CN115828249A - 基于云技术的计算节点及基于云技术的实例管理方法 - Google Patents

Abstract

本申请实施例公开了一种基于云技术的计算节点及基于云技术的实例管理方法，用于提高用户程序和数据的安全性、机密性和完整性并减少对业务性能的影响。该基于云技术的计算节点具体包括宿主机和卸载卡，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上运行有飞地Enclave实例，卸载卡上设置有为Enclave实例分配的可信执行模块，且Enclave实例中设置有应用程序，其中，Enclave实例用于通过通信通道将应用程序产生的机密计算任务发送至可信执行模块；可信执行模块用于处理机密计算任务，并通过通信信道将处理结果返回给Enclave实例。

Description

基于云技术的计算节点及基于云技术的实例管理方法

技术领域

本申请实施例涉及云技术领域，尤其涉及一种基于云技术的计算节点及基于云技术的实例管理方法。

背景技术

云技术目前已经广泛运用于各个领域，例如云服务，云服务的数据环境的安全，关系着云中的数据隐私的安全。

云服务中的数据一般分为三种形态：静态数据、传输中的数据以及使用中的数据，前两者可以通过加密等方式来保障数据安全，对于使用中的数据，目前一般采用机密计算来保护使用中的数据的安全性，其主要在于提供一个可信执行环境(trusted executionenvironment，TEE)，TEE是中央处理器(central processing unit，CPU)内部的安全区域。待处理的机密数据和软件都放置于该TEE中，放置在TEE中的机密数据以及用于处理该机密数据的软件只能由授权的方式访问，保障机密数据的机密性与完整性，减少处理机密数据时软件的攻击面。现有的TEE是基于虚拟机监视程序(virtual machine monitor，VMM)实现的构建，具体的，通过VMM从宿主机中隔离出部分CPU及内存，将隔离出的CPU和内存用于创建TEE。

但是，当宿主机遭受恶意攻击时，例如宿主机的VMM被攻破后，就可以通过VMM访问宿主机中的CPU以及内存，则TEE安全受到影响，TEE的安全性降低，此外TEE会占用宿主机的资源，使宿主机中的业务受到影响。

发明内容

本申请实施例提供一种基于云技术的计算节点，用于提高用户程序和数据的安全性、机密性和完整性并减少对业务性能的影响。本申请实施例还提供了相应的基于云技术的实例管理方法。

本申请第一方面提供一种基于云技术的计算节点，包括宿主机和卸载卡，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上运行有飞地Enclave实例，卸载卡上设置有为Enclave实例分配的可信执行模块，且Enclave实例中设置有应用程序，其中，Enclave实例用于通过通信通道将应用程序产生的机密计算任务发送至可信执行模块；可信执行模块用于处理机密计算任务，并通过通信信道将处理结果返回给Enclave实例。

本申请中的基于云技术的计算节点可以是一个服务器，服务器包括宿主机和卸载卡，宿主机上可以运行一个或多个虚拟机(virtual machine，VM)，并通过虚拟机管理器(Hypervisor)执行，虚拟机管理器又称虚拟机监视器(virtual machine monitor，VMM)，卸载卡是宿主机的标准外接设备，又称智能卡，插置于宿主机并与宿主机建立有通信通道，Enclave实例是一个可信执行环境，也是一个可信隔离空间。

本申请中的卸载卡设置有为Enclave实例分配的可信执行模块，可信执行模块用于执行机密计算，其中Enclave实例中设置有应用程序，在应用过程中，Enclave实例通过通信通道将应用程序产生的机密计算任务发送至可信执行模块，可信执行模块就可以处理机密计算任务，并将处理结果返回给Enclave实例，由此完成了机密计算任务。

该第一方面，基于云技术的计算节点包括宿主机和卸载卡，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上运行有飞地Enclave实例，卸载卡上设置有为Enclave实例分配的可信执行模块，其中，Enclave实例用于将机密计算任务发送至可信执行模块；可信执行模块用于处理机密计算任务，卸载卡上设置的可信执行模块使得TEE中的负责机密计算的可信执行模块与主实例通过宿主机和卸载卡物理隔离，宿主机被攻击后不会影响卸载卡中的可信执行模块的机密计算，从而提高了用户程序和数据的安全性、机密性和完整性，此外卸载卡中的可信执行模块不会占用宿主机的资源，从而降低机密计算对业务性能的影响。

在第一方面的一种可能的实现方式中，宿主机上还运行有主实例，主实例与Enclave实例建立有虚拟通道，Enclave实例还用于通过虚拟通道与主实例进行信息交互。

该种可能的实现方式中，宿主机上还运行有主实例，主实例与Enclave实例建立有虚拟通道，Enclave实例可以通过虚拟通道与主实例进行信息交互，例如通知主实例处理结果，其中虚拟通道可以是vsock通道，可以辅助其他安全加密方案，例如RSA公钥加密等数字签名算法，使得主实例与Enclave实例之间可以安全通信，最大程度缩小攻击面。

