华为云服务概览与架构实践指南

本文系统梳理华为云（HUAWEI CLOUD）核心服务体系，涵盖计算、网络、存储、数据库、容器、安全等关键领域，并结合实际架构场景给出选型建议与最佳实践。面向有一定云计算基础、希望快速建立华为云全局认知的开发者与架构师。

一、华为云服务全景图

华为云提供超过 200+ 项云服务，按功能域可归纳为以下几大板块：

二、计算服务：从虚拟机到 Serverless

2.1 弹性云服务器（ECS）

ECS（Elastic Cloud Server）是华为云最基础的计算单元，提供可随时获取、弹性伸缩的计算能力。

关键概念：

• 规格（Flavor）：决定 vCPU 与内存配比，如 s6.large.2 表示 2 vCPU / 4GB 内存
• 镜像（Image）：操作系统模板，支持公共镜像、私有镜像、共享镜像
• 系统盘/数据盘：系统盘随实例创建，数据盘可独立挂载
• 安全组：实例级别的虚拟防火墙，控制入站/出站流量

选型建议：

通用场景    → s6 系列（性价比优先）
计算密集型  → c6 系列（vCPU : 内存 = 1:2）
内存密集型  → m6 系列（vCPU : 内存 = 1:8）
GPU 加速    → g 系列或 pi 系列（AI 训练/推理）

2.2 裸金属服务器（BMS）

BMS（Bare Metal Server）为用户提供专属的物理服务器，无虚拟化开销，适用于：

• 高性能数据库（如 SAP HANA）
• 大数据分析（Hadoop/Spark 集群）
• 对虚拟化性能损耗敏感的核心业务

2.3 云容器引擎（CCE）

CCE（Cloud Container Engine）是基于 Kubernetes 的容器编排服务，是云原生架构的核心。

架构层次：

┌─────────────────────────────────┐
│         CCE 集群（Cluster）       │
│  ┌───────────┐  ┌───────────┐   │
│  │ Master 节点 │  │  被托管    │   │
│  │ (API Server│  │  免运维    │   │
│  │  Scheduler)│  │           │   │
│  └───────────┘  └───────────┘   │
│  ┌─────────────────────────┐    │
│  │     Node 节点池           │    │
│  │  ┌─────┐ ┌─────┐ ┌─────┐│    │
│  │  │Pod-1│ │Pod-2│ │Pod-3││    │
│  │  └─────┘ └─────┘ └─────┘│    │
│  └─────────────────────────┘    │
└─────────────────────────────────┘

核心优势：

• Master 节点托管免运维，只需关注业务节点
• 支持节点池（Node Pool）批量管理节点，自动伸缩
• 与 ELB、EVS、VPC 深度集成，网络与存储开箱即用

2.4 FunctionGraph（函数工作流）

Serverless 计算服务，事件驱动、按需执行、毫秒级计费。适用于：

• 事件触发的轻量处理（OBS 上传触发图片压缩）
• 定时任务（TIMER 触发器 + Cron 表达式）
• API 后端的简单逻辑层

三、网络服务：构建云上拓扑

3.1 虚拟私有云（VPC）

VPC 是用户在华为云上创建的逻辑隔离的虚拟网络环境，是所有云资源的网络基础。

典型 VPC 架构：

VPC (10.0.0.0/16)
├── 公网子网 (10.0.1.0/24)  ← ECS + EIP（对外服务）
├── 应用子网 (10.0.2.0/24)  ← 应用层 ECS（仅内网）
├── 数据子网 (10.0.3.0/24)  ← RDS / DDS（仅内网）
└── 管理子网 (10.0.4.0/24)  ← 运维跳板机

安全组分层设计原则：

⚠️ 安全提醒：数据库安全组切勿对 0.0.0.0/0 开放，这是云上最常见的安全反模式。

3.2 弹性负载均衡（ELB）

ELB 将流量分发到多台后端服务器，实现高可用与水平扩展。

监听器协议选型：

• HTTP/HTTPS：七层负载，支持基于 URL、Header 的转发策略，适合 Web 应用
• TCP：四层负载，性能更高，适合数据库代理、非 HTTP 协议
• UDP：四层负载，适合 DNS、实时音视频等 UDP 协议场景

