CN115686843A - 一种异构虚拟化多租户资源隔离调度方法及设备 - Google Patents

Abstract

本发明涉及一种异构虚拟化多租户资源隔离调度方法，包括：管理员添加过滤器；管理员创建租户并为该租户创建租户标识；租户创建对应的租户组以及租户模板，并根据隔离需求编制该租户组对应的过滤器的过滤规则；租户发出创建虚拟机请求，所述过滤器判断该租户是否为首次创建虚拟机，若是，根据租户模板要求，将虚拟机部署内存资源空闲最大的物理主机上；若否，过滤器优先选择已经存在该租户的物理主机并判断物理主机是否满足该过滤规则，若是，根据租户模板要求，将虚拟机部署该物理主机上。本发明涉及一种异构虚拟化多租户资源隔离调度设备。本发明对同一租户部署的虚拟机进行隔离与聚合调度，无需管理员配置主机组，提升了租户隔离效率与安全性。

Description

一种异构虚拟化多租户资源隔离调度方法及设备

技术领域

本发明涉及计算机平台服务器虚拟化设计技术领域，尤其涉及一种异构虚拟化多租户资源隔离调度方法及设备，应用于基于国产异构主流芯片服务器资源池的信创云平台适配技术。

背景技术

多租户是云所使用的一种基础性技术，它通过共享硬件或软件来实现云的规模性成本和安全性。云服务多租户带来的资源高度共享架构，可以提高资源利用率，降低单位资源成本。但是，因为租户间隔离性下降，多租户技术会给租户带来一系列问题，特别是在基于国产龙芯、飞腾、鲲鹏、海光等异构CPU芯片服务器底层硬件资源的云平台环境下。以公有云为例，多租户共享隔离处理不好会带来安全问题。比如AWS EC2和Google GCE等，允许其客户在共享的物理基础设上创建和运行虚机，这就导致在一个服务器上可能出现一个虚机与故意或者无意的恶意虚机共存。研究表明，当两个虚机共同存在于一个物理服务器上时，存在突破虚拟化逻辑隔离而获取其它虚机/用户的机密信息或者降低其性能的可能性。如果通过给每个租户分配一个虚机，应用不是多租户的，性能隔离通过虚机实现，这就导致请求大的租户没法获得分配给他们的虚机的资源以外的更多资源，且有可能造成某个应用示例出现空闲。如果在物理基础设施集群上部署一个多租户的应用集群，每个虚机中运行同样应用的一个实例，所有租户都可以访问，那么，一个租户的峰值请求明显地将会影响别的租户。因此，如何在异构环境下，对虚拟化多租户资源进行隔离调度成为亟待解决的问题。

隔离可以在不同的层面，使用不同的技术实现：物理层面的隔离是最完全的隔离，不同的租户使用不同的物理硬件，包括计算和存储服务器和网络设备等。计算在操作系统层面的隔离，通过虚机一方面提供较高的安全隔离性，另一方面结合其它技术比如Linuxcgroup来实现性能保证；计算在中间件层面的隔离，比如通过容器共享操作系统等底层资源，使用Linuxnamespace等技术提供一般的隔离性；网络在逻辑层面的隔离，使用VLAN、VxLAN、GRE等方式来实现网络流量的逻辑隔离；存储在应用层面的隔离，比如Ceph和Swift等共享存储，提供应用层面的租户隔离性。

传统的openstack虚拟化租户隔离依赖过滤器完成；需要管理员为每个租户，单独开辟一个主机组，这部分主机资源单独为这些批租户服务，这样的隔离方式存在以下缺陷：1、租户的资源需求不固定，因此，管理员在开辟一个主机组，因无法确定租户的资源需求，提供的主机组资源必须大于租户资源需求且留有余量，导致主机组资源浪费；2、主机组只能由管理员创建，租户自身无法完成；3、当租户主机数量较多或增加时，需要扩展主机资源，租户无法独立完成。

发明内容

为了解决上述问题，本发明的目的在于提供本发明提出一种异构虚拟化多租户资源隔离调度方法，是一种基于计算资源/虚机的隔离，对同一租户部署的虚拟机进行隔离与聚合调度，无需管理员配置主机组，提升了租户隔离效率与安全性。

