[发明专利]一种访问控制系统及其方法

说明书

技术领域

本发明涉及信息安全技术领域，尤其涉及一种访问控制系统及 其方法。

背景技术

云计算的特点之一就是将资源进行集中分配调度。虚拟化使得 物理设备转化为资源池，具有按需分配和互相隔离的特征，因此虚 拟化是资源能够灵活分配调度的必要条件。服务器虚拟化和存储虚 拟化都有比较成熟的解决方案，但是数据中心的业务是离不开网络 的，每个租户都需要通过网络连接自己的虚拟机，并且不能与其他 租户的网络互相干扰，因此，网络作为资源的一部分同样向着虚拟 化方向发展。数据中心的网络必须隔离成多个虚拟网络，分配给各 个租户，使每个租户都感觉在独立使用网络，可以分配自己的IP地 址，设置自己的网络安全策略。

按照目前的网络技术，租户网络的隔离可以采用虚拟局域网 (VirtualLocalAreaNetwork，VLAN)技术，安全策略可以在交换 机上进行配置。然而，虚拟机的申请、释放和迁移都具有动态性， 这使得与虚拟机相关的网络配置也必须具有动态性，因此频繁修改 网络配置影响网络管理。

发明内容

为解决上述问题，本发明提供一种访问控制系统及其方法，用 于解决现有的云计算虚拟网络的安全策略的改变影响网络管理的问 题。

为此，本发明提供一种访问控制方法，包括：

步骤S1、云安全管理单元根据预设的第一访问控制策略在虚拟 网络之中形成多个安全域，所述安全域包括至少一个虚拟机，所述 云安全管理单元设置在云计算虚拟网络内；

步骤S2、安全代理单元根据所述第一访问控制策略形成第二访 问控制策略，所述安全代理单元设置在物理主机内，所述第二访问 控制策略用于对所述物理主机内的虚拟机进行访问控制，所述云安 全管理单元与所述安全代理单元连接。

可选的，所述步骤S2包括：

根据所述第一访问控制策略形成第三访问控制策略，所述第三 访问控制策略用于对同一个安全域内的虚拟机之间的通信进行访问 控制；

根据所述第一访问控制策略形成第四访问控制策略，所述第四 访问控制策略用于对一个安全域内的虚拟机与另一个安全域内的虚 拟机之间的通信进行访问控制。

可选的，所述步骤S2包括：

根据所述第一访问控制策略形成第五访问控制策略，所述第五 访问控制策略用于对同一个物理主机内的虚拟机之间的通信进行访 问控制；

根据所述第一访问控制策略形成第六访问控制策略，所述第六 访问控制策略用于对一个物理主机内的虚拟机与另一个物理主机内 的虚拟机之间的通信进行访问控制。

可选的，所述步骤S1包括：

改变所述第一访问控制策略；

根据改变后的第一访问控制策略形成多个安全域。

可选的，所述步骤S2包括：

监测所述第一访问控制策略的状态；

当所述第一访问控制策略改变时根据改变后的第一访问控制策 略形成新的第二访问控制策略。

本发明提供一种访问控制系统，包括云安全管理单元和安全代 理单元，所述云安全管理单元设置在云计算虚拟网络内，所述安全 代理单元设置在物理主机内，所述云安全管理单元与所述安全代理 单元连接；

所述云安全管理单元用于根据预设的第一访问控制策略在虚拟 网络之中形成多个安全域，所述安全域包括至少一个虚拟机；

所述安全代理单元用于根据所述第一访问控制策略形成第二访 问控制策略，所述第二访问控制策略用于对所述物理主机内的虚拟 机进行访问控制。

可选的，所述安全代理单元包括第一安全代理模块和第二安全 代理模块；

所述第一安全代理模块用于根据所述第一访问控制策略形成第 三访问控制策略，所述第三访问控制策略用于对同一个安全域内的 虚拟机之间的通信进行访问控制；

所述第二安全代理模块用于根据所述第一访问控制策略形成第 四访问控制策略，所述第四访问控制策略用于对一个安全域内的虚 拟机与另一个安全域内的虚拟机之间的通信进行访问控制。

可选的，所述安全代理单元包括第三安全代理模块和第四安全 代理模块；