CN110932900B - 云管理平台与云安全管理平台业务对接的方法和系统 - Google Patents

Abstract

本发明提供了一种云管理平台与云安全管理平台业务对接的方法和系统，应用于云管理平台，云管理平台与云安全管理平台通过应用程序接口API对接，其中方法包括：获取用户发送的业务关联请求；基于获取到的业务关联请求创建目标虚拟机，目标虚拟机中包括待关联的安全业务的镜像文件；向云安全管理平台发送激活请求，以使云安全管理平台调用云管理平台与云安全管理平台之间的目标API激活目标虚拟机中的安全业务，以完成云管理平台关联至待关联的安全业务。本发明缓解了现有技术中存在的云管理平台对云安全管理平台中安全业务的无法统一管理的技术问题。

Description

云管理平台与云安全管理平台业务对接的方法和系统

技术领域

本发明涉及云管理平台的技术领域，尤其是涉及一种云管理平台与云安全管理平台业务对接的方法和系统。

背景技术

云安全管理平台是一种通过不断的汇聚云安全能力，帮助用户构建一个统一管理、弹性扩容、按需分配、安全能力完善的云安全资源池，为用户提供一站式的云安全综合解决方案。云管理平台是一个开放的云管理平台，既能兼顾历史投资、又要支持面向未来的演进，能够以统一的方式集中管理物理机、虚拟化平台、私有云、公有云以及不同供应商的云平台，实现资源调度与管理的自动化，并且为上层应用按需、自助、敏捷、弹性地提供云服务。

而云管理平台本身是不具备对安全产品的业务功能做管理的(比如许可下发、配置下发等)，只能把安全产品当做普通的虚拟机来管理。如果想在云管理平台上面应用云安全管理平台上的安全产品，则需要实现云管理平台与云安全管理平台之间的业务对接。

现有技术中的对接方案往往使用的是页面融合配合单向API对接的模式。这种模式的核心原理是统一云管理平台将云安全管理平台的核心业务页面通过超级文本标记语言(HyperText Markup Language，HTML)原生提供的页面内嵌技术内嵌进云管理平台的自身页面中，整个业务流程完全由云安全管理平台通过单向调用统一云管理平台的API接口来实现。同时由于整个业务流程，包括订单流程、安全实例的创建、实例配置下发以及实例访问控制等均由云安全管理平台进行控制，而云管理平台则无法统一对流程进行统一管理，而统一云管理平台强大的云业务管理能力在这种模式下却没有发挥出任何作用。

针对上述问题，还未提出有效解决方案。

发明内容

有鉴于此，本发明的目的在于提供一种云管理平台与云安全管理平台业务对接的方法和系统，缓解了现有技术中存在的云管理平台对云安全管理平台中安全业务的无法统一管理的技术问题。

第一方面，本发明实施例提供了一种云管理平台与云安全管理平台业务对接的方法，应用于云管理平台，所述云管理平台与所述云安全管理平台通过应用程序接口API对接，所述方法包括：获取用户发送的业务关联请求，其中，所述业务关联请求中携带待关联的安全业务，所述待关联的安全业务为所属于所述云安全管理平台的虚拟安全业务；基于获取到的所述业务关联请求创建目标虚拟机，所述目标虚拟机中包括所述待关联的安全业务的镜像文件；向所述云安全管理平台发送激活请求，以使所述云安全管理平台调用所述云管理平台与所述云安全管理平台之间的目标API激活所述目标虚拟机中的安全业务，以完成所述云管理平台关联至所述待关联的安全业务。

进一步地，在获取用户发送的业务关联请求之后，所述方法还包括：调用所述云安全管理平台的查询许可信息API；通过调用到的所述查询许可信息API查询所述待关联的安全业务在所述云安全管理平台的许可资源剩余信息。

