CN106464667A - 一种证书管理方法、设备及系统 - Google Patents

一种证书管理方法、设备及系统 Download PDF

Info

Publication number
CN106464667A
CN106464667A CN201580016066.2A CN201580016066A CN106464667A CN 106464667 A CN106464667 A CN 106464667A CN 201580016066 A CN201580016066 A CN 201580016066A CN 106464667 A CN106464667 A CN 106464667A
Authority
CN
China
Prior art keywords
equipment
certificate
request message
certificates identified
network function
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201580016066.2A
Other languages
English (en)
Other versions
CN106464667B (zh
Inventor
冯成燕
王江胜
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Publication of CN106464667A publication Critical patent/CN106464667A/zh
Application granted granted Critical
Publication of CN106464667B publication Critical patent/CN106464667B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2143—Clearing memory, e.g. to prevent the data from being stolen

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明公开了一种证书管理方法、设备及系统，涉及通信领域，能够解决虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。具体方案为：第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，第一请求消息用于请求撤销第一实例的证书。本发明用于证书管理。

Description

一种证书管理方法、设备及系统 技术领域
本发明涉及通信领域，尤其涉及一种证书管理方法、设备及系统。
背景技术
NFV(Network Function Virtulization，网络功能虚拟化)通过在通用的服务器、交换机、存储器等硬件设备上建立VNF(Virtualised Network Function，虚拟网络功能)实现部分网络功能，使得这些网络功能在通用的硬件设备上运行，不需要配置新的专用网元设备，能够极大的增强网络部署的灵活性，并且降低了投资成本。
在通过NFV技术实现网络功能的过程中，虚拟网络内部VNF之间互相通信，或者VNF与外部网络通信都存在安全隐患，因此，现有技术中采用IPSec(Internet Protocol Security，互联网协议安全)或TLS(Transport Layer Security，传输层安全协议)等技术建立网络中的连接。这些安全技术需要相互通信的双方配置证书，证书包含通信双方用于验证的密钥及算法。
在虚拟化场景下，VNF是一组软件，在需要的时候进行实例化和终止。所谓VNF的实例化，是指为一个VNF分配资源和安装软件的过程；所谓终止，是指解除对该VNF分配的资源的过程。在实现上述功能的过程中，发明人发现，当VNF实例终止后，分配给该VNF实例的资源回收后可能会分配给其他VNF，此时，原来VNF实例存储证书信息的存储资源分配给了其他VNF，这就使得原来VNF实例的证书会被其他VNF获取，导致签发给原VNF或VNFC(Virtualised Network Function Component，虚拟网络功能组件)实例的证书可能被攻击者非法获取，降低了虚拟网络系统的通信安全。
发明内容
本发明的实施例提供一种证书管理方法、设备及系统，能够解决虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
为达到上述目的，本发明的实施例采用如下技术方案：
第一方面，本发明实施例提供一种证书管理方法，应用于虚拟网络系统，包括：
第一设备获取第一实例的证书标识，所述第一实例为终止的实例；
所述第一设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，或者，所述第一设备向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
结合第一方面，在第一方面的第一种可能的实现方式中，所述第一设备获取第一实例的证书标识之前，还包括：
所述第一设备接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
所述第一设备根据所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，
所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
结合第一方面的第二种可能的实现方式，在第一方面的第三种可能的实现方式中，
所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
结合第一方面的第一种可能的实现方式至第一方面的第三种可能的实现方式中任一实现方式，在第一方面的第四种可能的实现方式中，所述第一设备接收第一实例发送的第一实例的证书信息之前，还包括：
所述第一设备向所述第一实例发送查询消息，所述查询消息包括 所述第一实例的标识；
所述第一设备接收第一实例发送的第一实例的证书信息，包括：
所述第一设备接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
结合第一方面，在第一方面的第五种可能的实现方式中，所述第一设备获取第一实例的证书标识之前，还包括：
所述第一设备接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
所述第一设备根据所述第二请求消息终止所述第一实例。
结合第一方面的第五种可能的实现方式，在第一方面的第六种可能的实现方式中，所述第一设备根据所述第二请求消息终止所述第一实例之后，还包括：
所述第一设备向所述第三设备发送第二确认消息，所述第二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
结合第一方面的第五种可能的实现方式或第一方面的第六种可能的实现方式，在第一方面的第七种可能的实现方式中，
所述第三设备为网络功能虚拟化编排器NFVO。
结合第一方面，在第一方面的第八种可能的实现方式中，
所述第一设备获取第一实例的证书标识之前，还包括：
所述第一设备接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
结合第一方面的第八种可能的实现方式，在第一方面的第九种可能的实现方式中，
所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
结合第一方面的第九种可能的实现方式，在第一方面的第十种可能的实现方式中，所述第一设备接收第四设备发送的第一指示信息之后，还包括：
所述第一设备向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
结合第一方面，在第一方面的第十一种可能的实现方式中，所述第一设备获取第一实例的证书标识之前，还包括：
当所述第一设备检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
结合第一方面，在第一方面的第十二种可能的实现方式中，所述第一设备向第二设备发送第一请求消息之后，还包括：
所述第一设备接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第一方面至第一方面的第十二种可能的实现方式中任一实现方式，在第一方面的第十三种可能的实现方式中，所述第一设备获取第一实例的证书标识之后，还包括：
所述第一设备根据所述第一实例的证书标识删除所述第一实例的证书信息。
结合第一方面至第一方面的第十三种可能的实现方式中任一实现方式，在第一方面的第十四种可能的实现方式中，所述第一设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，包括：
所述第一设备在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第一方面至第一方面的第十四种可能的实现方式中任一实现方式，在第一方面的第十五种可能的实现方式中，
所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件 VNFC实例。
结合第一方面至第一方面的第十五种可能的实现方式中任一实现方式，在第一方面的第十六种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
结合第一方面至第一方面的第十六种可能的实现方式中任一实现方式，在第一方面的第十七种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
第二方面，本发明实施例提供一种证书管理方法，应用于虚拟网络系统，包括：
第二设备接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
