以下原则。

● 安全等级区划原则：根据企业信息资产安全等级划分和安全保护要求对企业网络进行安全区域划分，按安全等级由低到高划分网络安全区，如互联网外网区、内部网络区、高等级安全专网区等。不同安全等级的网络区域之间相互隔离，隔离设施可根据企业网络安全要求确定。

● 网络边界区划原则：按企业组织机构的地域划分网络安全区域，每个地域都是独立的网络安全区域，各地域网络安全区域遵循企业统一的边界防护要求和访问控制策略，区域之间通过企业内部传输网络或公共网络进行互联。

● 分类分级区划原则：在网络安全区域内，按资源类别与安全等级细分安全域，遵循先分类再分级的方式划分安全域。基于IATF（Information Assurance Technical Framework，信息保障技术框架）参考模型，划分资源类别，网络资源属性类别分为用户访问端、资源端、管理端。以资产价值、潜在风险、保护级别等要素对安全域进行细化，实现精准施策、差异化防护。

● 双向访问控制原则：对网络安全域的访问端和资源端进行双向控制，对访问端的出站和资源端的入站实现一致的访问控制策略，对进出安全域边界的所有流量都需要进行策略过滤检查，对访问行为和流量进行记录和审计。根据安全等级要求部署相应的安全防护手段和配置统一的访问控制策略。

● 网络结构与架构规划：网络结构是指多个网络安全区域的网络互联结构，网络架构是指单一网络安全区域内的网络组建模式，可按图3-4所示网络安全域模型规划网络结构与架构。 - 基于企业网络地域布局规划网络结构，基于地域网络接入需求规划地域网络架构，基于统一的边界访问控制策略规划区域网络互联与边界防护设计。同时做好与外部网络互联的边界安全防护与访问控制设计。

注：引自Information Assurance Technical Framework，美国国家安全局编。

图3-4　网络安全域模型规划网络结构与架构

有关网络设施规划的更多内容可参见第8章。

2．计算资源设施规划

目前计算资源正处于从虚拟化架构向云架构的转型阶段，企业应结合自身发展需要，做好计算资源的技术选择评估与资源服务规划。

● 做好公有云计算资源的使用评估：公有云计算资源能否在企业应用，需要评估以下3个方面的因素。一是信息安全要求，将企业关键业务数据存放在第三方的公有云上，存在较大的安全风险；二是企业计算资源应用模式对网络带宽的使用要求，有些应用需要较大的网络带宽支持；三是租赁公有云计算资源的综合拥有成本。即便不能将公有云计算资源作为企业计算资源的主体，但并不排除可以将公有云计算资源作为企业计算资源的补充，用于满足适合应用场景的计算资源要求。

● 计算资源的网络区域布局规划：虽然虚拟化与云技术业已成熟，但受网络带宽以及企业管理模式等的影响，完全集中的计算资源部署模式未必适合每个企业。计算资源配置应考虑网络区域布局带来的计算资源分布式部署的需求。应基于网络区域的计算资源需求，做好计算资源的网络区域布局规划。

● 计算资源的安全区域部署：需要结合上层信息系统的网络安全区域布局和访问控制要求，做好计算资源的安全区域布局规划，避免计算资源部署不当带来的安全隐患。如建立相对独立的开发计算资源设施，用以满足应用系统开发的安全管理要求。

● 计算资源运行管理和运行安全：应做好计算资源设施的运行安全风险分析，针对计算资源集中管理运行风险，采取必要的安全防范技术与管理手段，确保计算资源设施的安全、稳定、高效运行。

3．存储资源与备份资源设施规划

存储设施是企业数据存储的重要承载设施，存储设施的容量、性能、可靠性对企业信息系统应用有重要影响。备份设施作为应对安全风险的手段应满足安全风险的应对要求。存储与备份设施规划应关注以下事项。

● 存储资源布局：应结合计算资源设施布局情况，做好存储资源布局规划，满足企业各地域信息化数据存储的需要。

● 存储容量与性能规划：综合企业全局及区域存储容量需求，做好存储容量年度增长测算，并根据不同应用场景的存储性能需求差异，做好高、中、低3类存储容量的测算与规划。由于单位存储成本逐年下降较快，存储系统建设周期以2～3年为宜，通过持续的系统扩展或新建满足数据存储需求。

● 存储技术选用：目前，多种存储技术并存，有NAS网络附属存储技术、SAN区域网络存储技术、DAS直接附接存储技术、超融合存储技术等，不同存储技术所支持的存储系统组建模式和硬盘连接方式有所不同。存储设施规划应以性能需求兼顾拥有成本为导向，做好存储技术的选型。

● 备份策略：备份策略是企业应对数据风险的重要举措，应形成文档化备份策略，通过备份策略明确不同备份措施应对的风险事项，基于风险事项确定备份内容清单及采用的备份措施和手段。基于备份策略形成企业的备份设施需求，据此开展备份系统规划。

随着企业对信息系统可用性要求的逐步提高，灾难备份方式也将由传统的数据级灾难备份发展为应用级的灾难备份，企业应结合自身需要，做好备份策略与措施的规划。

4．终端设备设施规划

终端设备数量大、种类多，终端设备作为企业信息系统的接入端，其管理到位与否事关企业的网络是否安全。因此，终端设备管理应得到充分的重视。

● 终端设备准入管理：对于企业内部网络的终端设备，应做到对终端设备实施准入管理，确保只有得到许可的设备才能接入网络，避免不可信设备接入带来的网络攻击和数据泄露风险。

