[發明專利]云計算架構中的虛擬機之間的安全通信

有效

• 申請號: 201110386669.5
• 申請日: 2011-11-28
• 公開（公告）號: CN103139159A
• 公開（公告）日: 2013-06-05
• 發明（設計）人: 胡志遠;萬永根;駱志剛
• 申請（專利權）人: 上海貝爾股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京市中咨律師事務所 11247
• 代理人: 劉薇;楊曉光

技術領域

本發明涉及云計算的技術領域，具體地，涉及在云計算架構中創建用戶的虛擬機的方法及裝置以及在云計算架構中控制虛擬機之間的安全通信的方法及裝置。

背景技術

近年來，云計算技術正在快速地發展。云計算是一種基于因特網的計算方式，通過這種方式，共享的軟硬件資源和信息可以按需提供給用戶。

圖1示出了現有的云計算架構的一個例子的示意圖。如圖1所示，基礎設施層使用虛擬化、數據庫存儲等技術為中間層準備所需的計算和存儲等資源，中間層使用多租戶(tenant)技術，能夠使單獨的應用為多個組織(租戶)服務。

在這種云計算架構中，通過虛擬化技術，能夠在一個物理服務器上生成多個虛擬機，并通過虛擬機管理器進行管理，從而可以降低成本、簡化管理。然而，由于在虛擬化技術中，物理資源對于分別屬于多個用戶的多個虛擬機是透明共享的，因此，會對安全性帶來負影響，例如導致濫用、影響機密性、完整性等。例如，惡意用戶可能利用屬于其的虛擬機以試圖竊取同一服務器的其它用戶的數據。

現有的用于云計算架構中的虛擬機之間的通信的安全機制提供了例如虛擬防火墻、虛擬機間的流量分析、訪問控制等技術。防火墻技術通過虛擬網絡分段來防止虛擬機之間的未授權通信。此外，作為訪問控制技術，為了防止虛擬機被竊取或未授權訪問，可以執行如TCP五元組(即源IP地址、目的IP地址、源端口、目的端口、協議)、安全組(例如資源池、文件夾、容器及其它vSphere分組等)的安全策略。

下面以圖1所示的云計算架構為例，描述現有的在云計算架構中創建虛擬機及保護虛擬機之間的通信的技術。如圖1所示，用戶A和用戶B分別針對同一應用創建各自的租戶，即租戶A和租戶B。在此，租戶是指用戶在執行某個應用時而生成的實例。這種針對同一應用而創建的租戶可被認為是具有相同類型的租戶。租戶A和租戶B分別向虛擬機管理器(VMM)發送請求以創建虛擬機。響應于來自租戶A和租戶B的請求，虛擬機管理器為它們各自創建一個或多個虛擬機，每個虛擬機被分配有虛擬IP地址。在圖1中，用VM_A₁、...、VM_A_k表示屬于租戶A的虛擬機，用VM_B₁、...、VM_B_m表示屬于租戶B的虛擬機。另外，用戶C針對另一個應用創建租戶C，因此，租戶C是與租戶A、租戶B不同類型的租戶。虛擬機管理器在接收了來自租戶C的創建虛擬機的請求后，為其創建一個或多個虛擬機，在圖中示為VM_C₁、...、VM_C_n。虛擬機管理器在創建虛擬機時，在數據庫中為虛擬機所屬的租戶的數據分配了數據存儲區域。在這種云計算架構中，由虛擬機管理器執行保護虛擬機之間的通信的安全策略。

在現有的用于虛擬機之間的通信的安全機制中，假定屬于相同類型的租戶的虛擬機所在的環境是可信任的，屬于不同類型的租戶的虛擬機通過例如虛擬防火墻、虛擬網絡分段等機制而彼此隔離。在這種情況下，屬于相同類型的租戶的虛擬機可以彼此通信，僅需執行云提供商或服務提供商所要求的缺省的訪問控制策略。例如，在圖1所示的云計算架構中，虛擬機VM_A1能夠與虛擬機VM_B1直接通信，因為它們屬于相同類型的租戶。然而，屬于不同類型的租戶的虛擬機之間在彼此通信之前需要執行安全策略。例如，在圖1所示的云計算架構中，當虛擬機VM_A1想要與虛擬機VM_C1通信時，由于它們分別屬于不同類型的租戶A和租戶C，因此，需要檢查虛擬機VM_A1是否被允許與虛擬機VM_C1進行通信。這可通過虛擬機管理器執行訪問控制策略來實現。只有在虛擬機VM_A1被授權與虛擬機VM_C1通信的情況下，虛擬機VM_A1才被允許與虛擬機VM_C1進行通信。然而，由于屬于相同類型的租戶的虛擬機之間可以無需執行安全策略地進行通信，因此，存在惡意用戶通過創建屬于某一類型的租戶的虛擬機來攻擊屬于相同類型的租戶的其它虛擬機并獲取相應的租戶數據的風險。

此外，現有的用于虛擬機之間的通信的安全機制是根據云提供商或服務提供商的安全策略而設置的，用戶并不能夠根據其安全需求而主動定制所需的安全級別以保護其網絡資源。例如，對于屬于相同類型的租戶A和租戶B，如果用戶A想要請求高的安全級別以保護租戶A的數據，則現有的安全機制不能根據用戶A的請求為租戶A的數據分配更安全的數據存儲區域，也不能根據用戶A的請求來對請求與屬于租戶A的虛擬機通信的虛擬機進行高級別的安全訪問控制，而只能根據云提供商或服務提供商的安全策略設置租戶A的安全機制。

發明內容