一種云計算系統(tǒng)數(shù)據(jù)隔離的方法、裝置及終端的制作方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及通信領(lǐng)域，特別涉及一種云計算系統(tǒng)數(shù)據(jù)隔離的方法、裝置及終端。
【背景技術(shù)】
[0002]在云計算系統(tǒng)中，多租戶是其典型的運行方式，即不同的用戶使用同一個云計算系統(tǒng)存儲他們的敏感數(shù)據(jù)。在這種情況下，來自不同用戶的數(shù)據(jù)需要嚴(yán)格的隔離開來，而屬于同一個用戶之間的數(shù)據(jù)則需要無縫互聯(lián)。
[0003]在現(xiàn)有的解決方案中，數(shù)據(jù)加密是比較直接可行的技術(shù)。它可以通過用戶自加密的方式來解決，即每個用戶對存儲入云計算系統(tǒng)中的數(shù)據(jù)采取先加密再上傳的方式對數(shù)據(jù)的機密性進行保護。在這種情況下，即使用戶數(shù)據(jù)泄露了，非授權(quán)者也無法輕易獲取數(shù)據(jù)中包含的敏感信息。
[0004]除了用戶自加密以外，基于屬性的加密技術(shù)是相對比較高級的數(shù)據(jù)保護方式。它通過為一個文件設(shè)置不同的屬性，每一個屬性相當(dāng)于一把獨立的鑰匙，這把鑰匙只能從這個文件中解開和這個屬性向?qū)?yīng)的信息。
[0005]現(xiàn)有的數(shù)據(jù)隔離技術(shù)存在著如下缺點:
[0006]對于用戶自加密技術(shù)來說，盡管實現(xiàn)簡單，但會增加用戶的操作復(fù)雜度和數(shù)據(jù)維護復(fù)雜度。盡管使用的云計算系統(tǒng)代為保存敏感信息，用戶仍然需要為自己數(shù)據(jù)的機密性負責(zé)。
[0007]對于基于屬性的數(shù)據(jù)加密來說，它是一種成本相對較高的加密方式，它需要一個集中式的認證中心保證對用戶屬性的認證和鑒權(quán)。在另外一方面，基于屬性的數(shù)據(jù)加密技術(shù)適用于用戶之間共享同一文件時敏感信息的隔離，而不是文件本身的隔離。

【發(fā)明內(nèi)容】

[0008]本發(fā)明要解決的技術(shù)問題是提供一種云計算系統(tǒng)數(shù)據(jù)隔離的方法、裝置及終端，針對不同的用戶進行數(shù)據(jù)隔離，保障用戶存儲數(shù)據(jù)的安全，使簡單易行，降低成本。
[0009]為解決上述技術(shù)問題，本發(fā)明的實施例提供一種云計算系統(tǒng)數(shù)據(jù)隔離的方法，包括:
[0010]為登陸云計算系統(tǒng)的用戶創(chuàng)建虛擬信任域，其中，所述虛擬信任域包括:為同一用戶分配的至少一個虛擬機；
[0011]根據(jù)所述虛擬信任域中為同一用戶分配的虛擬機，創(chuàng)建所述用戶的信息表；其中，所述用戶的信息表包括:用戶信息以及為該用戶分配的虛擬機的屬性信息；
[0012]當(dāng)接收到虛擬機之間的通信請求時，根據(jù)所述用戶的信息表，判斷主叫虛擬機與被叫虛擬機是否屬于同一用戶，得到判斷結(jié)果；
[0013]當(dāng)所述判斷結(jié)果為是時，允許所述主叫虛擬機與所述被叫虛擬機之間的通信；
[0014]當(dāng)所述判斷結(jié)果為否時，禁止所述主叫虛擬機與所述被叫虛擬機之間的通信。
[0015]其中，所述虛擬機的屬性信息至少包括:虛擬機所屬用戶、駐留的物理主機、虛擬介質(zhì)訪問控制vMAC地址和/或虛擬網(wǎng)間協(xié)議vIP地址。
[0016]其中，上述云計算系統(tǒng)數(shù)據(jù)隔離的方法還包括:
[0017]當(dāng)所述虛擬信任域中的虛擬機發(fā)生變化時，根據(jù)所述變化更新所述用戶的信息表。
[0018]其中，允許所述主叫虛擬機與所述被叫虛擬機之間的通信的步驟具體包括:
[0019]生成一對公私密鑰，并將公鑰賦予所述被叫虛擬機，將私鑰賦予所述主叫虛擬機；
[0020]所述被叫虛擬機根據(jù)所述公私密鑰驗證所述主叫虛擬機合法后，允許所述主叫虛擬機與所述被叫虛擬機之間的通信。
