| 标准编号 | SF/T 0033-2019 (SF/T0033-2019) | | 中文名称 | 公证数据中心建设和管理规范 | | 英文名称 | (Notary data center construction and management specifications) | | 行业 | Chinese Industry Standard (推荐) | | 中标分类 | A16 | | 国际标准分类 | 35.240.01 | | 字数估计 | 15,110 | | 发布日期 | 2019 | | 实施日期 | 2019-05-20 | | 发布机构 | 中华人民共和国司法部 | SF/T 0033-2019: 公证数据中心建设和管理规范
SF/T 0033-2019 英文名称: (Notary data center construction and management specifications)
中 华 人 民 共 和 国 司 法 行 政 行 业 标 准
公证数据中心建设和管理规范
中华人民共和国司法部 发 布
1 范围
本标准规定了公证数据中心建设的总体要求、总体架构及要求、机房建设要求、运维制度与安全管
理制度。
本标准适用于司法行政公证管理部门、公证协会及各公证机构数据中心建设。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 2589 综合能耗计算通则
GB/T 2887 计算站场地通用规范
GB/T 9361 计算站场地安全要求
GB/T 20269 信息安全技术 信息系统安全管理要求
GB/T 20988 信息安全技术 信息系统灾难恢复规范
GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求
GB/T 25070 信息安全技术 信息系统等级保护安全设计技术要求
GB 50174 电子信息系统机房设计规范
GB 50189 公共建筑节能设计标准
GB 50462 电子信息系统机房施工及验收规范
GB 51194 通信电源设备安装工程设计规范
4 总体要求
4.1 规范化
选择设备应遵循EVB 802.1Qbg所要求的扩展支持能力，保证先进性。
4.2 可用化
可用化要求如下：
a) 在网络整体设计和设备配置上应采用双备份策略；
b) 在网络连接上应消除单点故障，提供关键设备的故障切换；
c) 关键设备之间的物理链路应采用双路冗余连接，按照负载均衡方式或双机热备方式工作；
d) 关键主机应采用双路网卡，应使用全冗余方式使系统达到 99.999%的电信级可靠性。
4.3 性能化
纵向流量转换成复杂的多维度混合方式，应使整个系统具有较高的吞吐能力和处理能力。
4.4 开放接口
开放接口要求如下：
a) 应提供开放的 API 接口；
b) 应保证服务器存储、网络等资源能够通过 API 接口、命令行脚本实现对设备的配置与策略下发。
4.5 绿色节能
网络机房的整体能耗应遵循GB 50189和GB/T 2589的相关规定。采用低能耗的绿色网络设备。
4.6 安全可靠
公证数据中心安全防护等级应按照GB/T 22239-2008中第三级要求进行规划和建设。
5 总体架构及要求
5.1 总体架构
公证数据中心总体架构如图1所示：
公证数据中心总体架构主要包括：资源池、云计算服务管理平台和公证数据中心安全体系。其中：
a) 资源池又包括：计算机资源池、存储资源池和网络资源池；
b) 云计算服务管理平台对资源池和应用进行管理调度及告警监控；
c) 公证数据中心安全体系保障公证数据中心的安全可靠运行。
5.2 计算机资源池设计要求
5.2.1 计算机资源池架构
计算机资源池的架构应由机架式服务器、刀片服务器构成，条件具备宜增加区块链资源，其中：
a) 刀片服务器应通过服务器虚拟化部署一般业务系统和 web 应用系统；
b) 机架式服务器应用于部署管理平台和高负载数据库服务器等；
c) 区块链资源用于部署区块链技术，应实现对数据的加密计算。