为实现上述目的，本发明采用以下技术方案：

技术方案一

一种异构虚拟化多租户资源隔离调度方法，包括如下步骤：管理员在nova模块的配置项说明文件中添加过滤器；管理员创建租户并为该租户创建租户标识；租户针对不同的异构资源创建对应的租户组，配置租户组所对应的租户模板，并根据隔离需求编制该租户组对应的过滤器的过滤规则；租户发出创建虚拟机请求，该请求中包含租户标识和租户模板，所述过滤器判断该租户是否为首次创建虚拟机，若是，根据租户模板要求，将虚拟机部署在满足租户模板要求且内存资源空闲最大的物理主机上；若否，则为再次创建虚拟机，该过滤器优先选择已经存在该租户的物理主机并判断该物理主机是否满足该过滤规则，若是，根据租户模板要求，将虚拟机部署该物理主机上，实现相同租户且异构资源相同的虚拟主机部署在同一个物理主机上。

更优地，所述再次创建虚拟机时，若满足过滤器要求的物理主机出现资源不足，无法根据租户模板部署虚拟机时，启动竞争调度机制，具体为：判断当前租户是否为该物理主机的优势租户，若是，则将该物理主机上低优先级租户部署的虚拟机或无所述隔离需求的虚拟机，调离当前物理主机，腾出足够的资源空间，然后根据所述租户模板在该物理主机上部署虚拟机，最终使该租户在逻辑层面独占使用该物理主机，若否，则将该租户再次创建的虚拟机部署在另一物理主机上。

更优地，所述优势租户的判定标准为：根据租户在该物理主机上创建的所有虚拟机的内存占比，cpu占比，存储占比计算租户优先级，租户优先级高，则为优势租户。

更优地，租户在物理主机上完成虚拟机部署后，计算并调整该租户在当前物理主机的租户优先等级。

更优地，所述满足过滤器要求的物理主机出现资源不足的判断过程为：从该物理主机的节点属性，内存空间，硬盘空间与租户模板申请的资源进行对比；若资源满足，根据租户模板要求，将所述虚拟机部署该物理主机上，若资源不足，则启动所述竞争调度机制。

更优地，所述租户创建租户组时，还设置虚拟机命名规则，其包括租户标识、CPU架构以及顺序递增数；所述将虚拟机部署该物理主机上的具体步骤为：资源调度器在该物理主机启动创建指令，根据租户模板要求，创建虚拟机，然后，根据所述虚拟机命名规则，补充虚拟机名称，对虚拟机名字尾数进行顺序递增，避免重复。

更优地，所述虚拟机部署完成后，虚拟机的相关信息同步到openstack数据库；所述过滤器通过数据库检索查询是否存在相同租户标识的虚拟机，若否，则判断该租户为首次创建虚拟机，若是，则为再次创建虚拟机。

为了解决上述问题，本发明的目的在于提供一种异构虚拟化多租户资源隔离调度设备。

技术方案二

一种异构虚拟化多租户资源隔离调度设备，包括处理器与存储器，所述存储器中存储有能够被处理器运行的计算机程序，当处理器运行该计算机程序时，实现如技术方案一所述的方法步骤。

为了解决上述问题，本发明的目的在于提供一种计算机可读存储介质。

技术方案三

一种计算机可读存储介质，该计算机可读存储介质中存储有能够被处理器运行的计算机程序，当处理器运行该计算机程序时，实现如技术方案一所述的方法步骤。

本发明具有如下有益效果：

1、本发明一种异构虚拟化多租户资源隔离调度方法，管理员创建租户后，由自主创建租户组，设置租户模板及编制过滤器规则，通过租户编制过滤器规则完成租户隔离，通过租户模板配置与物理主机之间的参数匹配，实现相同的租户虚拟机自动聚合，无需管理员配置主机组，且可自主扩展虚拟机并实现自动聚合，确保该租户的虚拟机部署在同一个物理主机上，提升了租户隔离效率，实现云平台多租户环境下同一租户的虚拟机均部署在同一个物理主机上，从而构建物理隔离，满足租户的高安全性和高性能要求。

2、本发明一种异构虚拟化多租户资源隔离调度方法，通过租户组、租户模板以及过滤器，使在租户创建虚拟机的时候，能够针对异构资源的不同（预先选定的鲲鹏、飞腾或龙芯资源）在对应的物理主机上自主创建虚拟机，实现异构资源环境下的同一租户虚拟机自动聚合，构建物理隔离。