[0021]其中，所述主叫虛擬機與所述被叫虛擬機之間通過所述虛擬信任域中為虛擬機之間預(yù)先建立的可信直聯(lián)隧道進行通信。
[0022]其中，所述直聯(lián)隧道為基于vMAC地址的二層隧道或基于VlP地址的三層隧道。
[0023]為解決上述技術(shù)問題，本發(fā)明的實施例還提供一種云計算系統(tǒng)數(shù)據(jù)隔離的裝置，包括:
[0024]第一創(chuàng)建模塊，用于為登陸云計算系統(tǒng)的用戶創(chuàng)建虛擬信任域，其中，所述虛擬信任域包括:為同一用戶分配的至少一個虛擬機；
[0025]第二創(chuàng)建模塊，用于根據(jù)所述虛擬信任域中為同一用戶分配的虛擬機，創(chuàng)建所述用戶的信息表；其中，所述用戶的信息表包括:用戶信息以及為該用戶分配的虛擬機的屬性信息；
[0026]判斷模塊，用于當(dāng)接收到虛擬機之間的通信請求時，根據(jù)所述用戶的信息表，判斷主叫虛擬機與被叫虛擬機是否屬于同一用戶，得到判斷結(jié)果；
[0027]第一執(zhí)行模塊，用于當(dāng)所述判斷結(jié)果為是時，允許所述主叫虛擬機與所述被叫虛擬機之間的通信；
[0028]第二執(zhí)行模塊，用于當(dāng)所述判斷結(jié)果為否時，禁止所述主叫虛擬機與所述被叫虛擬機之間的通信。
[0029]其中，所述虛擬機的屬性信息至少包括:虛擬機所屬用戶、駐留的物理主機、虛擬介質(zhì)訪問控制vMAC地址和/或虛擬網(wǎng)間協(xié)議vIP地址。
[0030]其中，上述云計算系統(tǒng)數(shù)據(jù)隔離的裝置還包括:
[0031]更新模塊，用于當(dāng)所述虛擬信任域中的虛擬機發(fā)生變化時，根據(jù)所述變化更新所述用戶的信息表。
[0032]其中，所述第一執(zhí)行模塊包括:
[0033]生成模塊，用于當(dāng)所述判斷結(jié)果為是時，生成一對公私密鑰，并將公鑰賦予所述被叫虛擬機，將私鑰賦予所述主叫虛擬機；
[0034]第一執(zhí)行子模塊，用于所述被叫虛擬機根據(jù)所述公私密鑰驗證所述主叫虛擬機合法后，允許所述主叫虛擬機與所述被叫虛擬機之間的通信。
[0035]為解決上述技術(shù)問題，本發(fā)明的實施例還提供一種終端，包括:如上所述的云計算系統(tǒng)數(shù)據(jù)隔離的裝置。
[0036]本發(fā)明的上述技術(shù)方案的有益效果如下:
[0037]本發(fā)明實施例的云計算系統(tǒng)數(shù)據(jù)隔離的方法，先為登陸云計算系統(tǒng)的用戶創(chuàng)建虛擬信任域，其中，該虛擬信任域包括為同一用戶分配的至少一個虛擬機，然后根據(jù)虛擬信任域中為同一用戶分配的虛擬機，創(chuàng)建用戶的信息表，該用戶的信息表包括用戶信息以及為該用戶分配的虛擬機的屬性信息，當(dāng)接收到虛擬機之間的通信請求時，根據(jù)用戶的信息表，判斷主叫虛擬機與被叫虛擬機是否屬于同一用戶，當(dāng)判斷結(jié)果為是時，允許主叫虛擬機與被叫虛擬機之間的通信，否則，禁止主叫虛擬機與被叫虛擬機之間的通信。針對不同的用戶進行數(shù)據(jù)隔離，保障了用戶存儲數(shù)據(jù)的安全，簡單易行，且降低了成本。
【附圖說明】
[0038]圖1為本發(fā)明云計算系統(tǒng)數(shù)據(jù)隔離的方法流程圖；
[0039]圖2為本發(fā)明云計算系統(tǒng)數(shù)據(jù)隔離的方法一具體實施例U型連通的示意圖；
[0040]圖3為本發(fā)明云計算系統(tǒng)數(shù)據(jù)隔離的方法一具體實施例的結(jié)構(gòu)示意圖；
[0041]圖4為本發(fā)明云計算系統(tǒng)數(shù)據(jù)隔離的方法一具體實施例的工作流程圖；
[0042]圖5為本發(fā)明云計算系統(tǒng)數(shù)據(jù)隔離的裝置結(jié)構(gòu)示意圖。
【具體實施方式】
[0043]為使本發(fā)明要解決的技術(shù)問題、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合附圖及具體實施例進行詳細描述。
