如图所示，融合媒体云的安全系统建设包括四大部分。第一，融媒云系统与电视台内部各大IT系统之间的边界防护，包括与办公网、现有生产网系统等，需部署相应的高安全区、数据交换隔离区。第二，融媒云与外部各网络系统之间的边界防护，包括与Internet、第三方合作伙伴、公有云和专属云之间对接时需设置相应的外延域边界安全防护区。第三，融媒云内部各业务部门拥有的云资源之间的安全隔离、安全访问控制，以及具体业务应用需要数据库审计、Web防护、负载均衡等安全服务，这依赖于融媒云内部署的云内安全资源池所提供的云安全资源。第四，融媒云的运维安全需要考虑对运维人员身份的验证、运维权限的分配、运维行为的实时监控、运维终端的安全接入等多个方面，方案规划在云平台管理区设置云运维的安全接入和运维审计系统。

云内安全资源池的建设是当前的热点和难点，超越了传统IT安全技术的范畴，方案采用了新的安全服务链和安全虚拟化技术。

首先，因为云平台内的业务主机为虚机形式，虚机在云平台内的迁移时常发生，其物理位置是动态变化的，这导致传统IT安全所采用的“确定业务边界，划分安全域”的“围防”安全思想不再有效。云平台上业务系统的安全防护必须能够随业务虚机的位置变化实现“业务安全域”的动态重构，即安全服务能够动态跟踪虚机之间、虚机与外部网络之间的流量路径变化，在该路径上动态加载相应的防火墙、负载均衡、IPS等安全服务，这类似于“塔防”游戏的思路。

第二，云计算的最大价值在于对IT资源的虚拟化和按需分配，提升IT设备的资源利用率。如何实现安全设备资源的虚拟化和为云租户的业务进行按需分配？方案对云内安全资源池中的高性能防火墙、负载均衡、IPS等硬件安全设备实现了虚拟化，包括基于H3C安全集群框架（SCF）的多机的N:1虚拟化和基于H3C SOP架构的单系统的1:N虚拟化。云管理平台根据云用户的需求调用SDN控制器实现对虚拟安全资源的分配、部署。

后续我们会就云安全服务链和安全设备资源虚拟化技术分专题再做详细介绍。