3、本发明一种异构虚拟化多租户资源隔离调度方法，通过竞争调度机制使优势租户的部署的虚拟机高度聚合，逐步实现该租户在逻辑层面独占使用该物理主机，进一步提高优势租户虚拟机的高安全性和高性能。

4、本发明一种异构虚拟化多租户资源隔离调度设备以及一种可读计算机存储介质，具有与该方法相同的有益效果。

附图说明

图1为本发明一种异构虚拟化多租户资源隔离调度方法的流程图；

图2为本发明隔离调度方法使用竞争调度机制的流程图。

具体实施方式

以下结合附图和具体实施例对本发明做进一步详细说明。

实施例一

参见图1，一种异构虚拟化多租户资源隔离调度方法，包括如下步骤：

步骤1、管理员在nova模块的配置项说明文件中添加过滤器，该过滤器为一默认过滤器（scheduler_default_filters），提供给租户编制使用。创建示例如下：scheduler_default_filters = AggregateInstanceExtraSpecsFilter, RetryFilter, RamFilter,DiskFilter, ComputeFilter, ComputeCapabilitiesFilter,ServerGroupAffinityFilter,AggregateMultiTenancyIsolation,AggregateImagePropertiesIsolation

步骤2、管理员创建租户并为该租户创建租户标识，该租户标识一般为租户ID。租户针对不同的异构资源创建对应的租户组，配置租户组所对应的租户模板，并根据隔离需求编制该租户组对应的过滤器的过滤规则。在创建租户模板时，还可以设置虚拟机命名规则，其包括租户标识、CPU架构以及顺序递增数，其用于虚拟机部署完成时，对新创建的虚拟机进行重命名，对虚拟机名字尾数进行顺序递增，避免虚拟机名字重复。

异构资源中只有CPU、GPU是无法调度的，而CPU或GPU可采用的架构包括ARM架构或X86架构，由于ARM资源池和X86资源池的分配规则不一样，也无法将ARM虚拟机和X86虚拟机聚合在一起，因此，本发明提出根据CPU或GPU架构，创建对应的租户组，配置租户组所对应的租户模板。例如，租户需要创建ARM虚拟机，则需要创建对应ARM虚拟机的租户组，配置该租户组对应的租户模板，租户模板的配置参数主要包括包含租户标识，虚拟机命名，CPU类型、CPU数量、内存需求、硬盘需要等。如果该租户还需要创建X86虚拟机，则，需要重新创建对应的租户组以及配置对应的租户模板。

管理员添加的过滤器为默认过滤器（scheduler_default_filters），该过滤器添加后，提供给有隔离需求的租户。需要创建过滤规则时，使用AggregateInstanceExtraSpecsFilter参数配置过滤器，进行过滤。如果没有隔离需求，可以不配置该过滤。过滤器配置说明如下：

过滤器配置AggregateInstanceExtraSpecsFilter：配置自定义的过滤属性，通过Flavor元数据过滤器完成过滤器配置。

过滤器配置RetryFilter, RamFilter, DiskFilter, ComputeFilter：过滤尝试失败的节点，内存，硬盘的节点，过滤服务不正常工作节点；

过滤器配置ComputeCapabilitiesFilter：通过metadata配置异构资源过滤，如x86_64、ARM64、longarch等不同的CPU类型；

过滤器配置ImagePropertiesFilter：根据所选 image 的属性来筛选匹配的物理主机。通过配置metadata选择KVM或者QEMU。

配置租户租户模板，并设置虚拟主机命名规则，示例如下：

| Property | Value |

+----------------------------+-------------------+

| OS-FLV-DISABLED:disabled | False |

| OS-FLV-EXT-DATA:ephemeral | 0 |

| disk | 80 |

| extra_specs | {u'ssd': u'true'} |

| id | 6 |

| name |Tenant_ID.arrch64.xx|

| os-flavor-access:is_public | True |

| ram | 8192 |

| rxtx_factor | 1.0 |

| swap | |

| vcpus | 4 |

步骤3、租户发出创建虚拟机请求，该请求中包含租户标识和租户模板，所述过滤器判断该租户是否为首次创建虚拟机。较优地，所述租户模板设有模板标识，所述模板标识包含异构资源类型，所述过滤器在接收到所述创建虚拟机请求时，根据租户标识和模板标识确定租户所需资源。所述虚拟机部署完成后，虚拟机的相关信息同步到openstack数据库；所述过滤器可通过数据库检索查询是否存在相同租户标识的虚拟机；若否，则判断该租户为首次创建虚拟机，若是，则为再次创建虚拟机。

