專利名稱：用于根據(jù)所分配的權(quán)限信息運行虛擬機的方法和設備的制作方法
技術(shù)領域：
本發(fā)明涉及允許有效地建立權(quán)限以運行虛擬機的方法以及設備。此外，本發(fā)明涉及用于保護虛擬機免遭未經(jīng)授權(quán)的運行的方法。
背景技術(shù)：
云計算提供基于新的商業(yè)模型提供服務的可能性。云計算服務在此可以在不同的層面上提供
-基礎設施潛在的客戶租用純計算性能來實現(xiàn)其自己的服務。云計算為此使用或者集中位于ー個地點或者也可以互連以提供靈活的服務的計算中心。 -平臺客戶獲得對平臺的訪問，該平臺一方面包含用于提供服務的基礎設施并且另一方面包含可用于產(chǎn)生服務的特定軟件(中間件)。-軟件客戶獲得對完整的、基于web來提供期望服務的應用的訪問。對所有方式都有共同的要求所基于的基礎設施應當可以根據(jù)調(diào)用而提供。在此，所提供的基礎設施應當可以被盡可能靈活地處理，從而非?？焖俚財U展計算性能并且服務的分布可以動態(tài)地與計算機匹配。針對于此的可能性提供虛擬化的技術(shù)，借助該技術(shù)可以在計算機上通過所謂的超級監(jiān)視器(Hypervisor)來實施完全獨立的所謂虛擬機?，F(xiàn)代的虛擬化解決方案可以用相應的硬件支持來對任意的操作系統(tǒng)、運行時間環(huán)境和應用進行虛擬化。運行的虛擬機可以隨時存儲在所謂的映像中并且在任意的其它計算機上用超級監(jiān)視器再度反射進來并在那里繼續(xù)實施。這被稱為虛擬機的“遷移”。該技術(shù)過程的優(yōu)點是，通過在ー個服務器上實施多個虛擬機，服務器能更好地滿負荷。另ー個優(yōu)點是，可以對各個虛擬機的提高或減少的要求進行靈活的反應。從而例如可以將具有提高的資源需求的虛擬機暫時轉(zhuǎn)移到更強大的服務器上并在那里繼續(xù)實施。由于云計算供應商的基礎設施的全球分布，虛擬機可以全世界范圍地遷移。但是在此要注意法規(guī)要求的影響，例如在ー些國家中禁止引入特定技術(shù)。此外有問題的是，云計算基礎設施的用戶位于被其它國家禁運的國家中。在這樣的情況下，這樣的客戶的虛擬機僅允許在少數(shù)國家中實施或只能帶有特定限制地實施。此外，在虛擬機或者在運行時間遷移或者還為了存儲在硬盤上以用于稍后的實施而遷移的情況下，要保證數(shù)據(jù)的安全性，以阻止對虛擬機的未經(jīng)授權(quán)訪問。其它要求可以針對不同的客戶期望而產(chǎn)生。云計算基礎設施的潛在用戶可能希望仍進一歩限制用于提供服務的參與各方的范圍。云計算服務的其它客戶又希望確保特定的虛擬機在其云計算基礎設施的專用主機上運行。

發(fā)明內(nèi)容
因此，本發(fā)明的任務是說明ー種用于存儲、遷移和/或用于運行虛擬機的方法，利用該方法通過權(quán)限所有人建立可預先規(guī)定的權(quán)限并且阻止未經(jīng)授權(quán)的訪問。根據(jù)本發(fā)明，在用于通過控制實體來保護虛擬機的方法中實施以下步驟-產(chǎn)生該虛擬機的副本，
-用秘密密鑰對復制的虛擬機進行加密，
-提供至少ー個包括所述秘密密鑰和使用權(quán)限的權(quán)限信息，
-將所述權(quán)限信息分配給加密的虛擬機，
其中將加密的虛擬機以及所分配的權(quán)限信息可調(diào)用地存儲起來，
以及可以根據(jù)可預先規(guī)定的使用權(quán)限對虛擬機進行解密和運行。
