一種基于可信計算的虛擬機準入方法及裝置的制造方法
【技術領域】
[0001]本發(fā)明涉及計算機領域，特別涉及一種基于可信計算的虛擬機準入方法及裝置。
【背景技術】
[0002]隨著計算機技術的不斷發(fā)展和進步，為了提高服務器資源的利用率、簡化系統(tǒng)管理、實現(xiàn)服務器整合，出現(xiàn)了服務器虛擬化技術，即將服務器物理資源抽象成邏輯資源，讓一臺服務器變成幾臺甚至上百臺相互隔離的虛擬服務器。其中虛擬機迀移技術是服務器虛擬化技術的重要表征，是指在源物理主機上運行的虛擬機操作系統(tǒng)及應用程序移動到目標物理主機上或虛擬機上，并且在目標主機上能夠正常運行。
[0003]目前，針對虛擬機的迀移方法包括很多種類，包括冷迀移和熱迀移等方法，但是各種虛擬機的迀移方法都是直接將虛擬機迀移到目標主機上。
[0004]針對現(xiàn)有技術的虛擬機迀移方法，在對虛擬機迀移之前，不對虛擬機的完整性和安全性進行檢查，很可能將不安全的虛擬機迀移到安全的運行環(huán)境中去，使整個運行環(huán)境受到威脅，從而虛擬機的安全性較低。

【發(fā)明內(nèi)容】

[0005]本發(fā)明提供一種基于可信計算的虛擬機準入方法及裝置，能夠提高虛擬機的安全性。
[0006]本發(fā)明實施例提供了一種基于可信計算的虛擬機準入方法，包括:
[0007]將待迀移虛擬機置于隔離加固池中，并獲取所述虛擬機的基本信息；
[0008]根據(jù)所述虛擬機的基本信息，對所述虛擬機進行度量和檢測，并獲取準入請求信息;
[0009]根據(jù)所述準入請求信息，判斷所述虛擬機是否準入通過；
[0010]如果是，將所述虛擬機迀移至可信計算池，如果否，在所述隔離加固池中對所述虛擬機進行加固處理，然后執(zhí)行所述根據(jù)所述虛擬機的基本信息，對所述虛擬機進行度量和檢測，并獲取準入請求信息。
[0011]優(yōu)選地，所述隔離加固池包括:至少一臺可信服務器。
[0012]優(yōu)選地，所述可信計算池包括:至少一臺用于運行虛擬機的可信服務器。
[0013]優(yōu)選地，所述虛擬機的基本信息包括:所述虛擬機的UUID、IP地址、MAC地址中的任意一個或多個。
[0014]優(yōu)選地，所述對所述虛擬機進行度量和檢測包括:
[0015]對所述虛擬機的主機OS Loader、主機OS Kernel及Hypervisor模塊進行度量，對所述虛擬機的Guest OS Kernel及虛擬機加固套件進行度量，對所述虛擬機是否包括虛擬機安全基線、軟件白名單、HIPS及審計倒查功能進行檢測中的任意一個或多個。
[0016]優(yōu)選地，所述準入請求信息包括:所述虛擬機的主機OS Loader、主機OS Kernel及Hypervisor模塊的度量值，所述虛擬機Guest OS Kernel、虛擬機加固套件的度量值，以及虛擬機安全基線、軟件白名單、HIPS、審計倒查功能的包括情況中的任意一個或多個。
[0017]優(yōu)選地，所述在所述隔離加固池中對所述虛擬機進行加固處理包括:根據(jù)所述判斷結果，確定導致所述虛擬機不允許準入的危險因素，根據(jù)所述危險因素，對該不允許準入虛擬機進行相應的修改或安裝缺少的軟件，消除所述不允許準入虛擬機的危險因素。
[0018]本發(fā)明實施例還提供了一種基于可信計算的虛擬機準入裝置，包括:
[0019]操作單元，用于將待迀移虛擬機置于隔離加固池中，并獲取所述虛擬機的基本信息;
[0020]檢測單元，用于根據(jù)所述操作單元獲取的虛擬機的基本信息，對所述虛擬機進行度量和檢測，并獲取準入請求信息；
[0021]判斷單元，用于根據(jù)所述檢測單元獲取的準入請求信息，判斷所述虛擬機是否準入通過；
[0022]執(zhí)行單元，用于根據(jù)所述判斷單元的判斷結果，如果是，將所述虛擬機迀移至可信計算池，如果否，在所述隔離加固池中對所述虛擬機進行加固處理，然后所述檢測單元執(zhí)行所述根據(jù)所述虛擬機的基本信息，對所述虛擬機進行度量和檢測，并獲取準入請求信息。
[0023]優(yōu)選地，所述操作單元，用于獲取所述虛擬機的UUID、IP地址、MAC地址中的任意一個或多個。
