CN104468587B - 一种云计算环境下的虚拟机单点登录方法和系统 - Google Patents

Abstract

本发明公开了一种云计算环境下的虚拟机单点登录方法，所述方法包含权限配置步骤以及单点登录步骤。本发明还公开了一种相应的云计算环境下的虚拟机单点登录系统，所述系统包含用于配置用户权限的用户控制中心以及用于执行单点登录的登录模块。本发明的虚拟机登录方法操作简单，无需修改虚拟机系统内核，不需依赖网络，可以简单快捷的实现云计算环境下的虚拟机单点登录，本发明的虚拟机登录系统中拥有单点登录权限的用户可以在登录云管理平台并连接到虚拟机的同时自动登录到虚拟机系统，大大提高了用户体验。

Description

一种云计算环境下的虚拟机单点登录方法和系统

技术领域

本发明涉及计算机技术领域，具体说涉及一种云计算环境下的虚拟机单点登录方法和系统。

背景技术

单点登录，这是一种只需登录一次便可访问所有其他相互信任的应用系统的技术。用户的第一次登录信息将被应用到其他应用系统中，其他应用系统使用相同的登录信息和认证控制中心，从而达到自动登录的效果。

随着虚拟机技术以及云计算技术的广泛应用，为了简化操作，单点登录也被应用到了虚拟机应用领域。然而在云计算环境下，虚拟机要想实现单点登录，则面临众多问题。云计算环境里的虚拟机需要一个统一的管理平台，即云管理平台，它类似网络门户。传统网络门户单点登录实现方式是用户通过身份认证后被赋予某个角色，根据该角色的权限形成一个可访问的应用系统列表。用户根据列表可以选择需要登录的其他网络应用系统。这种实现方式适合于相同类型的应用系统，而无法应用在云管理平台与虚拟机之间。

目前存在的关于虚拟机单点登录的解决方法是：借助于操作系统自带的远程登录功能，再利用认证控制中心完成登录。这种方法有它的局限性：第一，实现上比较复杂，操作系统上没有成熟的图像重定向方案；第二，远程登录必须借助网络，如果手边没有网络将无法登录到虚拟机桌面。

因此，针对当前存在的云计算环境下的虚拟机单点登录存在的众多问题，需要一种新的单点登录方法以更加简便快捷的实现云计算环境下的虚拟机单点登录。

发明内容

针对当前存在的云计算环境下的虚拟机单点登录存在的众多问题，本发明提供了一种云计算环境下的虚拟机单点登录方法，所述方法包含以下步骤：

权限配置步骤，配置用户权限以获取用于进行单点登陆的用户；

单点登录步骤，当所述用户登陆所述虚拟机管理平台并连接到所述虚拟机管理平台创建的虚拟机系统时，利用所述用户的登录信息登录到所述虚拟机系统，从而完成所述用户的虚拟机单点登录；

