CN105450638A - 一种虚拟机安全控制方法、管理方法及系统和管理系统 - Google Patents

Abstract

本发明公开了一种虚拟机安全控制方法、管理方法及系统和管理系统，在虚拟机安全控制方法中，当检测到虚拟机的开机指令时，启动预启动OS；依据开机指令生成相应的开机请求，并将开机请求发送至安全管理设备；接收安全管理设备反馈的授权信息和虚拟机中所有存储分区分配不同的密钥；启动虚拟机OS并完成虚拟机的开机操作，及利用密钥对所述虚拟机中存储分区的数据进行加密存储，以此实现了对虚拟机的启动权限进行限制并且针对虚拟机中每个存储分区采用不同的密钥进行加密。另外，虚拟机安全管理方法及系统，虚拟机管理系统的有益效果同上。

Description

一种虚拟机安全控制方法、管理方法及系统和管理系统

技术领域

本发明涉及虚拟机安全技术领域，特别是涉及一种虚拟机安全控制方法、管理方法及系统和管理系统。

背景技术

随着云计算的快速发展和应用，使众多企业单位将传统的物理服务器和主机迁移到云平台上。为保证云平台上虚拟机中数据的安全性，目前市场上主流的解决办法是采用加密存储设备或是加密存储网关，使用户数据在存储设备上以密文形式存储。

然而，上述采用加密存储设备或加密存储网关的方式，通常是不同存储分区中的多个用户的数据采用相同的密钥对数据进行加密保护，用户数据的隔离性相对较低，安全性低；同时，在现有的虚拟机安全管理方法中，对于虚拟机的启动和使用均没有权限限制，任何想启动虚拟机的人均可以启动并使用虚拟机，安全性同样很低。

