专利名称：一种提高云计算数据安全的方法及系统的制作方法
技术领域：
本发明涉及数据安全技术领域，特别涉及一种提高云计算数据安全的方法及系统。
背景技术：
云计算通过将IT (Information Technology)资源转化为服务(IT as aService),以按需付费的商业模式交付给终端用户使用，从而极大地降低了用户IT使用成本，加速了 IT资源的交付周期，提高了运营效率。云计算推动了 IT资源的集中和共享，按照其部署和服务范畴划分，云计算可以分为私有云计算、公有云计算和混合云计算，由于其提供的IT服务种类的不同，云计算又以以下模式体现基础架构即服务(IaaS, Infrastructure as a Service),平台即服务(PaaS, Platform as a Service),软件即服务(SaaS, Software as a Service),存储即服务(cloud storage, Storage as a Service)等。通过云计算，虽然用户的IT成本可以得到降低，但是也使数据安全风险更多地集中在云计算数据中心端，具体表现在以下几个方面1)多租户模式下的数据隔离和安全问题；公有云计算数据中心，处在多租户模式下，多个租户特别是彼此为竞争对手的租户的数据存储在一起会导致一定的安全风险，私有云计算数据中心也需要为各个职能部门之间的数据提供有效的数据隔离；2)黑客的非法入侵会导致重要数据的泄漏；3)云计算数据中心管理员特别是超级管理员的人为错误或者职业操守问题可能导致用户数据的泄露等等。目前，云计算数据安全的解决方案大致可以分为两类一类是针对存储即服务(即云存储)，通过逻辑级别多租户的数据隔离，依赖数据加密技术保护用户的数据安全。所谓逻辑级别的隔离，主要通过云计算数据中心端保存的元数据信息实现的，例如基于对象的存储系统(Object Storage Device, 0SD),典型的实施有EMC Atmos, Amazon S3存储服务等；还有基于策略多租户数据安全管理方法和系统，如美国专利 US 2011/0022642Policy Driven Cloud Storage Management and Cloud StoragePolicy Router所记述。逻辑级别隔离的情况下，虽然不同用户登录后所见到的数据仅为其所授权的数据，但是为了保护数据安全，用户通常需要将数据加密后传输到云计算数据中心。另一类是针对存储即服务之外的云计算模式，例如软件即服务(SaaS)、基础架构即服务(IaaS)、平台即服务(PaaS)等。对于这些云计算模式，存储即服务的数据安全解决方案并不适用，这是因为，存储即服务大多是基于Restful协议而不是基于SCSI协议，以数据对象或者文件为单位存取数据，数据安全性具有较高优先级(数据通常需要加密)，对数据访问延迟、1/0性能和可靠性的要求较低；而对于其他云计算模式(即SaaS，IaaS, PaaS等)而言，数据访问主要是基于SCSI协议的，因此数据访问延迟性、1/0性能及可靠性，与数据的安全性同样具有相同甚至更高的优先级，同时为了保证数据访问1/0性能，数据通常不能被加密，从而使得云计算的租户的数据安全完全依赖于云计算服务提供商的职业操守和其对数据安全性保护的技术能力。对于该类云计算模式，目前的解决方案主要是通过云计算数据中心端的多租户数据物理级别隔离加之云计算服务提供商与用户签订的SLA(Service Level Agreement，服务水平协议)保障。所谓多租户数据物理级别的隔离主要通过云计算数据中心端划分不同LUN实现的。每个用户在数据中心端被分配了一个或多个独占的物理LUN设备，其数据仅保存在该物理LUN设备上，从而实现了不同用户数据之间的物理级别隔离，典型的解决方案为Netapp MultiStore。