[发明专利]一种访问控制系统及其方法

权利要求书

1.一种访问控制方法，其特征在于，包括：

步骤S1、云安全管理单元根据预设的第一访问控制策略在虚拟 网络之中形成多个安全域，所述安全域包括至少一个虚拟机，所述 云安全管理单元设置在云计算虚拟网络内；

步骤S2、安全代理单元根据所述第一访问控制策略形成第二访 问控制策略，所述安全代理单元设置在物理主机内，所述第二访问 控制策略用于对所述物理主机内的虚拟机进行访问控制，所述云安 全管理单元与所述安全代理单元连接。

2.根据权利要求1所述的访问控制方法，其特征在于，所述步 骤S2包括：

根据所述第一访问控制策略形成第三访问控制策略，所述第三 访问控制策略用于对同一个安全域内的虚拟机之间的通信进行访问 控制；

根据所述第一访问控制策略形成第四访问控制策略，所述第四 访问控制策略用于对一个安全域内的虚拟机与另一个安全域内的虚 拟机之间的通信进行访问控制。

3.根据权利要求1所述的访问控制方法，其特征在于，所述步 骤S2包括：

根据所述第一访问控制策略形成第五访问控制策略，所述第五 访问控制策略用于对同一个物理主机内的虚拟机之间的通信进行访 问控制；

根据所述第一访问控制策略形成第六访问控制策略，所述第六 访问控制策略用于对一个物理主机内的虚拟机与另一个物理主机内 的虚拟机之间的通信进行访问控制。

4.根据权利要求1所述的访问控制方法，其特征在于，所述步 骤S1包括：

改变所述第一访问控制策略；

根据改变后的第一访问控制策略形成多个安全域。

5.根据权利要求4所述的访问控制方法，其特征在于，所述步 骤S2包括：

监测所述第一访问控制策略的状态；

当所述第一访问控制策略改变时根据改变后的第一访问控制策 略形成新的第二访问控制策略。

6.一种访问控制系统，其特征在于，包括云安全管理单元和安 全代理单元，所述云安全管理单元设置在云计算虚拟网络内，所述 安全代理单元设置在物理主机内，所述云安全管理单元与所述安全 代理单元连接；

所述云安全管理单元用于根据预设的第一访问控制策略在虚拟 网络之中形成多个安全域，所述安全域包括至少一个虚拟机；

所述安全代理单元用于根据所述第一访问控制策略形成第二访 问控制策略，所述第二访问控制策略用于对所述物理主机内的虚拟 机进行访问控制。

7.根据权利要求6所述的访问控制系统，其特征在于，所述安 全代理单元包括第一安全代理模块和第二安全代理模块；

所述第一安全代理模块用于根据所述第一访问控制策略形成第 三访问控制策略，所述第三访问控制策略用于对同一个安全域内的 虚拟机之间的通信进行访问控制；

所述第二安全代理模块用于根据所述第一访问控制策略形成第 四访问控制策略，所述第四访问控制策略用于对一个安全域内的虚 拟机与另一个安全域内的虚拟机之间的通信进行访问控制。

8.根据权利要求6所述的访问控制系统，其特征在于，所述安 全代理单元包括第三安全代理模块和第四安全代理模块；

所述第三安全代理模块用于根据所述第一访问控制策略形成第 五访问控制策略，所述第五访问控制策略用于对同一个物理主机内 的虚拟机之间的通信进行访问控制；

所述第四安全代理模块用于根据所述第一访问控制策略形成第 六访问控制策略，所述第六访问控制策略用于对一个物理主机内的 虚拟机与另一个物理主机内的虚拟机之间的通信进行访问控制。

9.根据权利要求6所述的访问控制系统，其特征在于，所述云 安全管理单元包括改变模块和第一形成模块，所述改变模块与所述 第一形成模块连接；

所述改变模块用于改变所述第一访问控制策略；

所述第一形成模块用于根据改变后的第一访问控制策略形成多 个安全域。

10.根据权利要求9所述的访问控制系统，其特征在于，所述 安全代理单元包括监测模块和第二形成模块，所述监测模块与所述 第二形成模块连接；

所述监测模块用于监测所述第一访问控制策略的状态；

所述第二形成模块用于当所述第一访问控制策略改变时根据改 变后的第一访问控制策略形成新的第二访问控制策略。