国家认证认可监督委员会批准认证咨询机构
批准号：CNCA-Z-01Q-2006-038
联系电话
全国：010-56542716
天津：022-27810977
国家认证认可监督委员会批准认证咨询机构
批准号：CNCA-Z-01Q-2006-038
全国：010-56542716
天津：022-27810977
（征求意见稿:2010-11）
引言
云计算是一种基于网络的计算模式，通过网络将IT基础设施资源、软件与信息按需提供给用户使用。云计算 有效促进了网格计算、分布式计算、并行计算、效用计算、网络存储、虚拟化、负载均衡等计算机技术和网络技 术的融合应用，并具备以下特征：
a） 按需服务：云计算服务应能够快速自动化地满足用户对服务功能、服务实例等服务交付内容的申请，变 更，取消等操作，使用户的需求能够即时得到满足；
b） 弹性：云计算服务应具有快速伸缩的能力，用户可随时申请、释放和调整云计算服务资源的使用；
c） 网络依存性：云计算服务的使用者通过网络访问计算，存储资源以及各种服务；
d） 可计量：云计算服务本身应具备将用户使用的计算、存储及其他特定功能的服务按照合理一致的标准进 行细粒度地计量的能力。
另外，随着云计算相关应用的普及以及应用需求的不断深化，也给开发云计算服务、提供云计算服务以及消 费云计算服务的组织带来了新的挑战。主要包括：
a） 具备什么样条件或能力的组织可以提供云计算服务以及什么样的IT服务属于云计算服务。
b） 如何标准化云计算服务提供商和用户之间的接口与服务流程，促进良性竞争，营造更健康的云计算生态 环境。
针对上述挑战，需要给出一个公共框架或方法，确保各方在开发、提供和消费云计算服务的过程中进行有效 的沟通与合作。
本部分提供了一个覆盖云计算服务的内部特征、服务模式和外部特性的框架。其中：
——内部特征：包括组成云计算服务的人员、流程、技术及资源的要素；
——服务模式：包括软件即服务、平台即服务、基础设施即服务等典型的云计算服务模式；
——外部特性：包括按需服务、弹性、网络依存和可度量的外部特性。
本部分的第5章至第8章分别规定了组成云计算服务的人员、流程、技术及资源要求，第9章讲述安全方面的 要求。附录A规定了如何依据本标准对开发和提供云计算服务的组织进行评价。
1 范围
本部分提供了一个云计算服务公共框架，规定了开发和提供云计算服务的组织在人员、流程、技术及资源方 面应具备的条件和能力。 本部分适用于：
a) 开发云计算的组织和提供云计算服务的组织之间建立契约；
b) 提供云计算服务的组织评估自身的条件和能力；
c) 需要云计算服务的组织选择和评价提供云计算服务的组织；
d) 第三方评价和认定提供云计算服务组织的能力。
2 规范性引用文件
下列文件中的条款通过本部分的引用而成为本部分的条款。凡是注日期的引用文件，其随后所有的修改单 （不包括勘误的内容）或修订版均不适用于本部分，然而，鼓励根据本部分达成协议的各方研究是否可使用这些 文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本部分。 NIST Cloud Definition v15 Wikipedia…… Cloud Computing Use Case White Paper ITU-T FG Cloud…… ISO 9000:2000 ISO/IEC 20000:2005
3 术语和定义
3.1
云计算 cloud computing：
云计算是一种基于网络的计算模式，通过网络将IT基础设施资源、软件与信息按需提供给用户使用。
注1：云计算不是一类计算机技术或网络技术，而是实现网格计算、效用计算、虚拟化技术、Web服务技术 融合发展的模式；
注2：云计算具有宽带接入、快速弹性、服务可测量、按需自服务、资源池化等特征。
3.2
云计算服务 cloud computing service：
指一种交付和使用信息技术基础设施和应用环境的服务，即通过网络以按需、易扩展、可计量的方式获得所 需的资源及服务，这些资源和服务可以是各种硬件资源、软件资源或特定的信息服务。
3.3
