CN104750427B

CN104750427B - 存储设备及其方法

Info

Publication number: CN104750427B
Application number: CN201310755995.8A
Authority: CN
Inventors: 张正
Original assignee: EMC Corp
Current assignee: EMC Corp
Priority date: 2013-12-27
Filing date: 2013-12-27
Publication date: 2019-05-17
Anticipated expiration: 2033-12-27
Also published as: US20150188839A1; CN104750427A

Abstract

本发明各实施方式提供了一种存储设备及其方法，该存储设备包括至少一个端口以及多个存储资源。在该存储设备中，所述多个存储资源被划分为多个存储资源集合，并且所述多个存储资源集合中的每个存储资源集合被配置为与所述至少一个端口中的一个或多个端口相关联，从而使得所述每个存储资源集合仅能够通过与之关联的所述一个或多个端口而被访问。

Description

存储设备及其方法

技术领域

本发明的各实施方式一般地涉及存储领域，并且具体地涉及存储区域网络(SAN)中的端口虚拟化，更具体地涉及一种基于N端口标识虚拟化(NPIV)技术的存储设备及用于该存储设备的方法。

背景技术

随着云计算技术的发展，云基础架构得到了越来越广泛的应用。无论在私有云还是混合云中，多租户(tenant)都是其中的一个重要属性。因此云环境中，如何有效地保护各租户数据的隐私性与安全性成为现有的云计算技术或多租户技术追求的一个目标。此处所使用的“租户”可以是任何一个应用，其可以是企业内部的应用也可以是企业外部的应用，并且需要有自己的安全的和排他的虚拟计算环境。

在SAN所支持的云环境中，光纤通道(Fibre Channel，FC)协议常被用于访问存储设备以适应越来越多的、属于不同租户的虚拟设备(VM)对吞吐量和可靠性的需求。光纤通道是一种功能强大的高速协议，适用于SAN的信息传送管理。光纤通道是大规模密集存储系统的有效解决方案，在简化系统不同部分互连的同时，可实现信息快速存储和检索。

N端口标识虚拟化(NPIV)是在光纤通道协议中定义的一个特征。其目的是为了使虚拟环境下的主机服务器与SAN环境连接更加弹性和安全，同时简化SAN网络的架构，NPIV在例如光纤通道(FC)主机总线适配卡(HBA)等产品中已经广泛使用。NPIV可以使一个实体的物理N端口(N端口被定义为主机端或存储阵列端连接至光纤交换结构(fabric)的连接端口)虚拟化出数个虚拟N_端口ID，从而使得一个主机可以具有一个或多个FC地址以及关联的全球端口名称(WWPN)，每个FC地址在SAN交换结构上呈现为独立的实体。如图1中所示，当一个主机具有多个虚拟机时，每一个虚拟机(VM)与不同的N_端口ID关联，好似通过相互独立的FC链路与SAN交换结构相连，从而可以分隔不同虚拟机与SAN环境的连接。

在当前的SAN环境中，仅在应用侧实施了端口虚拟化并且使得每个虚拟机都能够与一个独立端口ID相关联，例如每个虚拟机可以与一个唯一WWPN绑定，从而能够独立地在交换结构上被寻址。然而，在传统的SAN环境的存储侧，来自属于不同租户的主机的数据通过共享的端口被接收到各存储设备，也就是说存储设备上的存储资源在各租户之间没有分离，同一存储资源可以被不同的租户访问，这使得在多租户环境中，租户数据的隐私性与安全性不能够得到可靠保证，并且很难实现存储数据与应用的一致性迁移。

发明内容

针对上述问题，本发明的各示例性实施方式提供了一种基于NPIV技术的存储设备及用于其中的方法。

根据本发明的一个方面，提供了一种存储设备，该存储设备包括：至少一个端口；以及多个存储资源。所述多个存储资源被划分为多个存储资源集合，并且所述多个存储资源集合中的每个存储资源集合被配置为与所述至少一个端口中的一个或多个端口相关联，从而使得所述每个存储资源集合仅能够通过与之关联的所述一个或多个端口而被访问。

