一种虚拟机的管理方法、装置和系统 【技术领域】
本发明实施例涉及信息技术领域，尤其涉及一种虚拟机的管理方法、装置和系统。
背景技术
随着计算机处理能力的不断提高，对硬件资源多路复用的需求日渐突出，如何保证在一个平台上的多个应用软件高效地相互隔离并且合理协作是多路复用的重要前提。另一方面，基于互联网的应用软件已经渗透到社会的各个领域，如何在这样一个开放的动态的环境中为应用提供可信保障，是当前众多网络安全问题的核心。
虚拟化技术是在软、硬件之间引入一个虚拟层，将底层物理设备虚拟成多个虚拟设备，并通过对虚拟设备的调度实现对物理设备的多路复用。它可以在一个硬件平台上运行多个虚拟机，虚拟机之间的关系和两台物理机之间的关系相似，实现比较好的隔离性；由于虚拟机这种较强的隔离性，一台虚拟机的故障对平台上其他虚拟机几乎不会造成影响，从而在最大程度上限制了应用程序的安全风险的扩散范围，维护了虚拟平台的稳定性。
现有技术中，把设备驱动程序从虚拟机管理器(控制域/Domain 0)中分离出来以减轻虚拟机管理器的负担。该分化虚拟机管理器技术把虚拟机管理器中的后端驱动和客体操作系统中的设备的前段驱动程序对应于每一个虚拟机单独组合为一个域，这样对应每一个虚拟机就有一个设备驱动域，这些小的设备驱动域构成大的设备驱动域。除了设备驱动以外的其它工作由虚拟机管理器完成，如安全策略配置、安全机制的检查、网络互联、虚拟机的操作性管理等工作。
在实施本发明的过程中，发明人发现现有技术中至少存在以下缺点：
虚拟机管理器中除设备驱动之外的功能在同一域内完成，各功能之间联系紧密，当某一功能出现问题时，容易导致其它功能同时出现问题，安全性差。
【发明内容】
本发明实施例提供一种虚拟机的管理方法、装置和系统，以实现分化虚拟机管理器，实现在虚拟机管理器层面的安全隔离，为虚拟平台提供安全服务。
为了实现上述目的，本发明实施例提供一种虚拟机的管理装置，包括管理子域、互联子域以及迁移子域；其中，
所述管理子域，用于接收来自使用者的命令，根据所述命令向其它子域发送预设配置信息；管理本地虚拟平台上的虚拟机；
所述迁移子域，用于保存所述管理子域的预设配置信息中的迁移条件和平台完整性信息；作出虚拟机的迁移决策；
所述互联子域，用于根据接收到的所述迁移子域作出的迁移决策与本地以外的虚拟平台建立连接。
本发明实施例还提供一种虚拟机的管理方法，包括：
根据管理子域预设配置信息中的迁移条件和平台完整性信息作出虚拟机的迁移决策；
向互联子域发送所述迁移决策，使所述互联子域根据所述迁移决策与本地以外的虚拟平台建立连接。
本发明实施例还提供一种虚拟机的管理系统，包括虚拟机管理器、至少一虚拟机；其中，所述虚拟机管理器，包括管理子域、互联子域以及迁移子域；
所述管理子域，用于接收来自使用者的命令，根据所述命令向其它子域发送预设配置信息；管理本地虚拟平台上的虚拟机；
所述迁移子域，用于保存所述管理子域的预设配置信息中的迁移条件和平台完整性信息；作出虚拟机的迁移决策；
所述互联子域，用于根据接收到的所述迁移子域作出的迁移决策与本地以外的虚拟平台建立连接。
与现有技术相比，本发明实施例至少具有以下优点：
通过将虚拟机管理器划分为不同功能的域，分化虚拟机管理器，使各功能域负责不同的管理功能，从而减少各功能域之间的交互，提高虚拟机管理器对平台管理的安全性。
【附图说明】
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的虚拟机地管理装置的结构示意图；
图2为本发明另一实施例提供的虚拟机的管理装置的结构示意图；
图3为本发明实施例提供的虚拟机的管理方法的流程示意图；
图4为本发明实施例提供的虚拟机的管理方法的详细流程图；
图5为本发明实施例一应用场景中虚拟机的管理装置中管理子域功能流程示意图；