在第一方面的一种可能的实现方式中，卸载卡与云管理平台网络连接，卸载卡还用于接收云管理平台发送的主实例创建请求，并通过通信通道通知宿主机创建主实例。

该种可能的实现方式中，卸载卡与云管理平台网络连接，即该基于云技术的计算节点可以应用在云数据中心，用户可以在客户端输入主实例创建请求，通过互联网发送给云管理平台，云管理平台通过数据中心内部网络将主实例创建请求发送给该计算节点的卸载卡中，卸载卡通过通信通道通知宿主机创建主实例，提升了方案的可实现性。

在第一方面的一种可能的实现方式中，主实例还用于基于登录主实例的租户输入的Enclave实例创建命令通知宿主机创建Enclave实例。

该种可能的实现方式中，该计算节点可以共享给多个租户使用，租户在登录主实例后可以输入Enclave实例创建命令通知宿主机创建Enclave实例，提升了方案的可实现性。

在第一方面的一种可能的实现方式中，Enclave实例的数量为1个。

该种可能的实现方式中，一个主实例配置一个Enclave实例，提升了方案的可实现性。

在第一方面的一种可能的实现方式中，Enclave实例的数量为N个,N为大于或等于2的正整数，N个Enclave实例分别处理不同类型的机密计算任务。

该种可能的实现方式中，一个主实例可以配置多个Enclave实例，每个Enclave实例分别处理不同类型的机密计算任务，当主实例启动一个Enclave实例后，该Encalve实例上运行的应用程序会产生对应的机密计算任务，若需要处理特定类型的机密计算任务，主实例只需要启动对应的Encalve实例即可，从而提升了细粒度拆分机密计算任务的能力，保证权限最小化。

在第一方面的一种可能的实现方式中，可信执行模块的数量为N个，且每个可信执行模块分别与互不相同的Enclave实例连接。

该种可能的实现方式中，可信执行模块的数量和Enclave实例的数量相同，每个可信执行模块分别与互不相同的Enclave实例连接，提升了方案的可实现性。

在第一方面的一种可能的实现方式中，一个主实例对应一个可信执行模块。

该种可能的实现方式中，主实例的数量和可信执行模块的数量相同，与一个主实例对应的可信执行模块可以与互不相同的Enclave实例连接以提供服务，提升了方案的可实现性。

在第一方面的一种可能的实现方式中，通信通道包括高速串行计算机扩展总线PCIe通道和计算快速链路CXL通道。

该种可能的实现方式中，通信通道可以是高速串行计算机扩展总线(peripheralcomponent interconnect express，PCIe)通道，也可以是计算快速链路(compute expresslink，CXL)通道，从而提升了宿主机和卸载卡之间的通信速度。

本申请第二方面提供一种基于云技术的实例管理方法，该方法应用于计算节点，计算节点包括宿主机和卸载卡，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上运行有飞地Enclave实例，卸载卡上设置有为Enclave实例分配的可信执行模块，且Enclave实例中设置有应用程序，该方法包括以下步骤：Enclave实例通过通信通道将应用程序产生的机密计算任务发送至可信执行模块；可信执行模块处理机密计算任务，并通过通信信道将处理结果返回给Enclave实例。

本申请中的基于云技术的计算节点可以是一个服务器，服务器包括宿主机和卸载卡，宿主机上可以运行一个或多个虚拟机(virtual machine，VM)，并通过虚拟机管理器(Hypervisor)执行，虚拟机管理器又称虚拟机监视器(virtual machine monitor，VMM)，卸载卡是宿主机的标准外接设备，又称智能卡，插置于宿主机并与宿主机建立有通信通道，Enclave实例是一个可信执行环境，也是一个可信隔离空间。

本申请中的卸载卡设置有为Enclave实例分配的可信执行模块，可信执行模块用于执行机密计算，其中Enclave实例中设置有应用程序，在应用过程中，Enclave实例通过通信通道将应用程序产生的机密计算任务发送至可信执行模块，可信执行模块就可以处理机密计算任务，并将处理结果返回给Enclave实例，由此完成了机密计算任务。

该第二方面，基于云技术的实例管理方法应用于计算节点，计算节点包括宿主机和卸载卡，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上运行有飞地Enclave实例，卸载卡上设置有为Enclave实例分配的可信执行模块，该方法包括：Enclave实例将机密计算任务发送至可信执行模块；可信执行模块处理机密计算任务，卸载卡上设置的可信执行模块使得TEE中的负责机密计算的可信执行模块与主实例通过宿主机和卸载卡物理隔离，宿主机被攻击后不会影响卸载卡中的可信执行模块的机密计算，从而提高了用户程序和数据的安全性、机密性和完整性，此外卸载卡中的可信执行模块不会占用宿主机的资源，从而降低机密计算对业务性能的影响。

在第二方面的一种可能的实现方式中，宿主机上还运行有主实例，主实例与Enclave实例建立有虚拟通道，Enclave实例用于通过虚拟通道与主实例进行信息交互，该方法还包括：Enclave实例通过虚拟通道通知主实例处理结果。

该种可能的实现方式中，宿主机上还运行有主实例，主实例与Enclave实例建立有虚拟通道，Enclave实例可以通过虚拟通道与主实例进行信息交互，例如通知主实例处理结果，其中虚拟通道可以是vsock通道，可以辅助其他安全加密方案，例如RSA公钥加密等数字签名算法，使得主实例与Enclave实例之间可以安全通信，最大程度缩小攻击面。