物理级别隔离，可以在一定程度上保证数据访问的性能及可靠性，但是，考虑到为了保证性能，数据在云计算端很难加密，由此带来的数据安全的风险则是云计算租户所不能不顾虑的。虽然与云计算服务商之间的服务合同可以在一定程度上降低以上风险，但是也无法避免，非法入侵用户或者云计算数据中心管理员仍可以在数据所有者未授权的情况下，将用户数据保存的LUN设备非法挂载到其他终端上，进而获取数据的情况。综上所述，现有的云计算数据安全解决方案技术还无法解决除存储即服务之外的云计算模式(特别是IaaS、PaaS和SaaS)的数据安全问题，即在保证数据安全的同时，兼顾数据访问性能、可靠性等企业级云计算应用的要求。
发明内容
为了解决现有云计算数据安全解决方案不适用于云存储之外的云计算模式，以及易被非法获取等问题，本发明提供了一种提高云计算数据安全的方法，所述方法包括用户为云计算服务应用实例可用的物理LUN设备建立索引信息表；用户建立一个虚拟LUN设备，根据所述索引信息表，设置所述虚拟LUN设备的虚拟LBA地址空间与实际数据存储LBA地址空间的对应规则；用户根据所述对应规则，建立并保存数据访问虚拟LUN设备的虚拟LBA地址空间与指定云计算数据中心的实际数据存储LBA地址空间的对应关系；根据所述对应关系，获取外部数据读写请求指向的虚拟LBA地址空间对应的实际数据的存储位置信息，完成I/o重定向。所述索引信息表的内容包括LUN设备全局ID、云计算数据中心ID和LUN设备局部ID;所述云计算服务应用实例包括软件即服务、基础架构即服务和平台即服务。所述虚拟LUN设备放置在用户端或用户信赖的第三方托管端。所述建立并保存对应关系的步骤具体包括选择多个LBA地址作为虚拟LBA地址空间和实际LBA地址空间的最小分割单元；根据所述最小分割单元，将所述虚拟LBA地址空间和实际数据存储LBA地址空间，分割成数量相等的虚拟LBA地址段和实际LBA地址段；用户根据所述对应规则，将所述虚拟LBA地址段与实际LBA地址段一一对应，以及将所述虚拟LBA地址段中的虚拟LBA地址与其对应的实际LBA地址段中的实际LBA地址进行一一对应，并根据以上对应结果建立且保存虚拟LBA地址空间与实际数据存储LBA地址空间的对应关系。所述多个LBA地址为多个连续的、不连续的、有规律或无规律的LBA地址。所述根据所述对应关系，获取外部数据读写请求指向的虚拟LBA地址空间对应的实际数据的存储位置信息，完成I/o重定向的步骤具体包括
根据外部数据读写请求指定的虚拟LBA地址空间与指定云计算数据中心的实际数据存储LBA地址空间的对应关系，查询并获取虚拟LBA地址空间中每个虚拟LBA地址对应的实际数据存储的LBA地址；根据所述索引信息表中的LUN设备全局ID，查询并获取每个实际LBA地址所对应的云计算数据中心和其对应的LUN设备局部ID ；根据每个实际LBA地址对应的云计算数据中心和LUN设备局部ID，将外部数据读写请求转发到实际数据存储LBA地址空间上，完成数据I/O请求的重定向。所述方法还包括用户按照预置的频率更新所述对应关系。本发明还提供了一种提高云计算数据安全的系统，包括建立模块，用于用户为云计算服务应用实例可用的物理LUN设备建立索引信息表;·设置模块，用于用户建立一个虚拟LUN设备，根据所述索引信息表，设置所述虚拟LUN设备的虚拟LBA地址空间与实际数据存储LBA地址空间的对应规则；建立保存模块，用于用户根据所述对应规则，建立并保存数据访问虚拟LUN设备的虚拟LBA地址空间与指定云计算数据中心的实际数据存储LBA地址空间的对应关系；重定向模块，用于根据所述对应关系，获取外部数据读写请求指向的虚拟LBA地址空间对应的实际数据的存储位置信息，完成I/O重定向。