向系統(tǒng)資源提供安全容器單元的制作方法
【專利說明】向系統(tǒng)資源提供安全容器單元
[0001]發(fā)明背景
[0002]許多公司和其它組織操作互連許多計算系統(tǒng)以支持其操作的計算機網(wǎng)絡(luò)，例如，其中計算系統(tǒng)被共置(例如，作為局域網(wǎng)的一部分)或代替地位于多個不同的地理位置(例如，通過一個或多個私有或公共中間網(wǎng)絡(luò)連接)。例如，容納大量互連計算系統(tǒng)的數(shù)據(jù)中心已經(jīng)變得很平常，例如由單一組織操作并代表單一組織的私有數(shù)據(jù)中心，和由如企業(yè)的實體操作以提供計算資源到客戶的公共數(shù)據(jù)中心。一些公共數(shù)據(jù)中心運營商向各種客戶擁有的硬件提供網(wǎng)絡(luò)訪問、電源，和安全安裝設(shè)施，而其它公共數(shù)據(jù)中心運營商提供“全方位服務(wù)”設(shè)施，所述設(shè)施也包括可供其客戶使用的硬件資源。然而，隨著典型的數(shù)據(jù)中心的規(guī)模和范圍增大，供應(yīng)、掌管和管理物理計算資源的任務(wù)變得越來越復(fù)雜。
[0003]商用硬件虛擬化技術(shù)的出現(xiàn)向具有多樣化需求的許多客戶提供了關(guān)于管理大規(guī)模計算資源的益處，從而允許多個客戶高效并安全地共享各種計算資源。例如，虛擬化技術(shù)可通過向每個用戶提供單個物理計算機器托管的一個或多個虛擬機同時也在各種虛擬機之間提供應(yīng)用程序隔離和安全性來允許單個物理計算機器在多個用戶之間共享，其中每個所述虛擬機是充當(dāng)不同邏輯計算系統(tǒng)的軟件模擬，所述軟件模擬向用戶提供其是給定硬件計算資源的唯一運營商和管理者的錯覺。另外，一些虛擬化技術(shù)能夠提供跨越兩個或多個物理資源的虛擬資源，例如具有跨越多個不同物理計算系統(tǒng)的多個虛擬處理器的單個虛擬機。
[0004]網(wǎng)絡(luò)服各
[0005]傳統(tǒng)的網(wǎng)絡(luò)模型允許客戶通過HTTP客戶端程序(例如，網(wǎng)絡(luò)瀏覽器)訪問網(wǎng)絡(luò)資源(例如，應(yīng)用程序、服務(wù)和數(shù)據(jù))。已開發(fā)被稱為網(wǎng)絡(luò)服務(wù)的技術(shù)來提供到網(wǎng)絡(luò)資源的編程訪問。網(wǎng)絡(luò)服務(wù)可用以通過網(wǎng)絡(luò)服務(wù)界面來提供到網(wǎng)絡(luò)資源的編程訪問，所述網(wǎng)絡(luò)資源包括網(wǎng)絡(luò)連接的計算機(例如，網(wǎng)絡(luò)服務(wù)器系統(tǒng))上托管的技術(shù)平臺(例如，應(yīng)用程序和服務(wù))和數(shù)據(jù)(例如，產(chǎn)品目錄和其它數(shù)據(jù)庫)。一般來說，網(wǎng)絡(luò)服務(wù)界面可被配置以提供標(biāo)準(zhǔn)的、跨平臺的API (應(yīng)用編程接口)，以在請求執(zhí)行某個服務(wù)的客戶和服務(wù)提供者之間進行通信。在一些實施中，網(wǎng)絡(luò)服務(wù)界面可被配置以支持包括描述服務(wù)請求和對所述請求的響應(yīng)的信息的文件或消息的交換。所述文件或消息可使用標(biāo)準(zhǔn)化的網(wǎng)絡(luò)協(xié)議來交換，所述網(wǎng)絡(luò)協(xié)議例如超文本傳輸協(xié)議(HTTP)，且所述文件或消息可用獨立于平臺的數(shù)據(jù)格式來格式化，例如可擴展標(biāo)記語言(XML)。