5.2.2 配置与选型
计算机资源池的配置与选型要求如下：
a) 根据实际业务发展情况应按需扩容、滚动建设；
b) 一台物理服务器应可虚拟多台虚拟机，应根据应用服务所需资源而定；
c) 刀片服务器虚拟化后的虚拟机可部署一般应用服务器，高性能服务器虚拟化后的虚拟机可部署
重载数据库服务器；
d) 每台物理服务器要求配置应不少于 3 个千兆以太网电口，分别用于虚拟化平台管理口、应用系
统对外提供服务、连接 NAS（网络附属存储）存储设备；
e) 如需连接 SAN 存储设备还应部署 HBA（主机总线适配器）卡和光纤交换机。
5.2.3 服务器选型
服务器选型要求如下：
a) 标准机架式服务器可选择典型的是 2U 或 4U 的型号，包含 2到 4个 CPU 插座，2 到 8 个 PCI-E
或 PCI-X 插槽，4到 6个硬盘托架；
b) 刀片式服务器应考虑刀片式架构中的每个刀片所包含 CPU 数及最大内存。应考虑对于每个宿主
机服务器用于支持一定数量的客户机所需的网络和存储 I/O，保证刀片上运行的每个宿主机服
务器和刀片底盘自身能够提供支持。
5.3 存储资源池设计要求
5.3.1 存储资源池配置应采用存储虚拟化技术，搭建支撑云计算中心高效运行的存储保障环境。
5.3.2 存储虚拟化环境应不少于 2 组存储虚拟化硬件设备，每组配置 2 个以上控制器，72G 以上高速
缓存，并提供相应的存储资源虚拟化管理软件。
5.3.3 高速 SAN 存储网应不少于 2 台高速 SAN 光纤交换机。
5.4 网络资源池设计要求
5.4.1 物理拓扑
网络资源池组网物理拓扑图如图2所示。
5.4.2 设计结构
网络资源池设计结构要求如下：
a) 应满足双网双平面结构，网络接口、网络链路以及关键网络设备均配置冗余部件；
b) 网络接口上每台物理服务器至少配置 2 张网卡，分别用于业务服务、虚拟化平台宿主机管理、
IP 存储系统互联；
c) 业务服务网络根据业务属性不同，通过 VPN 划分为公用网络区、互联网接入区、专用网络区；
d) 虚拟化计算资源可在不同的网络区域中自由迁移。
5.4.3 结构安全
网络资源池结构安全要求如下：
a) 应设置防火墙、隔离网闸、运维审计、数据库审计系统等安全设备；
b) 防火墙应用于实现同一网络区域中不同业务系统的之间的安全隔离；
c) 隔离网闸应用于在 VPN 隔离的不同网络区域之间进行安全数据交换，同时用于电子公证之间的
数据安全交换。
5.4.4 存储安全
网络资源池存储安全要求如下：
a) 宜采用区块链资源实现区块链计算资源部署，该区块链资源接入在核心交换机设备上，与其他
服务器资源形成局域网；
b) 应在高性能服务器部署软件区块链技术解决方案。
5.4.5 网络虚拟化
网络虚拟化要求如下：
a) 应在云计算平台的汇聚层部署汇聚交换机、防火墙、IPS、负载均衡器等设备，实现网络服务
虚拟化；
b) 虚拟化技术模拟汇聚层交换机，每个模拟出的交换机应拥有它自身的软件进程、专用硬件资源
（接口）和独立的管理环境，不同物理端口分配给不同的虚拟交换机，且虚拟交换机之间不应
共享端口；
c) 采用网络虚拟化技术，对不同设备进行虚拟化分区，应包括安全审计虚拟化、负载均衡虚拟化、
IPS/IDS 虚拟化、防火墙虚拟化四个方面。
5.4.6 IP 地址及 DNS
IP地址及DNS要求如下：
a) IP 地址规划应遵循国信办和国家外网工程办有关规定和指导意见；
b) 公证数据中心的网络带宽应不低于 100MB。
5.5 云计算服务管理平台要求
云计算服务管理平台应包括以下内容：
a) IT 基础架构中的物理资源和虚拟资源的管理；
b) 宿主机的管理接口（统一设置宿主机上某一个单独物理网卡用于云计算管理平台对虚拟机的管
理通讯）应进行统一 VLAN 规划，实现不同分区的虚拟机在同一个资源组中迁移，实现云计算
平台对 3个区的统一管理。
5.6 公证数据中心安全系统要求
5.6.1 概述
