廣東省第二人民醫(yī)院安全桌面云項目

10/10廣東省第二人民醫(yī)院安全桌面云項目一、項目需求： 隨著我院的信息化的快速推進和辦公桌面數(shù)量的增多，隨之而來的桌面管理和終端安全問題也接踵而至，我院此前已經(jīng)部署了一套桌面云集群，作為外網(wǎng)桌面提供給有需要內(nèi)外網(wǎng)訪問的職工使用，通過桌面云的集中管理，以及終端數(shù)據(jù)不落地的特性，解決了一部分終端安全的管理和安全問題。然而，隨著醫(yī)院傳統(tǒng)終端PC的逐漸淘汰，同時越來越多的職工有需要內(nèi)外網(wǎng)訪問的需求，如果延用傳統(tǒng)PC的部署模式，仍然會帶來較高的終端建設(shè)成本、復(fù)雜的運維管理工作、不可控的安全風(fēng)險問題。因此，我院新的終端建設(shè)，將繼續(xù)采用醫(yī)院此前已經(jīng)部署的桌面云架構(gòu)，實現(xiàn)更便捷的使用、更高效的管理、更安全的數(shù)據(jù)保護。在原有的桌面云終端的基礎(chǔ)上，新增加400套的桌面云終端，給醫(yī)院職工提供更多的外網(wǎng)桌面，作為訪問互聯(lián)網(wǎng)的使用。二、項目內(nèi)容：桌面云雙網(wǎng)隔離方案使用現(xiàn)有PC作為內(nèi)網(wǎng)桌面，對有上網(wǎng)需求的用戶提供桌面云作為上網(wǎng)桌面資源，用戶在內(nèi)網(wǎng)PC上通過客戶端的方式連接桌面云服務(wù)器，登陸上網(wǎng)桌面進行外網(wǎng)訪問，其中上網(wǎng)桌面與內(nèi)網(wǎng)PC邏輯隔離，并對內(nèi)外網(wǎng)桌面之間的數(shù)據(jù)流轉(zhuǎn)進行嚴格管控，實現(xiàn)對內(nèi)網(wǎng)和外網(wǎng)的安全訪問，替代傳統(tǒng)的兩臺電腦，達到“以一代二”的效果。本項目需要在原有外網(wǎng)集群新增桌面服務(wù)器，用于更多的外網(wǎng)桌面資源承載，在內(nèi)網(wǎng)PC安裝桌面云客戶端，用戶上網(wǎng)桌面的登陸訪問；用戶通過PC只能訪問桌面云服務(wù)器的特定端口，并不能與上網(wǎng)桌面互通，該方案能夠滿足內(nèi)外網(wǎng)隔離的要求。這種方式相較于傳統(tǒng)雙網(wǎng)隔離方式，用戶體驗大幅提升，只需通過客戶端登陸桌面云即可在保障內(nèi)外網(wǎng)安全隔離的前提下在同一終端上進行內(nèi)外網(wǎng)的訪問，提高用戶使用效率。三、需求清單序號產(chǎn)品型號產(chǎn)品型號數(shù)量單位1VDI授權(quán)見如下參數(shù)要求350套桌面云一體機見如下參數(shù)要求10臺桌面云超融合操作系統(tǒng)（虛擬存儲軟件）見如下參數(shù)要求10套2桌面云終端安全軟件見如下參數(shù)要求350個3服務(wù)器接入交換機見如下參數(shù)要求2臺4虛擬存儲組網(wǎng)交換機見如下參數(shù)要求2臺四、具體參數(shù)要求（1）桌面云相關(guān)參數(shù)要求項目指標參數(shù)要求產(chǎn)品資質(zhì)要求品牌要求和自主研發(fā)能力國產(chǎn)品牌，要求超融合計算虛擬化軟件、存儲虛擬化軟件、桌面虛擬化軟件同一品牌且完全自主研發(fā)市場能力所投桌面云軟件廠家需為近3年來，每年中國區(qū)IDC全年桌面云軟件（VCC）和VDI瘦終端市場占有率排名前五產(chǎn)品成熟度本項目要求所投桌面云產(chǎn)品廠商具備CMMI5資質(zhì)，確保桌面云軟件開發(fā)成熟度。