基础设施即服务 infrastructure as a service(IaaS)
云计算服务提供商以按量计费的方式为用户提供可动态申请或释放的计算资源、存储资源、网络资源等基础 设施的服务模式。
3.4
平台即服务 platform as a service(PaaS)
云计算服务提供商以按量计费的方式为用户提供应用软件所需的支撑平台,包括用户应用程序的运行环境和开 发环境，供用户在此基础上开发和提供相关应用的服务模式。
3.5
软件即服务 software as a service(SaaS)
云计算服务提供商通过网络以按量计费租用的方式向用户提供在线软件应用的服务模式。在这种模式下，用 户不用再购买软件，而改为向服务提供商租用基于Web的软件，来管理企业经营活动，且无需对软件进行维护， 服务提供商会全权管理和维护软件。
3.6
弹性 elasticity
根据用户的需求随时分配、回收和调整云计算服务资源的能力。
3.7
资源池化 resouce pooling
云计算服务提供商将提供服务的资源构建成一个统一的同质化服务能力集合，根据用户需要将资源动态地分 配或再分配给多个用户使用，从而达到资源复用的能力。
3.8
多租户 multi-tenant
云计算服务提供商将资源提供给多组用户使用，实现数据隔离以保证用户的数据不被其他用户看到和篡改， 同时保证不同用户之间的应用性能不会受到影响的能力。
4 云计算服务模型
4.1 模型
4.2 内部特征
云计算服务的内部特征反映了云计算服务商的服务提供能力，包含人员、流程、资源和技术四个要素：
a） 人员要素包括人员管理、岗位结构以及人员技能；
b） 流程要素分为展现服务层、运维管理层和采集控制层三个层面；
c） 技术要素包括资源池化技术、计量技术、监控技术、调度技术和安全保障技术；
d） 资源要素分为计算资源、存储资源、网络资源和支撑环境。
4.3 服务模式
云计算的服务模式主要包括IaaS、PaaS和SaaS。三种模式自底向上提供不同层次的云计算服务，具有层次 关系，但上层服务不必构建于底层服务之上。
4.4 外部特性
云计算服务的外部特性是用户可感知的服务体验：
a） 按需服务：云计算服务应能够快速自动化地满足用户对服务功能、服务实例等服务交付内容的申请，变 更，取消等操作，使用户的需求能够即时得到满足；
b） 弹性：云计算服务应具有快速伸缩的能力，用户可随时申请、释放和调整云计算服务资源的使用；
c） 网络依存性：云计算服务的使用者通过网络访问计算，存储资源以及各种服务；
d） 可计量：云计算服务本身应具备将用户使用的计算、存储及其他特定功能的服务按照合理一致的标准进 行细粒度地计量的能力。
5 人员
云计算服务商应确保服务提供过程中的有关人员具备相应的服务能力。
5.1 人员管理
应从以下方面规范人员管理：
a） 管理承诺 应通过清晰的政策、足够的预算与合理的分工，来确保人员管理可以符合监管机构与客户的要求。
b） 管理流程
应建立组织内人员选聘、试用、培训、考核与离职管理程序。如果与第三方合作提供云计算服务，应对合作 伙伴的相关人员进行有效管理，确保云计算服务的正常提供。
应当建立人员管理制度、绩效考核办法和培训计划。
5.2 岗位结构
在岗位结构方面应满足：
a) 建立专职团队负责云计算服务的提供；
b) 对云计算服务过程中的不同角色进行明确分工和职责定义；
c) 云计算服务团队应包括云计算服务的管理、技术支持和系统操作维护等主要岗位。 应当制定岗位职责说明书，明确主要岗位的人员配备。
5.3 人员技能 在人员技能方面应满足：
a) 云计算服务人员应掌握必要的专业技能，具备从事相关工作的资格；
b) 云计算服务人员应参加岗位技能考核，合格后方能上岗，岗位技能考核应定期开展。 应当建立人员技能考核制度，保证具有专业资质的人员数量。
6 流程
“流程”指的是为确保云计算服务的交付过程与结果符合利益相关方的要求，而形成的一系列有组织的活 动；每个流程均包括输入、输出、流程控制与流程资源等四大组成部分；流程在组织内部可以定义为政策、标 准、指南、活动和工作指令等不同的形式。
