CN112069471A

CN112069471A - 基于国产cpu的应用系统授权方法、装置及介质

Info

Publication number: CN112069471A
Application number: CN202010993097.6A
Authority: CN
Inventors: 朱宪; 孙桂刚; 李超; 孙元田
Original assignee: Inspur Cloud Information Technology Co Ltd
Current assignee: Inspur Cloud Information Technology Co Ltd
Priority date: 2020-09-21
Filing date: 2020-09-21
Publication date: 2020-12-11
Anticipated expiration: 2040-09-21
Also published as: CN112069471B

Abstract

本发明公开了基于国产CPU的应用系统授权方法、装置及介质，属于应用系统授权验证技术领域，要解决的技术问题为如何实现国产CPU和操作系统云计算环境下应用系统的授权验证。方法，通过授权服务中心为云平台上运行的应用系统提供若干个无状态的授权服务，所述若干个授权服务通过均衡负载的方式形成授权服务集群。装置，包括：至少一个存储器和至少一个处理器；处理器，用于调用所述机器可读程序，执行上述方法。计算机可读介质上存储有计算机指令，计算机指令在被处理器执行时，处理器执行上述方法。

Description

基于国产CPU的应用系统授权方法、装置及介质

技术领域

本发明涉及应用系统授权验证技术领域，具体地说是基于国产CPU的应用系统授权方法、装置及介质。

背景技术

近年来，云计算、大数据技术蓬勃发展，云产品和云服务厂商也相继推出了自己的产品，产品涵盖了IaaS、PaaS、SaaS等各个层面。在云环境下，应用系统的研发、测试、交付都面临了革命性的变革，传统的单体应用已无法适应云模式下应用系统的交付模式。

在云计算、大数据等技术的驱动下，应用系统的技术架构也随之变革和升级，需求驱动技术发展，微服务架构应运而生。微服务架构体系，应用会被拆分成一系列更小的服务，这种拆分对于不同用户、设备和特殊应用场景部署都更容易，每一个服务开放一系列rest接口，服务之间通过rest接口来相互协作。

微服务架构体系更适合云原生的应用，与传统的IT基础设施很难兼容，但与云模式有着良好的兼容性。微服务架构云模式部署又衍生出一个问题，即应用的授权问题，特别是对于授权绑定了物理设备硬件信息的应用。以目前较为流行的容器云平台为例，应用全部运行在容器内部，基于安全性考虑，很难获取到服务器的硬件信息，而且容器可能频繁调度，导致绑定硬件信息进行授权的应用，授权验证更加困难，应用系统的知识产权很难得到保护。

云计算环境下，无论是虚拟机还是容器技术，承载应用系统运行的基础设施环境是以虚拟化技术为基础的安全沙盒。无论虚拟机还是容器内部，被调度到其他宿主机运行后虚拟机或容器的硬件的信息有可能会变化。而应用系统厂商开发的商业发行版产品，为了保证产品的授权限制，授权验证一般会绑定物理服务器硬件信息，但是虚拟机和容器的硬件信息的问题，导致应用系统授权验证较为困难。

基于上述分析，如何实现国产CPU和操作系统云计算环境下应用系统的授权验证，是需要解决的技术问题。

发明内容

本发明的技术任务是针对以上不足，提供一种基于国产CPU的应用系统授权方法、装置及介质，来解决如何实现国产CPU和操作系统云计算环境下应用系统的授权验证的技术问题。

第一方面，本发明提供一种基于国产CPU的应用系统授权方法，通过授权服务中心为云平台上运行的应用系统提供若干个无状态的授权服务，所述若干个授权服务通过均衡负载的方式形成授权服务集群，所述授权方法包括如下步骤：

应用系统读取应用系统授权文件中授权信息，所述授权信息包括但不限于应用系统标识、物理机硬件信息和授权期限，上述授权信息加密组装得到应用系统授权文件；

根据授权服务中心中授权服务接口要求的格式，应用系统将应用系统实例标识和上述授权信息组装后，调用授权服务接口发送至授权服务；

授权服务读取其所属物理服务器的物理机硬件信息，根据上述授权信息中物理机硬件信息的加密方法对授权服务对应的物理机硬件信息进行加密，并判断上述授权信息中是否存在加密后授权服务对应的物理机硬件信息；

