[发明专利]输入输出操作的处理方法和装置

说明书

技术领域

本发明涉及数据存储技术领域，尤其涉及一种输入输出(I/O，Input/Output)操作的处理方法和装置。

背景技术

可信存储设备，是指可以让合法用户访问、同时能拒绝非法用户访问的数据存储设备。可信存储设备可以用来存储敏感数据，解决由于非法用户访问带来的数据被盗取、丢失、篡改等问题。

同时随着虚拟化技术的应用，使得可以基于一台物理主机的硬件资源实现多台虚拟机，同理可以基于一个存储设备实现多个虚拟存储设备，从而显著提高计算机的工作效率。

然而，发明人在实现本发明过程中发现，现有技术至少存在以下缺陷：虚拟存储设备可以挂载到同一个物理主机中的任意一个虚拟机上，现有的可信存储方案并不适用于虚拟化场景。在虚拟化场景中，虚拟机用户无需进行验证就可以访问硬盘，不能实现对用户硬盘访问操作的控制，如何甄别合法用户和非法用户对数据的访问操作，保护数据安全成为一个需要解决的问题。

发明内容

本发明实施例提供一种I/O操作的处理方法，用以在虚拟化场景下提高数据的安全性。

本发明实施例提供的技术方案如下：

第一方面，提供了一种I/O操作的处理方法，包括：

虚拟机监视器或虚拟机管理器检测来自于虚拟机用户对虚拟存储设备的I/O操作指令；

若检测到所述I/O操作指令，触发与所述虚拟存储设备存在映射关系的虚拟安全固件对所述虚拟机用户进行验证；所述虚拟安全固件是对安全固件进行虚拟化获得的。

在所述第一方面的第一种可能的实现方式中，所述触发与所述虚拟存储设备存在映射关系的虚拟安全固件对所述虚拟机用户进行验证，具体包括：

所述虚拟机监视器或虚拟机管理器从虚拟安全固件与虚拟存储设备的映射关系中，获得与所述虚拟存储设备对应的所述虚拟安全固件；

所述虚拟机监视器或虚拟机管理器向所述安全固件发送通知指令，所述通知指令中携带所述虚拟安全固件的标识，所述虚拟安全固件的标识用于使所述安全固件获取所述虚拟存储设备的合法用户的验证信息。

在所述第一方面的第一种可能的实现方式中，还提供了所述第一方面的第二种可能的实现方式，所述触发与所述虚拟存储设备存在映射关系的虚拟安全固件对所述虚拟机用户进行验证，还包括：

所述虚拟机监视器或虚拟机管理器向所述安全固件发送用户输入的验证信息，以使所述安全固件根据所述合法用户的验证信息和所述虚拟机用户输入的验证信息对所述虚拟机用户进行验证。

在所述第一方面、所述第一方面的第一种可能的实现方式或所述第一方面的第二种可能的实现方式中，还提供了所述第一方面的第三种可能的实现方式，还包括：

所述虚拟机监视器或虚拟机管理器还用于为所述虚拟安全固件分配公钥证书和/或公私钥，所述公钥证书和/或公私钥用于在挂载与所述虚拟安全固件存在映射关系的所述虚拟存储设备时，对所述虚拟存储设备的身份进行认证。

在所述第一方面的第三种可能的实现方式中，还提供了所述第一方面的第四种可能的实现方式，所述公私钥还用于在所述虚拟安全固件对所述虚拟机用户进行验证的过程中，实现所述虚拟安全固件与所述虚拟机用户之间交互信息的安全。

在所述第一方面的第三种可能的实现方式、或所述第一方面的第四种可能的实现方式中，还提供了所述第一方面的第五种可能的实现方式，所述公钥证书和/或公私钥存储在所述虚拟存储设备中的安全分区中，所述虚拟存储设备中的安全分区是指所述虚拟机用户无法访问的存储空间。

在所述第一方面、或第一方面的上述任意一种可能的实现方式中，还提供了所述第一方面的第六种可能的实现方式，还包括：

若验证通过，则判断所述虚拟存储设备的当前容量是否足以执行所述I/O操作指令；

若不足以执行所述I/O操作指令，则为所述虚拟存储设备新分配存储空间，所述新分配存储空间的容量与新分配存储空间之前所述虚拟存储设备的容量之和不大于所述虚拟存储设备的容量上限；

在新分配存储空间之后的所述虚拟存储设备上，执行所述I/O操作指令。

第二方面，提供了一种输入输出I/O操作的处理方法，包括：在虚拟机监视器或虚拟机管理器的触发下，虚拟安全固件对虚拟机用户进行验证；所述虚拟安全固件是对安全固件进行虚拟化获得的。

在所述第二方面的第一种可能的实现方式中，所述虚拟安全固件是对所述安全固件进行硬件虚拟化获得的，所述安全固件通过所述硬件虚拟化具有扩展的接口功能。