公证数据中心安全系统要求包括IaaS、PaaS、SaaS、云安全服务、安全防护等级五个内容，具体要
求见5.6.2、5.6.3、5.6.4、5.6.5和5.6.6。
5.6.2 IaaS 要求
IaaS 要求如下：
a) 机房、电源、监控等场地设施和周围环境及消防安全，应严格按照国家相关标准，并满足 24
小时不间断运行的要求进行设计建设。其具体安全措施应遵循 GB/T 9361 和 GB/T 2887 的相关
规定；
b) 通信线路应采用铺设或租用专线方式建设；
c) 通信线路应远离强电磁场辐射源，埋于地下或釆用金属套管；
d) 通信线路应定期测试信号强度，确定是否有非法装置接入线路,在线路附近有新的网络架设、
电磁企业开工时，可请专业机构负责检测；
e) 通信线路应定期检查接线盒及其他易被人接近的线路部位，防止非法干扰；
f) 骨干线路应在骨干线路或重要的节点设置冗余线路和环形路由；
g) 骨干线路应设置冗余电源配置；
h) 骨干线路应在重要部门重要业务系统所属的相关线路设置冗余或环形路由；
i) 主机安全应釆取的措施和技术手段包括身份认证、主机安全审计、主机入侵防御、主机防病毒
系统；
j) 网络安全应釆取的安全措施和技术包括防火墙、IPS、网络安全审计系统、防病毒、防病毒网
关、强身份认证；
k) 在互联网环境下应将 SAN 存储分隔为两个数据区，分别作为中心应用数据区和社会公众数据
区，进行存储区域划分实现数据隔离。
5.6.3 PaaS 要求
PaaS要求如下：
a) 公证数据中心应配备运维安全审计系统，通过防火墙、IPS、漏洞管理、网页防篡改等安全技
术手段保障由外部发起的攻击，实现对应用运行安全的全方位防护；
b) 应安装 PKI（公钥基础设施）应用服务器，结合 CA（认证机构）中心，实现对接口的强用户认
证，接口数据加解密和有效接口的访问控制。
5.6.4 SaaS 要求
SaaS要求如下：
a) 应保障应用安全，对应用程序或工具在使用过程中可能出现计算、传输数据的泄露和失窃，通
过其他安全工具或策略来消除隐患；
b) 应保障数据安全，经过网络传输和交换的数据不应发生增加、修改、丢失和泄露等；
c) 应通过加密和密钥管理，保障安全；
d) 应建立身份识别和访问管理，确保用户身份及其所归属的某项定义组来限制用户对某些信息项
的访问；
e) 应建立安全事件管理，对发生的安全事件进行分析，提高安全保障；
f) 应保障业务连续性。
5.6.5 云安全服务要求
云安全服务要求如下：
a) 云平台应进行上线检测、监控服务以及 2 个月一次的远程巡检和现场巡检服务；
b) 应定期远程巡检、定期现场巡检；
c) 应有远程安全值守服务；
d) 应有安全加固服务。
5.6.6 安全防护等级要求
安全防护等级应遵循GB/T 22239-2008中第三级要求进行规划和建设。
6 机房建设要求
6.1 基本要求
公证数据中心机房建设基本要求如下：
a) 应按照数据中心机房 B 级以上标准进行建设；
b) 应配置网络 KVM，实现“无人机房”；
c) 网关和集成服务器应在专门的网管控制中进行设备管理、软件调试工作，人机分离，应提供统
一、集中的访问权限管理，管理员按照用户权限分配专门的账号给网管人员和集成服务商技术
人员。
6.2 布线系统
布线系统要求如下：
a) 机房内通信电缆及电力电缆应在走线架上布放，布线距离应尽量短而整齐；
b) 通信电缆与电力电缆应分别按不同路由敷设，如相互间距离较近，则应保持不低于 100mm；
c) 应预留 1 个机架作为配线架专用机架，每个设备机架配置一套不少于 24 口配线架。
6.3 机房系统
6.3.1 机房环境
机房环境要求如下：
a) 应遵循 GB 50174 与 GB 50462 相关要求；
b) 所有设备应放在计算机房环境里，室内清洁无尘；
c) 温度应介于（15～30）℃，每小时变化< 10℃；
d) 湿度应介于（40～70）%，不结露、霜；
e) 机房荷载要求：主机房楼面等效均布活荷载标准值应为 6kN/㎡；控制室楼面等效......
|