在第二方面的一种可能的实现方式中，卸载卡与云管理平台网络连接，该方法还包括：卸载卡接收云管理平台发送的主实例创建请求，并通过通信通道通知宿主机创建主实例。

该种可能的实现方式中，卸载卡还与云管理平台网络连接，即该基于云技术的实例管理方法可以应用在云数据中心，用户可以在客户端输入主实例创建请求，通过互联网发送给云管理平台，云管理平台通过数据中心内部网络将主实例创建请求发送给该计算节点的卸载卡中，卸载卡通过通信通道通知宿主机创建主实例，提升了方案的可实现性。

在第二方面的一种可能的实现方式中，该方法还包括：主实例基于登录主实例的租户输入的Enclave实例创建命令通知卸载卡创建Enclave实例和可信执行模块。

该种可能的实现方式中，该计算节点可以共享给多个租户使用，租户在登录主实例后可以输入Enclave实例创建命令通知卸载卡创建Enclave实例和可信执行模块，提升了方案的可实现性。

在第二方面的一种可能的实现方式中，Enclave实例的数量为1个。

该种可能的实现方式中，一个主实例配置一个Enclave实例，提升了方案的可实现性。

在第二方面的一种可能的实现方式中，Enclave实例的数量为N个,N为大于或等于2的正整数，N个Enclave实例分别处理不同类型的机密计算任务。

该种可能的实现方式中，一个主实例可以配置多个Enclave实例，每个Enclave实例分别处理不同类型的机密计算任务，当主实例启动一个Enclave实例后，该Encalve实例上运行的应用程序会产生对应的机密计算任务，若需要处理特定类型的机密计算任务，主实例只需要启动对应的Encalve实例即可，从而提升了细粒度拆分机密计算任务的能力，保证权限最小化。

在第二方面的一种可能的实现方式中，可信执行模块的数量为N个，且每个可信执行模块分别与互不相同的Enclave实例连接。

该种可能的实现方式中，可信执行模块的数量和Enclave实例的数量相同，每个可信执行模块分别与互不相同的Enclave实例连接，提升了方案的可实现性。

在第二方面的一种可能的实现方式中，一个主实例对应一个可信执行模块。

该种可能的实现方式中，主实例的数量和可信执行模块的数量相同，与一个主实例对应的可信执行模块可以与互不相同的Enclave实例连接以提供服务，提升了方案的可实现性。

在第二方面的一种可能的实现方式中，通信通道包括高速串行计算机扩展总线PCIe通道和计算快速链路CXL通道。

该种可能的实现方式中，通信通道可以是高速串行计算机扩展总线通道，也可以是计算快速链路通道，从而提升了宿主机和卸载卡之间的通信速度。

本申请实施例中，基于云技术的计算节点包括宿主机和卸载卡，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上运行有飞地Enclave实例，卸载卡上设置有为Enclave实例分配的可信执行模块，其中，Enclave实例用于将机密计算任务发送至可信执行模块；可信执行模块用于处理机密计算任务，卸载卡上设置的可信执行模块使得TEE中的负责机密计算的可信执行模块与主实例通过宿主机和卸载卡物理隔离，宿主机被攻击后不会影响卸载卡中的可信执行模块的机密计算，从而提高了TEE的安全性，此外卸载卡中的可信执行模块不会占用宿主机的资源，从而降低机密计算对业务性能的影响。

附图说明

图1为云数据中心的架构图；

图2为本申请实施例提供的基于云技术的计算节点的一个实施例的软件层示意图；

图3为本申请实施例提供的基于云技术的计算节点的一个实施例的硬件层示意图；

图4为本申请实施例提供的基于云技术的计算节点的另一实施例的硬件层示意图；

图5为本申请实施例提供的基于云技术的实例管理方法的一个实施例示意图；

图6为本申请实施例提供的基于云技术的实例管理方法的另一实施例示意图。

具体实施方式

下面结合附图，对本申请的实施例进行描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。本领域普通技术人员可知，随着技术发展和新场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

本申请实施例提供一种基于云技术的计算节点，用于提高用户程序和数据的安全性、机密性和完整性并减少对业务性能的影响。本申请实施例还提供了相应的基于云技术的实例管理方法。以下分别进行详细说明。

如图1所示，云数据中心包括云管理平台、数据中心内部网络和多个服务器，每个服务器都相同，例如服务器1和服务器2，服务器1和服务器2通过其网卡和数据中心内部网络和云管理平台完成信息交互，云管理平台通过互联网和客户端完成信息交互，其中网卡安装在卸载卡上，卸载卡又称智能卡，是服务器的标准外接设备，每台服务器都会配备该卸载卡。服务器还包括宿主机，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上可以运行一个或多个虚拟机(virtual machine，VM)，例如虚拟机1和虚拟机2，虚拟机也可称为云服务器(elastic compute service,ECS)或弹性实例等，宿主机通过虚拟机管理器(Hypervisor)执行，虚拟机管理器又称虚拟机监视器(virtual machine monitor，VMM)。

