在云中進(jìn)行許可的制作方法
【技術(shù)領(lǐng)域】
[0001]所公開的技術(shù)總體上涉及許可云軟件，更具體而言，涉及使用安全、加強(qiáng)的許可機(jī)制的許可云軟件。
【背景技術(shù)】
[0002]隨著虛擬化和云基礎(chǔ)設(shè)施、平臺(tái)和軟件作為服務(wù)部署而出現(xiàn)，傳統(tǒng)上基于硬件(諸如，防火墻、負(fù)載均衡器、廣域網(wǎng)優(yōu)化器等等)的經(jīng)許可應(yīng)用和服務(wù)正在被部署為虛擬機(jī)(VM)。網(wǎng)絡(luò)功能虛擬化通過允許在云基礎(chǔ)設(shè)施中使用常見的現(xiàn)貨硬件(common-off-the-shelf)將提供成本上的節(jié)省并將加速創(chuàng)新，因?yàn)閷⑿绿卣饕M(jìn)到軟件中且無需等待新的硬件發(fā)布周期是更容易的。當(dāng)前可用的許可解決方案是專屬的，其不是為云設(shè)計(jì)的，并且不根植在硬件中，這提供了更大的安全性。
【附圖說明】
[0003]在附圖中，通過示例而非通過限制示出所公開技術(shù)的實(shí)施例，并且在附圖中，相同的參考標(biāo)號(hào)指代相似的元件。
[0004]圖1示出在云的上下文中的許可證管理系統(tǒng)，其中，裝置(appIiance)或虛擬網(wǎng)功能可在裸金屬機(jī)器上或管理程序(hypervisor)上運(yùn)行。
[0005]圖2示出具有位于客戶端主機(jī)上的許可證代理的經(jīng)許可的裝置。
[0006]圖3示出使用安全、加強(qiáng)的許可證機(jī)制的虛擬化環(huán)境。
[0007]圖4示出所公開技術(shù)的實(shí)施例的高層級(jí)流程圖。
[0008]圖5示出許可證代理與許可證服務(wù)器之間的消息。
[0009]圖6示出根據(jù)各個(gè)實(shí)施例的適用于實(shí)踐本公開的示例計(jì)算設(shè)備。
[0010]圖7示出根據(jù)各個(gè)實(shí)施例的、具有編程指令并涵蓋了本公開的各個(gè)方面的制品。
【具體實(shí)施方式】
[0011]如在本文中所使用，裝置和虛擬網(wǎng)功能(VNF)用于可互換地指代經(jīng)許可的應(yīng)用和服務(wù)。所公開技術(shù)的實(shí)施例通過使用下文中將更詳細(xì)地討論的英特爾軟件防護(hù)擴(kuò)展(SGX)技術(shù)或其他可信任執(zhí)行引擎(TEE)來將許可操作根植在硬件中。在本文中，這些將被稱為SEC(指安全設(shè)備)JEC可以指SGX或TEE。
[0012]如上文中所討論，圖1示出在云環(huán)境的上下文中的許可證管理系統(tǒng)，其中，VNF可以正在裸金屬機(jī)器上、在容器上或者在管理程序上運(yùn)行。云環(huán)境可包括各種客戶端主機(jī)100，每一個(gè)客戶端主機(jī)在硬件中都包括SEC 102。每一個(gè)SEC 102包括對(duì)每一個(gè)SEC唯一的并且被存儲(chǔ)在SEC 102內(nèi)的許可證密鑰數(shù)據(jù)。圖2示出可位于每一個(gè)客戶端-主機(jī)100上的經(jīng)許可的裝置200或VNF。經(jīng)許可的裝置200包括與SEC 102通信的許可證代理202。
[0013]許可證代理202可安全地與許可證服務(wù)器通信以便通過SEC 102來驗(yàn)證許可證。也就是說，許可證代理202可與客戶端主機(jī)100上的SEC 102通信，隨后，該客戶端主機(jī)100上的SEC 102使用安全許可證密鑰數(shù)據(jù)來安全地與許可證服務(wù)器104上的SEC 102通信。
[0014]如上所述，許可證密鑰數(shù)據(jù)對(duì)于每一個(gè)SEC 102是唯一的，并且保護(hù)許可證和密鑰數(shù)據(jù)本身免于被篡改。如將在下文中參照?qǐng)D4更詳細(xì)地討論，僅在許可證代理202確定了許可證是有效的之后，裝置200才被激活。
