随着企业加速向云迁移，私有云也将为构建在高度虚拟化基础架构上的工作负载提供服务。这种解决方案在大规模云部署的趋势中仍然占有相当大的份额，尤其是在大型组织内部。当网络数据在虚拟机之间流动时，企业用户对敏感信息和高级恶意软件的监控和控制能力被削弱，需要关键的安全控制或外部手段进行干预。在外人看来相对安全的私有云也有其弱点。虚拟化模糊了资源边界，动态扩展计算、存储和网络资源，打破了传统的物理隔离，使原有的管理环境复杂化。无论是基础设施还是系统架构，不确定性都可能随着业务需求的变化而增加，对运维提出新的挑战。同时，私有云环境中的设备和系统往往属于不同的厂商，对接和集成存在诸多困难。例如，当两个大公司之间发生并购交易时，如果双方之前拥有两个或两个以上的私有云，那么合并后IT架构层面的整合可能需要几个月的时间。如果再考虑不同地域、不同业务单元的对接，相互兼容的时间会更长。通常，私有云环境的租赁应该是唯一的，由一家云服务提供商接管，但情况并非总是如此。私有云对传统网络架构的部署提出了挑战，主要是流量承载和业务匹配。在流量方面，服务器利用率的提升使得端口流量对数据中心的网络性能和可靠性提出了要求。当各种应用运行在同一台物理机上时，它们各自的流量需求模型也是动态变化的。此外，业务虚拟化还需要虚拟机的迁移，使得原有的安全策略不再适用于新环境，需要动态匹配机制。桌面私有云的安全隐患不容忽视。除了传统终端漏洞带来的潜在威胁外，在虚拟化环境产生的跨域访问、多虚拟机之间的资源传递和保护等方面还存在不足。以上只是VDI的终端风险。从系统的角度来看，从服务器架构到传输通道，再到客户访问权限，每一个细节都可能存在漏洞。以用户层为例，密码认证对于企业管理来说过于简单。常见的解决方案可以结合Ukey和SSLVPN的认证，结合MAC地址的限制，来防止未授权用户的入侵。私有云的数据存储虽然不像公有云那么多变，但也必须考虑资源隔离、加密保护、入侵检测、数据销毁等问题。对于一些企业来说，他们并不关心数据放在CSP中的哪个虚拟卷或磁盘。这些一般都是后者分配的。因此，可能会出现将不同机密级别的资源放在同一个存储介质上的情况。它允许低安全级别的负载在调用资源时“跨级别”访问高度敏感的信息。私有云环境有其自身的特点，应根据实际情况制定相应的解决方案。首先，在网络架构层面，在多租户和多服务之间，不仅要考虑隔离方案的可行性，还要考虑网络的可扩展性。例如，物理防火墙已经不适合当前资源池的需求。如果使用分布式虚拟化防火墙，可以隔离东西向流量，垂直流量可以使用NFV解决。在存储方面，除了在数据保护时能够增强机密性、完整性和可用性外，还需要考虑不同应用所使用的加密算法在保护强度上的不一致性。通常，数据保护是在主机系统上完成的，然后再传输到存储网络。至于后端检测，应该是独立于主机的，即使主机被入侵，也可以保护存储介质。在企业内部，一般会在关键路径上部署检测系统，对读写操作进行抓取、统计、分析，建立全局查错机制，实时更新特征库，及时告警。总的来说，私有云环境的安全必须是平台化和自动化管理。构建弹性可扩展的资源池后，需要通过统一的管理平台实时查看计算、网络、存储等资源，并建立深入业务逻辑的安全子域和关系链。此外，在实现运维自动化的同时，还要考虑VMware、Xen、Huawei等平台的兼容性。