具体的，云管理平台提供访问接口(如界面或API)，租户可操作客户端远程接入访问接口在云管理平台注册云账号和密码，并登录云管理平台，云管理平台对云账号和密码鉴权成功后，租户可进一步在云管理平台付费选择并购买特定规格(处理器、内存、磁盘)的虚拟机，付费购买成功后，云管理平台提供所购买的虚拟机的远程登录账号密码，客户端可远程登录该虚拟机，在该虚拟机中安装并运行租户的应用。云管理平台客户端接收云管理平台发送的控制面命令，根据控制面控制命令在服务器上创建并对虚拟机进行全生命周期管理，因此，租户可通过云管理平台在云数据中心中创建、管理、登录和操作虚拟机。

在应用程序可以处理数据之前，一般情况下必须先在内存中对数据进行解密。这使得数据在内存处理中变得容易受到攻击。机密计算通常利用基于硬件的可信执行环境(trusted execution environment，TEE)来解决此问题，TEE是CPU内部的安全区域。使用嵌入式加密密钥和嵌入式证明机制确保TEE的安全，以确保密钥只能由授权的应用程序代码访问。如果恶意软件或其他未经授权的代码尝试访问密钥-或授权的代码被黑客入侵或以任何方式更改TEE将拒绝访问密钥并取消计算。这样，敏感数据可以在内存中保持受保护状态，直到应用程序告诉TEE对其解密以进行处理。在解密过程中以及整个计算过程中，操作系统或VM中的VMM，其他计算堆栈资源以及云提供商及其员工看不到数据。

机密计算可以保护使用中的敏感数据。当与静态数据加密一起使用以及通过密钥的独占控制进行传输时，机密计算消除了将敏感或高度管制的数据集和应用程序工作负载从不灵活、昂贵的本地互联网技术(internet technology，IT)基础架构迁移到更加灵活和现代的公有云平台的最大障碍。

机密计算可以保护知识产权。机密计算不仅用于数据保护。TEE还可以用于保护专有业务逻辑、分析功能、机器学习算法或整个应用程序。

机密计算可以使得新的云解决方案上与合作伙伴安全地进行协作。例如，一家公司可以将其敏感数据与另一家公司的专有计算相结合，以创建新的解决方案，而无需任何公司共享任何其不希望共享的数据或知识产权。

机密计算可以消除选择云提供商时的担忧。机密计算使公司可以选择最能满足其技术和业务要求的云计算服务，而不必担心存储和处理客户数据、专有技术和其他敏感资产。如果云提供商还提供竞争性业务服务，这也有助于减轻任何其他竞争问题。

机密计算可以保护在边缘处理的数据。边缘计算是一种分布式计算框架，可使企业应用程序更靠近数据源，例如物联网(internet of things，IoT)设备或本地边缘服务器。当将其用作分布式云模式的一部分时，可以使用机密计算保护边缘节点上的数据和应用程序。

下面结合上述云数据中心的架构和机密计算的概念对本申请实施例提供的基于云技术的计算节点进行描述。

如图2所示，本申请实施例提供的基于云技术的计算节点一实施例包括宿主机100和卸载卡200，卸载卡200插置于宿主机100并与宿主机100建立有通信通道，宿主机100上运行有飞地Enclave实例120，卸载卡200上还设置有为Enclave实例120分配的可信执行模块210，且Enclave实例120中设置有应用程序，其中，Enclave实例120的数量为1个，通信通道可以是高速串行计算机扩展总线(peripheral component interconnect express，PCIe)通道，也可以是计算快速链路(compute express link，CXL)通道。

进一步的，宿主机100上还运行有主实例110，主实例110与Enclave实例120建立有虚拟通道，Enclave实例120还用于通过虚拟通道与主实例110进行信息交互，例如通知主实例110处理结果。

具体的，宿主机100还包括虚拟机管理器140和实例模拟器前端模块130，实例模拟器前端模块130模拟的实例是一个抽象概念，不限于虚拟机、容器和函数等，实例模拟器前端模块130用于模拟计算机设备的各种芯片组、虚拟机内中央处理器(central processingunit，CPU)的生命周期管理、虚拟机退出(VM Exit)等与虚拟机业务强相关的逻辑处理，实例模拟器前端模块130具体包括智能控制模块131、隔离通信模块132和飞地安全模块133，智能控制模块131用来进行Enclave实例120的生命周期控制相关的通道，包括但不限于PCIe设备、虚拟化IO处理协议(virtual IO，VirtIO)设备等，同时负责从主实例110中隔离出独立的CPU和内存供Enclave实例120使用。隔离通信模块132是用来连接主实例110与Enclave实例120安全的通信通道，具有完善的安全控制，同时是闭环连接(end to end)，不会扩散虚拟机管理器140本身的攻击面，是一条安全连接通道。飞地安全模块133用来给供Enclave实例120完成可信执行环境命令相关操作，用来将Enclave实例120中需要进行的安全相关命令和消息的传递，飞地安全模块133同时支持虚拟设备及真实物理设备，包括物理功能(physical function，PF)、虚拟功能(virtual function，VF)及不支持将PCIe共享给虚拟机的标准(single root I/Ovirtualization，SR-IOV)的端点(endpoint)设备。实例模拟器前端模块130还包括与其用途相关的其他模块，本申请实施例对此不作限制。