所述建立保存模块包括选择单元，用于选择多个LBA地址作为虚拟LBA地址空间和实际LBA地址空间的最小分割单元；分割单元，用于根据所述最小分割单元，将所述虚拟LBA地址空间和实际数据存储LBA地址空间，分割成数量相等的虚拟LBA地址段和实际LBA地址段；对应关系建立单元，用于用户根据所述对应规则，将所述虚拟LBA地址段与实际LBA地址段——对应，以及将所述虚拟LBA地址段中的虚拟LBA地址与其对应的实际LBA地址段中的实际LBA地址进行一一对应，并根据以上对应结果建立且保存虚拟LBA地址空间与实际数据存储LBA地址空间的对应关系。所述重定向模块包括第一获取单元，用于根据外部数据读写请求指定的虚拟LBA地址空间与指定云计算数据中心的实际数据存储LBA地址空间的对应关系，查询并获取虚拟LBA地址空间中每个虚拟LBA地址对应的实际数据存储的LBA地址；第二获取单元，用于根据所述索引信息表中的LUN设备全局ID，查询并获取每个实际LBA地址所对应的云计算数据中心和其对应的LUN设备局部ID ；定向单元，用于根据每个实际LBA地址对应的云计算数据中心和LUN设备局部ID，将外部数据读写请求转发到实际数据存储LBA地址空间上，完成数据I/O请求的重定向。所述系统还包括更新模块，用于用户按照预置的频率更新所述对应关系。本发明实现了用户数据在云计算数据中心端物理级别隔离的同时，使数据所有者可以掌控元数据的生成方法、保存方法及位置信息，并且兼顾了企业级云计算服务计算对I/o性能和可靠性的要求，从而使得即便云计算数据中心被非法入侵，用户数据所在物理LUN设备也不会被非法挂载，用户数据也不会泄露，保障了用户数据的安全。
图I是本发明实施例虚拟LBA地址空间到实际数据存储LBA地址空间的对应关系示意图；图2是本发明实施例第三方云计算服务对虚拟LUN设备的访问实例一；图3是本发明实施例第三方云计算服务对虚拟LUN设备的访问实例二 ；图4是本发明实施例的提高云计算数据安全的方法流程图；
图5是本发明实施例的提高云计算数据安全的系统结构示意图。
具体实施例方式下面结合附图和实施例，对本发明技术方案作进一步描述。为了更加完善地解决云计算数据安全问题，本发明实施例提供了一种提高云计算数据安全的方法，该方法是由用户建立并在用户端(或用户信任的第三方托管端)保存云计算服务应用实例数据访问虚拟LUN设备的虚拟LBA地址空间和指定云计算数据中心的实际数据存储LBA地址空间的对应关系；根据该对应关系获取外部数据读写请求指向的虚拟LBA地址空间对应的实际数据的存储位置信息，进而完成用户数据访问的I/O重定向。通过上述方法可以实现多租户数据在云计算数据中心端的物理隔离，同时在数据不加密的情况下，如果数据所有者不授权I/O请求的虚拟LBA地址空间和指定云计算数据中心的实际数据存储LBA地址空间的对应关系信息，数据实际内容很难被非法获取，大大地增强了用户数据的安全性。需要说明的是，本发明实施例所指云计算及云计算服务应用实例，仅适用于除了存储即服务(或称云存储)之外的云计算模式，包括软件即服务(SaaS)、基础架构即服务(IaaS)和平台即服务(PaaS)等。参见图4，本发明实施例提供了一种提高云计算数据安全的方法，包括如下步骤步骤101 :用户为云计算服务应用实例可用的物理LUN设备建立索引信息表。首先，用户需要为其所拥有的或所租用的云计算服务应用实例，规划用来存储实际数据的物理LUN设备。这些物理LUN设备可以来源于云计算服务提供商(位于其指定的云计算数据中心中)，或者来源于第三方存储服务提供商(为了保证数据访问性能，它们需要与云计算服务提供商构建较好的网络连接)，或者来源于用户本地的数据中心。