对于首次创建虚拟机的租户，资源调度器根据租户模板要求，将虚拟机部署在满足租户模板要求且内存资源空闲最大的物理主机上，从而为该租户后续资源聚合提供足够的空间；

对于再次创建虚拟机的租户，该过滤器优先选择已经存在该租户的物理主机并判断该物理主机是否满足该过滤规则，若是，根据租户模板要求，将虚拟机部署该物理主机上，实现相同租户且异构资源相同的虚拟主机部署在同一个物理主机上。

所述将虚拟机部署该物理主机上的具体步骤为：资源调度器在该物理主机启动创建指令，根据租户模板要求，创建虚拟机，然后，根据所述虚拟机命名规则，补充虚拟机名称，对虚拟机名字尾数进行顺序递增，避免重复。相同租户的虚拟机在数据库的记录中形成一个虚拟机集群，作为该租户的资源池。将部署完成的虚拟机的相关信息同步到openstack数据库，加入该租户资源池中。

本实施例中，租户可根据异构资源自行创建租户组，设置租户模板及编制过滤器规则，对该租户创建的虚拟机进行聚合调度，实现了租户自主创建或扩展虚拟机且能够通过自行编制的过滤器规则对该租户创建虚拟机进行聚合调度，确保该租户的虚拟机部署在同一个物理主机上，实现多租户环境下同一租户的虚拟机均部署在同一个物理主机上，从而构建物理隔离，满足租户的高安全性和高性能要求。进一步地，本实施例通过租户组、租户模板以及过滤器，使在租户创建虚拟机的时候，能够针对异构资源的不同（预先选定的鲲鹏、飞腾或龙芯资源）在对应的物理主机上自主创建虚拟机，实现异构资源环境下的同一租户虚拟机自动聚合，构建物理隔离。

实施例二

本实施例解决了物理主机资源耗尽时，如何使物理主机上的优势租户能够在逻辑层面独占使用该物理主机。

请参阅图2，对于租户发出的再次创建虚拟机请求，该过滤器优先选择已经存在该租户的物理主机并判断该物理主机是否满足该过滤规则，若满足，则进一步地，判断该物理主机是否出现资源不足，具体地：从该物理主机的节点属性，内存空间，硬盘空间与租户模板申请的资源进行对比；若资源满足，根据租户模板要求，将所述虚拟机部署该物理主机上，若资源不足，则启动所述竞争调度机制：判断当前租户是否为该物理主机的优势租户，若是，则将该物理主机上低优先级租户部署的虚拟机或无所述隔离需求的虚拟机，调离当前物理主机，腾出足够的资源空间，然后根据所述租户模板在该物理主机上部署虚拟机，最终使该租户在逻辑层面独占使用该物理主机，若否，则将该租户再次创建的虚拟机部署在另一物理主机上。

所述优势租户的判定标准为：根据租户在该物理主机上创建的所有虚拟机的内存占比，cpu占比，存储占比计算租户优先级，租户优先级高，则为优势租户。较优地，租户在物理主机上完成虚拟机部署后，计算并调整该租户在当前物理主机的租户优先等级。

本实施例二通过竞争调度机制使优势租户的部署的虚拟机高度聚合，逐步实现该租户在逻辑层面独占使用该物理主机，进一步提高优势租户虚拟机的高安全性和高性能。

基于同一发明构思，本申请提供了与实施例一和实施二对应的一种异构虚拟化多租户资源隔离调度设备。

实施例三

一种异构虚拟化多租户资源隔离调度设备，包括处理器与存储器，所述存储器中存储有能够被处理器运行的计算机程序，当处理器运行该计算机程序时，实现如实施例一和实施例二所述的方法步骤，如图1和图2所示。