结合第二方面，在第二方面的第一种可能的实现方式中，所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，包括：
所述第二设备在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第二方面或第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态之后，还包括：
所述第二设备向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第二方面至第二方面的第二种可能的实现方式中任一实现方式，在第二方面的第三种可能的实现方式中，
所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
结合第二方面至第二方面的第三种可能的实现方式中任一实现 方式，在第二方面的第四种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
结合第二方面至第二方面的第四种可能的实现方式中任一实现方式，在第二方面的第五种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
第三方面，本发明实施例提供一种第一设备，应用于虚拟网络系统，包括：
获取单元，用于获取第一实例的证书标识，所述第一实例为终止的实例；
在所述获取单元获取第一实例的证书标识后，
证书管理单元，用于根据所述获取单元获取的所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态；
或者，发送单元，用于向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
结合第三方面，在第三方面的第一种可能的实现方式中，
所述第一设备还包括接收单元，用于接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
所述证书管理单元，还用于根据所述接收单元接收的所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
结合第三方面的第一种可能的实现方式，在第三方面的第二种可能的实现方式中，
所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
结合第三方面的第二种可能的实现方式，在第三方面的第三种可能的实现方式中，
所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组 件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
结合第三方面的第一种可能的实现方式至第三方面的第三种可能的实现方式中任一实现方式，在第三方面的第四种可能的实现方式中，
所述发送单元，还用于向所述第一实例发送查询消息，所述查询消息包括所述第一实例的标识；
所述接收单元，还用于接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
结合第三方面，在第三方面的第五种可能的实现方式中，
所述第一设备还包括接收单元，用于接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
所述第一设备还包括实例管理单元，用于根据所述接收单元接收的所述第二请求消息终止所述第一实例。
结合第三方面的第五种可能的实现方式，在第三方面的第六种可能的实现方式中，
所述发送单元，还用于向所述第三设备发送第二确认消息，所述第二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
结合第三方面的第五种可能的实现方式或第三方面的第六种可能的实现方式，在第三方面的第七种可能的实现方式中，
所述第三设备为网络功能虚拟化编排器NFVO。
结合第三方面，在第三方面的第八种可能的实现方式中，
所述第一设备还包括接收单元，用于接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
结合第三方面的第八种可能的实现方式，在第三方面的第九种可能的实现方式中，
所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
结合第三方面的第九种可能的实现方式，在第三方面的第十种可能的实现方式中，
所述发送单元，还用于向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
结合第三方面，在第三方面的第十一种可能的实现方式中，
所述第一设备还包括实例管理单元，用于当检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
结合第三方面，在第三方面的第十二种可能的实现方式中，
所述第一设备还包括接收单元，用于接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第三方面至第三方面的第十二种可能的实现方式中任一实现方式，在第三方面的第十三种可能的实现方式中，
所述证书管理单元，还用于根据所述第一实例的证书标识删除所述第一实例的证书信息。
结合第三方面至第三方面的第十三种可能的实现方式中任一实现方式，在第三方面的第十四种可能的实现方式中，
所述证书管理单元，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第三方面至第三方面的第十四种可能的实现方式中任一实现方式，在第三方面的第十五种可能的实现方式中，
所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
结合第三方面至第三方面的第十五种可能的实现方式中任一实现方式，在第三方面的第十六种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
结合第三方面至第三方面的第十六种可能的实现方式中任一实现方式，在第三方面的第十七种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
第四方面，本发明实施例提供一种第二设备，应用于虚拟网络系统，包括：
接收单元，用于接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
证书管理单元，用于根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
结合第四方面，在第四方面的第一种可能的实现方式中，
所述证书管理单元，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第四方面或第四方面的第一种可能的实现方式，在第四方面的第二种可能的实现方式中，
所述第二设备还包括发送单元，用于向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第四方面至第四方面的第二种可能的实现方式中任一实现方式，在第四方面的第三种可能的实现方式中，
所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
结合第四方面至第四方面的第三种可能的实现方式中任一实现方式，在第四方面的第四种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
结合第四方面至第四方面的第四种可能的实现方式中任一实现方式，在第四方面的第五种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
第五方面，本发明实施例提供一种第一设备，应用于虚拟网络系 统，包括：处理器、存储器、总线、发送器，所述处理器、所述存储器及所述发送器通过所述总线相互连接；
其中，所述处理器，用于获取第一实例的证书标识，所述第一实例为终止的实例；
在所述处理器获取第一实例的证书标识后，
所述处理器，还用于根据获取的所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态；
或者，所述发送器，用于向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
结合第五方面，在第五方面的第一种可能的实现方式中，
所述第一设备还包括接收器，用于接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
所述处理器，还用于根据所述接收器接收的所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
结合第五方面的第一种可能的实现方式，在第五方面的第二种可能的实现方式中，
所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
结合第五方面的第二种可能的实现方式，在第五方面的第三种可能的实现方式中，
所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
结合第五方面的第一种可能的实现方式至第五方面的第三种可能的实现方式中任一实现方式，在第五方面的第四种可能的实现方式中，
所述发送器，还用于向所述第一实例发送查询消息，所述查询消息包括所述第一实例的标识；
所述接收器，还用于接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
结合第五方面，在第五方面的第五种可能的实现方式中，
所述第一设备还包括接收器，用于接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
所述处理器，还用于根据所述接收器接收的所述第二请求消息终止所述第一实例。
结合第五方面的第五种可能的实现方式，在第五方面的第六种可能的实现方式中，
所述发送器，还用于向所述第三设备发送第二确认消息，所述第二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