卸载卡200还包括管控面逻辑组件230和实例模拟器后端模块220。管控面逻辑组件230内部包括多个组件，比如跟虚拟机生命周期相关的组件，如开源的OpenStack(一个开源的云计算管理平台项目)的组件Nova、libvirt(用于管理虚拟化平台的组件)，kubernetes(用于管理云平台中多个主机上的容器化的应用),以及系统安装、升级、部署、运维相关的组件，实例模拟器后端模块220内的模块与实例模拟器前端模块130一一对应，本申请实施例不再赘述。

更具体的，智能控制模块131包括生命周期管理模块1311、内存隔离模块1312、CPU隔离模块1313和虚拟设备模拟模块1314。生命周期管理模块1311用来进行Enclave实例120的创建、销毁和改配等操作，同时负责与实例模拟器后端模块220的连接管理，内存隔离模块1312用于进行内存隔离的操作，需要与虚拟机管理器140配合工作，保证主实例110的用户或者模拟程序完全无权限访问Enclave实例120的内存，CPU隔离模块1313用于进行CPU隔离操作，需要与虚拟机管理器140配合工作，保证主实例110的用户或者模拟程序完全无权限使用Enclave实例120所独立使用的CPU，虚拟设备模拟模块1314用于进行主实例110命令通道的设备的模拟，可以是VirtIO设备或其他任何外设组件互连标准(peripheralcomponent interconnect，PCI)设备、内存映射(memory-mapped I/O，MMIO)模拟设备等。

隔离通信模块132包括控制设备模块1321、无主通信管理模块1322和权限管理模块1323。控制设备模块1321主要用于将主实例110和Enclave实例120建立安全的内部通道连接，该通道可以是VirtIO设备、网卡设备和共享内存设备等，无主通信管理模块1322针对高安全场景，不使用虚拟机管理器140的功能，直接在主实例110和Enclave实例120间进行端到端的通信，不会扩大虚拟机管理器140的攻击面，同时也保证Enclave实例120的绝对安全，权限管理模块1323用于对通信通道的权限进行控制管理，保证无其他异常用户或者逃逸的攻击者能够访问该通信通道。

飞地安全模块133包括设备管理模块1331、后端通信管理模块1332、资源管理模块1333和安全信息封装模块1334。设备管理模块1331用于轻量级可信执行环境的模拟，同时包括安全模块设备的设备管理功能、虚拟安全模块设备或者直通真实的模块设备。后端通信管理模块1332与卸载卡200的可信执行模块210建立连接，传递Enclave实例120的请求和响应信息，资源管理模块1333负责整个Enclave实例120的管理资源分配或者释放等，安全信息封装模块1334将Enclave实例120下发的请求进行安全封装，该安全信息封装模块1334是可选的，某些场景不需要，如直通场景。

可信执行模块210包括消息管理模块211、安全处理模块212和硬件加速模块213。消息管理模块211用于跟实例模拟器前端模块130进行握手连接，包括通信通道的建立、自动重连和消息的分发等。安全处理模块212用于进行机密计算任务相关的安全操作处理，如加解密、随机数生成处理和证书生成逻辑等。硬件加速模块213用于使能安全芯片或者TEE的能力，将一些机密的信息，如密钥、平台配置寄存器(platform configurationregister，PCR)的值等存放在硬件中，或者使用硬件加速安全操作。整个可信执行模块220可以整体或者部分放置在TEE中，从而构筑完全隔离的机密计算环境。

如图3所示，对于硬件层面来说，宿主机310包括CPU311、内存312和根复用器(rootcomplex，RC)芯片313。其中RC芯片313为PCIe规范中定义的芯片，其作用是为宿主机310的CPU311提供向外部设备发送和接收PCIe消息的硬件接口。宿主机310与卸载卡320之间采用标准规范PCIe协议进行互联，即通信通道为PCIe通道，此外通信通道还可以是CXL通道，此时RC芯片313可以进行替换。

卸载卡320包括CPU321、内存322、端点(end point，EP)芯片323和安全芯片324。其中EP芯片324为PCIe规范中定义的芯片，其作用是作为外设接口向宿主机310发送和接收PCIe消息，即通信通道为PCIe通道，此外通信通道还可以是CXL通道，此时EP芯片323可以进行替换。此外安全芯片324可以是TEE安全芯片，CPU321中也可以设置该TEE安全芯片，从而通过硬件进一步强化机密计算的安全性。

在应用时，Enclave实例上运行的应用程序(application，APP)产生机密计算任务，应用程序是用户自开发的，即用户根据自身的机密计算需求预先创建好应用程序，机密计算任务具体可以是获取随机数或者获取密钥信息等，然后Enclave实例发送机密计算任务给可信执行模块，具体为Enclave实例将机密计算任务发给实例模拟器前端模块的飞地安全模块，飞地安全模块接收到机密计算任务后解析机密计算任务中管理使用的头部信息而不解析具体机密计算任务内容，飞地安全模块继续调用后端通信管理模块，将组装完的机密计算任务的请求通过安全的通信通道发送到卸载卡的可信执行模块，可信执行模块接收到机密计算任务的请求之后，通过安全处理模块进行解析处理，可信执行模块可以根据机密计算任务的类别，调用硬件加速模块的相应逻辑进行加速处理，可信执行模块得到处理结果后将处理结果返回给Enclave实例，具体为先返回给实例模拟器前端模块的飞地安全模块，飞地安全模块收到处理结果，将处理结果发给Enclave实例，最后Enclave实例还可以通过虚拟通道通知主实例处理结果，完成机密计算任务。