為保障云平臺的穩(wěn)定性與安全性，產(chǎn)品發(fā)布五年以上，擁有著作權(quán)非OEM超融合一體機通過了數(shù)據(jù)中心聯(lián)盟頒發(fā)的云計算超融合架構(gòu)可信評估證書桌面云原廠商屬于中華人民共和國公共安全行業(yè)標準《信息安全技術(shù)桌面云系統(tǒng)安全技術(shù)要求》標準起草單位之一。桌面云原廠商屬于中華人民共和國國家標準《信息安全技術(shù)桌面云系統(tǒng)安全技術(shù)要求》標準起草單位之一。VDI授權(quán)數(shù)量配置要求本項目要求提供400個VDI用戶授權(quán)，支持發(fā)布專有桌面、還原桌面（包括池化桌面）、共享桌面、遠程應(yīng)用至少5種桌面資源，滿足不同場景的應(yīng)用需求。桌面云軟件高可靠及安全▲為了保證高可靠，桌面云控制器需支持集群模式，在不增加第三方負載均衡的情況下，可實現(xiàn)桌面云控制器宕機切換會話不中斷。支持將桌面云控制器直接映射到互聯(lián)網(wǎng)，要求自帶SSL加密功能，不要借助第三方設(shè)備，并且能夠用于固定IP線路和動態(tài)IP線路2種方式，其中動態(tài)IP不依賴第三方插件，降低部署復(fù)雜度。用戶體驗▲在多應(yīng)用辦公場景下，可針對當下使用頻率較高的軟件做進程加速，管理員也可自定義需做進程加速應(yīng)用，以保障應(yīng)用使用體驗。為了滿足外網(wǎng)辦公場景對資源利用率的需求，本項目要求支持池化桌面，虛擬機不固定關(guān)聯(lián)給用戶，當用戶需要時從桌面資源池中隨機獲取一個閑置虛擬機，用戶注銷后系統(tǒng)自動關(guān)閉虛擬機以釋放資源。▲為了快速滿足用戶對桌面資源的訴求，所投產(chǎn)品需支持用戶可自助申請?zhí)摂M機配置變更，由管理員審核，管理員可以選擇審批通過、修改申請配置后申請通過、駁回操作，審核通過資源自動加到用戶虛擬機上。并且用戶申請?zhí)摂M機配置變更可以直接指定給部門資產(chǎn)管理員審批，既符合規(guī)定又提高效率?！赑C利用舊場景中，為了方便使用，需要支持PC本地硬盤可直接映射到虛擬桌面上使用，考慮到數(shù)據(jù)安全，需支持可根據(jù)策略進行文件讀寫權(quán)限設(shè)置和文件導(dǎo)出審計。為了提高維護效率，所投產(chǎn)品需支持在無需安裝其他軟件的情況下，管理員可以遠程協(xié)助維護虛擬機，即管理員在桌面云控制端中可以直接向需要協(xié)助的用戶發(fā)起遠程協(xié)助?！С肿灾煺栈謴?fù)，當用戶自己誤操作導(dǎo)致云桌面卡慢、藍屏、死機或者中病毒的時候，用戶通過導(dǎo)航條按鈕，可以自助進行系統(tǒng)盤快照還原操作，支持安卓瘦終端、PC客戶端。支持在導(dǎo)航欄上查看和管理所有接入到桌面的外設(shè)，可以查看外設(shè)的接入位置(本地桌面或者虛擬桌面)，并支持修改接入位置。運維功能▲需支持模板鏈接克隆及完整復(fù)制虛擬機。鏈接克隆可以提高上線維護效率，完整復(fù)制虛擬機可以讓虛擬機保持獨立，不受模版單點故障影響。克隆時可指定虛擬機數(shù)量、運行位置、存儲位置、網(wǎng)口信息、磁盤大小，并需支持鏈接克隆虛擬機轉(zhuǎn)為完整復(fù)制虛擬機，本項目要求100個虛擬機派生時間不超過5分鐘?！