结合第五方面的第五种可能的实现方式或第五方面的第六种可能的实现方式，在第五方面的第七种可能的实现方式中，
所述第三设备为网络功能虚拟化编排器NFVO。
结合第五方面，在第五方面的第八种可能的实现方式中，
所述第一设备还包括接收器，用于接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
结合第五方面的第八种可能的实现方式，在第五方面的第九种可能的实现方式中，
所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
结合第五方面的第九种可能的实现方式，在第五方面的第十种可能的实现方式中，
所述发送器，还用于向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的 资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
结合第五方面，在第五方面的第十一种可能的实现方式中，
所述处理器，还用于当检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
结合第五方面，在第五方面的第十二种可能的实现方式中，
所述第一设备还包括接收器，用于接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第五方面至第五方面的第十二种可能的实现方式中任一实现方式，在第五方面的第十三种可能的实现方式中，
所述处理器，还用于根据所述第一实例的证书标识删除所述第一实例的证书信息。
结合第五方面至第五方面的第十三种可能的实现方式中任一实现方式，在第五方面的第十四种可能的实现方式中，
所述处理器，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第五方面至第五方面的第十四种可能的实现方式中任一实现方式，在第五方面的第十五种可能的实现方式中，
所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
结合第五方面至第五方面的第十五种可能的实现方式中任一实现方式，在第五方面的第十六种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
结合第五方面至第五方面的第十六种可能的实现方式中任一实现方式，在第五方面的第十七种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
第六方面，本发明实施例提供一种第二设备，应用于虚拟网络系统，包括：处理器、存储器、总线及接收器，所述处理器、所述存储 器及所述接收器通过所述总线相互连接；
其中，所述接收器，用于接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
所述处理器，用于根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
结合第六方面，在第六方面的第一种可能的实现方式中，
所述处理器，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第六方面或第六方面的第一种可能的实现方式，在第六方面的第二种可能的实现方式中，
所述第二设备还包括发送器，用于向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第六方面至第六方面的第二种可能的实现方式中任一实现方式，在第六方面的第三种可能的实现方式中，
所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
结合第六方面至第六方面的第三种可能的实现方式中任一实现方式，在第六方面的第四种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
结合第六方面至第六方面的第四种可能的实现方式中任一实现方式，在第六方面的第五种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
第七方面，本发明实施例提供一种虚拟网络系统，包括第一设备及第二设备。
其中，所述第一设备为第三方面或第三方面的任意一种可能的实现方式中所描述的第一设备，所述第二设备为第四方面或第四方面的任意一种可能的实现方式中所描述的第二设备；
或者，所述第一设备为第五方面或第五方面的任意一种可能的实 现方式中所描述的第一设备，所述第二设备为第六方面或第六方面的任意一种可能的实现方式中所描述的第二设备。
本发明实施例提供的一种证书管理方法、设备及系统，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种网络功能虚拟化系统结构示意图；
图2为本发明实施例提供的一种证书管理方法流程示意图；
图3为本发明实施例提供的另一种证书管理方法流程示意图；
图4为本发明另一实施例提供的一种证书管理方法流程示意图；
图5为本发明又一实施例提供的一种证书管理方法流程示意图；
图6为本发明再一实施例提供的一种证书管理方法流程示意图；
图7为本发明实施例提供的一种第一设备结构示意图；
图8为本发明实施例提供的一种第二设备结构示意图；
图9为本发明另一实施例提供的一种第一设备结构示意图；
图10为本发明另一实施例提供的一种第二设备结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方 案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明的实施例提供一种网络功能虚拟化系统，参照图1所示，该网络功能虚拟化系统10包括NFVO(Network Functions Virtualization Orchestrator，网络功能虚拟化编排器)101、VNFM(Virtualized Network Function Manager，虚拟网络功能管理器)102、VIM(Virtualised Infrastructure Manager，虚拟基础设备管理器)103、OSS/BSS(Operations and Business Support Systems，运营和业务支撑系统)104、EMS(Element Management System，网元管理系统)105、VNF 106、NFVI(Network Function Virtulization Infrastructure，网络功能虚拟化基础设施)107。
其中，NFVO 101，用于对NFV(Network Function Virtulization，网络功能虚拟化)的基础设施资源及软件资源进行网络侧的编排和管理，以及在NFVI 107上实现NFV业务拓扑。
VNFM 102，用于对VNF(Virtualised Network Function，虚拟网络功能)实例的生命周期进行管理。
VIM 103，用于控制和管理实现计算、存储和网络资源以及它们的虚拟化的实体。
OSS/BSS 104，用于网络管理、系统管理、计费、账务、客户服务等等。
EMS 105，管理一个或多个网络单元。
VNF 106，对应于传统非虚拟化网络中的PNF(Physical network function，物理网络功能)，如虚拟化的EPC(Evolved Packet Core，演进分组核心)节点，实现特定的网络功能。VNF可以由多个更低级别的组件，即VNFC(Virtualised Network Function Component，虚拟网络功能组件)来组成。一个VNF可以部署在多个VM(Virtual Machine，虚拟机)上，每个VM入驻(host)一个VNFC。
NFVI 107，由硬件资源、虚拟资源及虚拟层组成，是提供所需虚拟资源的实体。
基于上述图1所示的网络功能虚拟化系统10，本发明实施例提供一种证书管理方法，应用于第一设备，优选的，第一设备可以是图1所示的网络功能虚拟化系统10中的VNFM 102，或者，该第一设备也可以是EM(Element Management，网元管理器)。参照图2所示，本实施例提供的证书管理方法包括以下步骤：
201、第一设备获取第一实例的证书标识。
第一实例为终止的实例。可选的，第一实例可以是VNF实例或VNFC实例。第一实例的证书标识可以包括第一实例的证书序列号。
可选的，步骤201之前，第一设备可以接收第一实例发送的第一实例的证书信息，第一实例发送的第一实例的证书信息包括第一实例的标识及第一实例的证书标识；第一设备根据第一实例发送的第一实例的证书信息存储或更新第一实例的证书信息。
进一步可选的，在一种应用场景中，第一实例初始安装证书时，将第一实例的证书信息发送至第一设备。在另一种应用场景中，第一设备向第一实例查询证书信息，具体的，第一设备向第一实例发送查询消息，查询消息包括第一实例的标识；第一设备接收第一实例发送的上报消息，上报消息包含第一实例发送的第一实例的证书信息。
优选的，第一实例的标识包括第一实例的ID(Identifier，标识)，第一实例的ID可以是VNF ID，或VNFC ID，或VM ID，或VC ID(Virtual Container Identifier，虚拟容器标识)，第一实例的证书标识包括第一实例的证书序列号。
另外，可选的，第一设备终止第一实例有两种情况，以图1所示的网络功能虚拟化系统10为例，当然，本实施例只是以这两种情况为例进行说明，并不代表本发明局限于此。
第一种情况，网络功能虚拟化系统10主动终止第一实例，此时，第一设备接收第三设备发送的第二请求消息，第二请求消息包含第一实例的标识，第二请求消息用于指示终止第一实例；第一设备根据第 二请求消息终止该第一实例。可选的，第一设备还可以向第三设备发送第二确认消息，第二确认消息包含第一实例的标识，第二确认消息用于指示确认终止第一实例。优选的，第三设备可以是图1所示的网络功能虚拟化系统10中的NFVO 101。
第二种情况，第一实例因为崩溃等原因被动终止。
此时，可选的，第一设备检测到第一实例崩溃时，终止该第一实例。或者，可选的，第四设备检测到第一实例崩溃时，第一设备接收第四设备发送的第一指示信息，第一指示信息用于指示第一实例崩溃，第一指示信息包含第一实例的标识，第一指示信息由第四设备通过第五设备转发至第一设备；第一设备根据第一指示信息终止该第一实例。