如果不存在，向应用系统返回授权失败，如果存在，对授权信息中授权期限进行验证，判断是否超出授权期限；

如果超出授权期限，向应用系统返回授权失败，如果未超出授权期限，基于应用系统标识将应用系统相关信息更新至数据库；

将应用系统实例唯一标识、应用系统标识、应用系统在线时长、应用系统心跳时间戳存储于数据库，并向应用系统返回授权成功。

更优的，授权服务读取其所属物理服务器的物理机硬件信息之前，读取授权服务授权文件并对授权服务进行授权验证；

授权服务授权文件主要包括授权服务自身应用系统标识、集群内授权服务器硬件信息、授权期限、授权应用系统标识和授权数量列表；

所述授权服务自身应用系统标识和与其相关应用系统授权文件中授权标识相同；

所述授权数量列表中通过授权数量标识每个应用系统本身所能运行的实例数量。

作为优选，基于应用系统标识将应用系统相关信息更新至数据库，包括如下步骤：

(1)判断授权信息中应用系统标识是否存在于数据库中，如果不存在执行步骤(2)，如果存在执行步骤(3)；

(2)基于授权信息中应用系统标识判断所述授权服务是否支持所述应用系统；

如果支持，将应用系统相关信息存储于数据库，并将应用系统标识标记为1，所述应用系统相关信息包括应用系统标识、可授权最大应用系统实例数量、应用系统授权期限、以及应用系统授权通过的实例数量，并执行步骤(4)；

如果不支持，向应用系统返回授权失败；

(3)判断对应应用系统标识授权通过的应用系统实例数量+1后是否超出了可授权最大应用系统实例数量；

如果超过可授权最大应用系统实例数量，向应用系统返回授权失败；

如果未超过可授权最大应用系统实例数量，更新数据库中对应应用系统标识的授权通过的应用系统实例数量，并进行+1操作，并执行步骤(4)；

(4)将应用系统实例唯一标识、应用系统标识、应用系统在线时长、应用系统心跳时间戳存储数据库中，并向应用系统返回授权成功。

更优的，应用系统启动授权校验且通过后，调用授权服务中心的授权服务心跳接口，基于授权服务的心跳机制验证所述应用系统在线。

作为优选，基于授权服务的心跳机制验证所述应用系统在线，包括如下步骤：

应用系统读取本地应用系统授权文件中授权信息，所述授权信息包括但不限于应用系统标识、物理机硬件信息和授权期限，上述授权信息加密组装得到应用系统授权文件；

根据授权服务中心提供的授权服务心跳接口要求的组装格式，应用系统将上述授权信息组装后，调用授权服务心跳接口发送至授权服务；

如果超出授权期限，向应用系统返回授权失败，如果未超出授权期限，基于应用系统标识判断数据库中是否存在所述应用系统实例的对应数据；

如果存在，更新数据库中对应应用系统实例唯一标识的心跳时间戳和应用系统在线时长，如果不存在，将应用系统实例唯一标识、应用系统在线时长、应用系统心跳时间戳存储于数据库。

更优的，应用系统退出时，调用授权服务中心的解授权接口，删除数据库中应用系统实例记录，并将对应应用系统标识的授权数量进行-1操作。

作为优选，所述应用系统授权文件中物理机硬件信息为将授权服务集群中所有物理机的硬件信息通过不可逆加密方法单独加密组合形成的；

所述物理机硬件信息包括但不限于机器序列号、硬盘信息和网卡MAC地址。

作为优选，所述授权服务接口的支持的类型包括rest、grpc和webservice。

第二方面，本发明提供一种装置，包括：至少一个存储器和至少一个处理器；

所述至少一个存储器，用于存储机器可读程序；

所述至少一个处理器，用于调用所述机器可读程序，执行第一方面任一所述的方法。

第三方面，本发明提供一种介质，为计算机可读介质，所述计算机可读介质上存储有计算机指令，所述计算机指令在被处理器执行时，使所述处理器执行第一方面任一所述的方法。

本发明的基于国产CPU的应用系统授权方法、装置及介质具有以下优点：

1、通过授权服务中心提供多个无状态的授权服务，上述多个授权服务通过负载均衡的方式组成授权服务集群，为运行于云平台上的应用系统提供统一的授权验证，在进行授权验证时，依次进行物理机硬件信息验证、授权期限验证，并基于应用系统标识验证将应用系统相关信息更新至数据库，实现了应用系统的验证；

