[發明專利]一種管理虛擬機的隔離方法及裝置

有效

• 申請號: 201410110050.5
• 申請日: 2014-03-24
• 公開（公告）號: CN104951694B
• 公開（公告）日: 2018-04-10
• 發明（設計）人: 涂彬;陳海波;夏虞斌
• 申請（專利權）人: 華為技術有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53
• 代理公司: 北京中博世達專利商標代理有限公司11274
• 代理人: 申健

技術領域

本發明涉及計算機技術領域，尤其涉及一種管理虛擬機的隔離方法及裝置。

背景技術

近年來，隨著云計算的發展，作為其基礎支撐技術之一的虛擬化技術也得到了廣泛應用。利用虛擬化技術可以實現在一臺物理主機上同時運行多個虛擬機，這樣，可以提高資源的利用率和分配靈活性，但是同時也帶來了安全隱患。如若一個虛擬機由于漏洞而影響到底層的虛擬機監控器（VMM，Virtual Machine Monitor），則同一物理主機上的其他虛擬機均會受到影響。

目前常用的Xen虛擬化系統中的物理主機都包含兩個關鍵組件：Hypervisor（虛擬機管理器）和domain-0（Xen平臺的管理虛擬機），其中，由于大量的漏洞一般會出現在domain-0的代碼中，因此，為了避免一個虛擬機的漏洞影響該虛擬機所處的物理主機上的其他虛擬機，對domain-0進行隔離并保證domain-0的安全已成為一個亟待解決的問題。

現有技術中，可通過將domain-0中的某些服務組件從domain-0中分離出來，并將該某些服務組件分別放入其他不同的獨立虛擬機中運行，以實現domain-0中該某些服務組件之間的隔離，從而保證domain-0的安全。

然而，上述通過不同虛擬機保證domain-0安全的方法中，一方面，由于domain-0中的某些服務組件之間的通信方式由原來的進程間通信變為虛擬機間通信，從而導致該某些服務組件之間的通信性能下降，且增加了虛擬機運行所需的資源；另一方面，由于未涉及到服務組件的級別，因此，導致domain-0中服務組件的安全性較低。

發明內容

本發明的實施例提供一種管理虛擬機的隔離方法及裝置，解決了服務組件之間的通信性能較差，虛擬機運行所需的資源較多，以及服務組件的安全性較低的問題。

為達到上述目的，本發明的實施例采用如下技術方案：

第一方面，本發明提供一種管理虛擬機的隔離方法，包括：

獲取客戶標識；

根據所述客戶標識，在所述管理虛擬機中查找與所述客戶標識對應的內核虛擬機；

若在所述管理虛擬機中未查找到所述內核虛擬機，則在所述管理虛擬機中創建所述內核虛擬機；

將所述內核虛擬機為客戶虛擬機提供的服務分解為多個服務組件，所述客戶虛擬機為與所述客戶標識對應的虛擬機；

將所述多個服務組件分別運行在與該服務組件所具有的權限對應的執行環境中，其中，所述內核虛擬機包括多個執行環境，所述多個執行環境分別具有不同的權限。

在第一方面的第一種可能的實現方式中，若在所述管理虛擬機中查找到所述內核虛擬機，則所述方法還包括：

由所述內核虛擬機獲取虛擬機管理器發送的指示消息，所述指示消息為所述客戶虛擬機發送至所述虛擬機管理器，并由所述虛擬機管理器根據所述指示消息中攜帶的所述客戶標識，確定出與所述客戶標識對應的所述內核虛擬機后向所述內核虛擬機所發送的，所述指示消息用于指示所述客戶虛擬機所需的服務；

由所述內核虛擬機根據所述指示消息中攜帶的服務請求信息響應所述客戶虛擬機所需的服務。

在第一方面的第二種可能的實現方式中，所述獲取客戶標識，包括：

獲取請求消息，所述請求消息中攜帶所述客戶標識，所述請求消息用于請求創建所述客戶虛擬機；

從所述請求消息中獲取所述客戶標識；

所述方法還包括：

根據所述請求消息創建與所述客戶標識對應的所述客戶虛擬機。

結合前述的第一方面或第一方面的第一種可能的實現方式至第二種可能的實現方式中的任一種實現方式，在第三種可能的實現方式中，所述將所述內核虛擬機為客戶虛擬機提供的服務分解為多個服務組件，包括：

根據所述內核虛擬機的功能，將所述服務的代碼分解為多個功能代碼塊；

將所述多個功能代碼塊分別運行于多個服務進程中，以形成多個服務組件，其中，所述多個功能代碼塊與所述多個服務進程一一對應。

結合前述的第一方面或第一方面的第一種可能的實現方式至第三種可能的實現方式中的任一種實現方式，在第四種可能的實現方式中，所述將所述多個服務組件分別運行在與該服務組件所具有的權限對應的執行環境中，包括：

根據所述多個服務組件的權限，對所述多個服務組件進行分組，以使得不同分組的服務組件具有不同的權限；

將所述多個服務組件中的不同分組的服務組件分別運行在與該組服務組件所具有的權限對應的執行環境中。