什么是企业私有云？

企业私有云（EPC）是专供单一组织使用的云环境。企业私有云在逻辑上（有时在物理上）与云服务提供商的其他客户所使用的云服务隔离。EPC 拥有专用资源、网络以及安全与合规控制措施，以满足组织严格的标准。组织选择私有云，可以获得云计算的优势，同时满足本地环境的标准要求。本指南将探讨企业私有云的组成部分，以及如何在 AWS 上部署合适的服务。

企业私有云具备云计算的优势，并且拥有类似于本地环境的配置。这种配置也被称为内部云或企业云，使公司能够通过专用资源和网络，对云环境进行完全的控制与配置。

在私有云中，您无需与其他组织共享资源。这意味着您可以更灵活地配置云系统，以满足内部目标。军队、银行及其他需要确保高水平安全性的高度敏感机构往往会选择私有云。

企业私有云包含五个核心要素，每个要素都是完整私有云环境的组成部分。以下是企业私有云核心架构的主要支柱。

私有网络

私有网络是指私有云内部资源之间进行通信的方式。设备、服务、消息和协议均连接至私有网络或在其中传输。

组织可以使用 Amazon Virtual Private Cloud（Amazon VPC）创建属于自己的私有、隔离云网络，其形式类似于局域网（LAN）。

专用实例和主机

专用实例是一种私有解决方案，让您可以全面访问专属于您的 AWS 账户的硬件资源。您可以在此专用硬件上运行其他实例。这与普通实例不同，普通实例可能会与同一物理机上其他 AWS 客户的虚拟实例并存运行。专属主机是一种私有物理服务器，您可以像租赁和配置常规物理服务器那样对其进行租赁和配置。

对于需要隔离工作负载以满足合规性要求的企业而言，专用实例和主机解决方案有助于满足这些需求。有多项支持专用、隔离实例和主机的 AWS 解决方案：

• Amazon Outposts：在本地、边缘位置或数据中心运行 AWS 云基础设施和服务。Outposts 借助 AWS 的计算、存储和数据库能力，提供本地计算和隔离网络服务。
• Amazon EC2 专属主机：Amazon EC2 专属主机允许组织在完全专用的物理服务器上使用来自其他供应商的现有软件许可证。在专属主机上启动虚拟机时，帮助满足隐私合规性要求。
• Amazon EC2 专用实例：在 VPC 中，使用专属于您的组织的硬件运行专用实例。您可以按需为专用实例付费。
• 裸机实例：没有虚拟机监控程序的完整专用服务器。

存储

企业云存储是一种在私有且可检索的环境中存储各种形式数据的方法。对于那些有特定数据保护合规性要求，并希望对服务提供商的数据存储方式拥有更多控制权的企业来说，私有存储非常适用。

AWS 提供多种存储形式，旨在增强企业环境中的云存储能力。以下各项均为企业提供了可扩展的配置选项：

• Amazon S3：Amazon Simple Storage Service（S3）提供具备可扩展性、安全性、高性能和高可用性的对象存储服务。
• Amazon Elastic Block Store：借助 Amazon Elastic Block Store（EBS），组织可以创建存储卷，并将其直接挂载到 Amazon EC2 实例上。
• Amazon Elastic File System：Amazon Elastic File System（EFS）提供一种完全弹性、无服务器的文件存储系统。

安全性

云企业安全性是指有助于识别和防范未经授权的第三方威胁的任何策略、框架、监控系统以及风险与威胁检测活动。通过掌控安全配置，组织可以构建全面的安全架构，以满足其独特需求。

亚马逊云科技通过多种补充性安全技术为私有云提供支持：

• Amazon Security Hub：AWS Security Hub 可自动对关键安全问题进行优先级排序，帮助您快速、大规模地做出响应，从而更好地保护云基础设施环境。
• Amazon Config：Amazon Config 支持组织对其云计算资源的当前配置进行审核、评估和检验。
• Amazon CloudTrail：Amazon CloudTrail 可以跟踪混合和多云环境中的用户活动和 API 使用情况，从而得出有关异常活动的见解。
• Amazon KMS：Amazon Key Management Service 允许组织从单一平台快速加密和数字签名数据，并管理密钥和定义策略。
• Amazon CloudHSM：Amazon CloudHSM 为加密密钥提供简化的管理和访问系统。使用 CloudHSM 管理单租户 HSM 实例容量并部署高度可靠的工作负载。

身份和访问管理

身份和访问管理（IAM）系统有助于确保只有获得授权的用户才能访问特定资源。在私有云环境中，IAM 包含多重身份验证、单点登录系统以及内部文件标记权限，旨在增强安全性。