懂a(chǎn)品需支持模板升級，可以統(tǒng)一安裝所需要升級的軟件/補丁，一鍵更新到指定的虛擬機，滿足標準化場景的軟件和補丁更新需求，并不影響非c盤目錄下個人數(shù)據(jù)。并可以設(shè)置虛擬機下次重啟更新至模版狀態(tài)，不影響當下使用為了滿足日常軟件更新需求，所投產(chǎn)品需支持軟件分發(fā)技術(shù)，可通過創(chuàng)建軟件庫并關(guān)聯(lián)給虛擬機，實現(xiàn)應(yīng)用軟件、驅(qū)動程序的增量式更新，不需要在每個虛擬機執(zhí)行安裝過程，整個分發(fā)過程秒級完成，且分發(fā)后不會覆蓋原虛擬機的個性化配置和自主安裝的軟件，本項目要求支持應(yīng)用軟件、辦公文件的分發(fā)?！鵀榱藢崿F(xiàn)更好的上網(wǎng)桌面使用行為管控，所投產(chǎn)品需支持與院內(nèi)現(xiàn)有的上網(wǎng)行為管理系統(tǒng)聯(lián)動認證，用戶成功登錄VDI后，上網(wǎng)行為管理自動同步用戶認證信息，后臺記錄用戶ID,后續(xù)上網(wǎng)無需再次認證登錄。▲支持設(shè)置主題，管理員可以在主題商城中下載主題，并將主題應(yīng)用到包括瘦終端（ARM、X86）、PC客戶端。安全管理▲支持客戶端準入檢測，可根據(jù)用戶接入的終端類型、操作系統(tǒng)版本、接入IP和時間、軟件安裝情況等條件設(shè)置接入訪問策略，如客戶端不滿足安全檢測要求則不允許接入?！鵀榱藵M足用戶安全性的需求，所投產(chǎn)品需滿足，在不使用第三方產(chǎn)品的情況下，在虛擬化管理平臺可配置基于ip、虛擬機、用戶的ACL策略訪問控制，以解決網(wǎng)絡(luò)隔離配置的復(fù)雜性以及實現(xiàn)虛擬機直接的隔離安全。支持在管理組件中內(nèi)置應(yīng)用管控技術(shù)，實現(xiàn)全方位云桌面管控，在禁止名單中可以通過配置規(guī)則禁止指定應(yīng)用或進程在云桌面中運行；在允許名單中通過配置規(guī)則只允許規(guī)則中的應(yīng)用或進程在云桌面中運行。支持多種認證方式隨需組合，包括本地賬號密碼、usb-key認證、短信認證、硬件特征綁定、動態(tài)口令、ldap認證、raduis認證、AD域認證、瘦終端客戶機認證、802.1x等多種方式，滿足不同級別用戶的安全接入需求。支持AD域離線認證，在AD域服務(wù)器故障離線后，用戶依然可以用AD賬號認證登錄桌面云?！С衷O(shè)置首次登錄強制修改密碼、定時修改密碼、圖形校驗碼和軟鍵盤等密碼安全策略，以保障認證密碼安全性，避免越權(quán)訪問行為?！С痔摂M門戶，不同用戶通過不同地址接入虛擬桌面，適用于互聯(lián)網(wǎng)訪問場景，可以指定特定賬號在外網(wǎng)訪問桌面云，而其他用戶只能在內(nèi)網(wǎng)訪問。支持U盤、PC本地桌面到虛擬桌面這2種情況的雙向拷貝管控，可控制U盤的只讀和讀寫權(quán)限，可控制本地桌面和虛擬桌面雙向拷貝、單向拷貝。▲支持個人盤加密技術(shù)，對云桌面?zhèn)€人數(shù)據(jù)進行加密保存，保障個人隱私安全?！烂嬖瓶刂破鲀?nèi)置防火墻，包括設(shè)置過濾規(guī)則、NAT設(shè)置、訪問監(jiān)控、防DOS攻擊。支持滿屏水印，水印內(nèi)容顏色和邊框顏色反色調(diào)設(shè)置，防止背景顏色與水印顏色一致，覆蓋水印，支持水印內(nèi)容、透明度、水印字體大小、傾斜度調(diào)整?！