通過本發(fā)明的方法，保護虛擬機的映像(副本)不受未經(jīng)授權(quán)的訪問，而與該映像在哪里以及如何存儲或傳輸無關。尤其是還實現(xiàn)防止對在基礎設施運營商那里存儲的映像進行離線分析的保護，因為所保護的映像以加密形式存在。權(quán)限信息可以針對虛擬機的至少一部分來定義訪問信息或訪問權(quán)限。例如可以使例如借助IP地址和/或IP范圍設定的特定的計算單元僅對虛擬機的各個部分獲得權(quán)限。這些權(quán)限例如還可以是虛擬機與云計算基礎設施中的專用計算機的結(jié)合。在此，特定的虛擬機只允許在特定的、已設定的計算機上實施或者只允許在滿足特定標準(例如國家，對計算機池的所屬性)的計算機上實施。但是，這些權(quán)限也可以涉及只允許實施特定虛擬機的計算機。因此，在此對于計算機來說受限的是，其允許實施哪些特定虛擬機或虛擬機必須滿足哪些標準(例如僅僅分配給特定用戶的虛擬機)才允許該計算機實施該虛擬機。權(quán)限信息描述了特定的活動方針對所提供的虛擬機具有哪些使用權(quán)限或使用限制。針對通過主機的實施的使用限制例如涉及
-外部控制的功能
-虛擬機的擁有者已定義的權(quán)限，例如實施國家、基礎設施所屬于的供應商、公司策略預先規(guī)定等等，
-通過云計算供應商對實施環(huán)境的限制，例如用于分離客戶。
-只有具有特定服務水平協(xié)議的客戶(優(yōu)質(zhì)客戶)才有權(quán)得到的功能。權(quán)限信息可以與虛擬機一起和/或與虛擬機分開地提供。此外可以由第一服務器提供權(quán)限信息而由第二服務器提供虛擬機。如果為了實施虛擬機還需要其它單元，則權(quán)限信息同樣可以指定這些其它單元。根據(jù)本發(fā)明，在一種通過控制實體根據(jù)權(quán)限信息來運行虛擬機的方法中實施以下步驟
-請求分配給虛擬機的至少ー個權(quán)限信息，
-從至少一個所請求的權(quán)限信息中確定用于運行虛擬機的使用權(quán)限，以及 -在確定用于運行虛擬機的使用權(quán)限時從至少一個所請求的權(quán)限信息中確定密鑰，
-利用所確定的密鑰對虛擬機進行解密并且在所確定的使用權(quán)限的范圍內(nèi)運行解密的虛擬機。通過虛擬機可以執(zhí)行模擬、仿真、虛擬化和/或其至少一部分。例如，虛擬機部分通過仿真以及部分通過虛擬化來執(zhí)行。在此，主系統(tǒng)(也稱為客系統(tǒng))的物理硬件単元被模擬。例如，該主系統(tǒng)包括根據(jù)交換數(shù)據(jù)載體起讀取設備作用的物理硬件単元。可以在虛擬機中根據(jù)模擬來模仿例如CD讀取設備的物理硬件単元。在此，虛擬機提供物理CD讀取設備的至少一部分功能。虛擬機由此可以是一定數(shù)量的控制指令，這些控制指令提供ー個物理硬件単元或多個相互作用的物理硬件単元。由此根據(jù)至少ー個所提供的權(quán)限信息產(chǎn)生的虛擬機因此是根據(jù)所提供的規(guī)范的主系統(tǒng)反映。對物理硬件単元的模擬尤其是在該物理硬件単元處于運行中并且該運行不能中斷的情況下是有利的。如果該物理硬件単元例如提供服務，則可以對該物理硬件單元進行模擬，并且在使用所模擬的虛擬硬件単元的情況下可以確定對該物理硬件単元的要求參數(shù)。由此所提供的服務可以在不中斷物理硬件単元的情況下提供。尤其是可以基于軟件來執(zhí)行硬件単元的模擬。為此可以在不修改物理計算機系統(tǒng)的情況下系統(tǒng)地以及可重現(xiàn)地改變運行參數(shù)記錄。 所述模擬也可以促成仿真或虛擬化。在此，仿真可以包括通過虛擬硬件單元來部分提供功能，其中沒有提供的功能可以由物理硬件単元提供。在此，虛擬化可以包括通過虛擬硬件単元提供功能。所模擬的硬件単元虛擬地存在并且例如通過軟件部件和/或通過庫來描述和/或模擬。物理硬件単元物理地、即物質(zhì)地存在。