CN102171669B - 认证分区上的服务 - Google Patents

Abstract

本公开的实施例描述了用于认证在分区上运行的服务的系统和方法。在此方面，用于认证服务的系统的一个实施例包括：分区，其包括授权服务的列表以及在所述分区上运行的服务；以及与所述分区通信的管理处理器，其中，所述管理处理器被配置为如果所述服务在所述授权服务的列表中列出则生成用于在所述分区上运行的服务的证书。

Description

认证分区上的服务

背景技术

很多系统（例如刀片服务器或蜂窝服务器）使用分区，其将该系统划分为单独的部分，以允许在该系统中的多个操作系统的操作。分区包括两个主要类别：软分区和硬分区。通过将系统划分为物理上独立的分区来在板级实现硬分区，其在逻辑上以及电气上均对多个操作系统进行隔离。通过将服务器资源（例如CPU和存储器使用）分配给每个分区来在处理核级实现软分区，其对多个操作系统提供功能性的但非电气的隔离。

分区内可能运行有各种服务。在分区中操作的服务可能需要从系统的其他分区请求信息和/或配置改变。过去，在没有安全域访问控制或记录请求的情况下执行这些请求。但是，随着越来越意识到系统安全性，在授权执行请求和/或记录审计追踪条目之前，需要认证服务。

发明内容

本公开的实施例涉及用于认证在分区上操作的服务的系统和方法。

简要地说，一个实施例其中包括用于认证服务的系统。该系统包括：配置为执行服务的分区；与所述分区相关联的授权服务的列表；以及与所述分区通信的管理处理器，所述管理处理器被配置为如果该服务在所述授权服务的列表中列出则生成用于所述服务的证书。

另一实施例其中包括用于认证在分区上运行的服务的方法。该方法包括：由所述服务发起对证书的请求；验证所述服务在与所述分区相关联的授权服务组中列出；以及如果所述服务在授权服务组中列出，则将对于证书的请求发送到管理处理器。

另一实施例其中包括计算机可读存储介质，所述计算机可读存储介质包括用于认证服务的程序。该程序当由计算机处理器执行时，使得所述处理器执行下述步骤：由所述服务发起对证书的请求，所述请求包括对应于所述服务的独特服务标识符；验证所述服务在授权服务组中列出；以及如果所述服务在所述授权服务组中列出，则将对于证书的请求发送到管理处理器。

在研究下述附图和详细说明之后，本公开的其他系统、方法、特征和优点对于本领域技术人员来说将是或变得显而易见。所有此类附加的系统、方法、特征和优点意图被包括在此说明中，被包括在本发明的范围内，且由所附权利要求书所保护。

附图说明

参考以下附图能够更好地理解本发明的很多方面。附图中的构件不一定按照比例绘制，而是将重点放在清楚图示本发明的原理。此外，在附图中，类似的参考数字遍及若干视图表示对应的部件。

图1是根据本公开的一个实施例的分区的系统的图示。

图2是根据本公开的一个实施例的、在安装了例示性认证系统中包括的管理工具之后的图1的分区的系统的图示。

图3是根据本公开的一个实施例的、在服务启动时间的图2的认证系统的图示。

图4是根据本公开的一个实施例的、包括对管理处理器资源做出请求的服务的图2的认证系统的图示，以及

图5是示出根据本公开的一个实施例的、用于认证在分区上运行的服务的例示性方法的流程图。

具体实施方式

本文中公开了关于认证在分区上运行的服务的方法和系统的各种实施例。现在将详细参考附图中所示出的实施例的描述，在附图中，类似的参考数字遍及若干视图表示类似的部件。

当在系统中创建分区时，系统的管理处理器（MP）将指示处理器相关硬件控制器（PDHC）来激活与正配置的分区相关联的一个或多个接口。图1是根据本公开的一个实施例的分区的系统100的图示。分区的系统可以包括与所期望的一样多的分区。在图1的非限制性实施例中，仅仅为了说明目的示出了单个分区101。分区101经由接口109与PDHC 106通信。PDHC 106包括与分区101相关联的带内通信信道107以及块传输（BT）接口108，它们分别与公共信息模型对象管理器（CIMOM）111以及底板管理控制器（BMC）112通信。CIMOM 111与BMC 112被包括在MP 110中。对分区101进行管控（administer）的分区管控帐户113也与CIMOM 111通信。