进一步地，在激活所述目标虚拟机中的安全业务之后，所述方法还包括：获取所述云安全管理平台通过用于返回激活结果的API返回的激活结果。

进一步地，在获取所述云安全管理平台通过用于返回激活结果的API返回的激活结果之后，所述方法还包括：对所述待关联的安全业务进行认证操作。

进一步地，对所述待关联的安全业务进行认证操作，包括：获取用户发送的对所述待关联的安全业务的认证请求；所述认证请求包括认证凭证；将所述认证凭证发送到所述云安全管理平台，以使所述云安全管理平台基于所述认证凭证对所述待关联的安全业务进行认证操作。

第二方面，本发明实施例还提供了一种云管理平台与云安全管理平台业务对接的系统，应用于云管理平台，所述云管理平台与所述云安全管理平台通过应用程序接口API对接，所述系统包括：获取模块，创建模块和激活模块，其中，所述获取模块，用于获取用户发送的业务关联请求，其中，所述业务关联请求中携带待关联的安全业务，所述待关联的安全业务为所属于所述云安全管理平台的虚拟安全业务；所述创建模块，用于基于获取到的所述业务关联请求创建目标虚拟机，所述目标虚拟机中包括所述待关联的安全业务的镜像文件；所述激活模块，用于向所述云安全管理平台发送激活请求，以使所述云安全管理平台调用所述云管理平台与所述云安全管理平台之间的目标API激活所述目标虚拟机中的安全业务，以完成所述云管理平台关联至所述待关联的安全业务。

进一步地，所述系统还包括：查询模块，所述查询模块用于：调用所述云安全管理平台的查询许可信息API；通过调用到的所述查询许可信息API查询所述待关联的安全业务在所述云安全管理平台的许可资源剩余信息。

进一步地，所述系统还包括：返回模块，所述返回模块用于：获取所述云安全管理平台通过用于返回激活结果的API返回的激活结果。

进一步地，所述系统还包括：认证模块，所述认证模块用于：对所述待关联的安全业务进行认证操作。

第三方面，本发明实施例还提供了一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述实施例一所述的方法的步骤。

本发明实施例中，通过API的方式实现云管理平台和云安全管理平台之间的业务调用，使得云管理平台通过API接口就可以调用云安全管理平台的核心业务，而云管理平台在调用上述核心业务之后，就可以调用的核心业务进行整合编排，通过云管理平台的统一管理业务的功能与云安全管理平台上面的业务相结合的方式，最终实现云管理平台对云安全管理平台中安全业务的统一管理的技术效果。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种云管理平台与云安全管理平台业务对接的方法的流程图；

图2为根据本发明实施例提供的一种业务流程对接时序图；

图3为根据本发明实施例提供的一种对安全业务的认证对接的流程时序图；

图4为根据本发明实施例提供的一种云管理平台与云安全管理平台业务对接的系统的示意图；

图5为根据本发明实施例提供的另一种云管理平台与云安全管理平台业务对接的系统的示意图。

具体实施方式

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一：

图1是根据本发明实施例提供的一种云管理平台与云安全管理平台业务对接的方法的流程图，应用于云管理平台，其中，云管理平台与云安全管理平台通过应用程序接口API对接。如图1所示，该方法具体包括如下步骤：

步骤S102，获取用户发送的业务关联请求，其中，业务关联请求中携带待关联的安全业务，待关联的安全业务为所属于云安全管理平台的虚拟安全业务。

步骤S104，基于获取到的业务关联请求创建目标虚拟机，目标虚拟机中包括待关联的安全业务的镜像文件。

具体地，安全业务的虚拟机由云管理平台负责拉起，当用户选择开通相应规格的安全业务(或者安全产品)后，云管理平台通过镜像管理中规定的镜像名称确定需要使用的镜像，并通过安全业务的虚机实例规格中定义的规格名称确定需要使用的规格，拉起实例。如果规格中定义了数据盘大小，则还需要额外为虚拟机挂载一块相应大小的磁盘。

步骤S106，向云安全管理平台发送激活请求，以使云安全管理平台调用云管理平台与云安全管理平台之间的目标API激活目标虚拟机中的安全业务，以完成云管理平台关联至待关联的安全业务。