仿真可以包括通過虛擬硬件単元部分提供功能，其中未提供的功能可由物理硬件単元提供。例如，在仿真時可以通過虛擬硬件単元對硬盤的第一數(shù)據(jù)組實施讀取訪問，并且通過物理硬件単元對硬盤的第二數(shù)據(jù)組進行寫入訪問。虛擬化在此描述通過虛擬硬件單元來完整地提供功能。例如，在對物理硬盤的虛擬化情況下通過虛擬硬盤實施物理硬盤的功能，例如數(shù)據(jù)組的讀取和寫入。在此，虛擬硬盤是通過仿真或虛擬化提供物理硬盤的功能的虛擬硬件単元。例如存儲容量的虛擬硬件単元的運行參數(shù)在此可以在使用物理硬盤的情況下提供。由此，將物理計算機系統(tǒng)模擬為虛擬計算機系統(tǒng)，其中虛擬計算機系統(tǒng)又可以由多個虛擬硬件單元組成。因此，通過權(quán)限信息可以更精細地以及關于多個特性地描述對虛擬機的訪問和使用權(quán)限。在根據(jù)本發(fā)明的方法的另ー實施方式中，依據(jù)權(quán)限信息產(chǎn)生針對虛擬機的策略。這所具有的優(yōu)點是，可以重新使用已經(jīng)建立的用于使用虛擬機的方法。在根據(jù)本發(fā)明的方法的另ー實施方式中，依據(jù)所產(chǎn)生的策略來配置、描述和/或?qū)嵤┨摂M機。這所具有的優(yōu)點是，該策略既可以在虛擬機的運行時間又可以在虛擬機的產(chǎn)生時間應用。本發(fā)明的其它有利設計是從屬權(quán)利要求以及下面描述的實施例的主題。下面參照附圖借助示例性實施詳細闡述本發(fā)明。


圖I示出使用超級監(jiān)視器來運行虛擬機的本發(fā)明方法的第一系統(tǒng)架構(gòu)的框圖，
圖2示出使用虛擬機監(jiān)視器來運行虛擬機的本發(fā)明方法的第二系統(tǒng)架構(gòu)的框圖。
具體實施例方式在虛擬化的情況下在虛擬機中實施客-運行系統(tǒng)(Gast-Betriebssystem)。虛擬機是實施為軟件的虛擬計算機。但是虛擬機在主機、也就是物理存在的計算機上實施。在物理計算機上可以同時運行多個虛擬機。超級監(jiān)視器或虛擬機監(jiān)視器(VMM)是為虛擬機提供環(huán)境的虛擬化軟件。該虛擬化軟件可以區(qū)分為類型I和類型2。類型I在無其它軟件的情況下直接在硬件上運行。類型2安裝在經(jīng)過充分訓練的操作系統(tǒng)上。在類型I中，平臺提供虛擬化解決方案作為自己的層或作為主操作系統(tǒng)。客系統(tǒng)在自己的容器中運行。類型I超級監(jiān)視器一般消耗少量資源，但是必須自己擁有用于所有硬件的驅(qū)動器。在類型2中，虛擬化軟件在標準操作系統(tǒng)上運行，在該標準操作系統(tǒng)中又可以運行客操作系統(tǒng)。并行地還可以在主機上運行原生應用程序。類型2超級監(jiān)視器使用它所運行于的操作系統(tǒng)的設備驅(qū)動器。虛擬機遷移使得虛擬機可以從ー個物理主機移動到另ー個物理主機。在此，主要是虛擬機的存儲器反映(映像)從ー個主機發(fā)送到另ー個主機。該遷移也可以在正在進行的運行中發(fā)生。本發(fā)明的ー個方面是，在虛擬機的遷移時或在該虛擬機被存儲在映像中時借助數(shù)字權(quán)限管理裝置實現(xiàn)該虛擬機的保護。為此超級監(jiān)視器或虛擬機監(jiān)視器以及虛擬機被擴展相應的功能。權(quán)限管理裝置的示例例如是企業(yè)權(quán)限管理(ERM)。這例如與文檔的存儲地點無關地實現(xiàn)了對所述文檔的訪問保護。受保護的文檔可以由經(jīng)過授權(quán)的使用者僅相應于其為此有效的訪問權(quán)限打開和處理，而與所述文檔存儲在什么存儲裝置上或所述文檔被發(fā)送給哪個計算単元無關。