基于此，亟需一种能够对虚拟机的启动权限进行限制并且针对每个虚拟机采用不同的密钥进行加密的方法。

发明内容

有鉴于此，本发明提供了一种虚拟机安全控制方法、管理方法及系统和管理系统，以实现对虚拟机的启动权限进行限制并且针对每个存储分区采用不同的密钥进行加密的目的。

为解决上述技术问题，本发明提供了一种虚拟机安全控制方法，包括：

当检测到所述虚拟机的开机指令时，启动预启动OS；

依据所述开机指令生成相应的开机请求，并将所述开机请求发送至安全管理设备；

接收所述安全管理设备反馈的授权信息和所述虚拟机中所有存储分区分配不同的密钥；

启动虚拟机OS并完成所述虚拟机的开机操作，及利用所述密钥对所述虚拟机中所述存储分区的数据进行加密存储。

上述虚拟机安全控制方法中，优选的，所述启动预启动OS包括：

对所述虚拟机的运行环境和网络设备进行初始化配置。

本发明还提供了一种虚拟机安全管理方法，包括：

接收来自所述虚拟机的开机请求，并判断所述开机请求是否符合预设授权规则；

当判定所述开机请求符合所述预设授权规则时，向所述虚拟机反馈授权信息并为所述虚拟机中所有存储分区分配不同的密钥。

上述虚拟机安全管理方法中，优选的，在所述向所述虚拟机反馈授权信息之前，还包括：

显示所述开机请求并获取针对所述开机请求的授权确认信息；

依据所述授权确认信息，生成与所述开机请求相对应的授权信息。

本发明又提供了一种虚拟机安全控制系统，包括：

预启动模块，用于当检测到所述虚拟机的开机指令时，启动预启动OS；

开机请求发送模块，用于依据所述开机指令生成相应的开机请求，并将所述开机请求发送至安全管理设备；

接收模块，用于接收所述安全管理设备反馈的授权信息和所述虚拟机中所有存储分区分配不同的密钥；

控制模块，用于启动虚拟机OS并完成所述虚拟机的开机操作，及利用所述密钥对所述虚拟机中所述存储分区的数据进行加密存储。

上述虚拟机安全控制系统中，优选的，所述预启动模块具体用于对所述虚拟机的运行环境和网络设备进行初始化配置。

本发明又提供了一种虚拟机安全管理系统，包括：

权限判断模块，用于接收来自所述虚拟机的开机请求，并判断所述开机请求是否符合预设授权规则；

管理模块，用于当判定所述开机请求符合所述预设授权规则时，向所述虚拟机反馈授权信息并为所述虚拟机中所有存储分区分配不同的密钥。

上述虚拟机安全管理系统中，优选的，还包括：

授权确认信息获取模块，用于在所述向所述虚拟机反馈授权信息之前，显示所述开机请求并获取针对所述开机请求的授权确认信息；

授权信息生成模块，用于依据所述授权确认信息，生成与所述开机请求相对应的授权信息。

本发明还提供了一种虚拟机管理系统，包括：

虚拟机和安全管理设备；其中，

所述虚拟机，用于当检测到所述虚拟机的开机指令时，启动预启动OS；依据所述开机指令生成相应的开机请求，并将所述开机请求发送至安全管理设备；接收所述安全管理设备反馈的授权信息和所述虚拟机中所有存储分区分配不同的密钥；启动虚拟机OS并完成所述虚拟机的开机操作，及利用所述密钥对所述虚拟机中所述存储分区的数据进行加密存储；

所述安全管理设备，用于接收所述开机请求，并判断所述开机请求是否符合预设授权规则；当判定所述开机请求符合所述预设授权规则时，向所述虚拟机反馈所述授权信息并为所述虚拟机中所有存储分区分配不同的密钥。

以上本发明提供的一种虚拟机安全控制方法及系统中，采用预启动技术实现虚拟机的开机授权，具体地，当检测到虚拟机的开机指令时，并不是直接启动虚拟机OS(OperatingSystem，操作系统)，而是先启动预启动OS；然后依据开机指令生成相应的开机请求，并将开机请求发送至安全管理设备；接着，当接收到安全管理设备反馈的授权信息和虚拟机中所有存储分区分配不同的密钥时，启动虚拟机OS并完成虚拟机的开机操作，及利用密钥对虚拟机中存储分区的数据进行加密存储。以此，实现了对虚拟机的启动权限进行限制并且针对虚拟机中每个存储分区采用不同的密钥进行加密，进一步地，对虚拟机的启动权限进行限制，管理员完全控制虚拟机开机，防止非法启动虚拟机，提升了用户数据安全性，同时，为每个存储分区都分配唯一的密钥，有效提升了虚拟机数据存储的安全性。

以上本发明提供的一种虚拟机安全管理方法及系统，配合上述一种虚拟机安全控制方法及系统完成以下内容：接收来自虚拟机的开机请求，并判断开机请求是否符合预设授权规则；当判定开机请求符合预设授权规则时，向虚拟机反馈授权信息并为虚拟机中所有存储分区分配不同的密钥。同样，实现了对虚拟机的启动权限进行限制并且针对虚拟机中每个存储分区采用不同的密钥进行加密。

以上本发明提供的一种虚拟机管理系统，包括上述涉及的虚拟机和安全管理设备，有益效果同上。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的一种虚拟机安全控制方法的流程图；

图2为本发明实施例提供的一种虚拟机安全管理方法的流程图；

图3为本发明实施例提供的一种虚拟机安全控制系统的结构框图示意图；

图4为本发明实施例提供的一种虚拟机安全管理系统的结构框图示意图；

图5为本发明实施例提供的一种虚拟机管理系统的结构框图示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的核心是提供一种虚拟机安全控制方法、管理方法及系统和管理系统，以实现对虚拟机的启动权限进行限制并且针对每个存储分区采用不同的密钥进行加密的目的。

其中，本发明所提供的虚拟机管理系统包括虚拟机和安全管理设备，针对虚拟机的安全管理设备主要用于对虚拟机的开机行为进行授权管理和虚拟机的存储加密密钥进行管理。当然，实际应用中，安全管理设备还用于虚拟机的注册等等事宜。

需要说明的是，本发明以下内容主要是针对虚拟机的开机授权和存储分区加密保护进行介绍的，但实际上，本发明所提供的技术方案也适用于物理主机的开机授权及存储分区加密保护。

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。

实施例一

以虚拟机为执行主体进行阐述。

参考图1，图1示出了本发明实施例提供的一种虚拟机安全控制方法的流程图，该方法具体可以包括如下步骤：

步骤S100、判断是否检测到虚拟机的开机指令，当检测到虚拟机的开机指令时，进入步骤S101，否则继续判断是否检测到开机指令。

步骤S101、启动预启动OS。

本发明中，采用预启动技术实现虚拟机的开机授权，具体地，当检测到虚拟机的开机指令时，并不是直接启动虚拟机OS，而是先启动预启动OS，并通过网络向安全管理设备发送开机请求。

