[發明專利]基于分布式策略驗證的可信虛擬組織構建方法及裝置

有效

• 申請號: 200910087987.4
• 申請日: 2009-06-29
• 公開（公告）號: CN101594386A
• 公開（公告）日: 2009-12-02
• 發明（設計）人: 李建欣;懷進鵬;胡春明;沃天宇;劉超
• 申請（專利權）人: 北京航空航天大學
• 主分類號: H04L29/08
• 分類號: H04L29/08;G06F15/16
• 代理公司: 北京同立鈞成知識產權代理有限公司
• 代理人: 劉 芳

技術領域

本發明涉及虛擬組織構建技術，特別涉及一種基于分布式策略驗證的可 信虛擬組織構建方法及裝置，屬于分布式計算和信息安全技術領域。

背景技術

隨著當今計算機技術的迅速發展，虛擬化(Virtualization)、軟件即服 務(Software?as?a?Service)以及Web交互技術的發展，對基于互聯網構建 可信的網絡化軟件應用系統提供了有效支撐，以不斷為用戶提供更多簡 單、透明方式而動態獲取大規模計算和存儲服務能力。例如“云”和“云計算” 就是一種典型的此類應用模式。

所謂“云”可理解為計算機群，可包括幾十萬臺、甚至上百萬臺計算機。 “云”的好處在于，其中的計算機可以隨時更新。目前的“云”基本都為大型企 業所用，例如亞馬遜(Amazon)的彈性計算服務(Elastic?Compute?Cloud， 簡稱EC2)、簡單數據存儲服務(Simple?Storage?Service，簡稱S3)、微軟 的云計算產品Windows?Azure等，都是構建這樣的“云。

“云”是“云計算”的平臺，即所謂“云計算”可理解為是基于“云”的計算，更 進一步地，是基于虛擬化、軟件即服務以及Web交換等相關技術之上的新興 技術?！霸朴嬎恪睅淼氖且环N新的資源和軟件應用嘗試，用戶只通過網絡并 借助瀏覽器就可以很方便的訪問“云”，把“云”做為資料存儲以及應用服務的 中心。目前在擁有“云”的大型企業中，其用戶根據企業內部“云”所進行的“云 計算”具體為，用戶所需的計算和存儲能力將轉移到企業內部的整個局域網 (所謂“云”)內，通過讓用戶所進行的計算分布在大量的分布式計算機上， 而非本地計算機或遠程服務器中，從而使企業數據中心的運行將更與互聯網 相似，進而使得企業能夠將資源切換到需要的應用上，根據需求訪問計算機 和存儲系統。

隨著硬件技術的不斷發展，虛擬機的出現為企業內部構造“云”提供了便 利。由于虛擬機本身具有良好的隔離性、可監控性和遷移性，保證了“云”中 單一計算機或單一系統節點安全性，然而對“云”從整體上進行管理，則需要 面向虛擬機的安全策略來實現?；谔摂M機的安全策略管理，可有效地構建 單一域(所述單一域涉及企業或學校等)內的“云計算”平臺，國內外IT 公司如VMWare的產品VirtualCenter、Microsoft的產品Hyper-V、RedHat 的系統OVirt等。然而，隨著“云計算”平臺中用戶應用對計算能力需求的 伸縮性，各個單一域所提供的自治域(可包括至少一個“云”)，并不一定 能夠滿足用戶的需求。因此，發明人憑借在本領域從事多年研究工作的經 驗，深刻認識到構建多個自治域形成VO(Virtual?Organization，虛擬組織) 仍然是解決多個自治域間資源分享一種方法。例如當某企業的自治域內虛 擬資源不足時，可以租用Amazon自治域的部分虛擬資源形成VO；或者 某網絡策略實驗室為構建多地理位置部署的系統，需要租用處于不同地理位 置自治域提供商的虛擬資源，形成自己的VO。但現有技術中，在構建VO時 存在以下缺陷：

1.自治域間的可聯合方面：涉及到跨域資源分享，其虛擬資源的加入退 出往往較為頻繁，在這種情形下，對VO構建的效率提出挑戰，如VOMS (Virtual?Organization?Management?Service，虛擬組織管理服務)、CAS (Central?Authentication?Service，中央認證服務)等VO管理系統需要預先指 派用戶加入VO，由于VO的構建直接以用戶為基本模塊，因此VO構建的效 率不高。

2.構建VO的策略安全性方面：由于自治域間的權限相互映射，很容易導 致一個低級別用戶經過映射回環享受一個高級別用戶權限，破壞原有自治域 策略的安全性。

3.VO運行效率的可保障方面：由于VO構建涉及到策略定制、安全性驗 證等多個過程，確保最終使用VO的VO用戶授權的效率至關重要，針對該 問題，現有技術動態信任鏈的構造VO的方法中，由于沒有相關的授權協議 對VO用戶的可信度進行限定，因此VO用戶授權的效率相對較低。

發明內容

本發明的目的是提供一種基于分布式策略驗證的可信虛擬組織構建方 法及裝置，針對現有技術虛擬組織構建方法中虛擬組織構建效率不高、起始 自治域的安全性存在隱患以及虛擬組織用戶授權效率較低的技術問題，以實 現快速、安全地構建可信虛擬組織的目的。