未給予訪問權(quán)限的未經(jīng)授權(quán)的局外人不能用該文檔的例如被電子發(fā)送的副本來獲得信息。在常規(guī)的方法中，文檔的加密根據(jù)至少ー種加密算法進行。文檔的發(fā)行者在其釋放該文檔之前對該文檔加密并且在權(quán)限信息中附加地定義特殊用戶或小組對該文檔的內(nèi)容的權(quán)限。被加密的文件可以與該權(quán)限信息一起發(fā)送到ERM服務器。此外，權(quán)限信息可以具有被用于對所述文檔加密的密鑰。由于該密鑰同樣表示秘密信息，因此可以用ERM服務器的公共密鑰對權(quán)限信息加密，并且發(fā)行者可以對權(quán)限信息進行數(shù)字簽名。除了表示權(quán)限管理裝置的中心部分的ERM服務器之外，還存在安裝在每ー個訪問機上的ERM客戶機，所述訪問機希望讀取受訪問保護的文檔。在此，ERM客戶機可以進行與ERM服務器的通信，以確定密鑰和存在的文檔的權(quán)限。ERM客戶機可以將所讀取的權(quán)限轉(zhuǎn)發(fā)給為遵守所述權(quán)限而設置的另外的讀取單元。該文檔的解密可以由ERM客戶機進行，該ERM客戶機此外在稍后的時刻實施可能需要的重新的加密。所述密鑰可以通過ERM客戶機借助加密技術(shù)對其它讀取單元保持秘密。為此，在常規(guī)的方法中使用加密技術(shù)或隱藏技術(shù)，如所謂的代碼混淆。根據(jù)本發(fā)明，現(xiàn)在超級監(jiān)視器或虛擬機監(jiān)視器包括能夠從服務器請求被分配給虛擬機的映像的權(quán)限信息并對此進行分析的客戶機作為附加功能。超級監(jiān)視器或虛擬機監(jiān)視器也可以例如在虛擬機的遷移或存儲之前定義分配給該虛擬機的權(quán)限。此外，超級監(jiān)視器或虛擬機監(jiān)視器可以產(chǎn)生相應的權(quán)限信息并且存儲在服務器上。通過這種方式，虛擬機的映像受到保護，以依據(jù)預先規(guī)定的權(quán)限相應限制虛擬機的容許的實施環(huán)境。這些限制可以是虛擬機與在云計算基礎設施中的專用計算機的結(jié)合。在此，特定 的虛擬機只允許在特定的所設定的計算機上實施或者只允許在滿足特定標準(例如國家，對計算機池的所屬性)的計算機上實施。但是，這些限制也可以涉及只允許實施特定虛擬機的計算機。因此，在此對于計算機來說限制其允許實施哪些特定的虛擬機或者虛擬機必須滿足哪些標準該計算機才允許實施該虛擬機(例如只有被分配給特定用戶的虛擬機)。圖I示意性示出第一計算機系統(tǒng)R，其在用于保護和/或用于運行虛擬機的本發(fā)明方法的實施方式中可以用作虛擬化的主系統(tǒng)。該主系統(tǒng)具有很多硬件部件服，例如網(wǎng)絡適配器NIC和硬盤HD。在主計算機R上采用構(gòu)成為類型I的超級監(jiān)視器的主操作系統(tǒng)H-0S。超級監(jiān)視器包括ERM客戶機并且管理兩個權(quán)限對象ROl和R02，這兩個權(quán)限對象分別定義用于實施虛擬機的使用權(quán)限。這些權(quán)限對象直接與各自的虛擬機結(jié)合。在主操作系統(tǒng)H-OS上運行兩個ERM所保護的虛擬機VMl和VM2。通過超級監(jiān)視器分別提供具有虛擬網(wǎng)絡適配器VNIC1，VNIC2和虛擬硬盤VHD1，VHD2的虛擬硬件V-HW1，V-HW2。在虛擬機中分別運行客操作系統(tǒng)G-OSl和G-0S2。此外在各自虛擬機的用戶模式Gl-UL，G2-UL中運行應用程序AP。 