CN105069383A - 一种云桌面usb存储外设管控的方法及系统 - Google Patents

Abstract

本发明提供一种云桌面USB存储外设管控的方法及系统。所述系统包括外设管理装置和服务单元。外设管理装置包括QEMU？USB重定向模块，所述QEMU？USB重定向模块用于在接入USB存储外设时通过与服务单元交互获得所述USB存储外设的相关信息，所述外设管理装置用于根据所述相关信息对所述USB存储外设进行控制。服务单元分配有监听端口，所述服务单元用于监听来自所述外设管理装置的消息并进行响应。本发明实现了对云桌面USB存储外设的细粒度集中管理、方便灵活；此外，本发明在面对恶意软件的写指令时能够立即断开USB存储外设，安全性较高。

Description

一种云桌面USB存储外设管控的方法及系统

技术领域

本发明涉及云计算领域，特别涉及基于QEMU-KVM技术的云桌面系统的USB存储外设管控技术。

背景技术

近年来，云桌面系统(VDI，VirtualDesktopInfrastructure)的应用日趋广泛，各大厂商如思杰，VMware，微软等均有自己的VDI产品及解决方案。在开源领域，云桌面系统通常基于Linux虚拟化技术，例如QEMU-KVM技术。对于基于QEMU-KVM技术的云桌面系统来说，其服务器上安装有QEMU-KVM虚拟化软件，并运行虚拟机实例。其中，KVM负责CPU虚拟化和内存虚拟化，而QEMU模拟IO设备(网卡，磁盘等)。用户在客户端通过VNC或SPICE远程协议，连接到自己的虚拟机。

随着优盘、移动硬盘等USB大容量存储设备的广泛使用，为了满足云桌面系统用户接入USB存储外设的需求，现有的云桌面系统提供了USB客户端重定向功能。用户可以将USB存储外设通过云桌面系统的客户端，映射给远程的虚拟机(其中，QEMU-KVM通过usbredir协议实现了USB协议的远程化)，并且在虚拟机中访问该存储介质中的数据。这样，云桌面系统用户在虚拟机中看到的USB存储外设，是经过了USB重定向之后的虚拟设备。目前，如何在云桌面系统中处理用户对USB存储外设的使用是一个重要问题，一方面要保证有价值的文档数据不能随意外泄，另一方面又要在符合许可条件的情况下，能够通过USB存储外设将数据导入和导出。

传统的USB存储外设管控方法多集中在对PC上的USB端口的管控，这种方法对于云桌面系统来说并不适用。这是因为传统的管控方法所管理的对象是独立的物理机，这些物理机难以集中控制，并且受限于操作系统，难以修改USB协议处理流程。此外，传统的管控方法有时需要独立的硬件装置，并且扩展性较差。

在目前的云桌面系统中，一般通过策略来限制对USB存储外设的访问，该策略即全部禁止或放开。这种策略控制的粒度较粗，并且不能对接入云桌面系统的USB存储外设进行统一管理，不够方便灵活。

发明内容

为解决上述现有云桌面系统缺乏对USB存储外设进行细粒度集中管控的问题，提供一种云桌面USB存储外设管控的系统，该系统包括：

外设管理装置，即实现了QEMU功能(或包括其他功能)的装置，包括QEMUUSB重定向模块，所述QEMUUSB重定向模块用于在接入USB存储外设时通过与服务单元交互获得所述USB存储外设的相关信息，所述外设管理装置用于根据所述相关信息对所述USB存储外设进行控制；

服务单元，分配有监听端口，所述服务单元用于监听来自所述外设管理装置的消息并进行响应。

上述系统还包括数据库，与所述服务单元连接，用于存储注册的USB存储外设的信息。

上述系统中，所述QEMUUSB重定向模块用于向所述服务单元发出对USB存储外设的认证请求；以及，所述服务单元用于根据所述USB存储外设的相关信息查询所述数据库，并返回查询结果。

上述系统中，所述数据库还用于存储事件日志。

根据本发明的一个实施例，还提供一种基于上述系统的云桌面USB存储外设管控的方法，包括：

步骤1)、在接入USB存储外设时，QEMUUSB重定向模块通过与服务单元交互获得所述USB存储外设的相关信息；

步骤2)、外设管理装置根据所述相关信息对所述USB存储外设进行控制。

上述方法中，所述USB存储外设的相关信息包括该USB存储外设的访问权限、所属用户、有效期限或者虚拟机绑定信息，其中访问权限分为只读、读写和禁止。

上述方法中，步骤1)包括：

步骤11)、在USB存储外设的初始化阶段，在接收到对设置配置命令的响应时，由QEMUUSB重定向模块向服务单元发出对所述USB存储外设的认证请求；其中，所述服务单元与数据库连接且所述数据库用于存储注册的USB存储外设的信息；

