[发明专利]一种基于业务关系的数据加密方法及装置

权利要求书

1.一种基于业务关系的数据加密方法，应用于存储系统中的第一存储设备，所述存储系统的各个LUN分别对应不同的密钥节点，任一LUN的密钥节点用于管理该LUN的存储密钥，其特征在于，包括：

接收针对第一LUN的业务启用指令，基于所述业务启用指令启用第一业务；其中，所述第一业务的主LUN为所述第一LUN，所述第一业务的从LUN为第二LUN；

通过预设的第一密钥节点将所述第一LUN的第一密钥参数同步至预设的第二密钥节点，使得所述第二密钥节点将所述第一密钥参数替代自身的第二密钥参数、并依据所述第一密钥参数获得第一存储密钥；其中，所述第一密钥节点为所述第一LUN的密钥节点，所述第二密钥节点为所述第二LUN的密钥节点。

2.根据权利要求1所述的方法，其特征在于，所述第二LUN位于所述存储系统的第二存储设备上；

所述通过预设的第一密钥节点将所述第一LUN的第一密钥参数同步至预设的第二密钥节点，包括：

向所述第二存储设备发送密钥参数同步请求，以由所述第二存储设备将所述第一密钥参数替代所述第二密钥节点中的所述第二密钥参数；其中，所述密钥参数同步请求携带上述第一业务的业务标识、主LUN的LUN标识、从LUN的LUN标识和所述第一密钥参数。

3.根据权利要求1所述的方法，其特征在于，所述存储系统包括密钥管理服务器，所述密钥管理服务器为所述存储系统中的LUN分配密钥参数；

在接收针对所述第一LUN的业务启用指令前，所述方法还包括：

创建所述第一LUN，并为所述第一LUN创建所述第一密钥节点；

创建所述第二LUN，并为所述第二LUN创建所述第二密钥节点；

通过所述第一密钥节点向所述密钥管理服务器进行认证，并从所述密钥管理服务器获取所述第一密钥参数；

通过所述第二密钥节点向所述密钥管理服务器进行认证，并从所述密钥管理服务器获取所述第二密钥参数。

4.根据权利要求3所述的方法，其特征在于，密钥参数用于指示存储密钥；所述依据所述第一密钥参数获得第一存储密钥，包括：

通过所述第二密钥节点向所述密钥管理服务器发起密钥获取请求，以由所述密钥管理服务器依据所述密钥获取请求中的所述第一密钥参数返回所述第一存储密钥。

5.根据权利1所述的方法，其特征在于，密钥参数包含存储密钥；所述依据所述第一密钥参数获得第一存储密钥，包括：

通过所述第二密钥节点解析所述第一密钥参数，获得所述第一存储密钥。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在启用所述第一业务后，在所述第一密钥节点和所述第二密钥节点中分别记录所述第一业务的业务关系；其中，所述业务关系包括所述第一业务的业务标识、所述第一业务的主LUN的LUN标识和从LUN的LUN标识。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收针对所述第一LUN的写请求，解析所述写请求中的目标数据；

从所述第一密钥节点中获取所述第一存储密钥，并基于该第一存储密钥对所述目标数据进行加密，将加密得到的第一密文数据写入所述第一LUN；

检查所述第一密钥节点记录的以所述第一LUN为主LUN的业务关系，并确定该业务关系中的从LUN为所述第二LUN；

从所述第一LUN中获取所述第一密文数据，并将所述第一密文数据写入至所述第二LUN。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括：

接收业务解除指令，解除所述第一LUN和所述第二LUN之间的所述第一业务的业务关系；

检查预设的业务日志，确定是否在执行所述第一业务时向所述第二LUN写入所述第一密文数据；

若是，保持所述第二LUN的所述第一存储密钥不变；

若否，将所述第二LUN的所述第一存储密钥更改为所述第二存储密钥。