一種虛擬機(jī)加密方法、解密方法及加解密控制系統(tǒng)的制作方法
【專利摘要】本發(fā)明公開了一種虛擬機(jī)加密方法、解密方法及加解密控制系統(tǒng)，用戶通過客戶端申請創(chuàng)建加密的虛擬機(jī)磁盤文件，執(zhí)行用戶身份認(rèn)證過程；認(rèn)證通過后虛擬機(jī)管理子系統(tǒng)為用戶分配虛擬機(jī)資源，策略執(zhí)行模塊創(chuàng)建新的虛擬機(jī)磁盤文件；策略執(zhí)行模塊向密鑰和策略管理子系統(tǒng)進(jìn)行身份認(rèn)證，認(rèn)證通過后接收虛擬機(jī)磁盤文件的對稱加密密鑰；策略執(zhí)行模塊將對稱加密密鑰傳遞給文件加解密引擎對虛擬機(jī)磁盤文件進(jìn)行加密；文件加解密引擎將加密后的虛擬機(jī)磁盤文件交給策略執(zhí)行模塊進(jìn)行存儲；策略執(zhí)行模塊與密鑰和策略管理子系統(tǒng)同步密鑰和訪問策略。本發(fā)明為用戶使用虛擬機(jī)提供安全透明的數(shù)據(jù)加解密，并提供完善的身份認(rèn)證機(jī)制確保用戶訪問虛擬機(jī)的安全性。
【專利說明】一種虛擬機(jī)加密方法、解密方法及加解密控制系統(tǒng)

【技術(shù)領(lǐng)域】
[0001] 本發(fā)明涉及計算系統(tǒng)虛擬化【技術(shù)領(lǐng)域】，具體地講，涉及一種虛擬機(jī)加密方法、解密 方法及加解密控制系統(tǒng)。

【背景技術(shù)】
[0002] 云計算是通過互聯(lián)網(wǎng)提供動態(tài)易擴(kuò)展且經(jīng)常是虛擬化的資源，通過使計算分布在 大量分布式計算機(jī)上，而非本地計算機(jī)或遠(yuǎn)程服務(wù)器中，企業(yè)能夠?qū)①Y源切換到需要的應(yīng) 用上根據(jù)需求訪問計算機(jī)和存儲系統(tǒng)。虛擬機(jī)是一臺物理計算機(jī)上模擬出多臺虛擬的計算 機(jī)，這些虛擬機(jī)具有完整硬件系統(tǒng)功能運(yùn)行在一個完全隔離環(huán)境中，虛擬系統(tǒng)通過生成現(xiàn) 有操作系統(tǒng)的全新虛擬鏡像，具有真實(shí)操作系統(tǒng)完全一樣的功能，進(jìn)入虛擬系統(tǒng)后，所有操 作都在這個全新獨(dú)立的虛擬系統(tǒng)里面進(jìn)行，可以獨(dú)立安裝運(yùn)行軟件，保存數(shù)據(jù)，擁有自己的 獨(dú)立桌面，不會對真正的系統(tǒng)產(chǎn)生任何影響。影響云計算商業(yè)應(yīng)用進(jìn)程最重要的因素就是 云端數(shù)據(jù)存儲的安全性問題。
[0003] 虛擬機(jī)的磁盤數(shù)據(jù)包括系統(tǒng)盤和數(shù)據(jù)盤的數(shù)據(jù)會存在安全風(fēng)險，數(shù)據(jù)加密和訪問 控制是保護(hù)磁盤數(shù)據(jù)的關(guān)鍵，確保只有授權(quán)用戶才能解密并訪問自己的磁盤數(shù)據(jù)。當(dāng)用戶 向虛擬磁盤中存入數(shù)據(jù)時對用戶的數(shù)據(jù)進(jìn)行加密，用戶從虛擬磁盤中讀取數(shù)據(jù)時對用戶的 數(shù)據(jù)進(jìn)行解密。為了使用戶能夠安全地將自己的數(shù)據(jù)存儲到云系統(tǒng)中，加密密鑰和磁盤加 密策略的合理管理是關(guān)鍵。


【發(fā)明內(nèi)容】

[0004] 本發(fā)明要解決的技術(shù)問題是提供一種虛擬機(jī)加密方法、解密方法及加解密控制系 統(tǒng)，確保用戶訪問虛擬機(jī)的安全性。
[0005] 本發(fā)明采用如下技術(shù)手段實(shí)現(xiàn)發(fā)明目的： 一種虛擬機(jī)加密方法，其特征在于，包括如下步驟： (1) 用戶通過客戶端（260)向虛擬機(jī)管理子系統(tǒng)（270)請求創(chuàng)建加密的虛擬機(jī)磁盤文 件； (2) 虛擬機(jī)管理子系統(tǒng)（270)將用戶的Ukey證書信息以及創(chuàng)建加密虛擬機(jī)磁盤文件的 請求發(fā)送給密鑰和策略管理子系統(tǒng)（280)，由密鑰和策略管理子系統(tǒng)（280)對用戶執(zhí)行身 份認(rèn)證，密鑰和策略管理子系統(tǒng)（280)與用戶注冊Ukey的證書管理子系統(tǒng)保持用戶證書信 息的同步一致； (3) 認(rèn)證成功后，密鑰和策略管理子系統(tǒng)（280)把用戶通過認(rèn)證的消息發(fā)送給虛擬機(jī)管 理子系統(tǒng)（270); (4) 虛擬機(jī)管理子系統(tǒng)（270)為用戶分配虛擬機(jī)資源，并把虛擬機(jī)資源配置請求發(fā)送給 對應(yīng)的虛擬機(jī)監(jiān)控子系統(tǒng)（290)的策略執(zhí)行模塊（292)，為新生成的虛擬機(jī)分配設(shè)備資源， 