在一个实施例中，所述至少一个端口中的每个端口可以具有独立的全球端口名称WWPN作为标识。

在另一实施例中，所述至少一个端口中的每个端口可以是物理光纤通道端口。

在又一实施例中，所述多个存储资源集合中的每个存储资源集合可以被配置为存储组，该存储组包括多个逻辑卷(LUN)。

在又一实施例中，所述至少一个端口中的每个端口可以包括物理光纤通道端口以及该光纤通道物理端口被虚拟化所产生的多个虚拟端口之一。

在又一实施例中，所述多个存储资源集合中的每个存储资源集合可以被配置为与至少一个所述虚拟端口相关联。

在又一实施例中，所述光纤通道物理端口通过利用N端口标识虚拟化(NPIV)协议而被虚拟化为多个虚拟端口。

在又一实施例中，与一个所述存储资源集合关联的一个或多个端口和与另一存储资源集合关联的一个或多个端口彼此不重叠。

根据本发明的另一方面，提供了一种用于存储设备的方法，该存储设备包括至少一个端口以及多个存储资源。该方法包括：将所述存储资源划分为多个存储资源集合；以及将所述多个存储资源集合中的每个存储资源集合配置为与所述至少一个端口中的一个或多个端口相关联，从而使得所述每个存储资源集合仅能够通过与之关联的所述一个或多个端口而被访问。

根据本发明各实施方式的存储设备可以具有多个端口ID，从而可以在SAN交换结构上排他地拥有多个FC地址以及关联的WWPN，拥有该FC地址或WWPN的存储资源在网络环境中的关系与传统的计算环境中的保持一致，因此传统的FC管理功能可以保持不变。因此在不增加系统复杂度的情况下，可以在存储设备上实现端口虚拟化，从而在多租户环境下实现更细粒度的安全性以用于租户数据的分离。

附图说明

结合附图并参考以下详细说明，本发明各实施方式的特征、优点及其他方面将变得更加明显，在此以示例性而非限制性的方式示出了本发明的若干实施方式。在附图中相同或相近的附图标记指示相同或相近的单元或元素，其中：

图1示出了现有技术的SAN网络中的NPIV；

图2示出了现有技术中支持NPIV的网络结构；

图3示出了利用根据本发明的实施方式的存储设备的示例性网络结构；以及

图4示出了根据本发明的实施方式的用于存储设备的方法的示例流程图。

具体实施方式

以下参考附图详细描述了本发明的各个示例性实施方式。

应当理解，给出这些示例性实施方式仅仅是为了使本领域技术人员能够更好地理解并进而实现本发明，而并非以任何方式限制本发明的范围。

在以下的描述中，对“一个实施例”、“另一实施例”或“一个优选实施例”等的引用指示所描述的实施例可以包括特定特征、结构或特性，但每个实施例不一定必须包括该特定特征、结构或特性。而且，这些术语并不一定指相同的实施例。

在此处使用的术语仅用于描述特定实施例的目的，而不旨在于限制本发明。如这里使用的单数形式“一”和“该”可以包括复数形式，除非上下文中有明确的相反指示。还应理解，此处使用的术语“包括”、“具有”和“包含”指示所述的特征、单元和／或组件等的存在，但不排除一个或多个其他特征、单元、组件和／或其组合的存在。

以下将参考附图2-3对本发明的各实施方式进行详细阐述。

首先参考图2。图1描绘了现有技术中的支持NPIV的网络结构。在图2中示意性地示出了两个租户A和B，其分别以方格图形和斜线图形来表示。每个租户A或B分别使用两个应用或虚拟机VM，每个虚拟机与一个经NPIV虚拟化产生的虚拟端口关联，并通过其与SAN的交换结构连接。每一个虚拟端口具有唯一的一个寻址标识ID，例如WWPN，该标识可以作为SAN网络上的地址被寻址。如在图2中所示，租户A使用虚拟机SW1和SW3，其分别通过虚拟端口WWPN1和WWPN3连接到交换结构，并且租户B使用虚拟机SW2和SW4，其分别通过虚拟端口WWPN2和WWPN4连接到交换结构。虽然在图2中示出两个租户，并且每个租户使用两个虚拟机，但是本领域技术人员应当明白，这些数目仅仅是示意性的而非限制性的，本发明的范围并不受租户或虚拟机的数目或连接形式的限制。

此外，在图2中的SAN网络和虚拟机之间示例性地示出的可以被称为Hypervisor的管理程序是一种在基础物理服务器和操作系统之间的中间软件层，是一种在虚拟环境中的“元”操作系统。它可以访问服务器上包括磁盘和内存在内的所有物理设备。当服务器启动并执行该管理程序时，它会加载所有虚拟机客户端的操作系统同时会分配给每一台虚拟机适量的内存、CPU、网络和磁盘。诸如Hypervisor的管理程序在现有的虚拟网络环境中广泛应用，因此出于简洁的目的在此不再对其进行详细描述。