2、在进行物理机硬件信息验证之前，读取授权服务授权文件对授权服务进行验证后，在对应用系统进行授权验证，确保了授权服务与应用系统的关联，提升了准确性；

3、应用系统授权验证通过后，可能因为网络或者其他原因导致授权失效，基于授权服务的心跳机制验证该应用系统在线，实现了对应用系统再授权验证。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

下面结合附图对本发明进一步说明。

图1为实施例1基于国产CPU的应用系统授权方法的原理框图；

图2为基于国产CPU的应用系统授权方法的流程框图。

具体实施方式

下面结合附图和具体实施例对本发明作进一步说明，以使本领域的技术人员可以更好地理解本发明并能予以实施，但所举实施例不作为对本发明的限定，在不冲突的情况下，本发明实施例以及实施例中的技术特征可以相互结合。

需要理解的是，在本发明实施例中的“若干个”，是指两个或两个以上。

本发明实施例提供基于国产CPU的应用系统授权方法、装置及介质，用于解决如何实现国产CPU和操作系统云计算环境下应用系统的授权验证的技术问题。

实施例1：

本发明的基于国产CPU的应用系统授权方法，通过授权服务中心为云平台上运行的应用系统提供若干个无状态的授权服务，上述若干个授权服务通过均衡负载的方式形成授权服务集群。该授权方法包括如下步骤：

S100、应用系统读取应用系统授权文件中授权信息，所述授权信息包括但不限于应用系统标识、物理机硬件信息和授权期限，上述授权信息加密组装得到应用系统授权文件；

S200、根据授权服务中心中授权服务接口要求的格式，应用系统将应用系统实例标识和上述授权信息组装后，调用授权服务接口发送至授权服务；

S300、授权服务读取其所属物理服务器的物理机硬件信息，根据上述授权信息中物理机硬件信息的加密方法对授权服务对应的物理机硬件信息进行加密，并判断上述授权信息中是否存在加密后授权服务对应的物理机硬件信息；

(a)如果不存在，向应用系统返回授权失败；

(b)如果存在，执行步骤S400，进行后续验证；

S400、对授权信息中授权期限进行验证，判断是否超出授权期限；

(a)如果超出授权期限，向应用系统返回授权失败；

(b)如果未超出授权期限，执行步骤S500进行后续授权验证；

S500、基于应用系统标识将应用系统相关信息更新至数据库；

S600、将应用系统实例唯一标识、应用系统标识、应用系统在线时长、应用系统心跳时间戳存储于数据库，并向应用系统返回授权成功。

在上述实施例中，应用系统授权文件由应用系统标识、物理机硬件信息、授权期限等授权信息通过加密组装而成。为了保证安全性，物理机硬件信息加密过程采用不可逆加密算法，授权文件中的硬件信息是将授权服务器集群中所有物理机的硬件信息单独加密组合而成，物理机硬件信息主要包括机器序列号、硬盘信息、网卡MAC地址等信息。

在步骤S100中，应用系统授权读取应用系统授权文件中授权信息，并将授权信息、应用系统实例标识(应用系统运行实例的唯一标识)按照授权服务接口要求的格式进行组装，授权服务接口设计为远程调用接口，可以是rest、grpc、webservice等。

授权文件中，授权信息为加密信息，且物理机硬件信息为单独的不可逆的加密方法进行加密的，步骤S300中对物理机硬件信息进行验证时，授权服务读取其所属物理服务器的物理机硬件信息后，需要根据上述授权信息中物理机硬件信息的加密方法对授权服务对应的物理机硬件信息进行加密，然后判断上述授权信息中是否存在加密后授权服务对应的物理机硬件信息。

同时，步骤S500中，基于应用系统标识将应用系统相关信息更新至数据库，具体操作如下：

首先判断数据库中是否存在对应应用系统标识的数据；

情况一，如果不存在，检查此应用系统是否是授权服务支持的应用系统，授权服务支持的应用系统标识列表存储于授权服务授权文件中；

(a)如果是授权服务所支持的应用系统，则将应用系统标识、可授权最大应用系统实例数量、应用系统授权期限、应用系统授权通过的实例数量存储于数据库中，由于是此应用标识的应用系统首次注册，值为1。

