混合云构建是将企业本地数据中心资源与云资源的集成。对于大多数企业而言，为降低IT的成本和实现业务快速创新而采用云计算，在混合架构中是必然的选择。迁移老的应用和系统上云是有一定的时间和成本消耗，因此，选择一家能够帮助企业实施全面混合战略的云计算厂商，这对简化企业IT运营以及更轻松地实现业务目标至关重要。
企业对云的安全性要求优先级也是最高的，我们可以通过不同的云架构满足不同级别的安全要求，利用云计算的优势只需要给使用的服务付费，在保护云上资产安全的同时降低为安全消耗的成本。
阿里云数据中心遍布全球14个区域，通过架构的设计可以使用跨可用区、跨区域的方式部署实现同城异地应用和数据级的灾备方案，提供企业系统的业务连续性。
目前企业也需要云能够提供企业级的管理、监控、审计、安全等云服务功能来构建满足一些特定行业、国家的合规性法规和审计标准，目前阿里云共云已经通过等保3级，金融云通过等保4级。根据监管部门明确的结论复用原则，阿里云上的租户系统通过等级保护测评时，物理安全、部分网络安全和安全管理的结论可以复用，阿里云可提供说明
阿里云提供企业云财务管理服务实现企业多云账号的统一支付、开票、查账。账号体系包含总部账号和下级单位账号，类似主子账号，通过总部账号可以对下级单位账号的现金和信用额度的划拨、代金卷的分配，也子账号可以进行发票和消费进行统一管理，子账号也可以对账号内的资源来进行分组做财务核算。通过云财务管理可以实现企业多云账户的财务灵活管理，如果有这个需求的企业用户可以通过您的阿里云客户经理提出申请。
我们可以通过阿里云上不同网络产品组合搭建网络基础架构，比如VPC虚拟专有网络可以实现自定义网络环境，通过虚机交换机将专有网络私有IP地址划分为一个或多个子网，根据需求将不同功能服务部署到不同的子网中，比如直接公网访问的服务部署DMZ，管理模块的服务部署运维和管理子网，应用服务和数据库服务部署到私有子网，另外可以根据业务需求配置虚拟路由器的路由规则，设置VPC网络流量转发策略和路径。VPC主要基于OverLay技术实现网络虚拟化，保障VPC之间网络逻辑隔离，并且通过安全组可以实现不同安全域的网络隔离，比如给比如每个子网从逻辑上放到一个安全组，可以实现子网之间的网络访问控制。公网SLB提供互联网接入和负载均衡能力，弹性IP/NAT网关也提供VPC对公网出入访问能力。通过物理专线+高速通道或VPN网关可以实现云上VPC与云下数据中心互联，轻松构建混合云架构。
阿里云提供云盾整套安全解决方案，包括了网络/主机/应用/数据等各个层面的安全产品，比如通过DDoS高防保障网络防护安全，通过安骑士提供服务器主机层的安全防御，CA证书服务和WAF提供应用层的的安全防护，数据库审计和加密服务提供数据层的安全保障。另外还有数据风控和绿网可以保障业务层的安全。另外除了各个层面的防御产品外，阿里云也有态势感知、安全管家、先知等云安全管理和测评服务，帮忙客户主动发现和管理安全威胁、加强安全防御体系。包括各云基础云产品也提供安全组和白名单的方式来进行访问控制、以及通过RAM访问控制管理和授权云服务访问权限，将云上资源访问控制统一管理。我们可以看到通常的3个访问路径，首先是互联网业务用户访问，先经过DDoS和WAF安全过滤后才能到达业务系统。运维访问通过物理专线从云下IDC或者通过VPN连接到云上堡垒机，通过堡垒机进行运维访问管理云上服务器和数据库，并记录运维操作和高风险操作拦截。云服务管理访问者需要通过访问控制进行认证后才能进行相关云资源操作，并且资源类变更操作会在操作审计中进行记录
我们在云上帮助应用系统在设计和部署时，可以基于阿里云强大的基础设施，搭建同城异地灾备架构，实现同城高可用和异地灾备，保证应用和业务的恢复时间远远小于数据中心或物理设备的恢复时间，降低容灾系统建设成本和管理维护难度。阿里云SLB和RDS原生支持跨可用去部署，当发生故障后自动切换，不需要人为干预，而且没有额外的成本。我们看一下图中杭州Region的里面的架构，SLB和RDS都是跨可用区实例，只需要将中间层ECS实例分布部署到不同的可用区实例。另外我们在上海region通过DTS数据传输服务搭建灾备实例部署异地容灾环境，实现应用和数据级别的容灾，当杭州Region出现故障的时候，我们通过修改DNS云解析，将流量切换到上海灾备环境，提高业务连续性
在这里我们先介绍一下这家企业上云的背景，这个客户是某世界500强外企，中国区刚好有个机房准备下线搬迁，希望能够快速迁移到云环境，利用云计算满足客户对计算和存储的需求，实现IT创新和成本降低。但在前期目标中，是希望快速将下线机房的应用迁移上云，并满足企业安全和合规要求。所以提出以下“平滑上云”需求：1.应用不改，在应用不改造的情况下从云下IDC环境平滑迁移到云上环境 2.组织不变，从维护物理环境到维护云平台环境，组织结构基本不变 3.业务体验一致，关键应用云化后，在业务体验、安全性、连续性需要保持或提高
先看一下企业的云账号架构，通过结合企业管理需求和之前讲企业云财务管理的功能特性，总部账号为部门级Root账号，下级单位账号作为资源账号、备份账号、统一审计账号。资源账号主要用于管理云资源，给IT管理服务供应商合作伙伴使用。备份账号主要用于备份数据存储使用账号。审计账号用于审计活动访问使用。资源账号通过RAM访问控制的角色扮演功能赋予备份账号备份数据功能，赋予审计账号只读权限来进行审计访问
这家企业云上VPC的架构设计，生产和非生产环境使用不同VPC，实现网络隔离，生产环境部署生产业务系统资源，非生产系统部署测试、开发、验收环境等资源。生产和非生产VPC部署不同的云账号，另外根据需要可以不说额外的VPC，比如IP地址限制、额外的隔离。结合虚拟交换机和安全组实现子网划分和网络安全隔离，DMZ子网区域用于部署互联网暴露的资源，运维和管理子网部署运维和管理的资源，私有子网部署应用程序和数据服务资源。不同的VPC可以通过高速通道打通实现VPC互联，比如生产环境管理子网的资源需要访问管理非生产环境资源。
企业运维管理访问主要通过物理专线访问云上堡垒机后，通过堡垒机进行各项运维操作，对云资源的管理直接通过阿里云WEB控制台或Open API进行访问管理。