摘要：近年来，随着云计算技术的日益成熟，以云计算为基础的信息科技新基建，以其技术先进、安全可靠、高可用等优势，成为国有大行IT新型基础设施建设的首选。内蒙农信以分布式架构转型为目标，引入专有云TCE平台，实施计算、存储、网络及应用、数据库分布式架构转型工作，基于资源
获奖单位：内蒙古农信
荣获奖项：基础设施创新优秀案例
一、项目背景
近年来，随着云计算技术的日益成熟，以云计算为基础的信息科技新基建，以其技术先进、安全可靠、高可用等优势，成为国有大行IT新型基础设施建设的首选。内蒙农信以分布式架构转型为目标，引入专有云TCE平台，实施计算、存储、网络及应用、数据库分布式架构转型工作，基于资源池和统一管控实现底层资源的集中管理。
内蒙农信云平台涵盖分布式数据库、弹性缓存、分布式消息队列、分布式存储以及微服务框架TSF等组件，构建了集资源管理、微服务开发、服务治理和服务运维为一体的微服务平台，提供应用全生命周期管理，统一配置管理，调用链跟踪，数字化运营等能力。
随着架构转型步伐的加快，云平台的推广应用，内蒙农信逐渐形成两种技术架构：传统的应用部署在云下虚拟化环境和IBM小型机环境，通过搭建“一条总线多个平台”的应用体系架构，建成了基于企业服务总线的系统架构和基于数据平台的数据集成架构；而云上应用采用虚拟化和微服务技术架构，建成了基于API/微服务网关的系统集成架构。云上业务系统与云下传统业务系统之间的技术框架和对接协议都存在较大的差异，如何实现云上云下异构应用快速集成互通是内蒙农信在分布式架构转型中面临的一个难题。
二、项目方案
为解决云上云下应用快速集成互通问题，内蒙农信启动云上云下一体化交互服务融合平台项目建设。基于服务融合平台强大的跨网调用、异构系统适配和协议转换等能力，降低了异构应用之间对接集成的复杂度，将各个业务系统连接起来，实现云上云下的服务融合。
（一）项目整体部署方案
自治区联社专有云TCE平台分为互联网VPC和业务核心网VPC；互联网开放平台等对外应用部署在互联网VPC，而ECIF等关键业务系统部署在业务核心网VPC。系统整体部署架构图如下图1所示。
图1 系统整体部署架构图
分别在互联网VPC和业务核心网VPC各部署一套服务融合平台，即“准入/API网关”，实现互联网应用和内网应用的管理。其中互联网VPC的“准入/API网关”搭配互联网DMZ区的接入网关使用。
互联网VPC和核心网VPC的网关均可直接对接云下ESB，实现云上云下业务系统之间的互联互通。
（二）项目实现方案
1.实现云上云下异构系统之间的协议适配和转换
云上业务和云下业务存在较大的技术框架和协议差异，云上业务采用微服务框架，HTTP协议、JSON数据格式，云下业务采用企业服务总线技术框架管理，HTTP协议和TCP协议混合，XML数据格式，因此需要通过服务融合平台进行协议和数据格式的转换，降低异构应用之间对接集成的复杂度。系统调用关系如下图2所示。
图2 系统调用关系
云上业务调用云下业务时，云上业务通过服务融合平台进行调用，服务融合平台将报文格式从JSON格式转换为XML格式，并通过ESB将请求转发至云下业务系统。其中，当云上统一支付业务调用云下渠道整合系统时，服务融合平台直接转发给渠道整合系统，并进行HTTP协议向TCP协议的转换，同时报文进行JSON格式向XML格式的转换。
云下调用云上业务时，云下业务通过ESB进行调用，ESB将请求报文转发至服务融合平台，服务融合平台将报文格式从XML格式转换为JSON格式，再将请求转发至云上业务系统。
2.实现云上云下业务调用的安全访问控制
云上云下接口互相调用时，需要通过服务融合平台进行安全访问控制，实现API访问的安全、受控。
云上业务调用云下API服务时，按照服务融合平台的安全设计，需进行服务的订阅申请授权和服务鉴权校验。在API调用之前，云上业务需要先进行目标API服务的订阅申请，由服务提供方授权通过后，才可进行调用。在调用时，服务请求方需按照服务融合平台的统一服务鉴权要求，基于应用id和应用token生成加密签名放入请求头中。服务融合平台收到API调用请求时，会对签名进行校验，判断调用方在服务融合平台中的应用身份，并判断该应用是否具备目标API服务的调用权限，均校验无误后才会放行至后端服务，保障整个调用过程中的安全、受控。
云下业务调用云上API服务时，均通过ESB企业服务总线来调用服务融合平台上的API服务，考虑到ESB服务总线和云下业务难以改造，且均为存量业务，云下已有相应安全控制，因此通过IP白名单方式进行安全鉴权，只允许ESB节点发起请求。
三、创新点
