[發明專利]用于網絡環境中虛擬化鏡像的安全配置的系統和方法

有效

• 申請號: 201380019176.5
• 申請日: 2013-04-25
• 公開（公告）號: CN104221325B
• 公開（公告）日: 2018-01-26
• 發明（設計）人: 馬斯默·西威里尼;伊蓮·昌
• 申請（專利權）人: 思科技術公司
• 主分類號: H04L12/24
• 分類號: H04L12/24
• 代理公司: 北京東方億思知識產權代理有限責任公司11258
• 代理人: 李曉冬

1.一種用于在網絡環境中安全布置虛擬鏡像的方法，包括：

在網絡環境中，由在刀片中執行的啟動代理在所述刀片和配置服務器之間設立安全信道，其中所述刀片和所述配置服務器以多個參數互相認證和授權，其中所述啟動代理從在向所述刀片提供網絡連接性的交換機上執行的管理應用獲取；

通過所述安全信道從所述配置服務器向所述刀片下載虛擬機監視器VMM的鏡像，其中所述VMM能托管所述刀片上的多個虛擬機VM；以及

啟動所述鏡像以在所述刀片上實例化所述VMM。

2.如權利要求1所述的方法，其中所述啟動包括：

在所述刀片的存儲元件上加載所述鏡像；以及

向所述鏡像傳輸控制。

3.如權利要求1所述的方法，其中所述啟動包括：

通過添加守護進程來修改所述鏡像的根文件系統，從而使代理被包括在所述根文件系統中，其中所述代理可引發從所述配置服務器對對應于虛擬機的另一鏡像的下載。

4.如權利要求3所述的方法，其中所述代理被配置為創建啟動策略代理，所述啟動策略代理能夠聯系所述配置服務器以獲取所述另一鏡像。

5.如權利要求1所述的方法，其中所述多個參數包括鏡像參數、加密參數和網絡參數，其中所述鏡像參數包括鏡像名稱和路徑、內核、內核啟動選項、根文件系統和鏡像類型，其中所述加密參數包括熵、配置服務器公鑰、配置服務器私鑰、證書和與刀片服務器共享的密鑰，并且其中所述網絡參數包括刀片互聯網協議IP地址、網絡掩碼、網關IP地址、刀片標識符ID和配置服務器IP地址。

6.如權利要求1所述的方法，其中所述安全信道被使用傳輸層安全TLS協議設立。

7.如權利要求1所述的方法，其中所述鏡像被使用超文本傳輸協議安全HTTPS協議下載。

8.如權利要求1所述的方法，其中所述多個參數的至少一部分被從管理所述刀片的交換機取得。

9.如權利要求1所述的方法，還包括：

在所述交換機處攔截來自所述刀片的基本輸入/輸出系統BIOS的啟動請求；

以所述多個參數定制啟動代理代碼來生成啟動代理，其中所述啟動代理代碼對于刀片服務器中的所有刀片都是有效的；以及

響應于所述啟動請求向所述刀片傳輸所述啟動代理。

10.如權利要求9所述的方法，其中所述啟動代理的傳輸通過物理連接執行，所述物理連接是從由以下項組成的一組物理連接中選定的一個：

a)以太網連接；

b)光纖連接；以及

c)非以太網連接。

11.一種用于在網絡環境中安全布置虛擬鏡像的裝置，包括：

存儲元件，該存儲元件用于存儲數據；以及

處理器，該處理器執行與所述數據相關聯的指令，其中所述處理器和所述存儲元件合作以使所述裝置被配置用于：

在網絡環境中，由在刀片中執行的啟動代理在所述刀片和配置服務器之間設立安全信道，其中所述刀片和所述配置服務器以多個參數互相認證和授權，其中所述啟動代理從在向所述刀片提供網絡連接性的交換機上執行的管理應用獲??；

通過所述安全信道從所述配置服務器向所述刀片下載虛擬機監視器VMM的鏡像，其中所述VMM能托管所述刀片上的多個虛擬機VM；以及

啟動所述鏡像以在所述刀片上實例化所述VMM。

12.如權利要求11所述的裝置，其中所述啟動包括：

通過添加守護進程來修改所述鏡像的根文件系統，從而使代理被包括在所述根文件系統中，其中所述代理可引發從所述配置服務器對對應于虛擬機的另一鏡像的下載。

13.如權利要求11所述的裝置，其中所述多個參數包括鏡像參數、加密參數和網絡參數，并且其中所述網絡參數包括刀片互聯網協議IP地址、網絡掩碼、網關IP地址、刀片標識符ID和配置服務器IP地址。

14.如權利要求11所述的裝置，其中所述安全信道被使用傳輸層安全TLS協議設立。

15.如權利要求11所述的裝置，還被配置用于與能夠執行包括下述項的管理應用進行通信：

在所述交換機處攔截來自所述刀片的基本輸入/輸出系統BIOS的啟動請求；

以所述多個參數定制啟動代理代碼來生成啟動代理，其中所述啟動代理代碼對于刀片服務器中的所有刀片都是有效的；以及

響應于所述啟動請求向所述刀片傳輸所述啟動代理。