可信资源池的构建方法
【技术领域】
[0001]本发明涉及一种可信资源池的构建方法，属于数据中心安全性管理技术领域。
【背景技术】
[0002]数据中心是存储核心数据、资源信息等重要数据的数据仓库，作为信息系统的核心及枢纽单元，数据中心的安全性必须得到多个层面的保障，按照0SI信息安全体系框架和国家信息安全保障体系，数据中心安全防范体系结构由技术体系、组织体系和管理体系构成；从技术角度讲，对数据中心的非法性访问，各种已有的和新兴的网络攻击、病毒等，都会对数据中心的安全性造成威胁，如何有效预防数据中心的安全隐患，是本领域技术人员致力于解决的技术问题。
【发明内容】
[0003]鉴于上述原因，本发明的目的在于提供一种可信资源池的构建方法，将经过可信启动并通过验证的可信主机划分于可信资源池中，在此基础上，将具有不同安全性要求的负载运行于不同的主机上，可有效预防数据中心的安全隐患，提高数据中心的安全性和资源利用效率。
[0004]为实现上述目的，本发明采用以下技术方案：
[0005]—种可信资源池的构建方法，所有主机为包括可信芯片的主机，
[0006]将经过完整性验证的可信主机划分于可信资源池中，
[0007]按照不同的属性条件将该可信资源池划分为相应的子可信资源池。
[0008]按照计算性能、存储性能、网络性能条件，对所述可信资源池中的可信主机进行过滤，以划分为对应属性的子可信资源池。
[0009]进一步的，
[0010]所述计算性能条件包括CPU核数、CPU线程数、CPU主频，将所有满足该计算性能条件的可信主机，划分为计算密集型子可信资源池。
[0011]所述存储性能条件包括硬盘容量、磁盘读写速率，将所有满足该存储性能条件的可信主机，划分为存储密集型子可信资源池。
[0012]所述网络性能条件为网络吞吐量、网络延迟，将所有满足该网络性能条件的可信主机，划分为网络I/o密集型子可信资源池。
[0013]该方法还包括：为对计算性能要求较高的安全性数据或应用分配所述计算密集型子可信资源池中的资源，为对存储性能要求较高的安全性数据或应用分配所述存储密集型子可信资源池，为对网络性能要求较高的安全性数据或应用分配所述网络I/O密集型子可信资源池中的资源。
[0014]将所述主机的地理位置信息保存于所述可信芯片中，按照地理位置信息条件，将所有可信主机划分为不同地理位置的子可信资源池，将所有未通过完整性验证的普通主机划分为不同地理位置的子普通资源池。
[0015]所述完整性验证的方法是：通过可信启动过程对所有主机进行完整性度量，通过远程认证服务器对主机的完整性进行验证。
[0016]所述可信启动的方法是，在主机的启动过程中，对要执行部分的代码或数据进行度量值计算，对计算得到的度量值进行哈希运算，将生成的哈希值保存于可信芯片中，主机启动结束，得到多个度量值。
[0017]将所述远程认证服务器中保存的基准度量值与所述主机的度量值进行比较，二者一致时，主机验证通过，成为所述可信主机，二者不一致时，验证未通过，成为普通主机。
[0018]本发明的优点在于：
[0019]本发明的可信资源池的构建方法，将经过可信启动并通过验证的可信主机划分于可信资源池中，并按照不同的属性条件进一步划分出若干子可信资源池，在此基础上，将具有不同安全性要求的负载保存并运行于满足条件的主机上，本发明从硬件和软件两个技术角度增加数据中心的安全性，可有效预防数据中心的安全隐患，提高数据中心的安全性和资源利用率。
【附图说明】
[0020]图1是本发明的方法流程图。
【具体实施方式】
[0021]以下结合附图和实施例对本发明作进一步详细的说明。
[0022]图1是本发明的方法流程图。如图所示，本发明公开的可信资源池的构建方法，包括以下步骤：
[0023]S1 :通过可信启动过程对所有主机进行完整性度量；
[0024]本发明中的主机是指包括可信芯片（TPM :Trusted Platform Module)的主机，该可信芯片中设置有PCR(platform configuration register)寄存器，包括可信芯片的主机，其硬件架构已属于现有技术，本发明不对包括可信芯片的主机结构进行详细说明。
[0025]主机的可信启动过程为：在主机的启动过程中，对要执行部分的代码或数据进行度量值计算，对计算得到的度量值进行哈希运算，将生成的哈希值保存于可信芯片的PCR寄存器中，主机启动完成，得到启动过程的多个度量值，建立了从BIOS (Basic InputOutput System)到 BootLoader 最后到 OS (Operating System)的一条完整的可信度量链，能够反应主机的完整性信息。
[0026]S2 :通过远程认证服务器对主机的完整性进行验证；
[0027]远程认证服务器中存储有主机的基准度量值，远程认证服务器从各主机的可信芯片中获取对应主机的多个度量值，通过将主机的度量值与基准度量值进行比较，验证主机的完整性，当主机的度量值与基准度量值一致时，主机验证通过，成为可信主机，当主机的度量值与基准度量值不一致时，认为主机存在安全风险（主机有可能因受到攻击或病毒入侵而被篡改了数据），验证未通过，成为普通主机。
[0028]S3 :将所有通过验证的可信主机划分入可信资源池，所有未通过验证的普通主机划分入普通资源池；
[0029]S4:按照计算性能、存储性能、网络性能等条件，对可信资源池中的可信主机进行二次过滤，生成不同属性的子可信资源池；
[0030]具体的说，
[0031]S41 :获取可信资源池中所有可信主机的基本信息；
[0032]主机的基本信息包括计算性能（CPU核数、CPU主频、线程数等指标项)、存储性能(硬盘容量、硬盘读写速率等指标项）、网络性能（网络吞吐量、网络延迟等指标项）等，步骤S1中，主机启动结束后，主机的基本信息均对应保存于数据库中。
[0033]S42 :所有可信主机分别按照计算性能、存储性能、网络性能条件进行二次过滤，生成不同属性的子可信资源池；
[0034]按照计算性能条件过滤时，将所有满足计算性能条件的可信主机，划分为计算密集型子可信资源池，具体的说，计算性能条件包括CPU核数、线程数等，计算性能条件可根据需要进行配置，例如，配置CPU主频为1000MHz、CPU核数为四核，线程数为四，则，可信主机按照CPU主频、CPU核数、线程数条件进行比对，将CPU主频大于等于1000MHz、CPU核数大于等于四核、线程数大于等于四的可信主机划分入计算密集型子可信资源池，该计算密集型子可信资源池适于运行Web服务器、邮件服务器、图像/视频