亚马逊云科技支持通过以下方式在企业云中进行 IAM 配置：

• Amazon IAM：Amazon Identity and Access Management 使公司能够安全、快速地管理身份以及针对云服务和资源的访问策略。组织还可以将 Amazon IAM 与现有的内部安全登录提供商（如 Microsoft Entra）集成，从而简化访问管理。
• IAM Identity Center：Amazon IAM Identity Center 允许企业将现有的身份和访问策略连接到集中的亚马逊云科技系统。您的组织可以通过统一视图管理访问权限，从而简化现有的 IAM 策略。

组织可以选择实施混合云策略，将本地部署环境与云端资源连接起来。这种混合模式意味着组织无需一次性完成所有迁移，而是可以结合使用本地部署环境和云端环境。

亚马逊云科技支持通过以下技术实现企业级私有云的混合集成：

• Amazon Local Zones：Amazon Local Zones 使组织能够在更多站点基于亚马逊云科技专用基础设施运行应用程序，从而提升终端用户的访问体验并降低工作负载延迟。
• Amazon Storage Gateway：Amazon Storage Gateway 允许本地部署的应用程序访问大规模云存储，并提供低延迟的数据访问能力。

网络连接

亚马逊云科技还提供一系列技术，以促进云环境与本地环境之间的连接。

• Amazon Direct Connect：Amazon Direct Connect 提供连接 AWS 资源的最短路径，能够降低延迟，并在您的办公室与 AWS 数据中心之间建立精简的专用网络连接。
• Amazon VPN：Amazon VPN 通过加密通道将本地网络和远程设备直接连接到云端。
• Amazon Transit Gateway：Amazon Transit Gateway 通过单一网关为亚马逊云科技账户、本地网络和 Amazon VPC 提供全面的连接能力。利用 Transit Gateway 增强可见性、提升安全性并简化数字架构。

设计能够承载企业工作负载的企业私有云需要进行大量规划以满足各项需求。

以下是组织在构建 EPC 时应优先考虑的四个领域。

性能

组织需要选择合适的云服务、实例类型、存储选项和网络连接，以支持其运营并满足工作负载需求。私有云解决方案的优势之一在于，组织能够灵活扩展所使用的计算资源，按需获取更多的云 IT 基础设施。

不过，组织在设计私有云解决方案时，必须注重资源利用率的平衡。您可以使用各种成本优化策略和工具（例如 Amazon 成本优化中心和 Amazon Cost Explorer 成本管理服务）来平衡成本与性能。

可用性

云运营模式需要优先考虑可访问性，以确保身处世界各地的员工和客户都能访问公司资源。云服务提供商提供多可用区部署方案，将工作负载分布在不同的数据中心站点，从而降低延迟。

除了确保跨可用区的高可用性外，私有云环境还应实现向分布式服务器的自动备份。通过自动执行备份并将副本保存到备用节点，企业能够增强业务连续性规划，从而从容应对各种突发状况。

企业可将备份存储在托管私有云、公有云基础设施、本地基础设施或其他数据中心内。这种分布式部署方式有助于实现灾难恢复，并确保极高的数据可用性。

安全性

私有云架构天生比公有云服务更安全，因为其云基础设施在逻辑上与其他云客户实现了隔离。这意味着 IT 团队能够构建控制力更强、更有效的安全系统，从而更好地保护敏感数据。

组织还可以实施访问控制、监控文件访问情况的日志系统，以及确保符合强制性或推荐性框架标准的自动化工具。在私有云基础设施中增加额外的安全控制措施，有助于进一步保护数据，并超越云服务提供商提供的基础安全保障。

成本

私有云环境的成本高于公有云资源，因为公司实际上拥有了数据中心内的一小部分专属资源。尽管这种单租户环境提供了更高的控制力，但成本也更高。

亚马逊云科技成本优化是一种一体化且可扩展的采购模式，能够灵活适应您的工作负载需求。其中包括一套管理工具，用于监控实时资源消耗、识别成本节约机会，并根据需求动态扩展或缩减资源，确保您仅为实际使用的私有云资源付费。

亚马逊云科技提供一系列工具、系统和服务，旨在改善对私有云系统的访问、加强数据保护并简化云管理。通过对企业私有云进行集中控制，组织既能利用亚马逊云科技访问领先的云计算资源，又能保持经济高效。

探索 Amazon Well-Architected Framework，帮助您为企业私有云构建安全、高性能、具有弹性且高效的基础设施。