BR112016026035B1 - Dispositivo e métodos de aquisição de certificado - Google Patents

Abstract

MÉTODO E DISPOSITIVO DE AQUISIÇÃO DE CERTIFICADO A presente invenção descreve um método e dispositivo de aquisição de certificado, incluindo: receber (101), por um VNFM, uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado inclui informação de autenticação e informação de aplicação de certifica do que é utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e o VNFM; utilizar (102), pelo VNFM, a informação de autenticação para autenticar a instância de VNF, e quando a autenticação é bem sucedida, enviar uma mensagem de aplicação de certificado para uma CA, em que a mensagem de aplicação de certificado inclui a informação de aplicação de certificado que é utilizada para aplicação de certificado; e receber (103), pelo VNFM, um certificado emitido pela CA, e enviar o certificado para a instância de VNF. Desta forma, através de um enlace de confiança entre o VNFM e a autoridade de certificado, a instância de VNF instanciada solicita um certificado emitido pela autoridade de certificado, assim garantindo efetivamente a legalidade do certificado solicitado pela instância (...).

Description

CAMPO TÉCNICO

[001] A presente invenção refere-se ao campo de implantação de rede virtual e, em particular, a um método e dispositivo de obtenção de certificado.

FUNDAMENTOS

[002] Virtualização de função de rede (Network Function Virtualization, NFV) é uma organização de padronização fundada com o objetivo de "virtualizar redes convencionais" e desenvolveu um conjunto de padrões para implantação de rede em um ambiente virtualizado. Os padrões desenvolvidos pela organização de NFV podem implementar virtualização de rede, implantação flexível, e semelhantes.

[003] Uma arquitetura de rede virtual desenvolvida pela NFV inclui um sistema de gerenciamento de elementos (Element Management System, EMS), um orquestrador de NFV (NFV Orchestra, NFVO), uma instância de função de rede virtualizada (Virtual Network Function, VNF), um gerenciador de VNF (VNF Manager, VNFM), uma infraestrutura de NFV (Network Function Virtual Infrastructure, NFVI), e um gerenciador de infraestrutura virtualizada (Virtual Infrastructure Manager, VIM) em uma estrutura de trabalho de VNF.

[004] O EMS, que é um gerenciador de elementos de rede convencional, é configurado para gerenciar uma instância de VNF como um elemento de rede, em que a instância de VNF é obtida por instanciação; o NFVO é configurado para orquestrar uma VNF; a instância de VNF é um elemento de rede virtualizado que executa uma função de rede; o VNFM é configurado para gerenciar a VNF; a NFVI inclui recursos de computação virtualizados, recursos de armazenamento virtualizados, recursos de rede virtualizados e similares; o VIM é configurado para gerenciar a NFVI de acordo com as instruções do NFVO e do VNFM.

[005] O EMS ou o VNFM gerencia a VNF estabelecendo um canal de gerenciamento para a VNF. Para evitar que um usuário mal intencionado ataque uma rede, ambas as partes precisam ser autenticadas quando um canal de gerenciamento é estabelecido entre o EMS ou o VNFM e a VNF. Geralmente, a autenticação é realizada utilizando uma tecnologia de segurança de camada de transporte (isto é, utilizando um certificado). Isto é, um certificado é utilizado como uma prova de autenticação para realizar operações de autenticação em ambas as partes.

[006] No entanto, em uma rede convencional, maneiras de aquisição de um certificado incluem, mas não são limitadas às duas maneiras seguintes:

[007] Primeira maneira: Um certificado inicial ligado ao hardware é importado manualmente ou em instalação inicial do hardware ou software, e, em seguida, um certificado desejado é adquirido utilizando o certificado inicial e um protocolo de gerenciamento de certificados.

[008] No entanto, nas normas de NFV, uma VNF é gerada automaticamente em uma VM e é incapaz de obter um certificado na primeira maneira, o que leva à falta de segurança de um canal de gerenciamento estabelecido entre um EMS ou VNFM e a VNF.

[009] Segunda maneira: Quando um elemento de rede é gerado, um fornecedor do elemento de rede define um certificado de fornecedor no elemento de rede. Portanto, quando o elemento de rede é configurado inicialmente, o elemento de rede utiliza um protocolo de gerenciamento de certificados para solicitar um sistema de chave pública (Public Key Infrastructure, PKI) de um operador um certificado emitido pelo operador. Em um processo de solicitação do certificado, o elemento de rede utiliza o certificado de fornecedor como sua prova de identidade, de modo que a PKI confia no elemento de rede e emite o certificado de operador.

[010] No entanto, em um ambiente virtualizado, uma VNF é gerada dinamicamente e é, portanto, incapaz de pedir um certificado na segunda maneira, o que leva à falta de segurança de um canal de gerenciamento estabelecido entre um EMS ou VNFM e a VNF.

SUMÁRIO

[011] Em vista disso, as modalidades da presente invenção fornecem um método e dispositivo de aquisição de certificado para resolver um problema de má segurança de um canal de gerenciamento estabelecido entre um EMS ou um VNFM e uma VNF.

[012] De acordo com um primeiro aspecto da presente invenção, é fornecido um dispositivo de aquisição de certificado, incluindo: um módulo de recepção, configurado para receber uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado inclui informação de autenticação e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e um gerenciador de função de rede virtualizada VNF VNFM; e um módulo de envio, configurado para utilizar a informação de autenticação recebida pelo módulo de recepção para autenticar a instância de VNF, e quando a autenticação é bem sucedida, enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado inclui a informação de aplicação de certificado utilizada para aplicação de certificado; o módulo de recepção é ainda configurado para receber um certificado emitido pela CA; e o módulo de envio é ainda configurado para enviar o certificado recebido pelo módulo de recepção para a instância de VNF, em que o certificado é gerado pela CA de acordo com a informação de aplicação de certificado que é utilizada para aplicação de certificado e incluída na mensagem de aplicação de certificado.

[013] Com referência a uma forma possível de implementação do primeiro aspecto da presente invenção, em uma primeira forma possível de implementação, a informação de autenticação é um certificado temporário, em que o certificado temporário é solicitado a partir do VNFM quando um orquestrador de virtualização de função de rede NFVO determina uma necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[014] Com referência à primeira forma possível de implementação do primeiro aspecto da presente invenção, em uma segunda forma possível de implementação, o módulo de envio é especificamente configurado para: comparar um certificado temporário recebido com o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando é determinado que o certificado temporário recebido é o mesmo que o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação da instância de VNF é bem sucedida; ou quando é determinado que o certificado temporário recebido é diferente do certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação da instância de VNF falha.

[015] Com referência a uma forma possível de implementação do primeiro aspecto da presente invenção, em uma terceira forma possível de implementação, a informação de autenticação é uma chave pré-compartilhada PSK, em que a PSK é gerada quando um orquestrador de virtualização de função de rede NFVO determina uma necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[016] Com referência à terceira forma possível de implementação do primeiro aspecto da presente invenção, em uma quarta forma possível de implementação, o módulo de recepção é configurado especificamente para enviar a PSK para a instância de VNF e receber a mensagem de proxy de aplicação de certificado enviada pela instância de VNF, em que a mensagem de proxy de aplicação de certificado é enviada para o VNFM quando a instância de VNF determina que uma PSK localmente injetada é a mesma ou associada à PSK recebida enviada pelo VNFM.

[017] Com referência à quarta forma possível de implementação do primeiro aspecto da presente invenção, em uma quinta forma possível de implementação, o módulo de envio é especificamente configurado para: comparar a PSK recebida com uma PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando é determinado que a PSK recebida é a mesma ou relacionada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação da instância de VNF é bem sucedida; ou quando é determinado que a PSK recebida é diferente de ou não associada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação da instância de VNF falha.

[018] Com referência a uma forma possível de implementação do primeiro aspecto da presente invenção, ou com referência à primeira forma possível de implementação do primeiro aspecto da presente invenção, ou com referência à segunda forma possível de implementação do primeiro aspecto da presente invenção ou com referência à terceira forma possível de implementação do primeiro aspecto da presente invenção, ou com referência à quarta forma possível de implementação do primeiro aspecto da presente invenção, ou com referência à quinta forma possível de implementação do primeiro aspecto da presente invenção, em uma sexta forma possível de implementação, o dispositivo inclui ainda: um módulo de estabelecimento de canal, configurado para: quando o certificado é enviado para a instância de VNF, utilizar o certificado para estabelecer um canal de gerenciamento para a instância de VNF.

[019] De acordo com um segundo aspecto da presente invenção, é fornecido um dispositivo de aquisição de certificado, incluindo: um módulo de recepção, configurado para receber uma mensagem de proxy de aplicação de certificado enviada por um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, em que a mensagem de proxy de aplicação de certificado inclui uma instância de VNF que solicita aplicação de certificado, e informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado; e um módulo de envio, configurado para enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado inclui a informação de aplicação de certificado recebida pelo módulo de recepção e utilizada pela instância de VNF para aplicação de certificado; o módulo de recepção é ainda configurado para receber um certificado emitido pela CA; e o módulo de envio é ainda configurado para enviar o certificado recebido pelo módulo de recepção para o VIM, em que o certificado é gerado pela CA de acordo com a informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado e incluída na mensagem de aplicação de certificado.

[020] Com referência a uma forma possível de implementação do segundo aspecto da presente invenção, em uma primeira forma possível de implementação, a mensagem de proxy de aplicação de certificado é gerada pelo VIM de acordo com a informação de aplicação de certificado recebida, em que a informação de aplicação de certificado é obtida pela VNF de acordo com um parâmetro de inicialização e enviada pela instância de VNF para uma VM e, em seguida, enviada pela VM para o VIM através de um canal seguro para o VIM.

[021] Com referência à primeira forma possível de implementação do segundo aspecto da presente invenção, o segundo parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando um orquestrador de virtualização de função de rede NFVO determina instanciar a instância de VNF.

[022] De acordo com um terceiro aspecto da presente invenção, é fornecido um dispositivo de aquisição de certificado, incluindo: um módulo de recepção, configurado para receber uma mensagem de aplicação de certificado enviada por uma instância de função de rede virtualizada VNF, em que a mensagem de aplicação de certificado inclui um certificado temporário e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que o certificado temporário é solicitado a partir de uma CA quando um orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada; e um módulo de envio, configurado para utilizar o certificado temporário recebido pelo módulo de recepção para autenticar a instância de VNF e quando a autenticação é bem sucedida, emitir um certificado para a instância de VNF de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluída na mensagem de aplicação de certificado.