虛擬機(jī)資源配置請求信息里包含用戶的個人信息和Ukey證書信息； (5) 策略執(zhí)行模塊（292)創(chuàng)建新的虛擬機(jī)磁盤文件，并為該虛擬機(jī)磁盤文件分配虛擬機(jī) 文件標(biāo)識VMFID ; (6) 策略執(zhí)行模塊（292)向密鑰和策略管理子系統(tǒng)（280)請求加密該虛擬機(jī)磁盤文 件所用的對稱加密密鑰，該請求消息中包含了用戶信息、Ukey證書信息和虛擬機(jī)文件標(biāo)識 VMFID，主要為后續(xù)密鑰和策略管理子系統(tǒng)（280)能夠建立密鑰索引關(guān)系； (7) 密鑰和策略管理子系統(tǒng)（280)收到策略執(zhí)行模塊（292)請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊（292)執(zhí)行身份認(rèn)證，保證后續(xù)只有授權(quán)的策略執(zhí)行模塊 (292)可以解密經(jīng)過加密的虛擬機(jī)磁盤文件； (8) 策略執(zhí)行模塊（292)使用該策略執(zhí)行模塊自身的標(biāo)識提前在密鑰和策略管理子系 統(tǒng)（280 )進(jìn)行注冊，這個注冊過程在虛擬機(jī)監(jiān)控子系統(tǒng)（290 )上安裝策略執(zhí)行模塊（292 )時 進(jìn)行； (9) 策略執(zhí)行模塊（292)的認(rèn)證通過后，密鑰和策略管理子系統(tǒng)（280)為新創(chuàng)建的虛擬 機(jī)文件產(chǎn)生對稱加密密鑰并發(fā)送給策略執(zhí)行模塊（292); (10) 策略執(zhí)行模塊（292)將收到的對稱加密密鑰傳遞給文件加解密引擎（294)，文件 加解密引擎（294)使用該對稱加密密鑰加密所述虛擬機(jī)磁盤文件； (11) 文件加解密引擎（294)將加密后的虛擬機(jī)文件傳遞給策略執(zhí)行模塊（292)，策略 執(zhí)行模塊（292)把加密后的虛擬機(jī)磁盤文件放到存儲設(shè)備進(jìn)行存儲； (12) 密鑰和策略管理子系統(tǒng)（280)與策略執(zhí)行模塊（292)進(jìn)行密鑰和訪問策略同步過 程； 一種虛擬機(jī)解密方法，其特征在于，包括如下步驟： (1) 用戶通過客戶端（260)將虛擬機(jī)磁盤文件的訪問請求發(fā)送給虛擬機(jī)管理子系統(tǒng) (270 )，或者用戶通過在客戶端（260 )上插入Ukey請求訪問虛擬機(jī)磁盤文件，客戶端（260 ) 把虛擬機(jī)磁盤文件的訪問請求發(fā)送給虛擬機(jī)管理子系統(tǒng)（270)，該請求消息中包含了訪問 的虛擬機(jī)磁盤文件的標(biāo)識VMFID以及用戶的Ukey證書信息； (2) 虛擬機(jī)管理子系統(tǒng)（270)向密鑰和策略管理子系統(tǒng)（280)發(fā)送認(rèn)證請求消息，請求 密鑰和策略管理子系統(tǒng)（280)對用戶執(zhí)行身份認(rèn)證，其中包含了訪問的虛擬機(jī)磁盤文件的 標(biāo)識VMFID和用戶的Ukey證書信息； (3) 密鑰和策略管理子系統(tǒng)（280)與客戶端（260)執(zhí)行用戶身份認(rèn)證過程； (4) 認(rèn)證成功后密鑰和策略管理子系統(tǒng)（280)將認(rèn)證成功消息返回給虛擬機(jī)管理子系 統(tǒng)（270); (5) 虛擬機(jī)管理子系統(tǒng)（270)收到密鑰和策略管理子系統(tǒng)（280)發(fā)來的用戶身份認(rèn)證 成功消息后，將打開虛擬機(jī)磁盤文件的指令發(fā)送給虛擬機(jī)監(jiān)控子系統(tǒng)（290)里的策略執(zhí)行 模塊（292)，該文件打開指令里至少包含了用戶所要訪問的虛擬機(jī)磁盤文件的標(biāo)識VMFID; (6) 策略執(zhí)行模塊（292)根據(jù)VMFID來查詢所訪問的虛擬機(jī)磁盤文件的訪問策略，如果 本地沒有緩存該虛擬機(jī)磁盤文件的訪問策略和對稱加密密鑰，策略執(zhí)行模塊就向密鑰和策 略管理子系統(tǒng)（280)請求該虛擬機(jī)磁盤文件的策略信息以及對稱加密密鑰，該消息中至少 包含用戶所要訪問的虛擬機(jī)磁盤文件的標(biāo)識VMFID，如果本地緩存了該虛擬機(jī)磁盤文件的 訪問策略和對稱加密密鑰，就直接執(zhí)行步驟（9 ); (7) 密鑰和策略管理子系統(tǒng)（280)收到策略執(zhí)行模塊（292)請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊（292)執(zhí)行身份認(rèn)證，保證只有授權(quán)的策略執(zhí)行模塊（292) 可以解密經(jīng)過加密的虛擬機(jī)磁盤文件； (8) 