其中，所述单点登录步骤包含构建隧道步骤，以基于虚拟化提供者提供的隧道为基础构建所述虚拟机系统与所述虚拟机管理平台之间的通信隧道以传输所述登录信息。

在一实施例中，所述用户拥有特定的用户权限，所述特定的用户权限包括登录所述虚拟机管理平台的权限、连接所述虚拟机系统的权限以及登录所述虚拟机系统的权限。

在一实施例中，所述权限配置步骤包含以下步骤：

基于所述虚拟机单点登录的登录需求建立特定的域并将所述用户加入到所述域中；

将所述虚拟机管理平台加入到所述域中，使得所述用户拥有登录所述虚拟机管理平台的权限；

使用所述虚拟机管理平台为所述用户分配权限，使得所述用户拥有连接所述虚拟机系统的权限；

将所述虚拟机系统加入到所述域中，使得所述用户拥有登录所述虚拟机系统的权限。

在一实施例中，在所述构建隧道步骤中修改所述虚拟机系统的启动配置文件，从而添加隧道控制器设备，进而构建所述通信隧道。

在一实施例中，所述单点登录步骤还包含以下步骤：

命令生成步骤，基于所述用户的登录信息生成并发送相应的登录命令；

命令解析步骤，接收并解析所述登录命令从而获取所述登录信息；

虚拟机登录步骤，利用所述登录信息登录所述虚拟机系统从而使得所述用户登录到所述虚拟机系统。

在一实施例中，所述虚拟机登录步骤包含以下步骤：

判断所述虚拟机系统的操作系统类型并输出判断结果；

根据所述判断结果针对不同的所述操作系统类型采用相应的虚拟机登录方法使得所述用户登录到所述虚拟机系统。

在一实施例中，所述虚拟机系统的操作系统包括微软视窗操作系统和Linux系统。

本发明还提供了一种云计算环境下的虚拟机单点登录系统，其特征在于，所述系统包含：

用户控制中心，其用于配置用户权限以获取用于进行单点登陆的用户；

登录模块，当所述用户登陆虚拟机管理平台并连接到所述虚拟机系统时，利用所述用户的登录信息登录到所述虚拟机系统，从而完成所述用户的虚拟机单点登录；

其中，所述登录模块包含隧道构建单元，所述隧道构建单元用于基于虚拟化提供者提供的隧道构建所述虚拟机系统与所述虚拟机管理平台之间的通信隧道以传输所述登录信息。

在一实施例中，利用微软活动目录构建所述用户控制中心，从而建立微软活动目录服务器，进而利用所述微软活动目录服务器建立域。

在一实施例中，所述登录模块还包含：

登录命令生成单元，其用于基于所述用户的登录信息生成并发送相应的登录命令；

登录命令解析单元，其用于接收并解析所述登录命令从而获取并输出所述登录信息；

虚拟机登录单元，其与所述登录命令解析单元相连，用于利用所述登录信息登录所述虚拟机系统从而使得所述用户登录到所述虚拟机系统。

与现有技术相比，本发明具有如下优点：

利用本发明的登录方法，拥有单点登录权限的用户可以在登录云管理平台并连接到虚拟机的同时自动登录到虚拟机系统，大大提高了用户体验；

本发明的虚拟机登录方法操作简单，无需修改虚拟机系统内核，不需依赖网络，可以简单快捷的实现云计算环境下的虚拟机单点登录；

本发明的虚拟机登录方法适用不同的虚拟机操作系统，具有很强的实用性。

本发明的其它特征或优点将在随后的说明书中阐述。并且，本发明的部分特征或优点将通过说明书而变得显而易见，或者通过实施本发明而被了解。本发明的目的和部分优点可通过在说明书、权利要求书以及附图中所特别指出的步骤来实现或获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例共同用于解释本发明，并不构成对本发明的限制。在附图中：

图1是根据本发明一实施例的方法流程图；

图2是根据本发明一实施例的系统结构简图；

图3是根据本发明一实施例的系统的部分结构简图；

图4是根据本发明另一实施例的系统的部分结构简图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此本发明的实施人员可以充分理解本发明如何应用技术手段来解决技术问题，并达成技术效果的实现过程并依据上述实现过程具体实施本发明。需要说明的是，只要不构成冲突，本发明中的各个实施例以及各实施例中的各个特征可以相互结合，所形成的技术方案均在本发明的保护范围之内。

在现有技术中，云计算环境下的虚拟机要想实现单点登录，面临的主要问题是，外部虚拟机管理平台应用系统如何将登录信息传给虚拟机，虚拟机又如何使用登录信息完成登录。概括下来，就是两个不同类型的应用系统如何互相通信和互相协作。目前常见的单点登录方法有国际商业机器公司(International Business Machines Corporation，IBM)公司的网页软件平台(WebSphere)单点登录解决方案，太阳计算机系统(SUN)公司的Sun Java系统访问管理器(Sun Java System Access Manager)，微软(Microsoft)的网络通行证(.Net Passport)和访问管理程序(Netegrity SiteMinder)，以及一些基于安全断言标记语言(Security Assertion Markup Language，SAML)的产品。这些产品虽然一定程度解决了不同类型的应用系统的单点登录问题，但仍不能解决云计算环境下的虚拟机的单点登录的问题。

为了实现云计算环境下的虚拟机单点登录，本发明公开了一种登录方法以及用来实现该登录方法的登录系统。本实施例的登录方法以及系统使云管理平台与虚拟机可以互相通信，用户登录云管理平台后，如果权限允许，即可用该用户身份自动登录到虚拟机中，从而大大提升了用户体验。

本发明的登录方法主要是针对云计算环境下的虚拟机管理平台以及其创建的虚拟机系统进行操作，接下来以中标麒麟虚拟化版云管理平台为例来进行描述。当然的，本发明的登录方法以及系统也可以应用于其他虚拟机管理平台。在其他的虚拟机管理平台上进行虚拟机单点登录都在本发明的解决范围之内。