在具体应用中，第三方存储服务提供商可以包括存储即服务提供商(即云存储服务提供商)，例如Amazon S3存储服务；需要说明的是，目前的公有云存储服务多数是基于Restful协议的以数据对象或者文件为单位的存取，而不是基于SCSI协议的数据块的存取，为了使本发明实施例的云计算服务应用实例可以访问其数据，需要进行协议转换，即将Restful协议转换为基于块的数据访问协议(block based protocol),这种协议转换已经有成功的实践，典型的有StorSimple, TwinStrata的云存储产品与解决方案,具体细节这里不再赘述。其次，用户需要为云计算服务应用实例所使用到的物理LUN设备建立一张全局物理LUN设备的索引信息表，如表I所示。该索引信息表包括LUN设备全局ID、云计算数据中心ID和LUN设备局部ID ;其中，LUN设备全局ID是建立未来虚拟LUN设备上虚拟LBA地址空间与实际数据保存位置对应关系的主要依据之一；同时，LUN设备全局ID和所分配的云计算数据中心ID都是局部变量，其作用范围仅限于该用户的该虚拟LUN设备。对于不同的用户甚至同一用户的不同(如下面步骤102所述)虚拟LUN设备，索引信息表所中的信息都可以不同，例如同一云计算数据中心ID在用户A处可以被分配为0，在用户B处可以被分配为I等等，这种分配方法对于保护数据所有者数据的隐私性有好处。另外，从数据安全性的考虑，该索引信息表通常保存在用户端或者用户信赖的第三方托管端。表I
权利要求
1.一种提高云计算数据安全的方法，其特征在于，所述方法包括 用户为云计算服务应用实例可用的物理LUN设备建立索引信息表； 用户建立一个虚拟LUN设备，根据所述索引信息表，设置所述虚拟LUN设备的虚拟LBA地址空间与实际数据存储LBA地址空间 的对应规则； 用户根据所述对应规则，建立并保存数据访问虚拟LUN设备的虚拟LBA地址空间与指定云计算数据中心的实际数据存储LBA地址空间的对应关系； 根据所述对应关系，获取外部数据读写请求指向的虚拟LBA地址空间对应的实际数据的存储位置信息，完成I/O重定向。
2.如权利要求I所述的提高云计算数据安全的方法，其特征在于，所述索引信息表的内容包括LUN设备全局ID、云计算数据中心ID和LUN设备局部ID ;所述云计算服务应用实例包括软件即服务、基础架构即服务和平台即服务。
3.如权利要求2所述的提高云计算数据安全的方法，其特征在于，所述虚拟LUN设备放置在用户端或用户信赖的第三方托管端。
4.如权利要求3所述的提高云计算数据安全的方法，其特征在于，所述建立并保存对应关系的步骤具体包括 选择多个LBA地址作为虚拟LBA地址空间和实际LBA地址空间的最小分割单元； 根据所述最小分割单元，将所述虚拟LBA地址空间和实际数据存储LBA地址空间，分割成数量相等的虚拟LBA地址段和实际LBA地址段； 用户根据所述对应规则，将所述虚拟LBA地址段与实际LBA地址段一一对应，以及将所述虚拟LBA地址段中的虚拟LBA地址与其对应的实际LBA地址段中的实际LBA地址进行一一对应，并根据以上对应结果建立且保存虚拟LBA地址空间与实际数据存储LBA地址空间的对应关系。
5.如权利要求4所述的提高云计算数据安全的方法，其特征在于，所述多个LBA地址为多个连续的、不连续的、有规律或无规律的LBA地址。
6.如权利要求5所述的提高云计算数据安全的方法，其特征在于，所述根据所述对应关系，获取外部数据读写请求指向的虚拟LBA地址空间对应的实际数据的存储位置信息，完成I/O重定向的步骤具体包括 根据外部数据读写请求指定的虚拟LBA地址空间与指定云计算数据中心的实际数据存储LBA地址空间的对应关系，查询并获取虚拟LBA地址空间中每个虚拟LBA地址对应的实际数据存储的LBA地址； 根据所述索引信息表中的LUN设备全局ID，查询并获取每个实际LBA地址所对应的云计算数据中心和其对应的LUN设备局部ID ； 根据每个实际LBA地址对应的云计算数据中心和LUN设备局部ID，将外部数据读写请求转发到实际数据存储LBA地址空间上，完成数据I/O请求的重定向。
