專利名稱：虛擬機安全保護方法及裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明實施例涉及網(wǎng)絡(luò)數(shù)據(jù)處理技術(shù)，尤其涉及一種虛擬機安全保護方法及裝置。
背景技術(shù)：
隨著云計算的發(fā)展，人們依賴的辦公系統(tǒng)也逐步從本地遷入云端，即從本地服務(wù)器處理數(shù)據(jù)，變?yōu)樵诟鞣?wù)器聯(lián)網(wǎng)構(gòu)成的云網(wǎng)絡(luò)中進行數(shù)據(jù)處理。在互聯(lián)網(wǎng)數(shù)據(jù)中心(Internet Data Center,簡稱IDC)場景中，云網(wǎng)絡(luò)一般由多臺服務(wù)器聯(lián)網(wǎng)構(gòu)成,每臺服務(wù)器又可以通過虛擬機技術(shù)承載多個邏輯獨立的虛擬機。服務(wù)器中的各數(shù)據(jù)卷，可以通過云網(wǎng)絡(luò)掛載在不同的虛擬機上，所以產(chǎn)生了對數(shù)據(jù)卷訪問時的安全保護需求。為了讓用戶安心地將自己的私有數(shù)據(jù)存儲到云網(wǎng)絡(luò)中，數(shù)據(jù)加密是主要的解決方案，而保護加密數(shù)據(jù)的 關(guān)鍵是密鑰，所以，如何管理與使用密鑰就成為解決方案中重要的一部分。在IDC場景中，現(xiàn)有技術(shù)提供了多種對云網(wǎng)絡(luò)中數(shù)據(jù)卷訪問進行加密的方案。其中一種方案是采用Ukey(USB Key)硬件存儲能解密數(shù)據(jù)卷的證書，需要訪問加密數(shù)據(jù)卷時，把Ukey插在登錄虛擬機的客戶端上，虛擬機再使用Ukey中證書解密數(shù)據(jù)卷進行訪問。另一種技術(shù)是采用軟證書方案，即每個虛擬機安裝一個軟證書，在訪問加密數(shù)據(jù)卷時，該虛擬機自動使用已安裝的軟證書對加密數(shù)據(jù)卷進行解密。但是，上述的安全保護方案均存在缺陷。采用Ukey解密證書時，由于證書與數(shù)據(jù)卷有對應(yīng)關(guān)系，且不能復(fù)制，所以當從多個登錄虛擬機的客戶端上訪問加密數(shù)據(jù)卷時，Ukey證書需要依次在不同客戶端上插拔使用，如果是多個管理員訪問加密數(shù)據(jù)卷，則Ukey證書還需要在管理員間傳遞，很是不便。如果管理員異地辦公，那就無法及時獲取Ukey證書而不能同時訪問加密數(shù)據(jù)卷。對于軟證書的保護方案，由于軟證書對應(yīng)虛擬機的唯一性，所以每臺虛擬機安裝的證書都是不同的，解密加密數(shù)據(jù)卷的軟證書也是特定的，因此就無法從其他虛擬機上來訪問該加密數(shù)據(jù)卷，更為不便，也沒有發(fā)揮出云網(wǎng)絡(luò)中在不同虛擬機訪問數(shù)據(jù)卷的優(yōu)勢。

發(fā)明內(nèi)容
本發(fā)明實施例提供一種虛擬機安全保護方法及裝置，以優(yōu)化云網(wǎng)絡(luò)中虛擬機訪問加密數(shù)據(jù)卷的方案，簡化安全保護過程，且發(fā)揮云網(wǎng)絡(luò)共享數(shù)據(jù)卷的優(yōu)勢。第一方面，本發(fā)明實施例提供一種虛擬機安全保護方法，包括通過加密管理系統(tǒng)建立虛擬機與證書公鑰的綁定關(guān)系；采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中，其中，所述數(shù)據(jù)加密密鑰用于對所述數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；當通過虛擬機接收到數(shù)據(jù)卷訪問請求時，向所述加密管理系統(tǒng)請求獲取被請求虛擬機對應(yīng)的加密數(shù)據(jù)密鑰；
采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰；采用所述數(shù)據(jù)加密密鑰對所述數(shù)據(jù)卷進行解密，以實現(xiàn)數(shù)據(jù)卷訪問。在第一方面的第一種可能的實現(xiàn)方式中，采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中包括采用統(tǒng)一的虛擬機密鑰對所述數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成虛擬機加密密鑰；采用各虛擬機的證書公鑰分別對所述虛擬機加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；則采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰包括采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，獲取所述虛擬機加密密鑰；采用所述虛擬機密鑰對所述虛擬機加密密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰。在第一方面的第二種可能的實現(xiàn)方式中，通過加密管理系統(tǒng)建立虛擬機與證書公鑰的綁定關(guān)系，包括將所在虛擬機的證書公鑰上報給所述加密管理系統(tǒng)以進行身份驗證，并建立所在虛擬機與證書公鑰的綁定關(guān)系。在第一方面的第三種可能的實現(xiàn)方式中，采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中包括通過所在虛擬機接收加密管理系統(tǒng)提供的其它所有虛擬機的證書公鑰；采用所在虛擬機的證書公鑰和其他所有虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；將各所述加密數(shù)據(jù)密鑰上報給所述加密管理系統(tǒng)進行存儲。