一種虛擬機加密方法、解密方法及加解密控制系統(tǒng)的制作方法
【專利摘要】本發(fā)明公開了一種虛擬機加密方法、解密方法及加解密控制系統(tǒng)，用戶通過客戶端申請創(chuàng)建加密的虛擬機磁盤文件，執(zhí)行用戶身份認證過程；認證通過后虛擬機管理子系統(tǒng)為用戶分配虛擬機資源，策略執(zhí)行模塊創(chuàng)建新的虛擬機磁盤文件；策略執(zhí)行模塊向密鑰和策略管理子系統(tǒng)進行身份認證，認證通過后接收虛擬機磁盤文件的對稱加密密鑰；策略執(zhí)行模塊將對稱加密密鑰傳遞給文件加解密引擎對虛擬機磁盤文件進行加密；文件加解密引擎將加密后的虛擬機磁盤文件交給策略執(zhí)行模塊進行存儲；策略執(zhí)行模塊與密鑰和策略管理子系統(tǒng)同步密鑰和訪問策略。本發(fā)明為用戶使用虛擬機提供安全透明的數(shù)據(jù)加解密，并提供完善的身份認證機制確保用戶訪問虛擬機的安全性。
【專利說明】一種虛擬機加密方法、解密方法及加解密控制系統(tǒng)

【技術領域】
[0001] 本發(fā)明涉及計算系統(tǒng)虛擬化【技術領域】，具體地講，涉及一種虛擬機加密方法、解密 方法及加解密控制系統(tǒng)。

【背景技術】
[0002] 云計算是通過互聯(lián)網(wǎng)提供動態(tài)易擴展且經(jīng)常是虛擬化的資源，通過使計算分布在 大量分布式計算機上，而非本地計算機或遠程服務器中，企業(yè)能夠將資源切換到需要的應 用上根據(jù)需求訪問計算機和存儲系統(tǒng)。虛擬機是一臺物理計算機上模擬出多臺虛擬的計算 機，這些虛擬機具有完整硬件系統(tǒng)功能運行在一個完全隔離環(huán)境中，虛擬系統(tǒng)通過生成現(xiàn) 有操作系統(tǒng)的全新虛擬鏡像，具有真實操作系統(tǒng)完全一樣的功能，進入虛擬系統(tǒng)后，所有操 作都在這個全新獨立的虛擬系統(tǒng)里面進行，可以獨立安裝運行軟件，保存數(shù)據(jù)，擁有自己的 獨立桌面，不會對真正的系統(tǒng)產(chǎn)生任何影響。影響云計算商業(yè)應用進程最重要的因素就是 云端數(shù)據(jù)存儲的安全性問題。
[0003] 虛擬機的磁盤數(shù)據(jù)包括系統(tǒng)盤和數(shù)據(jù)盤的數(shù)據(jù)會存在安全風險，數(shù)據(jù)加密和訪問 控制是保護磁盤數(shù)據(jù)的關鍵，確保只有授權用戶才能解密并訪問自己的磁盤數(shù)據(jù)。當用戶 向虛擬磁盤中存入數(shù)據(jù)時對用戶的數(shù)據(jù)進行加密，用戶從虛擬磁盤中讀取數(shù)據(jù)時對用戶的 數(shù)據(jù)進行解密。為了使用戶能夠安全地將自己的數(shù)據(jù)存儲到云系統(tǒng)中，加密密鑰和磁盤加 密策略的合理管理是關鍵。


【發(fā)明內容】

[0004] 本發(fā)明要解決的技術問題是提供一種虛擬機加密方法、解密方法及加解密控制系 統(tǒng)，確保用戶訪問虛擬機的安全性。
[0005] 本發(fā)明采用如下技術手段實現(xiàn)發(fā)明目的： 一種虛擬機加密方法，其特征在于，包括如下步驟： (1) 用戶通過客戶端（260)向虛擬機管理子系統(tǒng)（270)請求創(chuàng)建加密的虛擬機磁盤文 件； (2) 虛擬機管理子系統(tǒng)（270)將用戶的Ukey證書信息以及創(chuàng)建加密虛擬機磁盤文件的 請求發(fā)送給密鑰和策略管理子系統(tǒng)（280)，由密鑰和策略管理子系統(tǒng)（280)對用戶執(zhí)行身 份認證，密鑰和策略管理子系統(tǒng)（280)與用戶注冊Ukey的證書管理子系統(tǒng)保持用戶證書信 息的同步一致； (3) 認證成功后，密鑰和策略管理子系統(tǒng)（280)把用戶通過認證的消息發(fā)送給虛擬機管 理子系統(tǒng)（270); (4) 虛擬機管理子系統(tǒng)（270)為用戶分配虛擬機資源，并把虛擬機資源配置請求發(fā)送給 對應的虛擬機監(jiān)控子系統(tǒng)（290)的策略執(zhí)行模塊（292)，為新生成的虛擬機分配設備資源， 