CN104717061B - 虚拟桌面的身份识别和访问控制方法及系统 - Google Patents

Abstract

本发明实施例公开了一种虚拟桌面的身份识别和访问控制方法及系统，其中，方法包括：身份编码模块将用户身份信息进行编码生成身份编码；编码发送模块将身份编码发送给主通道；主通道进行初始化处理，将主通道状态设置为关闭，生成主通道初始化消息；身份解析模块对身份编码进行解析，得到用户身份信息；身份识别模块对用户身份信息进行识别，若通过识别，则调用主通道控制模块；主通道控制模块将主通道状态设置为开放。本发明实施例可以弥补SPICE协议没有身份识别和访问控制的缺陷，增强SPICE协议的安全性，达到只有合法用户才能访问虚拟桌面的目的。

Description

虚拟桌面的身份识别和访问控制方法及系统

技术领域

本发明涉及服务器虚拟化和桌面虚拟化技术，尤其涉及一种虚拟桌面的身份识别和访问控制方法及系统。

背景技术

服务器虚拟化是指在一台物理宿主机上虚拟出多个虚拟机（Virtual Machine，简称VM），各个虚拟机之间相互隔离，并能同时运行相互独立的一种技术。该技术可以将一台物理宿主机拆分成数十个独立的虚拟机，各虚拟机能独立运行业务，以实现提高服务器资源利用率，提高管理效率的目标。作为云计算的基础类技术，服务器虚拟化技术在近年来得到了大量的应用和推广。如IDC（Internet Data Center，互联网数据中心）服务商将一台物理宿主机虚拟成20台左右的虚拟机，每台虚拟机具备独立的操作系统、网络环境，再将其出租给用户。对IDC服务商来说可以增加业务收入，对用户来说，可以降低租赁成本。

虚拟桌面技术是基于服务器虚拟化技术，将PC服务器虚拟化，并分割成多个虚拟桌面供不同用户使用的一种云计算技术。目前虚拟桌面技术得到广泛应用，SPICE（SimpleProtocol for Independent Computing Environment，独立计算环境简单协议）因为其开源性，越来越多被人们应用于研发虚拟桌面系统，以较低的成本和较强的灵活性为用户提供虚拟桌面产品。

在实现本发明的过程中，发明人发现上述方法至少存在以下问题：

在基于SPICE协议的虚拟桌面架构中，由于缺乏有效的安全机制来对访问用户进行识别和限制，非法用户可以通过端口扫描的方式识别SPICE应用端口，通过编写SPICE协议程序和对应端口进行通讯，即可实现虚拟桌面访问。无法保证用户使用虚拟桌面使用过程中的保密性，容易导致信息泄漏。

发明内容

本发明实施例所要解决的技术问题是：增强基于SPICE协议的虚拟桌面使用过程的安全性，提供一种虚拟桌面的身份识别和访问控制方法及系统。

本发明实施例提供的一种虚拟桌面的身份识别和访问控制方法，包括：

用户设备的身份编码模块将用户身份信息进行编码生成身份编码；

所述用户设备的编码发送模块将所述身份编码发送给所述宿主机的主通道；

所述主通道进行初始化处理，将主通道状态设置为关闭，生成携带有所述身份编码的主通道初始化消息，将所述主通道初始化消息发送给所述宿主机的身份解析模块；

所述身份解析模块对所述身份编码进行解析，得到所述用户身份信息；

所述宿主机的身份识别模块对所述用户身份信息进行识别，若通过识别，则调用所述宿主机的主通道控制模块；

所述主通道控制模块将所述主通道状态设置为开放。

本发明实施例提供的一种虚拟桌面的身份识别和访问控制系统，包括：用户设备和宿主机；所述用户设备包括身份编码模块和编码发送模块；所述宿主机包括主通道、身份解析模块、身份识别模块和主通道控制模块；