策略執(zhí)行模塊（292)的認(rèn)證成功后，密鑰和策略管理子系統(tǒng)（280)根據(jù)用戶所要訪 問的虛擬機(jī)磁盤文件的標(biāo)識VMFID來查詢訪問策略，判斷對應(yīng)的虛擬機(jī)磁盤文件是否能被 所述策略執(zhí)行模塊（292 )訪問，如果可以訪問，密鑰和策略管理子系統(tǒng)（280 )將該虛擬機(jī)磁 盤文件的對稱密鑰檢索出來，發(fā)送給虛擬機(jī)監(jiān)控子系統(tǒng)（290)里的策略執(zhí)行模塊（292); (9) 策略執(zhí)行模塊（292)將收到的對稱密鑰傳遞給文件加解密引擎（294)，文件加解密 引擎（294)使用該對稱密鑰解密虛擬機(jī)磁盤文件； (10) 文件加解密引擎（294)將加密后的虛擬機(jī)文件傳遞給策略執(zhí)行模塊（292); (11) 虛擬機(jī)監(jiān)控子系統(tǒng)（290)啟動加密的虛擬機(jī)磁盤文件為用戶提供虛擬機(jī)運(yùn)行環(huán) 境。
[0006] 一種虛擬機(jī)加解密控制系統(tǒng)，其特征在，包括： 客戶端信息輸入子系統(tǒng)：用戶使用客戶端操作虛擬機(jī)的信息輸入接口，客戶端信息 輸入子系統(tǒng)接收用戶從鼠標(biāo)鍵盤輸入的操作指令并發(fā)送給虛擬機(jī)管理子系統(tǒng)和虛擬機(jī)執(zhí) 行對應(yīng)操作指令的動作。
[0007] 虛擬機(jī)管理子系統(tǒng)：主要提供虛擬機(jī)的集中管理，為用戶合理配置虛擬機(jī)資源，同 時作為客戶端與密鑰和策略管理子系統(tǒng)通信的轉(zhuǎn)發(fā)設(shè)備； 密鑰和策略管理子系統(tǒng)：負(fù)責(zé)對用戶的身份認(rèn)證，同時還根據(jù)虛擬機(jī)監(jiān)控器中的策略 執(zhí)行模塊的標(biāo)識對策略執(zhí)行模塊執(zhí)行認(rèn)證，以確保只有合法的策略執(zhí)行模塊能夠加解密虛 擬機(jī)文件； 虛擬機(jī)加密子系統(tǒng)：運(yùn)行于虛擬機(jī)監(jiān)控器，為虛擬機(jī)提供接口并管理真實(shí)的計算資源。
[0008] 作為對本技術(shù)方案的進(jìn)一步限定，所述虛擬機(jī)加密子系統(tǒng)包括 策略執(zhí)行模塊：運(yùn)行于虛擬機(jī)監(jiān)控器（290)里，負(fù)責(zé)保存并同步密鑰和策略管理子系 統(tǒng)子（280)上的對稱密鑰和文件存儲的訪問策略信息，同時還提供對稱密鑰給文件加解密 引擎（294)并決定加密后的虛擬機(jī)磁盤文件的存儲位置； 文件加密引擎：也運(yùn)行在虛擬機(jī)監(jiān)控器（290)里，主要接收策略執(zhí)行模塊292傳遞來的 對稱密鑰，對虛擬機(jī)磁盤文件執(zhí)行加解密操作。
[0009] 作為對本技術(shù)方案的進(jìn)一步限定，所述客戶端信息輸入子系統(tǒng)運(yùn)行于客戶端。
[0010] 作為對本技術(shù)方案的進(jìn)一步限定，所述虛擬機(jī)加密子系統(tǒng)的信息存儲于存儲設(shè) 備。
[0011] 作為對本技術(shù)方案的進(jìn)一步限定，所述密鑰和策略管理子系統(tǒng)的信息存儲于密鑰 和策略存儲池。
[0012] 作為對本技術(shù)方案的進(jìn)一步限定，所述虛擬機(jī)加密子系統(tǒng)運(yùn)行于虛擬機(jī)監(jiān)控器。 所述虛擬機(jī)加密子系統(tǒng)的信息存儲于存儲設(shè)備。
[0013] 作為對本技術(shù)方案的進(jìn)一步限定，所述密鑰和策略管理子系統(tǒng)的信息存儲于密鑰 和策略存儲池。
[0014] 作為對本技術(shù)方案的進(jìn)一步限定，所述虛擬機(jī)加密子系統(tǒng)運(yùn)行于虛擬機(jī)監(jiān)控器。
[0015] 與現(xiàn)有技術(shù)相比，本發(fā)明的優(yōu)點(diǎn)和積極效果是：本發(fā)明對虛擬機(jī)進(jìn)行集中管理， 所以可以根據(jù)不同的用戶需求將虛擬機(jī)按組進(jìn)行管理，例如使用相同的加密和訪問控制策 略、存儲在同一存儲池里、運(yùn)行在同一臺物理服務(wù)器上等。當(dāng)虛擬機(jī)遷移到其他物理服務(wù)器 上，也可以通過在虛擬機(jī)管理子系統(tǒng)進(jìn)行訪問控制策略的配置，授權(quán)其他策略執(zhí)行模塊獲 取對稱密鑰解密并訪問虛擬機(jī)磁盤文件。本發(fā)明為用戶使用虛擬機(jī)提供安全透明的數(shù)據(jù)加 解密，并提供完善的身份認(rèn)證機(jī)制確保用戶訪問虛擬機(jī)的安全性。

【專利附圖】

【附圖說明】
[0016] 圖1是本發(fā)明的系統(tǒng)示意圖。
[0017] 圖2是本發(fā)明加密方法的流程示意圖。