[023] De acordo com um quarto aspecto da presente invenção, é fornecido um dispositivo de aquisição de certificado, incluindo: um módulo de recepção, configurado para receber uma mensagem de aplicação de certificado enviada por uma máquina virtual VM, em que a mensagem de aplicação de certificado inclui uma chave pública utilizada para aplicação de certificado; e um módulo de envio, configurado para enviar uma mensagem de proxy de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de proxy de aplicação de certificado inclui a chave pública recebida pelo módulo de recepção e utilizada pela VM para aplicação de certificado; onde o módulo de recepção é ainda configurado para receber um certificado emitido pela CA; e o módulo de envio é ainda configurado para enviar o certificado recebido pelo módulo de recepção para a máquina virtual, em que o certificado é obtido pela CA através de assinatura de acordo com a chave pública utilizada pela VM para aplicação de certificado e incluída na mensagem de proxy de aplicação de certificado.

[024] Com referência a uma forma possível de implementação do quarto aspecto da presente invenção, em uma primeira forma possível de implementação, o módulo de envio é especificamente configurado para enviar a mensagem de proxy de aplicação de certificado para um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de função de rede virtualizada, de modo que o VIM encaminha a mensagem de proxy de aplicação de certificado para a autoridade de certificado CA.

[025] Com referência a uma forma possível de implementação do quarto aspecto da presente invenção, ou com referência à primeira forma possível de implementação do quarto aspecto da presente invenção, em uma segunda forma possível de implementação, o dispositivo inclui ainda: um módulo de estabelecimento de canal, configurado para: quando a VM recebe o certificado, estabelecer um canal de gerenciamento entre a VM e um gerenciador de VM.

[026] Com referência a uma forma possível de implementação do quarto aspecto da presente invenção, ou com referência à primeira forma possível de implementação do quarto aspecto da presente invenção, ou com referência à segunda forma possível de implementação do quarto aspecto da presente invenção, em uma terceira forma possível de implementação, a chave pública é gerada pela VM de acordo com um parâmetro de inicialização, em que o parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando o gerenciador de infraestrutura virtualizada VIM na estrutura de trabalho de função de rede virtualizada recebe uma instrução para gerar a VM, em que a instrução é enviada por um orquestrador de virtualização de função de rede NFVO.

[027] De acordo com um quinto aspecto da presente invenção, é fornecido um dispositivo de aquisição de certificado, incluindo: um receptor de sinal, configurado para receber uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado inclui informação de autenticação e informação de aplicação de certificado utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e um gerenciador de função de rede virtualizada VNF VNFM; e um transmissor de sinal, configurado para utilizar a informação de autenticação para autenticar a instância de VNF e quando a autenticação é bem sucedida, enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado inclui a informação de aplicação de certificado que é utilizada para aplicação de certificado; onde o receptor de sinal é ainda configurado para receber um certificado emitido pela CA; e o transmissor de sinal é ainda configurado para enviar o certificado para a instância de VNF, em que o certificado é gerado pela CA de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluída na mensagem de aplicação de certificado.

[028] Com referência a uma forma possível de implementação do quinto aspecto da presente invenção, em uma primeira forma possível de implementação, a informação de autenticação é um certificado temporário, em que o certificado temporário é solicitado a partir do VNFM quando um orquestrador de virtualização de função de rede NFVO determina uma necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[029] Com referência à primeira forma possível de implementação do quinto aspecto da presente invenção, em uma segunda forma possível de implementação, o transmissor de sinal é especificamente configurado para: comparar um certificado temporário recebido com o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando o VNFM determina que o certificado temporário recebido é o mesmo que o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação da instância de VNF é bem sucedida; ou quando o VNFM determina que o certificado temporário recebido é diferente do certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF falha.

[030] Com referência a uma forma possível de implementação do quinto aspecto da presente invenção, em uma terceira forma possível de implementação, a informação de autenticação é uma chave pré-compartilhada PSK, em que a PSK é gerada quando um orquestrador de virtualização de função de rede NFVO determina uma necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[031] Com referência à terceira forma possível de implementação do quinto aspecto da presente invenção, em uma quarta forma possível de implementação, o receptor de sinal é configurado especificamente para enviar a PSK para a instância de VNF e receber a mensagem de proxy de aplicação de certificado enviada pela instância de VNF, em que a mensagem de proxy de aplicação de certificado é enviada para o VNFM quando a instância de VNF determina que uma PSK localmente injetada é a mesma ou associada à PSK recebida.

[032] Com referência à quarta forma possível de implementação do quinto aspecto da presente invenção, em uma quinta forma possível de implementação, o transmissor de sinal é especificamente configurado para: comparar a PSK recebida com uma PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando é determinado que a PSK recebida é a mesma ou relacionada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação da instância de VNF é bem sucedida; ou quando é determinado que a PSK recebida é diferente de ou não associada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação da instância de VNF falha.

[033] Com referência a uma forma possível de implementação do quinto aspecto da presente invenção, ou com referência à primeira forma possível de implementação do quinto aspecto da presente invenção, ou com referência à segunda forma possível de implementação do quinto aspecto da presente invenção ou com referência à terceira forma possível de implementação do quinto aspecto da presente invenção, ou com referência à quarta forma possível de implementação do quinto aspecto da presente invenção, ou com referência à quinta forma possível de implementação do quinto aspecto da presente invenção, em uma sexta forma possível de implementação, o dispositivo inclui ainda: um processador, configurado para: quando o certificado é enviado para a instância de VNF, utilizar o certificado para estabelecer um canal de gerenciamento para a instância de VNF.

[034] De acordo com um sexto aspecto da presente invenção, é fornecido um dispositivo de aquisição de certificados, incluindo: um receptor de sinal, configurado para receber uma mensagem de proxy de aplicação de certificado enviada por um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, em que a mensagem de proxy de aplicação de certificado inclui uma instância de VNF que solicita aplicação de certificado, e informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado; e um transmissor de sinal, configurado para enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado inclui a informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado; em que o receptor de sinal é ainda configurado para receber um certificado emitido pela CA; e o transmissor de sinal é ainda configurado para enviar o certificado para o VIM, em que o certificado é gerado pela CA de acordo com a informação de aplicação de certificado que é utilizada pela instância de VNF para aplicação de certificado e incluída na mensagem de aplicação de certificado.

[035] Com referência a uma forma possível de implementação do sexto aspecto da presente invenção, em uma primeira forma possível de implementação, a mensagem de proxy de aplicação de certificado é gerada pelo VIM de acordo com a informação de aplicação de certificado recebida, em que a informação de aplicação de certificado é obtida pela VNF de acordo com um parâmetro de inicialização e enviada pela instância de VNF para uma VM e, em seguida, enviada pela VM para o VIM através de um canal seguro para o VIM.

[036] Com referência à primeira forma possível de implementação do sexto aspecto da presente invenção, o segundo parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando um organizador de virtualização de função de rede NFVO determina instanciar a instância de VNF.

[037] De acordo com um sétimo aspecto da presente invenção, é fornecido um dispositivo de aquisição de certificado, incluindo: um receptor de sinal, configurado para receber uma mensagem de aplicação de certificado enviada por uma instância de função de rede virtualizada VNF, em que a mensagem de aplicação de certificado inclui um certificado temporário e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que o certificado temporário é solicitado a partir de uma CA quando um orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada; e um processador, configurado para utilizar o certificado temporário para autenticar a instância de VNF e quando a autenticação é bem sucedida, emitir um certificado para a instância de VNF de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluída na mensagem de aplicação de certificado.

[038] De acordo com um oitavo aspecto da presente invenção, é fornecido um dispositivo de aquisição de certificado, incluindo: um receptor de sinal, configurado para receber uma mensagem de aplicação de certificado enviada por uma máquina virtual VM, em que a mensagem de aplicação de certificado inclui uma chave pública utilizada para aplicação de certificado; e um transmissor de sinal, configurado para enviar uma mensagem de proxy de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de proxy de aplicação de certificado inclui a chave pública utilizada pela VM para aplicação de certificado; onde o receptor de sinal é ainda configurado para receber um certificado emitido pela CA; e o transmissor de sinal é ainda configurado para enviar o certificado para a máquina virtual, em que o certificado é obtido pela CA através de assinatura de acordo com a chave pública utilizada pela VM para aplicação de certificado e incluído na mensagem de proxy de aplicação de certificado.

[039] Com referência a uma forma possível de implementação do oitavo aspecto da presente invenção, em uma primeira forma possível de implementação, o transmissor de sinal é especificamente configurado para enviar a mensagem de proxy de aplicação de certificado para um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de função de rede virtualizada, de modo que o VIM encaminha a mensagem de proxy de aplicação de certificado para a autoridade de certificado CA.

[040] Com referência a uma forma possível de implementação do oitavo aspecto da presente invenção, ou com referência à primeira forma possível de implementação do oitavo aspecto da presente invenção, em uma segunda forma possível de implementação, o dispositivo inclui ainda:

[041] Um processador, configurado para: quando a VM recebe o certificado, estabelecer um canal de gerenciamento entre a VM e um gerenciador de VM.

[042] Com referência a uma forma possível de implementação do oitavo aspecto da presente invenção, ou com referência à primeira forma possível de implementação do oitavo aspecto da presente invenção, ou com referência à segunda forma possível de implementação do oitavo aspecto da presente invenção, em uma terceira forma possível de implementação, a chave pública é gerada pela VM de acordo com um parâmetro de inicialização, em que o parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando o gerenciador de infraestrutura virtualizada VIM na estrutura de trabalho de função de rede virtualizada recebe uma instrução para gerar a VM, em que a instrução é enviada por um orquestrador de virtualização de função de rede NFVO.