步骤12)、所述服务单元根据所述USB存储外设的相关信息查询所述数据库，并返回查询结果。

上述方法中，步骤12)包括：

如果所述数据库存储有所述USB存储外设的信息，则所述服务单元返回查询到的所述USB存储外设的相关信息；

如果所述数据库没有存储所述USB存储外设的信息，则返回禁止访问所述USB存储外设的信息。

上述方法中，步骤2)包括：

步骤21)、根据所述QEMUUSB重定向模块接收的所述服务单元返回的查询结果，完成所述USB存储外设的配置；

步骤22)、外设管理装置根据所述USB存储外设的配置对所述USB存储外设进行控制。

上述方法中，步骤22)包括：

在所述USB存储外设被配置为只读的情况下，对于接收到的MODESENSE命令，所述外设管理装置返回写保护信息；对于接收到的MODEWRITE命令，所述外设管理装置断开所述USB存储外设。

上述方法中，对于接收到的MODEWRITE命令，所述外设管理装置还向所述服务单元发送事件日志。

上述方法中，步骤1)之前还包括注册USB存储外设，包括：

所述服务单元接收到注册USB存储外设的请求以及该USB存储外设的信息；

所述服务单元根据该注册请求将该USB存储外设的信息存储到所述数据库中。

本发明具有如下的有益效果：

1.通过构建USB控制中心服务单元以及修改现有的QEMU重定向模块，对于所有接入云桌面系统的USB存储外设，做到了细粒度(USB存储外设可配置为只读、读写和禁止)集中管理，方便灵活，使得管理员易于在后台进行统一控制、查看、检索等。

2.根据设置的配置对USB存储外设进行控制，对于虚拟机来说是透明的，虚拟机即便感染了恶意代码，也无法绕过本发明提供的管控方法，因此具有安全性高的优点。此外，本发明提供的对USB存储外设的管控还能设定使用的有效期限并且将USB存储外设与虚拟机进行绑定，进一步提高安全性。

附图说明

以下参照附图对本发明实施例作进一步说明，其中：

图1示出了根据本发明一个实施例的云桌面USB存储外设管控的方法的流程图；

图2示出了根据本发明一个实施例，当将USB存储外设接入云桌面系统时，客户端、外设管理装置与USB控制中心服务单元之间的交互流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图通过具体实施例对本发明进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如本领域技术人员公知的，云桌面系统对USB协议的数据封装和协议处理位于QEMU和usbredir协议的层面，而不是如PC中位于操作系统和USB驱动程序层面。如果同样地，将云桌面USB存储外设管控方法置于QEMU和usbredir协议的层面，能够使得便于集中管控USB存储外设，而且对虚拟机操作系统(guestOS)透明，这样无论guestOS中安插了怎样的恶意代码，都无法修改或绕过QEMU对USB存储外设的管控。

鉴于此，根据本发明的一个实施例，提供一种云桌面USB存储外设管控的系统。该系统在现有云桌面系统的基础上增加了服务单元和与之连接的数据库，并且修改了现有的QEMUUSB重定向模块，其中云桌面系统中的QEMU与该服务单元交互。

概括而言，该系统包括外设管理装置(即，实现了QEMU功能以及其他功能的装置)、服务单元和数据库。现分别对每个模块进行描述：

一.外设管理装置

概括而言，外设管理装置包括QEMUUSB重定向模块，该QEMUUSB重定向模块用于在云桌面系统接入USB存储外设时，通过与服务单元交互来获得该USB存储外设的相关信息。外设管理装置用于根据该相关信息对该USB存储外设进行控制。

由于本发明提供的QEMUUSB重定向模块通过与服务单元交互来获得USB存储外设的相关信息，因此，需修改现有的QEMUUSB重定向模块以实现该功能。在一个实施例中，在现有的QEMUUSB重定向模块的源代码中加入USB存储外设的接入检查子模块，该接入检查子模块使得在接入USB存储外设时，QEMUUSB重定向模块通过与服务单元交互来获得该USB存储外设的相关信息，从而完成该USB存储外设的配置。

