基于云技术的镜像部署方法及装置与流程

本技术实施例涉及云，尤其涉及一种基于云技术的镜像部署方法及装置。

背景技术：

1、在云技术领域中，飞地(enclave)是一种完全隔离的虚拟机，它的内存和处理器来自于其父虚拟机被预先隔离出来的资源。enclave既没有外部网络，也没有持久化存储。父虚拟机内的进程、应用程序、内核或者用户都无法访问enclave中的资源。相应的，云服务器可以构建一个enclave，把敏感应用代码和数据放在enclave中执行。示例性的，管理人员可构建enclave镜像文件，并使用私钥对enclave镜像文件进行签名。运维人员可在云系统中部署enclave镜像文件。在enclave镜像文件部署过程中，云平台基于私钥对enclave镜像文件进行完整性校验。但是，已有技术中的签名方式仅能保证enclave镜像文件的完整性，而无法保证enclave镜像文件的机密性。例如，在enclave镜像文件包括机密数据(或敏感数据)的情况下，enclave镜像文件在传输过程中以及保存在外部服务器的场景下，均无法保证enclave镜像文件中的机密数据的安全性。

技术实现思路

1、本技术实施例提供一种基于云技术的镜像部署方法及装置，可有效保证镜像文件中的用户数据的安全性。

2、第一方面，本技术实施例提供一种基于云技术的镜像部署方法。该方法包括：接收第一客户端发送的第一请求信息，第一请求信息中包括待部署的镜像文件，第一请求信息用于指示对待部署的镜像文件进行解密，待部署的镜像文件中包括签名信息、第一密钥以及使用第二密钥加密的镜像数据；其中，签名信息用于唯一标识镜像数据，第一密钥与第二密钥为加解密钥对。获取签名信息和第一密钥。基于签名信息和第一密钥，获取第二密钥。其中，第二密钥为基于签名信息识别到具有解密权限后，对第一密钥进行解密后得到的。基于第二密钥，对待部署的镜像文件进行解密，得到解密后的镜像数据。这样，

3、通过对镜像数据进行加密，可保护镜像文件保存以及传输过程中，镜像数据不被恶意窃取，有效提高镜像数据的安全性和保密性。并且，本技术通过对解密权限进行条件约束，使得密钥的解密权限受到约束条件的约束，使得其它非法角色在无法满足约束条件的情况下，均无法获取到解密密钥，且无法对镜像数据进行解密，从而有效保证了镜像数据的安全性。

4、在一种可能的实现方式中，接收第一客户端发送的第一请求信息之前，方法还包括：接收第二客户端发送的第二请求信息，第二请求信息中包括待编译的镜像文件，待编译的镜像文件包括签名信息和镜像数据，第二请求信息用于指示对待编译的镜像文件进行编译。基于签名信息，获取第一密钥和第二密钥；其中，第一密钥为基于签名信息识别到具有生成密钥权限后生成的，第二密钥为基于签名信息确定具有解密权限后，对第一密钥进行解密后得到的。基于第二密钥，加密镜像数据。基于加密后的镜像数据、第一密钥和签名信息，得到待部署的镜像文件。向第二客户端发送待部署的镜像文件。这样，编译过程中，通过设置约束条件，可使得kms对密钥的使用权限进行约束，在本技术中，只有携带签名信息的运维管理服务才能获取到对应的权限，可保证密钥的安全性，不被其他非法角色恶意窃取。

5、在一种可能的实现方式中，第一客户端的待部署的镜像文件是从第二客户端得到的。这样，第二客户端获取到生成的镜像文件之后，可以发布给任意客户端。其它客户端获取到镜像文件是通过加密后生成的，任意客户端均不会获取到镜像文件中的加密数据，保护数据的安全性。

6、在一种可能的实现方式中，镜像数据中的全部或部分数据使用第二密钥加密。这样，本技术实施例中，hypervisor可基于用户指示，对全部或部分数据进行加密，以保证用户所指示的敏感数据的安全。