具体地，启动预启动OS实现了对虚拟机中除用于启动虚拟机OS和加密的控制模块之外各模块的运行环境和网络设备进行初始化配置。

步骤S102、依据开机指令生成相应的开机请求，并将开机请求发送至安全管理设备。

步骤S103、接收安全管理设备反馈的授权信息和虚拟机中所有存储分区分配不同的密钥。

实际应用中，安全管理设备侧的管理员对开机请求进行授权后，会生成相应的授权信息，虚拟机接收到授权信息意味着本次开机请求是合法的，是被管理员允许的。虚拟机接收到授权信息后，同时从安全管理设备获取上述密钥，以此实现该虚拟机中所有存储分区的存储加密。其中，采用透明加解密技术实现对虚拟机所有存储分区的加密保护(包括操作系统分区)。

若管理员未能及时授权，则虚拟机停滞在等待授权界面，此时虚拟机无法执行其他任何任务。获取授权信息之后，预启动OS将虚拟机控制权交给虚拟机OS，并实现存储分区的透明加解密。

步骤S104、启动虚拟机OS并完成虚拟机的开机操作，及利用密钥对虚拟机中存储分区的数据进行加密存储。

以上本发明提供的一种虚拟机安全控制方法及系统中，采用预启动技术实现虚拟机的开机授权，并且采用透明加解密技术实现对虚拟机所有存储分区的加密保护，实现了对虚拟机的启动权限进行限制并且针对虚拟机中每个存储分区采用不同的密钥进行加密，进一步地，对虚拟机的启动权限进行限制，管理员完全控制虚拟机开机，防止非法启动虚拟机，提升了用户数据安全性，同时，为每个存储分区都分配唯一的密钥，有效提升了虚拟机数据存储的安全性。

实施例二

以安全管理设备为执行主体进行阐述。

基于上述本发明实施例所公开的技术方案，本实施例中，参考图2，图2示出了本发明实施例提供的一种虚拟机安全管理方法的流程图，该方法具体可以包括如下步骤：

步骤S200、接收来自虚拟机的开机请求。

步骤S201、判断开机请求是否符合预设授权规则；当判定开机请求符合预设授权规则时，进入步骤S202，否则，进入步骤S203。

实际应用中，上述开机请求中至少包括发起开机请求的操作员的用户账号，可以通过判断这个账号是否属于该虚拟机合法使用者账号的范围内，如果是，则认为该开机请求符合预设授权规则。实际上，本发明重在为虚拟机的开机操作设定权限限制，上述判断开机请求是否符合预设授权规则的具体实施方式可以参照现有技术，并发明不再赘述。

步骤S202、向虚拟机反馈授权信息并为虚拟机中所有存储分区分配不同的密钥。

具体地，在接收到来自虚拟机的开机请求后，向管理员显示开机请求并获取管理员针对开机请求的授权确认信息；然后依据授权确认信息，生成与开机请求相对应的授权信息。

步骤S203、向虚拟机反馈相应的授权失败信息。

实施例三

基于上述本发明实施例提供的虚拟机安全控制方法，本发明实施例还提供了一种虚拟机安全控制系统，参考图3，该虚拟机安全控制系统300可以包括如下内容：

预启动模块301，用于当检测到虚拟机的开机指令时，启动预启动OS；

开机请求发送模块302，用于依据开机指令生成相应的开机请求，并将开机请求发送至安全管理设备；

接收模块303，用于接收安全管理设备反馈的授权信息和虚拟机中所有存储分区分配不同的密钥；

控制模块304，用于启动虚拟机OS并完成虚拟机的开机操作，及利用密钥对所述虚拟机中存储分区的数据进行加密存储。

本发明中，上述预启动模块301具体可以用于对虚拟机的运行环境和网络设备进行初始化配置。

实施例四

基于上述本发明实施例提供的虚拟机安全管理方法，本发明实施例还提供了一种虚拟机安全管理系统，参考图4，该虚拟机安全管理系统400可以包括如下内容：

权限判断模块401，用于接收来自虚拟机的开机请求，并判断开机请求是否符合预设授权规则；

管理模块402，用于当判定开机请求符合预设授权规则时，向虚拟机反馈授权信息并为虚拟机中所有存储分区分配不同的密钥。

本发明中，上述虚拟机安全管理系统400还可以包括：

授权确认信息获取模块，用于在向虚拟机反馈授权信息之前，显示开机请求并获取针对开机请求的授权确认信息；

授权信息生成模块，用于依据授权确认信息，生成与开机请求相对应的授权信息。

实施例五

基于上述本发明实施例提供的虚拟机安全控制系统和虚拟机安全管理系统，本发明实施例还提供了一种虚拟机管理系统，参考图5，该虚拟机管理系统500可以包括如下内容：

虚拟机501和安全管理设备502；其中，

虚拟机501，用于当检测到虚拟机501的开机指令时，启动预启动OS；依据开机指令生成相应的开机请求，并将开机请求发送至安全管理设备502；接收安全管理设备502反馈的授权信息和虚拟机501中所有存储分区分配不同的密钥；启动虚拟机OS并完成虚拟机501的开机操作，及利用密钥对虚拟机501中存储分区的数据进行加密存储；

