[發明專利]一種云計算系統數據隔離的方法、裝置及終端

在審

• 申請號: 201310506847.2
• 申請日: 2013-10-24
• 公開（公告）號: CN104580314A
• 公開（公告）日: 2015-04-29
• 發明（設計）人: 黃斐一
• 申請（專利權）人: 中國移動通信集團廣東有限公司
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/06;G06F9/455
• 代理公司: 北京銀龍知識產權代理有限公司 11243
• 代理人: 許靜;黃燦

技術領域

本發明涉及通信領域，特別涉及一種云計算系統數據隔離的方法、裝置及終端。

背景技術

在云計算系統中，多租戶是其典型的運行方式，即不同的用戶使用同一個云計算系統存儲他們的敏感數據。在這種情況下，來自不同用戶的數據需要嚴格的隔離開來，而屬于同一個用戶之間的數據則需要無縫互聯。

在現有的解決方案中，數據加密是比較直接可行的技術。它可以通過用戶自加密的方式來解決，即每個用戶對存儲入云計算系統中的數據采取先加密再上傳的方式對數據的機密性進行保護。在這種情況下，即使用戶數據泄露了，非授權者也無法輕易獲取數據中包含的敏感信息。

除了用戶自加密以外，基于屬性的加密技術是相對比較高級的數據保護方式。它通過為一個文件設置不同的屬性，每一個屬性相當于一把獨立的鑰匙，這把鑰匙只能從這個文件中解開和這個屬性向對應的信息。

現有的數據隔離技術存在著如下缺點：

對于用戶自加密技術來說，盡管實現簡單，但會增加用戶的操作復雜度和數據維護復雜度。盡管使用的云計算系統代為保存敏感信息，用戶仍然需要為自己數據的機密性負責。

對于基于屬性的數據加密來說，它是一種成本相對較高的加密方式，它需要一個集中式的認證中心保證對用戶屬性的認證和鑒權。在另外一方面，基于屬性的數據加密技術適用于用戶之間共享同一文件時敏感信息的隔離，而不是文件本身的隔離。

發明內容

本發明要解決的技術問題是提供一種云計算系統數據隔離的方法、裝置及終端，針對不同的用戶進行數據隔離，保障用戶存儲數據的安全，使簡單易行，降低成本。

為解決上述技術問題，本發明的實施例提供一種云計算系統數據隔離的方法，包括：

為登陸云計算系統的用戶創建虛擬信任域，其中，所述虛擬信任域包括：為同一用戶分配的至少一個虛擬機；

根據所述虛擬信任域中為同一用戶分配的虛擬機，創建所述用戶的信息表；其中，所述用戶的信息表包括：用戶信息以及為該用戶分配的虛擬機的屬性信息；

當接收到虛擬機之間的通信請求時，根據所述用戶的信息表，判斷主叫虛擬機與被叫虛擬機是否屬于同一用戶，得到判斷結果；

當所述判斷結果為是時，允許所述主叫虛擬機與所述被叫虛擬機之間的通信；

當所述判斷結果為否時，禁止所述主叫虛擬機與所述被叫虛擬機之間的通信。

其中，所述虛擬機的屬性信息至少包括：虛擬機所屬用戶、駐留的物理主機、虛擬介質訪問控制vMAC地址和/或虛擬網間協議vIP地址。

其中，上述云計算系統數據隔離的方法還包括：

當所述虛擬信任域中的虛擬機發生變化時，根據所述變化更新所述用戶的信息表。

其中，允許所述主叫虛擬機與所述被叫虛擬機之間的通信的步驟具體包括：

生成一對公私密鑰，并將公鑰賦予所述被叫虛擬機，將私鑰賦予所述主叫虛擬機；

所述被叫虛擬機根據所述公私密鑰驗證所述主叫虛擬機合法后，允許所述主叫虛擬機與所述被叫虛擬機之間的通信。

其中，所述主叫虛擬機與所述被叫虛擬機之間通過所述虛擬信任域中為虛擬機之間預先建立的可信直聯隧道進行通信。

其中，所述直聯隧道為基于vMAC地址的二層隧道或基于vIP地址的三層隧道。

為解決上述技術問題，本發明的實施例還提供一種云計算系統數據隔離的裝置，包括：

第一創建模塊，用于為登陸云計算系統的用戶創建虛擬信任域，其中，所述虛擬信任域包括：為同一用戶分配的至少一個虛擬機；

第二創建模塊，用于根據所述虛擬信任域中為同一用戶分配的虛擬機，創建所述用戶的信息表；其中，所述用戶的信息表包括：用戶信息以及為該用戶分配的虛擬機的屬性信息；

判斷模塊，用于當接收到虛擬機之間的通信請求時，根據所述用戶的信息表，判斷主叫虛擬機與被叫虛擬機是否屬于同一用戶，得到判斷結果；

第一執行模塊，用于當所述判斷結果為是時，允許所述主叫虛擬機與所述被叫虛擬機之間的通信；

第二執行模塊，用于當所述判斷結果為否時，禁止所述主叫虛擬機與所述被叫虛擬機之間的通信。

其中，所述虛擬機的屬性信息至少包括：虛擬機所屬用戶、駐留的物理主機、虛擬介質訪問控制vMAC地址和/或虛擬網間協議vIP地址。

其中，上述云計算系統數據隔離的裝置還包括：

更新模塊，用于當所述虛擬信任域中的虛擬機發生變化時，根據所述變化更新所述用戶的信息表。

其中，所述第一執行模塊包括：