在图2中，经由虚拟端口WWPN1-4分别从租户A和B接收的数据在经过交换结构的交换之后、通过FC端口FC3进入SAN的存储侧。这些数据通过端口FC3进入SAN存储设备，在存储设备中对通过端口FC3接收到的数据并不加以隔离，而是在存储组上配置并识别数据所源自的端口标识(例如WWPN1-4)以控制其所能访问的存储资源，例如LUN。这种方式不利于云环境中部署大量使用不同WWPN的虚拟机和应用。

此外，通过网络接口卡NIC从租户A和租户B接收到的数据经由FC端口FC4和FC5进入SAN存储设备，同样在存储设备中对通过端口FC5接收到的数据不加以隔离，而是在存储组上配置并识别数据所源自的端口标识(例如WWPN1-4)以控制其所能访问的存储资源，例如LUN。

在多租户的环境中，这种对不同租户的数据不进行区分的存储方式不能够保证租户数据的安全性和私密性，同时也不利于数据的快速迁移和恢复。

图3示出了利用根据本发明的实施例的存储设备的示例性网络环境。在图3中所示出的交换结构或者下文述及的SAN网络均是支持端口虚拟化，例如支持NPIV的交换结构或网络。在图3中未明示租户A和租户B，仅以与图2中所使用的图形相同的图形来表示与不同租户关联的虚拟机和存储资源等，即以方格图形示出与租户A关联的虚拟机和存储资源等，并且以斜线图形示出与租户B关联的虚拟机和存储资源等。

在该实施例中，每个SAN存储设备，例如图3中所示的存储设备100、200或300，包括至少一个物理端口，例如光纤通道FC端口，每一个该物理端口在SAN交换结构上可以具有唯一的标识WWPN。每一个物理端口例如可以通过NPIV方法被虚拟化为多个虚拟端口。经过虚拟化之后，存储设备能够具有的独立端口ID的最大数目等于物理端口的数目m与虚拟化所产生的虚拟端口ID的数目n之和m+n。也就是说，经过端口虚拟化，该存储设备可以具有m+n个不同的端口ID，也即在SAN交换结构上具有m+n个可以被独立寻址的FC地址。

同时，每个SAN存储设备100、200或300包括多个存储资源，例如多个逻辑卷，其通过LUN来标识。这些逻辑资源可以被划分为多个逻辑资源集合，例如多个逻辑卷LUN可以被划分为多个存储组SG(Storage Group)。在该存储设备中，每个存储资源集合被配置为与一个或多个端口(最多m+n个端口)相关联，该一个或多个端口中的每个端口可以是物理端口，也可以是该物理端口经过虚拟化所产生的虚拟端口之一，其中每个端口都具有一个唯一的标识ID，例如WWPN。

在本发明的一个实施例中，存储设备的端口和存储资源集合可以被绑定并组合成存储容器。在多租户情况下，通过FC分区(FC Zoning)可以将用于某个租户的主机(物理机或者虚拟机)上的物理FC端口ID或虚拟端口ID与存储容器的物理FC端口ID或虚拟端口ID进行安全绑定，从而为该租户的数据和应用创建有效的安全边界。这里所使用的FC分区是指将FC交换结构分割成较小的子集以限制干扰、增加安全性并且简化管理的一种技术。虽然SAN可用于多个设备和／或单个设备的多个端口，但连接到SAN的每个系统应当仅被允许访问这些设备或端口的受控的子集。FC分区是现有的SAN网络中常用的技术，因此出于简洁的目的，在此不再对其进行详细描述。

在一个优选实施例中，与不同存储资源集合关联的一个或多个端口之间不重叠，以保证更充分的数据分离，从而实现更高的安全性和私密性。

以下以图3中的存储设备100为例更详细地说明根据本发明的实施例的存储设备的结构和功能。如图3所示，存储设备100包括一个物理端口FC3，该物理端口在SAN交换结构上可以具有一个唯一的标识WWPN。该FC3端口可以被虚拟化为三个虚拟端口，其分别具有标识WWPN5、WWPN6和WWPN7。也就是说，经过端口虚拟化，该存储设备100可以具有4个不同的端口ID，也即在SAN交换结构上具有4个可以被独立寻址的FC地址。