可选的，第一设备还可以向第三设备发送第二确认消息。此处，优选的，在图1所示的网络功能虚拟化系统10中，第三设备可以是NFVO 101，第四设备可以是NFVI 107，第五设备可以是VIM 103。此时，可选的，第一设备可以向NFVI 107及VIM 103发送第二指示信息，第二指示信息用于指示VIM删除第一实例对应的资源，并指示NFVI删除第一实例的证书及第一实例的证书对应的密钥。
202、第一设备根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息。
可选的，第一设备将第一实例的证书状态信息更新为撤销状态时，可以是第一设备在已经存储的CRL(Certificate Revocation List，证书吊销列表)中增加第一实例的证书标识，或者更新证书状态列表，在证书状态列表中将第一实例的证书状态更改为撤销状态。当然，此处只是举例说明两种具体的可实现方式，对于第一设备如何更新证书状态信息本发明不做限制。
或者，第一设备可以向第二设备发送第一请求消息，该第一请求消息包含第一实例的证书标识，第一请求消息用于指示撤销第一实例的证书。其中，本发明中的第二设备可以是CA(Certificate Authority，认证中心)/RA(Registration Authority，注册中心)，或OCSP(Online  Certificate Status Protocol，在线证书状态协议)服务器，或图1所示的网络功能虚拟化系统10中的NFVO 101。
对于步骤202，在通信系统中，哪个设备接收第一请求消息取决于哪个设备维护证书状态信息。如果是第一设备维护证书状态信息，则第一设备终止第一实例后直接更新证书状态信息即可；如果是NFVO 101维护证书状态信息，则第一设备将第一请求消息发送至NFVO 101；如果是CA/RA维护证书状态信息，则第一设备可以直接向CA/RA发送第一请求消息，或通过NFVO 101向CA/RA发送第一请求消息；如果是OCSP服务器维护证书状态信息，第一设备通过CA/RA转发，或通过NFVO 101及CA/RA转发，将证书撤销请求发送至OCSP服务器。
此处，值得说明的是，第一设备与第二设备之间可能不止一个中间节点，本发明对此不作限制。
另外，可选的，如果第一设备存储了第一实例的证书信息，当第一设备终止第一实例后，可以根据第一实例的证书标识删除第一实例的证书信息。
步骤202之后，可选的，如果第一设备向第二设备发送第一请求消息，则第一设备还可以接收第二设备发送的第一确认消息，第一确认消息用于指示确认撤销第一实例。
因为在每个证书使用之前，需要验证该证书是否合法，如果第一实例的证书被攻击者非法获取，这里，主要在于证书中的私钥被非法获取，通过本实施例的证书管理方法，在第一实例终止后，将第一实例的证书状态信息更改为撤销状态，如果第一实例的证书被攻击者非法获取，在使用之前，就能验证出该证书已经被撤销，无法使用该证书，避免了第一实例终止后，该第一实例的证书中的私钥可能被非法获取从而仿冒VNF实例身份，威胁网络系统的通信安全。
本发明实施例提供的证书管理方法，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，这样，如 果第一实例的整数被攻击者非法获取，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于图1所示的网络功能虚拟化系统10，结合上述图2对应的实施例，本发明实施例提供另一种证书管理方法，应用于第二设备，可选的，第二设备可以是CA/RA、NFVO或OCSP(Online Certificate Status Protocol，在线证书状态协议)服务器。参照图3所示，包括以下步骤：
301、第二设备接收第一设备发送的第一请求消息。
第一请求消息包含第一实例的证书标识，第一请求消息用于指示撤销第一实例的证书。可选的，第一实例的证书标识包括第一实例的证书序列号。可选的，第一实例可以是VNF实例或VNFC实例。
可选的，结合图1所示的网络功能虚拟化系统10，当第二设备是CA/RA、第一设备为VNFM 102时，第一设备可以通过NFVO 101与第二设备进行信息传输。
或者，可选的，当第二设备是OCSP服务器、第一设备为VNFM 102时，第一设备和第二设备可以通过CA/RA进行信息传输，或者第一设备和第二设备可以通过NFVO 101和CA/RA进行信息传输。
302、第二设备根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态。
具体可选的，第二设备可以根据第一实例的证书标识在已经存储的CRL中增加第一实例的证书标识；或者第二设备更新证书状态列表，对于第二设备如何更新证书状态信息本发明不做限制。
可选的，第二设备还可以向第一设备发送第一确认消息，第一确认消息用于指示确认撤销第一实例。
因为在每个证书使用之前，需要验证该证书是否合法，如果第一 实例的证书被攻击者非法获取，这里，主要在于证书中的私钥被非法获取，通过本实施例的证书管理方法，在第一实例终止后，将第一实例的证书状态信息更改为撤销状态，如果第一实例的证书被攻击者非法获取，在使用之前，就能验证出该证书已经被撤销，无法使用该证书，避免了第一实例终止后，该第一实例的证书中的私钥可能被非法获取从而仿冒VNF实例身份，威胁网络系统的通信安全。
本发明实施例提供的证书管理方法，第二设备接收第一设备发送的第一请求消息，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于图1所示的网络功能虚拟化系统10，结合上述图2和图3对应的实施例，本发明另一实施例提供一种证书管理方法，本实施例以第一设备为VNFM，第二设备为CA/RA为例进行说明，当然，本实施例只是举例说明，并不代表本发明局限于此，第一设备也可以是EM，第二设备也可以是NFVO或OCSP服务器。参照图4所示，本实施例提供的证书管理方法包括以下步骤：
401、NFVO接收到终止第一实例的请求。
可选的，终止第一实例的请求来自OSS或者VNFM，或者EM触发VNFM发送该请求。值得说明的是，第一实例可以是VNF实例或VNFC实例。
可选的，NFVO可以验证该请求的有效性，也可以验证该VNF/VNFC实例是否存在。
402、NFVO向VNFM发送第二请求消息。
第二请求消息包含第一实例的标识，第二请求消息用于指示终止第一实例。可选的，第一实例的标识包括第一实例的ID(Identifier，标识)，第一实例的ID可以是VNF ID，或VNFC ID，或VM ID，或 VC ID(Virtual Container Identifier，虚拟容器标识)。
403、VNFM终止第一实例。
具体的，VNFM根据第二请求消息中包含的第一实例的标识将对应的第一实例终止。
404、VNFM向NFVO发送第二确认消息。
可选的，第二确认消息包含第一实例的标识，第二确认消息用于指示确认终止第一实例。
405、VNFM获取第一实例的证书标识。
可选的，VNFM可以根据存储的第一实例的证书信息获取第一实例的标识对应的第一实例的证书标识，并根据第一实例的证书标识确认要撤销的第一实例证书，第一实例的证书信息包括第一实例的标识及第一实例的证书标识。第一实例的证书标识包括第一实例的证书序列号。
406、VNFM向CA/RA发送第一请求消息。
第一请求消息包含第一实例的证书标识，第一请求消息用于指示撤销第一实例的证书。
407、CA/RA根据第一实例的证书标识更新CRL。
可选的，CA/RA根据第一实例的证书标识更新CRL。具体可选的，CA/RA在CRL中增加第一实例的证书标识。其中，可选的，CRL的更新间隔可能是固定的，CA/RA在收到VNFM发送的第一请求消息后，在下一个更新时刻发布更新的CRL，对此，本发明不做限制。
408、CA/RA向VNFM发送第一确认消息。
可选的，第一确认消息包含第一实例的证书标识，第一确认消息用于指示确认撤销第一实例的证书。
409、VNFM根据第一实例的证书标识删除第一实例的证书信息。
可选的，步骤404之后，还包括：
410、删除对第一实例配置的资源。
删除对第一实例配置的资源即为将分配给第一实例的资源回收。具体可选的，VIM删除该第一实例对应的资源，NFVI删除该第一实 例的证书及该第一实例的证书对应的密钥。特别地，如果有TPM(Trusted Platform Module，可信平台模块)等安全硬件存储的话，要在硬件中删除。
可选的，NFVO还可以向OSS/BSS或VNFM发送第一实例终止的确认消息。
本发明实施例提供的证书管理方法，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于图1所示的网络功能虚拟化系统10，结合上述图2和图3对应的实施例，本发明又一实施例提供一种证书管理方法，本实施例以第一设备为VNFM，第二设备为CA/RA为例进行说明，当然，本实施例只是举例说明，并不代表本发明局限于此，第一设备也可以是EM，第二设备也可以是NFVO或OCSP服务器。参照图5所示，本实施例提供的证书管理方法包括以下步骤：
501、VNFM检测到第一实例崩溃时，终止第一实例。
可选的，第一实例可以是VNF实例或VNFC实例。
可选的，VNFM可以通过检测其与第一实例之间的心跳报文确定第一实例是否崩溃，在一种应用场景中，可选的，第一实例每隔一个时间周期向VNFM发送一个心跳报文，以此证明该第一实例运行正常，如果VNFM在规定的时间周期内没有接收到心跳报文，则证明第一实例崩溃，当然此处只是举例说明，并不代表本发明局限于此，另外，对于心跳报文发送的时间周期，本发明不做限制，可以根据具体情况自行设定。
502、VNFM向NFVO发送第二指示信息。
可选的，第二指示信息用于指示VIM删除第一实例对应的资源， 并指示NFVI删除第一实例的证书及第一实例的证书对应的密钥。
503、删除对第一实例配置的资源。
删除对第一实例配置的资源即为将分配给第一实例的资源回收。具体可选的，VIM删除该第一实例对应的资源，NFVI删除该第一实例的证书及该第一实例的证书对应的密钥。特别地，如果有TPM等安全硬件存储的话，要在硬件中删除。