基于专有云TCE平台，内蒙农信实施了统一身份认证服务平台、企业级客户识别系统ECIF、新一代票据业务前置系统、新一代客户服务系统等20余套新建系统全部云上部署，并将法人机构100余套应用系统纳入行业云管理。通过搭建云上云下一体化交互服务融合平台，实现了云上云下应用的快速集成。主要创新点如下。
（一）云上云下互通创新，打破异构应用的集成壁垒
内蒙农信在数字化转型的进程中，面临的一大挑战即是云上云下业务系统的集成问题。服务融合平台，提供了强大的跨网调用、异构系统适配和协议转换等能力，不仅支持云上云下不同网络环境、不同业务系统的API服务统一管理，还实现了跨云跨网跨系统的API调用。无论是微服务架构的新业务还是传统单体应用，都能轻松实现跨环境的互通。
这种创新的互通模式降低了异构应用之间对接集成的复杂度，不仅极大地简化了集成流程，降低了技术门槛，更为业务的快速迭代和拓展奠定了基础。这种互通模式的实施，不仅提升了云上云下互通的灵活性，也为内蒙农信未来的业务扩展提供了更多可能性，真正实现了技术与业务的深度融合。
（二）安全保障机制创新，提供安全可靠的金融服务
安全始终是金融服务的底线。业务上云实现了业务创新，但新的业务场景也带来了新的安全问题。通过服务融合平台网关的安全鉴权、访问控制等安全能力，结合TSF微服务框架、云防火墙等组件，形成完整的安全保障机制，保护内蒙农信API，提高对外服务安全性。
1.收敛业务对外暴露面，构建多层安全防护机制
内蒙农信在API访问链路上，建立了多道安全防线。在最外侧，通过云防火墙过滤恶意攻击流量。在网关层面，通过接入网关提供服务的对外统一入口，收敛业务暴露面；通过准入网关实现在应用访问过程中对访问用户的身份鉴权和准入控制；通过API网关实现对内部服务API请求的服务鉴权和安全访问控制，保障了内部业务对外访问的安全、受控。
2.基于服务融合平台和微服务框架，建立服务融合支撑底座
基于服务融合平台和TSF微服务框架，形成面向业务微服务的整体服务融合支撑底座，对业务南北向流量和东西向流量进行综合管控。服务融合平台网关负责管控业务的南北向流量，对于互联网大规模并发访问以及云上云下互通访问提供流量控制、负载均衡、协议转换等服务支撑能力，有效保护内部应用和服务不被突发峰值流量冲垮；而TSF微服务框架负责治理业务的东西向流量，提供微服务内部的服务注册发现、限流、熔断、负载、鉴权等支撑能力。
四、项目过程管理
内蒙农信于2023年7月启动项目立项，2023年12月开始实施，2024年3月完成云上云下一体化交互服务融合平台部署，3月至6月全区试运行。目前系统运行平稳，圆满完成项目建设目标。
五、运营情况
基于腾讯云平台pass层组件，打造了符合内蒙农信架构的云原生能力。按照规划，新增服务坚持云原生路线，统一使用腾讯云平台微服务组件TSF，由TSF统一进行服务管控；存量异构服务采用service mesh适配TSF微服务框架。目前云上部署自治区联社近20套高频交易系统，云上业务系统与传统云下100余套应用系统交互，统一通过服务融合支撑平台，系统运行稳定。
六、项目成效
服务融合支撑平台的搭建，建立了云上云下异构应用通信的机制，支撑了研发运维一体化Devops、统一身份认证服务平台等应用，打通研发、测试、运维环节，实现了持续集成、持续交付、自动化测试等能力。
本文以统一身份认证服务平台为例。该平台部署在云上核心区，采用service mesh方式适配腾讯云TSF微服务框架，为实现用户、权限、认证的统一管理，该平台需与云上、云下众多业务系统安全对接。依托服务融合平台，将云上和云下不同应用接口进行报文协议和数据格式转换，降低30余套异构应用之间对接集成的复杂度，提高集成效率。
服务融合支撑平台实现了云上和云下企业服务总线的总对总对接，建立了云上云下一体化交互体系，使全局服务治理更加规范高效；建立了网络安全准入机制，提供统一的限流、熔断、负载等管控能力；支持业务流向可视化，使服务间调用更加安全便捷。对加快内蒙农信架构转型提供了有力支撑。
七、经验总结
内蒙农信依托云平台建设，形成了分布式计算框架、微服务技术架构，打造了自治区联社各法人机构共享的行业云平台，支撑了应用快速迭代和业务创新。服务融合平台的搭建，夯实云平台架构底座，建立了互联网接入以及云上云下访问的通用标准架构，助力内蒙农信架构转型。
内蒙农信将继往开来，继续深化PASS层组件应用，为内蒙农信打开对外开放的大门，助力推进场景生态建设；架起应用间沟通的桥梁，拓宽产品创新渠道，拓展市场空间，满足区内人民日益丰富的金融服务需求，坚定不移履行好服务三农三牧、践行国家乡村振兴战略的崇高使命。
更多金融科技案例和金融数据智能优秀解决方案，请在数字金融创新知识服务平台-金科创新社案例库、选型库查看。
来源：做个梦给你1128