[0006]從外部服務(wù)提供者(例如，共置運營商)接收計算服務(wù)的客戶可能希望確保未經(jīng)授權(quán)的人員無法篡改客戶的數(shù)據(jù)或損害客戶的計算操作。為了解決這些問題，一些共置設(shè)施通過在籠子中操作機架計算系統(tǒng)來隔離一些客戶的機架計算系統(tǒng)。然而，所述籠子可能在給定時間占用設(shè)施中比客戶需要多的空間。另外，客戶可能需要比籠子內(nèi)的空間大的空間，從而可能需要建構(gòu)新的籠子以保護額外的機架計算系統(tǒng)。將所有客戶的計算資源封裝在大籠子也可能使得客戶在單個攻擊點容易受到安全威脅。例如，一個作惡者可能能夠通過訪問單個入口點來破壞大量的計算服務(wù)，或竊取或毀壞大量客戶的數(shù)據(jù)。
【附圖說明】
[0007]圖1示出可用以使用安全容器單元來提供云服務(wù)到客戶的計算系統(tǒng)的一個實施方案。
[0008]圖2是示出安全訪問機架級安全容器單元的前部和背部的云計算系統(tǒng)的數(shù)據(jù)中心的頂視圖的方框圖。
[0009]圖3示出具有容納個別計算裝置的安全容器單元的云計算系統(tǒng)的一個實施方案。
[0010]圖4示出具有容納兩個或多個計算裝置的安全容器單元的云計算系統(tǒng)的一個實施方案。
[0011]圖5示出從機架的前部和后部安全訪問服務(wù)器的機架系統(tǒng)的一個實施方案。
[0012]圖6示出從機架的前部和后部安全訪問服務(wù)器級安全容器單元的機架系統(tǒng)的一個實施方案。
[0013]圖7示出使用安全容器單元來提供計算資源到客戶的一個實施方案。
[0014]圖8示出提供到安全容器單元中的硬件資源的訪問的一個實施方案。
[0015]圖9示出訪問安全容器單元中的計算裝置的審計報告的實例。
[0016]圖10示出給客戶的示出訪問安全容器單元中的客戶計算裝置的報告的實例。
[0017]圖11是提供存儲虛擬化服務(wù)和硬件虛擬化服務(wù)的示例性服務(wù)提供者的方框圖。
[0018]圖12示出在一些實施方案中可用以供應(yīng)計算資源的計算機系統(tǒng)的一個實施方案。
[0019]雖然本文以舉例的方式描述了若干實施方案和說明性附圖的實施方案，但是本領(lǐng)域技術(shù)人員將認(rèn)識到，實施方案不限于所述實施方案或附圖。應(yīng)理解，附圖及其詳細描述并不意在將實施方案限制為所公開的具體形式，相反，意圖在于涵蓋落入由所附權(quán)利要求所限定的精神和范圍內(nèi)的所有修改、等效物和替代物。本文所用的標(biāo)題僅用于組織目的，而不意味著被用來限制本說明書或權(quán)利要求書的范圍。如本申請書通篇所使用，單詞“可”用于允許的意義(即，意思是有可能)，而不是強制的意義(即，意思是必須)。類似地，單詞“包括”意思是包括但不限于。
【具體實施方式】
[0020]公開用于向客戶提供資源(例如計算資源)的系統(tǒng)和方法的各種實施方案。