7.如权利要求6所述的提高云计算数据安全的方法，其特征在于，所述方法还包括用户按照预置的频率更新所述对应关系。
8.一种提高云计算数据安全的系统，其特征在于，包括 建立模块，用于用户为云计算服务应用实例可用的物理LUN设备建立索引信息表； 设置模块，用于用户建立一个虚拟LUN设备，根据所述索引信息表，设置所述虚拟LUN设备的虚拟LBA地址空间与实际数据存储LBA地址空间的对应规则； 建立保存模块，用于用户根据所述对应规则，建立并保存数据访问虚拟LUN设备的虚拟LBA地址空间与指定云计算数据中心的实际数据存储LBA地址空间的对应关系； 重定向模块，用于根据所述对应关系，获取外部数据读写请求指向的虚拟LBA地址空间对应的实际数据的存储位置信息，完成I/O重定向。
9.如权利要求8所述的提高云计算数据安全的系统，其特征在于，所述建立保存模块包括 选择单元，用于选择多个LBA地址作为虚拟LBA地址空间和实际LBA地址空间的最小分表I]单兀； 分割单元，用于根据所述最小分割单元，将所述虚拟LBA地址空间和实际数据存储LBA 地址空间，分割成数量相等的虚拟LBA地址段和实际LBA地址段； 对应关系建立单元，用于用户根据所述对应规则，将所述虚拟LBA地址段与实际LBA地址段一一对应，以及将所述虚拟LBA地址段中的虚拟LBA地址与其对应的实际LBA地址段中的实际LBA地址进行一一对应，并根据以上对应结果建立且保存虚拟LBA地址空间与实际数据存储LBA地址空间的对应关系。
10.如权利要求9所述的提高云计算数据安全的系统，其特征在于，所述重定向模块包括 第一获取单元，用于根据外部数据读写请求指定的虚拟LBA地址空间与指定云计算数据中心的实际数据存储LBA地址空间的对应关系，查询并获取虚拟LBA地址空间中每个虚拟LBA地址对应的实际数据存储的LBA地址； 第二获取单元，用于根据所述索引信息表中的LUN设备全局ID，查询并获取每个实际LBA地址所对应的云计算数据中心和其对应的LUN设备局部ID ； 定向单元，用于根据每个实际LBA地址对应的云计算数据中心和LUN设备局部ID，将外部数据读写请求转发到实际数据存储LBA地址空间上，完成数据I/O请求的重定向。
11.如权利要求10所述的提高云计算数据安全的系统，其特征在于，所述系统还包括更新模块，用于用户按照预置的频率更新所述对应关系。
全文摘要
本发明公开了一种提高云计算数据安全的方法及系统，属于数据安全技术领域。所述方法包括用户为云计算服务应用实例可用的物理LUN设备建立索引信息表，根据索引信息表，设置虚拟LUN设备的虚拟LBA地址空间与实际数据存储LBA地址空间的对应规则；用户根据对应规则，建立并保存虚拟LBA地址空间与实际数据存储LBA地址空间的对应关系；根据对应关系，获取读写请求指向的虚拟LBA地址空间对应的实际数据的存储位置信息，完成I/O重定向。所述系统包括建立模块、设置模块、建立保存模块和重定向模块。本发明使数据所有者掌控元数据的生成方法、保存方法及位置，使用户数据所在的LUN设备不会被非法挂载，保障了用户数据的安全。
文档编号H04L29/06GK102882885SQ20121039382
公开日2013年1月16日 申请日期2012年10月17日 优先权日2012年10月17日
发明者赵乃岩 申请人:北京卓微天成科技咨询有限公司