[0044]本發(fā)明實施例的云計算系統(tǒng)數(shù)據(jù)隔離的方法，針對不同的用戶進行數(shù)據(jù)隔離，保障了用戶存儲數(shù)據(jù)的安全，簡單易行，且降低了成本。
[0045]如圖1-4所示，本發(fā)明實施例的云計算系統(tǒng)數(shù)據(jù)隔離的方法，包括:
[0046]步驟11，為登陸云計算系統(tǒng)的用戶創(chuàng)建虛擬信任域，其中，所述虛擬信任域包括:為同一用戶分配的至少一個虛擬機；
[0047]步驟12，根據(jù)所述虛擬信任域中為同一用戶分配的虛擬機，創(chuàng)建所述用戶的信息表；其中，所述用戶的信息表包括:用戶信息以及為該用戶分配的虛擬機的屬性信息；
[0048]步驟13，當(dāng)接收到虛擬機之間的通信請求時，根據(jù)所述用戶的信息表，判斷主叫虛擬機與被叫虛擬機是否屬于同一用戶，得到判斷結(jié)果；
[0049]步驟14，當(dāng)所述判斷結(jié)果為是時，允許所述主叫虛擬機與所述被叫虛擬機之間的通信；
[0050]步驟15，當(dāng)所述判斷結(jié)果為否時，禁止所述主叫虛擬機與所述被叫虛擬機之間的通信。
[0051]本發(fā)明實施例的云計算系統(tǒng)數(shù)據(jù)隔離的方法，先為登陸云計算系統(tǒng)的用戶創(chuàng)建虛擬信任域，其中，該虛擬信任域包括為同一用戶分配的至少一個虛擬機，然后根據(jù)虛擬信任域中為同一用戶分配的虛擬機，創(chuàng)建用戶的信息表，該用戶的信息表包括用戶信息以及為該用戶分配的虛擬機的屬性信息，當(dāng)接收到虛擬機之間的通信請求時，根據(jù)用戶的信息表，判斷主叫虛擬機與被叫虛擬機是否屬于同一用戶，當(dāng)判斷結(jié)果為是時，允許主叫虛擬機與被叫虛擬機之間的通信，否則，禁止主叫虛擬機與被叫虛擬機之間的通信。針對不同的用戶進行數(shù)據(jù)隔離，保障了用戶存儲數(shù)據(jù)的安全，簡單易行，且降低了成本。
[0052]本發(fā)明的具體實施例中，所述虛擬機的屬性信息至少包括:虛擬機所屬用戶、駐留的物理主機、虛擬介質(zhì)訪問控制vMAC地址和/或虛擬網(wǎng)間協(xié)議vIP地址。
[0053]具體的，用戶信息可以包括用戶姓名、用戶登陸名和/或用戶IP地址等能夠標(biāo)識用戶身份的信息。
[0054]其中，本發(fā)明實施例的云計算系統(tǒng)數(shù)據(jù)隔離的方法還可以包括:
[0055]當(dāng)所述虛擬信任域中的虛擬機發(fā)生變化時，根據(jù)所述變化更新所述用戶的信息表。
[0056]此時，用戶的信息表與為該用戶分配的虛擬機隨時保持同步，保證了虛擬機之間通訊判斷的準(zhǔn)確性，增加了實用性和安全性。
[0057]具體的，當(dāng)虛擬機發(fā)生漂移、增加、減少等變化時，根據(jù)虛擬機的變化更新用戶的信息表，使用戶的信息表與虛擬機保持同步，其中，虛擬機所屬用戶與IP地址是不隨著虛擬機的變化而變化的，可以作為虛擬機的身份標(biāo)識。
[0058]其中，允許所述主叫虛擬機與所述被叫虛擬機之間的通信的步驟具體包括:
[0059]生成一對公私密鑰，并將公鑰賦予所述被叫虛擬機，將私鑰賦予所述主叫虛擬機；
[0060]所述被叫虛擬機根據(jù)所述公私密鑰驗證所述主叫虛擬機合法后，允許所述主叫虛擬機與所述被叫虛擬機之間的通信。
[0061]此時，公私密鑰的設(shè)立加強了虛擬機之間的通信安全，避免了因誤判斷不同用戶的虛擬機屬于同一用戶而導(dǎo)致的數(shù)據(jù)泄露，增加了數(shù)據(jù)保護的安全性和合理性。
[0062]根據(jù)虛擬機的基本概念，駐留在同一物理主機上的虛擬機之間的互聯(lián)可以通過虛擬機管理器Hypervisor上的虛擬交換模塊來實現(xiàn),如威睿VMware和開放源代碼虛擬機監(jiān)視器XEN的虛擬交換vSwitch功能。在這種通信模式下,Hypervisor平臺的漏洞可能會導(dǎo)致旁路攻擊的現(xiàn)象發(fā)生，進而導(dǎo)致數(shù)據(jù)泄露。
[0063]因此，本發(fā)明的具體實施例中，所述主叫虛擬機與所述被叫虛擬機之間通過所述虛擬信任域中為虛擬機之間預(yù)先建立的可信直