[0015]圖3示出在云虛擬化環(huán)境中運(yùn)行的許可證管理系統(tǒng)。然而，如上文中所討論，該許可證管理系統(tǒng)還可在裸金屬機(jī)器上或在容器中運(yùn)行。圖3的實(shí)施例包括諸客戶端302，這些客戶端302通過回程鏈路(backhaul)306連接到云虛擬化環(huán)境300中的VNF/VM 304。管理程序主管一個(gè)或多個(gè)VNF，并且在本文中將被統(tǒng)稱為諸VMF/VM 304?？蛻舳?02也被稱為云租戶(tenant)?；爻替溌?06可以是云虛擬化環(huán)境與諸客戶端之間的網(wǎng)絡(luò)的任何部分。諸VNF/VM 304中的每一個(gè)中的SEC 308與許可證服務(wù)器系統(tǒng)310通信，該許可證服務(wù)器系統(tǒng)310也包括SEC 308。云虛擬化環(huán)境300可包括管理程序或云操作系統(tǒng)(0S)312(諸如，開放棧(OpenStack))和平臺(tái)314。為了易于討論，下文中將管理程序或云OS 312稱為云OS 312。然而，如本領(lǐng)域技術(shù)人員將容易理解的那樣，可使用管理程序、云OS或等效系統(tǒng)中的任一者。支持云虛擬化環(huán)境300的每一個(gè)物理計(jì)算主機(jī)具有一個(gè)平臺(tái)314，并且每一個(gè)平臺(tái)314包括安全時(shí)鐘316。支持許可證服務(wù)器的每一個(gè)物理計(jì)算主機(jī)也具有SEC 308和安全時(shí)鐘316。同樣如下文中將參照?qǐng)D4和圖5詳細(xì)地討論的那樣，由于SEC 308有權(quán)訪問安全時(shí)鐘316，這減少了時(shí)間操縱攻擊事件。
[0016]圖4示出用于以許可證來激活VM上的VNF的所公開技術(shù)的一些實(shí)施例的示例高層級(jí)流程。盡管圖4示出云OS執(zhí)行各種操作，但是云OS可集中于啟動(dòng)VM并且可將獲取并更新許可證的任務(wù)委托給VNF。在圖4中示出的高層級(jí)流程可跨將期望經(jīng)由有效的許可來獲取確認(rèn)的所有獨(dú)立的軟件供應(yīng)商(ISV)和云操作系統(tǒng)來使用。在操作400中，每一個(gè)VM中的SEC從安全時(shí)鐘讀取時(shí)間。SEC還可將基于平臺(tái)或硅的隨機(jī)數(shù)生成器用于獲取密鑰熵并且用作用于檢測(cè)會(huì)話重放的種子。硬件隨機(jī)數(shù)生成器提供了在許可證服務(wù)器中特別有用的豐富的隨機(jī)性流，用于現(xiàn)時(shí)數(shù)(nonce)生成，建立安全的通信信道，等等。這在其中傳統(tǒng)的熵源(諸如，鼠標(biāo)移動(dòng)和鍵盤敲擊)不可用的云中特別有用。在操作402中，許可證服務(wù)器在與VM相關(guān)聯(lián)的SEC中檢索密鑰(這些密鑰可以是融合密鑰、根密鑰或受信任平臺(tái)模塊(TPM)密鑰)以創(chuàng)建與許可證服務(wù)器之間的安全信道。在操作404中，經(jīng)由與VM/VNF相關(guān)聯(lián)的SEC而將由許可證代理檢索到的密鑰發(fā)送到與許可證服務(wù)器相關(guān)聯(lián)的SEC。這在VM/VNF與許可證服務(wù)器之間建立了安全的信道，并且確保保護(hù)了許可證免受該安全信道外部的未經(jīng)授權(quán)的暴露和復(fù)制，因?yàn)槊恳粋€(gè)SEC都具有自身唯一的密鑰集。
