本发明涉及数据安全领域，具体为一种云计算数据安全支撑平台。
背景技术：
可信计算是一种新的信息安全技术，能够通过信任根，在系统中建立起一套完整的可信度量机制，监控系统中的运行行为和运行状态，区分可信、不可信程序，是防范系统中非法程序运行的有效手段，能够从根本上解决系统的可信。
例如，申请号为201110029138.0，专利名称为一种云计算数据安全支撑平台的发明专利：
其利对提取的元信息加密后发送给云数据安全服务系统；云计算或云存储系统用于存储安全云客户端上传的数据；云数据安全服务系统用于存储安全云客户端加密上传的元信息和密钥信息，并提供文件访问支持，以及密文检索和数据验证服务支持，本平台大大提高了数据的安全性，具有计算效率高、安全性好等优点。
但是，现有的云计算数据安全支撑平台存在以下缺陷：
(1)传统可信计算技术以可信硬件为作为可信根，而云计算模式中应用程序运行在一个虚拟化的运行环境中，这就使得传统的可信计算机制在云环境中缺少必要的可信硬件保障；
(2)“云”中的资源采用运营商服务进行管理和维护，如何建立运营商与云租户之间的信任也是解决云安全问题的关键，这又向传统可信计算技术提出了新的挑战。
技术实现要素：
为了克服现有技术方案的不足，本发明提供一种云计算数据安全支撑平台，能有效的解决背景技术提出的问题。
本发明解决其技术问题所采用的技术方案是：
一种云计算数据安全支撑平台，包括云管理层、云平台层和虚拟化层，所述云管理层包括云计算系统、云安全子系统和云可信子系统，所述云计算系统的信号端与云安全子系统交互连接，所述云安全子系统的控制端与云可信子系统相连接，所述云计算系统包括云管理中心，所述云管理中心信号端连接有云管理组件，所述云管理组件的信号端连接有安全管理机制，所述安全管理机制的控制端与云可信子系统相连接，所述云可信子系统的内部设置有可信管理中心，所述可信管理中心的信号端连接有第三方可信服务中心，所述可信管理中心的信号端与云平台层相连接，所述云平台层的内部设置有平台可信服务器，所述平台可信服务器的信号端与虚拟化层相连接，所述虚拟化层的内部设置有虚拟化可信服务器，所述虚拟化可信服务器的信号端与第三方可信服务中心相连接。
进一步地，所述平台可信服务器的信号端连接有平台安全机制，所述平台安全机制的内部设置有云平台中间插件。
进一步地，所述虚拟化可信服务器的交互端口连接有vm安全机制，所述vm安全机制的内部设置有虚拟化层程序管理模块。
进一步地，所述虚拟化层程序管理模块的信号控制端连接到用户端，所述用户端的信号线与虚拟化可信服务器相连接，所述用户端的交互端口与第三方可信服务中心相连接。
进一步地，所述第三方可信服务中心的内部设置有可信策略基准库。
进一步地，所述云安全子系统包括云服务商环境平台和物理平台，所述云服务商环境平台包括云平台可信管理模块和用户管理模块，所述云平台可信管理模块和用户管理模块的信号端均连接有云终端，所述物理平台的内部设置有物理可信根。
进一步地，所述云平台可信管理模块的输出端连接有可信平台节点管理模块，所述可信平台节点管理模块的输出端与物理可信根相连接。
进一步地，所述用户管理模块的信号端连接有虚拟可信根，所述虚拟可信根的控制端连接有虚拟可信根管理模块，所述虚拟可信根管理模块的信号端与物理可信根相连接。
进一步地，所述虚拟可信根管理模块的控制端与第三方可信服务中心相连接，所述第三方可信服务中心的控制端与云终端相连接，所述云终端的信号端与虚拟可信根管理模块相连接。
与现有技术相比，本发明的有益效果是：
(1)本发明的可信云支撑系统是由云计算中各计算节点上的所有安全组件集成的分布式可信云系统，该子系统由第三方管理中心进行统一管理和维护，为云安全提供可信支撑；
(2)本发明的支撑系统建立系统、安全、可信三方独立运行的子系统，其中云可信子系统透明运行，为云安全提供可信支撑，实现了云计算模式中整体系统机制的高效运行。
附图说明
图1为本发明的整体结构示意图；
图2为本发明的云安全子系统示意图。
图中标号：
1-云管理层；2-云平台层；3-虚拟化层；4-第三方可信服务中心；5-可信策略基准库；6-用户端；7-云终端；
101-云计算系统；102-云安全子系统；103-云可信子系统；104-云管理中心；105-云管理组件；106-安全管理机制；107-可信管理中心；108-云服务商环境平台；109-物理平台；110-云平台可信管理模块；111-可信平台节点管理模块；112-用户管理模块；113-虚拟可信根；114-虚拟可信根管理模块；115-物理可信根；
201-平台安全机制；202-云平台中间插件；203-平台可信服务器；