图2是在安装了例示性认证系统200中包括的管理工具之后的图1的分区的系统的图示。在分区101上安装管理工具可以与创建分区101同时地或在其后进行。例如，在HPUX环境中，用于认证系统200的软件可以与操作系统（OS）一同安装。在Windows、OpenVMS、Linux或其他环境中，安装认证系统200的适当实施例可以与分区上的OS安装分开。利用任何OS，可以支持更新和附加服务的安装。在任何环境中的安装和更新可以涉及对分区的管控性或根访问。在分区101上安装的特定OS可以使用其OS特有文件系统许可来控制对接口109的访问。

在图2的实施例中，分区101中安装的管理工具包括带内通信守护程序（daemon）202、用于带内通信的授权守护程序203、消息队列204以及授权服务（AuthServ）组205。带内通信守护程序202经由接口109与带内通信信道107通信。用于带内通信的授权守护程序203经由消息队列204与AuthServ组205通信，以及经由接口109与块传输接口108通信。AuthServ组205包括服务标识符（SID）的列表。独特的SID与在分区上运行的服务相关联。在图2的非限制性实施例中，仅仅为了说明性目的而示出SID 1和SID 2。在其他实施例中，与AuthServ组205相关联的SID的数量可能不同。由分区管控帐户113对AuthServ组205中的SID列表进行填充，以及所列出的SID对应于被授权在分区101上运行的服务。这种服务可以包括但不限于软件应用，诸如例如工资应用、全局工作负荷管理器或增值应用。

带内通信守护程序202的实施例可以将对于MP资源的计算资源请求从在分区101上运行的服务发送到MP 110。在一些实施例中，带内通信守护程序202被禁止在分区101与MP 110之间发起请求。例如，守护程序202可以仅仅在分区101上的服务与MP 110之间转发请求。因此，在这种实施例中，带内通信守护程序202不需要具有其自身的访问证书来访问MP 110。

用于带内通信的授权守护程序203的实施例可以用于经由接口109和BT接口108向MP 110请求用于服务的证书。接口109的实施例可以包括智能平台管理接口（IPMI），其要求管控用户级访问以跨IPMI进行连接。在这种实施例中，授权守护程序203可以使用专门定义的IPMI请求来与MP 110对话。授权守护程序203也可以使用消息队列204来与服务通信。

AuthServ组205的实施例可以用于控制对消息队列204的访问。用于带内通信的授权守护程序203使用消息队列204来向MP 110请求证书。创建SID、添加SID、修改SID或从AuthServ组205移除SID可以要求在分区101上的管理员级访问。AuthServ组205也可以指定授权特定服务所具有的对于MP 110的资源的访问级。

图3是根据本公开的一个实施例的、在服务启动时的图2的认证系统的图示。虽然在图3中示出了单个服务314，但是任何适合数量的服务可以在分区101上运行。服务314在分区101上在独特服务标识符（SID）下运行。被分区管控帐户113授权的服务使它们的SID列入AuthServ组205中。在启动时，服务314可能没有证书来访问MP 110。因此，服务314经由消息队列204向用于带内通信的授权守护程序203发送对于证书的请求。消息队列204将基于在AuthServ组205中列出的SID确定请求的有效性。仅仅具有在AuthServ组205中列出的SID的服务可以访问MP 110以做出证书请求。消息队列204也可以实行在AuthServ组205中定义的文件系统许可。

在接收到对于证书的请求后，MP 110将检查以了解是否存在用于分区101上的服务314的证书。如果存在证书，MP 110经由接口109将证书返回到用于带内通信的授权守护程序203。该用于带内通信的授权守护程序203然后将证书传递回到服务314。如果当前不存在证书，MP 110利用具体为做出请求的服务314定义的角色来创建证书。可以由分区管控帐户113在AuthServ组205中定义该特殊角色，以具体针对服务314调节对于MP 110的访问特权；因此，管理员可以视情况将服务314的访问限制为仅仅要求的特权。