504、VNFM获取第一实例的证书标识。
可选的，VNFM可以根据存储的第一实例的证书信息获取第一实例的标识对应的第一实例的证书标识，并根据第一实例的证书标识确认要撤销的第一实例证书，第一实例的证书信息包括第一实例的标识及第一实例的证书标识。第一实例的证书标识包括第一实例的证书序列号。
505、VNFM向CA/RA发送第一请求消息。
第一请求消息包含第一实例的证书标识，第一请求消息用于指示撤销第一实例的证书。
具体可选的，VNFM将第一请求消息发送至NFVO，由NFVO将第一请求消息转发至CA/RA。
506、CA/RA根据第一实例的证书标识更新CRL。
可选的，CA/RA根据第一实例的证书标识更新CRL。具体可选的，CA/RA在CRL中增加第一实例的证书标识。其中，可选的，CRL的更新间隔可能是固定的，CA/RA在收到VNFM发送的第一请求消息后，在下一个更新时刻发布更新的CRL，对此，本发明不做限定。
507、CA/RA向VNFM发送第一确认消息。
具体可选的，CA/RA将第一确认消息发送至NFVO，由NFVO将第一确认消息转发至VNFM。可选的，第一确认消息包含第一实例的证书标识，第一确认消息用于指示确认撤销第一实例的证书。
VNFM接收到第一确认消息后，可以根据第一实例的证书标识删除第一实例的证书信息。
本发明实施例提供的证书管理方法，第一设备获取第一实例的证 书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于图1所示的网络功能虚拟化系统10，结合上述图2和图3对应的实施例，本发明再一实施例提供一种证书管理方法，本实施例以第一设备为VNFM，第二设备为OCSP服务器为例进行说明，当然，本实施例只是举例说明，并不代表本发明局限于此，第一设备也可以是EM，第二设备也可以是NFVO或CA/RA。参照图6所示，本实施例提供的证书管理方法包括以下步骤：
601、NFVI检测到第一实例崩溃时，向VNFM发送第一指示信息。
第一指示信息用于指示第一实例崩溃，第一指示信息包含第一实例的标识，进一步可选的，第一实例可以是VNF实例或VNFC实例，第一实例的标识包括第一实例的ID(Identifier，标识)，第一实例的ID可以是VNF ID，或VNFC ID，或VM ID，或VC ID。
优选的，第一指示信息由VIM转发至VNFM。
602、VNFM向NFVO发送第二指示信息。
优选的，VNFM向VIM及NFVI发送第二指示信息，第二指示信息用于指示VIM删除第一实例对应的资源，并指示NFVI删除第一实例的证书及第一实例的证书对应的密钥。603、删除对第一实例配置的资源。
删除对第一实例配置的资源即为将分配给第一实例的资源回收。
具体可选的，VIM删除该第一实例对应的资源，NFVI删除该第一实例的证书及该第一实例的证书对应的密钥。特别地，如果有TPM等安全硬件存储的话，要在硬件中删除。
604、VNFM获取第一实例的证书标识。
可选的，VNFM可以根据存储的第一实例的证书信息获取第一实例的标识对应的第一实例的证书标识，并根据第一实例的证书标识确认要撤销的第一实例证书，第一实例的证书信息包括第一实例的标识及第一实例的证书标识。第一实例的证书标识包括第一实例的证书序列号。
605、VNFM向OCSP服务器发送第一请求消息。
第一请求消息包含第一实例的证书标识，第一请求消息用于请求撤销第一实例的证书。
具体可选的，VNFM将第一请求消息发送至CA/RA，由CA/RA将第一请求消息转发至OCSP服务器。
606、OCSP服务器根据第一实例的证书标识更新证书状态列表。
具体可选的，OCSP服务器根据第一实例的整数标识在证书状态列表中将第一实例的证书状态更改为撤销状态。
607、OCSP服务器向VNFM发送第一确认消息。
具体可选的，OCSP服务器将第一确认消息发送至CA/RA，由CA/RA将第一确认消息转发至VNFM。可选的，第一确认消息包含第一实例的证书标识，第一确认消息用于指示确认撤销第一实例的证书。
VNFM接收到第一确认消息后，可以根据第一实例的证书标识删除第一实例的证书信息。
本发明实施例提供的证书管理方法，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于上述图2对应的实施例，本发明实施例提供一种第一设备，用于执行上述图2对应的实施例中所描述的证书管理方法，优选的， 应用于图1所示的网络功能虚拟化系统10中，该第一设备可以是VNFM 102，或者，该第一设备也可以是EM。参照图7所示，该第一设备70包括：获取单元701，证书管理单元702以及发送单元703。
其中，获取单元701，用于获取第一实例的证书标识，第一实例为终止的实例。
在获取单元701获取第一实例的证书标识后，
证书管理单元702，用于根据获取单元701获取的第一实例的证书标识将第一实例的证书状态信息更新为撤销状态。
或者，发送单元703，用于向第二设备发送第一请求消息，第一请求消息包含第一实例的证书标识，第一请求消息用于指示撤销第一实例的证书。
第一设备70还可以包括接收单元704。
可选的，在第一种应用场景中，
接收单元704，用于接收第一实例发送的第一实例的证书信息，第一实例发送的第一实例的证书信息包括第一实例的标识及第一实例的证书标识。
证书管理单元702，还用于根据接收单元704接收的第一实例发送的第一实例的证书信息存储或更新第一实例的证书信息。
可选的，第一实例的标识包括第一实例的ID，第一实例的证书标识包括第一实例的证书序列号。
进一步可选的，第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
可选的，发送单元703，还用于向第一实例发送查询消息，查询消息包括第一实例的标识。
接收单元704，还用于接收第一实例发送的上报消息，上报消息包含第一实例发送的第一实例的证书信息。
可选的，在第二种应用场景中，
接收单元704，用于接收第三设备发送的第二请求消息，第二请求消息包含第一实例的标识，第二请求消息用于指示终止第一实例。
第一设备70还包括实例管理单元705，用于根据接收单元704接收的第二请求消息终止第一实例。
进一步可选的，发送单元703，还用于向第三设备发送第二确认消息，第二确认消息包含第一实例的标识，第二确认消息用于指示确认终止第一实例。
第三设备可以是网络功能虚拟化编排器NFVO。
可选的，在第三种应用场景中，
接收单元704，用于接收第四设备发送的第一指示信息，第一指示信息用于指示第一实例崩溃，第一指示信息包含第一实例的标识，第一指示信息由第四设备通过第五设备转发至第一设备。
可选的，第四设备为网络功能虚拟化基础设施NFVI，第五设备为虚拟基础设备管理器VIM。
可选的，发送单元703，还用于向VIM及NFVI发送第二指示信息，第二指示信息用于指示VIM删除第一实例对应的资源，并指示NFVI删除第一实例的证书及第一实例的证书对应的密钥。
或者，可选的，实例管理单元705，用于当检测到第一实例崩溃时，第一设备终止第一实例。
另外，可选的，接收单元704，还可以用于接收第二设备发送的第一确认消息，第一确认消息用于指示确认撤销第一实例。
可选的，证书管理单元702，还用于根据第一实例的证书标识删除第一实例的证书信息。
可选的，证书管理单元702，具体用于在已经存储的证书吊销列表CRL中增加第一实例的证书标识。
可选的，第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
可选的，第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
可选的，第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
本发明实施例提供的第一设备，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于上述图3对应的实施例，本发明实施例提供一种第二设备，用于执行上述图3对应的实施例中所描述的证书管理方法，参照图8所示，该第二设备80包括：接收单元801和证书管理单元802。
其中，接收单元801，用于接收第一设备发送的第一请求消息，第一请求消息包含第一实例的证书标识，第一请求消息用于请求撤销第一实例的证书。
证书管理单元802，用于根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态。
可选的，证书管理单元802，具体用于在已经存储的证书吊销列表CRL中增加第一实例的证书标识。
在一种应用场景中，第二设备80还包括发送单元803，用于向第一设备发送第一确认消息，第一确认消息用于指示确认撤销第一实例。
可选的，第一实例为VNF实例或虚拟网络功能组件VNFC实例。
可选的，第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
本发明实施例提供的第二设备，第二设备接收第一设备发送的第一请求消息，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可 能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于上述图2对应的实施例，本发明另一实施例提供一种第一设备，用于执行上述图2对应的实施例中所描述的证书管理方法，优选的，应用于图1所示的网络功能虚拟化系统10中，该第一设备可以是VNFM 102，或者，该第一设备也可以是EM。参照图9所示，该第一设备90包括：至少一个处理器901、存储器902、总线903和发送器904，该至少一个处理器901、存储器902和发送器904通过总线903连接并完成相互间的通信。
该总线903可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(Peripheral Component，外部设备互连)总线或EISA(Extended Industry Standard Architecture，扩展工业标准体系结构)总线等。该总线903可以分为地址总线、数据总线、控制总线等。为便于表示，图9中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。其中：