健康检查配置建议：

检查协议: HTTP
检查路径: /health
正常阈值: 3 次    # 连续 3 次成功标记健康
异常阈值: 3 次    # 连续 3 次失败标记异常
检查间隔: 10s
超时时间: 5s

3.3 NAT 网关

NAT 网关为 VPC 内的实例提供公网访问能力，无需为每台实例分配 EIP。

• SNAT：内网实例访问公网（如拉取外部 API、下载依赖包）
• DNAT：公网访问内网实例的特定端口（端口转发）

典型场景：私有子网中的 ECS 需要访问公网更新软件包，通过 SNAT 规则统一出口 IP，既节省 EIP 费用又便于审计。

四、存储服务：不同数据的不同归宿

4.1 对象存储服务（OBS）

OBS（Object Storage Service）提供海量、安全、高可靠的非结构化数据存储。

存储类别对比：

典型用途：

• 静态网站托管（配合自定义域名 + DNS 解析）
• 数据备份与归档（配合生命周期规则自动降级）
• 大数据分析的数据湖底座
• AI 训练数据集存储

4.2 云硬盘（EVS）

EVS（Elastic Volume Service）提供块存储，是 ECS 的数据盘载体。

磁盘类型选型：

关键特性：

• 支持快照备份，可基于快照创建新磁盘
• 支持在线扩容，无需停机
• 可从一个 AZ 的磁盘创建跨 AZ 的备份

4.3 SFS Turbo（弹性文件服务）

SFS Turbo 提供可共享的文件系统（NFS 协议），多台 ECS 可同时挂载访问。

适用场景：

• Web 服务器集群的共享静态资源
• 容器持久化卷（CCE 中多个 Pod 共享配置/日志）
• HPC 高性能计算的共享工作目录

五、数据库服务：托管即免运维

5.1 关系型数据库（RDS）

华为云 RDS 支持 MySQL、PostgreSQL、SQL Server、MariaDB 等主流引擎。

高可用架构：

                    ┌─── 主实例（AZ-1）───┐
应用层 ──→ RDS 读写  │                     │  同步复制
            │        └─── 备实例（AZ-2）───┘
            └──→ 只读副本（可横向扩展）

• 主备实例：跨 AZ 部署，主库故障自动切换到备库（秒级）
• 只读副本：分担读压力，最多创建 5 个
• 自动备份：默认每日全量备份，保留 7 天（可配置）

5.2 分布式数据库中间件（DDM）

当单库数据量达到瓶颈（通常 TB 级），DDM 提供分库分表能力：

• 对应用透明，SQL 自动路由到对应分片
• 支持读写分离
• 水平扩展，按需增加分片

5.3 文档数据库（DDS）

MongoDB 兼容的文档型数据库，适用于：

• 内容管理系统（CMS）的灵活 Schema
• 移动应用的用户画像与行为日志
• 物联网设备的时序数据存储

5.4 分布式缓存（DCS）

DCS（Distributed Cache Service）提供 Redis 兼容的内存缓存服务。

典型用法：

请求 → 查 DCS 缓存 → 命中？→ 返回
                        ↓ 未命中
                   查 RDS 数据库 → 写入 DCS → 返回

• 单机实例：开发测试，无高可用
• 主备实例：自动切换，适合生产
• 集群实例：分片 + 副本，适合大数据量、高并发

六、安全服务：纵深防御体系

6.1 身份与访问管理（IAM）

IAM 是华为云安全的基石，遵循最小权限原则。

核心模型：

用户（User）──加入──→ 用户组（Group）──绑定──→ 策略（Policy）
                                                         │
委托（Agency）─────────────────────────────────────────┘

• 用户组：按角色分组（如 admin、developer、readonly），统一授权
• 策略：JSON 格式定义允许/拒绝的操作（如 ECS:*:* 表示 ECS 全部操作）
• 委托：跨账号授权（如 A 账号的 CCE 集群访问 B 账号的 OBS 桶）

6.2 Web 应用防火墙（WAF）

WAF 在 HTTP/HTTPS 层面防护 Web 攻击：

• SQL 注入防护：自动识别并拦截恶意 SQL 语句
• XSS 防护：过滤跨站脚本攻击
• CC 攻击防护：限制高频访问，防止应用层 DDoS
• 自定义规则：基于 IP、URL、Header 的精准访问控制