第二方面，本發(fā)明實施例提供一種虛擬機安全保護方法，包括建立各虛擬機與證書公鑰的綁定關(guān)系；采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中，其中，所述數(shù)據(jù)加密密鑰用于對所述數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，向所述虛擬機返回對應(yīng)證書公鑰加密的加密數(shù)據(jù)密鑰，以供所述虛擬機采用對應(yīng)的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取用于解密數(shù)據(jù)卷的數(shù)據(jù)加密密鑰。在第二方面的第一種可能的實現(xiàn)方式中，建立各虛擬機與證書公鑰的綁定關(guān)系包括接收各虛擬機上報的證書公鑰，對各虛擬機進行身份驗證，并建立各虛擬機與證書公鑰的綁定關(guān)系。 在第二方面的第二種可能的實現(xiàn)方式中，采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中包括將各虛擬機的證書公鑰下發(fā)給任意一個虛擬機，以供所述虛擬機采用各證書公鑰分別對數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；接收虛擬機返回的各加密數(shù)據(jù)密鑰，并進行存儲。
在第二方面的第三種可能的實現(xiàn)方式中，當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，向所述虛擬機返回對應(yīng)證書公鑰加密的加密數(shù)據(jù)密鑰包括當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，查詢是否存在與所述虛擬機的證書公鑰對應(yīng)的加密數(shù)據(jù)密鑰，若是，則返回所述加密數(shù)據(jù)密鑰；若否，則由加密管理系統(tǒng)向其他虛擬機下發(fā)所述虛擬機的證書公鑰，并接收所述其他虛擬機生成并返回的加密數(shù)據(jù)密鑰。第三方面，本發(fā)明實施例提供一種虛擬機側(cè)安全保護裝置，包括第一證書綁定模塊，用于通過加密管理系統(tǒng)建立虛擬機與證書公鑰的綁定關(guān)系；第一數(shù)據(jù)密鑰形成模塊，用于采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中，其中，所述數(shù)據(jù)加密密鑰用于對所述數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲； 數(shù)據(jù)密鑰獲取模塊，用于當通過虛擬機接收到數(shù)據(jù)卷訪問請求時，向所述加密管理系統(tǒng)請求獲取被請求虛擬機對應(yīng)的加密數(shù)據(jù)密鑰；數(shù)據(jù)密鑰解密模塊，用于采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰；數(shù)據(jù)卷解密模塊，用于采用所述數(shù)據(jù)加密密鑰對所述數(shù)據(jù)卷進行解密，以實現(xiàn)數(shù)據(jù)卷訪問。在第三方面的第一種可能的實現(xiàn)方式中，第一數(shù)據(jù)密鑰形成模塊包括第一層加密單元，用于采用統(tǒng)一的虛擬機密鑰對所述數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成虛擬機加密密鑰；第二層加密單元，用于采用各虛擬機的證書公鑰分別對所述虛擬機加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；則數(shù)據(jù)密鑰解密模塊包括第二層解密單元，用于采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，獲取所述虛擬機加密密鑰；第一層解密單元，用于采用所述虛擬機密鑰對所述虛擬機加密密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰。 在第三方面的第二種可能的實現(xiàn)方式中，第一證書綁定模塊具體用于將所在虛擬機的證書公鑰上報給所述加密管理系統(tǒng)以進行身份驗證，并建立所在虛擬機與證書公鑰的綁定關(guān)系。在第三方面的第三種可能的實現(xiàn)方式中，第一數(shù)據(jù)密鑰形成模塊包括證書公鑰獲取單元，用于通過所在虛擬機接收加密管理系統(tǒng)提供的其它所有虛擬機的證書公鑰；數(shù)據(jù)密鑰產(chǎn)生單元，用于采用所在虛擬機的證書公鑰和其他所有虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；密鑰存儲單元，用于將各所述加密數(shù)據(jù)密鑰上報給所述加密管理系統(tǒng)進行存儲。第四方面，本發(fā)明實施例提供一種系統(tǒng)側(cè)安全保護裝置，包括第二證書綁定模塊，用于建立各虛擬機與證書公鑰的綁定關(guān)系；第二數(shù)據(jù)密鑰形成模塊，用于采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中，其中，所述數(shù)據(jù)加密密鑰用于對所述數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；數(shù)據(jù)密鑰返回模塊，用于當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，向所述虛擬機返回對應(yīng)證書公鑰加密的加密數(shù)據(jù)密鑰，以供所述虛擬機采用對應(yīng)的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取用于解密數(shù)據(jù)卷的數(shù)據(jù)加密密鑰。在第四方面的第一種可能的實現(xiàn)方式中，第二證書綁定模塊具體用于接收各虛擬機上報的證書公鑰，對各虛擬機進行身份驗證，并建立各虛擬機與證書公鑰的綁定關(guān)系。在第四方面的第二種可能的實現(xiàn)方式中，第二數(shù)據(jù)密鑰形成模塊包括證書下發(fā)單元，用于將各虛擬機的證書公鑰下發(fā)給任意一個虛擬機，以供所述虛擬機采用各證書公鑰分別對數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；密鑰回收單元，用于接收虛擬機返回的各加密數(shù)據(jù)密鑰，并進行存儲。