虛擬機資源配置請求信息里包含用戶的個人信息和Ukey證書信息； (5) 策略執(zhí)行模塊（292)創(chuàng)建新的虛擬機磁盤文件，并為該虛擬機磁盤文件分配虛擬機 文件標識VMFID ; (6) 策略執(zhí)行模塊（292)向密鑰和策略管理子系統(tǒng)（280)請求加密該虛擬機磁盤文 件所用的對稱加密密鑰，該請求消息中包含了用戶信息、Ukey證書信息和虛擬機文件標識 VMFID，主要為后續(xù)密鑰和策略管理子系統(tǒng)（280)能夠建立密鑰索引關系； (7) 密鑰和策略管理子系統(tǒng)（280)收到策略執(zhí)行模塊（292)請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊（292)執(zhí)行身份認證，保證后續(xù)只有授權的策略執(zhí)行模塊 (292)可以解密經(jīng)過加密的虛擬機磁盤文件； (8) 策略執(zhí)行模塊（292)使用該策略執(zhí)行模塊自身的標識提前在密鑰和策略管理子系 統(tǒng)（280 )進行注冊，這個注冊過程在虛擬機監(jiān)控子系統(tǒng)（290 )上安裝策略執(zhí)行模塊（292 )時 進行； (9) 策略執(zhí)行模塊（292)的認證通過后，密鑰和策略管理子系統(tǒng)（280)為新創(chuàng)建的虛擬 機文件產(chǎn)生對稱加密密鑰并發(fā)送給策略執(zhí)行模塊（292); (10) 策略執(zhí)行模塊（292)將收到的對稱加密密鑰傳遞給文件加解密引擎（294)，文件 加解密引擎（294)使用該對稱加密密鑰加密所述虛擬機磁盤文件； (11) 文件加解密引擎（294)將加密后的虛擬機文件傳遞給策略執(zhí)行模塊（292)，策略 執(zhí)行模塊（292)把加密后的虛擬機磁盤文件放到存儲設備進行存儲； (12) 密鑰和策略管理子系統(tǒng)（280)與策略執(zhí)行模塊（292)進行密鑰和訪問策略同步過 程； 一種虛擬機解密方法，其特征在于，包括如下步驟： (1) 用戶通過客戶端（260)將虛擬機磁盤文件的訪問請求發(fā)送給虛擬機管理子系統(tǒng) (270 )，或者用戶通過在客戶端（260 )上插入Ukey請求訪問虛擬機磁盤文件，客戶端（260 ) 把虛擬機磁盤文件的訪問請求發(fā)送給虛擬機管理子系統(tǒng)（270)，該請求消息中包含了訪問 的虛擬機磁盤文件的標識VMFID以及用戶的Ukey證書信息； (2) 虛擬機管理子系統(tǒng)（270)向密鑰和策略管理子系統(tǒng)（280)發(fā)送認證請求消息，請求 密鑰和策略管理子系統(tǒng)（280)對用戶執(zhí)行身份認證，其中包含了訪問的虛擬機磁盤文件的 標識VMFID和用戶的Ukey證書信息； (3) 密鑰和策略管理子系統(tǒng)（280)與客戶端（260)執(zhí)行用戶身份認證過程； (4) 認證成功后密鑰和策略管理子系統(tǒng)（280)將認證成功消息返回給虛擬機管理子系 統(tǒng)（270); (5) 虛擬機管理子系統(tǒng)（270)收到密鑰和策略管理子系統(tǒng)（280)發(fā)來的用戶身份認證 成功消息后，將打開虛擬機磁盤文件的指令發(fā)送給虛擬機監(jiān)控子系統(tǒng)（290)里的策略執(zhí)行 模塊（292)，該文件打開指令里至少包含了用戶所要訪問的虛擬機磁盤文件的標識VMFID; (6) 策略執(zhí)行模塊（292)根據(jù)VMFID來查詢所訪問的虛擬機磁盤文件的訪問策略，如果 本地沒有緩存該虛擬機磁盤文件的訪問策略和對稱加密密鑰，策略執(zhí)行模塊就向密鑰和策 略管理子系統(tǒng)（280)請求該虛擬機磁盤文件的策略信息以及對稱加密密鑰，該消息中至少 包含用戶所要訪問的虛擬機磁盤文件的標識VMFID，如果本地緩存了該虛擬機磁盤文件的 訪問策略和對稱加密密鑰，就直接執(zhí)行步驟（9 ); (7) 密鑰和策略管理子系統(tǒng)（280)收到策略執(zhí)行模塊（292)請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊（292)執(zhí)行身份認證，保證只有授權的策略執(zhí)行模塊（292) 