通過網(wǎng)絡適配器NIC，計算機與網(wǎng)絡連接，通過該網(wǎng)絡例如可以接觸ERM服務器。圖2示出第二計算機系統(tǒng)R，其在用于保護和/或用于運行虛擬機的本發(fā)明方法的實施方式中可以用作虛擬化的主系統(tǒng)。該主系統(tǒng)具有很多硬件部件服，例如網(wǎng)絡適配器NIC和硬盤HD。在主計算機R上采用主操作系統(tǒng)Η-OS。在此可以提供也稱為用戶國家的用戶模式H-UL，在該用戶模式中實施應用程序AP。在該圖2中，采用很多實施程序，這些實施程序分別稱為AP。因此，應用程序AP可以分別是不同的應用程序AP。此外在主計算機R上實施類型2的虛擬機監(jiān)視器VMM，其提供虛擬的實施環(huán)境。虛擬機監(jiān)視器VMM包括ERM客戶機并且管理兩個分別定義用于實施虛擬機的使用權(quán)限的權(quán)限對象ROl。權(quán)限對象ROl，R02直接與各自的虛擬機結(jié)合。此外，對兩個ERM保護的虛擬機VMl和VM2進行實施。通過虛擬機監(jiān)視器VMM分別提供具有虛擬網(wǎng)絡適配器VNIC1，VNIC2和虛擬硬盤VHD1，VHD2的虛擬硬件V-HW1，V-HW2。在虛擬機VM中分別運行客操作系統(tǒng)G-0S1，G-0S2。在各自虛擬機VM的用戶模式G1-UL，G2-UL中實施多個應用程序AP。此外，計算機R通過網(wǎng)絡適配器NIC與網(wǎng)絡連接，使得可以響應權(quán)限服務器。在根據(jù)本發(fā)明的用于運行虛擬機的方法的實施方式中，在第一或第二計算機系統(tǒng)R上在虛擬機于各自的計算機系統(tǒng)上啟動之前通過超級監(jiān)視器的ERM客戶機檢驗VM映像的使用條件。依據(jù)該結(jié)果保證或拒絕VM的實施。為此，通過為此包括ERM客戶機的功能的超級監(jiān)視器執(zhí)行以下步驟
-接收用于啟動特定VM的信號
-加載待啟動的VM的ERM保護的VM映像 -相對于權(quán)限服務器(ERM服務器)進行驗證 -從權(quán)限服務器(ERM服務器)請求分配給待啟動的VM的權(quán)限信息 -確定用于啟動該VM的權(quán)限 -在否定情況下中止(VM的實施被拒絕)
-在肯定情況下從權(quán)限信息中確定密鑰；取消ERM保護的VM映像的ERM保護(即借助所確定的密鑰對VM映像進行解密)；實施經(jīng)解密的VM映像。在根據(jù)本發(fā)明的用于保護虛擬機的方法的實施方式中，在第一或第二計算機系統(tǒng)R上在虛擬機遷移或存儲虛擬機的映像時通過超級監(jiān)視器執(zhí)行以下步驟-接收用于結(jié)束特定VM的實施的信號 -結(jié)束VM實施
-產(chǎn)生(不受保護的)經(jīng)過修改的VM映像(該VM映像一般而言不同于原始的VM映像，該原始的VM映像在上面已經(jīng)加載，因為VM已經(jīng)被實施并且從而其狀態(tài)已改變，例如改變后的數(shù)據(jù))。替換的，在此產(chǎn)生包含運行時間數(shù)據(jù)并且與實際的VM影像結(jié)合的第二映像。這使得一般地在任意時刻分配VM映像，使得在運行時間遷移時還只需要傳輸運行時數(shù)據(jù)。-將ERM保護應用于(不受保護的)經(jīng)過修改的VM映像并且產(chǎn)生經(jīng)過修改的ERM保護的VM映像。為此用密鑰對經(jīng)過修改的VM映像進行加密，以獲得ERM保護的經(jīng)過修改的VM映像。為此有利地使用上面用于解密的密鑰。替換的，可以使用新的密鑰，例如(偽) 隨機生成的密鑰，然后將該新的密鑰傳輸?shù)紼RM服務器。-遷移ERM保護的VM映像，或存儲ERM保護的VM映像。