[0021]根據(jù)一個實施方案，一種用于提供資源給客戶的系統(tǒng)包括機架、所述機架中的子架級安全容器單元，和供應(yīng)控制系統(tǒng)。所述子架級安全容器單元各自封裝系統(tǒng)資源。所述機架容納所述子架級安全容器單元中的兩個或多個。對于每個客戶，所述供應(yīng)控制系統(tǒng)將子架級安全容器單元的集合供應(yīng)到所述客戶。響應(yīng)于所述客戶對所述客戶的系統(tǒng)資源的受限物理訪問請求(例如，通過API調(diào)用)，安全容器單元的集合中的系統(tǒng)資源可被供應(yīng)給客戶。每個機架可包括兩個或多個客戶的子架級安全容器單元。每個客戶的安全容器單元的集合可包括兩個或多個機架中的安全容器單元。對于每個客戶，供應(yīng)控制系統(tǒng)可監(jiān)測并創(chuàng)建對所述客戶的子架級安全容器單元的集合中所述系統(tǒng)資源的物理訪問的事件的記錄。在一些實施方案中，所述供應(yīng)控制系統(tǒng)通過操作所述安全容器單元上的鎖來控制對客戶的安全容器單元的集合的訪問。所述鎖可基于所述客戶提供的訪問標(biāo)準(zhǔn)來操作。所述客戶例如可指定哪些人可訪問安全容器單元中的系統(tǒng)資源、可什么時候訪問所述系統(tǒng)資源，和為什么目的訪問所述系統(tǒng)資源。
[0022]根據(jù)一個實施方案，一種用于提供資源給客戶的系統(tǒng)包括機架、安全容器單元，和供應(yīng)控制系統(tǒng)。所述安全容器單元各自封裝系統(tǒng)資源。對于每個客戶，供應(yīng)控制系統(tǒng)將安全容器單元的集合供應(yīng)到所述客戶。所述安全容器單元的集合中的一個或多個安全容器單元中至少一個與所述集合中安全容器單元中至少另外一個在不同的機架中。所述供應(yīng)控制系統(tǒng)可監(jiān)測并創(chuàng)建對每個客戶的子架級安全容器單元的集合中所述計算資源的物理訪問的事件的記錄。
[0023]根據(jù)一個實施方案，一種提供資源給客戶的方法包括:向兩個或多個客戶中每一個供應(yīng)安全容器單元的集合，其中每個安全容器單元包含系統(tǒng)資源。可監(jiān)測、控制，或監(jiān)測并控制每個客戶對所述安全容器單元的集合中所述系統(tǒng)資源的訪問。
[0024]根據(jù)一個實施方案，一種用于控制對資源的訪問的系統(tǒng)包括數(shù)據(jù)中心中一個或多個機架中的多個安全容器單元，和安全容器單元訪問控制系統(tǒng)。所述安全容器單元訪問控制系統(tǒng)包括處理器和被耦合到所述處理器的存儲器。所述處理器可存儲程序指令，所述程序指令可由所述處理器執(zhí)行以實施:對于每個客戶，監(jiān)測對所述安全容器單元中系統(tǒng)資源的訪問；和控制對所述安全容器單元中所述系統(tǒng)資源的訪問。
[0025]如本文所使用，“鎖”是指一種需要操作以允許訪問一個或多個資源的裝置、元件、系統(tǒng)或它們的組合。在一些情況下，通過向鎖(例如鑰匙或鎖)施加或使用物理對象來釋放所述鎖。在一些情況下，通過使用生物特征數(shù)據(jù)來釋放鎖。鎖的實例包括鑰匙鎖、電子鎖裝置、磁鎖、鍵盤鎖系統(tǒng)、電磁鎖機構(gòu)、掛鎖。
[0026]如本文所使用，“供應(yīng)”是指使得資源、資產(chǎn)或系統(tǒng)可供個人或?qū)嶓w(例如，云服務(wù)客戶)使用。在一些情況下，供應(yīng)包括將資源、資產(chǎn)或系統(tǒng)分配到個人或?qū)嶓w，供所述個人或?qū)嶓w專用或得利。例如，可控制安全容器單元中的計算裝置，使得計算裝置僅可用于特定客戶的權(quán)益。
[0027]如本文所使用，“安全容器單元”是指物理上包含硬件資源(例如，服務(wù)器)使得需要采取與訪問硬件資源分開的行動來訪問其它硬件資源的元件、系統(tǒng)，或它們的組合。安全容器單元可包括籠子、箱子、圍欄、金屬絲網(wǎng)、墻壁或其它實現(xiàn)包含的元件。安全容器單元可包括鎖。