[043] De acordo com um nono aspecto da presente invenção, é fornecido um método de aquisição de certificado, incluindo: receber, por um gerenciador de função de rede virtualizada VNFM, uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado inclui informação de autenticação e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e o VNFM; utilizar, pelo VNFM, a informação de autenticação para autenticar a instância de VNF e quando a autenticação é bem sucedida, enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado inclui a informação de aplicação de certificado utilizada para aplicação de certificado; e receber, pelo VNFM, um certificado emitido pela CA, e enviar o certificado para a instância de VNF, em que o certificado é gerado pela CA de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluída na mensagem de aplicação de certificado.

[044] Com referência a uma forma possível de implementação em um nono aspecto da presente invenção, em uma primeira forma possível de implementação, a informação de autenticação é um certificado temporário, em que o certificado temporário é solicitado a partir do VNFM quando um orquestrador de virtualização de função de rede NFVO determina uma necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[045] Com referência à primeira forma possível de implementação do nono aspecto da presente invenção, em uma segunda forma possível de implementação, a utilização, pelo VNFM, da informação de autenticação para autenticar a instância de VNF inclui: comparar, pelo VNFM, um certificado temporário recebido com o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando o VNFM determina que o certificado temporário recebido é o mesmo que o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação da instância de VNF é bem sucedida; ou quando o VNFM determina que o certificado temporário recebido é diferente do certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF falha.

[046] Com referência a uma forma possível de implementação em um nono aspecto da presente invenção, em uma terceira forma possível de implementação, a informação de autenticação é uma chave pré-compartilhada PSK, em que a PSK é gerada quando um orquestrador de virtualização de função de rede NFVO determina uma necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[047] Com referência à terceira forma possível de implementação do nono aspecto da presente invenção, em uma quarta forma possível de implementação, a recepção, por um gerenciador de função de rede virtualizada VNF VNFM, uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF inclui: enviar, pelo VNFM, a PSK para a instância de VNF e receber a mensagem de proxy de aplicação de certificado enviada pela instância de VNF, em que a mensagem de proxy de aplicação de certificado é enviada para o VNFM quando a instância de VNF determina que uma PSK localmente injetada é a mesma ou associada com a PSK recebida enviada pelo VNFM.

[048] Com referência à quarta forma possível de implementação do nono aspecto da presente invenção, em uma quinta forma possível de implementação, a utilização, pelo VNFM, da informação de autenticação para autenticar a instância de VNF inclui: comparar, pelo VNFM, a PSK recebida com uma PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando o VNFM determina que a PSK recebida é a mesma ou relacionada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação da instância de VNF é bem sucedida; ou quando o VNFM determina que a PSK recebida é diferente ou não associada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF falha.

[049] Com referência a uma forma possível de implementação do nono aspecto da presente invenção, ou com referência à primeira forma possível de implementação do nono aspecto da presente invenção, ou com referência à segunda forma possível de implementação do nono aspecto da presente invenção, ou com referência à terceira forma possível de implementação do nono aspecto da presente invenção, ou com referência à quarta forma possível de implementação do nono aspecto da presente invenção, ou com referência à quinta forma possível de implementação do nono aspecto da presente invenção, em uma sexta forma possível de implementação, o método inclui ainda: utilizar, pelo VNFM, o certificado para estabelecer um canal de gerenciamento para a instância de VNF ao enviar o certificado para a instância de VNF.

[050] De acordo com um décimo aspecto da presente invenção, um método de aquisição de certificado é fornecido, incluindo: receber, por um gerenciador de função de rede virtualizada VNFM, uma mensagem de proxy de aplicação de certificado enviada por um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, em que a mensagem de proxy de aplicação de certificado inclui uma instância de VNF que solicita aplicação de certificado, e informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado; enviar, pelo VNFM, uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado inclui a informação da aplicação de certificado utilizada pela instância de VNF para aplicação de certificado; e receber, pelo VNFM, um certificado emitido pela CA, e enviar o certificado para o VIM, em que o certificado é gerado pela CA de acordo com a informação da aplicação de certificado utilizada pela instância de VNF para aplicação de certificado e incluído na mensagem de aplicação de certificado.

[051] Com referência a uma forma possível de implementação em um décimo aspecto da presente invenção, em uma primeira forma possível de implementação, a mensagem de proxy de aplicação de certificado é gerado pelo VIM de acordo com a informação da aplicação de certificado recebida, em que a informação de aplicação de certificado é obtida pela instância de VNF de acordo com um parâmetro de inicialização e enviada pela instância de VNF para uma VM e, em seguida, enviada pela VM para o VIM através de um canal seguro para o VIM.

[052] Com referência à primeira forma possível de implementação do décimo aspecto da presente invenção, em uma segunda forma possível de implementação, o parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando um orquestrador de virtualização de função de rede NFVO determina instanciar a instância de VNF.

[053] De acordo com um décimo primeiro aspecto da presente invenção, um método de aquisição de certificado é fornecido, incluindo: receber, por uma autoridade de certificado CA, uma mensagem de aplicação de certificado enviada por uma instância de função de rede virtualizada VNF, em que a mensagem de aplicação de certificado inclui um certificado temporário e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que o certificado temporário é solicitado a partir da CA quando um orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada; e utilizar, pela CA, o certificado temporário para autenticar a instância de VNF, e quando a autenticação é bem sucedida, emitir um certificado para a instância de VNF de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluído na mensagem de aplicação de certificado.

[054] De acordo com um décimo segundo aspecto da presente invenção, um método de aquisição de certificado é fornecido, incluindo: receber, por uma infraestrutura de virtualização de função de rede NFVI, uma mensagem de aplicação de certificado enviada por uma máquina virtual VM, em que a mensagem de aplicação de certificado inclui uma chave pública utilizada para aplicação de certificado; enviar, pela NFVI, uma mensagem de proxy de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de proxy de aplicação de certificado inclui a chave pública utilizada pela VM para aplicação de certificado; e receber, pela NFVI, um certificado emitido pela CA, e enviar o certificado para a VM, em que o certificado é obtido pela CA através de assinatura de acordo com a chave pública utilizada pela VM para aplicação de certificado e incluído na mensagem de proxy de aplicação de certificado.

[055] Com referência a uma forma possível de implementação do décimo segundo aspecto da presente invenção, em uma primeira forma possível de implementação, o envio, pela NFVI, de uma mensagem de proxy de aplicação de certificado para uma autoridade de certificado CA inclui: enviar, pela NFVI, a mensagem de proxy de aplicação de certificado para um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de função de rede virtualizada, de modo que o VIM encaminha a mensagem de proxy de aplicação de certificado para a autoridade de certificado CA.

[056] Com referência a uma forma possível de implementação do décimo segundo aspecto da presente invenção, ou com referência à primeira forma possível de implementação do décimo segundo aspecto da presente invenção, em uma segunda forma possível de implementação, o método inclui ainda: estabelecer, quando a VM recebe o certificado, um canal de gerenciamento entre a VM e um gerenciador de VM.

[057] Com referência a uma forma possível de implementação do décimo segundo aspecto da presente invenção, ou com referência à primeira forma possível de implementação do décimo segundo aspecto da presente invenção, ou com referência à segunda forma possível de implementação do décimo segundo aspecto da presente invenção, em uma terceira forma possível de implementação, a chave pública é gerada pela VM de acordo com um parâmetro de inicialização, em que o parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando o gerenciador de infraestrutura virtualizada VIM na estrutura de trabalho de função de rede virtualizada recebe uma instrução para gerar a VM, em que a instrução é enviada por um orquestrador de virtualização de função de rede NFVO.

[058] Nas modalidades da presente invenção, um VNFM recebe uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado inclui informação de autenticação e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e o VNFM; o VNFM utiliza a informação de autenticação para autenticar a instância de VNF, e quando a autenticação é bem sucedida, envia uma mensagem de aplicação de certificado para uma CA, em que a mensagem de aplicação de certificado inclui a informação de aplicação de certificado que é utilizada para aplicação de certificado; o VNFM recebe um certificado emitido pela CA, e envia o certificado para a instância de VNF. Desta forma, através de um enlace de confiança entre o VNFM e a autoridade de certificado, a instância de VNF instanciada solicita o certificado emitido pela autoridade de certificado, assim garantindo efetivamente a legalidade do certificado solicitado pela instância de VNF e garantindo segurança de um canal de gerenciamento que é estabelecido entre a instância de VNF e o VNFM utilizando o certificado emitido pela autoridade de certificado.

BREVE DESCRIÇÃO DOS DESENHOS

[059] Para descrever as soluções técnicas nas modalidades da presente invenção com mais seguinte introduz brevemente os desenhos anexos necessários para descrever as modalidades. Aparentemente, os desenhos anexos na descrição seguinte mostram meramente algumas modalidades da presente invenção, conhecimentos normais na técnica pode desenhos a partir destes desenhos anexos sem esforços criativos.

[060] A Figura 1 é um fluxograma esquemático de um método de aquisição de certificado de acordo com a Modalidade 1 da presente invenção.

[061] A Figura 2 é um fluxograma esquemático de um método de aquisição de certificado de acordo com a Modalidade 2 da presente invenção.

[062] A Figura 3 é um fluxograma esquemático de um método de aquisição de certificado de acordo com a Modalidade 3 da presente invenção.

[063] A Figura 4 é um fluxograma esquemático de um método de aquisição de certificado de acordo com a Modalidade 4 da presente invenção.

[064] A Figura 5 é um fluxograma esquemático de um método de aquisição de certificado.

[065] A Figura 6 é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 5 da presente invenção.

[066] A Figura 7 é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 6 da presente invenção.

[067] A Figura 8 é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 7 da presente invenção.

[068] A Figura 9 é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 8 da presente invenção.

[069] A Figura 10 é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 9 da presente invenção.

[070] A Figura 11 é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 10 da presente invenção.

[071] A Figura 12 é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 11 da presente invenção.

[072] A Figura 13 é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 12 da presente invenção.

DESCRIÇÃO DE MODALIDADES

[073] Para conseguir os objetivos da presente invenção, modalidades da presente invenção fornecem um método e dispositivo de aquisição de certificado. O VNFM recebe uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado inclui informação de autenticação e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e o VNFM; o VNFM utiliza a informação de autenticação para autenticar a instância de VNF, e quando a autenticação é bem sucedida, envia uma mensagem de aplicação de certificado para uma CA, em que a mensagem de aplicação de certificado inclui a informação de aplicação de certificado que é utilizada para aplicação de certificado; o VNFM recebe um certificado emitido pela CA, e envia o certificado para a instância de VNF. Desta forma, através de um enlace de confiança entre o VNFM e a autoridade de certificado, a instância de VNF instanciada solicita o certificado emitido pela autoridade de certificado, assim garantindo efetivamente a legalidade do certificado solicitado pela instância de VNF e garantindo segurança de um canal de gerenciamento que é estabelecido entre a instância de VNF e o VNFM utilizando o certificado emitido pela autoridade de certificado.

