一种虚拟机的安全访问方法及虚拟机系统的制作方法
【技术领域】
[0001]本发明涉及云计算技术领域，尤其涉及一种虚拟机的安全访问方法及虚拟机系统。
【背景技术】
[0002]云计算带给商业领域一个新型技术(IT，Informat1n Technology)服务提供及消费的新时代。云计算强化了协作性、敏捷性、扩展性、可用性，以及通过优化的、更有效率的计算来降低成本的特点。更具体的说，云描述了由“资源池”化的计算、网络、信息和存储等组成的服务、应用、信息和基础设施等的使用。云计算中组成组件可以迅速置备、部署和退役，并且可以顺序扩充或缩减，提供按需的、与效用计算类似的分配和消费模式。
[0003]云计算系统之所以能够自动控制优化某种服务的资源使用，是因为利用了警告某种程度抽象的测量能力。在云计算中，虚拟化技术是将资源抽象的重要选择技术之一。
[0004]在虚拟机化技术中，根据待虚拟的实体不同，可以分为不同类型的虚拟化。系统虚拟化技术是被广泛认识的一种虚拟化技术。
[0005]系统虚拟化的核心思想是虚拟化软件在一台物理机上虚拟出一台或多台虚拟机。虚拟机运行在一个隔离环境中，是具有完整硬件功能的逻辑计算机系统，其包括客户操作系统和其中的应用程序。在虚拟机系统中，多个操作系统可以互不影响地在同一台物理机上同时运行，复用物理资源。
[0006]尽管虚拟化技术得到迅猛发展，但是虚拟机系统的安全技术却严重滞后。在虚拟机上运行各种服务并保障系统安全，要比在单一计算机上复杂的多。虚拟机系统的安全威胁很多，例如虚拟机之间的攻击、资源占用冲突以及逃逸威胁等。因此，在使用虚拟机带来应用和管理便利的同时，应该更加重视解决虚拟安全问题，研究虚拟安全机制。
[0007]目前，虚拟化技术中的虚拟机监控软件(VMM，Virtual Machine Monitor)，或称为Hypervisor，它可以访问服务器上的所有硬件设备。当服务器启动并调用Hypervisor时，它会加载所有虚拟机客户端上的操作系统，同时给每个虚拟机分配适量的网络、CPU、磁盘和内存等物理资源。Hypervisor负责协调这些硬件资源的访问，同时也在每个虚拟机之间施加安全防护。在传统虚拟化技术中，针对虚拟机逃逸大多采用监控的方式来发现并阻止危险的发生。监控机制的一种思路是通过虚拟机环境提供的Hypervisor层从客户虚拟机所处环境之处，对其进行监控。这类机制可以有效地保护安全部件免遭篡改，同时这一方式对监控环境的影响较小，方便透明实现，在系统的兼容上也有优势。但是，上述方式会存在语义断层问题。
[0008]由于云计算与传统单机虚拟化环境架构的不同，在云计算中控制权由Hypervisor向云控制节点Controller转移。而传统的虚拟机监控机制设计在计算节点Hypervisor中，难以有效与云控制节点上虚拟机管理控制流程衔接，会出现安全链断裂而无法保证虚拟机整个生命周期的安全，并不能很好地在云计算场景中发挥作用。
【发明内容】
[0009]本发明的实施例提供一种虚拟机的安全访问方法及虚拟机系统，用以实现云计算虚拟机化平台中虚拟资源的安全保护。
[0010]为达到上述目的，本发明的实施例采用如下技术方案:
[0011]本发明实施例提供了一种虚拟机的安全访问方法，应用于虚拟机系统，所述虚拟机系统包括:计算节点，云计算控制节点，虚拟机，所述方法包括:所述云计算控制节点在所述虚拟机建立时，为所述虚拟机及所述虚拟机对应的虚拟资源配置对应的标识信息；所述计算节点接收虚拟机发送的虚拟资源访问请求消息；其中，所述虚拟资源访问请求消息中携带有虚拟机的标识信息及需访问的虚拟资源的标识信息；所述计算节点根据所述虚拟机的标识信息，及需访问的虚拟资源的标识信息，确定所述虚拟机是否具有访问所述虚拟资源的标识信息对应的虚拟资源的权限；在确定所述虚拟机具有访问所述虚拟资源的标识信息对应的虚拟资源的权限时，所述计算节点允许所述虚拟机访问所述虚拟资源的标识信息对应的虚拟资源；在确定所述虚拟机不具有访问所述虚拟资源的标识信息对应的虚拟资源的权限时，所述计算节点阻止所述虚拟机访问所述虚拟资源的标识信息对应的虚拟资源。
[0012]进一步的，在所述计算节点接收虚拟机发送的虚拟资源访问请求消息之前，还包括:云计算控制节点根据用户的利益信息，确定运行虚拟机的计算节点；所述云计算控制节点向所述运行虚拟机的计算节点发送建立与所述虚拟机间的运行关系的消息；所述计算节点接收云计算控制节点发送的建立与所述虚拟机间的运行关系的消息；所述计算节点根据所述建立与所述虚拟机间的运行关系的消息，为所述虚拟机分配运行资源，与所述虚拟机建立运行关系。
[0013]进一步的，在所述云计算控制节点根据用户的利益信息，确定运行虚拟机的计算节点之前，还包括:所述云计算控制节点根据所述虚拟机所在的计算节点的负载信息，确定是否迀移所述虚拟机；所述云计算控制节点根据用户的利益信息，确定运行虚拟机的计算节点包括:在所述云计算控制节点确定迀移所述虚拟机时，根据用户的利益信息，确定运行虚拟机的计算节点。
[0014]进一步的，所述云计算控制节点根据用户的利益信息，确定运行虚拟机的计算节点包括:在所述云计算控制节点确定创建虚拟机时，所述云计算控制节点根据用户的利益信息，确定运行虚拟机的计算节点。
[0015]进一步的，本发明实施例提供了一种虚拟机系统，包括:计算节点，云计算控制节点，虚拟机；其中，所述云计算控制节点，用于在所述虚拟机建立时，为所述虚拟机及所述虚拟机对应的虚拟资源配置对应的标识信息；所述计算节点，用于接收虚拟机发送的虚拟资源访问请求消息；其中，所述虚拟资源访问请求消息中携带有虚拟机的标识信息及需访问的虚拟资源的标识信息；所述计算节点，还用于根据所述虚拟机的标识信息，及需访问的虚拟资源的标识信息，确定所述虚拟机是否具有访问所述虚拟资源的标识信息对应的虚拟资源的权限；在确定所述虚拟机具有访问所述虚拟资源的标识信息对应的虚拟资源的权限时，允许所述虚拟机访问所述虚拟资源的标识信息对应的虚拟资源；在确定所述虚拟机不具有访问所述虚拟资源的标识信息对应的虚拟资源的权限时，阻止所述虚拟机访问所述虚拟资源的标识信息对应的虚拟资源。
[0016]进一步的，云计算控制节点，还用于根据用户的利益信息，确定运行虚拟机的计算节点；所述云计算控制节点，还用于向所述运行虚拟机的计算节点发送建立与所述虚拟机间的运行关系的消息；所述计算节点，还用于接收云计算控制节点发送的建立与所述虚拟机间的运行关系的消息；所述计算节点，还用于根据所述建立与所述虚拟机间的运行关系的消息，为所述虚拟机分配运行资源，与所述虚拟机建立运行关系。
[0017]进一步的，所述云计算控制节点，还用于根据所述虚拟机所在的计算节点的负载信息，确定是否迀移所述虚拟机；所述云计算控制节点，具体用于确定迀移所述虚拟机时，根据用户的利益信息，确定运行虚拟机的计算节点。
[0018]进一步的，所述云计算控制节点，具体用于在确定创建虚拟机时，根据用户的利益信息，确定运行虚拟机的计算节点。
[0019]本发明实施例提供了一种虚拟机的安全访问方法及虚拟机系统，虚拟机系统包括计算节点，云计算控制节点，虚拟机，所述方法包括:云计算控制节点在虚拟机