为了确保云计算服务提供商具备相应的服务管理能力，应从展现服务、运维管理与采集控制三个层面建立相 应的管理流程：
a） 展现服务层：客户与云计算服务提供商之间的信息交互活动，目的是按客户的要求，提供或记录与云计 算服务相关的运维信息与服务要求；
b） 运维管理层：云计算服务提供商通过计划、组织、协调与控制等手段，整合相关能力、资源来满足客户 需求的活动，目的是整合组织的资源，分解服务内容，建立相应的流程；
c） 采集控制层：云计算服务提供商根据运维管理层各项管理规定，开展对云计算服务相关组件的状态、性 能监控与操作管理的活动。
6.1 展现服务层流程
6.1.1 服务目录管理 云计算服务提供商应通过对服务目录的定义、维护与评估等管理，为云计算服务用户提供单一、准确与完整 的服务信息。云计算服务提供商应：
a） 定义流程中的角色与职责；
b） 在机构内部规范并发布云计算相关服务的定义；
c） 进行服务目录的更新与维护；
d） 与机构内的服务交付团队定期评估服务能力与服务目录的一致性；
e） 定期评估服务需求与服务目录的满足度；
f） 建立服务目录管理与服务水平管理的相互关系。
6.1.2 服务水平管理 云计算服务提供商应通过定义、签定与管理服务水平协议，确保云计算服务提供商所提供的各项服务符合该 服务既定的服务目的。云计算服务提供商应：
a） 识别客户在服务中的需求；
b） 定义客户在服务中的项目，并形成服务描述与服务质量计划；
c） 明确服务水平协议与相关文件的签署形式（电子与非电子形式）；
d） 签订服务水平协议与相关文件；
e） 建立服务水平的监控和报告的机制；
f） 定期、不定期评审服务水平协议执行状况，并作相关改进计划。
6.1.3 服务请求管理
云计算服务提供商应通过对服务请求的定义、分派、审批与实现的管理，确保云计算服务提供商内部有规范 的渠道接受客户的服务要求、投诉与评价，并提供相应的信息、服务提交物给到客户。云计算服务提供商应：
a） 明确服务请求的定义；
b） 建立分级与分派的机制；
c） 建立服务请求的技术与财务审批机制；
d） 建立服务请求的实现流程；
e） 规范服务请求关闭的条件与要求。
6.1.4 服务报告管理 云计算服务提供商应通过及时、准确、可靠的报告，建立云计算服务提供商与客户之间有效的信息沟通机 制，云计算服务提供商应：
a） 建立服务报告的管理流程，包括建立、审批、分发、归档等流程；
b） 定义服务报告的用户与管理关注点；
c） 定义服务报告的内容、范围、计算方式与报告模板；
d） 定义并执行服务报告相关数据的搜集、加工与报告周期；
e） 定义并执行服务报告的提交形式、用户权限、以及与服务报告相关的评估机制。 流程的完备性（是否完整覆盖上述各类流程中所述的活动）和流程执行记录构成了展现服务层流程的关键指 标。
6.2 运维管理层流程 运维管理层流程应满足ISO/IEC 20000:2005的要求。
6.3 采集控制层流程
6.3.1 监控管理 云计算服务提供商应建立监控管理流程，确保云计算服务相关服务组件的状态与信息能得到及时的采集与展 现，云计算服务提供商应：
a） 明确监控的职责；
b） 明确监控的范围与工具；
c） 建立监控指标的制定、评审与定期调整机制；
d） 建立监控数据的检测、处理与分析机制；
e） 建立监控管理与运维管理层流程的关系。
6.3.2 操作管理 云计算服务提供商应建立操作管理流程，确保云计算服务相关的组件可以根据客户的要求与技术特点进行操 作，云计算服务提供商应：
a） 明确操作人员职责与纪律；
b） 建立系统运行操作手册、运行日志、流程表单等运行文档；
c） 采用适当辅助工具、软件与脚本方式，规范云计算服务提交过程中相关组件的各项人工干预过程（如： 作业排程与执行、备份与恢复、打印与输出、用户管理等）；
d） 建立操作管理过程中的升级与沟通机制。
e） 建立操作管理与运维管理层流程的关系。 在建立采集控制层的流程时，要求覆盖监控管理和操作管理中所述的活动,并且记录执行流程，这些工作应配 备监控工具和操作管理相关工具。
关注卓越空间
关注卓越微博
关注卓越微信