[发明专利]一种虚拟机加密方法、解密方法及加解密控制系统

摘要

本发明公开了一种虚拟机加密方法、解密方法及加解密控制系统，用户通过客户端申请创建加密的虚拟机磁盘文件，执行用户身份认证过程；认证通过后虚拟机管理子系统为用户分配虚拟机资源，策略执行模块创建新的虚拟机磁盘文件；策略执行模块向密钥和策略管理子系统进行身份认证，认证通过后接收虚拟机磁盘文件的对称加密密钥；策略执行模块将对称加密密钥传递给文件加解密引擎对虚拟机磁盘文件进行加密；文件加解密引擎将加密后的虚拟机磁盘文件交给策略执行模块进行存储；策略执行模块与密钥和策略管理子系统同步密钥和访问策略。本发明为用户使用虚拟机提供安全透明的数据加解密，并提供完善的身份认证机制确保用户访问虚拟机的安全性。

主权项

一种虚拟机加密方法，其特征在于，包括如下步骤：（1）用户通过客户端(260)向虚拟机管理子系统(270)请求创建加密的虚拟机磁盘文件；（2）虚拟机管理子系统（270）将用户的Ukey证书信息以及创建加密虚拟机磁盘文件的请求发送给密钥和策略管理子系统（280），由密钥和策略管理子系统（280）对用户执行身份认证，密钥和策略管理子系统（280）与用户注册Ukey的证书管理子系统保持用户证书信息的同步一致；（3）认证成功后，密钥和策略管理子系统（280）把用户通过认证的消息发送给虚拟机管理子系统（270）；（4）虚拟机管理子系统（270）为用户分配虚拟机资源，并把虚拟机资源配置请求发送给对应的虚拟机监控器（290）的策略执行模块（292），为新生成的虚拟机分配设备资源，虚拟机资源配置请求信息里包含用户的个人信息和Ukey证书信息；（5）策略执行模块（292）创建新的虚拟机磁盘文件，并为该虚拟机磁盘文件分配虚拟机文件标识VMFID；（6）策略执行模块（292）向密钥和策略管理子系统（280）请求加密该虚拟机磁盘文件所用的对称加密密钥，该请求消息中包含了用户信息、Ukey证书信息和虚拟机文件标识VMFID，主要为后续密钥和策略管理子系统（280）能够建立密钥索引关系；（7）密钥和策略管理子系统（280）收到策略执行模块（292）请求对称加密密钥的消息后，首先发起对该策略执行模块（292）执行身份认证，保证后续只有授权的策略执行模块（292）可以解密经过加密的虚拟机磁盘文件；（8）策略执行模块（292）使用该策略执行模块自身的标识提前在密钥和策略管理子系统（280）进行注册，这个注册过程在虚拟机监控器（290）上安装策略执行模块（292）时进行；（9）策略执行模块（292）的认证通过后，密钥和策略管理子系统（280）为新创建的虚拟机文件产生对称加密密钥并发送给策略执行模块（292）；（10）策略执行模块（292）将收到的对称加密密钥传递给文件加解密引擎（294），文件加解密引擎（294）使用该对称加密密钥加密所述虚拟机磁盘文件；（11）文件加解密引擎（294）将加密后的虚拟机文件传递给策略执行模块（292），策略执行模块（292）把加密后的虚拟机磁盘文件放到存储设备进行存储；（12）密钥和策略管理子系统（280）与策略执行模块（292）进行密钥和访问策略同步过程。