在第四方面的第三種可能的實現(xiàn)方式中，數(shù)據(jù)密鑰返回模塊具體用于當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，查詢是否存在與所述虛擬機的證書公鑰對應(yīng)的加密 數(shù)據(jù)密鑰，若是，則返回所述加密數(shù)據(jù)密鑰；若否，則由加密管理系統(tǒng)向其他虛擬機下發(fā)所述虛擬機的證書公鑰，并接收所述其他虛擬機生成并返回的加密數(shù)據(jù)密鑰。本發(fā)明實施例提供的虛擬機安全保護方法，通過建立虛擬機與證書公鑰的綁定關(guān)系，預(yù)先形成以各虛擬機的證書公鑰加密的數(shù)據(jù)加密密鑰；當?shù)卿浤硞€虛擬機進行某個數(shù)據(jù)卷訪問時，獲取與該虛擬機對應(yīng)的證書公鑰加密的數(shù)據(jù)加密密鑰，使得該虛擬機可以通過自己的證書私鑰解密獲得數(shù)據(jù)加密密鑰，從而解密該數(shù)據(jù)卷。該技術(shù)方案一方面無需唯一的硬件證書來支持，另一方面在任意虛擬機均能夠訪問掛載的加密數(shù)據(jù)卷，解決了同一用戶可以從多臺虛擬機上解密訪問加密數(shù)據(jù)卷的問題。


為了更清楚地說明本發(fā)明實施例中的技術(shù)方案，下面將對實施例描述中所需要使用的附圖作一簡單地介紹，顯而易見地，下面描述中的附圖是本發(fā)明的一些實施例，對于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動性的前提下，還可以根據(jù)這些附圖獲得其他的附圖。圖1為本發(fā)明虛擬機安全保護方法實施例一的流程圖；圖2為本發(fā)明虛擬機安全保護方法實施例二的流程圖；圖3為本發(fā)明虛擬機安全保護方法實施例三的流程圖；圖4為本發(fā)明虛擬機安全保護方法實施例四的信令流程圖；圖5為本發(fā)明虛擬機安全保護方法實施例五的信令流程圖；圖6為本發(fā)明虛擬機安全保護方法實施例六的信令流程圖；圖7為本發(fā)明虛擬機安全保護方法實施例七的信令流程圖；圖8為本發(fā)明虛擬機側(cè)安全保護裝置實施例一的結(jié)構(gòu)示意圖；圖9為本發(fā)明虛擬機側(cè)安全保護裝置實施例二的結(jié)構(gòu)示意圖；圖10為本發(fā)明系統(tǒng)側(cè)安全保護裝置實施例三的結(jié)構(gòu)示意圖。
具體實施例方式為使本發(fā)明實施例的目的、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術(shù)方案進行清楚、完整地描述，顯然，所描述的實施例是本發(fā)明一部分實施例，而不是全部的實施例?；诒景l(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有作出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。實施例一圖1為本發(fā)明虛擬機安全保護方法實施例一的流程圖，該方法可適用于由多個虛擬機構(gòu)成的云網(wǎng)絡(luò)中，對掛載其中的數(shù)據(jù)卷進行加密和解密訪問的情況。該方法可以由虛擬機側(cè)安全保護裝置來實現(xiàn)，該虛擬機側(cè)安全保護裝置以硬件和/或軟件的方式來實現(xiàn)，且集成于虛擬機中。本實施例的方法由任意一臺虛擬機的安全保護裝置來執(zhí)行。如圖1所示，本實施例的方法可以包括步驟101，通過加密管理系統(tǒng)建立虛擬機與證書公鑰的綁定關(guān)系；每個虛擬機具有自己特有的證書公鑰和證書私鑰對，可以預(yù)先存儲，也可以由加密管理系統(tǒng)或證書管理系統(tǒng)(CA)來頒發(fā)?？梢酝ㄟ^加密管理系統(tǒng)建立各個虛擬機與其證書公鑰的綁定關(guān)系，由加密管理系統(tǒng)存儲此綁定關(guān)系。綁定操作可以在虛擬機注冊或證書變更時執(zhí)行。 本步驟，具體可以是由虛擬機側(cè)安全保護裝置將所在虛擬機的證書公鑰上報給所述加密管理系統(tǒng)以進行身份驗證，并建立所在虛擬機與證書公鑰的綁定關(guān)系。證書公鑰可以是CA同時頒發(fā)給加密管理系統(tǒng)和各虛擬機，所以加密管理系統(tǒng)可進一步基于證書公鑰對虛擬機進行身份認證。步驟102，采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中，其中，所述數(shù)據(jù)加密密鑰用于對所述數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；上述步驟中，在云網(wǎng)絡(luò)各服務(wù)器中掛載的每個數(shù)據(jù)卷有其自己特有的數(shù)據(jù)加密密鑰(DEK)，數(shù)據(jù)卷采用該數(shù)據(jù)加密密鑰進行加密存儲。以所有虛擬機的證書公鑰分別對數(shù)據(jù)加密密鑰進行加密，形成多個加密數(shù)據(jù)密鑰。該操作可以由虛擬機來執(zhí)行，即某個虛擬機側(cè)安全保護裝置通過所在虛擬機接收加密管理系統(tǒng)提供的其它所有虛擬機的證書公鑰；采用所在虛擬機的證書公鑰和其他所有虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；將各所述加密數(shù)據(jù)密鑰上報給所述加密管理系統(tǒng)進行存儲。或者也可以由加密管理系統(tǒng)獲取虛擬機中的數(shù)據(jù)加密密鑰，再形成加密數(shù)據(jù)密鑰。但通常與數(shù)據(jù)卷對應(yīng)的數(shù)據(jù)加密密鑰存儲在數(shù)據(jù)卷所掛載的虛擬機中，所以優(yōu)選由虛擬機將自身所掛載的加密數(shù)據(jù)卷的數(shù)據(jù)加密密鑰形成各加密數(shù)據(jù)密鑰，再上報給加密管理系統(tǒng)。步驟103，當通過虛擬機接收到數(shù)據(jù)卷訪問請求時，向加密管理系統(tǒng)請求獲取被請求虛擬機對應(yīng)的加密數(shù)據(jù)密鑰；本步驟中，由于加密管理系統(tǒng)存儲有各虛擬機的證書公鑰所加密的加密數(shù)據(jù)密鑰，并且記錄有虛擬機與證書公鑰的綁定關(guān)系，所以能夠為虛擬機提供與其對應(yīng)的加密數(shù)據(jù)密鑰。步驟104，采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰；被訪問請求的虛擬機獲取到加密數(shù)據(jù)密鑰之后，可以用自己的證書私鑰進行解
