一种虚拟机密码信息安全迁移的实现方法及系统与流程

本发明涉及云计算环境下虚拟机迁移时密码信息安全迁移的安全保密，具体是一种虚拟机密码信息安全迁移的实现方法及系统。

背景技术：

1、目前虚拟器的迁移方法主要有离线迁移和在线迁移两种方法：

2、离线迁移(offlinemigration):也叫做常规迁移、静态迁移。在迁移之前将虚拟机暂停，该种方法从用户角度看，有明确的一段服务不可用的时间。这种迁移方式简单易行，适用于对服务可用性要求不严格的场合。

3、在线迁移(onlinemigration):又称为实时迁移(livemigration)。是指在保证虚拟机上服务正常运行的同时，虚拟机在不同的物理主机之间进行迁移，其逻辑步骤与离线迁移几乎完全一致。不同的是，为了保证迁移过程中虚拟机服务的可用，迁移过程仅有非常短暂的停机时间。迁移的前面阶段，服务在源主机运行，当迁移进行到一定阶段，目的主机已经具备了运行系统的必须资源，经过一个非常短暂的切换，源主机将控制权转移到目的主机，服务在目的主机上继续运行。对于服务本身而言，由于切换的时间非常短暂，用户感觉不到服务的中断，因而迁移过程对用户是透明的。在线迁移适用于对服务可用性要求很高的场景。

4、因为迁移透明的因素，为了保障云数据中心的安全，需要引入大量的密码设备，并基于密码设备创建安全策略，以满足安全保密需求，从而保证云数据中心的安全运行，不同于系统数据确实可以进行复原，密码信息在迁移出现丢失会导致大量数据损失且复原难度大。

5、为了解决上述问题，我们提出一种虚拟机密码信息安全迁移的实现方法及系统。

技术实现思路

1、本发明的目的在于提供一种虚拟机密码信息安全迁移的实现方法及系统，旨在解决虚拟机迁移安全性问题。

2、为实现上述目的，本发明提供如下技术方案：一种虚拟机密码信息安全迁移的实现方法，所述方法包括：

3、步骤s1：在各个计算节点实时监听队列信息，若监听到迁移信息，则进行迁移初始化可行性检测并确定计算节点一和计算节点二;

4、步骤s2：计算节点一对当前密钥管理系统解绑密码设备，回收密钥信息；

5、步骤s3：使用虚拟密码模块加密方式对数据进行加密传输；

6、步骤s4：在迁移完成后，通过虚拟加密器解绑，并计算节点二上的密钥管理系统与虚拟机重新对接，验证密钥信息，实现加密。

7、作为本发明所述的一种优选实施方案，所述步骤s1在各个计算节点实时监听队列信息，若监听到迁移信息，则进行迁移可行性检测的详细步骤如下：

8、首先在各个计算节点部署监听模块，实时监听队列信息；

9、在监听到队列信息后，依据监听信息确定迁移的两个节点，两个节点分别为计算节点一即初始节点，计算节点二即迁移节点；

10、确定待迁移节点执行迁移任务可行性检测。

11、作为本发明所述的一种优选实施方案，所述步骤确定待迁移节点执行迁移任务可行性检测包括如下步骤：

12、检测网络状态，网络状态良好时确定可行进入下一步，网络状态差时不可行，终止报错；

13、检测硬件资源，检测迁移位置的硬件资源是否充足，若资源充足则进行下一步，否则终止报错；

14、检测计算节点二的硬件是否兼容，验证计算节点二的服务器提供的扩展功能是否正常，若正常则进行下一步，否则终止报错；

15、检测虚拟机备份文件是否完整，若完整进行下一步，否则执行虚拟机备份任务。

16、作为本发明所述的一种优选实施方案，所述步骤s2：计算节点一对当前密钥管理系统解绑密码设备，回收密钥信息；

17、计算节点一向当前虚拟机中的密钥管理系统发布解绑请求；

18、密钥管理系统调用解绑功能，解绑虚拟机绑定的原密码设备；

19、密钥管理系统解绑后回收密钥信息。

20、作为本发明所述的一种优选实施方案，所述步骤s3：使用虚拟密码模块加密方式对数据进行加密传输的详细步骤如下：

21、在解绑原密码设备后使用，检测该节点可用数据加密方式；

22、使用该节点允许的加密方式，插入虚拟加密器进行加密；

23、将虚拟加密器同步发送到计算节点二；

24、发送完毕后核验虚拟加密器完整性，完整性通过方可进行迁移。

25、作为本发明所述的一种优选实施方案，所述步骤s4：在迁移完成后，通过虚拟加密器解绑，并计算节点二上的密钥管理系统与虚拟机重新对接，验证密钥信息，实现加密的详细步骤如下：

26、首先在迁移完成后计算节点二通过虚拟加密器发布解绑请求，解除对于虚拟机的绑定；

27、计算节点二解除虚拟加密器绑定，再次回收密钥；

28、评估计算节点二是否满足虚拟机的密码需求；

29、若满足则为目标虚拟机绑定新的密码设备；

30、为新的密码设备注入密钥信息完成信息迁移。

31、一种虚拟机密码信息安全迁移的实现系统，其特征在于，所述系统用于执行权利要求1-6任意一项所述方法，所述系统包括：

32、监听模块，所述监听模块用于时刻监听消息队列中的信息；

33、迁移模块，所述迁移模块用于执行密码解绑和绑定任务；

34、虚拟密码器模块，所述虚拟密码器模块用于进行虚拟加密，保障数据传输安全；

35、可行性验证模块，所述可行性验证模块用于验证迁移可行性。

36、作为本发明所述的一种优选实施方案，迁移模块包括：

37、解绑模块，所述解绑模块用于解绑密码设备；

38、绑定模块，所述绑定模块用于绑定密码设备。

39、作为本发明所述的一种优选实施方案，所述虚拟密码器模块中自带验证模块，用于验证虚拟密码器的完整性。

40、作为本发明所述的一种优选实施方案，所述可行性验证模块包括：

41、网络状态检查模块，所述网络状态检查用于验证网络状态是否满足需求；

42、硬件检查模块，所述硬件检查模块用于验证硬件是否满足需求；

43、兼容性检查模块，所述兼容性检查模块用于检查差兼容性；

44、备份检查模块，所述备份检查模块用于检查备份是否正常。

45、与现有技术相比，本发明的有益效果是：

46、本发明在本实施例中，采用虚拟密码模块对数据传输过程进行加密,在数据传输完成后,继续使用该虚拟密码模块保持数据的加密状态,以降低数据泄露的安全风险；通过检测网络状态，网络状态良好时确定可行进入下一步，网络状态差时不可行，终止报错；检测硬件资源，检测迁移位置的硬件资源是否充足，若资源充足则进行下一步，否则终止报错；检测计算节点二的硬件是否兼容，验证计算节点二的服务器提供的扩展功能是否正常，若正常则进行下一步，否则终止报错；检测虚拟机备份文件是否完整，若完整进行下一步，否则执行虚拟机备份任务；通过上述四个步骤的可行性检测，有利于保障迁移的可行性的同时，还可在不同节点分别报错，方便检查人员维护。