[0017]在操作406中，客戶端在云OS處觸發(fā)VM/VNF激活。當(dāng)客戶端請(qǐng)求激活時(shí)，在操作408中，云OS將如果許可證是有效的就激活VM/VNF的請(qǐng)求發(fā)送給VM/VNF。然而，如上所述，VNF可周期性地或者在開機(jī)時(shí)發(fā)送激活請(qǐng)求或許可證更新請(qǐng)求。進(jìn)而，如下文中參照?qǐng)D5更詳細(xì)地描述的那樣，VM/VNF將客戶端的許可證數(shù)據(jù)(其可包括客戶端元數(shù)據(jù))發(fā)送給與VM/VNF相關(guān)聯(lián)的SEC。在操作410中，VM/VNF請(qǐng)求SEC驗(yàn)證許可證。隨后，在操作412中，在與VM/VNF相關(guān)聯(lián)的SEC以及與許可證服務(wù)器相關(guān)聯(lián)的SEC之間建立的安全信道上，交換包括客戶端元數(shù)據(jù)的許可證數(shù)據(jù)，并且與VM/VNF相關(guān)聯(lián)的SEC確定許可證是否有效。在操作414中，與VM/VNF相關(guān)聯(lián)的SEC向與許可證服務(wù)器相關(guān)聯(lián)的SEC通知許可證先前是有效的還是無效的。在操作416中，與VM/VNF相關(guān)聯(lián)的SEC還向與許可證服務(wù)器相關(guān)聯(lián)的SEC通知許可證當(dāng)前是有效的還是無效的。在操作418中，也將許可證數(shù)據(jù)(其可包括客戶端元數(shù)據(jù))與保存在許可證數(shù)據(jù)庫中的許可證數(shù)據(jù)進(jìn)行校驗(yàn)。
[0018]在操作420中，基于許可證的有效性，與許可證服務(wù)器相關(guān)聯(lián)的SEC要么將在云OS上觸發(fā)對(duì)VM/VNF的激活，要么將在云OS上停止對(duì)VM/VNF的激活。隨后，在操作422中，云OS基于從與許可證服務(wù)器相關(guān)聯(lián)的SEC接收到的觸發(fā)來激活或停止VM/VNF。
[0019]VNF可能無法啟動(dòng)客戶端或云租戶，并且可能無法向客戶端或云租戶通知發(fā)布(issue)o云OS也可被警告此失敗，從而可采取某種糾正動(dòng)作，諸如，如果許可證應(yīng)付款未支付，或者在云租戶的使用已經(jīng)增加的情況下云提供商獲取了更多許可證時(shí)通知云租戶。取決于各種情況，云OS也可暫停VNF，并且收回資源并且重新分配。
[0020]在替代實(shí)施例中，可通過擴(kuò)展圖4的方案來添加在每個(gè)平臺(tái)上的許可證驗(yàn)證。每一個(gè)平臺(tái)的SEC將對(duì)許可證認(rèn)證二進(jìn)制對(duì)象(blob)進(jìn)行簽名，該許可證認(rèn)證二進(jìn)制對(duì)象包括軟件ID、mac地址、主機(jī)名稱或平臺(tái)系統(tǒng)ID、安全時(shí)間值、隨機(jī)數(shù)等等，并且該許可證二進(jìn)制對(duì)象也被傳遞到與許可證服務(wù)器相關(guān)聯(lián)的SEC。
[0021]在替代實(shí)施例中，當(dāng)VM迀移時(shí)，可由諸SEC的網(wǎng)絡(luò)透明地處理在VM/VNF的迀移期間的許可證授權(quán)。在這種情況下，在云OS正在頒布VM/VNF迀移的同時(shí)，由該云OS觸發(fā)許可證激活。許可證服務(wù)器感知的云可將指示VM迀移事件的安全消息傳送到許可證服務(wù)器。云OS將感知是否使用了特殊的VM啟動(dòng)，就如同在服務(wù)VM的情況下(例如防火墻、負(fù)載均衡器等等)。由于SEC具有永遠(yuǎn)不被暴露在該SEC的外部的不同且唯一的密鑰，因此許可證服務(wù)器將假定沒有對(duì)那些證書的未經(jīng)授權(quán)的使用。因此，與每一個(gè)VM/VNF相關(guān)聯(lián)的每一個(gè)SEC具有與SEC許可證服務(wù)器之間的唯一的通信連接，并且許可證認(rèn)證受不可否認(rèn)性(non-repudiat1n)保護(hù)。
[0022 ]圖5示出許可證代理與許可證服務(wù)器之間的消息傳送。在后臺(tái)，許可證服務(wù)器持續(xù)地收獲未刷新已達(dá)數(shù)個(gè)連續(xù)的刷新周期的許可證。許可證服務(wù)器還可在每一天的結(jié)束時(shí)生成經(jīng)簽名的審計(jì)日志和統(tǒng)計(jì)數(shù)據(jù)，諸如，并發(fā)使用的許可證、典型的使用持續(xù)時(shí)間以及失敗的許可證請(qǐng)求的數(shù)量。也