LU O步驟105、采用數(shù)據(jù)加密密鑰對數(shù)據(jù)卷進行解密，以實現(xiàn)數(shù)據(jù)卷的訪問。本實施例，通過建立虛擬機與證書公鑰的綁定關(guān)系，預(yù)先形成以各虛擬機的證書公鑰加密的數(shù)據(jù)加密密鑰；當?shù)卿浤硞€虛擬機進行某個數(shù)據(jù)卷訪問時，獲取與該虛擬機對應(yīng)的證書公鑰加密的數(shù)據(jù)加密密鑰，使得該虛擬機可以通過自己的證書私鑰解密獲得數(shù)據(jù)加密密鑰，從而解密該數(shù)據(jù)卷。該技術(shù)方案一方面無需唯一的硬件證書來支持，另一方面在任意虛擬機均能夠訪問掛載的加密數(shù)據(jù)卷，解決了同一用戶可以從多臺虛擬機上解密訪問加密數(shù)據(jù)卷的問題。在上述技術(shù)方案的基礎(chǔ)上，優(yōu)選是采用兩層加密的保護方案。即步驟102優(yōu)選是包括采用統(tǒng)一的虛擬機密鑰(KEK)對所述數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成虛擬機加密密鑰；采用各虛擬機的證書公鑰分別對所述虛擬機加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；則步驟104優(yōu)選是包括采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，獲取所述虛擬機加密密鑰；采用所述虛擬機密鑰對所述虛擬機加密密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰。 上述方案中，虛擬機密鑰在云網(wǎng)絡(luò)中是統(tǒng)一的，各虛擬機均可獲取并使用。利用該KEK對DEK進行第一層加密，而后采用虛擬機的證書公鑰進行第二層加密，形成加密數(shù)據(jù)密鑰，能提高加密保護的安全性。實施例二圖2為本發(fā)明虛擬機安全保護方法實施例二的流程圖。本實施例以上述實施例為基礎(chǔ)，進一步增加了新虛擬機加入云網(wǎng)絡(luò)所執(zhí)行的安全保護方法。上述的當通過虛擬機接收到數(shù)據(jù)卷訪問請求時，向所述加密管理系統(tǒng)請求獲取被請求虛擬機對應(yīng)的加密數(shù)據(jù)密鑰的操作具體可包括如下步驟步驟210、當通過虛擬機接收到數(shù)據(jù)卷訪問請求時，向所述加密管理系統(tǒng)發(fā)送加密數(shù)據(jù)密鑰獲取請求；本步驟中，該虛擬機是新加入云網(wǎng)絡(luò)的，當其接收到數(shù)據(jù)卷訪問請求時，也向加密管理系統(tǒng)請求獲取加密數(shù)據(jù)密鑰；步驟220、加密管理系統(tǒng)獲取所述虛擬機的證書公鑰；由于該虛擬機是新加入云網(wǎng)絡(luò)的，所以加密管理系統(tǒng)中沒有存儲與其對應(yīng)的加密數(shù)據(jù)密鑰，則加密管理系統(tǒng)會首先獲取該虛擬機的證書公鑰，然后下發(fā)給其他虛擬機，請其他虛擬機代為生成加密數(shù)據(jù)密鑰。步驟230、接收加密管理系統(tǒng)請求返回的被請求虛擬機對應(yīng)的加密數(shù)據(jù)密鑰。在其他虛擬機代為生成加密數(shù)據(jù)密鑰后，上傳該加密數(shù)據(jù)密鑰至加密管理系統(tǒng)，然后加密管理系統(tǒng)將加密數(shù)據(jù)密鑰返回給新增虛擬機。隨后，新增虛擬機獲取到加密數(shù)據(jù)密鑰，就可以用其解密出數(shù)據(jù)加密密鑰，進而訪問數(shù)據(jù)卷。實施例三圖3為本發(fā)明虛擬機安全保護方法實施例三的流程圖，本實施例與前述實施例配合執(zhí)行，具體是由加密管理系統(tǒng)中的安全保護裝置來執(zhí)行的。本實施例的方法包括如下步驟步驟310、建立各虛擬機與證書公鑰的綁定關(guān)系；如前所述，加密管理系統(tǒng)記錄所建立的各虛擬機與證書公鑰的綁定關(guān)系，以備后續(xù)查詢。步驟320、采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中，其中，所述數(shù)據(jù)加密密鑰用于對所述數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；本步驟中，形成各加密數(shù)據(jù)密鑰的操作可以由任意一個虛擬機來完成，也可以由加S管理系統(tǒng)來完成。步驟330、當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，向所述虛擬機返回對應(yīng)證書公鑰加密的加密數(shù)據(jù)密鑰，以供所述虛擬機采用對應(yīng)的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取用于解密數(shù)據(jù)卷的數(shù)據(jù)加密密鑰。本步驟中，當加密管理系統(tǒng)接收到虛擬機發(fā)送 的加密數(shù)據(jù)密鑰獲取請求時，即查詢與該虛擬機對應(yīng)的加密數(shù)據(jù)密鑰，并返回給該虛擬機，以便其能夠訪問數(shù)據(jù)卷。本實施例中，通過建立虛擬機與證書公鑰的綁定關(guān)系，預(yù)先形成以各虛擬機的證書公鑰加密的數(shù)據(jù)加密密鑰；當?shù)卿浤硞€虛擬機進行某個數(shù)據(jù)卷訪問時，獲取與該虛擬機對應(yīng)的證書公鑰加密的數(shù)據(jù)加密密鑰，使得該虛擬機可以通過自己的證書私鑰解密獲得數(shù)據(jù)加密密鑰，從而解密該數(shù)據(jù)卷。該技術(shù)方案一方面無需唯一的硬件證書來支持，另一方面在任意虛擬機均能夠訪問掛載的加密數(shù)據(jù)卷，解決了同一用戶可以從多臺虛擬機上解密訪問加密數(shù)據(jù)卷的問題。