安全管理设备502，用于接收开机请求，并判断开机请求是否符合预设授权规则；当判定开机请求符合预设授权规则时，向虚拟机501反馈授权信息并为虚拟机501中所有存储分区分配不同的密钥。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于系统类实施例而言，由于其与方法实施例基本相似，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。

以上对本发明所提供的一种虚拟机安全控制方法、管理方法及系统和管理系统进行了详细介绍。本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (9)

1.一种虚拟机安全控制方法，其特征在于，包括：

当检测到所述虚拟机的开机指令时，启动预启动OS；

依据所述开机指令生成相应的开机请求，并将所述开机请求发送至安全管理设备；

接收所述安全管理设备反馈的授权信息和所述虚拟机中所有存储分区分配不同的密钥；

启动虚拟机OS并完成所述虚拟机的开机操作，及利用所述密钥对所述虚拟机中所述存储分区的数据进行加密存储。

2.如权利要求1所述的虚拟机安全控制方法，其特征在于，所述启动预启动OS包括：

对所述虚拟机的运行环境和网络设备进行初始化配置。

3.一种虚拟机安全管理方法，其特征在于，包括：

接收来自所述虚拟机的开机请求，并判断所述开机请求是否符合预设授权规则；

当判定所述开机请求符合所述预设授权规则时，向所述虚拟机反馈授权信息并为所述虚拟机中所有存储分区分配不同的密钥。

4.如权利要求3所述的虚拟机安全管理方法，其特征在于，在所述向所述虚拟机反馈授权信息之前，还包括：

显示所述开机请求并获取针对所述开机请求的授权确认信息；

依据所述授权确认信息，生成与所述开机请求相对应的授权信息。

5.一种虚拟机安全控制系统，其特征在于，包括：

预启动模块，用于当检测到所述虚拟机的开机指令时，启动预启动OS；

开机请求发送模块，用于依据所述开机指令生成相应的开机请求，并将所述开机请求发送至安全管理设备；

接收模块，用于接收所述安全管理设备反馈的授权信息和所述虚拟机中所有存储分区分配不同的密钥；

控制模块，用于启动虚拟机OS并完成所述虚拟机的开机操作，及利用所述密钥对所述虚拟机中所述存储分区的数据进行加密存储。

6.如权利要求5所述的虚拟机安全控制系统，其特征在于，所述预启动模块具体用于对所述虚拟机的运行环境和网络设备进行初始化配置。

7.一种虚拟机安全管理系统，其特征在于，包括：

权限判断模块，用于接收来自所述虚拟机的开机请求，并判断所述开机请求是否符合预设授权规则；

管理模块，用于当判定所述开机请求符合所述预设授权规则时，向所述虚拟机反馈授权信息并为所述虚拟机中所有存储分区分配不同的密钥。

8.如权利要求7所述的虚拟机安全管理系统，其特征在于，还包括：

授权确认信息获取模块，用于在所述向所述虚拟机反馈授权信息之前，显示所述开机请求并获取针对所述开机请求的授权确认信息；

授权信息生成模块，用于依据所述授权确认信息，生成与所述开机请求相对应的授权信息。

9.一种虚拟机管理系统，其特征在于，包括：

虚拟机和安全管理设备；其中，

所述虚拟机，用于当检测到所述虚拟机的开机指令时，启动预启动OS；依据所述开机指令生成相应的开机请求，并将所述开机请求发送至安全管理设备；接收所述安全管理设备反馈的授权信息和所述虚拟机中所有存储分区分配不同的密钥；启动虚拟机OS并完成所述虚拟机的开机操作，及利用所述密钥对所述虚拟机中所述存储分区的数据进行加密存储；

所述安全管理设备，用于接收所述开机请求，并判断所述开机请求是否符合预设授权规则；当判定所述开机请求符合所述预设授权规则时，向所述虚拟机反馈所述授权信息并为所述虚拟机中所有存储分区分配不同的密钥。