而如本领域技术人员所公知的，在现有的云桌面系统中，从USB存储外设接入开始，由USB存储外设通过客户端向云桌面系统发起连接请求，系统向该客户端发送命令以获得描述符信息，接着对USB存储外设进行配置(安装该外设的驱动等)，直到准备就绪，系统提示用户该USB存储外设可以使用。上述这些属于USB存储外设的初始化阶段。

本发明将现有的QEMUUSB重定向模块修改为在该初始化阶段加入USB存储外设接入检查的流程，具体而言，在接收到来自客户端的配置响应时，向USBCC服务单元发送认证请求，在获得USBCC服务单元的响应后(即，由USBCC服务单元查询数据库并返回USB存储外设的相关信息)，根据USBCC服务单元返回的相关信息完成USB存储外设的配置。

二.服务单元

服务单元，又称USB控制中心(USBCC)服务单元，可独立于虚拟机，并分配有监听端口(如，可通过IP地址：端口号来访问该USBCC服务单元)。USBCC服务单元可通过该监听端口监听来自虚拟机的消息，并且对来自虚拟机的消息(例如，来自QEMUUSB重定向模块的消息)进行响应。如下文所描述的，该来自虚拟机的消息可以是注册、认证、断开USB存储外设等请求。USBCC服务单元还与数据库连接，以查询该数据库中存储的信息。其中，当USBCC服务单元接收到来自虚拟机的请求时，可根据该请求查询或更改该数据库，并且可以将查询到的信息返回给虚拟机。

应理解，虚拟机和服务单元的交互消息格式可以是各种适用的消息格式。下面以JSON格式描述了QEMUUSB重定向模块向USBCC服务单元发送的认证请求：

三.数据库

数据库与USBCC服务单元连接，用于存储注册的USB存储外设的基本信息和相关信息；另外，该数据库还可以用来存储与接入的USB存储外设有关的日志(如下文所述)，以便于用户(或管理员)通过请求USBCC服务单元来访问该日志。

基于上述云桌面USB存储外设管控的系统，根据本发明的一个实施例，还提供一种云桌面USB存储外设管控的方法。概括而言，该方法包括：在接入USB存储外设时，QEMUUSB重定向模块通过与服务单元(即USB控制中心服务单元)交互获得该USB存储外设的相关信息，外设管理装置根据该相关信息对该USB存储外设进行控制。

现结合图1详细描述该云桌面USB存储外设管控的方法的具体步骤。需要注意的是，下文以特定的顺序描述了该管控方法的各个步骤，但本领域技术人员应理解，可调整其中一些步骤的顺序。

第一步：注册USB存储外设。

向云桌面系统注册USB存储外设，也就是通过USBCC服务单元将该USB存储外设的信息录入与该USBCC服务单元连接的数据库。

具体而言，用户可通过虚拟机向USBCC服务单元发送注册USB存储外设的请求，并将该USB存储外设的基本信息与相关信息连同请求一起发送给USBCC服务单元，USBCC服务单元根据接收到的注册请求更改与其连接的数据库，即将该USB存储外设的信息存储到该数据库中。其中，USB存储外设的基本信息包括但不限于：VID(供应商ID)、PID(产品ID)、序列号、虚拟机绑定信息等；USB存储外设的相关信息包括但不限于：所属用户(或责任人)、有效期限(起止时间)、访问权限(包括读写、只读或禁止)，以及虚拟机绑定信息等(本领域技术人员应理解，该绑定信息可以是绑定的虚拟机的唯一ID，该ID对于虚拟机来说是透明的)。

