[发明专利]应用虚拟域数据访问的方法、虚拟机管理器及计算机

说明书

技术领域

本发明涉及计算机领域，特别是指一种应用虚拟域数据访问的方法、虚拟机管理器及计算机。

背景技术

如图1所示，为虚拟环境下的计算机架构示意图，其中，Domain u被称为应用虚拟域，Domain 0被称为管理虚拟域；在该虚拟环境中，各个应用虚拟域往往需要组成集合体，共同完成某项任务或者对外提供某项服务，这里的一个应用虚拟域对应于一个虚拟机(VM)，即一个客户操作系统及其具有访问权的硬件，即包括一个Guest OS及该Guest OS具有访问权的硬件。

在该环境中，各应用虚拟域往往需要共享某些客体数据，为实现对这些客体数据的安全共享，必须建立共享机制，实施访问控制。

虚拟环境中，当某个应用虚拟域需要将其中的某个客体数据共享给目标虚拟域时，为保证对于客体数据的访问符合客体数据所有者的需求，需要验证虚拟域所在操作系统和安全执行环境，能否保证访问控制的正确实施，在建立信任机制的基础上，再进一步将数据和策略分发可信虚拟平台，在目标虚拟域中，实施安全共享。

现有技术中的虚拟环境下数据共享的系统，如Terra系统，该系统在软件升级和更新方面存在不安全因素，同时证书撤销机制复杂；现有的Shype技术对各个虚拟域实施访问控制粒度较粗，且现有的面向安全Web服务的TVD技术则是缺乏可扩展性。

发明人在实现本发明的过程中，发现现有技术中至少存在如下问题：

现有虚拟环境下共享数据的方法无法实现有效的安全共享访问。

发明内容

本发明要解决的技术问题是提供一种能够实现安全共享数据访问的应用虚拟域数据访问的方法、虚拟机管理器及计算机。

为解决上述技术问题，本发明的实施例提供技术方案如下：

一方面，提供一种应用虚拟域数据访问的方法，包括：

获取第一应用虚拟域发出的对第二应用虚拟域的访问请求；

根据所述访问请求，获取所述访问请求对应的可信平台属性策略；

根据所述可信平台属性策略，对所述访问请求进行过滤；

在过滤通过时，根据所述访问请求实现所述第一应用虚拟域对所述第二应用虚拟域的共享数据的访问。

优选的，根据所述访问请求，获取所述访问请求对应的可信平台属性策略的步骤具体为：

根据所述访问请求中的所述第一应用虚拟域的标识符，获取所述第一应用虚拟域对应的第一可信平台属性；

根据所述可信平台属性策略，对所述访问请求进行过滤的步骤具体为：

根据所述第一可信平台属性，对所述访问请求进行过滤。

优选的，在过滤通过时，根据所述访问请求实现所述第一应用虚拟域对所述第二应用虚拟域的共享数据的访问的步骤包括：

根据所述第一可信平台属性，获取所述第一可信平台属性的访问判决或所述第一虚拟域对应的可信属性安全策略；

若所述访问判决或者所述可信属性安全策略允许访问，则认为过滤通过，并根据所述访问请求实现所述第一应用虚拟域对所述第二应用虚拟域的共享数据的访问。

优选的，根据所述访问请求，获取所述访问请求对应的可信平台属性策略的步骤具体为：

根据所述访问请求中的所述第二应用虚拟域的标识符，获取所述第二应用虚拟域对应的第二可信平台属性；

根据所述可信平台属性策略，对所述访问请求进行过滤的步骤具体为：

根据所述第二可信平台属性，对所述访问请求进行过滤。

优选的，在过滤通过时，根据所述访问请求实现所述第一应用虚拟域对所述第二应用虚拟域的共享数据的访问的步骤包括：

根据所述第二可信平台属性，获取所述第二可信平台属性的访问判决或者所述第二应用虚拟域对应的可信属性安全策略；

若所述访问判决或者所述可信属性安全策略允许访问，则认为过滤通过，并根据所述访问请求实现所述第一应用虚拟域对所述第二应用虚拟域的共享数据的访问。

优选的，根据所述访问请求，获取所述访问请求对应的可信平台属性策略的步骤具体为：

根据所述访问请求中的所述第一应用虚拟域的标识符和所述第二应用虚拟域的标识符，获取所述第一应用虚拟域对应的第一可信平台属性和所述第二应用虚拟域对应的第二可信平台属性；

根据所述可信平台属性策略，对所述访问请求进行过滤的步骤具体为：

根据所述第一可信平台属性对所述访问请求进行过滤，若过滤通过，再根据所述第二可信平台属性对所述访问请求进行过滤。