进一步的，若处理机密计算任务时需要从外部获取参数，Enclave实例可以通过虚拟通道和主实例进行通信，将主实例作为代理从外部网络中获取这些参数。

此外，在该计算节点出现故障时，宿主机和智能卡可以整体一起迁移到其他的计算节点，保证云服务的可迁移性和虚拟化的弹性，在热迁移裸金属服务器的过程中不消耗裸金属服务器的资源，如CPU、内存等，且不影响租户业务性能，如性能抖动。

本申请实施例中，基于云技术的计算节点包括宿主机和卸载卡，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上运行有飞地Enclave实例，卸载卡上设置有为Enclave实例分配的可信执行模块，其中，Enclave实例用于将机密计算任务发送至可信执行模块；可信执行模块用于处理机密计算任务，卸载卡上设置的可信执行模块使得TEE中的负责机密计算的可信执行模块与主实例通过宿主机和卸载卡物理隔离，宿主机被攻击后不会影响卸载卡中的可信执行模块的机密计算，从而提高了用户程序和数据的安全性、机密性和完整性，此外卸载卡中的可信执行模块不会占用宿主机的资源，从而降低机密计算对业务性能的影响。

如图4所示，本申请实施例提供的基于云技术的计算节点另一实施例中，卸载卡420还与云管理平台404网络连接，即该计算节点400应用于数据中心400。

对于硬件层面来说，宿主机410包括CPU411、内存412和根复用器(root complex，RC)芯片413。其中RC芯片413为PCIe规范中定义的芯片，其作用是为宿主机410的CPU411提供向外部设备发送和接收PCIe消息的硬件接口。宿主机410与卸载卡420之间采用标准规范PCIe协议进行互联，即通信通道为PCIe通道，此外通信通道还可以是CXL通道，此时RC芯片413可以进行替换。卸载卡420包括CPU421、内存422、端点(end point，EP)芯片423和安全芯片424。其中EP芯片424为PCIe规范中定义的芯片，其作用是作为外设接口向宿主机410发送和接收PCIe消息，即通信通道为PCIe通道，此外通信通道还可以是CXL通道，此时EP芯片423可以进行替换。此外安全芯片424可以是TEE安全芯片，CPU421中也可以设置该TEE安全芯片，从而通过硬件进一步强化机密计算的安全性。

此外，卸载卡420还包括网卡425，卸载卡420通过网卡425连接全局存储资源和网络资源。具体的，网卡425可以通过数据中心内部网络403与云管理平台404连接，数据中心内部网络403还可以和其他计算节点402的网卡连接，云管理平台404通过互联网405和客户端406连接，本申请实施例中的云管理平台客户端卸载在卸载卡420的网卡425中，即外部的用户不会和宿主机410直接进行通信，而是通过卸载卡420和宿主机410进行安全通信。

在执行机密计算任务前，用户需要创建主实例和Enclave实例，卸载卡接收云管理平台发送的主实例创建请求，并通过通信通道通知宿主机创建主实例。主实例基于登录主实例的租户输入的Enclave实例创建命令通知宿主机创建Enclave实例，主实例还基于Enclave实例创建命令通知卸载卡创建可信执行模块。

具体的，管理员或用户可以发送主实例创建请求，因云管理平台客户端卸载在卸载卡上，卸载卡的管理组件会最先收到云管理平台发送的主实例创建请求，然后组装对应主实例的配置文件，该配置文件包括CPU类型、CPU数量，内存大小，磁盘、网卡和鼠标等等，配置文件组装完毕之后，卸载卡通过通信通道通知宿主机创建主实例，即将配置文件和主实例创建请求发送给宿主机，宿主机会根据配置文件的内容启动实例模拟器前端模块，调用实例模拟器前端模块的虚拟设备模拟模块工作，启动后卸载卡也会紧接着启动实例模拟器后端模块，并与实例模拟器前端模块建立连接通道，用于后续消息的传递，由此完成主实例的创建，主实例开始工作。

用户在购买主实例后成为租户，租户可以登录主实例，在主实例的界面或者在主实例的创建过程中选择Enclave，由此通过Enclave工具在主实例发起Enclave实例创建命令，Enclave实例创建命令包括Enclave实例需要的CPU数量和内存大小等信息，主实例的实例模拟器前端模块的智能命令控制模块的生命周期管理模块接收到Enclave实例创建命令，会解析Enclave实例创建命令的参数，做好启动前准备，然后智能控制模块根据参数情况调用内存隔离模块，与虚拟机管理器配合，从主实例中隔离出相应大小的内存，智能控制模块还会根据参数情况调用CPU隔离模块，与虚拟机管理器配合，从主实例中划分出对应的CPU资源供Enclave实例独享使用，然后生命周期管理模块启动宿主机的Enclave实例，调用飞地安全模块的设备管理模块进行设备模拟。然后主实例的实例模拟器前端模块通过通信通道通知卸载卡的实例模拟器后端模块启动构建可信执行环境，实例模拟器后端模块拉起可信执行模块，并使用消息管理模块与宿主机的Enclave实例建立安全连接，此时Enclave实例和可信执行模块开始工作，可以执行后续的机密计算任务。