其中，在一个例示性实施例中，证书可以包括由MP 110针对服务314发布的随机、独特密码。在一些实施例中，该密码可以与例如服务的SID相关联，或与MP 110为服务314创建的独特帐户相关联。如果MP 110创建用于请求服务的帐户，该帐户名称与密码被一同传递回到该服务；替换地，服务314可以使用其SID作为其帐户名称。在其他实施例中，密码可以符合配置的密码长度要求，以及如果管理员期望可以由大小写字母以及数字两者来构成。另外，其中一些实施例可以具有最小密码长度（例如8个或更多字符）。

在包括多个分区的图3的替换实施例中，服务的单独实例可以在不同分区上运行。服务的每个单独实例可能要求对于服务的归属分区（home partition）来说独特的单独证书。可以作为认证和授权过程的部分向MP 110标识请求的源分区，以确保请求服务被授权在它从其做出请求的分区上运行。如果不存在用于请求服务的SID，可由MP 110为请求服务生成独特的证书，且使用该独特的证书来认证来自请求服务的对于MP 110资源的请求。

图4是根据本公开的一个实施例的、包括对MP资源做出请求的服务414的图2的认证系统的图示。参考图4，一旦服务414已经通过用于带内通信的授权守护程序203从MP 110获取了证书，服务414就准备好经由带内通信守护程序202和接口109在带内通信信道107上与MP 110通信。带内通信信道107或守护程序202的实施例可以支持基本HTTP认证。当服务414向MP 110发起请求时，服务414可以将其认证信息放置在如指定用于HTTP基本认证的该请求的HTTP报头的认证字段中，所述认证信息包括例如SID和/或其他来自MP 110的证书。在由MP 110执行请求之前，在认证字段中的认证信息可以用于认证服务414以及检查在分区管控帐户113中为服务的角色定义的许可。认证系统的实施例可以使用任何适合的方法以传递和认证向MP 110请求计算资源的服务414的证书。

图5是示出根据本公开的一个实施例的、用于认证在分区上运行的服务的例示性方法500的流程图。在块510中，在分区上安装服务。此时，为该服务分派独特SID。在一些实施例中，该独特的服务ID可以由管理员来分派。在块520中，通过具有对分区的根访问的实体，将服务的独特SID添加到分区上的AuthServ组。在其他实施例中，可以由管理员来添加SID。在块530中，启动服务。在块540中，服务连接到授权守护程序以向MP请求证书；该请求经由消息队列来发送。在块550中，消息队列检查在AuthServ组中列出的SID来了解是否列出了请求服务。如果在AuthServ组中列出了所述服务，则在块560中消息队列经由接口将对于证书的请求发送到管理处理器，以及在块570中该管理处理器创建对于在该分区上的该服务所特有的证书。然后，在块580中管理处理器经由接口将这些证书返回到该服务。服务在块590中继续执行，以及服务使用在块570中发布的证书进行对管理处理器的所有请求。管理处理器可以独特地识别和认证在其特定分区上的服务，以及在一些实施例中，记录服务的资源请求。

其中的一些实施例可以允许证书的截止日期。在这种实施例中，如果服务在大于指定的最大证书寿命的时段内不重启，服务的证书将期满。其中，在一个实施例中，该最大证书寿命可以由管理员来指定。在其他实施例中，所述最大证书寿命可以是预定值。如果发生证书的期满，由服务向管理处理器进行的请求将失败。如果该失败由期满的证书所导致，则服务再次连接到授权守护程序并请求更新的证书。只要在AuthServ组中列出所述服务，则新的证书请求成功，且服务自动地接收新的更新的证书，而无需另外的用户或管理员介入。

本公开的实施例能够以硬件、软件、固件或其组合来实现。在各种实施例中，系统构件以存储在存储器中且由适合的指令执行系统执行的软件或固件来实现。如果以硬件实现，如在一些实施例中那样，系统构件能够利用本领域中公知的以下技术的任何一种或组合来实现：（一个或多个）分立逻辑电路，其具有对数据信号实施逻辑功能的逻辑门；专用集成电路（ASIC），其具有适合的组合逻辑门；（一个或多个）可编程门阵列（PGA）；现场可编程门阵列（FPGA）等。 