在上述技術(shù)方案中，建立各虛擬機與證書公鑰的綁定關(guān)系的操作優(yōu)選是接收各虛擬機上報的證書公鑰，對各虛擬機進行身份驗證，并建立各虛擬機與證書公鑰的綁定關(guān)系。證書公鑰和證書私鑰由CA頒發(fā)給虛擬機，同時證書公鑰也提供給加密管理系統(tǒng)，加密管理系統(tǒng)可以比較CA頒發(fā)的證書公鑰與虛擬機上報的是否相同，從而對虛擬機進行身份合法性的驗證。采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中的操作優(yōu)選包括如下步驟將各虛擬機的證書公鑰下發(fā)給任意一個虛擬機，以供所述虛擬機采用各證書公鑰分別對數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；接收虛擬機返回的各加密數(shù)據(jù)密鑰，并進行存儲。上述方案中，當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，向所述虛擬機返回對應(yīng)證書公鑰加密的加密數(shù)據(jù)密鑰優(yōu)選是當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，查詢是否存在與所述虛擬機的證書公鑰對應(yīng)的加密數(shù)據(jù)密鑰，若是，則返回所述加密數(shù)據(jù)密鑰；若否，則由加密管理系統(tǒng)向其他虛擬機下發(fā)所述虛擬機的證書公鑰，請其他虛擬機代為生成加密數(shù)據(jù)密鑰。上述方案適用于新增虛擬機的情況，當加密管理系統(tǒng)查詢到?jīng)]有該虛擬機對應(yīng)的加密數(shù)據(jù)密鑰時，加密管理系統(tǒng)會首先獲取該虛擬機的證書公鑰，然后下發(fā)給其他虛擬機，請其他虛擬機代為生成加密數(shù)據(jù)密鑰后上傳至加密管理系統(tǒng)，然后加密管理系統(tǒng)將加密數(shù)據(jù)密鑰返回給新增虛擬機。實施例四圖4為本發(fā)明虛擬機安全保護方法實施例四的信令流程圖，為虛擬機與加密關(guān)系系統(tǒng)配合執(zhí)行的方法，且具體為證書公鑰與虛擬機的綁定流程。如圖4所示，本實施例的方法可以包括步驟401、虛擬機從CA獲取頒發(fā)給自己的證書公鑰和證書私鑰，同時CA也將各虛擬機的證書公鑰提供給加密管理系統(tǒng)；步驟402、虛擬機向加密管理系統(tǒng)發(fā)送證書綁定請求，其中攜帶自己的證書公鑰；步驟403、加密管理系統(tǒng)基于本地存儲的證書公鑰對證書綁定請求進行身份驗證，若合格，則建立該虛擬機與證書公鑰的綁定關(guān)系；步驟404、加密管理系統(tǒng)將綁定關(guān)系存儲到VEM(Virtual EncryptionManagement虛擬加密管理)數(shù)據(jù)庫中；步驟405、加密管理系統(tǒng)向虛擬機返回證書綁定響應(yīng)。
實施例五圖5為本發(fā)明虛擬機安全保護方法實施例五的信令流程圖，為虛擬機與加密關(guān)系系統(tǒng)配合執(zhí)行的方法，且具體為對數(shù)據(jù)卷的加密流程。如圖5所示，本實施例的方法可以包括步驟501、虛擬機向加密管理系統(tǒng)發(fā)送獲取所有虛擬機證書公鑰請求；步驟502、加密管理系統(tǒng)從VEM數(shù)據(jù)庫中查詢所有已存儲的證書公鑰；步驟503、VEM數(shù)據(jù)庫返回所有查詢到的證書公鑰；步驟504、加密管理系統(tǒng)將所有證書公鑰下發(fā)給虛擬機；步驟505、虛擬機采用各證書公鑰對本地掛載的加密數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；步驟506、虛擬機將各加密數(shù)據(jù)密鑰上報給加密管理系統(tǒng)；步驟507、加密管理系統(tǒng)將各加密數(shù)據(jù)密鑰存儲在VEM數(shù)據(jù)庫中。實施例六圖6為本發(fā)明虛擬機安全保護方法實施例六的信令流程圖，為虛擬機與加密關(guān)系系統(tǒng)配合執(zhí)行的方法，且具體為對數(shù)據(jù)卷的解密流程。如圖6所示，本實施例的方法可以包括步驟601、虛擬機接收到數(shù)據(jù)卷訪問請求時，向加密管理系統(tǒng)請求獲取加密數(shù)據(jù)密鑰；該虛擬機可以是第一次掛載該加密數(shù)據(jù)卷并進行訪問，所以需先獲取加密數(shù)據(jù)密鑰。步驟602、加密管理系統(tǒng)從VEM數(shù)據(jù)庫查詢獲取該虛擬機對應(yīng)的加密數(shù)據(jù)密鑰；步驟603、VEM數(shù)據(jù)庫返回該虛擬機對應(yīng)的加密數(shù)據(jù)密鑰；步驟604、加密管理系統(tǒng)將加密數(shù)據(jù)密鑰返回給虛擬機；步驟605、虛擬機采用自己的證書私鑰對加密數(shù)據(jù)密鑰進行解密，獲取數(shù)據(jù)加密密鑰，進而可以解密數(shù)據(jù)卷。實施例七圖7為本發(fā)明虛擬機安全保護方法實施例七的信令流程圖，為虛擬機與加密關(guān)系系統(tǒng)配合執(zhí)行的方法，且具體為新增虛擬機對數(shù)據(jù)卷的解密流程。如圖7所示，本實施例的方法可以包括步驟701、新增虛擬機向加密管理系統(tǒng)請求獲取KEK ；步驟702、加密管理系統(tǒng)從VEM數(shù)據(jù)庫中查詢是否存在KEK，由于是新增虛擬機，所以不存在其對應(yīng)的KEK ；