[074] Deve ser notado que, depois de uma instância de VNF ser instanciada, a instância de VNF instanciada pertence a um novo elemento de rede virtual e nenhum enlace de confiança foi estabelecido entre a instância de VNF instanciada e um outro elemento de rede em uma rede virtual, e o elemento de rede virtual e uma autoridade de certificado (Certificate Authority, CA) são elementos de rede não confiáveis de cada outro. Portanto, um certificado não pode ser solicitado a partir da CA diretamente. Nas modalidades da presente invenção, por meio de um proxy de aplicação de certificado, a instância de VNF é capaz de adquirir um certificado legal.

[075] O que segue descreve as modalidades da presente invenção em detalhe com referência aos desenhos anexos nesta especificação.

Modalidade 1

[076] Como mostrado na Figura 1, que é um fluxograma esquemático de um método de aquisição de certificado de acordo com a Modalidade 1 da presente invenção, o método pode ser descrito como segue: Passo 101: Um gerenciador de função de rede virtualizada VNF VNFM recebe uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF.

[077] A mensagem de proxy de aplicação de certificado inclui informação de autenticação e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e o VNFM.

[078] Deve ser notado que a informação da aplicação de certificado inclui um formato de certificado, um nome de domínio, informação de autoridade de certificado, e assim por diante.

[079] No passo 101, em uma rede virtual, após a VNF ser instanciada, é necessário solicitar um certificado para a instância de VNF instanciada a fim de garantir a segurança da comunicação entre a instância de VNF instanciada e outros elementos de rede virtuais.

[080] Especificamente, ao receber uma instrução para instanciar a instância de VNF, um NFVO determina informação de autenticação que é posteriormente utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e o VNFM, adiciona a informação de autenticação determinada para a instrução para instanciar a VNF e envia a instrução para o VIM. O VIM envia a instrução para instanciar a VNF para uma NFVI, e solicita o NFVI para alocar uma VM para a instância de VNF para implementar instanciação de VNF.

[081] Ao alocar a VM para a instância de VNF e implementar a instanciação de VNF, a NFVI injeta a informação de autenticação determinada, que é transportada na instrução para instanciar a VNF, para a instância de VNF.

[082] Opcionalmente, formas da informação de autenticação incluem, mas não estão limitadas às seguintes formas:

Cenário 1:

[083] A informação de autenticação é um certificado temporário.

[084] O certificado temporário é solicitado a partir do VNFM quando o orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através do gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, a infraestrutura de NFV NFVI, e a máquina virtual VM em que a VNF é executada.

[085] Deve ser notado que o certificado temporário, que é solicitado a partir do VNFM quando o orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF, é gerado pelo VNFM em uma maneira especial. O certificado temporário gerado pelo VNFM é de confiança apenas pelo VNFM e outros elementos de rede na rede virtual não confiam no certificado temporário.

[086] Opcionalmente, o certificado temporário é solicitado a partir de uma CA quando o orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido à VNF através do gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, a infraestrutura de NFV NFVI e a máquina virtual VM em que a VNF é executada.

[087] Uma pré-condição para solicitar o certificado temporário a partir da CA quando o orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF é:

[088] A CA obtém o certificado temporário em uma forma especial (por exemplo, utilizando uma chave pública ou privada específica para assinar o certificado temporário), e o certificado temporário é de confiança apenas pela CA, enquanto outros elementos de rede não confiam no certificado temporário.

[089] Quando o certificado temporário é transmitido entre a VNFO, VIM, e a NFVI, uma chave privada correspondente ao certificado temporário pode também ser transmitida. No entanto, existe um risco de segurança na transmissão da chave privada entre vários elementos da rede. Portanto, nesta modalidade, segurança da comunicação entre a VNFO, VIM, e a NFVI precisa ser assegurada, de modo a prevenir fugas da chave privada utilizada para aplicação de certificado. Além disso, o certificado temporário pode ser utilizado apenas uma vez nesta modalidade, de modo a evitar o risco de que o certificado temporário seja adquirido por um elemento de rede malicioso por um processo de utilização repetida, o que assegura ainda mais segurança da comunicação entre elementos de rede na rede virtual.

Cenário 2:

[090] A informação de autenticação é uma chave de PSK pré-compartilhada.

[091] A PSK é gerada quando o orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através do gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, a NFVI infraestrutura de NFV, e a máquina virtual VM em que a VNF é executada.

[092] Deve ser notado que a chave pré-compartilhada é gerada pelo NFVO e enviada para o VNFM, de modo que comunicação inicial entre a instância de VNF e o VNFM é realizada utilizando a PSK.

[093] Deve ser notado que a chave pré-compartilhada é pré-configurada para duas extremidades que precisam se comunicar, e as duas extremidades de comunicação estabelecem comunicação utilizando a chave pré- compartilhada. A chave pré-compartilhada pode ser uma chave simétrica, isto é, chaves mantidas por ambas extremidades de comunicação são as mesmas; ou a chave pré-compartilhada pode ser uma chave assimétrica, ou seja, chaves mantidas por ambas as extremidades de comunicação são diferentes, por exemplo, um par de chaves pública-privada.

[094] Para garantir legalidade de um certificado que é solicitado, a instância de VNF se solicita um certificado utilizando um proxy de aplicação de certificado.

[095] Neste caso, a instância de VNF pode solicitar o certificado utilizando a informação de autenticação determinada e a informação da aplicação de certificado que é utilizada para aplicação de certificado.

[096] A instância de VNF envia a mensagem de proxy de aplicação de certificado ao VNFM, em que a mensagem de proxy de aplicação de certificado inclui a informação de autenticação e a informação da aplicação de certificado que é utilizada para aplicação de certificado.

[097] Deve ser notado que, assumindo que a informação de autenticação recebida pela instância de VNF é uma chave pré-compartilhada (PSK), a fim de garantir legalidade de uma identidade do proxy de aplicação de certificado VNFM, a instância de VNF precisa utilizar a chave pré-compartilhada para autenticar o VNFM antes de enviar informação de proxy de aplicação de certificado ao VNFM.

[098] Especificamente, o VNFM envia uma chave pré- compartilhada armazenada localmente (PSK) para a instância de VNF, e recebe a mensagem de proxy de aplicação de certificado enviada pela instância de VNF, em que a mensagem de proxy de aplicação de certificado é enviada para o VNFM quando a instância de VNF, determina que uma PSK localmente injetada é a mesma ou associada com a PSK recebida enviada pelo VNFM. Passo 102: O VNFM utiliza informação de autenticação para autenticar a instância de VNF, e quando a autenticação é bem sucedida, envia uma mensagem de aplicação de certificado para uma autoridade de certificado CA.

[099] A mensagem de aplicação de certificado inclui a informação da aplicação de certificado que é utilizada para aplicação de certificado.

[100] No passo 102, maneiras de utilização, pelo VNFM, da informação de autenticação para autenticar a instância de VNF incluem, mas não estão limitadas a:

[101] Assumindo que a informação de autenticação é o certificado temporário descrito no cenário 1 no passo 101, ao receber o certificado temporário incluído na mensagem de proxy de aplicação de certificado, o VNFM compara o certificado temporário recebido com o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando o VNFM determina que o certificado temporário recebido é o mesmo que o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, é determinado que a autenticação na instância de VNF é bem sucedida; ou quando o VNFM determina que o certificado temporário recebido é diferente do certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, é determinado que a autenticação na instância de VNF falha.

[102] Assumindo que a informação de autenticação é a chave pré-compartilhada descrita no cenário 2 no passo 101, ao receber a PSK incluída na mensagem de proxy de aplicação de certificado, o VNFM compara a PSK recebida com uma PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando o VNFM determina que a PSK recebida é a mesma ou relacionada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, é determinado que a autenticação na instância de VNF é bem sucedida; ou quando o VNFM determina que a PSK recebida é diferente de ou não associada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, é determinado que a autenticação na instância de VNF falha. Passo 103: O VNFM recebe um certificado emitido pela CA, e envia o certificado para a instância de VNF.

[103] O certificado é gerado pela CA de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluído na mensagem de aplicação de certificado.

[104] No passo 103, ao receber o certificado emitido pela CA, o VNFM determina que o certificado temporário ou a chave pré-compartilhada é inválida, em que o certificado temporário é solicitado a partir do VNFM ou a CA quando o orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF, e a chave pré-compartilhada é gerada quando o orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF. Isto significa que o certificado temporário ou a chave pré- compartilhada não é de confiança para o VNFM quando o certificado emitido pela CA é recebido.

[105] Nesta modalidade da presente invenção, o método inclui ainda: utilizar, pelo VNFM, o certificado para estabelecer um canal de gerenciamento para a instância de VNF ao enviar o certificado para a instância de VNF.

[106] De acordo com a solução na Modalidade 1 da presente invenção, um VNFM recebe uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado inclui informação de autenticação e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e o VNFM; o VNFM utiliza a informação de autenticação para autenticar a instância de VNF, e quando a autenticação é bem sucedida, envia uma mensagem de aplicação de certificado para uma CA, em que a mensagem de aplicação de certificado inclui a informação de aplicação de certificado que é utilizada para aplicação de certificado; o VNFM recebe um certificado emitido pela CA, e envia o certificado para a instância de VNF. Desta forma, através de um enlace de confiança entre o VNFM e a autoridade de certificado, a instância de VNF instanciada solicita o certificado emitido pela autoridade de certificado, assim garantindo efetivamente a legalidade do certificado solicitado pela instância de VNF e garantindo segurança de um canal de gerenciamento que é estabelecido entre a instância de VNF e o VNFM utilizando o certificado emitido pela autoridade de certificado.

