技術(shù)領(lǐng)域

本發(fā)明涉及云計(jì)算技術(shù)領(lǐng)域，尤其涉及一種虛擬機(jī)的安全訪問方法及虛擬機(jī)系統(tǒng)。

背景技術(shù)

云計(jì)算帶給商業(yè)領(lǐng)域一個(gè)新型技術(shù)(IT，InformationTechnology)服務(wù)提供及消費(fèi)的新時(shí)代。云計(jì)算強(qiáng)化了協(xié)作性、敏捷性、擴(kuò)展性、可用性，以及通過優(yōu)化的、更有效率的計(jì)算來降低成本的特點(diǎn)。更具體的說，云描述了由“資源池”化的計(jì)算、網(wǎng)絡(luò)、信息和存儲(chǔ)等組成的服務(wù)、應(yīng)用、信息和基礎(chǔ)設(shè)施等的使用。云計(jì)算中組成組件可以迅速置備、部署和退役，并且可以順序擴(kuò)充或縮減，提供按需的、與效用計(jì)算類似的分配和消費(fèi)模式。

云計(jì)算系統(tǒng)之所以能夠自動(dòng)控制優(yōu)化某種服務(wù)的資源使用，是因?yàn)槔昧司婺撤N程度抽象的測量能力。在云計(jì)算中，虛擬化技術(shù)是將資源抽象的重要選擇技術(shù)之一。

在虛擬機(jī)化技術(shù)中，根據(jù)待虛擬的實(shí)體不同，可以分為不同類型的虛擬化。系統(tǒng)虛擬化技術(shù)是被廣泛認(rèn)識(shí)的一種虛擬化技術(shù)。

系統(tǒng)虛擬化的核心思想是虛擬化軟件在一臺(tái)物理機(jī)上虛擬出一臺(tái)或多臺(tái)虛擬機(jī)。虛擬機(jī)運(yùn)行在一個(gè)隔離環(huán)境中，是具有完整硬件功能的邏輯計(jì)算機(jī)系統(tǒng)，其包括客戶操作系統(tǒng)和其中的應(yīng)用程序。在虛擬機(jī)系統(tǒng)中，多個(gè)操作系統(tǒng)可以互不影響地在同一臺(tái)物理機(jī)上同時(shí)運(yùn)行，復(fù)用物理資源。

盡管虛擬化技術(shù)得到迅猛發(fā)展，但是虛擬機(jī)系統(tǒng)的安全技術(shù)卻嚴(yán)重滯后。在虛擬機(jī)上運(yùn)行各種服務(wù)并保障系統(tǒng)安全，要比在單一計(jì)算機(jī)上復(fù)雜的多。虛擬機(jī)系統(tǒng)的安全威脅很多，例如虛擬機(jī)之間的攻擊、資源占用沖突以及逃逸威脅等。因此，在使用虛擬機(jī)帶來應(yīng)用和管理便利的同時(shí)，應(yīng)該更加重視解決虛擬安全問題，研究虛擬安全機(jī)制。

目前，虛擬化技術(shù)中的虛擬機(jī)監(jiān)控軟件(VMM，VirtualMachineMonitor)，或稱為Hypervisor，它可以訪問服務(wù)器上的所有硬件設(shè)備。當(dāng)服務(wù)器啟動(dòng)并調(diào)用Hypervisor時(shí)，它會(huì)加載所有虛擬機(jī)客戶端上的操作系統(tǒng)，同時(shí)給每個(gè)虛擬機(jī)分配適量的網(wǎng)絡(luò)、CPU、磁盤和內(nèi)存等物理資源。Hypervisor負(fù)責(zé)協(xié)調(diào)這些硬件資源的訪問，同時(shí)也在每個(gè)虛擬機(jī)之間施加安全防護(hù)。在傳統(tǒng)虛擬化技術(shù)中，針對(duì)虛擬機(jī)逃逸大多采用監(jiān)控的方式來發(fā)現(xiàn)并阻止危險(xiǎn)的發(fā)生。監(jiān)控機(jī)制的一種思路是通過虛擬機(jī)環(huán)境提供的Hypervisor層從客戶虛擬機(jī)所處環(huán)境之處，對(duì)其進(jìn)行監(jiān)控。這類機(jī)制可以有效地保護(hù)安全部件免遭篡改，同時(shí)這一方式對(duì)監(jiān)控環(huán)境的影響較小，方便透明實(shí)現(xiàn)，在系統(tǒng)的兼容上也有優(yōu)勢。但是，上述方式會(huì)存在語義斷層問題。