步驟703、VEM數(shù)據(jù)庫向加密管理系統(tǒng)返回KEK不存在的響應(yīng)；步驟704、加密管理系統(tǒng)要求新增虛擬機提供證書公鑰；步驟705、新增虛擬機向加密管理系統(tǒng)提供證書公鑰；步驟706、加密管理系統(tǒng)查找是否存在已開機的其它虛擬機，若否，則執(zhí)行步驟707，若是，則執(zhí)行708 ；步驟707、加密管理系統(tǒng)向虛擬機返回失敗響應(yīng)，提示需要先開啟一臺虛擬機；步驟708、加密管理系統(tǒng)將新增虛擬機的證書公鑰下發(fā)給已開機的虛擬機；步驟709、該開機的虛擬機首先根據(jù)自己的證書私鑰解密加密數(shù)據(jù)密鑰，獲得以KEK加密的數(shù)據(jù)加密密鑰，而后采用新增虛擬機的證書公鑰，產(chǎn)生加密數(shù)據(jù)密鑰； 步驟710、開機的虛擬機將加密數(shù)據(jù)密鑰上傳給加密管理系統(tǒng)；步驟711、加密管理系統(tǒng)將加密數(shù)據(jù)密鑰存儲在VEM數(shù)據(jù)庫中；步驟712、加密管理系統(tǒng)將加密數(shù)據(jù)密鑰返回給新增虛擬機；步驟713、新增虛擬機采用自己的證書私鑰對加密數(shù)據(jù)密鑰進行解密，獲得數(shù)據(jù)加密密鑰，進而可訪問數(shù)據(jù)卷。圖8為本發(fā)明虛擬機側(cè)安全保護裝置實施例一的結(jié)構(gòu)示意圖，本實施例的保護裝置可以集成于各虛擬機中。如圖8所示，本實施例的裝置可以包括第一證書綁定模塊11 ；第一數(shù)據(jù)密鑰形成模塊12 ;數(shù)據(jù)密鑰獲取模塊13 ;數(shù)據(jù)密鑰解密模塊14 ;數(shù)據(jù)卷解密模塊15 ;其中，第一證書綁定模塊11，用于通過加密管理系統(tǒng)建立虛擬機與證書公鑰的綁定關(guān)系;第一數(shù)據(jù)密鑰形成模塊12，用于采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至加密管理系統(tǒng)中，其中數(shù)據(jù)加密密鑰用于對數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；數(shù)據(jù)密鑰獲取模塊13，用于當通過虛擬機接收到數(shù)據(jù)卷訪問請求時，向加密管理系統(tǒng)請求獲取被請求虛擬機對應(yīng)的加密數(shù)據(jù)密鑰；數(shù)據(jù)密鑰解密模塊14，用于采用被請求虛擬機的證書私鑰對加密數(shù)據(jù)密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰；數(shù)據(jù)卷解密模塊15，用于采用數(shù)據(jù)加密密鑰對數(shù)據(jù)卷進行解密，以實現(xiàn)數(shù)據(jù)卷訪問。本實施例的裝置，可以用于執(zhí)行本發(fā)明實施例所提供方法的技術(shù)方案，其實現(xiàn)原理和技術(shù)效果類似，此處不再贅述。圖9為本發(fā)明虛擬機側(cè)安全保護裝置實施例二的結(jié)構(gòu)示意圖，如圖9所示，本實施例的裝置在圖8所示裝置結(jié)構(gòu)的基礎(chǔ)上，進一步地，第一密鑰形成模塊12包括證書公鑰獲取單元121 ;數(shù)據(jù)密鑰產(chǎn)生單元122 ;密鑰存儲單元123 ;其中，證書公鑰獲取單元121，用于通過所在虛擬機接收加密管理系統(tǒng)提供的其它所有虛擬機的證書公鑰；數(shù)據(jù)密鑰產(chǎn)生單元122，用于采用所在虛擬機的證書公鑰和其他所有虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；密鑰存儲單元123，用于將各加密數(shù)據(jù)密鑰上報給加密管理系統(tǒng)進行存儲。本實施例的裝置，可以用于執(zhí)行本發(fā)明實施例所提供方法的技術(shù)方案，其實現(xiàn)原理和技術(shù)效果類似，此處不再贅述。更需要說明的是，在另一種實現(xiàn)方式中，該第一密鑰形成模塊12還可以包括第一層加密單元和第二層加密單元。第一層加密單元，采用統(tǒng)一的虛擬機密鑰對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成虛擬機加密密鑰；第二層加密單元，采用各虛擬機的證書公鑰分別對虛擬機加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰。進一步地，在本實施例中，數(shù)據(jù)密鑰解密模塊14包括第二層解密單元141和第一層解密單元142 ;其中，第二層解密單元141，用于采用被請求虛擬機的證書私鑰對加密數(shù)據(jù)密鑰進行解密，獲取虛擬機加密密鑰；第一層解密單元142，用于采用虛擬機密鑰對虛擬機加密密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰。本實施例的裝置，可以用于執(zhí)行本發(fā)明實施例所提供方法的技術(shù)方案，其實現(xiàn)原理和技術(shù)效果類似，此處不再贅述。圖10為本發(fā)明系統(tǒng)側(cè)安全保護裝置實施例三的結(jié)構(gòu)示意圖，本實施例的保護裝 置可以集成于加密管理系統(tǒng)中。如圖10所示，本實施例的裝置可以包括第二證書綁定模塊21 ;第二數(shù)據(jù)密鑰形成模塊22 ;數(shù)據(jù)密鑰返回模塊23 ;其中，第二證書綁定模塊21，用于建立各虛擬機與證書公鑰的綁定關(guān)系；第二數(shù)據(jù)密鑰形成模塊22，用于采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至加密管理系統(tǒng)中，其中數(shù)據(jù)加密密鑰用于對數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；數(shù)據(jù)密鑰返回模塊23，用于當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，向所述虛擬機返回對應(yīng)證書公鑰加密的加密數(shù)據(jù)密鑰，以供虛擬機采用對應(yīng)的證書私鑰對加密數(shù)據(jù)密鑰進行解密，以獲取用于解密數(shù)據(jù)卷的數(shù)據(jù)加密密鑰。本實施例的裝置，可以用于執(zhí)行本發(fā)明實施例所提供方法的技術(shù)方案，其實現(xiàn)原理和技術(shù)效果類似，此處不再贅述。進一步地，在本實施例中，第二數(shù)據(jù)密鑰形成模塊22包括證書下發(fā)單元221 ;密鑰回收單元222 ;其中，證書下發(fā)單元221，用于將各虛擬機的證書公鑰下發(fā)給任意一個虛擬機，以供所述虛擬機采用各證書公鑰分別對數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；密鑰回收單元222，用于接收虛擬機返回的各加密數(shù)據(jù)密鑰，并進行存儲。本實施例的裝置，可以用于執(zhí)行本發(fā)明實施例所提供方法的技術(shù)方案，其實現(xiàn)原理和技術(shù)效果類似，此處不再贅述。最后應(yīng)說明的是以上各實施例僅用以說明本發(fā)明的技術(shù)方案，而非對其限制；盡管參照前述各實施例對本發(fā)明進行了詳細的說明，本領(lǐng)域的普通技術(shù)人員應(yīng)當理解其依然可以對前述各實施例所記載的技術(shù)方案進行修改，或者對其中部分或者全部技術(shù)特征進行等同替換；而這些修改或者替換，并不使相應(yīng)技術(shù)方案的本質(zhì)脫離本發(fā)明各實施例技術(shù)方案的范圍。