具体地，云管理平台创建目标虚拟机成功且等待虚拟机启动完毕后，将安全业务标记为“未激活”状态，然后请求云安全管理平台(例如天池)激活安全业务，之后云安全管理平台通过调用API对安全业务下发单点登录配置、许可信息及其他配置，从而激活虚拟机中的安全业务。

本发明实施例提供的一种云管理平台与云安全管理平台业务对接的方法，应用于与云安全管理平台通过API双向对接的云管理平台，首先云管理平台通过浏览器获取用户发送的携带待关联的安全业务的业务关联请求，然后创建包括待关联的安全业务的镜像文件的目标虚拟机，并获取待关联的安全业务的配置信息，之后向云安全管理平台发送包含配置信息的激活请求，最后云安全管理平台调用云管理平台与云安全管理平台之间的目标API激活目标虚拟机中的安全业务，从而使得云管理平台可以通过目标虚拟机直接管理和使用安全业务，实现云管理平台与待关联的安全业务之间的关联和对接。

本发明实施例中，通过API的方式实现云管理平台和云安全管理平台之间的业务调用，使得云管理平台通过API接口就可以调用云安全管理平台的核心业务，而云管理平台在调用上述核心业务之后，就可以调用的核心业务进行整合编排，通过云管理平台的统一管理业务的功能与云安全管理平台上面的业务相结合的方式，最终实现云管理平台对云安全管理平台中安全业务的统一管理的技术效果。

可选地，在步骤S102之后，本发明实施例提供的方法还包括：

调用云安全管理平台的查询许可信息API；

通过调用到的查询许可信息API查询待关联的安全业务在云安全管理平台的许可资源剩余信息。

具体地，当用户在云管理平台申购一个安全产品时，云管理平台可以通过调用查询许可信息API向云安全管理平台查询该安全产品的某个规格或各个规格的License许可资源剩余信息，确认是否足够开通。

可选地，在步骤S106之后，本发明实施例提供的方法还包括：

获取云安全管理平台通过用于返回激活结果的API返回的激活结果。

在本发明实施例中，云安全管理平台调用目标API激活实例(即待关联的安全业务)定义为异步过程，云安全管理平台接口返回目标API调用的结果，若目标API调用成功，则云管理平台将实例标记为“激活中”，且与此同时云安全管理平台开始执行激活动作，持续5-20分钟不等(影响因素为：安全服务启动时间、下发许可信息后安全服务重启时间等)。

若目标API调用失败，则云管理平台提示该接口返回的相应错误信息，且保持实例状态为“未激活”，此时用户可通过再次点击“激活”按钮触发云管理平台再次调用该目标API尝试激活。

在实例激活后，云安全管理平台通过南向接口实例激活反馈接口异步通知实例激活结果。若激活成功，云管理平台则将实例状态标记为“可用”，且同步显示“访问”、“扩容”、“续费”、“删除”及“访问授权”等功能按钮。若激活失败，云管理平台则将实例状态标记为“激活失败”，并根据云安全管理平台给出的错误信息给出失败原因，并同步显示“删除”及“激活”等按钮。

可选地，本发明实施例提供的方法，还包括对安全业务(即实例)进行扩容和续费操作。

具体地，当用户请求对实例进行扩容、续费时，云管理平台先请求查询许可信息接口查询许可信息，当许可充足时，向用户展示可供升级的规格及可供续费的时长信息，用户提交后云管理平台请求该接口。

在扩容过程中，云安全管理平台仅负责对实例的软件规格版本进行扩容，如基础版升级为高级版等。而硬件规格的扩容则由云管理平台完成。另外，云安全管理平台暂不支持降级，如高级版降级为基础版等。扩容、续费功能定义为异步过程，云安全管理平台接口返回接口调用的结果，若接口调用成功，则云管理平台将实例标记为“升级中”，且与此同时云安全管理平台开始执实例的行续费、扩容动作，持续1-20分钟不等(影响因素为：重新下发许可信息后安全服务重启时间等)。