软件构件可以包括用于实现逻辑功能的可执行指令的有序列表，能够实施在任何计算机可读介质中以供指令执行系统、设备或装置使用或与之结合使用，所述指令执行系统、设备或装置诸如基于计算机的系统，包含处理器的系统，或能够从指令执行系统、设备或装置取得这些指令并执行所述指令的其他系统。另外，本公开的范围包括以在硬件或软件配置的介质中实施的逻辑来实施一个或多个实施例的功能。

流程图中的任何过程描述或块应该理解为表示包括一个或多个用于实现特定逻辑功能或过程中的步骤的可执行指令的模块、片段或代码部分，以及替换实施方式被包括在本公开的优选实施例的范围内，其中，功能可以按与所示或所讨论不同的次序来执行，包括基本上并发地或以相反次序执行，这取决于涉及的功能，如本公开的领域中的技术人员将理解的。

除非另有明确声明或在使用的上下文中以其他方式来理解，条件用语（其中诸如“可”、“会”、“可以”、或“可能”）通常意图传达：某些实施例可以包括但不要求某些特征、元件和/或步骤。因此，这种条件用语通常不意图暗示:特征、元件和/或步骤以任何方式被要求用于一个或多个实施例，或一个或多个实施例必须包括逻辑以用于在具有或不具有用户输入或提示的情况下判定这些特征、元件和/或步骤是否被包括于任何特定实施例中或待在任何特定实施例中执行。

应该强调，本发明的上述实施例仅仅是实施方式的可能示例，仅仅为了清楚地理解本发明的原理而阐明。可以对本发明的上述（一个或多个）实施例进行各种变型和修改而基本不偏离本发明的精神和原理。所有这些修改和变型在此意图被包括在本公开及本发明的范围内，并由以下权利要求来保护。

Claims (9)

1.一种用于认证服务的系统，包括：

分区，其配置为执行所述服务，

与所述分区相关联的授权服务的列表；以及

与所述分区通信的管理处理器，所述分区包括消息队列，用于将对于证书的请求从所述服务发送到管理处理器，其中，所述消息队列被配置为：在将对于证书的请求发送到管理处理器之前，验证所述服务在授权服务的列表中列出，所述管理处理器配置为如果用于做出请求的服务的证书存在则返回用于所述服务的证书，而且，所述管理处理器配置为如果所述证书目前不存在则创建证书，并响应于所述请求返回所创建的证书，所述证书包括为做出请求的服务特别定义的角色。

2.根据权利要求1所述的系统，还包括带内通信守护程序，用于将对于管理处理器资源的请求从所述服务发送到管理处理器，所述请求包括用于所述服务的证书。

3.根据权利要求2所述的系统，其中，所述管理处理器被配置为：在执行请求之前验证所述请求被授权用于所述服务。

4.根据权利要求1所述的系统，其中，所述服务使用对应于所述服务的独特的服务标识符向所述管理处理器请求证书。

5.一种用于认证在分区上运行的服务的方法，所述方法包括：

创建分区；

在分区上安装授权服务组；

对所述服务分派独特的服务标识符；以及

响应于分派所述独特的服务标识符，将所述独特的服务标识符添加到所述授权服务组；

由所述服务发起对证书的请求；

验证所述服务在与所述分区相关联的授权服务组中列出；

如果所述服务在所述授权服务组中列出，将对于证书的请求发送到管理处理器；以及

如果用于做出请求的服务的证书存在，则从所述管理处理器接收用于做出请求的服务的证书，而且，如果响应于所述请求证书目前不存在，则接收所述管理处理器所创建的证书，所述证书包括为做出请求的服务特别定义的角色。

6.根据权利要求5所述的方法，还包括向管理处理器发送对于用于服务的计算资源的请求，所述请求包括响应于所述请求从所述管理处理器接收的用于服务的证书。

7.根据权利要求6所述的方法，其中，所述证书包括由所述管理处理器生成的随机密码。

8.根据权利要求6所述的方法，其中，所述证书在指定量的时间后期满。

9.根据权利要求8所述的方法，还包括：如果所述证书已经期满，则自动地将对于证书的新请求发送到管理处理器。