存储器902用于执行本发明方案的应用程序代码，执行本发明方案的应用程序代码保存在存储器中，并由处理器901来控制执行。
该存储器可以是只读存储器ROM或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器RAM或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器EEPROM、只读光盘CD-ROM或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。这些存储器通过总线与处理器相连接。
处理器901可能是一个中央处理器901(Central Processing Unit，简称为CPU)，或者是特定集成电路(Application Specific Integrated Circuit，简称为ASIC)，或者是被配置成实施本发明实施例的一个或多个集成电路。
处理器901，用于调用存储器902中的程序代码，在一种可能的实施方式中，当上述应用程序被所述处理器901执行时，实现如下功能。
处理器901，用于获取第一实例的证书标识，第一实例为终止的实例。
在处理器901获取第一实例的证书标识后，
处理器901，还用于根据获取的第一实例的证书标识将第一实例的证书状态信息更新为撤销状态。
或者，发送器904，用于向第二设备发送第一请求消息，第一请求消息包含第一实例的证书标识，第一请求消息用于请求撤销第一实例的证书。
第一设备90还可以包括接收器905，
可选的，在第一种应用场景中，
接收器905，用于接收第一实例发送的第一实例的证书信息，第一实例发送的第一实例的证书信息包括第一实例的标识及第一实例的证书标识。
处理器901，还用于根据接收器905接收的第一实例发送的第一实例的证书信息存储或更新第一实例的证书信息。
可选的，第一实例的标识包括第一实例的ID，第一实例的证书标识包括第一实例的证书序列号。
可选的，第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
可选的，发送器904，还用于向第一实例发送查询消息，查询消息包括第一实例的标识。
接收器905，还用于接收第一实例发送的上报消息，上报消息包含第一实例发送的第一实例的证书信息。
可选的，在第二种应用场景中，
接收器905，用于接收第三设备发送的第二请求消息，第二请求消息包含第一实例的标识，第二请求消息用于指示终止第一实例。
处理器901，还用于根据接收器905接收的第二请求消息终止第一实例。
可选的，发送器904，还用于向第三设备发送第二确认消息，第二确认消息包含第一实例的标识，第二确认消息用于指示确认终止第一实例。
进一步可选的，第三设备为网络功能虚拟化编排器NFVO。
可选的，在第三种应用场景中，
接收器905，用于接收第四设备发送的第一指示信息，第一指示信息用于指示第一实例崩溃，第一指示信息包含第一实例的标识，第一指示信息由第四设备通过第五设备转发至第一设备。
可选的，第四设备为网络功能虚拟化基础设施NFVI，第五设备为虚拟基础设备管理器VIM。
进一步可选的，发送器904，还用于向VIM及NFVI发送第二指示信息，第二指示信息用于指示VIM删除第一实例对应的资源，并指示NFVI删除第一实例的证书及第一实例的证书对应的密钥。
或者，可选的，处理器901，还用于当检测到第一实例崩溃时，第一设备终止第一实例。
可选的，处理器901，还用于根据第一实例的证书标识删除第一实例的证书信息。
可选的，处理器901，具体用于在已经存储的证书吊销列表CRL中增加第一实例的证书标识。
可选的，第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
可选的，第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
可选的，第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
本发明实施例提供的第一设备，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销 状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于上述图3对应的实施例，本发明另一实施例提供一种第二设备，用于执行上述图3对应的实施例中所描述的证书管理方法，参照图10所示，该第二设备100包括：至少一个处理器1001、存储器1002、总线1003和接收器1004，该至少一个处理器1001、存储器1002和接收器1004通过总线1003连接并完成相互间的通信。
该总线1003可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(Peripheral Component，外部设备互连)总线或EISA(Extended Industry Standard Architecture，扩展工业标准体系结构)总线等。该总线1003可以分为地址总线、数据总线、控制总线等。为便于表示，图10中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。其中：
存储器1002用于执行本发明方案的应用程序代码，执行本发明方案的应用程序代码保存在存储器中，并由处理器1001来控制执行。
该存储器可以是只读存储器ROM或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器RAM或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器EEPROM、只读光盘CD-ROM或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。这些存储器通过总线与处理器相连接。
处理器1001可能是一个中央处理器1001(Central Processing Unit，简称为CPU)，或者是特定集成电路(Application Specific Integrated Circuit，简称为ASIC)，或者是被配置成实施本发明实施 例的一个或多个集成电路。
处理器1001，用于调用存储器1002中的程序代码，在一种可能的实施方式中，当上述应用程序被所述处理器1001执行时，实现如下功能。
接收器1004，用于接收第一设备发送的第一请求消息，第一请求消息包含第一实例的证书标识，第一请求消息用于请求撤销第一实例的证书。
处理器1001，用于根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态。
可选的，处理器1001，具体用于在已经存储的证书吊销列表CRL中增加第一实例的证书标识。
可选的，在一种应用场景中，第二设备100还包括发送器1005，用于向第一设备发送第一确认消息，第一确认消息用于指示确认撤销第一实例。
可选的，第一实例为VNF实例或虚拟网络功能组件VNFC实例。
可选的，第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
可选的，第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
本发明实施例提供的第二设备，第二设备接收第一设备发送的第一请求消息，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于上述图2、图3、图4、图5和图6对应的实施例，本发明实施例提供一种虚拟网络系统，用于执行上述图2、图3、图4、图5和图6对应的实施例中所描述的证书管理方法，结合图1所示的网络 功能虚拟化系统10，优选的，本实施例提供的虚拟网络系统可以包含图1所示的网络功能虚拟化系统，本实施例提供的虚拟网络系统包括：第一设备和第二设备。
其中，第一设备为图7对应的实施例中所描述的第一设备，第二设备为图8对应的实施例中所描述的第二设备。
或者，第一设备为图9对应的实施例中所描述的第一设备，第二设备为图10对应的实施例中所描述的第二设备。
本发明实施例提供的虚拟网络系统，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可以用硬件实现，或固件实现，或它们的组合方式来实现。当使用软件实现时，可以将上述功能存储在计算机可读介质中或作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是计算机能够存取的任何可用介质。以此为例但不限于：计算机可读介质可以包括RAM(Random Access Memory，随机存储器)、ROM(Read Only Memory，只读内存)、EEPROM(Electrically Erasable Programmable Read Only Memory，电可擦可编程只读存储器)、CD-ROM(Compact Disc Read Only Memory，即只读光盘)或其他光盘存储、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质。此外。任何连接可以适当的成为计算机可读介质。例如，如果软件是使用同轴电缆、光纤光缆、双绞线、DSL(Digital Subscriber Line，数 字用户专线)或者诸如红外线、无线电和微波之类的无线技术从网站、服务器或者其他远程源传输的，那么同轴电缆、光纤光缆、双绞线、DSL或者诸如红外线、无线和微波之类的无线技术包括在所属介质的定影中。如本发明所使用的，盘和碟包括CD(Compact Disc，压缩光碟)、激光碟、光碟、DVD碟(Digital Versatile Disc，数字通用光)、软盘和蓝光光碟，其中盘通常磁性的复制数据，而碟则用激光来光学的复制数据。上面的组合也应当包括在计算机可读介质的保护范围之内。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (73)