С治募?dǎo)出內(nèi)容審計，開啟文件安全導(dǎo)出后，虛擬機通過剪切板、PC設(shè)備和USB設(shè)備外發(fā)文件的操作將被禁止，用戶可以使用虛擬機內(nèi)部的文件導(dǎo)出工具實現(xiàn)文件外發(fā)，所有外發(fā)的文件內(nèi)容都可以加密備份到數(shù)據(jù)中心，以備后續(xù)審計使用，可疑的導(dǎo)出行為會產(chǎn)生告警?！С峙R時權(quán)限，管理員為部分用戶臨時在某個時間段內(nèi)放通usb和pc剪切板等權(quán)限，并在到期后自動回收該權(quán)限，保證數(shù)據(jù)安全。支持根據(jù)需求可將策略關(guān)聯(lián)給用戶的某個特定的虛擬機。支持根據(jù)特定的使用場景批量進行策略設(shè)置，場景可基于IP范圍、終端類型等。服務(wù)要求本項目要求所有組件提供3年原廠服務(wù)，并且所投桌面云產(chǎn)品廠商在本省有分公司/辦事處，確保能夠提供高質(zhì)量、及時響應(yīng)的售后服務(wù)，投標時提供桌面云廠商官網(wǎng)查詢鏈接、截圖及售后服務(wù)ISO9001資質(zhì)證書。為保證交付和后續(xù)運維，要求桌面云廠商提供所有管理平臺相關(guān)的組件，包括但不限于管理平臺的操作系統(tǒng)、數(shù)據(jù)庫、中間件等。桌面云服務(wù)器數(shù)量要求★10臺，本項目要求服務(wù)器與終端、桌面云軟件同一品牌，出廠時必須預(yù)裝各類桌面云軟件（含服務(wù)器虛擬化、存儲虛擬化等），不允許提供祼機設(shè)備。要求服務(wù)器必須配備存儲虛擬化軟件模塊，提供低成本、高可靠的存儲方案。硬件規(guī)格★CPU核數(shù)≥16（主頻不低于2.9Ghz）、內(nèi)存≥384G、千兆網(wǎng)口≥6個、萬兆光口≥2個，冗余雙電源?！锉卷椖恳竺颗_服務(wù)器至少配備240GSSD硬盤、2塊1.92TSSD硬盤和6塊6T的SATA硬盤。其他要求要求具備ISO9001質(zhì)量管理體系認證證書，以確保整套桌面云方案的成熟穩(wěn)定，投標時需提供資質(zhì)復(fù)印件。通過CCC產(chǎn)品質(zhì)量管理認證。桌面云超融合操作系統(tǒng)配置要求提供服務(wù)器虛擬化和存儲虛擬化授權(quán)，服務(wù)器虛擬化授權(quán)要求滿足本項目性能需求，存儲虛擬化授權(quán)要求無容量限制，便于后續(xù)存儲擴容。投標時要求提供服務(wù)器虛擬化和存儲虛擬化自主產(chǎn)權(quán)證書復(fù)印件。部署模式兼容市場上主流x86服務(wù)器和存儲設(shè)備，支持品牌不局限于IBM、聯(lián)想、戴爾、浪潮等。為了保證能夠快速平滑擴容，本項目要求集群中服務(wù)器的添加支持熱添加，在添加過程中不影響運行中的虛擬機。支持集群冗余技術(shù)，集群中各主機互為監(jiān)控，一旦發(fā)現(xiàn)某個主機故障，HA機制就會自動觸發(fā)虛機遷移動作，在另一正常服務(wù)器快速拉起、確保VM繼續(xù)可用。單集群管理時無需部署集中管理平臺，通過Web方式接入集群主服務(wù)器，實現(xiàn)對服務(wù)器、虛擬機、網(wǎng)絡(luò)、存儲虛擬化等進行統(tǒng)一管理。