[0018] 圖3是本發(fā)明解密方法的流程示意圖。

【具體實(shí)施方式】
[0019] 下面結(jié)合附圖和優(yōu)選實(shí)施例對本發(fā)明作更進(jìn)一步的詳細(xì)描述。
[0020] 參見圖1-圖3,本發(fā)明實(shí)施例提供了一種虛擬機(jī)加解密及訪問控制的系統(tǒng)與方 法，用于對用戶的虛擬機(jī)磁盤數(shù)據(jù)進(jìn)行安全保護(hù)。為使本發(fā)明實(shí)施例的目的、技術(shù)方案和優(yōu) 點(diǎn)更加清楚易懂，下面結(jié)合本發(fā)明實(shí)施例中的附圖，對本發(fā)明實(shí)施例中的技術(shù)方案進(jìn)行清 楚、完整的描述。
[0021] 圖1是本發(fā)明的原理方框圖，該系統(tǒng)至少包括：客戶端信息輸入子系統(tǒng)、虛擬機(jī) 管理子系統(tǒng)270、密鑰和策略管理子系統(tǒng)280和虛擬機(jī)加密子系統(tǒng)、客戶端信息輸入子系統(tǒng) 設(shè)置于客戶端260上運(yùn)行，虛擬機(jī)加密子系統(tǒng)設(shè)置于虛擬機(jī)監(jiān)控器290里運(yùn)行，虛擬機(jī)加密 子系統(tǒng)包括策略執(zhí)行模塊292和文件加密引擎294。
[0022] 客戶端260是用戶用于登錄虛擬機(jī)的用戶終端設(shè)備，可以是普通的PC機(jī)也可以是 云終端設(shè)備，能夠提供用戶使用Ukey登錄虛擬機(jī)的接口?？蛻舳诵畔⑤斎胱酉到y(tǒng)用戶作為 使用客戶端操作虛擬機(jī)的信息輸入接口，客戶端信息輸入子系統(tǒng)接收用戶從鼠標(biāo)鍵盤輸入 的操作指令并發(fā)送給虛擬機(jī)管理子系統(tǒng)和虛擬機(jī)執(zhí)行對應(yīng)操作指令的動作。
[0023] 虛擬機(jī)管理子系統(tǒng)270主要提供虛擬機(jī)的集中管理，為用戶合理配置虛擬機(jī)資 源，同時作為客戶端與密鑰和策略管理子系統(tǒng)通信的轉(zhuǎn)發(fā)設(shè)備。
[0024] 密鑰和策略管理子系統(tǒng)280負(fù)責(zé)對用戶的身份認(rèn)證，同時還根據(jù)虛擬機(jī)監(jiān)控器中 的策略執(zhí)行模塊的標(biāo)識對策略執(zhí)行模塊執(zhí)行認(rèn)證，以確保只有合法的策略執(zhí)行模塊能夠加 解密虛擬機(jī)文件。
[0025] 虛擬機(jī)監(jiān)控器290負(fù)責(zé)運(yùn)行于其上的虛擬機(jī)加密子系統(tǒng)的管理，為虛擬機(jī)提供接 口并管理真實(shí)的計算資源。
[0026] 策略執(zhí)行模塊292運(yùn)行于虛擬機(jī)監(jiān)控器290里，負(fù)責(zé)保存并同步密鑰和策略管理 子系統(tǒng)280上的對稱密鑰和文件存儲的訪問策略信息，同時還提供對稱密鑰給文件加解密 引擎294并決定加密后的虛擬機(jī)磁盤文件的存儲位置。
[0027] 文件加密引擎294也運(yùn)行在虛擬機(jī)監(jiān)控器290里，主要接收策略執(zhí)行模塊292傳 遞來的對稱密鑰，對虛擬機(jī)磁盤文件執(zhí)行加解密操作。
[0028] 所述客戶端信息輸入子系統(tǒng)運(yùn)行于客戶端，所述虛擬機(jī)加密子系統(tǒng)的信息存儲于 存儲設(shè)備，所述密鑰和策略管理子系統(tǒng)的信息存儲于密鑰和策略存儲池，所述虛擬機(jī)加密 子系統(tǒng)運(yùn)行于虛擬機(jī)監(jiān)控器。所述虛擬機(jī)加密子系統(tǒng)的信息存儲于存儲設(shè)備，所述密鑰和 策略管理子系統(tǒng)的信息存儲于密鑰和策略存儲池，所述虛擬機(jī)加密子系統(tǒng)運(yùn)行于虛擬機(jī)監(jiān) 控器。
[0029] 本發(fā)明實(shí)施例中，用戶可以從證書管理系統(tǒng)獲得Ukey，Ukey里存儲了用戶的個人 信息或數(shù)字證書。一個用戶Ukey可以對應(yīng)該用戶的至少一個虛擬機(jī)磁盤文件。用戶通過 客戶端260和Ukey登錄虛擬機(jī)管理子系統(tǒng)270執(zhí)行證書認(rèn)證過程，用戶身份認(rèn)證通過后， 虛擬機(jī)管理子系統(tǒng)270為用戶分配虛擬機(jī)資源。用戶的個人信息和Ukey證書信息以及對 應(yīng)分配到的虛擬機(jī)磁盤文件信息都會存儲在密鑰和策略管理子系統(tǒng)280中進(jìn)行管理。
[0030] 每個虛擬機(jī)磁盤文件使用一個全局標(biāo)識VMFID來標(biāo)識，即使虛擬機(jī)重名也能在檢 索加密密鑰的時候找到對應(yīng)的虛擬機(jī)信息。如果一個用戶Ukey對應(yīng)多個虛擬機(jī)磁盤文件， 可以使用同一個加密密鑰來加密這些虛擬機(jī)磁盤文件，也可針對每個虛擬機(jī)磁盤文件使用 不同的加密密鑰來加密虛擬磁盤文件，具體由用戶通過客戶端260創(chuàng)建虛擬機(jī)磁盤文件時 進(jìn)行選擇。