若接口调用失败，则云管理平台提示该接口返回的相应错误信息，且保持实例状态为“可用”，此时用户可通过再次点击“扩容”、“续费”按钮触发云管理平台再次调用该接口尝试扩容、续费。在实例扩容、续费完成后，云安全管理平台通过调用南向接口实例激活反馈接口异步通知实例扩容结果。若扩容、续费成功，则云管理平台需要将实例标记为“可用”。若扩容、续费失败，则云管理平台依旧需要将实例标记为“可用”，且根据云安全管理平台提供的错误信息给出续费、扩容动作的失败原因，即扩容、续费失败不应影响实例正常使用。

图2是根据本发明实施例提供的一种业务流程对接时序图，其中，本发明实施例采用云安全管理平台以及云管理平台分别提供标准API供对方调用并由云管理平台统一负责整个业务流程的管理的模式将两个平台的能力融合对接。如图2所示，该流程主要包括以下几个部分：

是用户通过浏览器访问安全服务页面，其中安全服务页面为云管理平台所提供的页面，然后云管理平台想浏览器返回产品介绍；用户在浏览器页面点击申请开通(即浏览器向云管理平台发送业务关联请求)；云管理平台通过调用云安全管理平台的查询许可信息API查询许可信息，并根据业务关联请求创建订单，调度创建虚拟机任务，创建虚拟机，其中，虚拟机中包括安全产品(或安全业务)的镜像文件。然后，云管理平台基于所创建的虚拟机，构建实例信息，并向云安全管理平台提供实例信息，请求激活实例。云安全管理平台调用API对安全产品进行激活操作，具体地，云安全管理平台构建实例信息，申请软件许可，激活安全产品。最后云安全管理平台调用返回激活结果的API向云管理平台返回激活结果和实例访问地址，云管理平台记录实例访问地址和更新实例状态为已激活。

在本发明实施例中，云管理平台还可以更新用户的安全业务授权(即，实例授权)。具体地，云管理平台向拥有“用户实例授权”权限的用户(一般为开通该实例的用户或者同租户下与开通该实例的用户拥有同级权限的用户)提供“实例授权”功能按钮，用于对同租户下原本不具备该实例访问权限的用户进行访问授权及安全服务角色授权。例如，拥有“云WAF实例1”的“用户实例授权”权限的用户A可以使用该功能对同租户下本不具备该实例访问权限的用户B进行访问授权，例如授予用户B“云WAF实例1”审计员权限。则用户B拥有了该实例的访问权限，且用了该实例的审计员权限。

在本发明实施例中，云管理平台还可以取消安全业务关联(即销毁实例)。具体地，云管理平台向用户提供实例删除入口，用户点击并确认删除后，云管理平台将虚拟机实例删除并调用该接口。云安全管理平台则负责将实例占用的license项的剩余时长回收。

由以上描述可知，在本发明实施例的对接模式下，安全实例的整个生命周期以及实例管理的各种操作界面都由云管理平台来控制。而用户在页面触发这些操作后，云管理平台实际上是通过调用预先定义的标准API(应用程序接口)来调用云安全管理平台的程序实现对安全实例的配置下发(激活)以及对许可的查询、申请以及下发到安全实例。因此，云安全管理平台实际上是通过API的形式将自身的安全管理能力赋予了云管理平台，而云管理平台则通过这些API对安全管理能力进行整合编排，最终实现云管理平台对安全业务的统一管理。在这样的模式下，云安全管理平台不需要关心云管理平台会如何编排安全业务，云管理平台也不需要关注安全管理平台是如何实现API所提供的激活、许可下发等具体功能的，两者的职责划分相对明确，耦合度降低，可编排性以及整体系统复杂度降低。

可选地，本发明实施例提供的方法，在获取云安全管理平台通过用于返回激活结果的API返回的激活结果之后，还包括：对待关联的安全业务进行认证操作。

具体地，获取用户发送的对待关联的安全业务的认证请求；认证请求包括认证凭证；将认证凭证发送到云安全管理平台，以使云安全管理平台基于认证凭证对待关联的安全业务进行认证操作。