功能支持支持服務(wù)器端口匯聚技術(shù)（管理口、業(yè)務(wù)口、存儲口），將多個網(wǎng)絡(luò)端口聚合起來，提高網(wǎng)絡(luò)帶寬和容錯能力支持虛擬機集中備份與恢復(fù)，可按需選擇多個虛擬機或全部虛擬機備份至外置服務(wù)器（NAS、FTP、CIFS等），支持設(shè)置備份策略，實現(xiàn)全自動化備份。支持自動/手動將配置文件備份到FTP服務(wù)器。虛擬機損壞無法啟動時，支持將虛擬機磁盤掛載到新虛擬機上，用戶可登錄新虛擬機將磁盤內(nèi)容備份出來。支持數(shù)據(jù)冗余副本技術(shù)，每份數(shù)據(jù)同時寫入多臺服務(wù)器，每次數(shù)據(jù)變化時自動實時同步，確保磁盤或服務(wù)器故障，數(shù)據(jù)不丟失。支持SSD緩存加速，采用SSD+HDD混合模式，SSD用于緩存熱點數(shù)據(jù)，HDD用于存儲個人數(shù)據(jù)，SSD緩存命中率不低于60%，確保最優(yōu)用戶體驗。支持磁盤故障自動重建技術(shù)、支持磁盤橫向/縱向擴展。支持故障自動切換，硬盤故障，存儲則會被重新指向另外一臺服務(wù)器上可用的數(shù)據(jù)副本，實現(xiàn)毫秒級切換，對用戶來講基本是無感知的；主機或者網(wǎng)絡(luò)故障，虛擬桌面可以快速切換到另一臺服務(wù)器拉起，約3-5分鐘。支持主機和磁盤故障后不停機替換。為了滿足多種場景的桌面使用需求，所投產(chǎn)品需支持可選擇不同的主機建立多個存儲分卷，滿足不同桌面業(yè)務(wù)的IO、性能隔離需求。支持全局熱備盤技術(shù)，管理員可配置在集群中保留多塊磁盤作為熱備盤，分布在不同主機上，當任何一臺主機的任意一塊硬盤出現(xiàn)故障后，會自動選擇其中1塊熱備盤進行替換和重建。（2）服務(wù)器接入交換機參數(shù)要求指標項技術(shù)參數(shù)★固定端口千兆電口≥48個，10GSFP+萬兆光口≥4個；管理端口1個Console口交換機性能交換性能≥336Gbps；包轉(zhuǎn)發(fā)率≥144Mpps▲接入方式支持胖瘦一體化，支持智能交換機和普通交換機兩種工作模式，可以根據(jù)不同的組網(wǎng)需要，隨時在控制器平臺靈活的進行切換。提供平臺功能截圖證明；訪問控制策略支持基于交換機單端口、聚合口的ACL策略；支持基于源目IP地址、MAC地址的ACL策略；支持基于協(xié)議（例如：OSPF、UDP、ARP），同時支持自定義協(xié)議號的ACL策略；支持基于802.1p、IP及服務(wù)等級、DSCP的優(yōu)先級設(shè)置；▲交換機零配置上線方式二層廣播自動發(fā)現(xiàn)控制器平臺、配置靜態(tài)IP地址三層發(fā)現(xiàn)控制器平臺、DHCPOption43方式發(fā)現(xiàn)控制器平臺、DNS域名發(fā)現(xiàn)控制器平臺?！绘I替換支持通過控制器平臺一鍵替換“按鈕”即可完成故障設(shè)備替換。端口聚合支持端口聚合64個?！悄芙K端類型識別支持終端類型庫，基于指紋自動識別PC、路由器、監(jiān)控終端設(shè)備等，提供平臺終端類型識別庫截圖證明；支持基于終端類型自動識別結(jié)果，禁止非法終端(例如私接路由器)接入交換機畫像管理支持通過在控制器平臺的Web頁面對交換機進行可視化管理查看，包括交換機的端口狀態(tài)及配置、vlan信息。運維支持通過控制器平臺查看交換機處于工作端口的最近5分鐘、1小時、最近1天、最近1周發(fā)送與接收的流量趨勢；智能終端類型識別支持終端類型庫，基于指紋自動識別PC、路由器、監(jiān)控終端設(shè)備等。