  1. 一种证书管理方法，其特征在于，应用于虚拟网络系统，包括：
    第一设备获取第一实例的证书标识，所述第一实例为终止的实例；
    所述第一设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，或者，所述第一设备向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
  2. 根据权利要求1所述的方法，其特征在于，所述第一设备获取第一实例的证书标识之前，还包括：
    所述第一设备接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
    所述第一设备根据所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
  3. 根据权利要求2所述的方法，其特征在于，
    所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
  4. 根据权利要求3所述的方法，其特征在于，
    所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
  5. 根据权利要求2-4任一项所述的方法，其特征在于，所述第一设备接收第一实例发送的第一实例的证书信息之前，还包括：
    所述第一设备向所述第一实例发送查询消息，所述查询消息包括所述第一实例的标识；
    所述第一设备接收第一实例发送的第一实例的证书信息，包括：
    所述第一设备接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
  6. 根据权利要求1所述的方法，其特征在于，所述第一设备获取第一实例的证书标识之前，还包括：
    所述第一设备接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
    所述第一设备根据所述第二请求消息终止所述第一实例。
  7. 根据权利要求6所述的方法，其特征在于，所述第一设备根据所述第二请求消息终止所述第一实例之后，还包括：
    所述第一设备向所述第三设备发送第二确认消息，所述第二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
  8. 根据权利要求6或7所述的方法，其特征在于，
    所述第三设备为网络功能虚拟化编排器NFVO。
  9. 根据权利要求1所述的方法，其特征在于，所述第一设备获取第一实例的证书标识之前，还包括：
    所述第一设备接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
  10. 根据权利要求9所述的方法，其特征在于，
    所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
  11. 根据权利要求10所述的方法，其特征在于，所述第一设备接收第四设备发送的第一指示信息之后，还包括：
    所述第一设备向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
  12. 根据权利要求1所述的方法，其特征在于，所述第一设备获 取第一实例的证书标识之前，还包括：
    当所述第一设备检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
  13. 根据权利要求1所述的方法，其特征在于，所述第一设备向第二设备发送第一请求消息之后，还包括：
    所述第一设备接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  14. 根据权利要求1-13任一项所述的方法，其特征在于，所述第一设备获取第一实例的证书标识之后，还包括：
    所述第一设备根据所述第一实例的证书标识删除所述第一实例的证书信息。
  15. 根据权利要求1-14任一项所述的方法，其特征在于，所述第一设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，包括：
    所述第一设备在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  16. 根据权利要求1-15任一项所述的方法，其特征在于，
    所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
  17. 根据权利要求1-16任一项所述的方法，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  18. 根据权利要求1-17任一项所述的方法，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  19. 一种证书管理方法，其特征在于，应用于虚拟网络系统，包括：
    第二设备接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
    所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
  20. 根据权利要求19所述的方法，其特征在于，所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，包括：
    所述第二设备在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  21. 根据权利要求19或20所述的方法，其特征在于，所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态之后，还包括：
    所述第二设备向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  22. 根据权利要求19-21任一项所述的方法，其特征在于，
    所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
  23. 根据权利要求19-22任一项所述的方法，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  24. 根据权利要求19-23任一项所述的方法，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  25. 一种第一设备，其特征在于，应用于虚拟网络系统，包括：
    获取单元，用于获取第一实例的证书标识，所述第一实例为终止的实例；
    在所述获取单元获取第一实例的证书标识后，
    证书管理单元，用于根据所述获取单元获取的所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态；
    或者，发送单元，用于向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
  26. 根据权利要求25所述的设备，其特征在于，
    所述第一设备还包括接收单元，用于接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
    所述证书管理单元，还用于根据所述接收单元接收的所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
  27. 根据权利要求26所述的设备，其特征在于，
    所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
  28. 根据权利要求27所述的设备，其特征在于，
    所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
  29. 根据权利要求26-28任一项所述的设备，其特征在于，
    所述发送单元，还用于向所述第一实例发送查询消息，所述查询消息包括所述第一实例的标识；
    所述接收单元，还用于接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
  30. 根据权利要求25所述的设备，其特征在于，
    所述第一设备还包括接收单元，用于接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
    所述第一设备还包括实例管理单元，用于根据所述接收单元接收的所述第二请求消息终止所述第一实例。
  31. 根据权利要求30所述的设备，其特征在于，
    所述发送单元，还用于向所述第三设备发送第二确认消息，所述第二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
  32. 根据权利要求30或31所述的设备，其特征在于，
    所述第三设备为网络功能虚拟化编排器NFVO。
  33. 根据权利要求25所述的设备，其特征在于，
    所述第一设备还包括接收单元，用于接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
  34. 根据权利要求33所述的设备，其特征在于，
    所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
  35. 根据权利要求34所述的设备，其特征在于，
    所述发送单元，还用于向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
  36. 根据权利要求25所述的设备，其特征在于，
    所述第一设备还包括实例管理单元，用于当检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
  37. 根据权利要求25所述的设备，其特征在于，
    所述第一设备还包括接收单元，用于接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  38. 根据权利要求25-37任一项所述的设备，其特征在于，
    所述证书管理单元，还用于根据所述第一实例的证书标识删除所述第一实例的证书信息。
  39. 根据权利要求25-38任一项所述的设备，其特征在于，
    所述证书管理单元，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  40. 根据权利要求25-39任一项所述的设备，其特征在于，
    所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
  41. 根据权利要求25-40任一项所述的设备，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  42. 根据权利要求25-41任一项所述的设备，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  43. 一种第二设备，其特征在于，应用于虚拟网络系统，包括：
    接收单元，用于接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
    证书管理单元，用于根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
  44. 根据权利要求43所述的设备，其特征在于，
    所述证书管理单元，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  45. 根据权利要求43或44所述的设备，其特征在于，
    所述第二设备还包括发送单元，用于向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  46. 根据权利要求43-45任一项所述的设备，其特征在于，
    所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
  47. 根据权利要求43-46任一项所述的设备，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  48. 根据权利要求43-47任一项所述的设备，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  49. 一种第一设备，其特征在于，应用于虚拟网络系统，包括：处理器、存储器、总线、发送器，所述处理器、所述存储器及所述发送器通过所述总线相互连接；
    其中，所述处理器，用于获取第一实例的证书标识，所述第一实例为终止的实例；
    在所述处理器获取第一实例的证书标识后，
    所述处理器，还用于根据获取的所述第一实例的证书标识将所述 第一实例的证书状态信息更新为撤销状态；
    或者，所述发送器，用于向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
  50. 根据权利要求49所述的设备，其特征在于，
    所述第一设备还包括接收器，用于接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
    所述处理器，还用于根据所述接收器接收的所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
  51. 根据权利要求50所述的设备，其特征在于，
    所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
  52. 根据权利要求51所述的设备，其特征在于，
    所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
  53. 根据权利要求50-52任一项所述的设备，其特征在于，
    所述发送器，还用于向所述第一实例发送查询消息，所述查询消息包括所述第一实例的标识；
    所述接收器，还用于接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
  54. 根据权利要求49所述的设备，其特征在于，
    所述第一设备还包括接收器，用于接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
    所述处理器，还用于根据所述接收器接收的所述第二请求消息终止所述第一实例。
  55. 根据权利要求54所述的设备，其特征在于，
    所述发送器，还用于向所述第三设备发送第二确认消息，所述第 二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
  56. 根据权利要求54或55所述的设备，其特征在于，
    所述第三设备为网络功能虚拟化编排器NFVO。
  57. 根据权利要求49所述的设备，其特征在于，
    所述第一设备还包括接收器，用于接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
  58. 根据权利要求57所述的设备，其特征在于，
    所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
  59. 根据权利要求58所述的设备，其特征在于，
    所述发送器，还用于向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
  60. 根据权利要求49所述的设备，其特征在于，
    所述处理器，还用于当检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
  61. 根据权利要求49所述的设备，其特征在于，
    所述第一设备还包括接收器，用于接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  62. 根据权利要求49-61任一项所述的设备，其特征在于，
    所述处理器，还用于根据所述第一实例的证书标识删除所述第一实例的证书信息。
  63. 根据权利要求49-62任一项所述的设备，其特征在于，
    所述处理器，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  64. 根据权利要求49-63任一项所述的设备，其特征在于，
    所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
  65. 根据权利要求49-64任一项所述的设备，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  66. 根据权利要求49-65任一项所述的设备，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  67. 一种第二设备，其特征在于，应用于虚拟网络系统，包括：处理器、存储器、总线及接收器，所述处理器、所述存储器及所述接收器通过所述总线相互连接；
    其中，所述接收器，用于接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
    所述处理器，用于根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
  68. 根据权利要求67所述的设备，其特征在于，
    所述处理器，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  69. 根据权利要求67或68所述的设备，其特征在于，
    所述第二设备还包括发送器，用于向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  70. 根据权利要求67-69任一项所述的设备，其特征在于，
    所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
  71. 根据权利要求67-70任一项所述的设备，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  72. 根据权利要求67-71任一项所述的设备，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  73. 一种虚拟网络系统，其特征在于，包括：第一设备及第二设备；
    其中，所述第一设备为权利要求25-42任一项所述的第一设备，所述第二设备为权利要求43-48任一项所述的第二设备；
    或者，所述第一设备为权利要求49-66任一项所述的第一设备，所述第二设备为权利要求67-72任一项所述的第二设备。
CN201580016066.2A 2015-02-09 2015-02-09 一种证书管理方法、设备及系统 Active CN106464667B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2015/072565 WO2016127294A1 (zh) 2015-02-09 2015-02-09 一种证书管理方法、设备及系统