(b)如果不是授权服务所支持的应用系统，则向应用系统返回授权失败；

情况二，如果存在，判断对应应用系统标识授权通过的应用系统实例数量+1后是否超出了可授权最大应用系统实例数量；

(a)如果超出可授权最大应用系统实例数量，则向应用系统返回授权失败；

(b)如没有超出最大应用系统实例数量，则更新数据库中对应应用系统标识的授权通过的应用系统实例数量，对其进行+1操作。

基于应用系统标识将应用系统标识、可授权最大应用系统实例数量、应用系统授权期限、应用系统授权通过的实例数量等应用系统相关信息更新至数据库后，将应用系统实例唯一标识、所属应用系统标识、应用系统在线时长、应用系统心跳时间戳存储数据库中，并向应用系统返回授权成功。

本实施例涉及的应用系统心跳时间戳是指应用系统每次调用授权服务心跳接口的时间戳，如果应用系统首次授权验证，应用系统心跳时间戳值为当前时间。

作为上述实施例的改进，在进行物理机硬件信息进行授权验证之前，对授权服务进行验证。首先，读取授权服务本身对应的授权服务授权文件并进行验证，授权服务自身的授权文件主要包括自身应用系统标识、集群内授权服务器硬件信息、授权期限、授权应用系统标识和授权数量列表。授权服务本身的授权文件存储于授权服务所部署的服务器，授权服务启动过程中，会首先读取授权文件，并进行授权服务的授权验证，验证通过后才可正常为应用提供授权服务。

授权服务授权文件中的应用系统标识，需和应用系统本身授权文件中的授权标识相同。授权数量标识了每个应用系统本身的所能运行的实例数量。

应用系统授权验证通过后，可能因为网络或者其他原因导致授权失效，心跳机制可以对应用系统进行再授权验证，授权验证心跳机制主要过程如下：

(1)应用系统读取本地应用系统授权文件中授权信息，所述授权信息包括但不限于应用系统标识、物理机硬件信息和授权期限，上述授权信息加密组装得到应用系统授权文件；

(2)根据授权服务中心提供的授权服务心跳接口要求的组装格式，应用系统将上述授权信息组装后，调用授权服务心跳接口发送至授权服务；

(3)授权服务读取其所属物理服务器的物理机硬件信息，根据上述授权信息中物理机硬件信息的加密方法对授权服务对应的物理机硬件信息进行加密，并判断上述授权信息中是否存在加密后授权服务对应的物理机硬件信息；

(a)如果不存在，向应用系统返回授权失败；

(b)如果存在，执行步骤(4)；

(4)对授权信息中授权期限进行验证，判断是否超出授权期限；

(a)如果超出授权期限，向应用系统返回授权失败；

(b)如果未超出授权期限，执行步骤(5)；

(5)基于应用系统标识判断数据库中是否存在所述应用系统实例的对应数据；

(a)如果存在，更新数据库中对应应用系统实例唯一标识的心跳时间戳和应用系统在线时长；

(b)如果不存在，将应用系统实例唯一标识、应用系统在线时长、应用系统心跳时间戳存储于数据库。

上述改进实施例中，定义了应用系统最大未发送心跳的时间间隔，如果针对某个授权通过的应用系统实例，(当前时间-应用系统实例心跳时间戳)大于应用系统最大未发送心跳的时间间隔，则删除数据库中对应应用系统实例的数据，同时将对应应用系统标识的授权通过实例数量进行-1操作。

本实施例中，设定了一个定时任务，扫描数据库中每个应用系统标识的实例数量，并更新数据库中对应标识授权通过的应用系统实例数量。

当应用系统推出时，对应用系统进行解授权，具体过程如下：

(1)应用系统退出时调用授权服务的解授权接口。

(2)删除数据库中应用实例记录，并同时将对应应用系统标识的授权数量进行-1操作。

实施例2：

本发明实施例还提供了一种装置，包括：至少一个存储器和至少一个处理器；上述至少一个存储器，用于存储机器可读程序；上述至少一个处理器，用于调用所述机器可读程序，执行本发明任一实施例中公开的方法。、