所述身份编码模块，用于将用户身份信息进行编码生成身份编码；

所述编码发送模块，用于将所述身份编码发送给所述主通道；

所述主通道，用于进行初始化处理，将主通道状态设置为关闭，生成携带有所述身份编码的主通道初始化消息，将所述主通道初始化消息发送给所述身份解析模块；

所述身份解析模块，用于对所述身份编码进行解析，得到所述用户身份信息；

所述身份识别模块，用于对所述用户身份信息进行识别，若通过识别，则调用所述主通道控制模块；

所述主通道控制模块，用于将所述主通道状态设置为开放。，

基于本发明上述实施例提供的虚拟桌面的身份识别和访问控制方法及系统，用户在访问和使用虚拟桌面之前，用户设备会将用户身份信息发送至宿主机进行身份识别，在主通道初始化时默认为关闭，只有通过身份识别的用户，才将主通道开放给用户使用。弥补SPICE协议没有身份识别和访问控制的缺陷，增强SPICE协议的安全性，达到了只有合法用户才能访问虚拟桌面的目的。而且，用户设备将用户身份信息发送给宿主机之前对用户身份信息进行编码得到身份编码，宿主机的身份解析模块将该身份编码解析得到用户身份信息，对虚拟桌面的系统架构进行安全加固，提高了系统信息传输的安全性。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

构成说明书的一部分的附图描述了本发明的实施例，并且连同描述一起用于解释本发明的原理。

参照附图，根据下面的详细描述，可以更加清楚地理解本发明，其中：

图1为本发明虚拟桌面的身份识别和访问控制方法一个实施例的流程图。

图2为本发明虚拟桌面的身份识别和访问控制方法另一个实施例的流程图。

图3为本发明虚拟桌面的身份识别和访问控制系统一个实施例的结构示意图。

图4为本发明虚拟桌面的身份识别和访问控制系统另一个实施例的结构示意图。

图5为本发明虚拟桌面的身份识别和访问控制系统又一个实施例的结构示意图。

具体实施方式

现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。

在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

图1为本发明虚拟桌面的身份识别和访问控制方法一个实施例的流程图。如图1所示，本实施例提供的虚拟桌面的身份识别和访问控制方法，具体包括：

步骤100、用户设备的身份编码模块将用户身份信息进行编码生成身份编码；

步骤101、用户设备的编码发送模块将身份编码发送给宿主机的主通道；

步骤102、主通道进行初始化处理，将主通道状态设置为关闭，生成携带有身份编码的主通道初始化消息，将主通道初始化消息发送给宿主机的身份解析模块；

步骤103、身份解析模块对身份编码进行解析，得到用户身份信息；

步骤104、宿主机的身份识别模块对用户身份信息进行识别，若通过识别，则调用宿主机的主通道控制模块；

步骤105、主通道控制模块将主通道状态设置为开放。

用户设备可以为个人电脑、笔记本电脑、智能手机或平板电脑等电子设备。该虚拟桌面具体基于SPICE协议实现。用户设备中设置有客户端，该客户端为SPICE客户端，用户可以通过SPICE客户端访问宿主机上的虚拟桌面，以及使用虚拟桌面。用户设备中除了设置有SPICE客户端，还设置有身份编码模块和编码发送模块。宿主机包括主通道、身份解析模块、身份识别模块和主通道控制模块。

用户在使用虚拟桌面时，首先启动用户设备上的SPICE客户端，输入用户身份信息，用户身份信息具体包括账号和密码，SPICE客户端将该用户身份信息发送给身份编码模块，身份编码模块将用户身份信息进行编码生成身份编码，再将生成的身份编码发送给编码发送模块，编码发送模块将该身份编码发送给宿主机的主通道。在实际实现过程中，宿主机上可以设置有客户端消息接口，该客户端消息接口将接收到的身份编码发送给主通道。