接下来结合流程图以及系统结构框图来详细描述本发明一实施例的登录方法以及登录系统。附图的流程图中示出的步骤可以在包含诸如一组计算机可执行指令的计算机系统中执行。虽然在流程图中示出了各步骤的逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本实施例的登录方法的目的是在用户登录虚拟机管理平台并连接到虚拟机系统时用户也可以自动登录到虚拟机系统。即进行虚拟机单点登录的用户不仅可以登录到虚拟机管理平台并连接虚拟机系统，而且可以登录虚拟机系统。这就首先要求用户拥有特定的用户权限，即拥有登录虚拟机管理平台的权限、连接虚拟机系统的权限以及登录虚拟机系统的权限。当目前没有拥有上述用户权限的用户时，就需要建立新用户并配置用户权限，或对现有用户进行用户权限配置。如图1所示，就需要执行步骤S100，权限配置步骤，配置用户权限以获取用于进行单点登陆的用户。在步骤S100中，可以建立新用户以配置用户权限，也可以对现有用户进行用户权限配置。

本实施例的登录系统是基于实现本实施例的登录方法的目的而构建的。为了配置用户权限(步骤S100)，使得用户同时拥有登录虚拟机管理平台的权限、连接虚拟机系统的权限以及登录虚拟机系统的权限。如图2所示，本实施例的登录系统包含用户控制中心200，其用于配置用户权限以获取用于进行单点登陆的用户。

在步骤S100中，首先利用微软活动目录(Microsoft Active Directory)构建用户控制中心，从而建立微软活动目录服务器；接着基于虚拟机单点登录的登录需求利用微软活动目录服务器建立特定的域并将用户加入到域中；然后将虚拟机管理平台加入到域中，使得用户拥有登录虚拟机管理平台的权限；接着使用虚拟机管理平台为用户分配权限，使得用户拥有连接虚拟机系统的权限；最后将虚拟机系统也加入上述域中，使得用户拥有登录虚拟机系统的权限。不难理解，步骤S100中各个细化步骤执行的先后顺序是可以变化的，只要最终达到用户拥有登录虚拟机管理平台的权限、连接虚拟机系统的权限以及登录虚拟机系统的权限即可。

拥有了可以进行虚拟机单点登录的用户，接下来的目的就是执行单点登录步骤。在通常的单点登录过程中，用户的第一次登录信息将被应用到其他应用系统中，这就涉及到登录信息的传输。由于本发明的登录方法是针对虚拟机单点登录，考虑到虚拟机系统的特殊性，因此为了实现针对虚拟机系统的登录信息的传输，本实施例的单点登录步骤中包含了步骤S120，构建隧道步骤，以虚拟化提供者(Qemu-kvm)提供的隧道为基础构建虚拟机系统与虚拟机管理平台之间的通信隧道以便传输登录信息。在步骤S120中，修改虚拟机系统的启动配置文件，从而添加隧道控制器设备，进而构建通信隧道。

接下来就可以执行单点登录步骤，当用户登陆虚拟机管理平台并连接到虚拟机系统时，利用通信隧道发送用户的登录信息到虚拟机系统，从而使得用户登录到虚拟机系统完成用户的虚拟机单点登录。在单点登录步骤中，如图1所示，首先执行步骤S110，登录虚拟机管理平台。然后执行步骤S111，命令生成步骤，基于用户的登录信息生成相应的登录命令，然后利用通信隧道发送登录命令；接下来执行步骤S113，命令解析步骤，利用通信隧道接收登录命令，然后解析登录命令从而获取登录信息；最后就可以执行虚拟机登录步骤，利用登录信息自动登录虚拟机系统从而使得用户自动登录到虚拟机系统。整个虚拟机系统的登录过程自动完成，大大提高了用户体验。

为了执行登录方法中的单点登录步骤，在本实施例的登录系统中构建有登录模块210，其包含对应步骤S120的隧道构建单元220。隧道构建单元220用于以Qemu-kvm提供的隧道为基础构建虚拟机系统与虚拟机管理平台之间的通信隧道以传输登录信息。在本实施例中，以Qemu-kvm提供的隧道为基础，通过在虚拟机与宿主机之间建立隧道。隧道构建单元220包含隧道控制器设备、设备驱动、代理程序以及单点登录通信程序。用户创建虚拟机后，给虚拟机系统中添加隧道控制器设备、安装设备驱动和安装代理程序，并在宿主机中安装虚拟机单点登录通信程序，从而添加虚拟机系统与宿主机之间的隧道来保证虚拟机与宿主机之间的相互通信。

登录模块210还包含用于执行步骤S111的登录命令生成单元211以及用于执行步骤S113的登录命令解析单元213。在整个虚拟化环境中，所有的用户认证都通过微软活动目录(Microsoft Active Directory)服务器完成。用户首先通过微软活动目录登录云管理平台，当用户通过认证控制中心登录云管理平台后，向虚拟机发起连接请求，与此同时，登录命令生成单元211获取用户的登录信息并打包生成相应的登录命令。