图3是根据本发明实施例提供的一种对安全业务的认证对接的流程时序图。如图3所示，该认证过程如下：

在非统一认证的场景下，用户在第一次点击“立即使用”按钮尝试访问安全产品的时候，浏览器会直接访问安全产品的页面，请求云管理平台打开安全实例(即安全产品或者安全业务)；安全产品检测到请求中没有携带会话信息(Cookie)则会给用户直接展示安全产品的内部登录页面，那这个时候用户实际上只能通过安全产品自身维护的用户去登录，无法直接使用登录云管理平台的用户去登录。

在云管理平台和云安全管理平台做了统一认证的对接之后，云管理平台查询该实例访问地址，以及查询许可信息；云管理平台向浏览器返回实例访问地址，同时云管理平台会在请求中放入一个凭证，然后浏览器根据实例访问地址携带认证凭证访问实例。

安全产品检测到请求中没有携带会话信息(Cookie)之后并不会直接展示登录页面，而会进一步识别请求中有没有携带凭证，如果携带了凭证，安全产品调用云安全管理平台的一个名为“验证凭证并且返回用户信息”的API验证认证凭证，同时，云安全管理平台拿到这个凭证后，由于识别到这个凭证并非云安全管理平台签发，那就会继续调用云管理平台的一个功能为“验证凭证并且返回用户信息”的API接口去验证这个凭证。

云管理平台拿到这个API接口调用请求后，认为凭证有效则会把用户信息返回给云安全管理平台，云安全管理平台继续把用户信息返回给安全产品，安全产品拿到用户信息之后直接构建本地会话，就完成了登录。最后安全产品将返回cookie信息给浏览器，然后下次浏览器就可以根据cookie信息登录安全产品。

这整个流程相当于代替了用户手动在安全产品登录页面输入账号密码进行登录的过程，而且做到了用户信息的统一。

由以上描述可知，本发明实施例提供了一种云管理平台与云安全管理平台业务对接的方法，该方法具有如下技术效果：

在这样的模式下，云安全管理平台不需要关心云管理平台会如何编排安全业务，云管理平台也不需要关注安全管理平台是如何实现API所提供的激活、许可下发等具体功能的，两者的职责划分相对明确，耦合度降低，可编排性以及整体系统复杂度降低。同时本发明实施例缓解了现有技术中存在的云管理平台对云安全管理平台中安全业务的无法统一管理的技术问题。

实施例二：

图4是根据本发明实施例提供的一种云管理平台与云安全管理平台业务对接的系统的示意图，该系统应用于云管理平台，其中云管理平台与云安全管理平台通过应用程序接口API对接。具体地，如图4所示，该系统包括：获取模块10，创建模块20和激活模块30。

具体地，获取模块10，用于获取用户发送的业务关联请求，其中，业务关联请求中携带待关联的安全业务，待关联的安全业务为所属于云安全管理平台的虚拟安全业务。

创建模块20，用于基于获取到的业务关联请求创建目标虚拟机，目标虚拟机中包括待关联的安全业务的镜像文件。

激活模块30，用于向云安全管理平台发送激活请求，以使云安全管理平台调用云管理平台与云安全管理平台之间的目标API激活目标虚拟机中的安全业务，以完成云管理平台关联至待关联的安全业务。

本发明实施例提供的一种云管理平台与云安全管理平台业务对接的系统，通过API的方式实现云管理平台和云安全管理平台之间的业务调用，使得云管理平台通过API接口就可以调用云安全管理平台的核心业务，而云管理平台在调用上述核心业务之后，就可以调用的核心业务进行整合编排，通过云管理平台的统一管理业务的功能与云安全管理平台上面的业务相结合的方式，最终实现云管理平台对云安全管理平台中安全业务的统一管理的技术效果。

可选地，图5是根据本发明实施例提供的另一种云管理平台与云安全管理平台业务对接的系统的示意图，如图5所示，该系统还包括：查询模块40，用于：调用云安全管理平台的查询许可信息API；通过调用到的查询许可信息API查询待关联的安全业务在云安全管理平台的许可资源剩余信息。