Modalidade 2

[107] Como mostrado na Figura 2, que é um fluxograma esquemático de um método de aquisição de certificado de acordo com a modalidade 2 da presente invenção, o método pode ser descrito como segue:

[108] Uma pré-condição para implementação de Modalidade 2 da presente invenção é que um NFVO, o VIM, e uma NFVI colaboram entre si para gerar uma VM e iniciar e executar uma instância de VNF na VN.

[109] Deve ser notado que um enlace de confiança seguro é estabelecido entre a VM e o VIM.

[110] O enlace de confiança seguro estabelecido entre a VM e o VIM é detalhado na Modalidade subsequente 4, e não é descrito aqui. Passo 201: O gerenciador de função de rede virtualizada VNF VNFM recebe uma mensagem de proxy de aplicação de certificado enviada por um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF.

[111] A mensagem de proxy de aplicação de certificado inclui uma instância de VNF que solicita aplicação de certificado, e informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado.

[112] Deve ser notado que a informação de aplicação de certificado inclui: um formato de certificado, um nome de domínio, uma autoridade de certificado, e assim por diante.

[113] No passo 201, em uma rede virtual, após a VNF ser instanciada, é necessário solicitar um certificado para a instância de VNF instanciada a fim de garantir a segurança da comunicação entre a instância de VNF instanciada e outros elementos de rede virtuais.

[114] Especificamente, ao receber uma instrução para instanciar a instância de VNF, um NFVO envia a instrução para instanciar a VNF para o VIM. O VIM envia a instrução para instanciar a VNF para a NFVI, e solicita o NFVI para alocar uma VM para a instância de VNF para implementar instanciação de VNF.

[115] A instrução para instanciar a VNF inclui um parâmetro de inicialização da instância de VNF.

[116] Ao alocar a VM para a instância de VNF e implementar a instanciação de VNF, a NFVI injeta o parâmetro de inicialização da instância de VNF para a instância de VNF, em que o parâmetro de inicialização está incluído na instrução para instanciar a VNF.

[117] Para garantir legalidade de um certificado que é solicitado, a instância de VNF se solicita o certificado utilizando um proxy de aplicação de certificado.

[118] Neste caso, a instância de VNF obtém a informação de aplicação de certificado de acordo com o parâmetro de inicialização.

[119] O parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados.

[120] Além disso, a instância de VNF gera um par de chaves pública-privada de acordo com o parâmetro de inicialização.

[121] A chave privada é armazenada localmente na instância de VNF, e uma chave pública é transportada na informação de aplicação de certificado e enviada para uma máquina virtual em que a instância de VNF é executada.

[122] Deve ser notado que, porque a instância de VNF é executada na VM, é determinado que um enlace de confiança é estabelecido entre a instância de VNF e a VM.

[123] Uma vez que um enlace de confiança seguro é estabelecido entre a VM e o VIM, ao receber a mensagem de aplicação de certificado enviada pela instância de VNF, a VM envia uma mensagem de proxy de aplicação de certificado para o VIM utilizando o canal seguro para o VIM.

[124] A mensagem de proxy de aplicação de certificado inclui a informação da aplicação de certificado que é utilizada para aplicação de certificado.

[125] Ao receber a mensagem de proxy de aplicação de certificado, o VIM encaminha a mensagem de proxy de aplicação de certificado ao VNFM, e o VNFM serve como um proxy de aplicação de certificado e solicita uma autoridade de certificado CA para um certificado.

[126] Deve ser notado que o VNFM estabelece um canal de transmissão seguro de confiança para a autoridade de certificado CA com antecedência. Passo 202: O VNFM envia uma mensagem de aplicação de certificado para uma autoridade de certificado CA.

[127] A mensagem de aplicação de certificado inclui a informação da aplicação de certificado que é utilizada para aplicação de certificado. Passo 203: O VNFM recebe um certificado emitido pela CA, e envia o certificado para o VIM.

[128] O certificado é gerado pela CA de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluído na mensagem de aplicação de certificado.

[129] No passo 203, após o VNFM recebe o certificado emitido pela CA e envia o certificado para o VIM, o VIM utiliza um canal de transmissão para a máquina virtual para enviar o certificado para a máquina virtual, e, em seguida, a VM envia o certificado para a instância de VNF, de modo que a instância de VNF autentica o certificado recebido utilizando uma chave privada armazenada localmente, e quando a autenticação é bem sucedida, utiliza o certificado para estabelecer um canal de gerenciamento para o VNFM.

[130] De acordo com a solução na Modalidade 2 da presente invenção, através de um canal de transmissão seguro de confiança entre uma VM e um VIM, uma instância de VNF instanciada envia informação de proxy de aplicação de certificado para um VNFM, e depois através de um enlace de confiança entre o VNFM e uma autoridade de certificado, solicita um certificado emitido pela autoridade de certificado, assim garantindo efetivamente a legalidade do certificado solicitado pela instância de VNF e garantindo ainda segurança de um canal de gerenciamento que é estabelecido entre a instância de VNF e o VNFM utilizando o certificado emitido pela autoridade de certificado.

Modalidade 3

[131] Como mostrado na Figura 3, que é um fluxograma esquemático de um método de aquisição de certificado de acordo com a modalidade 3 da presente invenção, o método pode ser descrito como segue:

[132] Uma pré-condição para implementação de Modalidade 3 da presente invenção é: ao determinar instanciar uma instância de VNF, um NFVO solicita para um autoridade de certificado CA um certificado temporário, em que o certificado temporário é utilizado pela instância de VNF para solicitar um certificado legal.

[133] Deve ser notado que, em um processo em que o NFVO determina instanciar a instância de VNF, um canal de transmissão de confiança é estabelecido entre o NFVO, um VIM, e uma NFVI, de modo que o processo de instanciar a instância de VNF é protegido contra ataques e que o certificado temporário transmitido é protegido contra fugas. Passo 301: Uma autoridade de certificado CA recebe uma mensagem de aplicação de certificado enviada por uma instância de função de rede virtualizada VNF.

[134] A mensagem de aplicação de certificado inclui um certificado temporário e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que o certificado temporário é solicitado a partir da CA quando o orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[135] Deve ser notado que a informação de aplicação de certificado inclui: um formato de certificado, um nome de domínio, uma autoridade de certificado, e assim por diante.

[136] No passo 301, em uma rede virtual, após a VNF ser instanciada, é necessário solicitar um certificado para a instância de VNF instanciada a fim de garantir a segurança da comunicação entre a instância de VNF instanciada e outros elementos de rede virtuais.

[137] Especificamente, ao receber uma instrução para instanciar a instância de VNF, um NFVO envia a instrução para instanciar a VNF para o VIM. O VIM envia a instrução para instanciar a VNF para a NFVI, e solicita o NFVI para alocar uma VM para a instância de VNF para implementar instanciação de VNF.

[138] A instrução para instanciar a VNF inclui um parâmetro de inicialização da instância de VNF.

[139] Ao alocar a VM para a instância de VNF e implementar a instanciação de VNF, a NFVI injeta o parâmetro de inicialização da instância de VNF para a instância de VNF, em que o parâmetro de inicialização está incluído na instrução para instanciar a VNF.

[140] Neste caso, a instância de VNF obtém a informação de aplicação de certificado de acordo com o parâmetro de inicialização.

[141] O parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados, e é gerado quando o orquestrador de virtualização de função de rede NFVO determina instanciar a instância de VNF, e é injetado quando a NFVI aloca uma VM para a instância de VNF e termina a instanciação de VNF.

[142] De acordo com o parâmetro de inicialização, a instância de VNF gera um par de chaves pública-privada utilizado para aplicação de certificado.

[143] Uma chave privada é armazenada localmente na instância de VNF.

[144] Uma chave pública é transportada na informação de aplicação de certificado e enviada para a autoridade de certificado CA.

[145] Deve ser notado que, de acordo com a autoridade de certificado CA injetada, a instância de VNF utiliza uma mensagem de aplicação de certificado para transportar o certificado temporário e a informação da aplicação de certificado que é utilizada para aplicação de certificado e envia a mensagem de aplicação de certificado para o CA. Passo 302: A CA utiliza o certificado temporário para autenticar a instância de VNF, e quando a autenticação é bem sucedida, emite um certificado para a instância de VNF de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluído na mensagem de aplicação de certificado.

[146] No passo 302, ao receber a mensagem de aplicação de certificado, a CA autentica a instância de VNF utilizando o certificado temporário incluído na mensagem de aplicação de certificado, e quando a autenticação é bem sucedida, emite um certificado para a instância de VNF de acordo com a informação de aplicação de certificado que é utilizada para aplicação de certificado e incluída na mensagem de aplicação de certificado.

[147] Nesta modalidade da presente invenção, o método inclui ainda: utilizar uma chave privada armazenada localmente para autenticar o certificado recebido depois que a instância de VNF adquire o certificado, e quando a autenticação é bem sucedida, utilizar o certificado para estabelecer um canal de gerenciamento à VNFM.

[148] De acordo com a solução na Modalidade 3 da presente invenção, utilizar um certificado temporário solicitado quando um NFVO determina instanciar uma instância de VNF, uma instância de VNF instanciada estabelece um canal de confiança para aplicação de certificado entre a instância de VNF instanciada e uma CA, assim garantindo efetivamente a legalidade do certificado solicitado pela instância de VNF e garantindo ainda segurança de um canal de gerenciamento que é estabelecido entre a instância de VNF e um VNFM utilizando o certificado emitido pela autoridade de certificado. Modalidade 4

[149] Como mostrado na Figura 4, que é um fluxograma esquemático de um método de aquisição de certificado de acordo com a modalidade 4 da presente invenção, o método pode ser descrito como segue.

[150] Modalidade 4 da presente invenção descreve especificamente um método para estabelecer um canal de gerenciamento entre uma VM e um VMM ou VIM. Passo 401: Uma infraestrutura de virtualização de função de rede NFVI recebe uma mensagem de aplicação de certificado enviada por uma máquina virtual VM.

[151] A mensagem de aplicação de certificado inclui a informação da aplicação de certificado que é utilizada para aplicação de certificado.

[152] Deve ser notado que a informação de aplicação de certificado inclui: um formato de certificado, um nome de domínio, uma autoridade de certificado, e assim por diante.

[153] No passo 401, em uma rede virtual, após a VNF ser instanciada, é necessário solicitar um certificado para a instância de VNF instanciada a fim de garantir a segurança da comunicação entre a instância de VNF instanciada e outros elementos de rede virtuais.

