[发明专利]一种跨公网实现多云管控的安全认证方法

说明书

本发明公开了一种跨公网实现多云管控的安全认证方法，具体为：通过一组反向代理服务器在管控集群和云计算集群之间搭建一个双向认证网络通道；在管控集群内，管控服务直接使用HTTP协议访问反向代理服务；管控集群反向代理服务器在收到请求后，使用自签名的SSL客户端证书通过HTTPS访问云计算集群的反向代理服务器完成对管控集群的认证；同时云计算集群返回自签名的服务端证书，管控集群也使用相同的自签名CA证书，完成对云计算集群的认证；双向认证完成后，云计算集群反向代理服务将HTTPS协议卸载，使用HTTP协议访问目标服务，实现安全管控。本发明可以节省人力财力，更加安全，同时管控服务直接使用HTTP协议访问反向代理服务即可实现管控，管控灵活方便。

技术领域

本发明属于PAAS平台技术领域，具体涉及一种跨公网实现多云管控的安全认证方法。

背景技术

随着时代的进步和技术的发展，网络和通信技术的应用越来越广泛，网络安全问题也越来越突出。PAAS云平台的管控集群在对云计算集群进行管控时，常见的三种场景：创建服务，获取数据，设定任务。这三种场景，都对安全性有着极高的要求。以获取数据为例，如果数据在传输过程中被窃听，可能造成商业机密的泄漏；而如果数据获取接口可以被第三方随意读取，更是带来不可估量的损失。管控集群在对云计算集群进行管控时，在安全认证机制上，面临着挑战：传输使用的密码信息不能泄漏到客户云计算集群；需要同时管理多个云计算集群的安全认证信息，管控集群的管控服务需要在管控不同集群时选择加载对应的证书；管控场景多种多样，需要满足各类执行管控操作服务的需求。

现有技术一般通过申请权威CA认证的SSL证书，通过HTTPS双向认证实现跨公网对云计算集群进行管控。当要管理的云计算集群规模较大时，申请权威证书，除了会带来较大的财务开支，也会带来需要更换过期证书的大量运维成本。

发明内容

为了解决上述问题，本发明提供了一种跨公网实现多云管控的安全认证方法，可以接使用HTTP协议对云计算集群进行管控，可以更加节省人力财力，也更加安全。

本发明的技术方案为：

一种跨公网实现多云管控的安全认证方法，包括管控集群和云计算集群，其特征在于，还包括管控集群反向代理服务和云计算集群反向代理服务，反向服务器可以是Nginx；具体步骤包括：

S1、通过一组反向代理服务器在管控集群的网络边缘和被管控的云计算集群的网络边缘之间搭建一个双向认证网络通道；

S2、在管控集群内，管控服务在内网直接使用HTTP协议访问反向代理服务；

S3、管控集群内的反向代理服务器在收到请求后，使用自签名的SSL客户端证书通过HTTPS协议公网访问云计算集群的反向代理服务器完成对管控集群的认证；

S4、同时云计算集群返回自签名的服务端证书，管控集群也使用相同的自签名CA证书，完成对云计算集群的认证；

S5、双向认证完成后，云计算集群的反向代理服务将HTTPS协议卸载，使用HTTP协议访问目标服务，实现安全管控。

作为优选，管控服务在内网通过HTTP请求中携带X-Portal-Host表明要访问的云计算集群，通过携带X-Portal-Dest表明要访问的云计算集群内具体的服务。

管控集群的认证方法有很多，作为优选，本发明中管控集群的认证通过云计算集群内的反向代理服务器识别管控集群SSL客户端证书的自签名CA证书来完成。SSL证书的校验发生在两个反向代理服务器之间，和其他外部服务之间的调用都是无需加密的，所以SSL证书不需要向权威CA申请来保障公信力，只需要两个反向代理服务器之间互相信任即可。

本发明不需要做证书域名的安全校验，管控集群的反向代理服务只需要同一本SSL客户端证书，即可以实现对所有云计算集群的管控。