1. 项目启动与需求评估
- 目标：明确要迁移的服务（教学网站、LDAP、学籍库、文件共享、科研计算节点等）。- 步骤：列出每台服务器名称、IP、OS、CPU/内存、存储、依赖服务、带宽、峰值并发与RPO/RTO 要求。用表格（CSV/Excel）记录并计算优先级。
- 输出：形成迁移清单和业务影响矩阵，标注必须本地保留的数据/应用（出于法规或低延迟需求）。
2. 选择云厂商与服务模型
- 比较：AWS/Azure/GCP/阿里云/腾讯云的本地接入点、教育折扣、数据驻留、互联方案（Direct Connect/ExpressRoute/专线）。- 建议：对延时敏感或需数据驻留的服务使用混合模式；对于教学网站、静态内容和非敏感科研计算优先上云。
- 输出：确定主云+辅助云或单云+专线方案，并获得预算批准。
3. 网络与互联设计（包含专线与VPN）
- 设计：规划CIDR、子网、公私网划分、防火墙规则、NAT。建议保留本地核心网段并在云端用专线直连，备用用IPsec VPN。- 实操示例：建立IPsec VPN（StrongSwan）或使用云厂商VPN网关。示例StrongSwan配置片段：conn macau-cloud
left=%defaultroute leftsubnet=10.0.0.0/24 right=<云端网关IP> rightsubnet=172.16.0.0/16 ike=aes256-sha256-modp2048.
- 验证：ping、iperf3 测试带宽与丢包；记录延迟并与SLA对比。
4. 身份与访问管理与安全加固
- 步骤：在云端启用IAM、MFA，配置最小权限策略；同步校园AD/LDAP（使用AD FS 或 AWS Directory Service）。- 实操：配置AD同步示例：使用Samba、AD Connect或LDAP TLS加密通道（openssl s_client -connect ldap.example:636）。
- 日志与监控：启用云端审计日志、SIEM 集成（例如CloudWatch/CloudTrail或阿里云日志服务）。
5. 数据迁移策略与工具
- 分类迁移：数据库用逻辑备份+增量复制（mysqldump + binlog 或 MySQL replica；Postgres 用 pg_dump + pg_basebackup 或 logical replication）。文件用rsync或Rclone，镜像用qemu-img/云端镜像导入工具。- 示例命令：mysqldump -u root -p --single-transaction --databases dbname > dbname.sql；rsync -avz --progress /data/ user@cloud:/mnt/data/；scp dbname.sql clouduser@cloud:/tmp/。
- 大数据量：先冷备份上传到对象存储（分段上传），在云端恢复并做增量同步。
6. 应用迁移方式（Lift-and-shift / Replatform / Refactor）
- 判定：无时间改造选择Lift-and-shift（VM 迁移）；可接受改造选择容器化或PaaS。- 工具：VM迁移使用厂商迁移服务或将VMDK/QCOW2上传到对象存储，再用云镜像导入；容器化用Dockerfile+Kubernetes，状态服务用PersistentVolume+云存储类。
- 验证：流量切换前在云端用灰度IP或代理进行压力测试。
7. 混合方案部署建议（具体分层）
- 建议架构：前端静态资源与教学平台上云（CDN+云负载），数据库敏感副本保留校园内，使用双向复制或异地读副本。- 同步方式：MySQL 主从/异步复制，或双写策略并用冲突解决；采用消息队列（Kafka/RabbitMQ）缓冲写入以应对网络波动。
- 例子：将 /static 放到对象存储并用CDN，业务API部署云端并通过VPN访问本地DB读写受限表。
8. 备份、容灾与回退规划
- 备份策略：制定RPO/RTO，云端启用快照与对象存储版本控制，本地保留异地冷备。- 演练：创建回退Runbook，包含回退步骤（DNS回滚、DB回退到备份并重启服务），并定期演练。
- 示例回退命令：mysql -u root -p < dbname_pre_migration.sql；修改DNS TTL 为低值（例如60秒）以便快速切换。
9. 测试、性能验证与上线切换步骤
- 流程：功能测试 -> 性能测试（负载）-> 安全渗透测试 -> 灰度流量 -> 全量切换。- 切换步骤示例：1) 在低峰时间将只读流量切到云端；2) 同步最后增量；3) 将写流量切换并监控错误率；4) 保持回退通道直至稳定。
- 指标：监控响应时间、错误率、事务延迟与数据库复制延迟。
10. 成本估算与治理
- 成本项：计算实例、存储、带宽（出/入）、专线费用、运维人员培训与增量支持。- 控制建议：使用预留实例或包年包月、生命周期策略清理冷数据、引入成本标签和预算告警。
- 输出：形成TCO 报表与可比分析，供校方决策。
11. 合规与数据主权注意项（澳门相关）
- 合规点：确认涉及学生/教职工个人信息的处理是否有特别法规或跨境限制，必要时保留本地化存储并对外提供脱敏数据。- 加密：传输 TLS，静态加密（KMS 管理密钥），并记录密钥管理与访问审计。
- 建议：与校法务确认并纳入合同条款（数据处理协议与SLA）。
12. 迁移后的运维与优化清单
- 运维：建立告警、自动扩缩容策略、日志集中（ELK/Cloud Logging）、定期安全扫描。- 优化：使用CDN、缓存（Redis）、读写分离与连接池，针对教学高峰期做预扩容。
- 文档化：保留Runbook、架构图、恢复步骤与SOP，便于交接与审计。
13. 常见问题：为何选择混合云而非全部上云？
- 回答：混合云兼顾数据主权、延迟与成本，可将敏感数据库、本地设备/科研设备保留校园内部，前端与弹性计算资源上云以提高可用性与扩展性；实现平衡风险与收益的方案。
14. 常见问题：如果迁移失败如何快速回退？
- 回答：预先准备回退Runbook（DNS TTL 降低、最后增量备份、DB 回滚脚本、保留本地服务副本），切换时保持双写或短暂只读窗口，若问题则立刻执行DNS回滚并恢复本地写流量，演练确保时间窗内完成。