可以解密經(jīng)過加密的虛擬機磁盤文件； (8) 策略執(zhí)行模塊（292)的認證成功后，密鑰和策略管理子系統(tǒng)（280)根據(jù)用戶所要訪 問的虛擬機磁盤文件的標識VMFID來查詢訪問策略，判斷對應的虛擬機磁盤文件是否能被 所述策略執(zhí)行模塊（292 )訪問，如果可以訪問，密鑰和策略管理子系統(tǒng)（280 )將該虛擬機磁 盤文件的對稱密鑰檢索出來，發(fā)送給虛擬機監(jiān)控子系統(tǒng)（290)里的策略執(zhí)行模塊（292); (9) 策略執(zhí)行模塊（292)將收到的對稱密鑰傳遞給文件加解密引擎（294)，文件加解密 引擎（294)使用該對稱密鑰解密虛擬機磁盤文件； (10) 文件加解密引擎（294)將加密后的虛擬機文件傳遞給策略執(zhí)行模塊（292); (11) 虛擬機監(jiān)控子系統(tǒng)（290)啟動加密的虛擬機磁盤文件為用戶提供虛擬機運行環(huán) 境。
[0006] 一種虛擬機加解密控制系統(tǒng)，其特征在，包括： 客戶端信息輸入子系統(tǒng)：用戶使用客戶端操作虛擬機的信息輸入接口，客戶端信息 輸入子系統(tǒng)接收用戶從鼠標鍵盤輸入的操作指令并發(fā)送給虛擬機管理子系統(tǒng)和虛擬機執(zhí) 行對應操作指令的動作。
[0007] 虛擬機管理子系統(tǒng)：主要提供虛擬機的集中管理，為用戶合理配置虛擬機資源，同 時作為客戶端與密鑰和策略管理子系統(tǒng)通信的轉發(fā)設備； 密鑰和策略管理子系統(tǒng)：負責對用戶的身份認證，同時還根據(jù)虛擬機監(jiān)控器中的策略 執(zhí)行模塊的標識對策略執(zhí)行模塊執(zhí)行認證，以確保只有合法的策略執(zhí)行模塊能夠加解密虛 擬機文件； 虛擬機加密子系統(tǒng)：運行于虛擬機監(jiān)控器，為虛擬機提供接口并管理真實的計算資源。
[0008] 作為對本技術方案的進一步限定，所述虛擬機加密子系統(tǒng)包括 策略執(zhí)行模塊：運行于虛擬機監(jiān)控器（290)里，負責保存并同步密鑰和策略管理子系 統(tǒng)子（280)上的對稱密鑰和文件存儲的訪問策略信息，同時還提供對稱密鑰給文件加解密 引擎（294)并決定加密后的虛擬機磁盤文件的存儲位置； 文件加密引擎：也運行在虛擬機監(jiān)控器（290)里，主要接收策略執(zhí)行模塊292傳遞來的 對稱密鑰，對虛擬機磁盤文件執(zhí)行加解密操作。
[0009] 作為對本技術方案的進一步限定，所述客戶端信息輸入子系統(tǒng)運行于客戶端。
[0010] 作為對本技術方案的進一步限定，所述虛擬機加密子系統(tǒng)的信息存儲于存儲設 備。
[0011] 作為對本技術方案的進一步限定，所述密鑰和策略管理子系統(tǒng)的信息存儲于密鑰 和策略存儲池。
[0012] 作為對本技術方案的進一步限定，所述虛擬機加密子系統(tǒng)運行于虛擬機監(jiān)控器。 所述虛擬機加密子系統(tǒng)的信息存儲于存儲設備。
[0013] 作為對本技術方案的進一步限定，所述密鑰和策略管理子系統(tǒng)的信息存儲于密鑰 和策略存儲池。
[0014] 作為對本技術方案的進一步限定，所述虛擬機加密子系統(tǒng)運行于虛擬機監(jiān)控器。
[0015] 與現(xiàn)有技術相比，本發(fā)明的優(yōu)點和積極效果是：本發(fā)明對虛擬機進行集中管理， 所以可以根據(jù)不同的用戶需求將虛擬機按組進行管理，例如使用相同的加密和訪問控制策 略、存儲在同一存儲池里、運行在同一臺物理服務器上等。當虛擬機遷移到其他物理服務器 上，也可以通過在虛擬機管理子系統(tǒng)進行訪問控制策略的配置，授權其他策略執(zhí)行模塊獲 取對稱密鑰解密并訪問虛擬機磁盤文件。本發(fā)明為用戶使用虛擬機提供安全透明的數(shù)據(jù)加 解密，并提供完善的身份認證機制確保用戶訪問虛擬機的安全性。

【專利附圖】

【附圖說明】
[0016] 圖1是本發(fā)明的系統(tǒng)示意圖。
[0017] 圖2是本發(fā)明加密方法的流程示意圖。