（3）虛擬存儲組網(wǎng)交換機參數(shù)要求指標項技術(shù)參數(shù)▲固定端口12個萬兆SFP+光口（含10個萬兆多模光模塊、10條光纖跳線）、12個千兆電口。整機功耗整機功耗≤40W。冗余性支持雙交流電源1+1冗余（非熱插拔）。管理端口1個Console口，1個Manage口。交換機性能交換性能：1.28Tbps，包轉(zhuǎn)發(fā)率：420Mpps。▲接入方式支持胖瘦一體化，支持智能交換機和普通交換機兩種工作模式，可以根據(jù)不同的組網(wǎng)需要，隨時在控制器平臺靈活的進行切換。訪問控制策略支持基于交換機單端口、聚合口的ACL策略；支持基于源目IP地址、MAC地址的ACL策略；支持基于協(xié)議（例如：OSPF、UDP、ARP），同時支持自定義協(xié)議號的ACL策略；支持基于802.1p、IP及服務(wù)等級、DSCP的優(yōu)先級設(shè)置；▲交換機零配置上線方式二層廣播自動發(fā)現(xiàn)控制器平臺、配置靜態(tài)IP地址三層發(fā)現(xiàn)控制器平臺、DHCPOption43方式發(fā)現(xiàn)控制器平臺、DNS域名發(fā)現(xiàn)控制器平臺、提供平臺功能截圖證明；▲一鍵替換支持通過控制器平臺一鍵替換“按鈕”即可完成故障設(shè)備替換端口聚合支持端口聚合128個?！悄芙K端類型識別支持終端類型庫，基于指紋自動識別PC、路由器、監(jiān)控終端設(shè)備等，提供平臺終端類型識別庫截圖證明；支持基于終端類型自動識別結(jié)果，禁止非法終端(例如私接路由器)接入交換機畫像管理支持通過在控制器平臺的Web頁面對交換機進行可視化管理查看，包括交換機的端口狀態(tài)及配置、vlan信息。運維支持通過控制器平臺查看交換機處于工作端口的最近5分鐘、1小時、最近1天、最近1周發(fā)送與接收的流量趨勢；智能終端類型識別支持終端類型庫，基于指紋自動識別PC、路由器、監(jiān)控終端設(shè)備等。五項目工期要求項目工期60天內(nèi)完成系統(tǒng)部署運行。六項目實施要求在系統(tǒng)驗收通過前，須派駐不少于1名經(jīng)驗豐富的工程師現(xiàn)場駐點實施。實施過程應(yīng)嚴格執(zhí)行相關(guān)的規(guī)范，并保證安全。應(yīng)在規(guī)定的時間內(nèi)，保證質(zhì)量，完成系統(tǒng)建設(shè)。實施過程中應(yīng)科學(xué)、合理地掌握與其他工作的協(xié)調(diào)、交叉。七售后服務(wù)要求免費維保本項目應(yīng)用系統(tǒng)從項目總體驗收合格之日（從雙方代表終驗簽字之日起計算）起，提供三年免費的軟件質(zhì)保服務(wù)。并且中標當年，需每半年安排工程師實地免費對系統(tǒng)巡檢一次，之后每年實地安排工程師對系統(tǒng)免費巡檢一次，人員具有豐富的項目運維經(jīng)驗的工程師為本項目提供巡檢，且技術(shù)支持人員是正式員工，任職一年以上，并確保巡檢駐點時間不少于2個工作日。技術(shù)服務(wù)為確保為本項目系統(tǒng)穩(wěn)定正常運行，需長期提供優(yōu)良的技術(shù)支持，保修期間的維護服務(wù)不收取任何額外費用，質(zhì)量保證期后，以合理價格提供軟件功能改進技術(shù)服務(wù)，保修期后的具體服務(wù)價格雙方另行協(xié)商。系統(tǒng)維護與