同时，该存储设备包括两个存储资源集合，即存储组SG1和SG2，每个存储组包括多个逻辑卷LUN。在该实施例中，存储组SG1与虚拟端口WWPN5相关联，并且存储组SG2与虚拟端口WWPN6和WWPN7相关联，从而使得存储组SG1仅能够通过虚拟端口WWPN5被访问，并且存储组SG2仅能够通过虚拟端口WWPN6和WWPN7被访问。

在一个实施例中，可以通过FC分区将与租户A的VM1和VM3关联的虚拟端口IDWWPN1及WWPN3与和SG1关联的虚拟端口ID WWPN5绑定，并且将与租户B的VM2和VM4关联的虚拟端口ID WWPN2及WWPN4与和SG2关联的虚拟端口ID WWPN6绑定，从而使得来自或去往租户A的数据与来自或去往租户B的数据完全分离，例如来自租户A的数据仅能够被存储组SG1接收并处理，而来自租户B的数据仅能够被存储组SG2接收并处理。图3示出了关于存储设备100的优选实施例，其中与存储组SG1关联的端口ID和与存储组SG2关联的端口ID不重叠，从而保证了更高的安全性和私密性。

此外，应用侧的物理FC端口，例如FC1和FC2也在SAN上具有其唯一的标识ID，例如WWPN，这些物理端口也可以通过交换结构与存储设备的物理端口(例如FC3及其WWPN)或虚拟端口(例如WWPN7)耦合。

在图3所示的实施例中，在SAN应用侧的一个端口，无论是物理端口还是虚拟端口，其标识ID可以与存储侧的多个存储设备中的多个不同存储容器的不同端口ID(包括物理端口ID或虚拟端口ID)相关联或绑定，从而实现数据的安全冗余存储。

在一个实施例中，在应用侧的未经端口虚拟化操作的服务器的物理端口也可以与存储设备中的存储容器的虚拟端口ID关联或绑定。

图4示出了根据本发明实施例的用于存储设备的示例方法400的流程图，该存储设备包括至少一个端口以及多个存储资源。

如图4中所示，方法400包括在框401中，将多个存储资源划分为多个存储资源集合；然后，在框403中，将该多个存储资源集合中的每个存储资源集合配置为与至少一个端口中的一个或多个端口相关联，从而使得每个存储资源集合仅能通过与之关联的一个或多个端口而被访问。

在一个实施例中，存储设备所包括的至少一个端口中的每个端口可以是物理端口，例如物理FC端口，也可以是对该物理端口进行虚拟化所产生的虚拟端口。

此外，该方法400可以进一步在框402中包括基于N端口标识虚拟化NPIV协议来将每个物理端口，例如物理FC端口，虚拟化为多个虚拟端口。

在另一实施例中，存储设备中所包括的多个存储资源集合中的每个存储资源集合可以被配置为包括多个逻辑卷(LUN)的存储组。

上文基于FC-SAN对根据本发明的各实施例进行了描述，然而本领域技术人员应当明白，本发明并不受任何具体和特定的应用环境的限制。任何使用存储设备的虚拟或非虚拟环境均可以使用根据本发明实施例的存储设备或者方法。

根据本发明各实施方式的存储设备可以具有多个端口ID，从而可以在SAN交换结构上排他地拥有多个FC地址以及关联的WWPN，拥有该FC地址或WWPN的存储资源在网络环境中的关系与传统的计算环境中的保持一致，因此传统的FC管理功能可以保持不变地被使用。因此在不增加系统复杂度的情况下，可以在存储设备上实现端口虚拟化，从而在多租户环境下实现更细粒度的安全性以用于租户数据的分离。

本领域技术人员应当认识到，这里描述的任何结构图表示实现本发明的原理的说明性原理图。类似地，应当理解，这里描述的流程图表示可以在计算机可读介质中具体表示并且由计算机或处理器执行的各种过程，不论这样的计算机或处理器是否被明确示出。

本领域技术人员还应认识到，上述方法的各步骤可以通过编程的计算机来执行。这里，一些实施例还旨在涵盖程序存储设备，例如，机器或计算机可读的数字数据存储介质，其包括编码机器可执行或计算机可执行的指令程序，其中所述指令程序执行上述方法的一些或全部步骤。程序存储设备可以是，例如数字存储器、磁存储介质，诸如磁盘和磁带、硬盘驱动或光学可读数字数据存储介质。本实施例还意在涵盖被编程为执行上述方法的所述步骤的计算机。