[0018] 圖3是本發(fā)明解密方法的流程示意圖。

【具體實施方式】
[0019] 下面結合附圖和優(yōu)選實施例對本發(fā)明作更進一步的詳細描述。
[0020] 參見圖1-圖3,本發(fā)明實施例提供了一種虛擬機加解密及訪問控制的系統(tǒng)與方 法，用于對用戶的虛擬機磁盤數(shù)據(jù)進行安全保護。為使本發(fā)明實施例的目的、技術方案和優(yōu) 點更加清楚易懂，下面結合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術方案進行清 楚、完整的描述。
[0021] 圖1是本發(fā)明的原理方框圖，該系統(tǒng)至少包括：客戶端信息輸入子系統(tǒng)、虛擬機 管理子系統(tǒng)270、密鑰和策略管理子系統(tǒng)280和虛擬機加密子系統(tǒng)、客戶端信息輸入子系統(tǒng) 設置于客戶端260上運行，虛擬機加密子系統(tǒng)設置于虛擬機監(jiān)控器290里運行，虛擬機加密 子系統(tǒng)包括策略執(zhí)行模塊292和文件加密引擎294。
[0022] 客戶端260是用戶用于登錄虛擬機的用戶終端設備，可以是普通的PC機也可以是 云終端設備，能夠提供用戶使用Ukey登錄虛擬機的接口?？蛻舳诵畔⑤斎胱酉到y(tǒng)用戶作為 使用客戶端操作虛擬機的信息輸入接口，客戶端信息輸入子系統(tǒng)接收用戶從鼠標鍵盤輸入 的操作指令并發(fā)送給虛擬機管理子系統(tǒng)和虛擬機執(zhí)行對應操作指令的動作。
[0023] 虛擬機管理子系統(tǒng)270主要提供虛擬機的集中管理，為用戶合理配置虛擬機資 源，同時作為客戶端與密鑰和策略管理子系統(tǒng)通信的轉發(fā)設備。
[0024] 密鑰和策略管理子系統(tǒng)280負責對用戶的身份認證，同時還根據(jù)虛擬機監(jiān)控器中 的策略執(zhí)行模塊的標識對策略執(zhí)行模塊執(zhí)行認證，以確保只有合法的策略執(zhí)行模塊能夠加 解密虛擬機文件。
[0025] 虛擬機監(jiān)控器290負責運行于其上的虛擬機加密子系統(tǒng)的管理，為虛擬機提供接 口并管理真實的計算資源。
[0026] 策略執(zhí)行模塊292運行于虛擬機監(jiān)控器290里，負責保存并同步密鑰和策略管理 子系統(tǒng)280上的對稱密鑰和文件存儲的訪問策略信息，同時還提供對稱密鑰給文件加解密 引擎294并決定加密后的虛擬機磁盤文件的存儲位置。
[0027] 文件加密引擎294也運行在虛擬機監(jiān)控器290里，主要接收策略執(zhí)行模塊292傳 遞來的對稱密鑰，對虛擬機磁盤文件執(zhí)行加解密操作。
[0028] 所述客戶端信息輸入子系統(tǒng)運行于客戶端，所述虛擬機加密子系統(tǒng)的信息存儲于 存儲設備，所述密鑰和策略管理子系統(tǒng)的信息存儲于密鑰和策略存儲池，所述虛擬機加密 子系統(tǒng)運行于虛擬機監(jiān)控器。所述虛擬機加密子系統(tǒng)的信息存儲于存儲設備，所述密鑰和 策略管理子系統(tǒng)的信息存儲于密鑰和策略存儲池，所述虛擬機加密子系統(tǒng)運行于虛擬機監(jiān) 控器。
[0029] 本發(fā)明實施例中，用戶可以從證書管理系統(tǒng)獲得Ukey，Ukey里存儲了用戶的個人 信息或數(shù)字證書。一個用戶Ukey可以對應該用戶的至少一個虛擬機磁盤文件。用戶通過 客戶端260和Ukey登錄虛擬機管理子系統(tǒng)270執(zhí)行證書認證過程，用戶身份認證通過后， 虛擬機管理子系統(tǒng)270為用戶分配虛擬機資源。用戶的個人信息和Ukey證書信息以及對 應分配到的虛擬機磁盤文件信息都會存儲在密鑰和策略管理子系統(tǒng)280中進行管理。
[0030] 每個虛擬機磁盤文件使用一個全局標識VMFID來標識，即使虛擬機重名也能在檢 索加密密鑰的時候找到對應的虛擬機信息。如果一個用戶Ukey對應多個虛擬機磁盤文件， 可以使用同一個加密密鑰來加密這些虛擬機磁盤文件，也可針對每個虛擬機磁盤文件使用 不同的加密密鑰來加密虛擬磁盤文件，具體由用戶通過客戶端260創(chuàng)建虛擬機磁盤文件時 進行選擇。