權(quán)利要求
1.一種虛擬機安全保護方法，其特征在于，包括通過加密管理系統(tǒng)建立虛擬機與證書公鑰的綁定關(guān)系；采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中，其中，所述數(shù)據(jù)加密密鑰用于對所述數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；當通過虛擬機接收到數(shù)據(jù)卷訪問請求時，向所述加密管理系統(tǒng)請求獲取被請求虛擬機對應(yīng)的加密數(shù)據(jù)密鑰；采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰；采用所述數(shù)據(jù)加密密鑰對所述數(shù)據(jù)卷進行解密，以實現(xiàn)數(shù)據(jù)卷訪問。
2.根據(jù)權(quán)利要求1所述的虛擬機安全保護方法，其特征在于，采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中包括采用統(tǒng)一的虛擬機密鑰對所述數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成虛擬機加密密鑰；采用各虛擬機的證書公鑰分別對所述虛擬機加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；則采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰包括采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，獲取所述虛擬機加密密鑰；采用所述虛擬機密鑰對所述虛擬機加密密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰。
3.根據(jù)權(quán)利要求1所述的虛擬機安全保護方法，其特征在于，通過加密管理系統(tǒng)建立虛擬機與證書公鑰的綁定關(guān)系，包括將所在虛擬機的證書公鑰上報給所述加密管理系統(tǒng)以進行身份驗證，并建立所在虛擬機與證書公鑰的綁定關(guān)系。
4.根據(jù)權(quán)利要求1所述的虛擬機安全保護方法，其特征在于，采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中包括通過所在虛擬機接收加密管理系統(tǒng)提供的其它所有虛擬機的證書公鑰；采用所在虛擬機的證書公鑰和其他所有虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；將各所述加密數(shù)據(jù)密鑰上報給所述加密管理系統(tǒng)進行存儲。
5.一種虛擬機安全保護方法，其特征在于，包括建立各虛擬機與證書公鑰的綁定關(guān)系；采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中，其中，所述數(shù)據(jù)加密密鑰用于對所述數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，向所述虛擬機返回對應(yīng)證書公鑰加密的加密數(shù)據(jù)密鑰，以供所述虛擬機采用對應(yīng)的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密， 以獲取用于解密數(shù)據(jù)卷的數(shù)據(jù)加密密鑰。
6.根據(jù)權(quán)利要求5所述的虛擬機安全保護方法，其特征在于，建立各虛擬機與證書公鑰的綁定關(guān)系包括接收各虛擬機上報的證書公鑰，對各虛擬機進行身份驗證，并建立各虛擬機與證書公鑰的綁定關(guān)系。
7.根據(jù)權(quán)利要求5所述的虛擬機安全保護方法，其特征在于，采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中包括將各虛擬機的證書公鑰下發(fā)給任意一個虛擬機，以供所述虛擬機采用各證書公鑰分別對數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；接收虛擬機返回的各加密數(shù)據(jù)密鑰，并進行存儲。
8.根據(jù)權(quán)利要求5所述的虛擬機安全保護方法，其特征在于，當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，向所述虛擬機返回對應(yīng)證書公鑰加密的加密數(shù)據(jù)密鑰包括當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，查詢是否存在與所述虛擬機的證書公鑰對應(yīng)的加密數(shù)據(jù)密鑰，若是，則返回所述加密數(shù)據(jù)密鑰；若否，則由加密管理系統(tǒng)向其他虛擬機下發(fā)所述虛擬機的證書公鑰，并接收所述其他虛擬機生成并返回的加密數(shù)據(jù)密鑰。
