[發(fā)明專利]一種計算機和虛擬環(huán)境中用戶管理方法

有效

• 申請?zhí)枺?/td>: 200810119904.0
• 申請日: 2008-09-09
• 公開（公告）號: CN101673215A
• 公開（公告）日: 2010-03-17
• 發(fā)明（設計）人: 余家忠
• 申請（專利權）人: 聯(lián)想（北京）有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F9/46;G06F21/00
• 代理公司: 北京銀龍知識產(chǎn)權代理有限公司
• 代理人: 許 靜

技術領域

本發(fā)明涉及計算機領域中計算機系統(tǒng)用戶管理，特別是指一種虛擬環(huán)境中 用戶管理裝置及方法。

背景技術

現(xiàn)在的個人電腦，都支持多用戶、多任務的操作系統(tǒng)。一般情況下，電腦 中有一個缺省的超級用戶，他可以創(chuàng)建其他用戶，并賦予其他用戶一定的權限。 由超級用戶創(chuàng)建出的其他用戶，由于角色不同，可以看到的電腦資源和對電腦 資源的操作權限也不相同；但超級用戶或者超級用戶授權的用戶，可以看見和 操作所有的電腦資源。

正常情況下，這種用戶權限管理方案可以很好地實現(xiàn)電腦用戶資源的管 理。在互聯(lián)網(wǎng)時代，在黑客、病毒等攻擊和破壞下，經(jīng)常出現(xiàn)低級用戶通過運 行有漏洞的程序，在不知道口令的情況下，獲得了超級用戶的權限以及所有電 腦資源的控制權，進而造成信息泄露或者數(shù)據(jù)破壞等。這已成為了系統(tǒng)管理員 和軟件開發(fā)人員的一大心病。

目前，業(yè)界的解決辦法多是采取“亡羊補牢”的方法。比如，系統(tǒng)中裝入 殺毒軟件，實時地對數(shù)據(jù)和軟件進行檢測，一旦發(fā)現(xiàn)病毒、木馬，就禁止用戶 操作數(shù)據(jù)或禁止軟件運行。又如，系統(tǒng)中裝入防火墻，斬斷黑手伸向電腦系統(tǒng) 的途徑。又如，對用戶數(shù)據(jù)進行加密或隱藏處理以保證數(shù)據(jù)的安全存儲和使用。 在這個攻防戰(zhàn)斗中，攻方一直處于主動。

比較理想的方法是開發(fā)無缺陷的系統(tǒng)，比如高質(zhì)量的代碼可避免緩沖區(qū)溢 出等等。從理論上分析，系統(tǒng)使用時間上滯后于系統(tǒng)開發(fā)，很多情況開發(fā)系統(tǒng) 時無法預料?，F(xiàn)實中，系統(tǒng)開發(fā)人員水平參差不齊，系統(tǒng)測試力度大小不同。 所以，無缺陷系統(tǒng)只能無限逼近，不能最終實現(xiàn)。

經(jīng)分析，有兩個原因?qū)е铝诉@個難題：一是用戶權限分級，不僅存在超級 用戶、系統(tǒng)管理員、普通用戶的區(qū)別，還存在用戶模式、內(nèi)核模式兩種運行狀 態(tài)，在某種情況下還允許發(fā)生權限切換；二是缺乏必要的措施，擁有頂級權限 的用戶可以看見和操作所有電腦資源，攻方一旦獲得頂級權限，危害極大。

發(fā)明人在實現(xiàn)本發(fā)明的過程中，發(fā)現(xiàn)現(xiàn)有技術至少存在如下問題：

在多用戶，多任務的電腦系統(tǒng)中，由于多個用戶在同一操作系統(tǒng)中對資源 進行操作，但擁有頂級權限的用戶可以操作所有的電腦資源，這樣權限低的用 戶可以通過運行某種有漏洞的軟件，獲得該擁有頂級權限的用戶的權限以及所 有電腦資源的控制權，進而造成信息泄露或者數(shù)據(jù)破壞。

發(fā)明內(nèi)容

本發(fā)明要解決的技術問題是提供一種虛擬環(huán)境中用戶管理裝置及方法，使 計算機系統(tǒng)的多用戶之間的權限和資源得到很好的隔離，保證了各個用戶在各 自的權限范圍內(nèi)使用該用戶的資源，避免了該用戶超越自己的權限使用其他用 戶的資源的情況。

為解決上述技術問題，本發(fā)明的實施例提供技術方案如下：

一方面，提供一種虛擬環(huán)境中用戶管理裝置，包括：

虛擬機管理單元，安裝有虛擬機管理器；

第一操作單元，安裝有第一操作系統(tǒng)；

第二操作單元，安裝有第二操作系統(tǒng)，所述第二操作系統(tǒng)安裝在所述虛擬 機管理器上；所述第一操作單元包括：

管理單元，用于設置多個用戶，并為所述多個用戶中的每一個用戶分配相 應的資源和權限；

虛擬機運行管理單元，與所述管理單元和所述虛擬機管理器分別連接，用 于收集所述多個用戶中的每一個用戶所對應的資源和權限，并將所述多個用戶 中的第一用戶、所述第一用戶對應的資源和所述第一用戶對應的權限通過所述 虛擬機管理器傳輸至所述第二操作系統(tǒng)，并通過所述虛擬機管理器獲取所述第 一用戶在所述第二操作系統(tǒng)中根據(jù)所述第一用戶對應的權限對所述第一用戶 對應的資源的讀/寫操作請求，根據(jù)所述讀/寫操作請求對所述第一用戶對應的 資源進行處理后，獲得讀/寫操作結果，并通過所述虛擬機管理器向所述第二 操作系統(tǒng)返回所述讀/寫操作結果。

優(yōu)選的，所述虛擬機運行管理單元包括：

第一處理單元，與所述管理單元連接，用于收集所述多個用戶中的第一用 戶、所述第一用戶對應的資源和所述第一用戶對應的權限；

第二處理單元，與所述第一處理單元和所述虛擬機管理單元連接，用于將 所述第一用戶、所述第一用戶對應的資源和所述第一用戶對應的權限通過所述 虛擬機管理器傳輸至所述第二操作系統(tǒng)；