[0031] 圖2是本發(fā)明虛擬機加密方法的一個實施例的流程示意圖： (1) 用戶通過客戶端260向虛擬機管理子系統(tǒng)270請求創(chuàng)建加密的虛擬機磁盤文件； (2) 客戶端260通過虛擬機管理子系統(tǒng)270與密鑰和策略管理子系統(tǒng)280執(zhí)行用戶身 份認證過程。
[0032] 優(yōu)選的，虛擬機管理子系統(tǒng)270將用戶的Ukey證書信息以及創(chuàng)建加密虛擬機磁盤 文件的請求發(fā)送給密鑰和策略管理子系統(tǒng)280,由密鑰和策略管理子系統(tǒng)280對用戶執(zhí)行 身份認證。密鑰和策略管理子系統(tǒng)280與用戶注冊Ukey的證書管理系統(tǒng)保持用戶證書信 息的同步一致。
[0033] (3)認證成功后，密鑰和策略管理子系統(tǒng)280把用戶通過認證的消息發(fā)送給虛擬 機管理子系統(tǒng)270。
[0034] (4)虛擬機管理子系統(tǒng)270為用戶分配虛擬機資源，并把虛擬機資源配置請求發(fā) 送給對應的虛擬機監(jiān)控器290的策略執(zhí)行模塊292為新生成的虛擬機分配設備資源。虛擬 機資源配置請求信息里包含用戶的個人信息和Ukey證書信息。
[0035] (5)策略執(zhí)行模塊292創(chuàng)建新的虛擬機磁盤文件，并為該虛擬機磁盤文件分配虛 擬機文件標識VMFID。
[0036] (6)策略執(zhí)行模塊292向密鑰和策略管理子系統(tǒng)280請求加密該虛擬機磁盤文件 所用的對稱加密密鑰，該請求消息中包含了用戶信息和Ukey證書信息與VMFID等信息，主 要為后續(xù)密鑰和策略管理子系統(tǒng)280能夠建立密鑰索引關系。
[0037] (7)密鑰和策略管理子系統(tǒng)280收到策略執(zhí)行模塊292請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊292執(zhí)行身份認證，保證后續(xù)只有授權的策略執(zhí)行模塊292 可以解密經(jīng)過加密的虛擬機磁盤文件。
[0038] 優(yōu)選的，策略執(zhí)行模塊292可以使用該策略執(zhí)行模塊自身的標識提前在密鑰和策 略管理子系統(tǒng)280進行注冊，這個注冊過程可以在虛擬機監(jiān)控器290上安裝策略執(zhí)行模塊 292時進行。
[0039] (8)策略執(zhí)行模塊292的認證通過后，密鑰和策略管理子系統(tǒng)280為新創(chuàng)建的虛擬 機文件產(chǎn)生對稱加密密鑰并發(fā)送給策略執(zhí)行模塊292。
[0040] (9)策略執(zhí)行模塊292將收到的對稱加密密鑰傳遞給文件加解密引擎294,文件加 解密引擎294使用該對稱加密密鑰加密所述虛擬機磁盤文件。
[0041] (10)文件加解密引擎294將加密后的虛擬機文件傳遞給策略執(zhí)行模塊292,策略 執(zhí)行模塊292把加密后的虛擬機磁盤文件放到存儲設備進行存儲。
[0042] (11)密鑰和策略管理子系統(tǒng)280與策略執(zhí)行模塊292進行密鑰和訪問策略同步過 程。
[0043] 具體地，策略執(zhí)行模塊292將文件存儲的策略信息發(fā)送給密鑰和策略管理子系統(tǒng) 280進行保存，以便后續(xù)訪問加密的虛擬機文件時執(zhí)行對文件的安全訪問控制。密鑰和策略 管理子系統(tǒng)280建立對稱加密密鑰與虛擬機磁盤文件的VMFID和Ukey證書信息的對應關 系。
[0044] 優(yōu)選的，管理員可以對加密后的虛擬機磁盤文件配置訪問策略，該訪問策略包含 了對應的虛擬機磁盤文件可以被哪些策略執(zhí)行模塊292訪問。所述的對稱加密密鑰可以使 用Ukey證書進行加密后存儲在密鑰和策略存儲池中，所述的訪問策略信息也可以存儲在 密鑰和策略存儲池里。
[0045] (12)虛擬機監(jiān)控器290啟動加密的虛擬機磁盤文件為用戶提供虛擬機運行環(huán)境。
[0046] 圖3是本發(fā)明虛擬機解密訪問控制的方法的另一個實施例的流程示意圖： (1)用戶通過客戶端260將虛擬機磁盤文件的訪問請求發(fā)送給虛擬機管理子系統(tǒng)270。
