[发明专利]基于联邦中心的跨资源池资源安全访问方法与系统

说明书

技术领域

本发明涉及云计算技术，尤其涉及一种基于联邦中心的跨资源池资源安全访问方法与系统，属于计算机技术领域。

背景技术

二十世纪90年代以来，随着Internet的广泛应用，网络计算也得以迅猛发展。网络计算主要是基于Internet来实现分布式资源的集成、共享和协同。近年来，操作系统虚拟化技术已经日益成熟，Xen虚拟机，VMWare系统，虚拟机(Kernel-Based Virtual Machine，以下简称：KVM)等允许在单独物理资源上并发并独立运行多个操作系统实例。这样虚拟化技术以其透明性、封装性、隔离性等特征，能大大增加计算系统的灵活性和伸缩性。因此依托虚拟化技术的新型网络计算模式，如云计算已经逐渐得到广泛的关注。这样以虚拟机资源为主的共享已经成为虚拟计算和云计算平台应用的核心。

虚拟资源有着以下的三个特征，虚拟性、动态性和分布性。虚拟性体现在两个方面，一是CPU、内存、网络、存储等的虚拟化；二是计算、存储服务等资源被封装在一个完整的运行单元(虚拟机)来共享。虚拟机的动态迁移而导致了虚拟资源呈现出一种动态性。同时，虚拟资源的分布性体现在可能分布于多个安全管理域。

虚拟资源的这些特征在维持高效的物理资源使用率的同时，也给虚拟资源共享和使用的带来了新的安全问题。

虚拟性，是指虚拟资源被封装在运行在远端的虚拟机里来共享，虚拟资源的使用体现虚拟机的用户接入，为此要提供一种的安全的虚拟机接入协议。

动态性，是指虚拟资源的可迁移特征提高了虚拟资源的弹性，同时也增加了虚拟资源访问访问控制的复杂度。首先虚拟资源的使用的访问控制点是随着资源的迁移而发生变化；其次，虚拟资源的安全策略需要随着虚拟资源的迁移而发生迁移，从而增加了安全策略的复杂程度。

分布性，是指云计算的扩展性要求虚拟资源有个跨域的可联合机制，跨域的资源协作包含了不同的管理域间的复杂关系和互操作。而跨域协作拥有一下特点，各个域拥有自己的安全策略；参与的域要能随时加入和离开协作；域在其中扮演资源提供和消费者多重角色。这都为跨域的资源访问授权控制带来困难。

发明内容

本发明实施例提供一种基于联邦中心的跨资源池资源安全访问方法与系统，以及联邦中心设备和基于联邦中心的跨资源池资源安全访问装置，用以实现用于对外地资源域的资源的安全使用。

本发明提供一种基于联邦中心的跨资源池资源安全访问方法，包括：

接收第一资源域的本地用户发送的第一资源请求消息；

对所述第一资源请求消息进行解析，并在所述第一资源请求消息指向第二资源域时，向联邦中心设备发送携带所述本地用户身份信息的联邦属性代理证书请求消息；

接收联邦中心设备在对所述本地用户身份信息验证通过后，返回的携带联邦属性代理证书的应答消息，所述联邦属性代理证书为联邦中心为所述本地用户分配；

向第二资源域发送携带所述联邦属性代理证书的第二资源请求消息；

接收第二资源域对所述第二资源请求消息进行验证并通过后返回的服务提供通知消息。

本发明还提供一种基于联邦中心的跨资源池资源安全访问装置，包括：

第一接收模块，用于接收第一资源域的本地用户发送的第一资源请求消息；

消息解析模块，用于对所述第一资源请求消息进行解析，并在所述第一资源请求消息指向第二资源域时，向联邦中心设备发送携带所述本地用户身份信息的联邦属性代理证书请求消息；

第二接收模块，用于接收联邦中心设备在对所述本地用户身份信息验证通过后，返回的携带联邦属性代理证书的应答消息，所述联邦属性代理证书为联邦中心设备为所述本地用户分配；

第一发送模块，用于向第二资源域发送携带所述联邦属性代理证书的第二资源请求消息；

第三接收模块，用于接收第二资源域对所述第二资源请求消息进行验证并通过后返回的服务提供通知消息。

本发明还提供一种联邦中心设备，包括：

第五接收模块，用于接收第一资源域发送的携带第一资源域的本地用户身份信息的联邦属性代理证书请求消息；

证书分配模块，用于在对所述本地用户身份信息验证通过后，为所述本地用户分配联邦属性代理证书，并向所述第一资源域返回携带联邦属性代理证书的应答消息；

证书验证模块，用于接收第二资源域发送的携带联邦属性代理证书的验证请求消息；

验证通过通知模块，用于在确认所述验证请求消息携带的联邦属性代理证书与之前分配的联邦属性代理证书一致后，向第二资源域返回验证通过应答消息。