[发明专利]多面计算实例身份

说明书

虚拟计算服务(VCS)的计算实例被指派各自命名空间内的第一和第二可加密核实身份(CVI)。与所述第一CVI相关联的加密密钥对包括由不许可拷贝所述私有密钥的安全密钥存储区管理的不可转移私有密钥。所述VCS使得所述实例能够使用所述私有密钥来断言所述CVI。响应于第一身份查询，所述实例指示所述第一CVI。响应于第二身份查询，所述实例指示所述第二CVI。

背景技术

许多公司和其他组织操作计算机网络，这些计算机网络使众多计 算系统互连以支持其操作，例如其中计算系统位于同一位置(例如， 作为本地网络的一部分)或者相反地位于多个截然不同的地理位置中 (例如，经由一个或多个私有或公共中间网络连接)。例如，容纳大量 互连计算系统的数据中心已经变得很常见，例如由单个组织操作并且 代表单个组织的私有数据中心，以及由如企业的实体操作以向客户提 供计算资源的公共数据中心。一些公共数据中心操作者为由各种客户 拥有的硬件提供网络访问、电源和安全安装设施，而其他公共数据中 心操作者提供还包括可供其客户使用的硬件资源的“全面服务”设 施。

针对商品硬件的虚拟化技术的出现为具有不同需求的许多客户 提供了关于管理大规模的计算资源的益处，从而允许由多个客户高效 地并安全地共享各种计算资源。例如，虚拟化技术可以允许通过为每 一用户提供由单个物理计算机器托管的一个或多个虚拟机而在多个 用户之间共享单个物理计算机器。每一此虚拟机可以被认为是作为充 当不同逻辑计算系统的软件模拟，这为用户提供了他们是给定硬件计 算资源的唯一操作者和管理员的假象，同时还提供各种虚拟机之间的 应用隔离。

在公共数据中心处实施的虚拟化计算服务可以“计算实例”的 形式封装供客户端使用的计算能力，其中数个这样的计算实例通常代 表一个或多个服务客户端托管在给定硬件服务器上。然后，客户端可 以在计算实例上运行所期望的应用集，通常经由虚拟计算服务的基于 web的控制台来执行管理操作。在许多情况下，客户端可能希望使用 计算实例来运行需要身份验证的应用，也就是说，为了获得计算实例 的许可以执行应用的各种任务，或者为了请求来自其他服务的工作操 作，可能必须核实实例的身份。随着入侵者攻击各种网络和服务的频 率和复杂性增加，虚拟化计算服务的客户端可能变得不愿意利用不提 供对高度安全的资源身份核实机制的支持的计算实例或其他资源。

附图说明

图1示出了根据至少一些实施方案的示例性系统环境，其中在虚 拟计算服务处实施的计算实例可以被指派各自命名空间内的数个不 同可加密核实身份(CVI)。

图2示出了根据至少一些实施方案的可以指派给计算实例的身 份类型的示例。

图3示出了根据至少一些实施方案的多个应用的认证部件与计 算实例之间的互动的示例。

图4示出了根据至少一些实施方案的实例主机的示例，在实例主 机处可以实施使得计算实例能够利用由安全密钥存储区所管理的不 可转移私有密钥的编程接口。

图5示出了根据至少一些实施方案的客户端与实例配置管理器 之间的身份相关控制平面互动的示例。

图6示出了根据至少一些实施方案的可包括在提交给实例配置 管理器的身份指派请求中的身份描述符的示例性内容。

图7是示出根据至少一些实施方案的可被执行以响应于与实例 身份指派有关的管理请求的操作的各方面的流程图。

图8是示出根据至少一些实施方案的可以在已经指派了各自命 名空间内的一个或多个身份的计算实例处执行的操作的各方面的流 程图。

图9是示出可以在至少一些实施方案中使用的示例性计算装置 的框图。