在主通道初始化时将该身份编码通过主通道初始化消息发送给身份解析模块，此时主通道初始化消息中代理程序的状态设置为关闭，即主通道状态为关闭。主通道初始化消息具体可以包括以下字段：

session_id：会话ID；

display_channels_hint：显示通道的数目；

supported_mouse_modes：所支持的鼠标模式；

current_mouse_mode：当前鼠标模式；

agent_connected：代理程序的当前状态（默认设置为关闭）；

agent_tokens：发送到SPICE代理的有效令牌数目；

usecode：身份编码。

值得注意的是，本实施例只是给出了一种主通道初始化消息具体实现形式，但是本发明并不以此为限。

身份解析模块对身份编码进行解析，得到用户身份信息。身份编码模块和身份解析模块均可以在SPICE协议内部，基于格子（Lattice）安全模型实现。身份识别模块对该用户身份信息进行识别，宿主机上可以预先存储有用户列表，用户列表中记录有所有注册用户的身份信息，身份识别模块可以将身份解析模块发送过来的用户身份信息与用户列表中的身份信息进行比对识别，若比对识别到该用户身份信息，则说明该用户为合法用户，否则为非法用户。对于非法用户，则继续保持主通道为关闭状态，该非法用户无法使用虚拟桌面。对于合法用户，身份识别模块调用主通道控制模块将将代理程序的当前状态设置为开放，即主通道状态关闭，允许用户使用虚拟桌面。

本实施例提供的虚拟桌面的身份识别和访问控制方法，用户在访问和使用虚拟桌面之前，用户设备会将用户身份信息发送至宿主机进行身份识别，在主通道初始化时默认为关闭，只有通过身份识别的用户，才将主通道开放给用户使用。弥补SPICE协议没有身份识别和访问控制的缺陷，增强SPICE协议的安全性，达到了只有合法用户才能访问虚拟桌面的目的。而且，用户设备将用户身份信息发送给宿主机之前对用户身份信息进行编码得到身份编码，宿主机的身份解析模块将该身份编码解析得到用户身份信息，对虚拟桌面的系统架构进行安全加固，提高了系统信息传输的安全性。

图2为本发明虚拟桌面的身份识别和访问控制方法另一个实施例的流程图。如图2所示，在本实施例中，步骤100，用户设备的身份编码模块将用户身份信息进行编码生成身份编码之前，该方法还可以包括如下步骤：

步骤200、用户设备的客户端模块将用户身份信息发送给宿主机的管理平台；

步骤201、管理平台根据用户列表中的身份信息对用户身份信息进行对比识别，产生识别结果，将识别结果发送给客户端模块；

步骤202、若识别结果为合法用户，则客户端模块将用户身份信息发送给身份编码模块。

具体地，该客户端模块用以实现SPICE客户端，用户在用户设备上启动SPICE客户端时，需要输入用户身份信息，如账号和密码。SPICE客户端可以先将用户身份信息发送给宿主机的管理平台，管理平台维护有用户列表，用户列表中记录有所有注册用户的身份信息，管理平台将SPICE客户端发生来的用户身份信息与用户列表中的身份信息进行比对识别，若比对识别到该用户身份信息，则说明该用户为合法用户，否则为非法用户，管理平台将识别结果反馈给SPICE客户端。SPICE客户端根据该识别结果进行相应的处理，对于合法用户则成功启动SPICE客户端，对于非法用户，拒绝其使用SPICE客户端。

在本实施例中，步骤104，宿主机的身份识别模块对用户身份信息进行识别，若通过识别，则调用宿主机的主通道控制模块，具体可以包括如下：

步骤211、身份识别模块将用户身份信息发送给管理平台；

步骤212、管理平台根据用户列表中的身份信息对用户身份信息进行对比识别；

步骤213、若通过识别，则身份识别模块调用主通道控制模块。

具体地，身份识别模块对用户身份信息的识别过程也可以通过管理平台来实现。

在本实施例中，步骤105，主通道控制模块将主通道状态设置为开放之后，该方法还可以包括：

步骤221、主通道与宿主机的发送队列模块建立通信。

具体地，SPICE客户端在于宿主机交互过程中的数据，放在发送队列模块中，通过一定的规则将发送队列模块数据发出。主通道和发送队列模块建立通讯，即可实现SPICE客户端和虚拟桌面之间的数据传输，用户可以正常使用虚拟桌面。

本说明书中各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似的部分相互参见即可。对于系统实施例而言，由于其与方法实施例基本对应，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

图3为本发明虚拟桌面的身份识别和访问控制系统一个实施例的结构示意图。如图3所示，本实施例提供的虚拟桌面的身份识别和访问控制系统具体可以实现本发明任意实施例提供的虚拟桌面的身份识别和访问控制系统的各个步骤，具体实现过程，在此不再赘述。