图6为本发明实施例中虚拟机的管理系统的结构示意图；
图7为本发明实施例中虚拟机的管理系统的详细结构示意图。
【具体实施方式】
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
下面结合附图和实施例对本发明进行介绍。
可信计算平台以底层可信的硬件作为信任根，保证平台能如实地记录并报告其当前所处的状态。该硬件通常是指可信平台模块(TPM：TrustedPlatform Module)的可信芯片。在平台引导过程中，TPM作为可信属性的起点，验证下一引导组件的完整性，并将可信关系延伸到该组件。通过逐层验证，平台最终将可信关系扩展到应用程序，从而构筑一条从BIOS、OS引导程序、OS内核程序、最后到应用程序的完整的信任链，以保证应用软件真实可信属性。平台以哈希值的形式记录所加载的程序，这些哈希值表示了平台当前所处的状态。当平台向远程方证实其完整性时，平台将这些哈希值与相应的描述信息报告给远程方(Challenger)，后者将传入的哈希值与根据描述信息重新计算的哈希值比较，以确定该平台是否确实处于描述信息所声称的状态。随后，验证方将该哈希值与预期的哈希值比较，以确定该平台是否处于它所预期的状态。
虚拟化技术与可信计算平台的结合主要是通过虚拟化技术在一个可信物理平台创建出多个虚拟平台，并使用虚拟化的TPM将物理平台上由硬件TPM构筑的信任链扩展至每个虚拟平台，从而在一个可信物理平台上构筑多虚拟可信平台。可信虚拟平台一方面保证了本地平台应用的强隔离性，同时保障了本地应用对远程应用的可信属性。
本发明实施例提供一种虚拟机管理器，如图1所示，可以包括管理子域11、迁移子域12、以及互联子域13；其中，
管理子域11，用于接收来自使用者的命令，根据该命令向其它子域发送预设配置信息；管理本地虚拟平台上的虚拟机；预设配置信息可以包括：迁移条件和平台完整性信息等；
迁移子域12，用于保存管理子域11的预设配置信息中的迁移条件和平台完整性信息；作出虚拟机的迁移决策；
互联子域13，用于根据接收到的迁移子域12做出的迁移决策与本地以外的虚拟平台建立连接。
本发明实施例的虚拟机管理器的各个模块可以分离部署，也可以根据需要将其中若干个模块集成为一体。
通过采用本发明实施例提供的虚拟机，将虚拟机管理器划分为不同功能的域，分化虚拟机管理器，在虚拟机管理器层面实现不同功能的安全隔离，为虚拟平台提供安全服务。
本发明实施例提供一种虚拟机管理器，可以保证虚拟机的迁移在可信平台之间完成，如图2所示，该虚拟机管理器可以包括管理子域21、迁移子域22、安全服务子域23、互联子域24以及设备驱动子域25。
其中，管理子域21，用于接收使用者的命令并根据该命令管理本地虚拟平台上的虚拟机，向其它子域发送预设配置信息；预设配置信息可以包括：迁移条件和平台完整性信息等；
管理子域21可以由两个单元组成：接收单元和执行单元。其中，接收单元用于接收使用者对本地虚拟平台发送的命令；该单元是用户或者管理员与整个虚拟平台交互的接口，其中包括用户决策的实施、虚拟机的管理决策等，即只要是用户需要和虚拟平台交互，就需要并且只能通过该接口交互。执行单元，用于根据接收单元接收到的命令管理本地虚拟平台的虚拟机以及其它子域；该单元的主要工作是通过和用户控制的接收单元的交互信息来管理本地的虚拟机，包括虚拟机的创建、销毁、挂起、恢复等，用户可以通过这个模块修改本地虚拟机的配置信息，对虚拟机进行周期性安全证实等操作；还负责向迁移子域等其它子域发送预设配置信息，例如迁移条件和平台完整性信息等。
迁移子域22，用于保存管理子域21预先配置的迁移条件和平台完整性信息并做出虚拟机迁移决策；
该子域包括保存单元，用于保存管理子域预设配置中的迁移条件和平台完整性信息；