[0024]優(yōu)選地，所述檢測單元，用于對所述虛擬機的主機OS Loader、主機OS Kernel及Hypervisor模塊進行度量，對所述虛擬機的Guest OS Kernel及虛擬機加固套件進行度量，對所述虛擬機是否包括虛擬機安全基線、軟件白名單、HIPS及審計倒查功能進行檢測中的任意一個或多個。
[0025]優(yōu)選地，所述執(zhí)行單元，用于根據(jù)所述判斷結果，確定導致所述虛擬機不允許準入的危險因素，根據(jù)所述危險因素，對該不允許準入虛擬機進行相應的修改或安裝缺少的軟件，消除所述導致不允許準入的危險因素。
[0026]本發(fā)明實施例提供了一種基于可信計算的虛擬機準入方法及裝置，當要將虛擬機迀移到可信計算池時，首先將虛擬機置于隔離加固池，獲取該虛擬機的基本信息，根據(jù)該基本信息對虛擬機進行度量和檢測，并根據(jù)度量和檢測結果獲取該虛擬機的準入請求信息，根據(jù)該準入請求信息判斷該虛擬機是否準入通過，對于通過的虛擬機迀移至可信計算池進行相應的任務，對于不通過的虛擬機，則在隔離加固池中進行加固處理，處理完成后再次執(zhí)行度量和檢測的步驟，直至該虛擬機準入通過，通過這種方法，在對虛擬機進行迀移之前，首先對待迀移的虛擬機進行度量和檢測，確保轉入可信計算池中的虛擬機是完整和安全的，避免將不安全的虛擬機迀移到安全的可信計算池中使其他虛擬機受到破壞，從而提高了虛擬機的安全性。
【附圖說明】
[0027]圖1是本發(fā)明一個實施例提供的一種基于可信計算的虛擬機準入方法流程圖；
[0028]圖2是本發(fā)明另一個實施例提供的一種基于可信計算的虛擬機準入方法流程圖；
[0029]圖3是本發(fā)明一個實施例提供的一種基于可信計算的虛擬機準入裝置示意圖。
【具體實施方式】
[0030]下面將結合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術方案進行清楚、完整地描述。顯然，所描述的實施例僅是本發(fā)明一部分實施例，而不是全部的實施例?；诒景l(fā)明中的實施例，本領域普通技術人員在沒有做出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。
[0031]如圖1所示，本發(fā)明一個實施例提供了一種基于可信計算的虛擬機準入方法，包括:
[0032]步驟101:將待迀移虛擬機置于隔離加固池中，并獲取所述虛擬機的基本信息；
[0033]步驟102:根據(jù)所述虛擬機的基本信息，對所述虛擬機進行度量和檢測，并獲取準入請求信息；
[0034]步驟103:根據(jù)所述準入請求信息，判斷所述虛擬機是否準入通過；
[0035]步驟104:根據(jù)所述判斷結果，如果是，將所述虛擬機迀移至可信計算池，并結束當前流程；
[0036]步驟105:根據(jù)所述判斷結果，如果否，在所述隔離加固池中對所述虛擬機進行加固處理，然后執(zhí)行步驟102。
[0037]本發(fā)明實施例提供了一種基于可信計算的虛擬機準入方法，當要將虛擬機迀移到可信計算池時，首先將虛擬機置于隔離加固池，獲取該虛擬機的基本信息，根據(jù)該基本信息對虛擬機進行度量和檢測，并根據(jù)度量和檢測結果獲取該虛擬機的準入請求信息，根據(jù)該準入請求信息判斷該虛擬機是否準入通過，對于通過的虛擬機迀移至可信計算池進行相應的任務，對于不通過的虛擬機，則在隔離加固池中進行加固處理，處理完成后再次執(zhí)行度量和檢測的步驟，直至該虛擬機準入通過，通過這種方法，在對虛擬機進行迀移之前，首先對待迀移的虛擬機進行度量和檢測，確保轉入可信計算池中的虛擬機是完整和安全的，避免將不安全的虛擬機迀移到安全的可信計算池中使其他虛擬機受到破壞，從而提高了虛擬機的安全性。
[0038]在本發(fā)明一個實施例中，隔離加固池由一臺或多臺可信服務器構成，將待迀移的虛擬機首先置于隔離加固池中，起到緩沖的作用。
[0039]在本發(fā)明一個實施例中，可信計算池由一臺或多臺可信服務器構成，在可信計算池中包括至少一個虛擬機，可信計算池中的虛擬機都是經(jīng)過可信度量和檢測的，可信計算池是一個相對安全的運行環(huán)境，其中包括的虛擬機運行關鍵的任務，保證關鍵任務的正常運行。
[0040]在本發(fā)明一個實施