注册USB存储外设的目的在于：对于未经注册的USB存储外设，在后续认证步骤中将无法得到认证，也就是说，将禁止该USB存储外设接入虚拟机。

第二步：在接入USB存储外设时，QEMUUSB重定向模块通过与USBCC服务单元交互以获得USB存储外设的相关信息，根据该相关信息完成USB存储外设的配置。

在接入USB存储外设时，在该USB存储外设的初始化阶段执行如下操作：

1.USB存储外设通过客户端的USB重定向通道向外设管理装置发起连接请求。

该连接请求包括但不限于：该USB存储外设的版本(version)、类别(class)、速度(speed)等USB通用信息。

2.QEMUUSB重定向模块按照USB协议规范的要求，通过重定向通道向客户端发出重置(reset)和获取描述符(getdescriptor)命令包。

3.客户端将描述符信息发送给外设管理装置。

其中，该描述符信息包括但不限于：USB存储外设的供应商ID、产品ID以及序列号等基本信息。

4.外设管理装置按照USB协议规范的要求，向客户端发出设置配置(setconfig)包。

5.在客户端返回响应之后，QEMUUSB重定向模块(例如通过远程调用)向USBCC服务单元发出认证请求。连同该认证请求的还包括该USB存储外设的一些基本信息，例如：供应商ID、产品ID及序列号。此外，还可以包括虚拟机绑定信息(与该USB存储外设绑定的虚拟机ID)等。

6.USBCC服务单元根据接收到的USB存储外设的基本信息来查询数据库，如果数据库中已经注册了该USB存储外设(即存储有该USB存储外设的信息)，则从中获得该USB存储外设的一些相关信息并将结果返回给QEMUUSB重定向模块，例如返回访问权限(只读、读写、禁止)、与虚拟机的绑定信息、所属用户、有效期限等信息；如果还没有注册该USB存储外设，则可以返回禁止使用该USB存储外设的访问权限信息。

7.QEMUUSB重定向模块根据返回的相关信息完成USB存储外设的配置。

例如，如果返回信息指示该USB存储外设的访问权限为“只读”、所属用户为“A”、有效期限为“2015年5月1日至2015年5月2日”、绑定的虚拟机ID为“7768faef-a1a6-4adc-b6ee-0f1e548a328f”，则将该USB存储外设配置为符合以下描述：用户A在虚拟机“7768faef-a1a6-4adc-b6ee-0f1e548a328f”中从2015年5月1日到2015年5月2日以只读方式访问该USB存储外设。

第三步：外设管理装置根据USB存储外设的配置对USB存储外设进行实际控制。

外设管理装置可根据现有策略对“读写”和“禁止”权限的配置进行实际控制；对于“只读”权限的配置，具体而言，对于用户企图执行写操作(如，接收到用户发来的MODESENSE命令)，则外设管理装置可向用户提示“写保护”；对于恶意软件强行发出的写命令，则外设管理装置可立即断开该USB存储外设与虚拟机的连接(禁止访问该USB存储外设)。

此外，外设管理装置可根据对USB存储外设的控制向USBCC服务单元发送日志，例如，在外设管理装置断开USB存储外设与虚拟机的连接的同时，向USBCC服务单元发送日志(该USB存储外设断开)，由USBCC服务单元在数据库中进行记录。

下面结合图2，以访问权限为“只读”的USB存储外设为例，描述该USB存储外设的接入过程，以及在用户执行写操作且接收到强行写指令时外设管理装置(图2中标示为QEMU)的控制过程。

1.USB存储外设从客户端通过USB重定向通道向外设管理装置发送连接请求，并且连同该连接请求一起发送了USB存储外设的版本、类别和速度信息；

2.QEMUUSB重定向模块收到连接请求后，向客户端发送重置和获取描述符命令；

3.收到该命令后，客户端将USB存储外设的供应商ID、产品ID、序列号等信息发送给外设管理装置；

4.外设管理装置向客户端发送设置配置包；

5.客户端返回响应；

6.外设管理装置重定向模块通过远程调用向USBCC服务单元发送认证请求，并且连同该认证请求一起发送了供应商ID、产品ID、序列号和绑定虚拟机ID等信息；

7.USBCC查询数据库，并且将“只读”权限结果返回外设管理装置；

8.根据该“只读”权限，外设管理装置和客户端之间完成该USB存储外设的配置；完成初始化过程；

9.用户企图将文件拷贝到该USB存储外设中(即执行写操作)，其通过客户端向外设管理装置发送MODESENSE命令；

10.外设管理装置向客户端返回“写保护”；

11.虚拟机中的恶意软件企图强行发出写指令，其向外设管理装置发送MODEWRITE命令；

12.外设管理装置断开该USB存储外设，同时向USBCC服务单元发送“拒绝外设”的事件日志。

综上，本发明提供的云桌面USB存储外设管控的系统和方法修改了现有的QEMUUSB重定向模块，当USB存储外设接入虚拟机的时候，在该USB存储外设的初始化阶段中加入接入检查的流程。这种USB存储外设接入时的在线检查实现了USB存储外设的禁止、只读和读写控制，粒度较细。例如，对于USB存储外设的只读设定，当虚拟机中的恶意软件强行发出写指令时，本发明将立即断开该存储外设与虚拟机的连接，使得写操作无法完成。