搜集单元，用于搜集本地虚拟平台和其它虚拟平台硬件资源使用信息；该单元收集并统计本地资源的使用信息，即虚拟平台硬件资源使用状态信息，包括网络负载、内存使用状态、CPU运行状态、存储空间使用状态等相关信息。这些信息可以通过管理子域21反馈给管理员或者用户，为管理员的管理决策提供相应的信息。
决策单元，用于根据保存单元保存的迁移条件和平台完整性信息，以及搜集单元搜集到的硬件资源使用信息做出迁移决策。
迁移子域22内部需要保存平台完整性信息，目的是辅助迁移决策。迁移子域22内还保存有管理子域21预先配置的迁移条件，根据该迁移条件和虚拟平台硬件资源使用状态信息和平台完整性信息做出迁移决策，并将该决策发送到安全服务子域23。
在迁移子域22根据平台硬件资源使用状态信息搜集到的本地平台资源使用状况和其它虚拟平台硬件资源使用状况选择本地平台虚拟机迁移的目标平台之后，需要根据平台完整性信息对这些目标平台做进一步的完整性检查，保证虚拟机的迁移是在可信平台之间完成的。
安全服务子域23，用于根据管理子域21预先配置的安全策略对接收到的来自其它子域的消息进行安全检查；该消息包括平台完整性信息、迁移条件以及迁移决策等。
该虚拟机管理器中还包括策略存储单元，用于存储来自其它子域的消息进行安全检查需要的安全策略。在考虑安全性能的要求下，安全服务子域23根据该策略存储单元存储的安全策略对接收到的消息进行安全检测，例如对迁移子域22发送的迁移决策进行安全性检查，即迁移决策需要通过安全服务子域23的安全策略的检查才可以通过虚拟层传递到相应的子域或者虚拟机，常见的检查可以包括：安全策略、安全级别、完整性、用户授权、安全标签、访问控制等。
管理员通过管理子域21提供的接口设置本地平台的安全策略，设置访问权限，管理主客体的安全标签。同时通过互联子域24，将其他成员平台资源信息以及相应的安全信息存储到安全策略库，如其他平台上的客体安全标签等。此外安全服务子域23还利用底层的安全设备，如TPM，为外界提供诸如加密解密算法，密钥管理等安全服务。完整性证实机制也是安全服务域的重要功能之一，它通过各种机制保证完整性证实高效的进行，并且提供持续的完整性保障。
互联子域24，用于根据接收到的迁移子域22做出的迁移决策与本地以外的虚拟平台建立连接。
该虚拟机管理器还包括协议存储单元，用于存储互联子域24与本地虚拟平台以外的平台互联时需要的协议。该协议主要包括平台间握手协议、资源请求与发布协议、安全迁移协议。握手协议是在不同的虚拟平台需要互联的情况下使用的，当一个虚拟平台需要和另外的虚拟平台建立互联关系时，这个虚拟平台首先与已经互联的虚拟平台中的平台相互证实，实现相互信任，这里也需要用到平台完整性证实信息。虚拟平台资源信息存放虚拟平台发布的本地资源信息以及相应的安全信息与管理信息，它同时也获得其它虚拟平台的信息，与所有虚拟平台同步。退出时首先迁出或关闭本地虚拟机，再收回发布出的本地资源信息，最后断开与其他平台的链接。在本地虚拟平台发现本身负载很轻时，它可以向其他建立互联关系的虚拟成员平台发布空余的资源信息，本地平台也可以在负载重时向其它建立互联关系的虚拟平台请求资源，这都是通过资源请求与发布协议完成。安全迁移协议首先根据负载情况进行迁移决策，并通过一系列机制完成安全高效的迁移。
设备驱动子域25，用于管理设备驱动程序，为每一个虚拟机提供相应的设备驱动。
虚拟机中存在有前台设备驱动(Frontend Device Drivers)，它将对驱动的请求导向后台驱动。每一个前台设备驱动在设备驱动子域25中都对应有一个后台设备驱动，这样首先可以实现应用程序在驱动上的隔离，其次还保证了如果其中一个虚拟机(客体操作系统)对应的设备驱动程序不能正常工作时候不影响其他的应用程序运行。
本发明实施例的虚拟机管理器的各个模块可以分离部署，也可以根据需要将其中若干个模块集成为一体。