本实施例提供的虚拟桌面的身份识别和访问控制系统包括用户设备31和宿主机32，用户设备31包括身份编码模块311和编码发送模块312，宿主机32包括主通道321、身份解析模块322、身份识别模块323和主通道控制模块324。身份编码模块311用于将用户身份信息进行编码生成身份编码。编码发送模块312用于将身份编码发送给主通道321。主通道321用于进行初始化处理，将主通道321状态设置为关闭，生成携带有身份编码的主通道初始化消息，将主通道初始化消息发送给身份解析模块322。身份解析模块322用于对身份编码进行解析，得到用户身份信息。身份识别模块323用于对用户身份信息进行识别，若通过识别，则调用主通道控制模块324。主通道控制模块324用于将主通道321状态设置为开放。

本实施例提供的虚拟桌面的身份识别和访问控制系统，用户在访问和使用虚拟桌面之前，用户设备31会将用户身份信息发送至宿主机32进行身份识别，在主通道321初始化时默认为关闭，只有通过身份识别的用户，才将主通道321开放给用户使用。弥补SPICE协议没有身份识别和访问控制的缺陷，增强SPICE协议的安全性，达到了只有合法用户才能访问虚拟桌面的目的。而且，用户设备31将用户身份信息发送给宿主机32之前对用户身份信息进行编码得到身份编码，宿主机32的身份解析模块322将该身份编码解析得到用户身份信息，对虚拟桌面的系统架构进行安全加固，提高了系统信息传输的安全性。

图4为本发明虚拟桌面的身份识别和访问控制系统另一个实施例的结构示意图。如图4所示，在本实施例中，用户设备31还包括客户端模块313，宿主机32还包括管理平台325。客户端模块313可以用于将用户身份信息发送给宿主机32的管理平台325。管理平台325可以用于根据用户列表中的身份信息对用户身份息进行对比识别，产生识别结果，将识别结果发送给客户端模块313。客户端模块313还可以用于若识别结果为合法用户，则将用户身份信息发送给身份编码模块311。

在本实施例中，身份识别模块323还可以用于将用户身份信息发送给管理平台325。管理平台325还可以用于根据用户列表中的身份信息对用户身份信息进行对比识别。身份识别模块323还可以用于若通过识别，则调用主通道控制模块324。

在本实施例中，宿主机32还包括发送队列模块326。主通道321还可以用于与发送队列模块326建立通信。

图5为本发明虚拟桌面的身份识别和访问控制系统又一个实施例的结构示意图。以下结合图5对本虚拟桌面的身份识别和访问控制过程进行详细说明。

用户设备中设置有客户端51，宿主机中设置有虚拟桌面处理单元52。用户使用虚拟桌面53时，启动SPICE客户端511，SPICE客户端511将用户输入的用户名和密码发送给管理平台521，管理平台521访问用户列表522，如果用户身份正确，继续后续流程，否则终止流程。SPICE客户端511验证用户身份通过后，将用户身份信息（用户名和密码）发送给身份编码模块512进行编码，生成身份编码。编码发送模块513将身份编码通过客户端消息接口523和主通道524，在主通道524初始化时发送给身份解析模块525，此时主通道初始化消息中代理程序的状态设置为关闭。身份解析模块525对主通道初始化消息中的身份编码进行解析，然后发送给身份识别模块526。身份识别模块526将接收到的身份信息发送给管理平台521，管理平台521访问用户列表522，进行对比识别。如果对比不通过，不对主通道状态进行操作，流程结束。身份对比通过，调用主通道控制模块527，主通道控制模块527将代理程序的当前状态设置为开放，主通道524和发送队列528建立通讯。桌面图像，输入信息，经由显示通道534、输入通道535及其他通道536，发送队列528，通过输入输出环529，服务端消息接口530，虚拟设备接口531在SPICE客户端511和虚拟桌面53之间相互传输，用户可以正常使用虚拟桌面53。由于虚拟桌面53为映射产生，图5中通过虚线框表示该虚拟桌面53。虚拟桌面53中包括有操作系统532和SPICE代理533。