[0028]如本文所使用，“子架級”是指包括或占用小于整個機架的級別。例如，機架中的子架級安全容器單元允許將一個或多個額外的子架級安全容器單元安裝在同一機架中。子架級安全容器單元可包含單個計算裝置，或一個以上的計算裝置。
[0029]如本文所使用，“系統(tǒng)資源”包括可單獨使用或與其它資源組合使用以執(zhí)行操作(例如，計算操作、數(shù)據(jù)存儲操作)或提供服務(wù)的任何硬件、裝置、系統(tǒng)、軟件、固件，或它們的組合。系統(tǒng)資源的實例包括計算資源、數(shù)據(jù)存儲資源、網(wǎng)絡(luò)資源、電力系統(tǒng)、計算裝置、數(shù)據(jù)存儲裝置、機架式服務(wù)器、網(wǎng)絡(luò)控制裝置、供電單元、電信設(shè)備、電纜，和電力系統(tǒng)組件。
[0030]如本文所使用，“計算”包括可由計算機執(zhí)行的任何操作，例如計算、數(shù)據(jù)存儲、數(shù)據(jù)檢索，或通信。
[0031]如本文所使用，“計算裝置”包括其中可執(zhí)行計算操作的各種裝置中的任何裝置，例如計算機系統(tǒng)或其組件。計算裝置的一個實例是機架式服務(wù)器。如本文所使用，術(shù)語計算裝置并不僅限于在本領(lǐng)域中稱為計算機的那些集成電路，而是寬泛地代表服務(wù)器、微控制器、微型計算機、可編程邏輯控制器(PLC)、專用集成電路，和其它可編程電路，且這些術(shù)語在本文中可互換使用。計算裝置的一些實例包括電子商務(wù)服務(wù)器、網(wǎng)絡(luò)裝置、電信設(shè)備、醫(yī)療設(shè)備、電力管理和控制裝置，和專業(yè)音響設(shè)備(數(shù)字、模擬，或它們的組合)。在各種實施方案中，存儲器可包括但不限于計算機可讀介質(zhì)，例如隨機存取存儲器(RAM)?；蛘?，也可使用光碟-只讀存儲器(CD-ROM)、磁光盤(MOD)，和/或數(shù)字多功能光盤(DVD)。又，額外的輸入通道可包括與操作員接口相關(guān)的計算機外圍設(shè)備，例如鼠標(biāo)和鍵盤?；蛘撸部墒褂闷渌嬎銠C外圍設(shè)備，其例如可包括掃描儀。另外，在一些實施方案中，額外的輸出通道可包括操作者接口監(jiān)示器和/或打印機。
[0032]如本文所使用，“數(shù)據(jù)中心”包括其中執(zhí)行計算機操作的任何設(shè)施或設(shè)施的部分。數(shù)據(jù)中心可包括專用于特定功能或服務(wù)于多個功能的服務(wù)器。計算機操作的實例包括信息處理、通信、測試、模擬、配電和控制，以及操作控制。
[0033]如本文所使用，“機架”是指可包含或物理上支撐一個或多個計算裝置的機架、容器、框架，或其它元件或元件的組合。
[0034]在各種實施方案中，安全容器單元用以向客戶提供系統(tǒng)資源，例如計算資源和數(shù)據(jù)存儲資源。在一些實施方案中，通過劃分機架使得每個隔室之間存在物理障礙來制成安全容器單元。隔室可包括門和門上的物理鎖。鎖可接收控制信號(例如，以鎖定或解鎖安全容器單元)。信號例如可通過IP來發(fā)送。在隔室中每一個內(nèi)，硬件可專用于單個客戶。例如，安全容器單元可包括專門用于為特定的客戶執(zhí)行計算操作的一個計算裝置。當(dāng)滿足一個或多個條件(例如，試圖維修或更換計算裝置的數(shù)據(jù)技術(shù)員已被認(rèn)證)時，安全容器單元可被解鎖。
[0035]在一些實施方案中，在粒度子架級上提供安全容器單元。每個安全容器單元可專用于特定客戶的資源并將所述資源隔