7、在一种可能的实现方式中，待部署的镜像文件为飞地(enclave)镜像文件。

8、在一种可能的实现方式中，待部署的镜像文件包括公共镜像、私有镜像、共享镜像和市场镜像中的任一种。

9、第二方面，本技术实施例提供一种基于云技术的镜像部署装置，包括：接收模块，用于接收第一客户端发送的第一请求信息，第一请求信息中包括待部署的镜像文件，第一请求信息用于指示对待部署的镜像文件进行解密，待部署的镜像文件中包括签名信息、第一密钥以及使用第二密钥加密的镜像数据；其中，签名信息用于唯一标识镜像数据，第一密钥与第二密钥为加解密钥对。运维管理模块，用于获取签名信息和第一密钥；运维管理模块，用于基于签名信息和第一密钥，获取第二密钥；其中，第二密钥为基于签名信息识别到具有解密权限后，对第一密钥进行解密后得到的；虚拟机监视模块，用于基于第二密钥，对待部署的镜像文件进行解密，得到解密后的镜像数据。

10、在一种可能的实现方式中，接收模块，还用于接收第二客户端发送的第二请求信息，第二请求信息中包括待编译的镜像文件，待编译的镜像文件包括签名信息和镜像数据，第二请求信息用于指示对待编译的镜像文件进行编译；运维管理模块，还用于基于签名信息，获取第一密钥和第二密钥；其中，第一密钥为基于签名信息识别到具有生成密钥权限后生成的，第二密钥为基于签名信息确定具有解密权限后，对第一密钥进行解密后得到的；虚拟机监视模块，还用于基于第二密钥，加密镜像数据；虚拟机监视模块，还用于基于加密后的镜像数据、第一密钥和签名信息，得到待部署的镜像文件；虚拟机监视模块，还用于向第二客户端发送待部署的镜像文件。

11、在一种可能的实现方式中，第一客户端的待部署的镜像文件是从第二客户端得到的。

12、在一种可能的实现方式中，镜像数据中的全部或部分数据使用第二密钥加密。

13、在一种可能的实现方式中，待部署的镜像文件为飞地(enclave)镜像文件。

14、在一种可能的实现方式中，待部署的镜像文件包括公共镜像、私有镜像、共享镜像和市场镜像中的任一种。

15、第三方面，本技术实施例提供一种基于云技术的镜像部署系统，系统包括：云管理平台，用于：接收第一客户端发送的部署请求信息，部署请求信息中包括待部署的镜像文件，第一请求信息用于指示对待部署的镜像文件进行解密，待部署的镜像文件中包括签名信息、第一密钥以及使用第二密钥加密的镜像数据；其中，签名信息用于唯一标识镜像数据，第一密钥与第二密钥为加解密钥对；向运维管理服务发送部署请求信息；运维管理服务，用于：响应于部署请求信息，向密钥管理服务(key management service，kms)发送第一请求信息，第一请求信息包括签名信息和第一密钥，第一请求信息用于向kms请求第二密钥；kms，用于：基于签名信息识别到运维管理服务具有解密权限后，对第一密钥进行解密，得到第二密钥；向运维管理服务发送第二密钥；运维管理服务，用于：接收第二密钥；向虚拟监视服务(hypervisor，hv)发送第二密钥；hv，用于：基于第二密钥，对待部署的镜像文件进行解密，得到解密后的镜像数据。

16、在一种可能的实现方式中，云管理平台，还用于：接收第二客户端发送的编译请求信息，编译请求信息中包括待编译的镜像文件，待编译的镜像文件包括签名信息和镜像数据，第二请求信息用于指示对待编译的镜像文件进行编译；向运维管理模块发送编译请求信息；运维管理模块，还用于：响应于编译请求信息，向kms发送第二请求信息，第二请求信息中包括签名信息，第二请求信息用于向kms请求第一密钥和第二密钥；kms，还用于：响应于第二请求信息，基于签名信息识别到运维管理服务具有生成密钥权限，生成第一密钥；基于签名信息确定运维管理服务具有解密权限后，对第一密钥进行解密，得到第二密钥；向运维管理模块发送第一密钥和第二密钥；运维管理服务，还用于：将接收到的第一密钥和第二密钥输出给hv；hv，还用于：基于第二密钥，加密镜像数据；基于加密后的镜像数据、第一密钥和签名信息，得到待部署的镜像文件；向第二客户端发送待部署的镜像文件。

