[發明專利]多面計算實例身份

有效

• 申請號: 201580069293.1
• 申請日: 2015-12-18
• 公開（公告）號: CN107113300B
• 公開（公告）日: 2020-08-25
• 發明（設計）人: T·L·西格奈蒂;P·Z·博文;A·J·多內;A·E·朔夫
• 申請（專利權）人: 亞馬遜科技公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/44
• 代理公司: 中國國際貿易促進委員會專利商標事務所 11038
• 代理人: 吳信剛

1.一種使用計算實例身份的系統，包括：

提供商網絡的虛擬計算服務的多個實例主機，至少包括第一實例主機，所述第一實例主機包括一個或多個計算實例；

其中所述一個或多個計算實例中的特定計算實例被配置為：

響應于來自與第一應用相關聯的第一認證者的第一身份查詢，提供在第一實例身份命名空間(IIN)內指派給所述特定計算實例的第一可加密核實身份(CVI)的指示，其中所述第一CVI與為所述特定計算實例指定的加密密鑰對相關聯，其中所述加密密鑰對的私有密鑰由安全密鑰存儲區管理，所述安全密鑰存儲區被配置為防止將所述私有密鑰拷貝到所述安全密鑰存儲區外部的位置，且其中所述虛擬計算服務使得所述特定計算實例能夠使用所述私有密鑰來提供所述第一CVI的所述指示；

響應于所述第一CVI已由所述第一認證者接受的確定，執行所述第一應用的一個或多個操作；

響應于來自與第二應用相關聯的第二認證者的第二身份查詢，提供在不同IIN內指派給所述特定計算實例的不同CVI的指示；以及

響應于所述第二CVI已由所述第二認證者接受的確定，執行所述第二應用的一個或多個操作。

2.根據權利要求1所述的系統，其中所述特定計算實例進一步被配置為：

調用由所述第一實例主機的虛擬化管理部件實施的編程接口以獲得包括在所述第一CVI的所述指示中的至少一個工件。

3.根據權利要求1所述的系統，其中所述安全密鑰存儲區包括以下各項中的一者：(a)提供商網絡的安全性服務的硬件安全性模塊，或(b)附接到所述第一實例主機的通信總線的外圍裝置。

4.根據權利要求1所述的系統，其中所述第一CVI包括以下各項中的一者或多者：(a)所述特定計算實例的至少部分地基于指派給所述特定計算實例的虛擬IP(因特網協議)地址的DNS(域名系統)名稱、(b)指派給所述特定計算實例的公共IP地址、(c)指派給所述特定計算實例的私有IP地址、(d)來自VCS定義的命名空間的由所述提供商網絡的所述虛擬計算服務(VCS)指派給所述特定計算實例的唯一名稱、(e)由所述提供商網絡的客戶從客戶定義的命名空間選擇的唯一名稱、(f)由所述提供商網絡的客戶從VCS定義的命名空間選擇的名稱、(g)由所述提供商網絡的客戶選擇的DNS名稱、或(h)在由第三方定義的命名空間內指派給所述特定計算實例的名稱。

5.一種使用計算實例身份的方法，其包括：

在提供商網絡處的虛擬計算服務的實例主機處啟動一個或多個計算實例；

在所述一個或多個計算實例中的第一計算實例處接收第一身份查詢；

響應于所述第一身份查詢從所述第一計算實例提供在第一實例身份命名空間(IIN)內指派給所述第一計算實例的第一可加密核實身份(CVI)的指示，其中所述第一CVI與加密密鑰對相關聯，其中所述加密密鑰對的私有密鑰由被配置為防止所述私有密鑰的拷貝的安全密鑰存儲區管理，并且其中所述虛擬計算服務使得所述第一計算實例能夠使用所述私有密鑰來提供所述第一CVI的所述指示；

在所述第一計算實例處接收第二身份查詢；以及

響應于所述第二身份查詢從所述第一計算實例提供在不同IIN內指派給所述第一計算實例的不同CVI的指示。

6.根據權利要求5所述的方法，其中所述第一CVI的所述指示包括根據公共密鑰基礎設施(PKI)標準格式化的第一證書。

7.根據權利要求5所述的方法，其進一步包括：

由所述第一計算實例調用由所述實例主機的虛擬化管理部件實施的編程接口以獲得包括在所述第一CVI的所述指示中的工件的至少一部分。

8.根據權利要求5所述的方法，其中所述第二CVI與不同的加密密鑰對相關聯。

9.根據權利要求5所述的方法，其中所述安全密鑰存儲區包括以下各項中的一者：(a)提供商網絡的安全性服務的硬件安全性模塊，或(b)附接到所述實例主機的通信總線的外圍裝置。