[發明專利]用于容器化的安全計算資源的方法和裝置

有效

• 申請號: 201780087812.6
• 申請日: 2017-10-12
• 公開（公告）號: CN110383240B
• 公開（公告）日: 2021-10-15
• 發明（設計）人: 羅志剛;尤里·波洛耶夫;艾倫·帕克-倫·霍
• 申請（專利權）人: 華為技術有限公司
• 主分類號: G06F9/00
• 分類號: G06F9/00
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 熊永強;李稷芳

1.一種計算設備，其特征在于，包括：

處理器，

存儲第一操作系統指令的第一存儲器，當由所述處理器執行時，該指令使得所述第一操作系統具有提供單獨執行環境的多個第一容器，所述多個第一容器中的每一個第一容器具有客戶端應用；

存儲第二操作系統指令的第二安全存儲器，當由所述處理器執行時，該指令使所述第二操作系統具有提供單獨執行環境的多個第二容器，所述多個第二容器中的每一個第二容器具有可信應用；以及

在安全訪問管理器處接收由所述多個第一容器中的一個第一容器中的客戶端應用發送的訪問請求，所述訪問請求包括標識所述客戶端應用的值、標識所述第一操作系統中的所述多個第一容器中的所述一個第一容器的值，標識所述可信應用中的一個可信應用的值和標識所述第二操作系統中的所述多個第二容器中的一個第二容器的值；以及

基于關于在所述可信應用和所述客戶端應用之間共享信息的容器訪問規則，選擇性地將所述訪問請求傳遞給所述可信應用中的所述一個可信應用。

2.根據權利要求1所述的計算設備，其特征在于，所述容器訪問規則包括所述第一操作系統中的所述多個第一容器與所述第二操作系統中的所述多個第二容器之間的一致性。

3.根據權利要求1所述的計算設備，其特征在于，其中，當所述處理器執行所述第一操作系統的所述指令時，使得訪問控制驅動添加所述值，所述值標識所述多個第一容器中的一個第一容器，其中，所述多個第一容器中的所述一個第一容器中的客戶端應用發送訪問請求。

4.根據權利要求3所述的計算設備，其特征在于，所述容器訪問規則取決于標識所述多個第一容器中的所述一個第一容器的所述值。

5.根據權利要求1所述的計算設備，其特征在于，所述第二操作系統中的所述多個第二容器中的第二容器具有所述可信應用的相應實例。

6.根據權利要求1所述的計算設備，其特征在于，所述訪問請求包括用于返回安全數據的請求。

7.根據權利要求1所述的計算設備，其特征在于，所述訪問請求包括使用安全計算資源執行操作的請求。

8.根據權利要求1所述的計算設備，其特征在于，其中所述容器訪問規則包括經授權訪問所述第二操作系統中的所述多個第二容器中的一個第二容器的一組所述客戶端應用的定義。

9.根據權利要求1所述的計算設備，其特征在于，所述第一操作系統定義富執行環境，所述第二操作系統定義可信執行環境，每種環境由Global Platform TEE系統架構定義。

10.一種計算設備上的訪問控制方法，該計算設備包括第一操作系統的第一存儲器存儲指令，當由處理器執行時，使所述第一操作系統具有提供單獨執行環境的多個第一容器，所述多個第一容器中的每一個第一容器具有客戶端應用，以及存儲第二操作系統指令的第二安全存儲器，當由所述處理器執行時，使所述第二操作系統具有提供單獨執行環境的多個第二容器，所述多個第二容器中的每一個第二容器具有可信應用，其特征在于，所述方法包括：

由所述多個第一容器之一中的一個第一容器中的客戶端應用發送訪問請求，所述訪問請求包括標識所述客戶端應用的值、標識所述第一操作系統中的所述多個第一容器中的所述一個第一容器的值，標識所述可信應用中的一個可信應用的值和標識所述第二操作系統中的所述多個第二容器中的一個第二容器的值；

在安全訪問管理器處接收所述訪問請求；

根據關于在所述可信應用和所述客戶端應用之間共享信息的容器訪問規則，選擇性地將所述訪問請求傳遞給所述可信應用中的所述一個可信應用。

11.根據權利要求10所述的方法，其特征在于，所述方法包括，通過訪問控制驅動添加所述值，所述值標識所述多個第一容器中的一個第一容器，其中，所述多個第一容器中的所述一個第一容器中的客戶端應用發送訪問請求。