由于云計(jì)算與傳統(tǒng)單機(jī)虛擬化環(huán)境架構(gòu)的不同,在云計(jì)算中控制權(quán)由Hypervisor向云控制節(jié)點(diǎn)Controller轉(zhuǎn)移。而傳統(tǒng)的虛擬機(jī)監(jiān)控機(jī)制設(shè)計(jì)在計(jì)算節(jié)點(diǎn)Hypervisor中，難以有效與云控制節(jié)點(diǎn)上虛擬機(jī)管理控制流程銜接,會(huì)出現(xiàn)安全鏈斷裂而無法保證虛擬機(jī)整個(gè)生命周期的安全,并不能很好地在云計(jì)算場景中發(fā)揮作用。

發(fā)明內(nèi)容

本發(fā)明的實(shí)施例提供一種虛擬機(jī)的安全訪問方法及虛擬機(jī)系統(tǒng)，用以實(shí)現(xiàn)云計(jì)算虛擬機(jī)化平臺(tái)中虛擬資源的安全保護(hù)。

為達(dá)到上述目的，本發(fā)明的實(shí)施例采用如下技術(shù)方案：

本發(fā)明實(shí)施例提供了一種虛擬機(jī)的安全訪問方法，應(yīng)用于虛擬機(jī)系統(tǒng)，所述虛擬機(jī)系統(tǒng)包括：計(jì)算節(jié)點(diǎn)，云計(jì)算控制節(jié)點(diǎn)，虛擬機(jī)，所述方法包括：所述云計(jì)算控制節(jié)點(diǎn)在所述虛擬機(jī)建立時(shí)，為所述虛擬機(jī)及所述虛擬機(jī)對(duì)應(yīng)的虛擬資源配置對(duì)應(yīng)的標(biāo)識(shí)信息；所述計(jì)算節(jié)點(diǎn)接收虛擬機(jī)發(fā)送的虛擬資源訪問請(qǐng)求消息；其中，所述虛擬資源訪問請(qǐng)求消息中攜帶有虛擬機(jī)的標(biāo)識(shí)信息及需訪問的虛擬資源的標(biāo)識(shí)信息；所述計(jì)算節(jié)點(diǎn)根據(jù)所述虛擬機(jī)的標(biāo)識(shí)信息，及需訪問的虛擬資源的標(biāo)識(shí)信息，確定所述虛擬機(jī)是否具有訪問所述虛擬資源的標(biāo)識(shí)信息對(duì)應(yīng)的虛擬資源的權(quán)限；在確定所述虛擬機(jī)具有訪問所述虛擬資源的標(biāo)識(shí)信息對(duì)應(yīng)的虛擬資源的權(quán)限時(shí)，所述計(jì)算節(jié)點(diǎn)允許所述虛擬機(jī)訪問所述虛擬資源的標(biāo)識(shí)信息對(duì)應(yīng)的虛擬資源；在確定所述虛擬機(jī)不具有訪問所述虛擬資源的標(biāo)識(shí)信息對(duì)應(yīng)的虛擬資源的權(quán)限時(shí)，所述計(jì)算節(jié)點(diǎn)阻止所述虛擬機(jī)訪問所述虛擬資源的標(biāo)識(shí)信息對(duì)應(yīng)的虛擬資源。

進(jìn)一步的，在所述計(jì)算節(jié)點(diǎn)接收虛擬機(jī)發(fā)送的虛擬資源訪問請(qǐng)求消息之前，還包括：云計(jì)算控制節(jié)點(diǎn)根據(jù)用戶的利益信息，確定運(yùn)行虛擬機(jī)的計(jì)算節(jié)點(diǎn)；所述云計(jì)算控制節(jié)點(diǎn)向所述運(yùn)行虛擬機(jī)的計(jì)算節(jié)點(diǎn)發(fā)送建立與所述虛擬機(jī)間的運(yùn)行關(guān)系的消息；所述計(jì)算節(jié)點(diǎn)接收云計(jì)算控制節(jié)點(diǎn)發(fā)送的建立與所述虛擬機(jī)間的運(yùn)行關(guān)系的消息；所述計(jì)算節(jié)點(diǎn)根據(jù)所述建立與所述虛擬機(jī)間的運(yùn)行關(guān)系的消息，為所述虛擬機(jī)分配運(yùn)行資源，與所述虛擬機(jī)建立運(yùn)行關(guān)系。