当用户连接到虚拟机系统时，虚拟机单点登录通信程序向隧道写入登录命令。不难理解，虚拟机单点登录通信程序也可以向隧道写入其他命令。也就是说，基于本发明的登录方法创建的通信隧道不仅可以用于单点登录，也可以用于其他操作。本发明的登录方法的实现机制可以很方便地进行功能扩展，通过向虚拟机发送不同命令，实现更多的增强功能。

由于考虑到隧道构建单元220构建的通信隧道可能被其他系统调用，因此虚拟机内的代理程序接到命令后，首先判断是什么命令，根据命令类型将命令分发到不同的命令处理程序。如果接到的命令是登录命令，代理程序就将其转发到登录命令解析单元213。登录命令解析单元213按照事先定义好的数据格式，解析出登录命令中包含的登陆信息，之后就可以根据登录命令登录虚拟机系统。虚拟机系统使用本地隧道与外部通信，不依赖网络，大大减小了本发明的登录方法的应用推广难度。

在进行系统登录的时候，不同类型的操作系统的登录方法是不同的。因此在本实施例的虚拟机步骤中针对不同的虚拟机系统构建了步骤S114，判断虚拟机系统类的操作系统类型并输出判断结果。然后再执行步骤S115，针对不同的操作系统类型采用相应的虚拟机登录方法使得用户登录到虚拟机系统。基于步骤S115，本发明的登录方法的适用性大大提高。本实施例的登录方法主要针对部分微软视窗操作系统(如Windows 7系统)和部分Linux发行版本，目的是使安装Windows7和部分Linux发行版的操作系统的虚拟机都可以使用单点登录，提高登录方法的适用性。本发明的登录方法及系统通过针对不同的虚拟机操作系统采用相应的虚拟机登录方法大大提高了登录方法及系统的适用性。

为了登录虚拟机系统，登录模块210还包含用于执行虚拟机登录步骤的虚拟机登录单元212。针对不同的虚拟机操作系统，虚拟机登录单元212的内部构造是不同的。

当虚拟机系统的操作系统为微软视窗操作系统(Windows系统)时，如图3所示，虚拟机登录单元312包含登录代理单元303、寄存管道302以及登录插件301。寄存管道302为一个事先创建好的数据存储管道，其连接登录代理单元303以及登录插件301。登录代理单元303将登录信息写入寄存管道302中。登录插件301从寄存管道302中读取登录信息，调用Windows登录函数，完成登录。

当虚拟机系统的操作系统为Linux系统时，如图4所示，虚拟机登录单元412包含登录插件401、登录代理单元403以及令牌寄存器402。令牌寄存器402为事先创建好的，在本实施例中，登录代理单元403包含登录命令处理程序，登录命令处理程序创建一本地进程间通信(UNIX_SOCKET)作为令牌寄存器402。由登录代理单元403中的登录命令处理程序向Linux数据总线(DBUS)发送一个令牌(TOKEN)，监听DBUS的登录插件401接到该令牌后，保存并将令牌写入到事先创建好的令牌寄存器402(UNIX SOCKET)中。登录命令处理程序接收到传回的令牌后，如果与之前发送到DBUS的令牌一致，则将登录信息写入到UNIX SOCKET中，登录插件401从UNIX SOCKET中读取登录信息。最后，登录插件调用Linux登录函数，完成登录。

上述令牌的作用是保证登录状态在一段时间内持续有效，即这段时间内不需重复发送登录信息，仍可正常登录。其设计是这样的：当登录命令处理程序向DBUS发送一个令牌时，登录插件401判断自己保存的令牌是否仍然有效，如果有效，向UNIX SOCKET中写入旧的令牌，并调用Linux登录函数，完成登录；与此同时，登录命令处理程序接收到传回的令牌后，判断与之前发送到DBUS的令牌不一致时，则不再将登录信息写入到UNIX SOCKET中。

上述的登录插件301以及登录插件401是根据操作系统登录认证规范编写，其设计是这样的：Windows系统中，需要设计一个凭据提供插件(Credentials Provider)，它可以在系统提交登录请求前做一些处理操作，如向系统提供用户的登录信息等，这个插件必须按照Credentials Provider规范来设计，提供规范要求的所有接口；在提供可插拔验证模块(Pluggable Authentication Module，PAM)的Linux发行版中，需要设计一个PAM模块，作用与Windows的Credentials Provider类似，也需要按照PAM模块规范来设计。