通过采用本发明实施例提供的虚拟机管理器，将虚拟机管理器划分为不同功能的域，分化虚拟机管理器，在虚拟机管理器层面实现不同功能的安全隔离，为虚拟平台提供安全服务。
本发明实施例还提供一种虚拟机管理的方法，如图3所示，可以包括以下步骤：
步骤s301，根据管理子域预设配置信息中的迁移条件和平台完整性信息作出虚拟机的迁移决策。
管理子域首先将迁移条件发送到安全服务子域，安全服务子域对该迁移条件进行安全检查；当安全检查通过时，管理子域将该迁移条件发送到迁移子域。迁移子域保存该迁移条件，搜集本地虚拟平台和其它虚拟平台硬件资源使用信息，根据该迁移条件、硬件资源使用信息以及预先配置的平台完整性信息做出迁移决策。
步骤s302，向互联子域发送该迁移决策，使互联子域根据该迁移决策与本地以外的虚拟平台建立连接。
通过采用本发明实施例提供的方法，将虚拟机管理器划分为不同功能的域，利用不同域之间的功能合作，保证虚拟平台的互联属于可信连接，从而可以保证虚拟机迁移的不同平台之间的可信性，保证虚拟机在不断迁移的过程中运行在可信平台之上。
下面对本发明上述实施例中提供的方法进行详细介绍，具体的，如图4所示，可以包括以下步骤：
步骤s401，迁移子域根据硬件资源状态管理模块收集的信息做出决策，决定迁出本地虚拟机；向安全服务子域发送相关预决策信息。
步骤s402，安全服务子域检查接收到的预决策信息，根据本地安全策略做出判断。
步骤s403，安全服务子域返回符合安全策略的结果给迁移子域。
步骤s404，安全服务子域返回的的判断结果为符合安全策略时，迁移子域向互联子域发送资源请求广播的命令。
步骤s405，互联子域广播上述请求，并接收其它虚拟平台回应的相关信息。
步骤s406，互联子域返回同意接收虚拟机的其它虚拟平台的相关信息给迁移子域。
步骤s407，迁移子域把目标平台的信息发送到安全服务子域。
步骤s408，安全服务子域根据安全策略对目标平台的信息做出安全检查。
步骤s409，安全服务子域根据检查结果，向迁移子域返回符合条件的目标平台。
步骤s410，迁移子域决策最终的目标平台，向互联子域发送目标平台连接建立命令。
步骤s411，互联子域与目标平台建立连接。
步骤s412，互联子域返回目标平台信息到安全服务子域做平台完整性检查。
步骤s413，安全服务子域返回检查结果给迁移子域。
步骤s414，迁移子域确定具体迁移目标平台，发送虚拟机迁移命令到互联子域。
步骤s415，互联子域返回操作结果到迁移子域和安全服务子域。
步骤s416，安全服务子域记录该操作的日志文件。
上述流程图表述在迁移决策中没有确定迁移的目标平台，由互联子域向网络广播迁移请求，在本地虚拟平台接收到回应消息做出安全检查后确定具体的迁移目的平台。如果迁移子域在决策的过程中确定明确的迁移目的平台，步骤s403-s409需要在迁移子域内部适用另外的流程代替，例如检查硬件资源适用状况适合的作为目标平台；检查欲迁移的虚拟机、源虚拟平台、目标虚拟平台之间是否满足安全策略，确定具体目标平台，然后与目标平台建立连接，进行目标平台完整性检查。安全检查完成后，迁移虚拟机。
通过采用本发明实施例提供的方法，将虚拟机管理器划分为不同功能的域，利用不同域之间的功能合作，保证虚拟平台的互联属于可信连接，从而可以保证虚拟机迁移的不同平台之间的可信性，保证虚拟机在不断迁移的过程中运行在可信平台之上。
下面结合一应用场景对本发明实施例提供的方法中管理子域的功能进行介绍。
管理子域接收用户对虚拟平台的操作命令，首先需要经过安全服务子域的安全检查，具体流程如图5所示，可以包括以下步骤：
步骤s501，用户在管理子域的用户界面发出命令或者请求，如创建新的虚拟机、吊销不用的虚拟机、关闭正在运行的虚拟机、挂起正在使用的虚拟机、恢复挂起的虚拟机等。
步骤s502，管理子域向安全服务子域发送该命令状态信息，由安全服务子域做出检查。