[0047] 優(yōu)選地，用戶可以在客戶端260上插入Ukey請求訪問虛擬機磁盤文件，客戶端260 把虛擬機磁盤文件的訪問請求發(fā)送給虛擬機管理子系統(tǒng)270,該請求消息中包含了訪問的 虛擬機磁盤文件的標識VMFID以及用戶的Ukey證書信息。
[0048] (2)虛擬機管理子系統(tǒng)270向密鑰和策略管理子系統(tǒng)280發(fā)送認證請求消息，請求 密鑰和策略管理子系統(tǒng)280對用戶執(zhí)行身份認證，其中包含了訪問的虛擬機磁盤文件的標 識VMFID和用戶的Ukey證書信息。
[0049] (3)密鑰和策略管理子系統(tǒng)280與客戶端260執(zhí)行用戶身份認證過程。
[0050] (4)認證成功后密鑰和策略管理子系統(tǒng)280將認證成功消息返回給虛擬機管理子 系統(tǒng)270。
[0051] (5)虛擬機管理子系統(tǒng)270收到密鑰和策略管理子系統(tǒng)280發(fā)來的用戶身份認 證成功消息后，將打開虛擬機磁盤文件的指令發(fā)送給虛擬機監(jiān)控器290里的策略執(zhí)行模塊 292,該文件打開指令里至少包含了用戶所要訪問的虛擬機磁盤文件的標識VMFID。
[0052] (6)策略執(zhí)行模塊292根據(jù)VMFID來查詢所訪問的虛擬機磁盤文件的訪問策略，如 果本地沒有緩存該虛擬機磁盤文件的訪問策略和對稱加密密鑰，策略執(zhí)行模塊就向密鑰和 策略管理子系統(tǒng)280請求該虛擬機磁盤文件的策略信息以及對稱加密密鑰，該消息中至少 包含用戶所要訪問的虛擬機磁盤文件的標識VMFID。
[0053] 如果本地緩存了該虛擬機磁盤文件的訪問策略和對稱加密密鑰，就直接執(zhí)行步驟 (9)。
[0054] (7)密鑰和策略管理子系統(tǒng)280收到策略執(zhí)行模塊292請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊292執(zhí)行身份認證，保證只有授權的策略執(zhí)行模塊292可以 解密經(jīng)過加密的虛擬機磁盤文件。
[0055] (8)策略執(zhí)行模塊292的認證成功后，密鑰和策略管理子系統(tǒng)280根據(jù)用戶所要訪 問的虛擬機磁盤文件的標識VMFID來查詢訪問策略，判斷對應的虛擬機磁盤文件是否能被 所述策略執(zhí)行模塊292訪問。如果可以訪問，密鑰和策略管理子系統(tǒng)280將該虛擬機磁盤 文件的對稱密鑰檢索出來，發(fā)送給虛擬機監(jiān)控器290里的策略執(zhí)行模塊292。
[0056] (9)策略執(zhí)行模塊292將收到的對稱密鑰傳遞給文件加解密引擎294,文件加解密 引擎294使用該對稱密鑰解密虛擬機磁盤文件。
[0057] (10)文件加解密引擎294將加密后的虛擬機文件傳遞給策略執(zhí)行模塊292。
[0058] (11)虛擬機監(jiān)控器290啟動加密的虛擬機磁盤文件為用戶提供虛擬機運行環(huán)境。
[0059] 本發(fā)明提供的實施例中，由于虛擬機管理子系統(tǒng)對虛擬機進行集中管理，所以可 以根據(jù)不同的用戶需求將虛擬機按組進行管理，例如使用相同的加密和訪問控制策略、存 儲在同一存儲池里、運行在同一臺物理服務器上等。當虛擬機遷移到其他物理服務器上，也 可以通過在虛擬機管理子系統(tǒng)進行訪問控制策略的配置，授權其他策略執(zhí)行模塊獲取對稱 密鑰解密并訪問虛擬機磁盤文件。
[0060] 以上所述的實施例只是本發(fā)明較優(yōu)選的【具體實施方式】的一種，本領域的技術人員 在本發(fā)明技術方案范圍內進行的各種變化和替換都應包含在本發(fā)明的保護范圍內。
【權利要求】