301-虚拟化可信服务器；302-vm安全机制；303-虚拟化层程序管理模块。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1和图2所示，本发明提供了一种云计算数据安全支撑平台，包括云管理层1、云平台层2和虚拟化层3，所述云管理层1包括云计算系统101、云安全子系统102和云可信子系统103，在实际运行中，安全系统的运行对云计算系统101来说是完全透明的，不会对系统运行产生任何影响，且云安全子系统102虽然能够通过云可信子系统103调用底层的可信功能，但是这些可信功能的具体实现是在云可信子系统103内部完成，对安全子系统是完全透明的，做到了云计算系统、云安全系统和云可靠运行。
所述云计算系统101的信号端与云安全子系统102交互连接，所述云安全子系统102的控制端与云可信子系统103相连接，所述云计算系统101包括云管理中心104，所述云管理中心104信号端连接有云管理组件105，所述云管理组件105的信号端连接有安全管理机制106，所述安全管理机制106的控制端与云可信子系统103相连接，所述云可信子系统103的内部设置有可信管理中心107，所述可信管理中心107的信号端连接有第三方可信服务中心4，所述可信管理中心107的信号端与云平台层2相连接，所述云平台层2的内部设置有平台可信服务器203，所述平台可信服务器203的信号端与虚拟化层3相连接，所述虚拟化层3的内部设置有虚拟化可信服务器301，所述虚拟化可信服务器301的信号端与第三方可信服务中心4相连接。
需要进一步说明的是，云管理中心104位于管理层，负责对虚拟化平台进行统一管理，云管理组件位于云计算系统中，为云计算的系统管理功能提供支持；安全管理机制106位于云安全子系统中，负责管理和维护云计算系统的安全机制，为云平台的安全提供安全支持和保护，可信管理中心107与第三方可信服务中心4和平台可信服务交互，通过调用第三方可信服务中心4提供的可信策略为虚拟化平台提供可信管理和可信保障。
所述虚拟化层3主要包含客户虚拟机，能通过虚拟化层应用程序为云计算系统上层应用提供具体服务，客户虚拟机的安全是通过云安全子系统102来实现的，云安全系统根据客户的安全需求为虚拟机部署对应的安全机制，此外，为支持云系统的可信，特在云可信子系，103上建立虚拟机可信服务程序，虚拟机可信服务通过调用第三方可信服务中心4的可信策略来为虚拟机安全机制和平台可信服务提供可信支撑，在整个可信云支撑子系统中，应用系统、安全系统和可信系统既相互关联又能独立运行，各模块功能的具体实现在各子系统内部完成，对外仅提供数据功能交互的接口，实现了数据的透明传输。
进一步说明的是，所述平台可信服务器203的信号端连接有平台安全机制201，所述平台安全机制201的内部设置有云平台中间插件202，云平台层2中间位于云计算系统中，主要用于不同虚拟化平台间的交互；平台安全机制201采用安全技术来保障虚拟化平台的安全；平台可信服务器203通过与可信管理中心、虚拟机可信服务进行通信，获取可信管理中心发送的可信管理策略以及虚拟机的可信需求，对可信平台提供可信服务，支持平台安全机制201的可信功能。
进一步说明的是，所述虚拟化可信服务器301的交互端口连接有vm安全机制302，所述vm安全机制302的内部设置有虚拟化层程序管理模块303，所述虚拟化层程序管理模块303的信号控制端连接到用户端6，所述用户端6的信号线与虚拟化可信服务器301相连接，所述用户端6的交互端口与第三方可信服务中心4相连接，所述第三方可信服务中心4的内部设置有可信策略基准库5。
进一步说明的是，所述云安全子系统102包括云服务商环境平台108和物理平台109，所述云服务商环境平台108包括云平台可信管理模块110和用户管理模块112，所述云平台可信管理模块110和用户管理模块112的信号端均连接有云终端7，所述物理平台109的内部设置有物理可信根115，所述云平台可信管理模块110的输出端连接有可信平台节点管理模块111，所述可信平台节点管理模块111的输出端与物理可信根115相连接，云用户能够通过虚拟机可信服务进程向可信第三方发送报告，支持虚拟机运行环境的可信验证，此外，云用户也可考虑和可信第三方直接建立可信连接，来验证客户虚拟机完整性报告的可信性。
进一步说明的是，所述用户管理模块112的信号端连接有虚拟可信根113，保证了其运行过程对底层机制透明，所述虚拟可信根113的控制端连接有虚拟可信根管理模块114，所述虚拟可信根管理模块114的信号端与物理可信根115相连接，所述虚拟可信根管理模块114的控制端与第三方可信服务中心4相连接，所述第三方可信服务中心4的控制端与云终端7相连接，所述云终端7的信号端与虚拟可信根管理模块114相连接。
在可信云层次结构中，应用系统独立运行，不同节点上的安全策略机制之间也并不直接相连，而是通过可信子系统建立联系，由第三方可信服务中心进行可信策略的统一管理和维护，并通过基于可信根的可信链扩展和可信度量、可信报告等功能，实现不同子系统间的可信互联，保障云环境的可信。
对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。