基于同一发明构思，本申请提供了与实施例一和实施二对应的一种计算机可读存储介质。

实施例四

一种计算机可读存储介质，该计算机可读存储介质中存储有能够被处理器运行的计算机程序，当处理器运行该计算机程序时，实现如实施例一和实施例二所述的方法步骤，如图1和图2所示。

实施例三和实施例四未详尽的实施步骤参见实施例一和实施二。同时，实施三和实施例四具有与实施例一和实施例二相同的有益效果。

以上所述仅为本发明的具体实施方式，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (9)

1.一种异构虚拟化多租户资源隔离调度方法，其特征在于，包括如下步骤：管理员在nova模块的配置项说明文件中添加过滤器；

管理员创建租户并为该租户创建租户标识；租户针对不同的异构资源创建对应的租户组，配置租户组所对应的租户模板，并根据隔离需求编制该租户组对应的过滤器的过滤规则；

租户发出创建虚拟机请求，该请求中包含租户标识和租户模板，所述过滤器判断该租户是否为首次创建虚拟机，

若是，根据租户模板要求，将虚拟机部署在满足租户模板要求且内存资源空闲最大的物理主机上；

若否，则为再次创建虚拟机，该过滤器优先选择已经存在该租户的物理主机并判断该物理主机是否满足该过滤规则，若是，根据租户模板要求，将虚拟机部署该物理主机上，实现相同租户且异构资源相同的虚拟主机部署在同一个物理主机上。

2.根据权利要求1所述的一种异构虚拟化多租户资源隔离调度方法，其特征在于：所述再次创建虚拟机时，若满足过滤器要求的物理主机出现资源不足，无法根据租户模板部署虚拟机时，启动竞争调度机制，具体为：判断当前租户是否为该物理主机的优势租户，若是，则将该物理主机上低优先级租户部署的虚拟机或无所述隔离需求的虚拟机，调离当前物理主机，腾出足够的资源空间，然后根据所述租户模板在该物理主机上部署虚拟机，最终使该租户在逻辑层面独占使用该物理主机，若否，则将该租户再次创建的虚拟机部署在另一物理主机上。

3.根据权利要求2所述的一种异构虚拟化多租户资源隔离调度方法，其特征在于：所述优势租户的判定标准为：根据租户在该物理主机上创建的所有虚拟机的内存占比，cpu占比，存储占比计算租户优先级，租户优先级高，则为优势租户。

4.根据权利要求2所述的一种异构虚拟化多租户资源隔离调度方法，其特征在于：租户在物理主机上完成虚拟机部署后，计算并调整该租户在当前物理主机的租户优先等级。

5.根据权利要求2所述的一种异构虚拟化多租户资源隔离调度方法，其特征在于：所述满足过滤器要求的物理主机出现资源不足的判断过程为：从该物理主机的节点属性，内存空间，硬盘空间与租户模板申请的资源进行对比；若资源满足，根据租户模板要求，将所述虚拟机部署该物理主机上，若资源不足，则启动所述竞争调度机制。

6.根据权利要求1所述的一种异构虚拟化多租户资源隔离调度方法，其特征在于：所述租户创建租户组时，还设置虚拟机命名规则，其包括租户标识、CPU架构以及顺序递增数；所述将虚拟机部署该物理主机上的具体步骤为：资源调度器在该物理主机启动创建指令，根据租户模板要求，创建虚拟机，然后，根据所述虚拟机命名规则，补充虚拟机名称，对虚拟机名字尾数进行顺序递增，避免重复。

7.根据权利要求1所述的一种异构虚拟化多租户资源隔离调度方法，其特征在于：所述虚拟机部署完成后，虚拟机的相关信息同步到openstack数据库；所述过滤器通过数据库检索查询是否存在相同租户标识的虚拟机，若否，则判断该租户为首次创建虚拟机，若是，则为再次创建虚拟机。

8.一种异构虚拟化多租户资源隔离调度设备，其特征在于：包括处理器与存储器，所述存储器中存储有能够被处理器运行的计算机程序，当处理器运行该计算机程序时，实现如权利要求1至7任意一项所述的方法步骤。

9.一种计算机可读存储介质，其特征在于：该计算机可读存储介质中存储有能够被处理器运行的计算机程序，当处理器运行该计算机程序时，实现如权利要求1至7任意一项所述的方法步骤。

Images