● 终端设备数据安全：不同企业对终端设备的数据安全要求的差异较大，企业可根据自身的数据安全管理需要，开展终端设备数据安全工作。终端设备数据安全重点关注两个方面，一是设备使用期间的数据输入输出管理，可利用终端设备准入管理软件实现终端设备数据输入输出的管控；二是设备残留数据管理，主要是指设备维修、报废时对硬盘中存储数据的管理，企业可根据自身需要确定设备残留数据管理模式。

● 终端设备资产管理：由于信息系统中往往混杂各种攻击信息，需要及时分析、排查攻击源头，完整的终端设备管理台账和健全的属性是开展攻击溯源工作的重要支持内容，需要健全的终端设备资产信息加以支持。

5．运行环境设施规划

运行环境设施与企业信息化发展水平密切相关，一般包括域控系统、云管平台等相关设施。

● 域控系统：企业普遍采用域控系统作为全网用户管理的基础支撑，通过域控系统管理网络系统中的用户对象，大部分系统支持基于域控系统的用户认证和用户信息的集成。域控系统属于集权类系统，在做好域控系统部署规划的同时，必须做好域控系统的运行安全筹划和运维配置管理。

● 云管平台：随着云技术的广泛应用，应结合企业计算资源云、存储云、备份云和应用云的具体情况，适时建立企业统一的云管平台，实现企业信息化云资源的统一管理。

同时，结合企业信息系统运行管理需要，适时建立信息系统运行监控平台、维护管理平台和IT服务平台。为企业信息系统运行和用户服务提供设施支持。

3.2.3　应用基础设施规划

应用基础设施一般包括主数据与基础服务、应用集成平台、门户信息集成平台3个层级的基础服务。

1．主数据与基础服务

主数据与基础服务为面向上层系统提供的底层基础应用服务，一般包括企业主数据服务、应用基础服务和统一用户管理服务。

● 主数据服务：主数据为企业跨业务应用系统的公共基础数据，常见的主数据包括组织机构和人员主数据、供应商与客户主数据、产品与服务主数据、合同与订单主数据、财务科目主数据等。随着企业业务标准化与精细化的发展，将有更多的跨系统的业务基础数据纳入主数据管理范畴。

● 应用基础服务：为面向企业上层应用系统提供的通用、基础的功能服务与数据服务。基础功能服务包括通用的各种类别的流程引擎服务、表单服务、数据分析服务、加解密服务、编码服务等；基础数据服务包括各种通用的基础数据服务、公共的数据查询服务等，数据中台一般通过基础数据服务的方式对外提供中台数据服务。

● 统一用户管理服务：统一用户管理服务为企业各信息系统提供统一的用户身份数据，以满足各信息系统对用户信息一致性和有效性的管理要求。同时，通过系统级的访问控制，提高企业对信息系统的全局掌控能力。

主数据与基础服务为企业信息化重要的基础设施，是企业信息化能力提升的重要支持手段，也是企业信息化水平的重要体现。

2．应用集成平台

应用集成平台为面向各业务应用系统提供集成服务的平台，提供的集成服务一般包括流程集成服务、数据集成服务和目录管理服务等。通过建立统一的集成技术框架，实现各系统接口服务的集中统一管理，并通过应用集成平台的服务接口调用认证、监控、交易回滚等服务，以提高系统集成的安全性与可靠性。

3．门户信息集成平台

门户信息集成平台为建立企业多层级信息门户提供技术支撑。主要提供用户授权访问管理、信息集成展现和应用系统接入等功能。通过信息门户为企业的内外部各类用户提供统一的信息渠道。

3.2.4　业务应用平台规划

业务应用平台是企业业务应用系统的具体承载平台，由于业务领域不同带来的功能体系和数据体系差异，很难由单一软件平台承载企业所有的业务应用需求，企业各业务环节大多选择不同供应商的软件产品以支撑其业务应用系统。由于应用软件通常需要较长的完善优化期，基于与业务应用场景相吻合的成熟软件平台构建业务应用系统已成为广泛的业界共识。企业业务应用系统多平台的这种格局会影响企业内部的信息共享、业务协同和一体化经营管理，为保证企业技术架构体系的贯通和可持续发展，需要特别关注业务应用系统平台规划和软件平台的选型。

企业业务应用可基本分为4个层级，即经营管理、业务运作、生产自动化、管理决策，每一层都有较为独特的应用特点。

● 经营管理：经营管理以人、财、物为核心，同时兼具运营支持职责，如行政后勤管理、信息档案管理、质量安全管理等。业务应用平台一般以ERP（Enterprise Resource Planning，企业资源计划）类平台为核心，以综合信息管理类平台为辅助。

● 业务运作：业务运作以经营计划为驱动，并以计划管理、物质材料供应、生产计划、营销运作、客户服务为主。业务运作宜结合企业行业特点，选择适合的软件平台作为企业的业务应用平台。

● 生产自动化：生产自动化应以行业信息化实践为参考，结合企业实际需求选择适合的生产自动化软件平台。

● 管理决策：管理决策通常以数据分析类软件为主体。同时，应结合应用场景支撑要求配置必要的支持软件，通过配置开发的方式满足管理决策需要。

业务应用平台规划还应考虑软件使用环境、网络安全要求、软件系统部署等相关要求，基于企业全局应用要求，做好业务应用平台规划。