Hsm会话管理方法、管理虚拟机和服务器的制造方法
【技术领域】
[0001]本发明涉及计算机信息技术领域，尤其涉及一种HSM(Hardware SecurityModule，硬件安全模块)会话管理方法、管理虚拟机和服务器。
【背景技术】
[0002]硬件安全模块HSM是一种进行密钥生成、存储、保护和加速密码运算等安全操作的安全硬件，服务器通过HSM执行上述安全功能。
[0003]在云服务环境中，会对服务器进行虚拟化，即将一个服务器虚拟化为多个虚拟机。在现有技术中，一个服务器的硬件层中会设置有多个HSM，在创建虚拟机时，人为地通过PCI (Personal Computer Interface,个人电脑接口)直通技术为每个虚拟机分别绑定一个HSM,该虚拟机的安全功能由其对应的HSM执行。
[0004]但是，在为一个虚拟机绑定了一个HSM后，该虚拟机的操作请求都会通过所绑定的HSM进行处理，而其他的虚拟机无法使用该HSM，降低了 HSM使用的灵活性。
【发明内容】
[0005]本发明所要解决的技术问题在于提供一种HSM会话管理方法、管理虚拟机和服务器，能够提高HSM使用的灵活性。
[0006]第一方面，本发明提供了一种HSM会话管理方法，应用于服务器，所述服务器包括至少一个物理HSM ;所述服务器运行有虚拟机和管理虚拟机；所述虚拟机包括应用模块和虚拟硬件安全模块vHSM，在所述应用模块和所述vHSM之间建立有虚拟会话；
[0007]所述方法，包括:
[0008]当所述管理虚拟机接收所述vHSM所转发的第一操作请求时，所述管理虚拟机根据预设的选择策略，从所述物理HSM中选择一个初始物理HSM并与所述初始物理HSM建立物理会话，所述第一操作请求是所述vHSM从所述应用模块接收的；
[0009]所述管理虚拟机根据所述第一操作请求确定所述vHSM对应的第一虚拟会话；
[0010]所述管理虚拟机建立所述第一虚拟会话和所述物理会话的映射关系；
[0011]所述管理虚拟机根据所述映射关系将所述第一操作请求转发给所述初始物理HSM,以使所述初始物理HSM处理所述第一操作请求；
[0012]当所述管理虚拟机在预设时间内没有接收到所述vHSM发送的下一个操作请求时，所述管理虚拟机结束所述物理会话并清除所述映射关系。
[0013]结合本发明的第一方面，在本发明第一方面的第一种可能的实现方式中，所述管理虚拟机根据预设的选择策略，从所述物理HSM中选择一个初始物理HSM并与所述初始物理HSM建立物理会话，包括:
[0014]所述管理虚拟机获取至少一个物理HSM的负载；
[0015]所述管理虚拟机将所述至少一个物理HSM中的负载小于第一负载预设值的物理HSM作为初始物理HSM ；
[0016]所述管理虚拟机与所述初始物理HSM建立物理会话。
[0017]结合本发明第一方面的第一种可能的实现方式，在本发明第一方面的第二种可能的实现方式中，所述服务器包括至少两个虚拟机；所述至少两个虚拟机中的vHSM分别与所述至少两个虚拟机中的应用模块建立第二虚拟会话，相对应的，所述管理虚拟机分别与所述至少一个物理HSM建立物理会话，所述建立物理会话的物理HSM为第一物理HSM ;所述管理虚拟机分别建立所述第二虚拟会话和所述第二虚拟会话所对应的物理会话之间的映射关系;
[0018]所述方法还包括:
[0019]所述管理虚拟机获取所述第一物理HSM的负载；
[0020]当所述第一物理HSM的负载大于第二负载预设值时，所述管理虚拟机按照预设顺序从所述物理会话中选择一个物理会话进行关闭，其中，所述第二负载预设值大于所述第一负载预设值，与所述关闭的物理会话对应的虚拟会话为第三虚拟会话；
[0021]所述管理虚拟机存储所述第三虚拟会话的上下文信息。
[0022]结合本发明第一方面的第二种可能的实现方式，在本发明第一方面的第三种可能的实现方式中，所述管理虚拟机按照预设顺序从所述物理会话中选择一个物理会话并进行关闭之后，还包括:
[0023]所述管理虚拟机将所述处于物理会话的物理HSM中的负载小于第一负载预设值的物理HSM作为目标物理HSM ；
[0024]所述管理虚拟机与所述目标物理HSM建立第三物理会话；
[0025]所述管理虚拟机建立所述第三虚拟会话和所述第三物理会话的第一映射关系；
[0026]当根据所述第三虚拟会话的上下文信息确定存在未完成的操作请求时，所述管理虚拟机通过所述第一映射关系向所述目标物理HSM发送所述未完成的操作请求，以使所述目标物理HSM恢复对于所述未完成的操作请求的处理。
[0027]结合本发明的第一方面或第一方面的第一种实现方式或第一方面的第二种实现方式或第一方面的第三种实现方式，在本发明第一方面的第四种可能的实现方式中，在所述管理虚拟机基于所述映射关系，将所述操作请求转发给所述初始物理HSM，以便于通过所述初始物理HSM处理所述操作请求之后,还包括:
[0028]所述管理虚拟机检测是否存在虚拟机迁移事件；
[0029]当检测到存在虚拟机迁移事件时，所述管理虚拟机存储需要迁移的虚拟机中的虚拟会话的上下文信息；
[0030]所述管理虚拟机将所述需要迁移的虚拟机中的虚拟会话的上下文信息发送给目标服务器，以便于所述目标服务器根据所述上下文信息恢复所述需要迁移的虚拟机。
[0031]第二方面，本发明提供了一种管理虚拟机，运行于服务器中，所述服务器设置有至少一个物理硬件安全模块HSM ;所述服务器还运行有虚拟机；在所述虚拟机中设置有应用模块和虚拟硬件安全模块vHSM，在所述应用模块和所述vHSM之间建立有虚拟会话；
[0032]所述管理虚拟机包括；
[0033]接收单元，用于接收所述vHSM所转发的所述第一操作请求，所述第一操作请求由是所述vHSM从所述应用模块接收的；
[0034]选择单元，用于当所述接收单元接收到所述第一操作请求时，根据所述选择策略，从所述物理HSM中选择初始物理HSM，并与所述初始物理HSM建立物理会话；
[0035]映射单元，用于根据所述第一操作请求确定所述vHSM对应的第一虚拟会话，建立所述虚拟会话和所述物理会话的映射关系；
[0036]发送单元，用于根据所述映射关系，将所述第一操作请求转发给所述初始物理HSM,以使所述初始物理HSM处理所述第一操作请求；
[0037]释放单元，用于当所述管理虚拟机在预设时间内没有接收到所述vHSM发送的下一个操作请求时，结束所述物理会话并清除所述映射关系。
[0038]结合本发明的第二方面，在本发明第二方面的第一种可能的实现方式中，所述选择单元包括:
[0039]负载检测模块，用于获取至少一个物理HSM的负载；
[0040]选择模块，用于将所述至少一个物理HSM中的负载小于第一负载预设值的物理HSM作为初始物理HSM ；
[0041]建立模块，用于与所述初始物理HSM建立物理会话。
[0042]结合本发明第二方面的第一种可能的实现方式，所述服务器包括至少两个虚拟机；所述至少两个虚拟机中的vHSM分别与所述至少两个虚拟机中的应用模块建立第二虚拟会话，相对应的，所述管理虚拟机分别与所述至少一个物理HSM建立物理会话，所述建立物理会话的物理HSM为第一物理HSM ;所述管理虚拟机分别建立所述第二虚拟会话和所述第二虚拟会话所对应的物理会话之间的映射关系；
[0043]所述管理虚拟机还包括关闭单元；
[0044]所述负载检测模块，还用于获取所述第一物理HSM的负载；
[0045]所述选择模块，还用于当所述第一物理HSM的负载大于第二负载预设值时，按照预设顺序从所述物理会话中选择一个物理会话进行关闭，其中，所述第二负载预设值大于所述第一负载预设值，与所述关闭的物理会话对应的虚拟会话为第三虚拟会话；
[0046]所述存储单元，用于存储所述第三虚拟会话的上下文信息。
[0047]结合本发明第二方面的第二种可能的实现方式，在本发明第二方面的第三种可能的实现方式中，所述管理虚拟机，还包括恢复单元；
[0048]所述选择模块，还用于将所述处于物理会话的物理HSM中的负载小于第一负载预设值的物理HSM作为目标物理HSM ；
[0049]所述建立模块，还用于与所述目标物理HSM建立第三物理会话；
[0050]所述映射单元，还用于建立所述第三虚拟会话和所述第三物理会话的第一映射关系;
[0051]所述恢复单元，用于当根据所述第三虚拟会话的上下文信息确定存在未完成的操作请求时，通过所述第一映射关系向所述目标物理HSM发送所述未完成的操作请求，以使所述目标物理HSM恢复对于所述未完成的操作请求的处理。
[0052]结合本发明第二方面或第二方面的第一种可能的实现方式或第二方面的第二种可能的实现方式或第二方面的第三种可能的实现方式，在本发明第二方面的第四种可能的实现方式中，所述管理虚拟机，还包括事件检测单元；
[0053]所述事件检测单元，用于检测是否存在虚拟机迁移事件；
[0054]所述存储单元，还用于当检测到存在虚拟机迁移事件后，存储需要迁移的虚拟机中的虚拟会话的上下文信息；
[0055]所述发送单元，还用于将所述需要迁移的虚拟机中的虚拟会话的上下文信息发送给目标服务器，以便于所述目标服务器根据所述上下文信息恢复所述需要迁移的虚拟机。
[0056]第三方面，本发明还提供了一种服务器，所述服务器设置有至少一个物理HSM ;所述服务器运行有虚拟机和上述的管理虚拟机；在所述虚拟机中设置有应用模块和vHSM，在所述应用模块和所述vHSM之间建立有虚拟会话。
[0057]本发明公开了一种HSM会话管理方法、管理虚拟机和服务器，在虚拟机中通过虚拟出的应用模块和vHSM形成虚拟会话，并在管理虚拟机中根据形成的虚拟会话建立虚拟会话和物理会话之间的映射关系，从而能够通过映射关系灵活地调整处理操作请求的物理HSM0
【附图说明】
[0058]为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图