进一步的，Enclave实例的数量为N个,N为大于或等于2的正整数，N个Enclave实例分别处理不同类型的机密计算任务，同时卸载卡上的可信执行模块的数量也为N个，且每个可信执行模块分别与互不相同的Enclave实例连接，即每个Enclave实例连接有一个可信执行模块。执行机密计算任务时，当主实例启动一个Enclave实例后，该Encalve实例上运行的应用程序会产生对应的机密计算任务，若需要处理特定类型的机密计算任务，主实例只需要启动对应的Encalve实例即可。此外，一个主实例还可以对应一个可信执行模块，主实例和可信执行模块的数量相同，与一个主实例对应的可信执行模块可以与互不相同的Enclave实例连接以提供服务。

本申请实施例中，该计算节点应用于云数据中心，卸载卡还与云管理平台网络连接，从而创建主实例和Enclave实例，提升了方案的可实现性，此外Enclave实例的数量为多个，提升了细粒度拆分机密计算任务的能力，保证权限最小化。

如图5所示，本申请实施例提供的基于云技术的实例管理方法一实施例中，该方法包括：

501、Enclave实例通过通信通道将应用程序产生的机密计算任务发送至可信执行模块。

502、可信执行模块处理机密计算任务，并通过通信信道将处理结果返回给Enclave实例。

该基于云技术的实例管理方法应用于计算节点，计算节点包括宿主机和卸载卡，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上上运行有飞地Enclave实例，卸载卡上还设置有为Enclave实例分配的可信执行模块，且Enclave实例中设置有应用程序，其中Enclave实例的数量为1个，通信通道包括高速串行计算机扩展总线PCIe通道和计算快速链路CXL通道。

计算节点的Enclave实例通过通信通道将应用程序产生的机密计算任务发送至可信执行模块，计算节点的可信执行模块处理机密计算任务，并将处理结果返回给Enclave实例，完成机密计算任务，本申请实施例提供的基于云技术的实例管理方法具体实施方式可以参照前述的关于基于云技术的计算节点的描述，本申请实施例不再赘述。

本申请实施例中，基于云技术的实例管理方法应用于计算节点，计算节点包括宿主机和卸载卡，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上运行有飞地Enclave实例，卸载卡上设置有为Enclave实例分配的可信执行模块，该方法包括：Enclave实例将机密计算任务发送至可信执行模块；可信执行模块处理机密计算任务，卸载卡上设置的可信执行模块使得TEE中的负责机密计算的可信执行模块与主实例通过宿主机和卸载卡物理隔离，宿主机被攻击后不会影响卸载卡中的可信执行模块的机密计算，从而提高了用户程序和数据的安全性、机密性和完整性，此外卸载卡中的可信执行模块不会占用宿主机的资源，从而降低机密计算对业务性能的影响。

如图6所示，本申请实施例提供的基于云技术的实例管理方法另一实施例中，该方法包括：

601、卸载卡接收云管理平台发送的主实例创建请求，并通过通信通道通知宿主机创建主实例。

602、主实例基于登录主实例的租户输入的Enclave实例创建命令通知卸载卡创建Enclave实例。

603、主实例基于Enclave实例创建命令通知卸载卡创建可信执行模块。

604、Enclave实例通过通信通道将应用程序产生的机密计算任务发送至可信执行模块。

605、可信执行模块处理机密计算任务，并将处理结果返回给Enclave实例。

606、Enclave实例通过虚拟通道通知主实例处理结果。

该基于云技术的实例管理方法应用于计算节点，计算节点包括宿主机和卸载卡，卸载卡插置于宿主机并与宿主机建立有通信通道，宿主机上运行有飞地Enclave实例，卸载卡上还设置有为Enclave实例分配的可信执行模块，且Enclave实例中设置有应用程序，宿主机上运行有主实例，主实例与Enclave实例建立有虚拟通道，Enclave实例用于通过虚拟通道与主实例进行信息交互，卸载卡与云管理平台网络连接，Enclave实例的数量为N个,N为大于或等于2的正整数，N个Enclave实例分别处理不同类型的机密计算任务，可信执行模块的数量为N个，且每个可信执行模块分别与互不相同的Enclave实例连接，其中通信通道包括高速串行计算机扩展总线PCIe通道和计算快速链路CXL通道。此外，一个主实例还可以对应一个可信执行模块，主实例和可信执行模块的数量相同，与一个主实例对应的可信执行模块可以与互不相同的Enclave实例连接以提供服务。

计算节点的卸载卡接收云管理平台发送的主实例创建请求，并通过通信通道通知宿主机创建主实例，然后计算节点的主实例基于登录主实例的租户输入的Enclave实例创建命令通知卸载卡创建Enclave实例，并基于Enclave实例创建命令通知卸载卡创建可信执行模块，计算机节点的主实例若需要进行某种机密计算任务，则只需要启动与该机密计算任务对应的Enclave实例，计算节点的Enclave实例通过通信通道将Enclave实例上运行的应用程序产生的机密计算任务发送至可信执行模块，计算节点的可信执行模块处理机密计算任务，并将处理结果返回给Enclave实例，最后计算节点的Enclave实例通过虚拟通道通知主实例处理结果，完成机密计算任务，本申请实施例提供的基于云技术的实例管理方法具体实施方式可以参照前述的关于基于云技术的计算节点的描述，本申请实施例不再赘述。

本申请实施例中，基于云技术的实例管理方法应用于计算节点，该计算节点应用于云数据中心，卸载卡还与云管理平台网络连接，从而创建主实例和Enclave实例，提升了方案的可实现性，此外Enclave实例的数量为多个，提升了细粒度拆分机密计算任务的能力，保证权限最小化。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的方法的具体工作过程，可以参考前述单元实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，read-onlymemory)、随机存取存储器(RAM，random access memory)、磁碟或者光盘等各种可以存储程序代码的介质。

Claims (18)

1.一种基于云技术的计算节点，其特征在于，包括宿主机和卸载卡，所述卸载卡插置于所述宿主机并与所述宿主机建立有通信通道，所述宿主机上运行有飞地Enclave实例，所述卸载卡上设置有为所述Enclave实例分配的可信执行模块，且所述Enclave实例中设置有应用程序，其中，

所述Enclave实例，用于通过所述通信通道将所述应用程序产生的机密计算任务发送至所述可信执行模块；

所述可信执行模块，用于处理所述机密计算任务，并通过所述通信信道将处理结果返回给所述Enclave实例。

2.根据权利要求1所述的计算节点，其特征在于，所述宿主机上还运行有主实例，所述主实例与所述Enclave实例建立有虚拟通道，其中：

所述Enclave实例，还用于通过所述虚拟通道与所述主实例进行信息交互。

3.根据权利要求2所述的计算节点，其特征在于，所述卸载卡与云管理平台网络连接，其中：

所述卸载卡，用于接收所述云管理平台发送的主实例创建请求，并通过所述通信通道通知所述宿主机创建所述主实例。

4.根据权利要求2所述的计算节点，其特征在于，

所述主实例，还用于基于登录所述主实例的租户输入的Enclave实例创建命令通知所述宿主机创建所述Enclave实例。

5.根据权利要求4所述的计算节点，其特征在于，

所述主实例，还用于基于所述Enclave实例创建命令通知所述卸载卡创建所述可信执行模块。

6.根据权利要求1至5任一项所述的计算节点，其特征在于，所述Enclave实例的数量为1个。

7.根据权利要求2至5任一项所述的计算节点，其特征在于，所述Enclave实例的数量为N个,N为大于或等于2的正整数，所述N个Enclave实例分别处理不同类型的机密计算任务。

8.根据权利要求7所述的计算节点，其特征在于，所述可信执行模块的数量为N个，且每个所述可信执行模块通过所述通信信道分别与互不相同的Enclave实例连接。

9.根据权利要求1至8任一项所述的计算节点，其特征在于，所述通信通道包括高速串行计算机扩展总线PCIe通道和CXL通道。

10.一种基于云技术的实例管理方法，其特征在于，所述方法应用于计算节点，所述计算节点包括宿主机和卸载卡，所述卸载卡插置于所述宿主机并与所述宿主机建立有通信通道，所述宿主机上运行有飞地Enclave实例，所述卸载卡上设置有为所述Enclave实例分配的可信执行模块，且所述Enclave实例中设置有应用程序，所述方法包括以下步骤：

所述Enclave实例通过所述通信通道将所述应用程序产生的机密计算任务发送至所述可信执行模块；

所述可信执行模块处理所述机密计算任务，并通过所述通信信道将处理结果返回给所述Enclave实例。

11.根据权利要求10所述的方法，其特征在于，所述宿主机上还运行有主实例，所述主实例与所述Enclave实例建立有虚拟通道，所述Enclave实例用于通过所述虚拟通道与所述主实例进行信息交互，所述方法还包括：

所述Enclave实例通过所述虚拟通道通知所述主实例所述处理结果。

12.根据权利要求11所述的方法，其特征在于，所述卸载卡与云管理平台网络连接，所述方法还包括：

所述卸载卡接收所述云管理平台发送的主实例创建请求，并通过所述通信通道通知所述宿主机创建所述主实例。

13.根据权利要求11所述的方法，其特征在于，所述方法还包括：

所述主实例基于登录所述主实例的租户输入的Enclave实例创建命令通知所述宿主机创建所述Enclave实例。

14.根据权利要求13所述的方法，其特征在于，所述方法还包括：

所述主实例基于所述Enclave实例创建命令通知所述卸载卡创建所述可信执行模块。

15.根据权利要求10至14任一项所述的方法，其特征在于，所述Enclave实例的数量为1个。

16.根据权利要求11至14任一项所述的方法，其特征在于，所述Enclave实例的数量为N个,N为大于或等于2的正整数，所述N个Enclave实例分别处理不同类型的机密计算任务。

17.根据权利要求16所述的方法，其特征在于，所述可信执行模块的数量为N个，且每个所述可信执行模块通过所述通信信道分别与互不相同的Enclave实例连接。

18.根据权利要求10至17任一项所述的方法，其特征在于，所述通信通道包括高速串行计算机扩展总线PCIe通道和CXL通道。

Images