虛擬機的受保護映像的權(quán)限在ERM服務器上例如通過管理員來管理。所描述的方法步驟可以迭代地和/或按照其它順序?qū)嵤?。通過所建議的解決方案可以在基礎設施供應商中靈活地控制虛擬機的實施。由此可以魯棒地實現(xiàn)按照規(guī)則的或通過管理性的預先規(guī)定而期望的限制。這涉及虛擬機的一般實施、虛擬機的映像在數(shù)據(jù)存儲器上的存儲以及還涉及遷移到另ー計算機。通過所應用的措施，對于運營商和對于使用者來說存在控制和影響虛擬機的實施環(huán)境的可能性。
權(quán)利要求
1.用于保護虛擬機的方法，其中通過控制實體實施以下步驟 -產(chǎn)生虛擬機的副本， -用秘密密鑰對復制的虛擬機進行加密， -提供至少ー個包括所述秘密密鑰和使用權(quán)限的權(quán)限信息， -將所述權(quán)限信息分配給加密的虛擬機， 其中將加密的虛擬機以及所分配的權(quán)限信息可調(diào)用地存儲起來， 以及能夠根據(jù)可預先規(guī)定的使用權(quán)限對虛擬機進行解密和運行。
2.根據(jù)權(quán)利要求I的方法，其中至少ー個所提供的權(quán)限信息具有使用限制、對訪問權(quán)限的提示、和/或時間戳，所述訪問權(quán)限尤其是計算機系統(tǒng)的訪問權(quán)限。
3.根據(jù)權(quán)利要求I或2的方法，其中借助服務器存儲和/或提供權(quán)限信息。
4.根據(jù)權(quán)限信息來運行根據(jù)權(quán)利要求I至3的方法加密的虛擬機的方法，其中通過控制實體實施以下步驟 -請求分配給虛擬機的至少ー個權(quán)限信息， -從至少一個所請求的權(quán)限信息中確定用于運行虛擬機的使用權(quán)限，以及 -在確定用于運行虛擬機的使用權(quán)限時從至少一個所請求的權(quán)限信息中確定密鑰， -利用所確定的密鑰對虛擬機進行解密并且在所確定的使用權(quán)限的范圍內(nèi)運行解密的虛擬機。
5.根據(jù)權(quán)利要求4的方法，其中依據(jù)權(quán)限信息產(chǎn)生針對虛擬機的策略。
6.根據(jù)權(quán)利要求5的方法，其中依據(jù)所產(chǎn)生的策略來配置、描述和/或?qū)嵤┨摂M機。
7.用于根據(jù)權(quán)限信息來運行根據(jù)權(quán)利要求I至3的方法加密的虛擬機的設備，具有實施以下步驟的控制裝置 -請求分配給虛擬機的至少ー個權(quán)限信息， -從至少一個所請求的權(quán)限信息中確定用于運行虛擬機的使用權(quán)限，以及 -在確定用于運行虛擬機的使用權(quán)限時從至少一個所請求的權(quán)限信息中確定密鑰， -利用所確定的密鑰對虛擬機進行解密并且在所確定的使用權(quán)限的范圍內(nèi)運行解密的虛擬機。
全文摘要
虛擬機在使用分布式計算機基礎設施的情況下使用，以盡可能靈活地將計算負荷分布到各個計算機上。在此存在通過按照規(guī)則的或管理性的預先規(guī)定而魯棒地實現(xiàn)對于使用虛擬機的期望限制的需求。本發(fā)明提供一種方法，利用該方法在借助數(shù)字權(quán)限管理和加密進行虛擬機的遷移、存儲或運行時實現(xiàn)對該虛擬機的保護。為此向超級監(jiān)視器或虛擬機監(jiān)視器以及虛擬機擴展相應的功能。
文檔編號G06F9/455GK102667803SQ201080060159
公開日2012年9月12日 申請日期2010年11月24日 優(yōu)先權(quán)日2009年12月29日
發(fā)明者R.法爾克, S.塞爾茨薩姆, S.弗里斯 申請人:西門子公司