Publications (2)

Publication Number Publication Date
CN106464667A true CN106464667A (zh) 2017-02-22
CN106464667B CN106464667B (zh) 2020-01-10

Family

ID=56614220

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201580016066.2A Active CN106464667B (zh) 2015-02-09 2015-02-09 一种证书管理方法、设备及系统

Country Status (5)

Country Link
US (1) US10581619B2 (zh)
EP (1) EP3247080B1 (zh)
JP (1) JP2018511206A (zh)
CN (1) CN106464667B (zh)
WO (1) WO2016127294A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109672660A (zh) * 2017-10-13 2019-04-23 柯尼卡美能达株式会社 信息处理装置、信息处理装置的控制方法和计算机可读取的存储介质
CN110569101A (zh) * 2018-06-05 2019-12-13 华为技术有限公司 管理容器服务的方法和装置
CN113169893A (zh) * 2018-11-19 2021-07-23 瑞典爱立信有限公司 使用监视数据控制
WO2023011158A1 (zh) * 2021-08-06 2023-02-09 华为技术有限公司 一种证书管理方法和装置

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10469359B2 (en) * 2016-11-03 2019-11-05 Futurewei Technologies, Inc. Global resource orchestration system for network function virtualization
US10318723B1 (en) * 2016-11-29 2019-06-11 Sprint Communications Company L.P. Hardware-trusted network-on-chip (NOC) and system-on-chip (SOC) network function virtualization (NFV) data communications
US11764978B2 (en) * 2021-01-27 2023-09-19 Salesforce, Inc. Method and system for certificate management

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080065778A1 (en) * 2006-09-12 2008-03-13 Konica Minolta Holdings, Inc. Method of managing information and information processing apparatus
CN101572707A (zh) * 2009-05-31 2009-11-04 成都市华为赛门铁克科技有限公司 一种证书状态的验证方法、装置和系统
US20100005319A1 (en) * 2008-02-26 2010-01-07 Dphi Acquisitions, Inc. Hardware protection for encrypted strings and protection of security parameters
CN104980438A (zh) * 2015-06-15 2015-10-14 中国科学院信息工程研究所 一种虚拟化环境中数字证书撤销状态检查的方法和系统

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6026492A (en) * 1997-11-06 2000-02-15 International Business Machines Corporation Computer system and method to disable same when network cable is removed
CN100563242C (zh) 2002-03-20 2009-11-25 捷讯研究有限公司 证书信息存储系统和方法
US8341625B2 (en) * 2008-05-29 2012-12-25 Red Hat, Inc. Systems and methods for identification and management of cloud-based virtual machines
US9979716B2 (en) 2010-04-01 2018-05-22 Nokia Solutions And Networks Oy Certificate authority
US10425411B2 (en) * 2012-04-05 2019-09-24 Arizona Board Of Regents On Behalf Of Arizona State University Systems and apparatuses for a secure mobile cloud framework for mobile computing and communication
US20140052877A1 (en) 2012-08-16 2014-02-20 Wenbo Mao Method and apparatus for tenant programmable logical network for multi-tenancy cloud datacenters
WO2014094857A1 (en) * 2012-12-20 2014-06-26 Telefonaktiebolaget L M Ericsson (Publ) Technique for enabling a client to provide a server entity
US8966260B1 (en) * 2013-01-30 2015-02-24 Palo Alto Networks, Inc. Credentials management in large scale virtual private network deployment
EP2782291A1 (en) 2013-03-20 2014-09-24 Wolting Holding B.V. Compiler for and method of software defined networking
CN103257934B (zh) 2013-04-12 2016-02-10 广东数字证书认证中心有限公司 数字证书的存储、获取方法和装置
US9973375B2 (en) * 2013-04-22 2018-05-15 Cisco Technology, Inc. App store portal providing point-and-click deployment of third-party virtualized network functions
CN104243144B (zh) * 2013-06-08 2018-03-13 科大国盾量子技术股份有限公司 一种基于Android智能移动终端的通信密钥分配方法
CN103838987A (zh) * 2013-06-24 2014-06-04 电子科技大学 一种基于局域网的软件许可证动态授权管理方法
US9645899B1 (en) * 2013-12-19 2017-05-09 Amdocs Software Systems Limited System, method, and computer program for managing fault recovery in network function virtualization (NFV) based networks
US9460286B1 (en) * 2013-12-19 2016-10-04 Amdocs Software Systems Limited System, method, and computer program for managing security in a network function virtualization (NFV) based communication network
US9158909B2 (en) 2014-03-04 2015-10-13 Amazon Technologies, Inc. Authentication of virtual machine images using digital certificates
US10140112B2 (en) * 2014-03-28 2018-11-27 Ntt Docomo, Inc. Update management system and update management method
CN104050045B (zh) * 2014-06-27 2017-06-27 华为技术有限公司 基于磁盘io的虚拟资源分配方法及装置
CN104580208B (zh) 2015-01-04 2018-11-30 华为技术有限公司 一种身份认证方法及装置
JP6388038B2 (ja) * 2015-02-03 2018-09-12 日本電気株式会社 仮想ネットワークシステム、仮想ネットワーク制御方法、統合制御装置、制御装置およびその制御方法と制御プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080065778A1 (en) * 2006-09-12 2008-03-13 Konica Minolta Holdings, Inc. Method of managing information and information processing apparatus
US20100005319A1 (en) * 2008-02-26 2010-01-07 Dphi Acquisitions, Inc. Hardware protection for encrypted strings and protection of security parameters
CN101572707A (zh) * 2009-05-31 2009-11-04 成都市华为赛门铁克科技有限公司 一种证书状态的验证方法、装置和系统
CN104980438A (zh) * 2015-06-15 2015-10-14 中国科学院信息工程研究所 一种虚拟化环境中数字证书撤销状态检查的方法和系统

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109672660A (zh) * 2017-10-13 2019-04-23 柯尼卡美能达株式会社 信息处理装置、信息处理装置的控制方法和计算机可读取的存储介质
CN109672660B (zh) * 2017-10-13 2021-06-01 柯尼卡美能达株式会社 信息处理装置、信息处理装置的控制方法和计算机可读取的存储介质
CN110569101A (zh) * 2018-06-05 2019-12-13 华为技术有限公司 管理容器服务的方法和装置
CN110569101B (zh) * 2018-06-05 2022-05-31 华为技术有限公司 管理容器服务的方法和装置
US11354167B2 (en) 2018-06-05 2022-06-07 Huawei Technologies Co., Ltd. Container service management method and apparatus
CN113169893A (zh) * 2018-11-19 2021-07-23 瑞典爱立信有限公司 使用监视数据控制
CN113169893B (zh) * 2018-11-19 2023-11-21 瑞典爱立信有限公司 使用监视数据控制
WO2023011158A1 (zh) * 2021-08-06 2023-02-09 华为技术有限公司 一种证书管理方法和装置

Also Published As

Publication number Publication date
EP3247080A1 (en) 2017-11-22
EP3247080A4 (en) 2018-01-31
US20170338968A1 (en) 2017-11-23
US10581619B2 (en) 2020-03-03
CN106464667B (zh) 2020-01-10
JP2018511206A (ja) 2018-04-19
EP3247080B1 (en) 2020-06-03
WO2016127294A1 (zh) 2016-08-18

Similar Documents

Publication Publication Date Title
CN106464667A (zh) 一种证书管理方法、设备及系统
US11218314B2 (en) Network function service invocation method, apparatus, and system
CN110535627B (zh) 一种数据查询方法及区块链平台
CN110519085B (zh) 一种配置更改方法及区块链平台
WO2021037175A1 (zh) 一种网络切片的管理方法及相关装置
CN104040964B (zh) 跨服务区通信的方法、装置和数据中心网络
EP2408140B1 (en) Method, control point, apparatus and communication system for configuring access right
TWI450604B (zh) 處理伺服器授權的方法及其通訊裝置
WO2019033822A1 (zh) 数字证书的生成、认证方法、通信设备及存储介质
AU2014410591A1 (en) Connection establishment method, device, and system
CN101800986A (zh) 实现终端锁网及解锁的方法、装置
WO2016150139A1 (zh) 一种建立网络业务实例的方法和装置
US20220294771A1 (en) Secure Virtual Personalized Network
CN114221959A (zh) 服务共享方法、装置和系统
CN111314269A (zh) 一种地址自动分配协议安全认证方法及设备
CN110620706A (zh) 一种处理方法和设备
CN108600151A (zh) 一种数据通讯方法、设备及系统
JP2017520181A (ja) オンラインでアタッチされるユーザの総数を制御するための方法、装置、およびシステム
CN105453519A (zh) 一种信息安全验证方法及设备
CN109583182A (zh) 启动远程桌面的方法、装置、电子设备及计算机存储介质
CN113055886B (zh) 边缘计算网络中的终端认证方法、系统、服务器及介质
CN115438353A (zh) 一种用户数据管理方法以及相关设备
CN111988263B (zh) 容器服务管理方法及容器管理器、虚拟网络功能实例和虚拟网络功能管理器
CN106487706A (zh) 基于TCP协议的设备功能许可的license认证方法及认证平台
WO2024062373A1 (en) Registration handling of ledger-based identity

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant