用于虚拟机应用的3gpp可下载订户身份模块的远程供应的制作方法
【专利摘要】提出了一种提供订户身份以在虚拟计算环境中代表订户供应服务的方法。所述方法包括：接收用于建立针对虚拟的机器对机器设备vM2ME的执行环境的请求。提供vM2ME，所述vM2ME包括用于在虚拟计算环境中执行的软件以及可下载订户身份模块。设立用于在虚拟化平台的域中执行的通信模块CM。所述CM提供在vM2ME和3GPP网络之间的通信的端点。安装用于与CM一起执行的订户身份模块，所述订户身份模块包括订户的3GPP身份、安全性数据和用于实现经由3GPP网络来访问所述vM2ME的功能。
【专利说明】用于虚拟机应用的3GPP可下载订户身份模块的远程供应
【技术领域】
[0001]本发明涉及远程供应机器通信身份模块(MCM)，以便管理虚拟化计算环境中的虚拟机并且因此能够实现与虚拟机的3GPP通信。
【背景技术】
[0002]虚拟机(VM)是以与物理机器相同的方式执行程序的计算机的软件实现，并且由物理计算设备容宿(即，作为访客)，所述物理计算设备对于运行在VM中的程序的用户或提供者而言可以是不可见的并且是未知的。云计算是在不需要最终用户知道传递服务的计算机器的物理位置和配置的情况下提供传递计算机服务的概念，所述计算机服务包括计算资源、软件、数据访问、以及存储服务。通过诸如互联网之类的网络将所述服务提供给计算机和其他设备。从用户的角度看，可以认为服务是由一个或多个虚拟机(VM)提供的。
[0003]云计算为客户端提供可能是无限量的联网、计算和存储资源的抽象。该抽象可以通过对数据中心中的基础设施、平台和软件的虚拟化来实现。存在多种解决方案可用于提供用于虚拟机的虚拟化平台，如Xen。在这些系统中，在一个物理机器上可以运行多个虚拟机。对无限且动态分配的资源的抽象可被称为云平台或者就称为云。虚拟机运行在隔离的运行时环境或域(在Xen术语中，称为domU)中，而虚拟化平台的控制机制运行在专用运行时环境或管理域(在Xen术语中，称为domO)中。注意:一般而言，云计算不一定暗示使用虚拟机或者虚拟化平台。然而，出于当前公开的目的，应该假设提到云或云计算确实暗示虚拟化计算环境，除非另有明示。
[0004]出于该讨论的 目的，术语“用户”旨在指代操作或使用设备的任何实体(个人、公司、组织等)，所述设备诸如是移动电话或其他移动设备、或者pc、膝上型计算机或能够访问3G或4G网络的其他计算设备(包括机器对机器M2M设备)。“订户”是已经与供应服务的移动网络运营商(MNO)签署协议的实体-更具体地(除非另有明示)，下文提到的订户或M2M订户是已经签署用于从VM提供服务供应的协议的实体。VM的“拥有者”是提供VM软件的实体，其可以与订户相同，也可以与订户不同。
[0005]在基础设施层面，虚拟化是借助虚拟机管理器(VMM)来实现的，VMM另称为管理程序(hypervisor)。管理程序利用允许在主机计算机上并发运行多个操作系统(称为访客)的硬件虚拟化技术。
[0006]移动电信网络运营商(MNO)目前还没有确定方式用以管理向订户供应云计算资源以及如何利用第三代合作伙伴计划(3GPP)所定义的3G和4G技术及标准，如演进分组系统(EPS)网络以及与系统架构演进(SAE)和长期演进(LTE)有关的技术及标准。这些在下文中被称为3GPP网络。
[0007]3GPP订户凭证被存储在通用集成电路卡(UICC，或订户身份模块SM卡)上，并且被用于识别3GPP设备中的卡所属的订户，以及用于建立在设备与3GPP网络之间的通信和保证该通信的安全。已安装的用于3GPP订户管理的基础设施以及用于其的标准化技术是3GPP运营商的关键资源。运营商日益成为用于第三方服务的比特管道提供者，其不提供具有高附加值潜能的业务模型。相反，运营商更愿意参与提供服务。已安装的身份管理系统是能够用于提供具有身份和访问管理(IAM)形式的新服务以及针对各种服务的安全保障的一个事物。云计算确实需要针对虚拟机(VM)的联合身份管理，并且因此为网络运营商提供了机会。
[0008]运营商的关键资源是客户群(即，潜在订户)和针对订户的身份管理以及已安装的基础设施。业务是基于标准化的3GPP机制来进行收费、服务质量(QoS)、安全保障、漫游、互联互通和服务级别协议(SLA)等。然而，对于云计算技术而言，类似种类的标准还没有建立。这使得运营商很难将其关键资源与云平台整合到一起，以便从云计算模式获益并且进入新的业务领域。概括而言，问题在于:运营商如何才能够使用云计算从其现有的关键资源中受益。这可被分解到三个关键领域:
[0009]如何在云计算环境中利用运营商的现有EPS(例如，3GPP/长期演进(LTE))基础设施；
[0010]如何无缝地将运行在数据中心中的虚拟化服务与EPS (例如，3GPP/LTE)基础设施集成在一起；
[0011]如何以安全的方式将运行在云中的虚拟机与EPS(例如，3GPP/LTE)网络绑定在一起。
[0012]目前，提出了利用用于管理VM的3GPP机器通信身份模块(MCM)概念(提供身份、安全性等等)。MCM是3GPP最新研究的概念(参见3GPP TR33.812，第9.2.0版，2010年 6 月 22 日，“Feasibility study on the security aspects of remote provisioning andchange of subscription for Machine-to-Machine (M2M) equipment”)。该概念针对 M2M 通信场景，其用基于软件的可被下载到设备的通用订户识别模块(USIM)替代了 nCC卡。目的在于:提供设备能够从该设备的选定归属运营商(SHO)下载其网络凭证的机制，所述SHO即设备的拥有者已经与之签订服务协议的运营商。MCM的当前范围是供与类传感器设备一起使用，其中拥有者通常没有对所述类传感器设备的物理接入并且需要对其进行远程管理。
[0013]当前公共协定的操作过程如下:
[0014]1.设备的拥有者与移动网络运营商(MNO)(下文将被称为选定归属运营商(SHO))签订服务协议，并且注册他/她的设备。
[0015]2.掌管移动设备(g卩，向设备提供初级凭证)的发现和注册功能(DRF)被告知设备的SHO并且存储该映射。
[0016]3.移动设备开机，并且扫描可用的移动网络以便尝试连接到3GPP网络初始连接功能(ICF)。机器对机器设备(M2ME)中存储的初级凭证被用于连接到网络，并且它们指向设备的当前归属网络(其由SHO操作)的DRF。
[0017]4.DRF向M2ME通知注册到它的SH0，并且将设备重定向到由该SHO操作的SHO/MCIM下载和供应功能(DPF)。
[0018]5.接着，移动设备连接到该SH0/DRF，并下载正确的凭证，使得设备能够开始按设备的拥有者与移动网络运营商之间的服务协议来使用SHO订阅。
[0019]出于本讨论的目的，术语“MCIM”应当被理解为指代任何可下载的用户身份模块(SIM)，而不仅仅是指代当今已知的类传感器设备或其它M2M设备，并且不限于上面提到的3GPP TR33.812中规定的MCM。本公开涉及如何提供作为3GPP网络的订户的客户端的MCM凭证，以使得能够从代表订户/客户端的VM提供服务。这种对VM的MCIM供应关注于对VM连同关联的MCM —起的自举。出于本公开的目的，订户是已经与SHO签订了代表订户供应基于计算机的应用或服务的协议的实体(个人、群组、公司、或者其他组织)。通过SHO的3GPP网络，从虚拟化计算环境中的一个或多个VM，提供这些应用/服务。例如，订户可以是通过互联网向其顾客售卖基于计算机的服务的公司；作为另一示例，订户可以是其成员或雇员是基于计算机的数据/处理系统的操作员的组织，所述数据/处理系统利用了要由SHO从工作在虚拟化计算环境中的一个或多个VM提供的应用或服务；作为另一示例，订户可以是将基于计算机的服务用于私人用途的私人个体。
[0020]还需要注意的是:术语MNO指示设备所连接到的网络的网络运营商。这可以是SH0，或者可能是由与SHO通信的受访网络运营商(VNO)操作的另一网络。出于本讨论中的目的，属于哪种情况并不要紧，因为重要的功能涉及SH0。
【发明内容】
[0021]一般而言，所提出的用于VM管理的解决方案包括:利用用于提供3GPP身份和凭证的MCM，然后其能够用于识别虚拟机，并且向VM提供安全性和QoS。MCM被下载用于VM并且与通信模块(CM) —起运行，CM利用在MCM中找到的数据来执行对3GPP网络的3GPP通信。MCM和CM —起类似于用于VM的3GPP调制解调器。注意:本文中提到3GPP网络应被假定为涉及任何演进分组系统(EPS)网络(除非另有明示)。
[0022]本文档中解决的问题是:如何在由MNO操作的或来自MNO的虚拟化计算环境中实现MCM供应。而在上面提到的3GPP TR33.812中讨论的MCM概念涉及M2M设备的无线网络接入，本文档涉及下 述情形:M2M设备实际上是虚拟的M2M设备，而且连接是经由互联网实现的。在本文讨论的虚拟化环境中，提供了一种用于安全地运行虚拟M2M设备(vM2ME)的平台，所述vM2ME可以包括单个物理设备上的多个虚拟M2M设备，使得它们中的每一个(对于网络而言)表现为独立的M2M设备。
[0023]VM2ME包括VM软件以及关联的MCM。VM软件可以是由订户提供的、包括可执行文件和/或配置文件和/或其他内容的软件包。作为一个示例，由订户提供的软件包可以包括web服务器及其所有配置文件和内容；作为另一示例，MNO可能已经提供web服务器，而订户提供了包括配置文件和内容在内的软件包。
[0024]第一方面是提供订户标识以在虚拟计算环境中代表订户来供应服务的方法。所述方法包括:接收用于建立针对虚拟的机器对机器设备VM2ME的执行环境的请求。提供vM2ME,所述VM2ME包括用于在虚拟计算环境中执行的软件以及机器通信身份模块MCM。设立用于在虚拟化平台的域中执行的通信模块CM。所述CM提供在VM2ME和3GPP网络之间的通信的端点。所述MCM被安装用于与所述CM —起执行，所述MCM包括订户的3GPP身份、安全性数据和用于实现经由3GPP网络来访问所述VM2ME的功能。
[0025]第二方面是一种3GPP网络实体，被配置为提供订户身份以在虚拟计算环境中代表订户来供应服务。所述网络实体被配置为:在接收到用于建立针对虚拟的机器对机器设备VM2ME的执行环境的请求后，提供VM2ME，所述vM2ME包括用于在虚拟计算环境中执行的虚拟机VM软件以及机器通信身份模块MCM。所述网络实体被配置为设立用于在虚拟化平台中执行的通信模块CM，所述CM提供去往/来自VM的3GPP网络的通信的端点。所述网络实体被配置为安装用于与所述CM —起执行的所述MCM，所述MCM包括订户的3GPP身份、安全性数据和用于实现经由3GPP网络来访问所述VM2ME的功能。
[0026]第三方面是一种计算机程序，其用于将网络中的计算机编程为提供订户身份以从虚拟计算环境供应服务。在接收到用于建立针对虚拟的机器对机器设备VM2ME的执行环境的请求时，所述程序使得计算机提供VM2ME，所述VM2ME包括用于在虚拟计算环境中执行的软件以及机器通信身份模块MCIM。所述程序使得计算机设立用于在虚拟化平台的域中执行的通信模块CM，所述CM提供在所述VM2ME与3GPP网络之间的通信的端点。所述程序使得计算机安装用于与所述CM —起执行的所述MCIM，所述MCIM包括订户的3GPP身份、安全性数据和用于实现经由3GPP网络来访问所述VM2ME的功能。
[0027]第四方面是一种计算机程序产品，其包括根据第三方面的计算机程序的指令。
【专利附图】
【附图说明】
[0028]图1a是根据第一实施例示出了 VM2ME如何与服务级别协议中涉及的各方相关联的示意说明图。
[0029]图1b示出了其上安装了 VM2ME的虚拟化平台的第一实施例的概念分层结构。
[0030]图2是根据图1a和图1b示出了用于第一实施例的供应MCM的过程的信号图。
[0031]图3a是根 据第一实施例的备选方案示出了 VM2ME如何与服务级别协议中涉及的各方相关联的示意说明图。
[0032]图3b是根据图3a不出了用于第一实施例的供应MCIM的备选过程的信号图。
[0033]图4a是示出了根据第二实施例的第一备选方案(备选方案A)的vM2ME如何与服务级别协议中涉及的各方相关联的示意说明图。
[0034]图4b示出了其上安装了 VM2ME的虚拟化平台的第二实施例的概念分层结构。
[0035]图5是根据图4a和图4b不出了用于第二实施例的备选方案A的供应MCIM的过程的信号图。
[0036]图6a是根据第二实施例的第二备选方案(备选方案B)示出了 vM2ME如何与服务级别协议中涉及的各方相关联的示意说明图。
[0037]图6b示出了其上安装了 VM2ME的虚拟化平台的第二实施例的备选方案B的概念分层结构。
[0038]图7是根据图6a和图6b示出了用于第二实施例的备选方案B的供应MCM的过程的信号图。
[0039]图8a不出了第三实施例的第一备选方案(备选方案A)的vM2ME的概念分层结构。
[0040]图8b示出了第三实施例的第二备选方案(备选方案B)的其上安装了 VM2ME的虚拟化平台的概念分层结构。
[0041]图9是根据图8a不出了用于第三实施例的备选方案A的供应MCIM的过程的信号图。
[0042]图10是根据本文描述的实施例示出了供应用于VM2ME的3GPPMCM的方法中的重要步骤的流程图。
[0043]图11是根据本文描述的一些实施例示出了图10的方法中的附加步骤的流程图。【具体实施方式】
[0044]图10提供了在提供订户身份以在虚拟计算环境中代表订户供应服务的方法中涉及的步骤的概览。在步骤1001中，接收用于建立针对VM2ME的执行环境的请求。该请求可以接收自请求者(未示出)，所述请求者可以是由MNO所提供的服务的订户来操作的用户设备(UE)，或者该请求可以接收自被授权代表订户这么做的某个其他代理或中介机构，只要该请求包括订户的身份。该请求被选定归属运营商(SHO)接收，在一些实施例中该SHO还是虚拟化环境(云)的运营商。在步骤1002中，提供vM2ME。通常，请求者将向SHO提供VM或者关于在哪儿可以找到VM的链接或其他指示。然后，由SHO向虚拟化环境提供VM2ME，该vM2ME包括VM加MCM。vM2ME包括VM软件或由订户提供的、要在虚拟计算环境中运行的软件包以及机器通信身份模块MCM。在步骤1003中，设立用于在虚拟化平台的域中执行的通信模块CM。CM提供在vM2ME与SHO的3GPP网络之间的通信的端点。在步骤1004中，所述MCIM被安装用于与所述CM —起执行。由于MCIM包含订户的3GPP身份以及安全性数据和用于实现经由3GPP网络来访问vM2ME的功能，于是，如步骤1005中所示，CM能够附着到SHO的网络，并且可以启动VM软件。
[0045]图11示出了根据下面描述的一些实施例来执行的一些附加步骤。在步骤1101中，如在上述图10的方法中一样，接收用于建立针对VM2ME的执行环境的请求。在步骤1102中，提供初级机器通信身份模块(MCIM)。初级MCIM的目的是提供关于身份和安全性的足够数据，以使得能够执行自举程序。如果不能够从请求1101中的其他信息推断出DRF的位置的话，这还可以包括关于DRF的位置的信息。在步骤1103中，从SHO向虚拟化平台的管理域发送为vM2ME分配资源的请求。在步骤1104中分配这些资源，包括将安装通信模块(CM)的域/位置。在步骤1105中，响应于对资源分配的确认，向已被分配用于vM2ME的虚拟化平台的域/位置提供初级MCM。
[0046]在步骤1106中 ，基于初级MCM中提供的信息来执行自举程序，以设立在虚拟化平台的所分配的域/位置中执行的CM。CM将代表订户提供在VM与SHO的3GPP网络之间的3GPP通信的端点。在成功完成自举过程之后，在步骤1107中，向所分配的域/位置提供订户的MCM。订户的MCM包括订户的3GPP身份、安全性数据和用于使能经由3GPP网络访问vM2ME的功能。在步骤1108中，安装用于与CM—起执行的订户的MCM。VM软件可能已经安装，在该情况下，该过程可以如图10的步骤1005 —样继续进行。例如，在一些实施例中，VM可以由MNO操作，在一些情况下该MNO是SH0，其用以代表订户运行应用或提供服务。否贝丨J，在步骤1109中，将VM软件上载到所分配的域/位置，在开始VM的操作之前，如图10的步骤1005中那样在所分配的域/位置中安装VM。
[0047]虽然在图10或11中未示出，但是对初级MCM和订户的MCM的供应可以包括从注册功能(例如发现和注册功能-DRF)和供应功能(例如，下载和供应功能-DPF)获得授权。这样做是为了认证初级MCIM，以及对供应订户的MCIM进行授权。
[0048]下文详细描述的每个实施例涉及MCM和CM的不同部署场景。在所有情形下，对于每个VM，至少一个MCM被下载并与CM相关联。这些MCM和CM的存储、处理以及运行在各个不同的实施例中可以不同。基本地:在第一实施例中，MCM和CM位于管理域(DomO)中，使得它们将在管理域(DomO)的操作系统的控制下由CPU执行；在第二实施例中，MCIM和CM位于运营商的虚拟机(DomU)中；在第三实施例中，MCM和CM位于物理网络接口卡(的pNIC)上。注意:在第二实施例的情况下，存在下面描述的另一备选方案，其中，MNO的VM自身代表订户来运行应用/服务(换言之，不存在如其他实施例中那样的运行订户的应用/服务的单独的VM)。
[0049]MCM和CM —起形成3GPP通信端点，并且充当用于VM的调制解调器。用于将MCM和CM连接到3GPP网络的接入网和协议可以是3GPP接入也可以是非3GPP接入，其中非3GPP接入在目前更为普遍。非3GPP接入可以是可信的也可以是不可信的。接入网上的通信如3GPP规范中描述地那样进行操作。如果需要VM在迁移时保持相同的IP地址，则MCM和CM也可以执行网络地址转换(NAT)功能。备选地，在MCM/CM与VM之间的通信可以是纯L2通信(即开放系统互连OSI模型中定义的层2，即数据链路层)，而IP由MCM/CM负责。
[0050]在下面讨论的实施例中，去往/来自VM的所有业务(例如，VM与互联网中的对等体之间的所有业务)都通过提供MCIM的3GPP运营商的网络进行路由。在VM位于除了3GPP运营商网络内之外的其他位置的情况下，这可能导致非优化的路由。在该情况下，有可能利用本地突破来提供从VM(MCIM/CM)到互联网的直接访问。在导致(上文提到的)3GPPTR33.812的3GPP MCM研究中，假设制造商可以在设备中置入用于自举的可在世界上的任何地方操作的初级MCIM。与虚拟环境有关而不是与运行物理设备有关的本讨论假定MCIM是由SHO提供的，因为这是最安全的选择。下述情况是可能的:MCIM可以由某个第三方提供(或者运营商从第三方获取MCIM)，在这种情况下可能存在需要解决的其他安全问题，但这些不在本文中讨论。
[0051]虚拟化环境中的VMM或管理程序确保VM的不同资源是彼此隔离的。MCM与VM的隔离取决于MCIM和CM的运行方式和位置(如在备选实施例中描述地那样)。
[0052]所介绍的每个实施例还可以通过用物理替代位于容宿VM的主机中的MCM的备选方案来实现。然而，这种备选方案存在限制，例如与移动性(即，移动订户VM的能力)有关的限制。
[0053]第一实施例:MC頂和CM位于管理域(DomO)中
[0054]本实施例的描述使用了表达“虚拟的机器对机器设备(VM2ME) ”，其是与MCM关联的一个或多个VM构成的簇(bundle)。实质上，术语vM2ME表示订户向运营商提供VM镜像(软件)。VM与(从移动网络运营商获得的)MCM关联。描述两个备选方案A和B。在A中，MNO也是云或虚拟化计算环境的运营商。在B中，运营商使得VM能够在第三方的云中运行。注意:VM镜像(软件)是由订户创建的，因此从MNO的角度看是不可信的。
[0055]在该实施例中，一些术语的定义不同于在3GPP TR33.812中使用术语的原始定义。这些术语如下:
[0056]MCIM:在3GPP TR33.812中，MCM是“表示Μ2Μ安全性数据和用于Μ2ΜΕ访问3GPP网络的功能的集合的术语”。在本实施例中，MCIM驻留在可信环境(TRE)中，或者驻留在UICC上，但是另一方面3GPP TR33.812中描述的MCM的所有主要原则仍然适用。
[0057] 可信环境(TRE):在虚拟化平台内，TRE使用可信平台模块(TPM)和安全的引导装载程序来提供用于管理程序和管理域(DomO)的可信的运行时环境。TRE可以在任何时候由被授权对该TRE进行验证的外部机构进行验证。例如，外部机构可以使用基于TPM的远程认证来验证用于管理程序和管理域(DomO)的安全引导过程。TRE提供硬件和软件保护以及在对VM的供应、存储、执行和管理之间的分隔。
[0058]通信模块(CM):通信端点，其与MNO的3GPP网络进行交互，并且设立任何必需的用于VM的隧道，如与演进的分组数据网关“eTOG”的IPsec或者通用分组无线系统(GPRS)隧道协议“GTP”。因此，在3GPP网络与VM之间的通信是通过MCM来认证的。
[0059]机器对机器设备平台(M2MEP)将TRE和CM绑定在一起，从而满足运行vM2ME的要求。运行vM2ME需要M2MEP。MCM对象和相关的VM被一起部署在M2MEP上。
[0060]订户:MCM上识别出的实体，其与VM2ME关联，并且与MNO签有向νΜ2ΜΕ提供服务的合同关系。MNO可以是运行vM2ME的数据中心(M2MEP)的运营商。
[0061]备选方案A:ΜΝ0在其自己的云中提供服务。
[0062]下面描述如何才能够利用MCM技术(如在3GPP TR33.812中描述的MCM技术)在丽O的数据中心中远程供应vM2ME。每个vM2ME包含3GPP订阅(或多个订阅)。图1a示意性地示出了 VM2ME10如何与服务级别协议中涉及的各方(即MN012和订户14)相关联。MNO12既是3GPP网络13的运营商也是数据中心或云0S15的运营商。订户14是VM16的拥有者(此处示出了两个VM，但是可以存在任意数目的VM)，其向经由互联网18访问VM16的用户(未示出)提供服务。而且，MN012可以通过安装不止一个MCM(各个MCM服务不同的订户)向不止一个订户提供虚拟化平台。
[0063]在基础设施层面，虚拟化是借助虚拟机管理器(VMM)来实现的，VMM另称为管理程序。VMM利用允许在主机计算机上并发运行多个操作系统(称为访客)的硬件虚拟化技术。Xen是公知的且广泛使用的管理程序的示例(参见2011年7月22日在web.archive,org 上存档的 “What is Xen Hypervisor ?，，http://xen.0rg/files/Marketing/ffhatisXen.^df)。Xen系统是可在概念分层结构中描述的多个VMM系统中的典型，该概念分层结构例如是在图1b中针对第一实施例的vM2ME示意描述的概念分层结构，其中VMM(管理程序)101作为驻留在硬件102上的最低的且具有最高特权的层。在该层之上是访客操作系统104、106，其中管理程序101在数据中心的计算机机器的物理CPU上调度这些访客操作系统104、106。第一访客操作系统104是虚拟管理域(在Xen术语中称为域O或domO)的操作系统，其在VMM101引导时自动引导和接收特殊管理特权以及对所有物理硬件的直接访问。系统管理员可以登录到管理域104以便管理执行VM的其他访客操作系统(在Xen术语中称为域U或domU)，如系统106。
[0064]在图1b中示出的结构中，VM2ME100通过安装可信平台模块(TPM) 108连同安全的引导装载程序(未示出)而基于TRE，该TRE被定义为围绕管理域104和驻留在硬件102上的VMM(管理程序)101。TRE是由外部机构验证的，在下面描述的示例中该外部机构是平台验证机构(PVA)。图1b中还示出了 CMllO及关联的MCM112以及VM106，其中CMllO及关联的MCMl 12这两者被安装用于在管理域(domO) 104中执行，而VM106在访客操作系统域(domU)中执行。
[0065]图2是示出了用于供应MCM、由此使得VM2ME能够代表订户开始运行的过程的信号图。涉及的实体包括:云管理器/SH020，因为在这种情况下云管理器与也是订户的SHO的MNO相同；注册运营商(R0)22，其负责注册功能，所述注册功能包括为了完成注册和获得必要授权的目的而联系DRF和DPF ;平台验证机构(PVA) 24 ；以及虚拟化平台的管理域(DomO) 26。过程如下。[0066]云管理器/SH020接收用于建立针对VM2ME的执行环境的请求201。云管理器/SH020分配用于订户的初级MCM。初级MCM是由初级连接标识符(PCID)来识别的，PCID例如可以是国际移动订户标识符(MSI)号码。云管理器/SH020向R022发送PCID和/或MCIM,并通过存储在PCID (其从初级MCM中获得该PCID)与DPF之间的映射来注册该初级MCM。备选地，初级MCM可以是预先供应的，在这种情况下，云管理器/SH020简单地从该初级MCM中取回PCID并且存储该映射。注意:初级MCM仅包含使得通信模块(CM)的自举操作成为可能的足够信息。云管理器/SH020向管理域(DomO) 26发送用于提供用于新VM的资源的请求203，并且还向管理域26提供该初级MCM。于是，在步骤204中，管理域26分配所需资源，并且安装包含在初级MCIM中的初级凭证。管理域26还安装与新的初级MCIM关联的CM软件模块25的新实例，然后向云管理器/SH020返回分配状态消息205。
[0067]在步骤204中分配用于VM的CM25，启动自举过程(类似于在3GPP TR33.812中描述的自举过程)，并且(经由R022)连接206到DRF。DRF(基于在开始时完成的注册)将该请求转发给DPF。在DPF能够对供应订户的完整MCM进行授权之前，需要检查M2MEP的TRE是否处于有效状态。要做到这一点，DPF将信号207中的PCID和TRE信息发送给SH020。SH020然后向PVA24发送验证请求208。PVA24验证M2MEP的TRE，并且返回验证结果209。假设结果209是通过验证，则云管理器/SH020现在可以供应订户的MCM，其中云管理器/SH020将订户的MCM提供(通过R022的信号210)给DPF。然后，R0/DPF22向运行在管理域26中的CM25发送订户的MCM的参数(信号211)，以便在其中安装。
[0068]在已经在CM25中安装了订户的MCM之后，其经由R022向DRF发送指示安装成功(或失败)的状态信号212。然后，具有新供应的MCIM的CM25执行网络附着213 (例如，基于IP的3GPP附着过程)。一旦成功附着，云管理器/SH020就发送要求管理域26安装、配置和启动vM2ME (其将CM25的特定实例和订户的MCM与VM绑定在一起)的请求214。这还涉及传送VM软件。在 步骤215中，管理域26操作系统启动vM2ME，并且在vM2ME运行时发送回复216以进行确认。然后，将整个操作的结果传达给订户/请求者(信号217)。当VM已被引导时，其将经由CM与SHO的3GPP网络进行通信，从而指示vM2ME正在运行。
[0069]各诜方案B:ΜΝ0在第三方的云中提供服备
[0070]这种备选方案提供了与备选方案A相比更广义的解决方案。MNO利用来自第三方/外部的云运营商的计算/云空间。注意:该过程对于订户而言是透明的。
[0071]图3a示意性地示出了 VM2ME33如何与服务级别协议中涉及的各方(即作为SH033和3GPP网络38的运营商的ΜΝ0、订户37、以及第三方公共云39的运营商)相关联。SH030已经与云运营商31签有供应用于VM的资源的合同协议。订户37是VM2ME33的拥有者，VM2ME33包括VM (此处示出了两个VM，但是可以存在任意数目的VM)，其通过互联网18并经由SHO的3GPP网络38向用户(未示出)提供服务。如以前一样，SH030可以向不止一个订户提供VM服务。
[0072]图3b是示出了备选方案B的用于供应MCM、由此使得vM2ME能够代表订户开始运行的过程的信号图。涉及的实体包括:SH030 ;云管理器31 (在这种情况下其是第三方云的管理器)；R032，其链接到DRF和DPF ；PVA34 ；以及第三方云计算虚拟化平台的管理域(DomO) 36。在图3中示出的一些信令在针对备选方案A的图2中被省略，因为在图2中云管理器和SHO被不出为同一实体。[0073]如图3b中所示，SH030向R032注册用于vM2ME的初级MCM，其如信号300所示。SH030接收用于建立针对vM2ME的执行环境的请求301。存在会影响信号300和301的顺序的两种备选方案。在一个场景中，或者已经从另一源向订户预供应了初级MCIM，或者如果订户还没有初级MCM，则SH030分配一个初级MCM并且将其发送给R032。在这些情况下，信号的顺序是先301，然后300。备选地，SH030可以具有预供应的初级MCM，并且已经向R032注册了该初级MCM。在该情况下，信号的顺序是先300，然后301。
[0074]在信号302中，SH030向云管理器31传送初级MCM以及用于设立vM2ME的请求。云管理器31向管理域(Dom036)发送对用于新VM的资源的请求303，并且还向管理域36提供初级MCIM。在步骤304中，管理域36预留资源，安装初级MCIM凭证，并安装与新的初级MCIM关联的CM软件模块35的新实例。管理域36然后向云管理器31返回分配状态信号305。
[0075]然后，为VM分配的CM启动自举过程，其以与上面针对图2描述的信号206~212相同的方式继续进行信号306~312,不同之处在于:信号仅被定向SH030,而不被定向到云管理器31。如果信号312指示成功完成自举，则具有新供应的MCIM的CM35执行网络附着313 (例如，基于IP的3GPP附着程序)。
[0076]SH030在注意到新MCM已被安装并且成功完成到CM35的连接的情况下，向云管理器31传送订户的VM (信号314)，云管理器31进而利用请求315将订户的VM转发给管理域36以安装和配置VM (将CM35的特定实例与VM绑定在一起)。在步骤316中，管理域36启动vM2ME，并且在vM2ME运行时向云管理器31发送回复317。然后，将整个自举操作的结果传达给SH030并且继续传达给订户/请求者(信号318和319)。当VM已经引导时，VM将经由CM35与SH030的3GPP网络进行通信，从而指示VM正在运行。
[0077]第二实施例:MC頂和CM位于VM域(DomU)中
[0078]在该第二实施例中，假设移动运营商不控制虚拟化平台的管理域(DomO)。相反，移动运营商具有在另一云运营商的云中运行的虚拟机(domU)中运行的虚拟管理域。下面介绍的方法说明了:在云系统不是由移动运营商(即MCIM的提供者)操作和/或拥有的情况下，可以如何(例如从互联网)远程部署vM2ME (VM/服务+MCM)。同样，存在描述的两个备选解决方案。在第一备选方案中，MNO在第三方的云中运行其自己的VM/访客操作系统，而订户的VM(或vM2ME)被安装在同一第三方的云中。在第二备选方案中，不存在单独的订户VM，而是代之为MNO代表订户运行其VM中的应用作为经认证的服务的一部分。
[0079]各诜方案A-俥用MNO-VM部署订户的VM
[0080]在该解决方案中，SHO已经部署了 VM(MNO-VM)，该VM充当特殊的管理接口。该管理接口包括一组应用(如3GPP通信模块、远程配置工具等)，并且在第三方的云的MNO-VM中运行。由于该管理接口是作为访客操作系统(DomU)运行的，它不能直接控制虚拟化平台上的资源。主机操作系统(即DomO/管理接口)是由(不同的)第三方操作的，因此由SHO的网络部署的所有虚拟机都必须通过MNO-VM进行协调。
[0081]图4a示意性地示出了 VM如何与该场景中涉及的各方相关联，该场景中存在由两个订户(订户I和订户2)拥有的两个VM (VMl和VM2)。VMl和VM2正运行在第三方的公共云40中。为了简化描述，MN042操作为订户的SHO(虽然这不是必须的情况，并且有可能存在两者间存在合约安排的单独的SHO和ΜΝ0)。MN042不一定具有对第三方的云OS或管理域(DomO)的管理访问权限。因此,MN042在公共云40中运行其自己的访客域(DomU)用于MCM和CM，以便服务其顾客(订户I和2)的VM。在图4a中，虚线示出了双方之间的合同关系，而实线44表示VM的部署，以及实线46表示用于在3GPP MN0/SH042与VM之间的订阅和通信的信号路径。
[0082]图4b示出了用于该实施例的概念分层结构。与图1b中所示的第一个实施例一样，VM2ME400被建立在TRE中，该TRE定义为围绕管理域(domO)402、MN0_VM404和驻留在硬件408上的管理程序406。在这种情况下，尽管TPM410和安全的引导装载程序(未示出)是可选的，TRE是通过管理程序隔离机构提供的。
[0083]TRE是由外部授权机构验证的。图4b还示出了安装用于与MCM414—起在MNO-VM的域404(domU)中执行的CM412以及在另一虚拟域(domU)中的关联的VM416。vM2ME400运行订户的(不可信的)VM416。
[0084]图5是示出了用于供应MCM、由此使得订户的VM能够开始在第三方云40中运行的信号图。所涉及的实体包括:SH050 ;云管理器51，在这种情况下是第三方云的管理器；R052，其链接到DRF和DPF ；PVA54 ；MN0-VM53 ；以及第三方云虚拟化平台的管理域(DomO)56。
[0085]从SH050中的订户接收用于建立针对VM2ME的执行环境的请求501。订户想要运行他的VM(其具有SH050提供的MCM)，使得它在逻辑上被容宿在SHO的网络中，尽管实际上它被容宿在第三方云中。如上文针对第一实施例所述的，SHO经由R052注册初级MCM (信号502)，并且指示云管理器51继续进行(未在图中示出为单独的信号)。注意:云管理器51可以由第三方提供商操作。SH050经由云管理器51发送请求503，其中该请求503或者如图5中示出地那样被直接发送给选定虚拟化平台的管理域(DomO) 56，或者是经由MN0-VM53间接发送的。然后，在步 骤504中管理域(domO) 56分配用于该订户的VM的资源(磁盘/ram)，并且向云管理器51返回分配状态505。如果是否定结果，则该过程结束(即跳到步骤517)，但是如果是肯定结果(如图5所示)，则将状态信号505转发给SH050，SH050接着在信号506中向MN0-VM53发送(订户的)初级MCM。该信号506触发分配CM55的新实例以服务于新订户，以及利用信号507至512来自举来自初级MCIM的3G凭证，其中所述信号507至512与上文针对第一实施例描述的且在图2和3中示出的信号206~211或306~311基本相同，区别仅在于:CM55现在是在MNO-VM (DomU)中，而不是在管理域(DomO)中。简言之:自举请求507被发送到R052，并且与PCID和TRE信息一起被转发508给SHO ；SH0发送请求509以请求PVA54验证虚拟化平台的状态。PVA54验证MN0-VM53和底层的虚拟化平台这二者，并且向SH050返回结果510。
[0086]如果验证成功，则SH050向R052上载(信号511)订户MCM。这将使得R052能够完成自举请求(508)，并且在信号512中向MN0-VM53发送最终MCM。于是，MN0-VM53中新创建的CM55的实例安装订户MCM，并且附着513到3GPP网络(通过互联网)。
[0087]尽管VM自身将被安装在虚拟化平台的域(DomU)中，一旦SH050注意到CM55已经附着到网络，它就向第三方云的虚拟化平台(此处由管理域(Dom0)56来表示)传送订户的VM。为了实现这一点，SH050经由云管理器51向管理域56发送信号514。在云管理器51与虚拟化平台之间的实际控制消息可以包含云系统内部的额外的信令信息。在步骤515中管理域56启动VM，并且将网络业务配置为经由MN0-VM53来行进。在返回信号516中向云管理器51发送安装成功的结果，并且该结果被转发到SH050。最后，向原始请求者发送结果517。
[0088]备选方案B-使用MNO-VM部署应用/服务
[0089]本实施例的备选方案A与B之间的区别在于:在A中，订户想要运行VM，而在B中订户只希望运行应用/服务，并且这是使用MNO-VM来完成的。由于不需要从虚拟化平台分配新的资源，所以与平台进行通信的步骤可以省略。这意味着，可以节省资源(可能导致成本降低)。然而，订户的服务必须被彻底验证。在MNO-VM内运行恶意服务可能会对其他订户和3G网络本身造成问题。因此，可以使用该解决方案部署的应用/服务很可能将是3G网络运营商或他们的经验证的合作伙伴开发的。从技术上讲，备选方案B与备选方案A非常相似，但取代为订户的VM分配资源，MNO-VM仅是设立容器(例如:FreeBSDjail)(下文将进一步描述)并且在其中运行订户的应用。云管理器不参与通信。
[0090]图6a针对备选方案B示意性地示出了 vM2ME如何与服务级别协议中涉及的各方相关联。MN060是3GPP网络61的运营商，并提供来自其拥有的但运行在第三方云64中的VM62的服务。MN060不具有对公共云64中的云OS或管理域的管理访问权限。从MN060的角度看，VM62是可信的。于是，MN060可以在VM62中运行其顾客(订户)的应用/服务。
[0091]图6b利用如前所述的分层概念示出了该备选方案B的VM2ME600。在该情况下，第三方的云平台的VMM或管理程序602驻留在硬件604上。与备选方案A —样，存在TRE，该TRE可选地基于TPM606。管理程序602支持虚拟化平台的管理域(domO) 608以及MNO的VM610 (其在domU中)。MNO的VM610包括经验证的服务(或应用)612、网络接口 614和操作系统(OS) 615以及一个或多个CM616及关联的MCM618。 [0092]图7是针对该第二实施例的备选方案B示出用于供应MCIM的过程的信号图。涉及的实体包括:SH070 ;第三方云的云管理器71 ;MN0-VM73 ;以及第三方云/虚拟化平台的管理域(DomO) 56。云管理器71和管理域76被示出，但是没有参与MCM供应信令。
[0093]从请求者(例如订户或订户的授权代理)接收针对供应VM服务的请求701。订户希望(使用SH070所提供的用于订户的MCM)运行其VM应用/服务，使得这些VM应用/服务在逻辑上是容宿在SHO的网络中，然而实际上是在第三方云中执行。优选地，请求701包含详细的要求(如，预期的CPU利用率、磁盘空间和联网要求等)，否则SH070将需要获取它需要的任何此类信息-例如，通过向订户请求来获取。通过信号702，SH070向MN0-VM73传送VM2ME。注意:此处VM2ME包含订户的应用/服务程序(其可以是具有源代码的形式(该源代码可稍后被编译以产生可执行二进制文件)，或者是直接地具有可执行二进制文件的形式)和MCIM。
[0094]尽管在图7中未示出，但是MNO-VM可以利用操作系统级虚拟化技术来创建用于订户的服务的单独的服务容器，所述操作系统级虚拟化技术的例子如FreeBSD jajl或Linux容器(LXC)。这种容器通常被用于操作系统级虚拟化，其中操作系统的内核允许多个相互隔离的用户空间实例(经常称为容器或jajl)，而不是只允许一个。除了隔离机制之外，内核通常还提供资源管理功能，以限制一个容器的活动对其他容器的影响。然而，本实施例的备选方案并不要求存在操作系统级虚拟化。容器的主要目的是为了防止订户拦截(或“嗅探”)彼此的业务和/或文件。这种隔离可以以其它方式来实现，例如利用动态连接器或强制访问控制来实现。[0095]CM75的新实例被安装在MN0-VM73中的服务容器(如果已创建的话)内。MN0-VM73中的CM75的新创建实例安装MCM，并且在步骤703中执行3GPP网络附着(通过互联网)。如果被使用，服务容器的网络访问被限制，直到已经完成成功的3GPP网络附着。
[0096]一旦CM75已经成功附着到网络，SH070向MN0-VM73发送请求704以启动订户的服务。在步骤705中，MN0-VM73预备订户的应用/服务以供执行，配置用于该服务的网络连接，并且启动该服务。这可以包括:首先编译应用/服务(如果订户提供源代码，而不是可执行代码)。以成功/失败指示706的形式向SH070返回结果，并且在信号707中将该结果中继到原始请求者。
[0097]上面描述的第一和第二实施例(及其备选方案)介绍了所发现的用于VM2ME部署的最可能的场景，其中CM+MCIM被安装在由SHO或第三方操作的虚拟化平台(或云)的管理域(domO)或VM(domU)中。应该理解，其它的场景也是可能的，例如其中CM+MCM被安装在第三方云中的VM(domU)上。然而,如所描述的实施例中使用的原理相同的原理仍然适用于MCM供应。
[0098]第三实施例:MC頂和CM位于物理网络梓口卡(DNIC)中
[0099]在该实施例中，嵌入式MCM应用驻留在物理网络接口卡(pNIC)上。所描述的实施例基于支持外围组件互连高速? (PCIe)单根I/O虚拟化和共享(SR-1OV)(即PCIe SR-10V)功能的NIC，尽管可编程NIC也使得有可能实现这样的功能。
[0100]支持SR-1OV功能的设备可以由虚拟机管理器(VMM)配置为显现多个功能，每个功能具有其自己的配置空间，这是利用基地址寄存器(BAR)来完成的。VMM通过将虚拟功能(VF)的实际配置空间映射到由VMM向VM提出的配置空间，来向VM分配一个或多个VF。
[0101]为了便于理解该实施例，下面是一些重要的与SR-1OV相关的术语:
[0102] ?系统镜像(SI)，其等价于虚拟机(VM)。
[0103]?单根PCI ?配置管理器(SR-PCM或PCM)，其负责对VF的配置和管理，并且是并入虚拟化平台作为VMM的一部分或者作为VMM的补充的软件。
[0104]?物理功能(PF)是PCIe ?功能(按照PCI Express基本规范)，其支持SR-10V功能，并且对于SR-PCM或SI而言是可访问的。
[0105]?虚拟功能(VF)与物理功能相关联，并且与所述物理功能和与同一 PF关联的其他VF共享一个或多个物理资源，如链路。VF是SI可直接访问的“轻量级” PCIe ?功能，并且对应于虚拟NIC。
[0106]该pNIC是支持PCIe ? SR-1OV功能的(或是可编程的)。物理资源等支持运行时重新配置、3GPP通信栈、嵌入式SM(MCM)等等。pNIC具有N个逻辑上分离的可信执行环境，所述可信执行环境被实现为SR-1OV虚拟功能(VF)或类似的模块。
[0107]图8a和8b中示出了针对该实施例的虚拟的机器对机器设备(vM2ME)80的概念结构，图8a和8b分别针对该第三实施例的两个备选实现之一。这两种备选都包括:支持PCIeSR-1OV功能的NIC81以及驻留在硬件83的VMM/管理程序82 ；以及安装了 SR-PCM85的管理域Dom084。管理程序82还支持虚拟域(DomU)中的一个或多个VM86。
[0108]在图8a中，pNIC81具有N个执行环境(VF) 87 (示出两个)，每个VF与关联的MCIM89 一起运行CM实例88，并且每个VF与VM86相关联。MCM89被存储在安全存储区域中，该安全存储区域(如图所示)可以驻留在与CM相同的安全执行环境中。MCIM也可以驻留在位于物理机器或PNIC81本身上的可信软件组件(如可信平台模块(TPM-未示出))中。
[0109]在图8b中，针对等价的特征，使用了与图8a中相同的附图标记，pNIC81具有:针对与合适的CM88m相耦合的主/首MCM89m的特殊执行环境/UICC (PF) 800 ；以及与每个VM86关联的分离的辅MCM89s。当部署VM86时，主MCM89m被用于自举VM86的辅MCM89s。在该备选方案4b中，辅MCM89s不需要供应能力，因为主MCM89m创建了安全信道，辅MCIM89S通过该安全信道被下载并且被存储在它们自己的执行环境中的PNIC81上。这种备选方案适合于下述应用:应用提供MNO自己的服务或者被MNO固有信任的专用顾客服务。
[0110]图9中示出了在安装MCM89的过程中的信令步骤。这是基于图8a中所示的备选方案。涉及的实体包括:云管理器/SH090 ；R092,其链接到DRF和DPF ；PVA94 ;云/虚拟化平台的管理域(DomO) 96 ;以及pNIC98。
[0111]订户/运营商(未示出)向云管理器/SH090发送用于部署订户的VM2ME的请求901。在步骤902中，SH090向RO(DRF)发送初级MCM/PCID信息，以便如上文在第一和第二实施例中描述地那样对供应进行注册/授权。云管理器/SH090向管理域96发送针对用于订户的vM2ME的资源以及初级MCM的请求903。管理域96向pNIC98发送查询904，以提供pNIC硬件上的用于CM95和MCM的空闲执行环境。当分配执行环境时，pNIC98设立CM95以在该执行环境中运行。CM95将使用初级MCM来设立3G供应。pNIC98向管理域96返回分配状态905，管理域96然后向云管理器/SH090发送通知906，以指示已经设立CM95和MCM并且存在足够的磁盘空间/RAM来容宿订户的VM。
[0112]在步骤907中，pNIC98上的CM95(独立于实际虚拟化平台主机)发起3GPP M2M自举。在步骤908中， R092向SH090发送自举请求消息以及与可信环境(TRE)有关的信息，使得SH090可以启动验证TRE的程序。SHO向PVA94发送验证请求909，在步骤910中PVA94执行验证TRE的状态所需的检查。一旦状态被验证，就向SH090返回验证结果911。如果是肯定结果，则在步骤912中SH090使用订户的最终MCM来更新R092。在步骤913中，RO(DPF) 92向CM95发送更新后的订户的MCM。pNIC98中的CM95于是执行3GPP网络附着过程914，其发信号通知SH090:已经成功完成自举和验证过程。于是，在步骤915中，云管理器/SH090向虚拟化平台的管理域96发送订户的VM软件。在步骤916中，管理域96将VM与pNIC98中的分配给订户的执行环境绑定在一起，并启动VM。在步骤917中，它通知云管理器/SH090，并且向请求901的发起者返回成功(或失败)通知918。
[0113]对于图Sb中所示的备选方案，信号流与图9中的相同，区别仅在于:执行自举的CM95是配置有主MCM89m的CM，而不是配置有订户的MCM89s的CM。