实施例3：

本发明实施例还提供了一种计算机可读介质，所述计算机可读介质上存储有计算机指令，所述计算机指令在被处理器执行时，使所述处理器执行实施例1公开的方法。具体地，可以提供配有存储介质的系统或者装置，在该存储介质上存储着实现上述实施例中任一实施例的功能的软件程序代码，且使该系统或者装置的计算机(或CPU或MPU)读出并执行存储在存储介质中的程序代码。

在这种情况下，从存储介质读取的程序代码本身可实现上述实施例中任何一项实施例的功能，因此程序代码和存储程序代码的存储介质构成了本发明的一部分。

用于提供程序代码的存储介质实施例包括软盘、硬盘、磁光盘、光盘(如CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RAM、DVD-RW、DVD+RW)、磁带、非易失性存储卡和ROM。可选择地，可以由通信网络从服务器计算机上下载程序代码。

此外，应该清楚的是，不仅可以通过执行计算机所读出的程序代码，而且可以通过基于程序代码的指令使计算机上操作的操作系统等来完成部分或者全部的实际操作，从而实现上述实施例中任意一项实施例的功能。

此外，可以理解的是，将由存储介质读出的程序代码写到插入计算机内的扩展板中所设置的存储器中或者写到与计算机相连接的扩展单元中设置的存储器中，随后基于程序代码的指令使安装在扩展板或者扩展单元上的CPU等来执行部分和全部实际操作，从而实现上述实施例中任一实施例的功能。

需要说明的是，上述各流程和各系统结构图中不是所有的步骤和模块都是必须的，可以根据实际的需要忽略某些步骤或模块。各步骤的执行顺序不是固定的，可以根据需要进行调整。上述各实施例中描述的系统结构可以是物理结构，也可以是逻辑结构，即，有些模块可能由同一物理实体实现，或者，有些模块可能分由多个物理实体实现，或者，可以由多个独立设备中的某些部件共同实现。

上文通过附图和优选实施例对本发明进行了详细展示和说明，然而本发明不限于这些已揭示的实施例，基与上述多个实施例本领域技术人员可以知晓，可以组合上述不同实施例中的代码审核手段得到本发明更多的实施例，这些实施例也在本发明的保护范围之内。

Claims

1.基于国产CPU的应用系统授权方法，其特征在于通过授权服务中心为云平台上运行的应用系统提供若干个无状态的授权服务，所述若干个授权服务通过均衡负载的方式形成授权服务集群，所述授权方法包括如下步骤：

2.根据权利要求1所述的基于国产CPU的应用系统授权方法，其特征在于授权服务读取其所属物理服务器的物理机硬件信息之前，读取授权服务授权文件并对授权服务进行授权验证；

3.根据权利要求1所述的基于国产CPU的应用系统授权方法，其特征在于基于应用系统标识将应用系统相关信息更新至数据库，包括如下步骤：

如果不支持，向应用系统返回授权失败；

4.根据权利要求1、2或3所述的基于国产CPU的应用系统授权方法，其特征在于应用系统启动授权校验且通过后，调用授权服务中心的授权服务心跳接口，基于授权服务的心跳机制验证所述应用系统在线。

5.根据权利要求4所述的基于国产CPU的应用系统授权方法，其特征在于基于授权服务的心跳机制验证所述应用系统在线，包括如下步骤：

6.根据权利要求1所述的基于国产CPU的应用系统授权方法，其特征在于应用系统退出时，调用授权服务中心的解授权接口，删除数据库中应用系统实例记录，并将对应应用系统标识的授权数量进行-1操作。

7.根据权利要求1、2、3或6所述的基于国产CPU的应用系统授权方法，其特征在于所述应用系统授权文件中物理机硬件信息为将授权服务集群中所有物理机的硬件信息通过不可逆加密方法单独加密组合形成的；

8.根据权利要求1、2、3或6所述的基于国产CPU的应用系统授权方法，其特征在于所述授权服务接口的支持的格式包括rest、grpc和webservice。

9.装置，其特征在于，包括：至少一个存储器和至少一个处理器；

所述至少一个存储器，用于存储机器可读程序；

所述至少一个处理器，用于调用所述机器可读程序，执行权利要求1至8中任一所述的方法。

10.介质，为计算机可读介质，其特征在于，所述计算机可读介质上存储有计算机指令，所述计算机指令在被处理器执行时，使所述处理器执行权利要求1至8任一所述的方法。