本领域技术人员还应认识到，上述方法400的各步骤可以通过附图中未示出的包括“处理器”或“控制器”的任何装置、设备或机器来实现，例如主机服务器。处理器或控制器的各种功能可以通过使用专用硬件以及能够与适当的软件相关联地执行软件的硬件来提供。当由处理器提供时，这些功能可以由单个专用处理器、由单个共享处理器或由多个独立处理器来提供，其中一些独立处理器可以被共享。此外，此处明确使用的术语“处理器”或“控制器”不应被解释为排他地指能够执行软件的硬件，并且可以隐含地包括但不限于，数字信号处理器(DSP)硬件、网络处理器、专用集成集成电路(ASIC)、现场可编程门阵列(FPGA)、用于存储软件的只读存储器(ROM)、随机存取存储器(RAM)和非易失性存储器。还可以包括常规和／或定制的其他硬件。

上面结合附图所做的描述只是为了说明本发明而示例性给出的。本领域技术人员可以理解，能够基于上面所描述的本发明的原理提出不同的结构，虽然这些不同的结构未在此处明确描述或示出，但都体现了本发明的原理并被包括在其精神和范围之内。此外，所有此处提到的示例明确地主要只用于教导目的以帮助读者理解本发明的原理以及发明人所贡献的促进本领域的构思，并不应被解释为对本发明范围的限制。此外，此处所有提到本发明的原则、方面和实施方式的陈述及其特定的示例包含其等同物在内。

Claims

1.一种存储设备，包括：

多个端口，其中所述多个端口中的至少一个端口为物理端口，所述多个端口中的每一个端口包括所述物理端口和通过虚拟化所述物理端口生成的多个虚拟端口中的一个；以及

多个存储资源，其中

所述多个存储资源被划分为多个存储资源集合，并且

所述多个存储资源集合中的每个存储资源集合被配置为与所述多个端口中的一个或多个端口相关联，从而使得所述存储资源集合仅能够通过相关联的所述一个或多个端口而被访问，并且其中所述多个端口中的每一个端口与单个存储资源集合相关联。

2.根据权利要求1所述的存储设备，其中：

所述多个端口中的每个端口具有独立的全球端口名称WWPN作为标识。

3.根据权利要求1所述的存储设备，其中：

所述多个端口中的每个端口是物理光纤通道端口。

4.根据权利要求1所述的存储设备，其中：

所述多个存储资源集合中的每个存储资源集合被配置为包括多个逻辑卷(LUN)的存储组。

5.根据权利要求1所述的存储设备，其中：

所述多个端口中的每个端口包括物理光纤通道端口以及所述光纤通道物理端口被虚拟化所产生的多个虚拟端口之一。

6.根据权利要求5所述的存储设备，其中：

所述多个存储资源集合中的每个存储资源集合被配置为与至少一个所述虚拟端口相关联。

7.根据权利要求5所述的存储设备，其中：

所述光纤通道物理端口通过利用N端口标识虚拟化(NPIV)协议而被虚拟化为所述多个虚拟端口。

8.一种用于存储设备的方法，所述存储设备包括多个端口以及多个存储资源，所述方法包括：

将所述存储资源划分为多个存储资源集合；以及

将所述多个存储资源集合中的每个存储资源集合配置为与所述多个端口中的一个或多个端口相关联，从而使得所述存储资源集合仅能够通过相关联的所述一个或多个端口而被访问，并且其中所述多个端口中的每一个端口与单个存储资源集合相关联，所述多个端口中的每一个端口包括物理端口和通过虚拟化所述物理端口生成的多个虚拟端口中的一个。

9.根据权利要求8所述的方法，其中：

10.根据权利要求8所述的方法，其中：

所述多个端口中的每个端口是物理光纤通道端口。

11.根据权利要求8所述的方法，其中：

12.根据权利要求8所述的方法，进一步包括：

将每个物理光纤通道端口虚拟化为多个虚拟端口。

13.根据权利要求12所述的方法，其中将所述多个存储资源集合中的每个存储资源集合配置为与所述多个端口中的至少一个端口相关联包括：

将所述多个存储资源集合中的每个存储资源集合配置为与至少一个所述虚拟端口相关联。

14.根据权利要求12所述的方法，其中将每个所述物理光纤通道端口虚拟化为多个虚拟端口包括：

利用N端口标识虚拟化(NPIV)协议将每个所述物理光纤通道端口虚拟化为所述多个虚拟端口。