[发明专利]一种虚拟机平台的安全控制方法及装置

权利要求书

1.一种虚拟机平台的安全控制方法，其特征在于，包括：

确定虚拟机平台中的服务虚拟机；

依据最小粒度分离算法，将所述服务虚拟机划分为多个最小子服务虚拟 机；其中，各个所述最小子服务虚拟机提供的服务不存在交集且服务粒度最 小；

依据预设合并规则，将若干最小子服务虚拟机合并，获得至少两个子服 务虚拟机；其中，各个所述子服务虚拟机独立提供虚拟服务；

当接收到所述虚拟平台中用户虚拟机的服务调用请求时，在各个所述子 服务虚拟机中，确定与所述服务调用请求对应的目标子服务虚拟机；

建立与所述目标子服务虚拟机的第一连接以及与所述用户虚拟机的第二 连接，所述第一连接及所述第二连接以供所述目标子服务虚拟机为所述用户 虚拟机提供虚拟服务，以实现用户虚拟机和子服务虚拟机之间的双向隔离。

2.根据权利要求1所述的虚拟机平台的安全控制方法，其特征在于，还 包括：

若某个子服务虚拟机处于待机状态，关闭所述某个子服务虚拟机；

或者，

若某个子服务虚拟机处于待机状态，将所述某个子服务虚拟机与其他子 服务虚拟机合并。

3.根据权利要求1所述的虚拟机平台的安全控制方法，其特征在于，还 包括：

当监测到超级调用请求时，判断发送所述超级调用请求的调用虚拟机是 否具有对应的权限；

若具有，为所述调用虚拟机提供与超级调用请求对应的服务。

4.根据权利要求1所述的虚拟机平台的安全控制方法，其特征在于，各 个所述子服务虚拟机分别为：

设备模型虚拟机、网络虚拟机、设备驱动虚拟机、监视器信息存储虚拟 机、虚拟机信息存储虚拟机、系统引导虚拟机、日志服务虚拟机、迁移服务 虚拟机、虚拟域构建虚拟机、外部设备配置管理虚拟机、以及监视器管理工 具虚拟机。

5.一种虚拟机平台的安全控制装置，其特征在于，该装置包括：

服务域确定模块，用于确定虚拟机平台中的服务虚拟机；

最小虚拟机划分模块，用于依据最小粒度分离算法，将所述服务虚拟机 划分为多个最小子服务虚拟机；其中，各个所述最小子服务虚拟机提供的服 务不存在交集且服务粒度最小；

最小虚拟机合并模块，用于依据预设合并规则，将若干最小子服务虚拟 机合并，获得至少两个子服务虚拟机；其中，各个所述子服务虚拟机独立提 供虚拟服务；

服务请求模块，用于当接收到所述虚拟平台中用户虚拟机的服务调用请 求时，在各个所述子服务虚拟机中，确定与所述服务调用请求对应的目标子 服务虚拟机；

连接建立模块，用于建立与所述目标子服务虚拟机的第一连接以及与所 述用户虚拟机的第二连接，所述第一连接及所述第二连接以供所述目标子服 务虚拟机为所述用户虚拟机提供虚拟服务，以实现用户虚拟机和子服务虚拟 机之间的双向隔离。

6.根据权利要求5所述的虚拟机平台的安全控制装置，其特征在于，还 包括：子虚拟机关闭模块和/或子虚拟机合并模块；

子虚拟机关闭模块，用于若某个子服务虚拟机处于待机状态，关闭所述 某个子服务虚拟机；

子虚拟机合并模块，用于若某个子服务虚拟机处于待机状态，将所述某 个子服务虚拟机与其他子服务虚拟机合并。

7.根据权利要求5所述的虚拟机平台的安全控制装置，其特征在于，还 包括：

超级调用请求模块，用于当监测到超级调用请求时，判断发送所述超级 调用请求的调用虚拟机是否具有对应的权限；若具有，触发超级调用服务模 块；

超级调用服务模块，用于为所述调用虚拟机提供与超级调用请求对应的 服务。

8.根据权利要求5所述的虚拟机平台的安全控制装置，其特征在于，各 个所述子服务虚拟机分别为：

设备模型虚拟机、网络虚拟机、设备驱动虚拟机、监视器信息存储虚拟 机、虚拟机信息存储虚拟机、系统引导虚拟机、日志服务虚拟机、迁移服务 虚拟机、虚拟域构建虚拟机、外部设备配置管理虚拟机、以及监视器管理工 具虚拟机。