本发明实施例提供的虚拟桌面的身份识别和访问控制方法及系统，采用虚拟桌面协议带内认证方式，将主通道初始化消息中的代理程序的当前状态默认设置为关闭，主通道初始化信息中新增用户信息编码，增加主通道控制模块，对主通道进行控制，弥补SPICE协议没有身份识别和访问控制的缺陷，增强SPICE协议的安全性，只有合法用户才能访问虚拟桌面，降低用户在使用基于SPICE协议的虚拟桌面过程中的安全风险。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (6)

1.一种虚拟桌面的身份识别和访问控制方法，其特征在于，包括：

用户设备的身份编码模块将用户身份信息进行编码生成身份编码；

所述用户设备的编码发送模块将所述身份编码发送给宿主机的主通道；

所述主通道进行初始化处理，将主通道状态设置为关闭，生成携带有所述身份编码的主通道初始化消息，将所述主通道初始化消息发送给所述宿主机的身份解析模块；

所述身份解析模块对所述身份编码进行解析，得到所述用户身份信息；

所述宿主机的身份识别模块对所述用户身份信息进行识别，若通过识别，则调用所述宿主机的主通道控制模块；

所述主通道控制模块将所述主通道状态设置为开放；

其中，所述用户设备的身份编码模块将用户身份信息进行编码生成身份编码之前，所述方法还包括：

所述用户设备的客户端模块将所述用户身份信息发送给所述宿主机的管理平台；

所述管理平台根据用户列表中的身份信息对所述用户身份信息进行对比识别，产生识别结果，将所述识别结果发送给所述客户端模块；

若所述识别结果为合法用户，则所述客户端模块将所述用户身份信息发送给所述身份编码模块。

2.根据权利要求1所述的方法，其特征在于，所述宿主机的身份识别模块对所述用户身份信息进行识别，若通过识别，则调用所述宿主机的主通道控制模块，具体包括：

所述身份识别模块将所述用户身份信息发送给所述管理平台；

所述管理平台根据所述用户列表中的身份信息对所述用户身份信息进行对比识别；

若通过识别，则所述身份识别模块调用所述主通道控制模块。

3.根据权利要求1-2任一项所述的方法，其特征在于，所述主通道控制模块将所述主通道状态设置为开放之后，所述方法还包括：

所述主通道与所述宿主机的发送队列模块建立通信。

4.一种虚拟桌面的身份识别和访问控制系统，其特征在于，包括：用户设备和宿主机；所述用户设备包括身份编码模块和编码发送模块；所述宿主机包括主通道、身份解析模块、身份识别模块和主通道控制模块；

所述身份编码模块，用于将用户身份信息进行编码生成身份编码；

所述编码发送模块，用于将所述身份编码发送给所述主通道；

所述主通道，用于进行初始化处理，将主通道状态设置为关闭，生成携带有所述身份编码的主通道初始化消息，将所述主通道初始化消息发送给所述身份解析模块；

所述身份解析模块，用于对所述身份编码进行解析，得到所述用户身份信息；

所述身份识别模块，用于对所述用户身份信息进行识别，若通过识别，则调用所述主通道控制模块；

所述主通道控制模块，用于将所述主通道状态设置为开放；

其中，所述用户设备还包括客户端模块，所述宿主机还包括管理平台；

所述客户端模块，用于将所述用户身份信息发送给所述宿主机的管理平台；

所述管理平台，用于根据用户列表中的身份信息对所述用户身份信息进行对比识别，产生识别结果，将所述识别结果发送给所述客户端模块；

所述客户端模块，还用于若所述识别结果为合法用户，则将所述用户身份信息发送给所述身份编码模块。

5.根据权利要求4所述的系统，其特征在于：

所述身份识别模块，还用于将所述用户身份信息发送给所述管理平台；

所述管理平台，还用于根据所述用户列表中的身份信息对所述用户身份信息进行对比识别；

所述身份识别模块，还用于若通过识别，则调用所述主通道控制模块。

6.根据权利要求4-5任一项所述的系统，其特征在于：所述宿主机还包括发送队列模块；

所述主通道，还用于与所述发送队列模块建立通信。