此外，本发明采用服务(USBCC服务)单元的方式，实现了云桌面USB存储外设的统一管理。USBCC服务单元在全网中负责监听，并且在接入检查时与QEMUUSB重定向模块进行交互：QEMUUSB重定向模块将USB存储外设的供应商ID、产品ID、序列号、绑定的虚拟机ID等信息发给USBCC，USBCC返回结果。通过这种USBCC服务单元，可对连接到虚拟机的USB存储外设进行管理，包括注册、访问日志、在线检查USB存储外设与虚拟机绑定关系等。

以上所述仅为本发明示意性的具体实施方式，并非用以限定本发明的范围。任何本领域的技术人员，在不脱离本发明的构思和原则的前提下所作的等同变化、修改与结合，均应属于本发明保护的范围。

Claims (13)

1.一种云桌面USB存储外设管控的系统，包括：

外设管理装置，包括QEMUUSB重定向模块，所述QEMUUSB重定向模块用于在接入USB存储外设时通过与服务单元交互获得所述USB存储外设的相关信息，所述外设管理装置用于根据所述相关信息对所述USB存储外设进行控制；

服务单元，分配有监听端口，所述服务单元用于监听来自所述外设管理装置的消息并进行响应。

2.根据权利要求1所述的系统，还包括：

数据库，与所述服务单元连接，用于存储注册的USB存储外设的信息。

3.根据权利要求2所述的系统，其中，所述QEMUUSB重定向模块用于向所述服务单元发出对USB存储外设的认证请求；以及，所述服务单元用于根据所述USB存储外设的相关信息查询所述数据库，并返回查询结果。

4.根据权利要求2所述的系统，其中，所述数据库还用于存储事件日志。

5.一种基于权利要求1所述的系统的云桌面USB存储外设管控的方法，包括：

步骤1)、在接入USB存储外设时，QEMUUSB重定向模块通过与服务单元交互获得所述USB存储外设的相关信息；

步骤2)、外设管理装置根据所述相关信息对所述USB存储外设进行控制。

6.根据权利要求5所述的方法，其中，所述USB存储外设的相关信息包括该USB存储外设的访问权限、所属用户、有效期限或者虚拟机绑定信息，其中访问权限分为只读、读写和禁止。

7.根据权利要求5或6所述的方法，其中，步骤1)包括：

步骤11)、在USB存储外设的初始化阶段，在接收到对设置配置命令的响应时，由QEMUUSB重定向模块向服务单元发出对所述USB存储外设的认证请求；其中，所述服务单元与数据库连接且所述数据库用于存储注册的USB存储外设的信息；

步骤12)、所述服务单元根据所述USB存储外设的相关信息查询所述数据库，并返回查询结果。

8.根据权利要求7所述的方法，其中，步骤12)包括：

如果所述数据库存储有所述USB存储外设的信息，则所述服务单元返回查询到的所述USB存储外设的相关信息；

如果所述数据库没有存储所述USB存储外设的信息，则返回禁止访问所述USB存储外设的信息。

9.根据权利要求7所述的方法，其中，步骤2)包括：

步骤21)、根据所述QEMUUSB重定向模块接收的所述服务单元返回的查询结果，完成所述USB存储外设的配置；

步骤22)、外设管理装置根据所述USB存储外设的配置对所述USB存储外设进行控制。

10.根据权利要求9所述的方法，其中，步骤22)包括：

在所述USB存储外设被配置为只读的情况下，

对于接收到的MODESENSE命令，所述外设管理装置返回写保护信息；

对于接收到的MODEWRITE命令，所述外设管理装置断开所述USB存储外设。

11.根据权利要求10所述的方法，其中，对于接收到的MODEWRITE命令，所述外设管理装置还向所述服务单元发送事件日志。

12.根据权利要求5或6所述的方法，其中，步骤1)之前还包括：

注册USB存储外设。

13.根据权利要求12所述的方法，其中，注册USB存储外设包括：

所述服务单元接收到注册USB存储外设的请求以及该USB存储外设的信息；

所述服务单元根据该注册请求将该USB存储外设的信息存储到所述数据库中。