9.一種虛擬機側(cè)安全保護裝置，其特征在于，包括第一證書綁定模塊，用于通過加密管理系統(tǒng)建立虛擬機與證書公鑰的綁定關(guān)系；第一數(shù)據(jù)密鑰形成模塊，用于采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中，其中，所述數(shù)據(jù)加密密鑰用于對所述數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；數(shù)據(jù)密鑰獲取模塊，用于當通過虛擬機接收到數(shù)據(jù)卷訪問請求時，向所述加密管理系統(tǒng)請求獲取被請求虛擬機對應(yīng)的加密數(shù)據(jù)密鑰；數(shù)據(jù)密鑰解密模塊，用于采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰；數(shù)據(jù)卷解密模塊，用于采用所述數(shù)據(jù)加密密鑰對所述數(shù)據(jù)卷進行解密，以實現(xiàn)數(shù)據(jù)卷訪問。
10.根據(jù)權(quán)利要求9所述的虛擬機側(cè)安全保護裝置，其特征在于，第一數(shù)據(jù)密鑰形成模塊包括第一層加密單元，用于采用統(tǒng)一的虛擬機密鑰對所述數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成虛擬機加密密鑰；第二層加密單元，用于采用各虛擬機的證書公鑰分別對所述虛擬機加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；則數(shù)據(jù)密鑰解密模塊包括第二層解密單元，用于采用所述被請求虛擬機的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，獲取所述虛擬機加密密鑰；第一層解密單元，用于采用所述虛擬機密鑰對所述虛擬機加密密鑰進行解密，以獲取所述數(shù)據(jù)加密密鑰。
11.根據(jù)權(quán)利要求9所述的虛擬機側(cè)安全保護裝置，其特征在于，第一證書綁定模塊具體用于將所在虛擬機的證書公鑰上報給所述加密管理系統(tǒng)以進行身份驗證，并建立所在虛擬機與證書公鑰的綁定關(guān)系。
12.根據(jù)權(quán)利要求9所述的虛擬機側(cè)安全保護裝置，其特征在于，第一數(shù)據(jù)密鑰形成模塊包括證書公鑰獲取單元，用于通過所在虛擬機接收加密管理系統(tǒng)提供的其它所有虛擬機的證書公鑰；數(shù)據(jù)密鑰產(chǎn)生單元，用于采用所在虛擬機的證書公鑰和其他所有虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；密鑰存儲單元，用于將各所述加密數(shù)據(jù)密鑰上報給所述加密管理系統(tǒng)進行存儲。
13.—種系統(tǒng)側(cè)安全保護裝置，其特征在于，包括第二證書綁定模塊，用于建立各虛擬機與證書公鑰的綁定關(guān)系；第二數(shù)據(jù)密鑰形成模塊，用于采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰并存儲至所述加密管理系統(tǒng)中，其中，所述數(shù)據(jù)加密密鑰用于對所述數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲；數(shù)據(jù)密鑰返回模塊，用于當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，向所述虛擬機返回對應(yīng)證書公鑰加密的加密數(shù)據(jù)密鑰，以供所述虛擬機采用對應(yīng)的證書私鑰對所述加密數(shù)據(jù)密鑰進行解密，以獲取用于解密數(shù)據(jù)卷的數(shù)據(jù)加密密鑰。
14.根據(jù)權(quán)利要求13所述的系統(tǒng)側(cè)安全保護裝置，其特征在于，第二證書綁定模塊具體用于接收各虛擬機上報的證書公鑰，對各虛擬機進行身份驗證，并建立各虛擬機與證書公鑰的綁定關(guān)系。
15.根據(jù)權(quán)利要求13所述的系統(tǒng)側(cè)安全保護裝置，其特征在于，第二數(shù)據(jù)密鑰形成模塊包括證書下發(fā)單元，用于將各虛擬機的證書公鑰下發(fā)給任意一個虛擬機，以供所述虛擬機采用各證書公鑰分別對數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰；密鑰回收單元，用于接收虛擬機返回的各加密數(shù)據(jù)密鑰，并進行存儲。
16.根據(jù)權(quán)利要求13所述的系統(tǒng)側(cè)安全保護裝置，其特征在于，數(shù)據(jù)密鑰返回模塊具體用于當接收到虛擬機發(fā)送的加密數(shù)據(jù)密鑰獲取請求時，查詢是否存在與所述虛擬機的證書公鑰對應(yīng)的加密數(shù)據(jù)密鑰，若是，則返回所述加密數(shù)據(jù)密鑰；若否，則由加密管理系統(tǒng)向其他虛擬機下發(fā)所述虛擬機的證書公鑰，并接收所述其他虛擬機生成并返回的加密數(shù)據(jù)密鑰。
全文摘要
本發(fā)明實施例提供一種虛擬機安全保護方法及裝置，本發(fā)明虛擬機安全保護方法包括通過加密管理系統(tǒng)建立虛擬機與證書公鑰的綁定關(guān)系，采用各虛擬機的證書公鑰分別對數(shù)據(jù)卷的數(shù)據(jù)加密密鑰進行加密，形成各加密數(shù)據(jù)密鑰，其中，數(shù)據(jù)加密密鑰用于對數(shù)據(jù)卷的數(shù)據(jù)進行加密存儲，當通過虛擬機接收到數(shù)據(jù)卷訪問請求時，向加密管理系統(tǒng)請求獲取被請求虛擬機對應(yīng)的加密數(shù)據(jù)密鑰，采用被請求虛擬機的證書私鑰對加密數(shù)據(jù)密鑰進行解密，以獲取數(shù)據(jù)加密密鑰，采用數(shù)據(jù)加密密鑰對數(shù)據(jù)卷進行解密，以實現(xiàn)數(shù)據(jù)卷訪問。本發(fā)明實施例提供的虛擬機安全保護方法，可以在不使用Ukey的情況下，以同一用戶從不同虛擬機上訪問掛載的數(shù)據(jù)卷。
文檔編號H04L9/08GK103023920SQ20121057893
公開日2013年4月3日 申請日期2012年12月27日 優(yōu)先權(quán)日2012年12月27日
發(fā)明者徐懋鵬 申請人:華為技術(shù)有限公司