[發明專利]一種可信虛擬化平臺管理系統與方法

在審

• 申請號: 202010154802.3
• 申請日: 2020-03-08
• 公開（公告）號: CN111475813A
• 公開（公告）日: 2020-07-31
• 發明（設計）人: 苗瓊
• 申請（專利權）人: 蘇州浪潮智能科技有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/54;G06F21/64;H04L9/08;H04L29/06;H04L29/08
• 代理公司: 濟南誠智商標專利事務所有限公司 37105
• 代理人: 李修杰

1.一種可信虛擬化平臺管理系統，其特征在于，所述系統包括：

可信虛擬化管理端、服務端；

所述可信虛擬化管理端與服務端通過SSL通道進行通信；

所述可信虛擬化管理端包括：Web管理端模塊、遠程證明模塊以及數據傳輸接口模塊；

所述Web管理端模塊用于物理機操作系統和虛擬機操作系統的可信數據以及可信狀態進行管理、對服務端的簽名密鑰公鑰進行管理以及對虛擬機鏡像和實例的管理；

所述遠程證明模塊用于在管理端與服務端進行數據交互前通過驗證度量報告以及度量日志來驗證服務端平臺的可信狀態；

所述數據傳輸接口模塊用于提供數據傳輸接口。

2.根據權利要求1所述的一種可信虛擬化平臺管理系統，其特征在于，所述Web管理端模塊包括可信數據管理子模塊、密鑰管理子模塊以及配置管理子模塊。

3.根據權利要求2所述的一種可信虛擬化平臺管理系統，其特征在于，所述可信數據管理子模塊包括基準值管理單元以及度量管理單元；

所述基準值管理單元用于刪除、查詢物理機操作系統和虛擬機操作系統基準值；

所述度量管理單元用于查看度量值、管理度量配置文件以及管理可信狀態；所述查看度量值包括查看物理機操作系統和虛擬機操作系統度量值、度量日志以及度量報告的存儲位置；所述管理度量配置文件包括為指定的物理機操作系統和虛擬機操作系統生成度量配置文件并下發給所在服務器；所述管理可信狀態包括查看物理機操作系統和虛擬機操作系統最近一次啟動的可信狀態。

4.根據權利要求1所述的一種可信虛擬化平臺管理系統，其特征在于，所述配置管理子模塊包括鏡像管理單元和虛擬機管理單元；

所述鏡像管理單元用于查看特定主機上的鏡像信息；

所述虛擬機管理單元用于通過Web管理端啟動、關閉、重啟虛擬機以及查看當前正在運行的虛擬機實例及其可信狀態。

5.一種可信虛擬化平臺管理方法，其特征在于，所述方法包括以下操作：

管理端收集服務端的基準值信息，并導入到基準值數據庫中，對可信數據以及可信狀態進行管理；

服務端利用管理端提供的公鑰對簽名密鑰進行加密簽名，并存儲于密鑰數據庫中；

在管理端與服務端進行數據交互前通過密鑰數據庫中的密鑰以及基準值數據庫中的PCR參考值以及參考日志驗證度量報告以及度量日志來驗證服務端平臺的可信狀態。

6.根據權利要求5所述的一種可信虛擬化平臺管理方法，其特征在于，所述管理端收集服務端的基準值信息并導入到基準值數據庫中具體操作如下：

在需要導出基準值的主機或虛擬機上運行基準值收集代理程序，導出xml格式的基準值報告，并將報告拷貝到管理端，使用管理端上安裝的基準值導入程序將這些收集的基準值導入數據庫中。

7.根據權利要求5所述的一種可信虛擬化平臺管理方法，其特征在于，所述服務端利用管理端提供的公鑰對簽名密鑰進行加密簽名并存儲于密鑰數據庫中具體操作如下：

將管理端TPM生成的簽名密鑰公鑰以安全的途徑提供給服務端；

服務端利用自身TPM生成簽名密鑰，并使用管理端提供的公鑰對該簽名密鑰的公鑰加密簽名；

將加密簽名之后的公鑰以安全的傳輸通道上傳給管理端；

管理端驗證簽名無誤之后，將加密后的服務端公鑰存儲至密鑰數據庫中。

8.根據權利要求5所述的一種可信虛擬化平臺管理方法，其特征在于，所述管理端與服務端通過SSL通道進行通信。

9.一種可信虛擬化平臺管理設備，其特征在于，包括：

存儲器，用于存儲計算機程序；

處理器，用于執行所述計算機程序，以實現根據權利要求5至8任意一項所述的可信虛擬化平臺管理方法。

10.一種可讀存儲介質，其特征在于，用于保存計算機程序，其中，所述計算機程序被處理器執行時實現根據權利要求5至8任意一項所述的可信虛擬化平臺管理方法。