步骤s503，安全服务子域查看内部数据库该操作的合法性，如用户身份的合法性和用户操作类型的合法性，满足安全级别等。
步骤s504，如果用户的请求合法，则返回检查通过消息，由管理子域做下一步操作；例如向虚拟平台发送命令消息。如果检查不合法，返回检查失败，管理子域拒绝该操作。
步骤s505，安全服务子域记录该操作的日志文件。
通过采用本发明实施例提供的虚拟机管理器，用户对虚拟平台的操作命令由管理子域接收后，首先经过安全服务子域的安全检查，提高了虚拟机管理器操作的安全性。
本发明实施例中虚拟机管理器按功能划分子域的方法还可以扩展到广义虚拟可信平台，对整个广义平台的虚拟机管理器做出功能划分，例如把广义平台的虚拟机管理器划分为管理域、安全域、设备驱动域、互联域等功能域共同完成广义虚拟平台的管理和协调工作，维护平台的可信属性。
广义虚拟平台虚拟机管理器统一管理平台的成员平台，可以更好地完成平台的动态迁移，保证整个平台的负载均衡；通过互联域在连接建立过程中对连接建立双方的完整性证实，保证广义平台在虚拟层和虚拟机层的可信属性，即建立的广义平台就是可信平台，保持虚拟机在广义平台上的生命周期内的迁移都是在可信平台之上。
本发明实施例的构建方法在广义平台的虚拟机管理器中的功能和优点得到充分发挥；尤其是互联域在广义平台构建的过程中发挥了比较重要的作用，新加入平台的完整性验证和可信属性的证明得到保证之后才可以加入到广义平台。管理域在广义平台中负责迁移的决策问题，因为互联域在平台构建的过程中已经可以保证该广义平台是可信平台，减轻了迁移决策的负担，同时管理域在广义平台中负责收集整个平台硬件资源使用信息，以便统一管理，所以迁移决策工作可以由管理域来完成。
通过采用本发明实施例提供的方法，将广义平台的虚拟机管理器划分为不同功能的域，利用不同域之间的功能合作，保证虚拟平台的互联属于可信连接，从而可以保证虚拟机迁移的不同平台之间的可信性，保证虚拟机在不断迁移的过程中运行在可信平台之上。
本发明实施例提供一种虚拟机的管理系统，如图6所示，包括虚拟机管理器61、虚拟机62；其中，虚拟机管理器61包括管理子域611、迁移子域612以及互联子域613；
管理子域611，用于接收来自使用者的命令，根据该命令向其它子域发送预设配置信息；管理本地虚拟平台上的虚拟机；
该子域是用户或者管理员与整个虚拟平台交互的接口，其中包括用户决策的实施、虚拟机的管理决策等，即只要是用户需要和虚拟平台交互，就需要并且只能通过该接口交互。
迁移子域612，用于保存管理子域611的预设配置信息中的迁移条件和平台完整性信息；作出虚拟机的迁移决策；
该子域用于根据本地虚拟平台硬件资源的使用情况或者其它平台上硬件资源的使用情况做出虚拟机的迁移决策，调节硬件资源的使用。
互联子域613，用于根据接收到的迁移子域作出的迁移决策与本地以外的虚拟平台建立连接。
当需要进行虚拟机的迁移时，通过该子域与其它虚拟平台的连接，使本地平台可以获取其它虚拟平台的信息，选择相应的平台进行连接。
本发明实施例提供的系统中，如图7所示，虚拟机管理器61还可以包括安全服务子域614，用于根据管理子域611的预设配置中的安全策略检测接收到的消息。该子域对本地平台上的各种消息进行安全检查，确保本地平台工作在可信环境下，尤其对虚拟机迁移时的迁移策略进行安全检查，保证虚拟机迁移在可信平台之间进行。
通过采用本发明实施例提供的虚拟机的管理系统，将虚拟机管理器划分为不同功能的域，分化虚拟机管理器，在虚拟机管理器层面实现不同功能的安全隔离，为虚拟平台提供安全服务。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
总之，以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。