[0031] 圖2是本發(fā)明虛擬機(jī)加密方法的一個實(shí)施例的流程示意圖： (1) 用戶通過客戶端260向虛擬機(jī)管理子系統(tǒng)270請求創(chuàng)建加密的虛擬機(jī)磁盤文件； (2) 客戶端260通過虛擬機(jī)管理子系統(tǒng)270與密鑰和策略管理子系統(tǒng)280執(zhí)行用戶身 份認(rèn)證過程。
[0032] 優(yōu)選的，虛擬機(jī)管理子系統(tǒng)270將用戶的Ukey證書信息以及創(chuàng)建加密虛擬機(jī)磁盤 文件的請求發(fā)送給密鑰和策略管理子系統(tǒng)280,由密鑰和策略管理子系統(tǒng)280對用戶執(zhí)行 身份認(rèn)證。密鑰和策略管理子系統(tǒng)280與用戶注冊Ukey的證書管理系統(tǒng)保持用戶證書信 息的同步一致。
[0033] (3)認(rèn)證成功后，密鑰和策略管理子系統(tǒng)280把用戶通過認(rèn)證的消息發(fā)送給虛擬 機(jī)管理子系統(tǒng)270。
[0034] (4)虛擬機(jī)管理子系統(tǒng)270為用戶分配虛擬機(jī)資源，并把虛擬機(jī)資源配置請求發(fā) 送給對應(yīng)的虛擬機(jī)監(jiān)控器290的策略執(zhí)行模塊292為新生成的虛擬機(jī)分配設(shè)備資源。虛擬 機(jī)資源配置請求信息里包含用戶的個人信息和Ukey證書信息。
[0035] (5)策略執(zhí)行模塊292創(chuàng)建新的虛擬機(jī)磁盤文件，并為該虛擬機(jī)磁盤文件分配虛 擬機(jī)文件標(biāo)識VMFID。
[0036] (6)策略執(zhí)行模塊292向密鑰和策略管理子系統(tǒng)280請求加密該虛擬機(jī)磁盤文件 所用的對稱加密密鑰，該請求消息中包含了用戶信息和Ukey證書信息與VMFID等信息，主 要為后續(xù)密鑰和策略管理子系統(tǒng)280能夠建立密鑰索引關(guān)系。
[0037] (7)密鑰和策略管理子系統(tǒng)280收到策略執(zhí)行模塊292請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊292執(zhí)行身份認(rèn)證，保證后續(xù)只有授權(quán)的策略執(zhí)行模塊292 可以解密經(jīng)過加密的虛擬機(jī)磁盤文件。
[0038] 優(yōu)選的，策略執(zhí)行模塊292可以使用該策略執(zhí)行模塊自身的標(biāo)識提前在密鑰和策 略管理子系統(tǒng)280進(jìn)行注冊，這個注冊過程可以在虛擬機(jī)監(jiān)控器290上安裝策略執(zhí)行模塊 292時進(jìn)行。
[0039] (8)策略執(zhí)行模塊292的認(rèn)證通過后，密鑰和策略管理子系統(tǒng)280為新創(chuàng)建的虛擬 機(jī)文件產(chǎn)生對稱加密密鑰并發(fā)送給策略執(zhí)行模塊292。
[0040] (9)策略執(zhí)行模塊292將收到的對稱加密密鑰傳遞給文件加解密引擎294,文件加 解密引擎294使用該對稱加密密鑰加密所述虛擬機(jī)磁盤文件。
[0041] (10)文件加解密引擎294將加密后的虛擬機(jī)文件傳遞給策略執(zhí)行模塊292,策略 執(zhí)行模塊292把加密后的虛擬機(jī)磁盤文件放到存儲設(shè)備進(jìn)行存儲。
[0042] (11)密鑰和策略管理子系統(tǒng)280與策略執(zhí)行模塊292進(jìn)行密鑰和訪問策略同步過 程。
[0043] 具體地，策略執(zhí)行模塊292將文件存儲的策略信息發(fā)送給密鑰和策略管理子系統(tǒng) 280進(jìn)行保存，以便后續(xù)訪問加密的虛擬機(jī)文件時執(zhí)行對文件的安全訪問控制。密鑰和策略 管理子系統(tǒng)280建立對稱加密密鑰與虛擬機(jī)磁盤文件的VMFID和Ukey證書信息的對應(yīng)關(guān) 系。
[0044] 優(yōu)選的，管理員可以對加密后的虛擬機(jī)磁盤文件配置訪問策略，該訪問策略包含 了對應(yīng)的虛擬機(jī)磁盤文件可以被哪些策略執(zhí)行模塊292訪問。所述的對稱加密密鑰可以使 用Ukey證書進(jìn)行加密后存儲在密鑰和策略存儲池中，所述的訪問策略信息也可以存儲在 密鑰和策略存儲池里。
[0045] (12)虛擬機(jī)監(jiān)控器290啟動加密的虛擬機(jī)磁盤文件為用戶提供虛擬機(jī)運(yùn)行環(huán)境。