1. 一種虛擬機加密方法，其特征在于，包括如下步驟： (1) 用戶通過客戶端（260)向虛擬機管理子系統(tǒng)（270)請求創(chuàng)建加密的虛擬機磁盤文 件； (2) 虛擬機管理子系統(tǒng)（270)將用戶的Ukey證書信息以及創(chuàng)建加密虛擬機磁盤文件的 請求發(fā)送給密鑰和策略管理子系統(tǒng)（280)，由密鑰和策略管理子系統(tǒng)（280)對用戶執(zhí)行身 份認證，密鑰和策略管理子系統(tǒng)（280)與用戶注冊Ukey的證書管理子系統(tǒng)保持用戶證書信 息的同步一致； (3) 認證成功后，密鑰和策略管理子系統(tǒng)（280)把用戶通過認證的消息發(fā)送給虛擬機管 理子系統(tǒng)（270); (4) 虛擬機管理子系統(tǒng)（270)為用戶分配虛擬機資源，并把虛擬機資源配置請求發(fā)送給 對應的虛擬機監(jiān)控子系統(tǒng)（290)的策略執(zhí)行模塊（292)，為新生成的虛擬機分配設備資源， 虛擬機資源配置請求信息里包含用戶的個人信息和Ukey證書信息； (5 )策略執(zhí)行模塊（292 )創(chuàng)建新的虛擬機磁盤文件，并為該虛擬機磁盤文件分配虛擬機 文件標識VMFID ; (6) 策略執(zhí)行模塊（292)向密鑰和策略管理子系統(tǒng)（280)請求加密該虛擬機磁盤文 件所用的對稱加密密鑰，該請求消息中包含了用戶信息、Ukey證書信息和虛擬機文件標識 VMFID，主要為后續(xù)密鑰和策略管理子系統(tǒng)（280)能夠建立密鑰索引關系； (7) 密鑰和策略管理子系統(tǒng)（280)收到策略執(zhí)行模塊（292)請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊（292)執(zhí)行身份認證，保證后續(xù)只有授權的策略執(zhí)行模塊 (292)可以解密經(jīng)過加密的虛擬機磁盤文件； (8) 策略執(zhí)行模塊（292)使用該策略執(zhí)行模塊自身的標識提前在密鑰和策略管理子系 統(tǒng)（280 )進行注冊，這個注冊過程在虛擬機監(jiān)控子系統(tǒng)（290 )上安裝策略執(zhí)行模塊（292 )時 進行； (9) 策略執(zhí)行模塊（292)的認證通過后，密鑰和策略管理子系統(tǒng)（280)為新創(chuàng)建的虛擬 機文件產(chǎn)生對稱加密密鑰并發(fā)送給策略執(zhí)行模塊（292); (10) 策略執(zhí)行模塊（292)將收到的對稱加密密鑰傳遞給文件加解密引擎（294)，文件 加解密引擎（294)使用該對稱加密密鑰加密所述虛擬機磁盤文件； (11) 文件加解密引擎（294)將加密后的虛擬機文件傳遞給策略執(zhí)行模塊（292)，策略 執(zhí)行模塊（292)把加密后的虛擬機磁盤文件放到存儲設備進行存儲； (12) 密鑰和策略管理子系統(tǒng)（280)與策略執(zhí)行模塊（292)進行密鑰和訪問策略同步過 程。
2. -種虛擬機解密方法，其特征在于，包括如下步驟： (1) 用戶通過客戶端（260)將虛擬機磁盤文件的訪問請求發(fā)送給虛擬機管理子系統(tǒng) (270 )，或者用戶通過在客戶端（260 )上插入Ukey請求訪問虛擬機磁盤文件，客戶端（260 ) 把虛擬機磁盤文件的訪問請求發(fā)送給虛擬機管理子系統(tǒng)（270)，該請求消息中包含了訪問 的虛擬機磁盤文件的標識VMFID以及用戶的Ukey證書信息； (2) 虛擬機管理子系統(tǒng)（270)向密鑰和策略管理子系統(tǒng)（280)發(fā)送認證請求消息，請求 密鑰和策略管理子系統(tǒng)（280)對用戶執(zhí)行身份認證，其中包含了訪問的虛擬機磁盤文件的 標識VMFID和用戶的Ukey證書信息； (3) 密鑰和策略管理子系統(tǒng)（280)與客戶端（260)執(zhí)行用戶身份認證過程； (4) 認證成功后密鑰和策略管理子系統(tǒng)（280)將認證成功消息返回給虛擬機管理子系 統(tǒng)（270); (5) 虛擬機管理子系統(tǒng)（270)收到密鑰和策略管理子系統(tǒng)（280)發(fā)來的用戶身份認證 成功消息后，將打開虛擬機磁盤文件的指令發(fā)送給虛擬機監(jiān)控子系統(tǒng)（290)里的策略執(zhí)行 模塊（292)，該文件打開指令里至少包含了用戶所要訪問的虛擬機磁盤文件的標識VMFID; (6) 策略執(zhí)行模塊（292)根據(jù)VMFID來查詢所訪問的虛擬機磁盤文件的訪問策略，如果 