6.3 DDoS 防护

• 基础防护：免费，自动为 EIP 提供 2Gbps 防护
• DDoS 高防：付费，T 级防护带宽，支持非华为云 IP 接入

七、监控与运维：可观测性三支柱

7.1 云监控（CES）

CES（Cloud Eye Service）收集云资源的指标数据，支持告警规则配置。

告警配置示例：

指标：CPU 利用率
统计方式：平均值
周期：5 分钟
阈值：> 80%
持续：连续 3 个周期
动作：通知（短信 + 邮件）→ 触发 AS 伸缩

7.2 云审计服务（CTS）

CTS（Cloud Trace Service）记录所有 API 调用，是合规审计与问题排查的利器：

• 谁在什么时间对什么资源做了什么操作
• 操作的请求参数与返回结果
• 支持追踪文件转存到 OBS 长期保存

7.3 日志服务（LTS）

LTS（Log Tank Service）集中收集、存储、查询日志：

• ECS 系统日志、应用日志
• CCE 容器日志
• ELB 访问日志
• 支持结构化查询与告警

八、架构实践：三层 Web 应用

以一个典型的电商应用为例，展示华为云服务的组合使用：

                        Internet
                           │
                    ┌──────┴──────┐
                    │   WAF 防护   │
                    └──────┬──────┘
                           │
                    ┌──────┴──────┐
                    │  ELB (HTTPS) │  ← SCM 证书
                    └──────┬──────┘
                           │
              ┌────────────┼────────────┐
              │            │            │
         ┌────┴────┐  ┌───┴───┐  ┌────┴────┐
         │ ECS-Web │  │ECS-Web│  │ ECS-Web │  ← AS 伸缩组
         │ (AZ-1)  │  │(AZ-2) │  │ (AZ-3)  │
         └────┬────┘  └───┬───┘  └────┬────┘
              │           │            │
              └───────────┼────────────┘
                          │
                    ┌─────┴─────┐
                    │  ELB (内网) │  ← 应用层负载均衡
                    └─────┬─────┘
                          │
              ┌───────────┼───────────┐
              │           │           │
         ┌────┴────┐ ┌───┴───┐ ┌────┴────┐
         │ECS-App  │ │ECS-App│ │ ECS-App │
         └────┬────┘ └───┬───┘ └────┬────┘
              └──────────┼──────────┘
                         │
              ┌──────────┼──────────┐
              │                     │
        ┌─────┴─────┐         ┌─────┴─────┐
        │ RDS 主备   │         │  DCS 缓存  │
        │ (跨 AZ)   │         │ (主备)     │
        └───────────┘         └───────────┘
              │
        ┌─────┴─────┐
        │  OBS 桶   │  ← 商品图片、静态资源
        │ (标准存储) │
        └───────────┘

设计要点：

1. 多 AZ 部署：Web 层和 App 层均跨可用区，单 AZ 故障不影响服务
2. 分层安全组：每层只放通上一层的来源，最小化攻击面
3. 读写分离：DCS 缓存热点数据，RDS 只处理缓存未命中的请求
4. 弹性伸缩：AS 监控 CPU 利用率，高峰自动扩容、低谷自动缩容
5. 静态资源分离：图片存 OBS，减轻应用服务器负担，CDN 加速分发

九、成本优化建议

十、总结

华为云提供了从基础设施（IaaS）到平台服务（PaaS）的完整服务栈，核心优势在于：

1. 全栈能力：计算、网络、存储、数据库、安全、AI 一站式覆盖
2. 云原生优先：CCE + 容器化是推荐的现代化部署路径
3. 安全合规：IAM + 安全组 + WAF + 审计构成纵深防御
4. 弹性经济：AS + 多种计费模式 + 存储分级，灵活控制成本

学习路径建议：

入门：ECS + VPC + EVS           → 跑起一台云服务器
进阶：ELB + AS + RDS            → 构建高可用 Web 应用
云原生：CCE + OBS + ELB         → 容器化部署
高级：IAM + WAF + CES + CTS     → 安全与可观测性
IaC：Terraform + 华为云 Provider → 基础设施即代码

华为云的产品线持续演进，本文基于 2024-2025 年的服务体系梳理。具体服务特性与计费细节请以华为云官方文档为准。

本文由 AI 架构助手生成，旨在帮助开发者快速建立华为云全局认知。如有不准确之处，欢迎指正。