[0046] 圖3是本發(fā)明虛擬機(jī)解密訪問控制的方法的另一個實(shí)施例的流程示意圖： (1)用戶通過客戶端260將虛擬機(jī)磁盤文件的訪問請求發(fā)送給虛擬機(jī)管理子系統(tǒng)270。
[0047] 優(yōu)選地，用戶可以在客戶端260上插入Ukey請求訪問虛擬機(jī)磁盤文件，客戶端260 把虛擬機(jī)磁盤文件的訪問請求發(fā)送給虛擬機(jī)管理子系統(tǒng)270,該請求消息中包含了訪問的 虛擬機(jī)磁盤文件的標(biāo)識VMFID以及用戶的Ukey證書信息。
[0048] (2)虛擬機(jī)管理子系統(tǒng)270向密鑰和策略管理子系統(tǒng)280發(fā)送認(rèn)證請求消息，請求 密鑰和策略管理子系統(tǒng)280對用戶執(zhí)行身份認(rèn)證，其中包含了訪問的虛擬機(jī)磁盤文件的標(biāo) 識VMFID和用戶的Ukey證書信息。
[0049] (3)密鑰和策略管理子系統(tǒng)280與客戶端260執(zhí)行用戶身份認(rèn)證過程。
[0050] (4)認(rèn)證成功后密鑰和策略管理子系統(tǒng)280將認(rèn)證成功消息返回給虛擬機(jī)管理子 系統(tǒng)270。
[0051] (5)虛擬機(jī)管理子系統(tǒng)270收到密鑰和策略管理子系統(tǒng)280發(fā)來的用戶身份認(rèn) 證成功消息后，將打開虛擬機(jī)磁盤文件的指令發(fā)送給虛擬機(jī)監(jiān)控器290里的策略執(zhí)行模塊 292,該文件打開指令里至少包含了用戶所要訪問的虛擬機(jī)磁盤文件的標(biāo)識VMFID。
[0052] (6)策略執(zhí)行模塊292根據(jù)VMFID來查詢所訪問的虛擬機(jī)磁盤文件的訪問策略，如 果本地沒有緩存該虛擬機(jī)磁盤文件的訪問策略和對稱加密密鑰，策略執(zhí)行模塊就向密鑰和 策略管理子系統(tǒng)280請求該虛擬機(jī)磁盤文件的策略信息以及對稱加密密鑰，該消息中至少 包含用戶所要訪問的虛擬機(jī)磁盤文件的標(biāo)識VMFID。
[0053] 如果本地緩存了該虛擬機(jī)磁盤文件的訪問策略和對稱加密密鑰，就直接執(zhí)行步驟 (9)。
[0054] (7)密鑰和策略管理子系統(tǒng)280收到策略執(zhí)行模塊292請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊292執(zhí)行身份認(rèn)證，保證只有授權(quán)的策略執(zhí)行模塊292可以 解密經(jīng)過加密的虛擬機(jī)磁盤文件。
[0055] (8)策略執(zhí)行模塊292的認(rèn)證成功后，密鑰和策略管理子系統(tǒng)280根據(jù)用戶所要訪 問的虛擬機(jī)磁盤文件的標(biāo)識VMFID來查詢訪問策略，判斷對應(yīng)的虛擬機(jī)磁盤文件是否能被 所述策略執(zhí)行模塊292訪問。如果可以訪問，密鑰和策略管理子系統(tǒng)280將該虛擬機(jī)磁盤 文件的對稱密鑰檢索出來，發(fā)送給虛擬機(jī)監(jiān)控器290里的策略執(zhí)行模塊292。
[0056] (9)策略執(zhí)行模塊292將收到的對稱密鑰傳遞給文件加解密引擎294,文件加解密 引擎294使用該對稱密鑰解密虛擬機(jī)磁盤文件。
[0057] (10)文件加解密引擎294將加密后的虛擬機(jī)文件傳遞給策略執(zhí)行模塊292。
[0058] (11)虛擬機(jī)監(jiān)控器290啟動加密的虛擬機(jī)磁盤文件為用戶提供虛擬機(jī)運(yùn)行環(huán)境。
[0059] 本發(fā)明提供的實(shí)施例中，由于虛擬機(jī)管理子系統(tǒng)對虛擬機(jī)進(jìn)行集中管理，所以可 以根據(jù)不同的用戶需求將虛擬機(jī)按組進(jìn)行管理，例如使用相同的加密和訪問控制策略、存 儲在同一存儲池里、運(yùn)行在同一臺物理服務(wù)器上等。當(dāng)虛擬機(jī)遷移到其他物理服務(wù)器上，也 可以通過在虛擬機(jī)管理子系統(tǒng)進(jìn)行訪問控制策略的配置，授權(quán)其他策略執(zhí)行模塊獲取對稱 密鑰解密并訪問虛擬機(jī)磁盤文件。
[0060] 以上所述的實(shí)施例只是本發(fā)明較優(yōu)選的【具體實(shí)施方式】的一種，本領(lǐng)域的技術(shù)人員 在本發(fā)明技術(shù)方案范圍內(nèi)進(jìn)行的各種變化和替換都應(yīng)包含在本發(fā)明的保護(hù)范圍內(nèi)。
【權(quán)利要求】
