[发明专利]跨机房可信计算集群形成及通信方法和装置

说明书

本说明书实施例提供了一种形成可信计算集群、以及在用户终端与可信计算集群之间建立可信通道的方法和装置，所述可信计算集群通过分别位于至少两个机房中的至少两个集群管理器管理，所述至少两个集群管理器包括主集群管理器和至少一个辅集群管理器，所述形成可信计算集群的方法通过第一可信计算单元执行，所述第一可信计算单元位于任一所述机房中，所述形成可信计算集群的方法包括：向所述主集群管理器发送请求，以请求创建所述可信计算集群，以使得所述主集群管理器基于所述请求创建关于所述可信计算集群的信息，所述信息中包括所述第一可信计算单元的标识、以及所述第一可信计算单元所在机房的标识。

技术领域

本说明书实施例涉及安全计算领域，更具体地，涉及形成可信计算集群的方法和装置、以及在用户终端与可信计算集群之间建立可信通道的方法和装置。

背景技术

为了计算和数据传输的安全，常常使用可信计算单元进行可信计算和数据处理。其中可信计算单元可以保证其中的代码执行是安全的，外界包括操作系统或驱动等都无法获取内部的运行时内存等秘密。

在用户设备与可信计算单元交换要处理的数据之前，通常首先通过协商得到一个共同的加密密钥，该密钥除了通信的双方，其他任何人都不可能破解。双方之间的数据发送均通过该协商得出的密钥来进行加密，如此，我们称为，用户设备与可信计算单元建立了可信通道，可以在该可信通道上安全传输保密数据。

在用户设备与包括多个可信计算单元的可信计算集群进行交互的过程中，目前的方案是，用户设备与集群中的每个可信计算单元分别进行密钥协商，分别单独建立可信通道。这使得用户设备接入会变得复杂繁琐，成本高昂。另一方面，当需要对集群进行扩展时，用户设备还需要与新的可信计算单元建立可信通道。

因此，需要一种更有效的可信计算集群方案。

发明内容

本说明书实施例旨在提供一种更有效的可信计算集群方案，以解决现有技术中的不足。

为实现上述目的，本说明书一个方面提供一种形成可信计算集群的方法，所述可信计算集群通过分别位于至少两个机房中的至少两个集群管理器管理，所述至少两个集群管理器包括主集群管理器和至少一个辅集群管理器，所述方法通过第一可信计算单元执行，所述第一可信计算单元位于任一所述机房中，所述方法包括：

向所述主集群管理器发送请求，以请求创建所述可信计算集群，以使得所述主集群管理器基于所述请求创建关于所述可信计算集群的信息，所述信息中包括所述第一可信计算单元的标识、以及所述第一可信计算单元所在机房的标识。

在一个实施例中，所述主集群管理器位于第一机房中，所述第一可信计算单元位于第二机房中，所述第二机房中包括所述至少一个辅集群管理器中的第一辅集群管理器，其中，向所述主集群管理器发送请求包括，通过所述第一辅集群管理器的中转向所述主集群管理器发送请求。

本说明书另一方面提供一种形成可信计算集群的方法，所述可信计算集群通过分别位于至少两个机房的至少两个集群管理器管理，所述至少两个集群管理器包括主集群管理器和至少一个辅集群管理器，其中，所述可信计算集群中已至少包括第一可信计算单元，所述方法通过第二可信计算单元执行，所述第一可信计算单元和所述第二可信计算单元分别位于任一所述机房中，所述主集群管理器维护有关于所述可信计算集群的信息，所述信息中包括所述可信计算集群已有的各个可信计算单元各自的标识、以及所述各个可信计算单元所在机房的标识，所述方法包括：

向所述主集群管理器发送请求，以请求加入所述可信计算集群，以使得所述主集群管理器基于所述信息获取所述第一可信计算单元的标识；

从所述主集群管理器接收第一通知，所述第一通知包括所述第一可信计算单元的标识；

与所述第一可信计算单元协商密钥，以获取所述可信计算集群的集群密钥；以及