综上，由于本发明的登录方法主要是依靠对虚拟机管理平台以及其创建的虚拟机系统添加功能模块以及插件来实现单点登录，不需要修改虚拟机系统内核。因而用户可以很方便的在现有的虚拟机管理平台上实现本发明的登录方法，大大减小了本发明的登录方法的操作难度和推广难度。

虽然本发明所公开的实施方式如上，但所述的内容只是为了便于理解本发明而采用的实施方式，并非用以限定本发明。本发明所述的方法还可有其他多种实施例。在不背离本发明实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变或变形，但这些相应的改变或变形都应属于本发明的权利要求的保护范围。

Claims (8)

1.一种云计算环境下的虚拟机单点登录方法，其特征在于，所述方法包含以下步骤：

权限配置步骤，配置用户权限以获取用于进行单点登陆的用户；

单点登录步骤，当所述用户登陆虚拟机管理平台并连接到所述虚拟机管理平台创建的虚拟机系统时，利用所述用户的登录信息登录到所述虚拟机系统，从而完成所述用户的虚拟机单点登录；

其中，所述单点登录步骤包含构建隧道步骤，以基于虚拟化提供者提供的隧道为基础构建所述虚拟机系统与所述虚拟机管理平台之间的通信隧道以传输所述登录信息，

其中，所述权限配置步骤包含以下步骤：

基于所述虚拟机单点登录的登录需求建立特定的域并将所述用户加入到所述域中；

将所述虚拟机管理平台加入到所述域中，使得所述用户拥有登录所述虚拟机管理平台的权限；

使用所述虚拟机管理平台为所述用户分配权限，使得所述用户拥有连接所述虚拟机系统的权限；

将所述虚拟机系统加入到所述域中，使得所述用户拥有登录所述虚拟机系统的权限。

2.如权利要求1所述的方法，其特征在于，在所述构建隧道步骤中修改所述虚拟机系统的启动配置文件，从而添加隧道控制器设备，进而构建所述通信隧道。

3.如权利要求1所述的方法，其特征在于，所述单点登录步骤还包含以下步骤：

命令生成步骤，基于所述用户的登录信息生成并发送相应的登录命令；

命令解析步骤，接收并解析所述登录命令从而获取所述登录信息；

虚拟机登录步骤，利用所述登录信息登录所述虚拟机系统从而使得所述用户登录到所述虚拟机系统。

4.如权利要求3所述的方法，其特征在于，所述虚拟机登录步骤包含以下步骤：

判断所述虚拟机系统的操作系统类型并输出判断结果；

根据所述判断结果针对不同的所述操作系统类型采用相应的虚拟机登录方法使得所述用户登录到所述虚拟机系统。

5.如权利要求4所述的方法，其特征在于，所述虚拟机系统的操作系统包括微软视窗操作系统和Linux系统。

6.一种云计算环境下的虚拟机单点登录系统，其特征在于，所述系统包含：

用户控制中心，其用于配置用户权限以获取用于进行单点登陆的用户；

登录模块，其用于：当所述用户登陆虚拟机管理平台并连接到所述虚拟机管理平台创建的虚拟机系统时，利用所述用户的登录信息登录到所述虚拟机系统，从而完成所述用户的虚拟机单点登录；

其中，所述登录模块包含隧道构建单元，所述隧道构建单元用于基于虚拟化提供者提供的隧道构建所述虚拟机系统与所述虚拟机管理平台之间的通信隧道以传输所述登录信息，

其中，所述用户控制中心用于：

基于所述虚拟机单点登录的登录需求建立特定的域并将所述用户加入到所述域中；

将所述虚拟机管理平台加入到所述域中，使得所述用户拥有登录所述虚拟机管理平台的权限；

使用所述虚拟机管理平台为所述用户分配权限，使得所述用户拥有连接所述虚拟机系统的权限；

将所述虚拟机系统加入到所述域中，使得所述用户拥有登录所述虚拟机系统的权限。

7.如权利要求6所述的系统，其特征在于，利用微软活动目录构建所述用户控制中心，从而建立微软活动目录服务器，进而利用所述微软活动目录服务器建立域。

8.如权利要求6所述的系统，其特征在于，所述登录模块还包含：

登录命令生成单元，其用于基于所述用户的登录信息生成并发送相应的登录命令；

登录命令解析单元，其用于接收并解析所述登录命令从而获取并输出所述登录信息；

虚拟机登录单元，其与所述登录命令解析单元相连，用于利用所述登录信息登录所述虚拟机系统从而使得所述用户登录到所述虚拟机系统。