1. 一種虛擬機(jī)加密方法，其特征在于，包括如下步驟： (1) 用戶通過客戶端（260)向虛擬機(jī)管理子系統(tǒng)（270)請求創(chuàng)建加密的虛擬機(jī)磁盤文 件； (2) 虛擬機(jī)管理子系統(tǒng)（270)將用戶的Ukey證書信息以及創(chuàng)建加密虛擬機(jī)磁盤文件的 請求發(fā)送給密鑰和策略管理子系統(tǒng)（280)，由密鑰和策略管理子系統(tǒng)（280)對用戶執(zhí)行身 份認(rèn)證，密鑰和策略管理子系統(tǒng)（280)與用戶注冊Ukey的證書管理子系統(tǒng)保持用戶證書信 息的同步一致； (3) 認(rèn)證成功后，密鑰和策略管理子系統(tǒng)（280)把用戶通過認(rèn)證的消息發(fā)送給虛擬機(jī)管 理子系統(tǒng)（270); (4) 虛擬機(jī)管理子系統(tǒng)（270)為用戶分配虛擬機(jī)資源，并把虛擬機(jī)資源配置請求發(fā)送給 對應(yīng)的虛擬機(jī)監(jiān)控子系統(tǒng)（290)的策略執(zhí)行模塊（292)，為新生成的虛擬機(jī)分配設(shè)備資源， 虛擬機(jī)資源配置請求信息里包含用戶的個人信息和Ukey證書信息； (5 )策略執(zhí)行模塊（292 )創(chuàng)建新的虛擬機(jī)磁盤文件，并為該虛擬機(jī)磁盤文件分配虛擬機(jī) 文件標(biāo)識VMFID ; (6) 策略執(zhí)行模塊（292)向密鑰和策略管理子系統(tǒng)（280)請求加密該虛擬機(jī)磁盤文 件所用的對稱加密密鑰，該請求消息中包含了用戶信息、Ukey證書信息和虛擬機(jī)文件標(biāo)識 VMFID，主要為后續(xù)密鑰和策略管理子系統(tǒng)（280)能夠建立密鑰索引關(guān)系； (7) 密鑰和策略管理子系統(tǒng)（280)收到策略執(zhí)行模塊（292)請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊（292)執(zhí)行身份認(rèn)證，保證后續(xù)只有授權(quán)的策略執(zhí)行模塊 (292)可以解密經(jīng)過加密的虛擬機(jī)磁盤文件； (8) 策略執(zhí)行模塊（292)使用該策略執(zhí)行模塊自身的標(biāo)識提前在密鑰和策略管理子系 統(tǒng)（280 )進(jìn)行注冊，這個注冊過程在虛擬機(jī)監(jiān)控子系統(tǒng)（290 )上安裝策略執(zhí)行模塊（292 )時 進(jìn)行； (9) 策略執(zhí)行模塊（292)的認(rèn)證通過后，密鑰和策略管理子系統(tǒng)（280)為新創(chuàng)建的虛擬 機(jī)文件產(chǎn)生對稱加密密鑰并發(fā)送給策略執(zhí)行模塊（292); (10) 策略執(zhí)行模塊（292)將收到的對稱加密密鑰傳遞給文件加解密引擎（294)，文件 加解密引擎（294)使用該對稱加密密鑰加密所述虛擬機(jī)磁盤文件； (11) 文件加解密引擎（294)將加密后的虛擬機(jī)文件傳遞給策略執(zhí)行模塊（292)，策略 執(zhí)行模塊（292)把加密后的虛擬機(jī)磁盤文件放到存儲設(shè)備進(jìn)行存儲； (12) 密鑰和策略管理子系統(tǒng)（280)與策略執(zhí)行模塊（292)進(jìn)行密鑰和訪問策略同步過 程。
2. -種虛擬機(jī)解密方法，其特征在于，包括如下步驟： (1) 用戶通過客戶端（260)將虛擬機(jī)磁盤文件的訪問請求發(fā)送給虛擬機(jī)管理子系統(tǒng) (270 )，或者用戶通過在客戶端（260 )上插入Ukey請求訪問虛擬機(jī)磁盤文件，客戶端（260 ) 把虛擬機(jī)磁盤文件的訪問請求發(fā)送給虛擬機(jī)管理子系統(tǒng)（270)，該請求消息中包含了訪問 的虛擬機(jī)磁盤文件的標(biāo)識VMFID以及用戶的Ukey證書信息； (2) 虛擬機(jī)管理子系統(tǒng)（270)向密鑰和策略管理子系統(tǒng)（280)發(fā)送認(rèn)證請求消息，請求 密鑰和策略管理子系統(tǒng)（280)對用戶執(zhí)行身份認(rèn)證，其中包含了訪問的虛擬機(jī)磁盤文件的 標(biāo)識VMFID和用戶的Ukey證書信息； (3) 密鑰和策略管理子系統(tǒng)（280)與客戶端（260)執(zhí)行用戶身份認(rèn)證過程； (4) 認(rèn)證成功后密鑰和策略管理子系統(tǒng)（280)將認(rèn)證成功消息返回給虛擬機(jī)管理子系 統(tǒng)（270); (5) 虛擬機(jī)管理子系統(tǒng)（270)收到密鑰和策略管理子系統(tǒng)（280)發(fā)來的用戶身份認(rèn)證 成功消息后，將打開虛擬機(jī)磁盤文件的指令發(fā)送給虛擬機(jī)監(jiān)控子系統(tǒng)（290)里的策略執(zhí)行 模塊（292)，該文件打開指令里至少包含了用戶所要訪問的虛擬機(jī)磁盤文件的標(biāo)識VMFID; (6) 策略執(zhí)行模塊（292)根據(jù)VMFID來查詢所訪問的虛擬機(jī)磁盤文件的訪問策略，如果 