【权利要求】
1.一种提供订户身份以在虚拟计算环境中代表订户来供应服务的方法，所述方法包括: 接收用于建立针对虚拟的机器对机器设备VM2ME的执行环境的请求； 提供所述vM2ME，所述VM2ME包括用于在所述虚拟计算环境中执行的软件以及机器通信身份模块MCIM ； 设立用于在虚拟化平台的域中执行的通信模块CM，所述CM提供在所述VM2ME和3GPP网络之间的通信的端点；以及 安装用于与所述CM —起执行的所述MCIM，所述MCIM包括订户的3GPP身份、安全性数据和用于实现经由所述3GPP网络来访问所述vM2ME的功能。
2.根据权利要求1所述的方法，其中，设立所述CM包括: 提供初级机器通信身份模块MCIM ； 基于所述初级MCIM中提供的身份和安全性信息，执行自举过程；以及 当成功完成所述自举过程时，提供订户的MCIM，所述订户的MCIM包含所述订户的3GPP身份、安全性数据和用于实现经由所述3GPP网络来访问所述VM2ME的功能。
3.根据权利要求 2所述的方法，还包括:向所述虚拟化平台的管理域发送用于为所述vM2ME分配资源的请求；以及响应于对资源分配的确认，向所述虚拟化平台中所分配的域/位置提供所述初级MCIM，以执行用于在所分配的域/位置中设立用于执行的CM的所述自举过程。
4.根据权利要求3所述的方法，其中，在其内设立了用于执行的CM的所分配的域/位置是所述虚拟化平台的管理域。
5.根据权利要求3所述的方法，其中，在其内设立了用于执行的CM的所分配的域/位置是包括由所述3GPP网络的移动网络运营商所操作的虚拟机在内的所述虚拟化平台的域。
6.根据权利要求3所述的方法，其中，在其内设立了用于执行的CM的所分配的域/位置是物理网络接口卡PNIC，所述pNIC与所述虚拟化平台的虚拟机管理器VMM接口连接。
7.根据权利要求2至6中任一项所述的方法，还包括:从注册功能和供应功能获得授权，以认证所述初级MC IM并授权供应所述订户的MCM。
8.根据前述任一项权利要求所述的方法，还包括建立可信环境TRE，所述TRE包括:虚拟机管理器VMM以及连同所述CM和所述订户的MCIM —起的所述虚拟化平台的管理域。
9.根据权利要求9所述的方法，还包括:使用外部验证机构来验证所述TRE。
10.一种3GPP网络实体，被配置为提供订户身份以在虚拟计算环境中代表订户来供应服务，所述网络实体被配置为: 在接收到用于建立针对虚拟的机器对机器设备VM2ME的执行环境的请求时，提供所述VM2ME，所述VM2ME包括用于在所述虚拟计算环境中执行的虚拟机VM软件以及机器通信身份模块MCIM ； 设立用于在虚拟化平台中执行的通信模块CM，所述CM提供去往/来自所述VM的3GPP通信的端点；以及 安装用于与所述CM —起执行的所述MCIM，所述MCIM包括所述订户的3GPP身份、安全性数据和用于实现经由所述3GPP网络来访问所述VM2ME的功能。
11.根据权利要求10所述的3GPP网络实体，还被配置为:提供初级机器通信身份模块MCIM以及使得基于所述初级MCIM中提供的身份和安全性信息来执行自举过程，以设立所述CM ;以及 响应于成功完成所述自举过程的通知，提供订户的MCIM，所述订户的MCIM包括所述订户的3GPP身份、所述安全性数据和用于实现经由所述3GPP网络来访问所述VM的功能。
12.根据权利要求11所述的3GPP网络实体，还被配置为:向虚拟化平台的管理域发送用于为所述vM2ME分配资源的请求；以及响应于接收到对资源分配的确认，向所述虚拟化平台中所分配的域/位置提供所述初级MCIM，以执行用于在所分配的域/位置中设立所述CM的所述自举过程。
13.根据权利要求11或权利要求12所述的3GPP网络实体，被配置为:从注册功能和供应功能获得授权，所述授权认证所述初级MCIM并授权供应所述订户的MCIM。
14.根据权利要求11至13中任一项所述的3GPP网络实体，还被配置为:建立可信环境TRE，所述TRE包括VMM以及连同所述CM和所述订户的MCIM —起的所述虚拟化平台的管理域。
15.根据权利要求14所述的3GPP网络实体，还被配置为:使用外部验证机构来发起对所述TRE的验证。
16.一种计算机程序，用于将网络中的计算机编程为提供订户身份以从虚拟计算环境供应服务,包括: 在接收到用于建立针对虚拟的机器对机器设备VM2ME的执行环境的请求时，提供所述VM2ME，所述VM2ME包括用于在所述虚拟计算环境中执行的软件以及机器通信身份模块MCIM ； 设立用于在虚拟化平台的域中执行的通信模块CM，所述CM提供在所述VM2ME与3GPP网络之间的通信的端点；以及 安装用于与所述CM —起执行的所述MCIM，所述MCIM包括所述订户的3GPP身份、安全性数据和用于实现经由所述3GPP网络来访问所述VM2ME的功能。
17.根据权利要求16所述的计算机程序，还包括以下编程: 提供初级机器通信身份模块MCIM ； 发起基于所述初级MCIM中提供的身份和安全性信息来执行的自举过程，以设立所述通信模块CM ；以及 响应于成功完成所述自举过程的通知，安装用于与所述CM —起执行的订户的MCIM，所述订户的MCM包括所述安全性数据和用于实现经由所述3GPP网络来访问所述vM2ME的功倉泛。
18.—种包括指令的计算机程序产品，所述指令用于使得网络中的计算机能够提供订户身份以从虚拟计算环境供应服务，包括: 在接收到用于建立针对虚拟的机器对机器设备VM2ME的执行环境的请求时，提供所述VM2ME，所述VM2ME包括用于在所述虚拟计算环境中执行的软件以及机器通信身份模块MCIM ； 设立用于在虚拟化平台的域中执行的通信模块CM，所述CM提供在所述VM2ME与3GPP网络之间的通信的端点；以及安装用于与所述CM —起执行的所述MCIM，所述MCIM包括所述订户的3GPP身份、安全性数据和用于实现经由所述3GPP网络来访问所述VM2ME的功能。
19.根据权利要求18所述的计算机程序产品，还包括用于使得所述计算机能够执行下述操作的指令: 提供初级机器通信身份模块MCIM ； 发起基于所述初级MCIM中提供的身份和安全性信息来执行的自举过程，以设立所述通信模块CM ；以及 响应于成功完成所述自举过 程的通知，安装用于与所述CM —起执行的订户的MCIM，所述订户的MCM包括所述安全性数据和用于实现经由所述3GPP网络来访问所述vM2ME的功倉泛。
【文档编号】H04W8/26GK104025631SQ201180076088
【公开日】2014年9月3日 申请日期:2011年12月29日 优先权日:2011年12月29日
【发明者】克里斯蒂安·斯拉沃夫, 帕特里克·萨尔梅拉, 朱卡·于利塔洛 申请人:瑞典爱立信有限公司