本地沒有緩存該虛擬機磁盤文件的訪問策略和對稱加密密鑰，策略執(zhí)行模塊就向密鑰和策 略管理子系統(tǒng)（280)請求該虛擬機磁盤文件的策略信息以及對稱加密密鑰，該消息中至少 包含用戶所要訪問的虛擬機磁盤文件的標識VMFID，如果本地緩存了該虛擬機磁盤文件的 訪問策略和對稱加密密鑰，就直接執(zhí)行步驟（9); (7) 密鑰和策略管理子系統(tǒng)（280)收到策略執(zhí)行模塊（292)請求對稱加密密鑰的消息 后，首先發(fā)起對該策略執(zhí)行模塊（292)執(zhí)行身份認證，保證只有授權的策略執(zhí)行模塊（292) 可以解密經(jīng)過加密的虛擬機磁盤文件； (8) 策略執(zhí)行模塊（292)的認證成功后，密鑰和策略管理子系統(tǒng)（280)根據(jù)用戶所要訪 問的虛擬機磁盤文件的標識VMFID來查詢訪問策略，判斷對應的虛擬機磁盤文件是否能被 所述策略執(zhí)行模塊（292 )訪問，如果可以訪問，密鑰和策略管理子系統(tǒng)（280 )將該虛擬機磁 盤文件的對稱密鑰檢索出來，發(fā)送給虛擬機監(jiān)控子系統(tǒng)（290)里的策略執(zhí)行模塊（292); (9) 策略執(zhí)行模塊（292)將收到的對稱密鑰傳遞給文件加解密引擎（294)，文件加解密 引擎（294)使用該對稱密鑰解密虛擬機磁盤文件； (10) 文件加解密引擎（294)將加密后的虛擬機文件傳遞給策略執(zhí)行模塊（292); (11) 虛擬機監(jiān)控子系統(tǒng)（290)啟動加密的虛擬機磁盤文件為用戶提供虛擬機運行環(huán) 境。
3. -種虛擬機加解密控制系統(tǒng)，其特征在，包括： 客戶端信息輸入子系統(tǒng)：用戶使用客戶端操作虛擬機的信息輸入接口，客戶端信息輸 入子系統(tǒng)接收用戶從鼠標鍵盤輸入的操作指令并發(fā)送給虛擬機管理子系統(tǒng)和虛擬機執(zhí)行 對應操作指令的動作； 虛擬機管理子系統(tǒng)：主要提供虛擬機的集中管理，為用戶合理配置虛擬機資源，同時作 為客戶端與密鑰和策略管理子系統(tǒng)通信的轉發(fā)設備； 密鑰和策略管理子系統(tǒng)：負責對用戶的身份認證，同時還根據(jù)虛擬機監(jiān)控器中的策略 執(zhí)行模塊的標識對策略執(zhí)行模塊執(zhí)行認證，以確保只有合法的策略執(zhí)行模塊能夠加解密虛 擬機文件； 虛擬機加密子系統(tǒng)：為虛擬機提供接口并管理真實的計算資源。
4. 根據(jù)權利要求3所述的虛擬機加解密控制系統(tǒng)，其特征是：所述虛擬機加密子系統(tǒng) 包括 策略執(zhí)行模塊：運行于虛擬機監(jiān)控器（290)里，負責保存并同步密鑰和策略管理子系 統(tǒng)子（280)上的對稱密鑰和文件存儲的訪問策略信息，同時還提供對稱密鑰給文件加解密 引擎（294)并決定加密后的虛擬機磁盤文件的存儲位置； 文件加密引擎：也運行在虛擬機監(jiān)控器（290 )里，主要接收策略執(zhí)行模塊（292 )傳遞來 的對稱密鑰，對虛擬機磁盤文件執(zhí)行加解密操作。
5. 根據(jù)權利要求3所述的虛擬機加解密控制系統(tǒng)，其特征是：所述客戶端信息輸入子 系統(tǒng)運行于客戶端。
6. 根據(jù)權利要求3所述的虛擬機加解密控制系統(tǒng)，其特征是：所述虛擬機加密子系統(tǒng) 的信息存儲于存儲設備。
7. 根據(jù)權利要求3所述的虛擬機加解密控制系統(tǒng)，其特征是：所述密鑰和策略管理子 系統(tǒng)的信息存儲于密鑰和策略存儲池。
8. 根據(jù)權利要求3所述的虛擬機加解密控制系統(tǒng)，其特征是：所述虛擬機加密子系統(tǒng) 運行于虛擬機監(jiān)控器。
【文檔編號】H04L29/08GK104104692SQ201410380876
【公開日】2014年10月15日 申請日期:2014年8月5日 優(yōu)先權日:2014年8月5日
【發(fā)明者】任勛益, 萬海山, 孔強, 趙為強 申請人:山東中孚信息產(chǎn)業(yè)股份有限公司, 南京中孚信息技術有限公司, 北京中孚泰和科技發(fā)展股份有限公司