本地沒有緩存該虛擬機(jī)磁盤文件的訪問策略和對稱加密密鑰，策略執(zhí)行模塊就向密鑰和策 略管理子系統(tǒng)（280)請求該虛擬機(jī)磁盤文件的策略信息以及對稱加密密鑰，該消息中至少 包含用戶所要訪問的虛擬機(jī)磁盤文件的標(biāo)識VMFID，如果本地緩存了該虛擬機(jī)磁盤文件的 訪問策略和對稱加密密鑰，就直接執(zhí)行步驟（9); (7) 密鑰和策略管理子系統(tǒng)（280)收到策略執(zhí)行模塊（292)請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊（292)執(zhí)行身份認(rèn)證，保證只有授權(quán)的策略執(zhí)行模塊（292) 可以解密經(jīng)過加密的虛擬機(jī)磁盤文件； (8) 策略執(zhí)行模塊（292)的認(rèn)證成功后，密鑰和策略管理子系統(tǒng)（280)根據(jù)用戶所要訪 問的虛擬機(jī)磁盤文件的標(biāo)識VMFID來查詢訪問策略，判斷對應(yīng)的虛擬機(jī)磁盤文件是否能被 所述策略執(zhí)行模塊（292 )訪問，如果可以訪問，密鑰和策略管理子系統(tǒng)（280 )將該虛擬機(jī)磁 盤文件的對稱密鑰檢索出來，發(fā)送給虛擬機(jī)監(jiān)控子系統(tǒng)（290)里的策略執(zhí)行模塊（292); (9) 策略執(zhí)行模塊（292)將收到的對稱密鑰傳遞給文件加解密引擎（294)，文件加解密 引擎（294)使用該對稱密鑰解密虛擬機(jī)磁盤文件； (10) 文件加解密引擎（294)將加密后的虛擬機(jī)文件傳遞給策略執(zhí)行模塊（292); (11) 虛擬機(jī)監(jiān)控子系統(tǒng)（290)啟動加密的虛擬機(jī)磁盤文件為用戶提供虛擬機(jī)運(yùn)行環(huán) 境。
3. -種虛擬機(jī)加解密控制系統(tǒng)，其特征在，包括： 客戶端信息輸入子系統(tǒng)：用戶使用客戶端操作虛擬機(jī)的信息輸入接口，客戶端信息輸 入子系統(tǒng)接收用戶從鼠標(biāo)鍵盤輸入的操作指令并發(fā)送給虛擬機(jī)管理子系統(tǒng)和虛擬機(jī)執(zhí)行 對應(yīng)操作指令的動作； 虛擬機(jī)管理子系統(tǒng)：主要提供虛擬機(jī)的集中管理，為用戶合理配置虛擬機(jī)資源，同時作 為客戶端與密鑰和策略管理子系統(tǒng)通信的轉(zhuǎn)發(fā)設(shè)備； 密鑰和策略管理子系統(tǒng)：負(fù)責(zé)對用戶的身份認(rèn)證，同時還根據(jù)虛擬機(jī)監(jiān)控器中的策略 執(zhí)行模塊的標(biāo)識對策略執(zhí)行模塊執(zhí)行認(rèn)證，以確保只有合法的策略執(zhí)行模塊能夠加解密虛 擬機(jī)文件； 虛擬機(jī)加密子系統(tǒng)：為虛擬機(jī)提供接口并管理真實(shí)的計算資源。
4. 根據(jù)權(quán)利要求3所述的虛擬機(jī)加解密控制系統(tǒng)，其特征是：所述虛擬機(jī)加密子系統(tǒng) 包括 策略執(zhí)行模塊：運(yùn)行于虛擬機(jī)監(jiān)控器（290)里，負(fù)責(zé)保存并同步密鑰和策略管理子系 統(tǒng)子（280)上的對稱密鑰和文件存儲的訪問策略信息，同時還提供對稱密鑰給文件加解密 引擎（294)并決定加密后的虛擬機(jī)磁盤文件的存儲位置； 文件加密引擎：也運(yùn)行在虛擬機(jī)監(jiān)控器（290 )里，主要接收策略執(zhí)行模塊（292 )傳遞來 的對稱密鑰，對虛擬機(jī)磁盤文件執(zhí)行加解密操作。
5. 根據(jù)權(quán)利要求3所述的虛擬機(jī)加解密控制系統(tǒng)，其特征是：所述客戶端信息輸入子 系統(tǒng)運(yùn)行于客戶端。
6. 根據(jù)權(quán)利要求3所述的虛擬機(jī)加解密控制系統(tǒng)，其特征是：所述虛擬機(jī)加密子系統(tǒng) 的信息存儲于存儲設(shè)備。
7. 根據(jù)權(quán)利要求3所述的虛擬機(jī)加解密控制系統(tǒng)，其特征是：所述密鑰和策略管理子 系統(tǒng)的信息存儲于密鑰和策略存儲池。
8. 根據(jù)權(quán)利要求3所述的虛擬機(jī)加解密控制系統(tǒng)，其特征是：所述虛擬機(jī)加密子系統(tǒng) 運(yùn)行于虛擬機(jī)監(jiān)控器。
【文檔編號】H04L29/08GK104104692SQ201410380876
【公開日】2014年10月15日 申請日期:2014年8月5日 優(yōu)先權(quán)日:2014年8月5日
【發(fā)明者】任勛益, 萬海山, 孔強(qiáng), 趙為強(qiáng) 申請人:山東中孚信息產(chǎn)業(yè)股份有限公司, 南京中孚信息技術(shù)有限公司, 北京中孚泰和科技發(fā)展股份有限公司