17、在一种可能的实现方式中，第一客户端的待部署的镜像文件是从第二客户端得到的。

18、在一种可能的实现方式中，镜像数据中的全部或部分数据使用第二密钥加密。

19、在一种可能的实现方式中，待部署的镜像文件为飞地(enclave)镜像文件。

20、在一种可能的实现方式中，待部署的镜像文件包括公共镜像、私有镜像、共享镜像和市场镜像中的任一种。

21、第四方面，本技术实施例提供一种计算设备集群，包括至少一个计算设备，每个计算设备包括处理器和存储器。至少一个计算设备的处理器用于执行至少一个计算设备的存储器中存储的指令，以使得计算设备集群执行第一方面或第一方面的任意可能的实现方式中的方法。

22、第五方面，本技术实施例提供一种包含指令的计算机程序产品，其特征在于，当指令被计算设备集群运行时，使得计算设备集群执行第一方面或第一方面的任意可能的实现方式中的方法。

23、第六方面，本技术实施例提供一种计算机可读存储介质，其特征在于，包括计算机程序指令，当计算机程序指令由计算设备集群执行时，计算设备集群执行第一方面或第一方面的任意可能的实现方式中的方法。

技术特征：

1.一种基于云技术的镜像部署方法，其特征在于，包括：

2.根据权利要求1所述的方法，其特征在于，所述接收第一客户端发送的第一请求信息之前，所述方法还包括：

3.根据权利要求1所述的方法，其特征在于，所述第一客户端的所述待部署的镜像文件是从所述第二客户端得到的。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述镜像数据中的全部或部分数据使用所述第二密钥加密。

5.根据权利要求1至4任一项所述的方法，其特征在于，所述待部署的镜像文件为飞地(enclave)镜像文件。

6.根据权利要求1至5任一项所述的方法，其特征在于，所述待部署的镜像文件包括公共镜像、私有镜像、共享镜像和市场镜像中的任一种。

7.一种基于云技术的镜像部署装置，其特征在于，包括：

8.根据权利要求7所述的装置，其特征在于，

9.根据权利要求7所述的装置，其特征在于，所述第一客户端的所述待部署的镜像文件是从所述第二客户端得到的。

10.根据权利要求7至9任一项所述的装置，其特征在于，所述镜像数据中的全部或部分数据使用所述第二密钥加密。

11.根据权利要求7至10任一项所述的装置，其特征在于，所述待部署的镜像文件为飞地(enclave)镜像文件。

12.根据权利要求7至11任一项所述的装置，其特征在于，所述待部署的镜像文件包括公共镜像、私有镜像、共享镜像和市场镜像中的任一种。

13.一种基于云技术的镜像部署系统，其特征在于，所述系统包括：

14.根据权利要求13所述的系统，其特征在于，

15.根据权利要求13所述的系统，其特征在于，所述第一客户端的所述待部署的镜像文件是从所述第二客户端得到的。

16.根据权利要求13至15任一项所述的系统，其特征在于，所述镜像数据中的全部或部分数据使用所述第二密钥加密。

17.根据权利要求13至16任一项所述的系统，其特征在于，所述待部署的镜像文件为飞地(enclave)镜像文件。

18.根据权利要求13至17任一项所述的系统，其特征在于，所述待部署的镜像文件包括公共镜像、私有镜像、共享镜像和市场镜像中的任一种。

19.一种计算设备集群，其特征在于，包括至少一个计算设备，每个计算设备包括处理器和存储器；

20.一种包含指令的计算机程序产品，其特征在于，当所述指令被计算设备集群运行时，使得所述计算设备集群执行如权利要求1至6任一项所述的方法。

21.一种计算机可读存储介质，其特征在于，包括计算机程序指令，当所述计算机程序指令由计算设备集群执行时，所述计算设备集群执行如权利要求1至6任一项所述的方法。

技术总结
本申请提供了一种基于云技术的镜像部署方法及装置，该方法包括：获取待部署的镜像文件中的签名信息和第一密钥。其中，待部署的镜像文件中还包括使用第二密钥加密的镜像数据，第一密钥和第二密钥为加解密钥对。基于签名信息和第一密钥，触发预设的解密权限，从而获取到对第一密钥解密后的第二密钥。基于第二密钥对待部署的镜像文件进行解密，以得到解密后的镜像数据。本申请中通过对镜像文件中的镜像数据进行加密，以提高镜像文件在保存以及传输等场景中的安全性，防止镜像数据被恶意窃取。

技术研发人员：章奇,李俊,孙智喜
受保护的技术使用者：华为云计算技术有限公司
技术研发日：
技术公布日：2024/12/5