[發明專利]云環境中機密數據的自動化管理

有效

• 申請號: 201580065658.3
• 申請日: 2015-10-23
• 公開（公告）號: CN107003815B
• 公開（公告）日: 2020-03-17
• 發明（設計）人: M.布羅伊爾;I.戈德伯格;T.米格;E.魯格爾;M.瑟爾
• 申請（專利權）人: 國際商業機器公司
• 主分類號: G06F3/06
• 分類號: G06F3/06
• 代理公司: 北京市柳沈律師事務所 11105
• 代理人: 萬里晴

1.一種用于在共享聯網環境中存儲數據的方法(100)，所述共享聯網環境(610)包括在共享聯網存儲裝置和共享聯網存儲訪問接口(602)之間的安全層(612)，所述方法(100)包括：

-將包括所述安全層(612)的共享聯網存儲裝置與密鑰保管庫系統(604)物理分離(102)，

-接收(104)存儲請求、連同要存儲在所述共享聯網存儲器中的數據、連同機密等級，其中所述存儲請求連同所述數據和所述機密等級被所述安全層(612)經由所述共享聯網存儲訪問接口(602)接收，

-由密鑰保管庫系統(604)根據所述安全層(612)的請求將要存儲的數據和所述機密等級加密(106)到數據容器(608,904)中，

-將所述共享聯網存儲裝置分類(108)為云區，其中每個云區被分配信任級別；

-將所述數據容器(608,904)存儲(110)在所述共享聯網存儲裝置的一個云區中，使得所述一個云區的信任級別對應于所述機密等級；

-通過如下步驟由所述密鑰保管庫系統(604)驗證所述存儲請求是否符合可配置策略：

-驗證所述安全層(612)被信任用于通信，并且通過基于證書的加密來保護安全層(612)和密鑰保管庫系統(604)之間的傳輸通道，并且

-在肯定驗證的情況下，創建包括所述授權的傳送票證，請求存儲請求者信息和關于要存儲的數據的元數據、所述安全層(612)的簽名和存儲請求的到期時間，并且在將所述傳送票證發送回所述安全層(612)之前對所述傳送票證進行簽名。

2.根據權利要求1所述的方法(100)，其中，所述接收所述存儲請求還包括授權所述安全層(612)。

3.根據權利要求1所述的方法(100)，其中，所述接收所述存儲請求還包括：

-授權所述請求的發送者(606)。

4.根據權利要求1所述的方法(100)，其中在所述安全層(612)和所述密鑰保管庫系統(604)之間發送的消息被加密。

5.根據權利要求1所述的方法(100)，其中由所述安全層(612)可傳送和/或可接收的消息被加密。

6.根據權利要求1所述的方法(100)，還包括：

-在由所述安全層(612)從所述密鑰保管庫系統(604)接收到所述傳送票證時，在所述密鑰保管庫系統(604)根據所述安全層(612)的請求對要存儲的數據進行加密之前驗證所述密鑰保管庫的簽名以及安全層(612)的簽名，其中所述對數據的加密的請求包括所述傳送票證和要存儲的數據。

7.根據權利要求6所述的方法(100)，還包括：

-在通過所述密鑰保管庫系統(604)接收到所述傳送票證的驗證時，

-驗證所述傳送票證的簽名和所述存儲請求的到期時間，

-驗證嵌入在所述傳送票證中的所述安全層(612)的簽名是否匹配要存儲的數據的文件內容的加密，以及

-驗證要存儲的數據的文件標識符是否匹配要傳送的實際文件。

8.根據權利要求1所述的方法(100)，還包括

通過如下步驟來從所述云存儲裝置中提取數據：

-由所述密鑰保管庫系統(604)使用所述數據的機密等級來確定所述請求者是可信目標。

9.根據權利要求1所述的方法(100)，還包括：

通過如下步驟將存儲的數據從云存儲裝置的第一云區傳送到第二云區：

-驗證所述存儲的數據的機密等級是否匹配對應的所述信任級別，以及

-拒絕將存儲的數據從第一云區傳送到第二云區。

10.根據權利要求1所述的方法(100)，其中，基于要存儲的數據的內容來確定所述機密等級。