可选地，如图5所示，该系统还包括：返回模块50，用于：获取云安全管理平台通过用于返回激活结果的API返回的激活结果。

可选地，如图5所示，该系统还包括：认证模块60，用于：对待关联的安全业务进行认证操作。

具体地，获取用户发送的对待关联的安全业务的认证请求；认证请求包括认证凭证；将认证凭证发送到云安全管理平台，以使云安全管理平台基于认证凭证对待关联的安全业务进行认证操作。

本发明实施例还提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现上述实施例一中的方法的步骤。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (10)

1.一种云管理平台与云安全管理平台业务对接的方法，其特征在于，应用于云管理平台，所述云管理平台与所述云安全管理平台通过应用程序接口API对接，所述方法包括：

获取用户发送的业务关联请求，其中，所述业务关联请求中携带待关联的安全业务，所述待关联的安全业务为所属于所述云安全管理平台的虚拟安全业务；

基于获取到的所述业务关联请求创建目标虚拟机，所述目标虚拟机中包括所述待关联的安全业务的镜像文件；

向所述云安全管理平台发送激活请求，以使所述云安全管理平台调用所述云管理平台与所述云安全管理平台之间的目标API激活所述目标虚拟机中的安全业务，以完成所述云管理平台关联至所述待关联的安全业务。

2.根据权利要求1所述的方法，其特征在于，在获取用户发送的业务关联请求之后，所述方法还包括：

调用所述云安全管理平台的查询许可信息API；

通过调用到的所述查询许可信息API查询所述待关联的安全业务在所述云安全管理平台的许可资源剩余信息。

3.根据权利要求1所述的方法，其特征在于，在激活所述目标虚拟机中的安全业务之后，所述方法还包括：

获取所述云安全管理平台通过用于返回激活结果的API返回的激活结果。

4.根据权利要求3所述的方法，其特征在于，在获取所述云安全管理平台通过用于返回激活结果的API返回的激活结果之后，所述方法还包括：

对所述待关联的安全业务进行认证操作。

5.根据权利要求4所述的方法，其特征在于，对所述待关联的安全业务进行认证操作，包括：

获取用户发送的对所述待关联的安全业务的认证请求；所述认证请求包括认证凭证；

将所述认证凭证发送到所述云安全管理平台，以使所述云安全管理平台基于所述认证凭证对所述待关联的安全业务进行认证操作。

6.一种云管理平台与云安全管理平台业务对接的系统，其特征在于，应用于云管理平台，所述云管理平台与所述云安全管理平台通过应用程序接口API对接，所述系统包括：获取模块，创建模块和激活模块，其中，

所述获取模块，用于获取用户发送的业务关联请求，其中，所述业务关联请求中携带待关联的安全业务，所述待关联的安全业务为所属于所述云安全管理平台的虚拟安全业务；

所述创建模块，用于基于获取到的所述业务关联请求创建目标虚拟机，所述目标虚拟机中包括所述待关联的安全业务的镜像文件；

所述激活模块，用于向所述云安全管理平台发送激活请求，以使所述云安全管理平台调用所述云管理平台与所述云安全管理平台之间的目标API激活所述目标虚拟机中的安全业务，以完成所述云管理平台关联至所述待关联的安全业务。

7.根据权利要求6所述的系统，其特征在于，所述系统还包括：查询模块，所述查询模块用于：调用所述云安全管理平台的查询许可信息API；通过调用到的所述查询许可信息API查询所述待关联的安全业务在所述云安全管理平台的许可资源剩余信息。

8.根据权利要求6所述的系统，其特征在于，所述系统还包括：返回模块，所述返回模块用于：获取所述云安全管理平台通过用于返回激活结果的API返回的激活结果。

9.根据权利要求6所述的系统，其特征在于，所述系统还包括：认证模块，所述认证模块用于：对所述待关联的安全业务进行认证操作。

10.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现上述权利要求1至5任一项所述的方法的步骤。

Images