[154] Porque um recurso virtual VM em que a instância de VFN é executada é alocado quando a instância de VNF precisa ser instanciada, um canal de gerenciamento entre a VM e um VMM precisa ser estabelecido após a VM ser alocada, o que garante legalidade da VM e, assim, aumenta legalidade da instância de VNF.

[155] Especificamente, ao receber uma instrução para instanciar a instância de VNF, um NFVO envia a instrução para instanciar a VNF para o VIM. O VIM envia a instrução para instanciar a VNF para a NFVI, e solicita o NFVI para alocar uma VM para a instância de VNF para implementar instanciação de VNF.

[156] A NFVI aloca a VM para a instância de VNF de acordo com a instrução para instanciar a VNF.

[157] O VIM envia, para a NFVI, informação para solicitar alocar um recurso virtual, em que a informação para solicitar alocar um recurso virtual inclui um parâmetro de inicialização para aplicação de certificado e semelhantes.

[158] Depois de alocar a VM para a instância de VNF de acordo com a instrução para instanciar a VNF, a NFVI injeta o parâmetro de inicialização para aplicação de certificado para a VM.

[159] Quando iniciada, a VM gera um par de chaves pública-privada de acordo com o parâmetro de inicialização.

[160] O parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando o gerenciador de infraestrutura virtualizada VIM na estrutura de trabalho de função de rede virtualizada recebe uma instrução para gerar a VM, em que a instrução é enviada por um orquestrador de virtualização de função de rede NFVO.

[161] A chave privada é armazenada localmente na VM, e uma chave pública é utilizada para aplicação de certificado e é transportada na informação de aplicação de certificado.

[162] Neste caso, a VM envia uma mensagem de aplicação de certificado para a NFVI. Passo 402: A NFVI envia uma mensagem de proxy de aplicação de certificado para uma autoridade de certificado CA.

[163] A mensagem de proxy de aplicação de certificado inclui a informação da aplicação de certificado utilizada pela VM para aplicação de certificado.

[164] No passo 402, maneiras de enviar, pela NFVI, uma mensagem de proxy de aplicação de certificado para uma autoridade de certificado CA incluem, mas não estão limitadas a: Primeira maneira:

[165] Um canal de transmissão de confiança é estabelecido entre a NFVI e a autoridade de certificado CA com antecedência, e, neste caso, a NFVI envia a mensagem de proxy de aplicação de certificado para a autoridade de certificado CA diretamente. Segunda maneira:

[166] Um canal de transmissão de confiança é estabelecido entre o VIM e a autoridade de certificado CA com antecedência.

[167] A NFVI envia uma mensagem de proxy de aplicação de certificado para o gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de função de rede virtualizada, de modo que o VIM encaminha a mensagem de proxy de aplicação de certificado para a autoridade de certificado CA.

[168] A Figura 5 é um fluxograma esquemático de um método de aquisição de certificado.

[169] Especificamente, a NFVI recebe a mensagem de aplicação de certificado enviada pela VM, gera uma mensagem de proxy de aplicação de certificado e envia a mensagem de proxy de aplicação de certificado para o VIM, e o VIM encaminha a mensagem de proxy de aplicação de certificado para a autoridade de certificado CA. Passo 403: A NFVI recebe um certificado emitido pela CA, e envia o certificado para a VM.

[170] O certificado é gerado pela CA de acordo com a informação da aplicação de certificado utilizada pela VM para aplicação de certificado e incluído na mensagem de proxy de aplicação de certificado.

[171] No passo 403, o método inclui ainda: autenticar, quando a VM recebe o certificado, o certificado recebido utilizando uma chave privada armazenada localmente, e quando a autenticação é bem sucedida, estabelecer um canal de gerenciamento entre a VM e o gerenciador de VM (VMM).

[172] De acordo com a solução na Modalidade 4 da presente invenção, por meio de um proxy de aplicação de certificado, uma VM solicita um certificado legal, e estabelece um canal de transmissão de confiança para um VMM ou VIM, estabelecendo assim uma base para garantir que um canal de gerenciamento de confiança seja estabelecido entre uma instância de VNF e um VNFM utilizando um certificado emitido por uma autoridade de certificado e, efetivamente, melhorando a segurança de um canal de gerenciamento entre a instância de VNF e o VNFM. Modalidade 5

[173] Como mostrado na Figura 6, que é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a modalidade 5 da presente invenção, o dispositivo inclui um módulo de recepção 61 e um módulo de envio 62.

[174] O módulo de recepção 61 é configurado para receber uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado inclui informação de autenticação e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e um gerenciador de função de rede virtualizada VNF VNFM; e o módulo de envio 62 é configurado para utilizar a informação de autenticação recebida pelo módulo de recepção 61 para autenticar a instância de VNF, e quando a autenticação é bem sucedida, enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado inclui a informação da aplicação de certificado que é utilizada para aplicação de certificado; em que o módulo de recepção 61 é ainda configurado para receber um certificado emitido pela CA; e o módulo de envio 62 é ainda configurado para enviar o certificado recebido pelo módulo de recepção 61 para a instância de VNF, em que o certificado é gerado pela CA de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluído na mensagem de aplicação de certificado.

[175] Opcionalmente, a informação de autenticação é um certificado temporário, em que o certificado temporário é solicitado a partir do VNFM quando um orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[176] O módulo de envio 62 é especificamente configurado para: comparar um certificado temporário recebido com o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando é determinado que o certificado temporário recebido é o mesmo que o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF é bem sucedida; ou quando é determinado que o certificado temporário recebido é diferente do certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF falha.

[177] Opcionalmente, a informação de autenticação é uma chave pré-compartilhada PSK, em que a PSK é gerada quando um orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitida para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[178] O módulo de recepção 61 é especificamente configurado para enviar a PSK para a instância de VNF e receber a mensagem de proxy de aplicação de certificado enviada pela instância de VNF, em que a mensagem de proxy de aplicação de certificado é enviada para o VNFM quando a instância de VNF determina que uma PSK localmente injetada é a mesma ou associada com a PSK recebida enviada pelo VNFM.

[179] O módulo de envio 62 é especificamente configurado para: comparar a PSK recebida com uma PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando é determinado que a PSK recebida é a mesma ou relacionada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF é bem sucedida; ou quando é determinado que a PSK recebida é diferente de ou não associada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF falha.

[180] Opcionalmente, o dispositivo inclui ainda um módulo de estabelecimento de canal 63, onde: o módulo de estabelecimento de canal 63 é configurado para: quando o certificado é enviado para a instância de VNF, utilizar o certificado para estabelecer um canal de gerenciamento para a instância de VNF.

[181] Deve ser notado que o dispositivo de acordo com esta modalidade da presente invenção pode ser um gerenciador de função de rede virtualizada VNF VNFM em um sistema virtual, e tem uma função solicitar um certificado por proxy para a instância de VNF, e pode ser implementado na forma de hardware ou software, o que não é aqui limitado. Modalidade 6

[182] Como mostrado na Figura 7, que é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a modalidade 6 da presente invenção, o dispositivo inclui um módulo de recepção 71 e um módulo de envio 72.

[183] O módulo de recepção 71 é configurado para receber uma mensagem de proxy de aplicação de certificado enviada por um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, em que a mensagem de proxy de aplicação de certificado inclui uma instância de VNF que solicita aplicação de certificado, e informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado; e o módulo de envio 72 é configurado para enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado inclui a informação de aplicação de certificado recebida pelo módulo de recepção 71 e utilizada pela instância de VNF para aplicação de certificado, onde o módulo de recepção 71 é ainda configurado para receber um certificado emitido pela CA; e o módulo de envio 72 é ainda configurado para enviar o certificado recebido pelo módulo de recepção 71 para o VIM, em que o certificado é gerado pela CA de acordo com a informação da aplicação de certificado utilizada pela instância de VNF para aplicação de certificado e incluído na mensagem de aplicação de certificado.

[184] Opcionalmente, a mensagem de proxy de aplicação de certificado é gerado pelo VIM de acordo com a informação da aplicação de certificado recebida, em que a informação da aplicação de certificado é obtida pela instância de VNF de acordo com um parâmetro de inicialização e enviada pela instância de VNF para uma VM e, em seguida, enviada pela VM para o VIM através de um canal seguro para o VIM.

[185] Opcionalmente, o parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando um orquestrador de virtualização de função de rede NFVO determina instanciar a instância de VNF.

[186] Deve ser notado que o dispositivo de acordo com esta modalidade da presente invenção pode ser um gerenciador de função de rede virtualizada VNF VNFM em um sistema virtual, e tem uma função solicitar um certificado por proxy para a instância de VNF, e pode ser implementado na forma de hardware ou software, o que não é aqui limitado. Modalidade 7

[187] Como mostrado na Figura 8, que é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com esta modalidade da presente invenção, o dispositivo inclui um módulo de recepção 81 e um módulo de envio 82, onde: o módulo de recepção 81 é configurado para receber uma mensagem de aplicação de certificado enviada por uma instância de função de rede virtualizada VNF, em que a mensagem de aplicação de certificado inclui um certificado temporário e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que o certificado temporário é solicitado a partir da CA quando um orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada; e o módulo de envio 82 é configurado para utilizar o certificado temporário recebido pelo módulo de recepção 81 para autenticar a instância de VNF, e quando a autenticação é bem sucedida, emitir um certificado para a instância de VNF de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluída na mensagem de aplicação de certificado.

[188] Deve ser notado que o dispositivo de acordo com esta modalidade da presente invenção pode ser uma autoridade de certificado, e pode ser uma autoridade de certificado ou outro dispositivo capaz de autenticar um certificado, o que não é aqui limitado; e o dispositivo pode ser implementado na forma de hardware ou software, o que não é aqui limitado. Modalidade 8

[189] Como mostrado na Figura 9, que é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a modalidade 8 da presente invenção, o dispositivo inclui um módulo de recepção 91 e um módulo de envio 92, onde: o módulo de recepção 91 é configurado para receber uma mensagem de aplicação de certificado enviada por uma máquina virtual VM, em que a mensagem de aplicação de certificado inclui uma chave pública utilizada para aplicação de certificado; e o módulo de envio 92 é configurado para enviar uma mensagem de proxy de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de proxy de aplicação de certificado inclui a chave pública recebida pelo módulo de recepção e utilizada pela VM para aplicação de certificado; onde o módulo de recepção 91 é ainda configurado para receber um certificado emitido pela CA; e o módulo de envio 92 é ainda configurado para enviar o certificado recebido pelo módulo de recepção 91 para a máquina virtual, em que o certificado é obtido pela CA através de assinatura de acordo com a chave pública utilizada pela VM para aplicação de certificado e incluído na mensagem de proxy de aplicação de certificado.

[190] Opcionalmente, o módulo de envio 92 é especificamente configurado para enviar a mensagem de proxy de aplicação de certificado para um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de função de rede virtualizada, de modo que o VIM encaminha a mensagem de proxy de aplicação de certificado para a autoridade de certificado CA.

[191] Opcionalmente, o dispositivo inclui ainda um módulo de estabelecimento de canal 93, onde: o módulo de estabelecimento de canal 93 é configurado para: quando a VM recebe o certificado, estabelecer um canal de gerenciamento entre a VM e um gerenciador de VM.

[192] Opcionalmente, a chave pública é gerada pela VM de acordo com um parâmetro de inicialização, em que o parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando o gerenciador de infraestrutura virtualizada VIM na estrutura de trabalho de função de rede virtualizada recebe uma instrução para gerar a VM, em que a instrução é enviada por um orquestrador de virtualização de função de rede NFVO.

[193] Deve ser notado que, o dispositivo de acordo com esta modalidade da presente invenção pode ser uma infraestrutura de virtualização de função de rede NFVI, e tem uma função solicitar um certificado por proxy para a VM, e pode ser implementado na forma de hardware ou software, o que não é aqui limitado. Modalidade 9

[194] Como mostrado na Figura 10, que é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a modalidade 9 da presente invenção, o dispositivo inclui um receptor de sinal 1011 e um transmissor de sinal 1012, em que o receptor de sinal 1011 e o transmissor de sinal 1012 comunicam através de um barramento de comunicação 1013.

[195] O receptor de sinal 1011 é configurado para receber uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado inclui informação de autenticação e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e um gerenciador de função de rede virtualizada VNF VNFM.

[196] O transmissor de sinal 1012 é configurado para utilizar a informação de autenticação para autenticar a instância de VNF, e quando a autenticação é bem sucedida, enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado inclui a informação da aplicação de certificado que é utilizada para aplicação de certificado.

[197] O receptor de sinal 1011 é ainda configurado para receber um certificado emitido pela CA.

[198] O transmissor de sinal 1012 é ainda configurado para enviar o certificado para a instância de VNF, em que o certificado é gerado pela CA de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluído na mensagem de aplicação de certificado.

[199] Opcionalmente, a informação de autenticação é um certificado temporário, em que o certificado temporário é solicitado a partir do VNFM quando um orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[200] O transmissor de sinal 1012 é especificamente configurado para: comparar um certificado temporário recebido com o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando o VNFM determina que o certificado temporário recebido é o mesmo que o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF é bem sucedida; ou quando o VNFM determina que o certificado temporário recebido é diferente do certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF falha.

[201] Opcionalmente, a informação de autenticação é uma chave pré-compartilhada PSK, em que a PSK é gerada quando um orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitida para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[202] O receptor de sinal 1011 é especificamente configurado para enviar a PSK para a instância de VNF e receber a mensagem de proxy de aplicação de certificado enviada pela instância de VNF, em que a mensagem de proxy de aplicação de certificado é enviada para o VNFM quando a instância de VNF determina que uma PSK localmente injetada é a mesma ou associada com a PSK recebida.

[203] O transmissor de sinal 1012 é especificamente configurado para: comparar a PSK recebida com uma PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando é determinado que a PSK recebida é a mesma ou relacionada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF é bem sucedida; ou quando é determinado que a PSK recebida é diferente de ou não associada com a PSK que é emitida quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF falha.

[204] Opcionalmente, o dispositivo inclui ainda um processador 1014, onde: o processador 1014 é configurado para: quando o certificado é enviado para a instância de VNF, utilizar o certificado para estabelecer um canal de gerenciamento para a instância de VNF.

[205] O processador 1014 pode ser uma unidade central de processamento de propósito geral (CPU), um microprocessador, um circuito integrado de aplicação específica (application specific integrated circuit, ASIC), ou um ou mais circuitos integrados usados para controlar a execução de um programa da solução na presente invenção.

[206] O barramento de comunicação 1013 pode incluir um caminho para a transmissão de informação entre os componentes anteriores.

[207] Deve ser notado que o dispositivo de acordo com esta modalidade da presente invenção pode ser um gerenciador de função de rede virtualizada VNF VNFM em um sistema virtual, e tem uma função solicitar um certificado por proxy para a instância de VNF, e pode ser implementado na forma de hardware ou software, o que não é aqui limitado. Modalidade 10

[208] Como mostrado na Figura 11, que é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 10 da presente invenção, o dispositivo inclui um receptor de sinal 1111 e um transmissor de sinal 1112, em que o receptor de sinal 1111 e o transmissor de sinal 1112 são ligados através de um barramento de comunicação 1113.

[209] O receptor de sinal 1111 é configurado para receber uma mensagem de proxy de aplicação de certificado enviada por um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, em que a mensagem de proxy de aplicação de certificado inclui uma instância de VNF que solicita aplicação de certificado, e informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado.

[210] O transmissor de sinal 1112 é configurado para enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado inclui a informação da aplicação de certificado utilizada pela instância de VNF para aplicação de certificado.

[211] O receptor de sinal 1111 é ainda configurado para receber um certificado emitido pela CA.

[212] O transmissor de sinal 1112 é ainda configurado para enviar o certificado para o VIM, em que o certificado é gerado pela CA de acordo com a informação da aplicação de certificado utilizada pela instância de VNF para aplicação de certificado e incluído na mensagem de aplicação de certificado.

[213] Opcionalmente, a mensagem de proxy de aplicação de certificado é gerado pelo VIM de acordo com a informação da aplicação de certificado recebida, em que a informação da aplicação de certificado é obtida pela instância de VNF de acordo com um parâmetro de inicialização e enviada pela instância de VNF para uma VM e, em seguida, enviada pela VM para o VIM através de um canal seguro para o VIM.

[214] Opcionalmente, o parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando um orquestrador de virtualização de função de rede NFVO determina instanciar a instância de VNF.

[215] Deve ser notado que o dispositivo de acordo com esta modalidade da presente invenção pode ser um gerenciador de função de rede virtualizada VNF VNFM em um sistema virtual, e tem uma função solicitar um certificado por proxy para a instância de VNF, e pode ser implementado na forma de hardware ou software, o que não é aqui limitado. Modalidade 11

[216] Como mostrado na Figura 12, que é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 11 da presente invenção, o dispositivo inclui um receptor de sinal 1211 e um processador 1212, em que o receptor de sinal 1211 e o processador 1212 são ligados através de um barramento de comunicação 1213.

[217] O receptor de sinal 1211 é configurado para receber uma mensagem de aplicação de certificado enviada por uma instância de função de rede virtualizada VNF, em que a mensagem de aplicação de certificado inclui um certificado temporário e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que o certificado temporário é solicitado a partir de uma CA quando um orquestrador de virtualização de função de rede NFVO determina a necessidade de instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM em que a VNF é executada.

[218] O processador 1212 é configurado para utilizar o certificado temporário para autenticar a instância de VNF, e quando a autenticação é bem sucedida, emitir um certificado para a instância de VNF de acordo com a informação da aplicação de certificado que é utilizada para aplicação de certificado e incluída na mensagem de aplicação de certificado.

[219] O processador 1212 pode ser uma unidade central de processamento de propósito geral (CPU), um microprocessador, um circuito integrado de aplicação específica (application specific integrated circuit, ASIC), ou um ou mais circuitos integrados usados para controlar a execução de um programa da solução na presente invenção.

[220] O barramento de comunicação 1213 pode incluir um caminho para a transmissão de informação entre os componentes anteriores.

[221] Deve ser notado que o dispositivo de acordo com esta modalidade da presente invenção pode ser uma autoridade de certificado, e pode ser uma autoridade de certificado ou outro dispositivo capaz de autenticar um certificado, o que não é aqui limitado; e o dispositivo pode ser implementado na forma de hardware ou software, o que não é aqui limitado. Modalidade 12

[222] Como mostrado na Figura 13, que é um diagrama estrutural esquemático de um dispositivo de aquisição de certificado de acordo com a Modalidade 12 da presente invenção, o dispositivo inclui um receptor de sinal 1311 e um transmissor de sinal 1312, em que o receptor de sinal 1311 e o transmissor de sinal 1312 são ligados através de um barramento de comunicação 1313.

[223] O receptor de sinal 1311 é configurado para receber uma mensagem de aplicação de certificado enviada por uma máquina virtual VM, em que a mensagem de aplicação de certificado inclui uma chave pública utilizada para aplicação de certificado.

[224] O transmissor de sinal 1312 é configurado para enviar uma mensagem de proxy de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de proxy de aplicação de certificado inclui a chave pública utilizada pela VM para aplicação de certificado.

[225] O receptor de sinal 1311 é ainda configurado para receber um certificado emitido pela CA.

[226] O transmissor de sinal 1312 é ainda configurado para enviar o certificado para a máquina virtual, em que o certificado é obtido pela CA através de assinatura de acordo com a chave pública utilizada pela VM para aplicação de certificado e incluído na mensagem de proxy de aplicação de certificado.

[227] Especificamente, o transmissor de sinal 1312 é especificamente configurado para enviar a mensagem de proxy de aplicação de certificado para um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de função de rede virtualizada, de modo que o VIM encaminha a mensagem de proxy de aplicação de certificado para a autoridade de certificado CA.

[228] Opcionalmente, o dispositivo inclui ainda um processador 1314, onde: o processador 1314 é configurado para: quando a VM recebe o certificado, estabelecer um canal de gerenciamento entre a VM e um gerenciador de VM.

[229] Opcionalmente, a chave pública é gerada pela VM de acordo com um parâmetro de inicialização, em que o parâmetro de inicialização inclui informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando o gerenciador de infraestrutura virtualizada VIM na estrutura de trabalho de função de rede virtualizada recebe uma instrução para gerar a VM, em que a instrução é enviada por um orquestrador de virtualização de função de rede NFVO.

[230] O processador 1314 pode ser uma unidade central de processamento de propósito geral (CPU), um microprocessador, um circuito integrado de aplicação específica (application specific integrated circuit, ASIC), ou um ou mais circuitos integrados usados para controlar a execução de um programa da solução na presente invenção.

[231] O barramento de comunicação 1313 pode incluir um caminho para a transmissão de informação entre os componentes anteriores.

[232] Deve ser notado que o dispositivo de acordo com esta modalidade da presente invenção pode ser uma infraestrutura de virtualização de função de rede NFVI, e tem uma função solicitar um certificado por proxy para a VM, e pode ser implementado na forma de hardware ou software, o que não é aqui limitado.

[233] Um perito na arte deve entender que as modalidades da presente invenção podem ser fornecidas como um método, um aparelho (dispositivo), ou um produto de programa de computador. Por conseguinte, a presente invenção pode utilizar uma forma de modalidades apenas de hardware, modalidades apenas de software, ou modalidades com uma combinação de software e hardware. Além disso, a presente invenção pode utilizar uma forma de um produto de programa de computador que é executado em um ou mais meios de armazenamento utilizáveis por computador (incluindo, mas não se limitando a uma memória de disco, um CD-ROM, uma memória óptica, e similares) que incluem o código de programa utilizável por computador.

[234] A presente invenção é descrita com referência aos fluxogramas e/ou diagramas de blocos do método, aparelho (dispositivo), e produto de programa de computador de acordo com as modalidades da presente invenção. Deve ser entendido que as instruções de programa de computador podem ser utilizadas para implementar cada processo e/ou cada bloco nos fluxogramas e/ou diagramas de blocos e uma combinação de um processo e/ou um bloco nos fluxogramas e/ou diagramas de blocos. Estas instruções de programa de computador podem ser fornecidas para um computador de utilização geral, um computador dedicado, um processador incorporado, ou um processador de qualquer outro dispositivo de processamento de dados programável para gerar uma máquina, de modo que as instruções executadas por um computador ou um processador de qualquer outro dispositivo de processamento de dados programável geram um aparelho para execução de uma função específica em um ou mais processos nos fluxogramas e/ou em um ou mais blocos nos diagramas de blocos.

[235] Estas instruções de programa de computador podem também ser armazenadas em uma memória legível por computador que pode instruir o computador ou qualquer outro dispositivo de processamento de dados programável para funcionar de uma forma específica, de modo que as instruções armazenadas na memória legível pelo computador geram um produto manufaturado que inclui um aparelho de instrução. O aparelho de instrução implementa uma função específica em um ou mais processos nos fluxogramas e/ou em um ou mais blocos nos diagramas de blocos.

[236] Estas instruções de programa de computador podem também ser carregadas em um computador ou outro dispositivo de processamento de dados programável, de modo que uma série de operações e passos são realizados no computador ou em outro dispositivo programável, gerando assim o processamento implementado por computador. Portanto, as instruções executadas no computador ou em outro dispositivo programável fornecem passos para implementar uma função específica em um ou mais processos nos fluxogramas e/ou em um ou mais blocos nos diagramas de blocos.

[237] Apesar de algumas modalidades preferidas da presente invenção terem sido descritas, pessoas peritas na arte podem fazer alterações e modificações nestas modalidades, uma vez que aprendem o conceito inventivo básico. Portanto, as reivindicações seguintes destinam-se a ser interpretadas como cobrindo as modalidades preferidas e todas as alterações e modificações que caem dentro do âmbito da presente invenção.

[238] Obviamente, uma pessoa especialista na técnica pode fazer várias modificações e variações na presente invenção sem nos afastarmos do espírito e âmbito da presente invenção. A presente invenção destina-se a cobrir tais modificações e variações desde que se enquadrem dentro do âmbito de proteção definido pelas seguintes reivindicações e suas tecnologias equivalentes.

Claims (10)

1. Dispositivo de aquisição de certificado, CARACTERIZADO pelo fato de que compreende: um módulo de recepção (61), configurado para receber uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado compreende informação de autenticação e informação de aplicação de certificado para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e o gerenciador de função de rede virtualizada, VNFM; e um módulo de envio (62), configurado para utilizar a informação de autenticação recebida pelo módulo de recepção para autenticar a instância de VNF, e quando a autenticação é bem sucedida, enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado compreende a informação de aplicação de certificado para aplicação de certificado; em que o módulo de recepção é ainda configurado para receber, a partir da CA, um certificado emitido pela CA e gerado de acordo com a informação de aplicação de certificado que é utilizada para aplicação de certificado e compreendida na mensagem de aplicação de certificado; e o módulo de envio é ainda configurado para enviar o certificado recebido pelo módulo de recepção para a instância de VNF.

2. Dispositivo de aquisição de certificado, CARACTERIZADO pelo fato de que compreende: um módulo de recepção (71), configurado para receber uma mensagem de proxy de aplicação de certificado a partir de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, em que a mensagem de proxy de aplicação de certificado compreende uma instância de VNF que solicita aplicação de certificado, e informação de aplicação de certificado pra uso pela instância de VNF para aplicação de certificado; e um módulo de envio (72), configurado para enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado compreende a informação de aplicação de certificado recebida pelo módulo de recepção e utilizada pela instância de VNF para aplicação de certificado, em que o módulo de recepção é ainda configurado para receber, a partir da CA, um certificado emitido pela CA e gerado de acordo com a informação de aplicação de certificado que é utilizada pela instância de VNF para aplicação de certificado e compreendida na informação de aplicação de certificado; e o módulo de envio é ainda configurado para enviar o certificado recebido pelo módulo de recepção ao VIM.

3. Método de aquisição de certificado, CARACTERIZADO pelo fato de que compreende: receber (101), por um gerenciador de função de rede virtualizada VNFM, uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF, em que a mensagem de proxy de aplicação de certificado compreende informação de autenticação e informação de aplicação de certificado que é utilizada para aplicação de certificado, em que a informação de autenticação é utilizada para estabelecer um canal para proxy-aplicação de certificado entre a instância de VNF e o VNFM; utilizar (102), pelo VNFM, a informação de autenticação para autenticar a instância de VNF, e quando a autenticação é bem sucedida, enviar uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado compreende a informação de aplicação de certificado que é utilizada para aplicação de certificado; e receber (103), pelo VNFM, um certificado emitido pela CA, e enviar o certificado para a instância de VNF, em que o certificado é gerado pela CA de acordo com a informação de aplicação de certificado que é utilizada para aplicação de certificado e compreendida na mensagem de aplicação de certificado.

4. Método, de acordo com a reivindicação 3, CARACTERIZADO pelo fato de que a informação de autenticação é um certificado temporário, em que o certificado temporário é solicitado a partir do VNFM quando um orquestrador de virtualização de função de rede NFVO determina uma necessidade para instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM na qual a VNF é executada.

5. Método, de acordo com a reivindicação 4, CARACTERIZADO pelo fato de que a utilização (102), pelo VNFM, da informação de autenticação para autenticar a instância de VNF compreende: comparar, pelo VNFM, um certificado temporário recebido com o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF; e quando o VNFM determina que o certificado temporário recebido é o mesmo que o certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF é bem sucedida; ou quando o VNFM determina que o certificado temporário recebido é diferente do certificado temporário que é solicitado a partir do VNFM quando o NFVO determina a necessidade de instanciar a instância de VNF, determinar que a autenticação na instância de VNF falha.

6. Método, de acordo com a reivindicação 3, CARACTERIZADO pelo fato de que a informação de autenticação é uma chave pré-compartilhada PSK, em que a PSK é gerada quando um orquestrador de virtualização de função de rede NFVO determina uma necessidade para instanciar a instância de VNF e é transmitido para a instância de VNF através de um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, uma infraestrutura de NFV NFVI, e uma máquina virtual VM na qual a VNF é executada.

7. Método, de acordo com a reivindicação 6, CARACTERIZADO pelo fato de que a recepção (102), por um gerenciador de função de rede virtualizada VNF VNFM, uma mensagem de proxy de aplicação de certificado enviada por uma instância de VNF compreende: enviar, pelo VNFM, a PSK para a instância de VNF, e receber a mensagem de proxy de aplicação de certificado enviada pela instância de VNF, em que a mensagem de proxy de aplicação de certificado é enviada para o VNFM quando a instância de VNF determina que uma PSK localmente injetada é a mesma ou associada com a PSK recebida enviada pelo VNFM.

8. Método de aquisição de certificado, CARACTERIZADO pelo fato de que compreende: receber (201), por um gerenciador de função de rede virtualizada VNFM, uma mensagem de proxy de aplicação de certificado enviada por um gerenciador de infraestrutura virtualizada VIM em uma estrutura de trabalho de VNF, em que a mensagem de proxy de aplicação de certificado compreende uma instância de VNF que solicita aplicação de certificado, e informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado; enviar (202), pelo VNFM, uma mensagem de aplicação de certificado para uma autoridade de certificado CA, em que a mensagem de aplicação de certificado compreende a informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado; e receber (203), pelo VNFM, um certificado emitido pela CA, e enviar o certificado para o VIM, em que o certificado é gerado pela CA de acordo com a informação de aplicação de certificado utilizada pela instância de VNF para aplicação de certificado e compreendida na informação de aplicação de certificado.

9. Método, de acordo com a reivindicação 8, CARACTERIZADO pelo fato de que a mensagem de proxy de aplicação de certificado é gerada pelo VIM de acordo com a informação de aplicação de certificado recebida, em que a informação de aplicação de certificado é obtida pela instância de VNF de acordo com um parâmetro de inicialização e enviada pela instância de VNF para uma VM e, em seguida, enviada pela VM para o VIM através de um canal seguro para o VIM.

10. Método, de acordo com a reivindicação 9, CARACTERIZADO pelo fato de que o parâmetro de inicialização compreende informação de CA e um nome de domínio de um domínio de gerenciamento de certificados e é obtido quando um orquestrador de virtualização de função de rede NFVO determina instanciar a instância de VNF.

Images