[發明專利]一種虛擬機安全隔離方法

有效

• 申請號: 201710657661.5
• 申請日: 2017-08-03
• 公開（公告）號: CN107368354B
• 公開（公告）日: 2021-02-02
• 發明（設計）人: 鐘大江;杜朝暉;應志偉;方之熙
• 申請（專利權）人: 海光信息技術股份有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 徐麗

1.一種虛擬機安全隔離方法，其特征在于，所述方法包括：

步驟101：獲取虛擬機或者虛擬機管理器所請求的內存頁框的物理地址和CPU運行時虛擬機標簽；

步驟102：通過頁框地址檢查器查詢頁框屬性表，得到所述內存頁框的物理地址對應的虛擬機標簽；

步驟103：通過比較CPU運行時虛擬機標簽和查詢頁框屬性表得到的虛擬機標簽判斷是否允許所述虛擬機或者虛擬機管理器訪問所述內存頁框，

其中，所述步驟103具體包括：

步驟104：判斷所述查詢頁框屬性表得到的虛擬機標簽是否為共享頁框標識；

步驟105：判斷所述查詢頁框屬性表得到的虛擬機標簽和CPU運行時虛擬機標簽是否相等；

在步驟104和步驟105中任意步驟判斷為是，則允許訪問，否則拒絕訪問。

2.根據權利要求1所述的方法，其特征在于，所述頁框屬性表中包含多個條目，每個條目記錄一個內存頁框與允許訪問該內存頁框的虛擬機或虛擬機管理器的對應關系。

3.根據權利要求1所述的方法，其特征在于，所述查詢頁框屬性表具體包括，用所述物理地址減去系統主內存起始地址，得到的差除以頁框大小，再乘以頁框屬性表條目大小，最后再用得到的乘積加上頁框屬性表基址，找到該物理地址對應的頁框屬性表條目地址，從而取得對應的虛擬機標簽(VMID)。

4.根據權利要求1所述的方法，其特征在于，所述頁框屬性表的存儲位置包括：主內存中劃分出的一段連續或非連續物理內存，或者獨立于主內存外的一塊高速存儲器。

5.根據權利要求1所述的方法，其特征在于，所述頁框地址檢查器是一個硬件電路模塊。

6.根據權利要求1所述的方法，其特征在于，還包括步驟：初始化頁框屬性表和更新頁框屬性表。

7.根據權利要求6所述的方法，其特征在于，所述初始化頁框屬性表包括，當系統冷啟動或重啟后，系統根據頁框屬性表的配置會把頁框屬性表的物理地址范圍空間告訴給安全處理器，當系統啟動完成后，僅由安全處理器將頁框屬性表中的內容初始化為默認值。

8.根據權利要求6所述的方法，其特征在于，所述更新頁框屬性表包括，虛擬機管理器刪除、增加或修改nPT(嵌套頁表)、sPT(影子頁表)或PT(頁表)條目，然后通知安全處理器，所述安全處理器將對頁框地址對應的頁框屬性表條目寫入更新后的虛擬機標簽(VMID)。