[发明专利]一种虚拟机系统安全受控装置

说明书

本申请实施例公开了一种虚拟机系统安全受控装置，包括虚拟机监控器、虚拟机管理模块和虚拟机安全模块；该装置在运行时，虚拟机监控器将客户虚拟机发送的访问请求转发至虚拟机管理模块，该虚拟机管理模块根据自身接收的访问请求，对客户虚拟机进行的身份进行认证并相应地生成认证结果，将该认证结果通过虚拟机监控器发送至客户虚拟机；客户虚拟机进一步将自身接收的认证结果发送至虚拟机监控器，以通过该虚拟机监控器将自身的认证结果转发至虚拟机安全模块；虚拟机安全模块根据自身接收的认证结果，确定该客户虚拟机的访问权限，并将该访问权限发送给虚拟机监控器，虚拟机监控器根据该访问权限对物理资源进行访问，并向客户虚拟机返回访问结果。

技术领域

本申请涉及虚拟化技术领域，特别是涉及一种虚拟机系统安全受控方法。

背景技术

系统虚拟化是指在一台物理计算机系统上虚拟出一台或多台虚拟计算机系统，虚拟计算机系统是指使用虚拟化技术运行在一个隔离环境中具有完整硬件功能的逻辑计算机系统。在虚拟机系统中，多个操作系统可以互不影响地在同一台物理机上同时运行，复用物理资源。

尽管虚拟化技术得到迅猛发展，但是虚拟机系统的安全技术却严重滞后，并且，在实际应用中，虚拟机系统的安全威胁很多，例如虚拟机之间的攻击、资源占用以及逃逸威胁等均会对虚拟机系统造成安全威胁。

发明内容

为了解决上述技术问题，本申请提供了一种虚拟机系统安全受控装置，能够保证虚拟机系统工作运行的安全性。

本申请实施例公开了如下技术方案：

本申请实施例提供了一种虚拟机系统安全受控装置，所述装置包括：虚拟机监控器、虚拟机管理模块和虚拟机安全模块；

所述虚拟机监控器用于将客户虚拟机发送的访问请求转发至所述虚拟机管理模块；

所述虚拟机管理模块根据所述访问请求，对所述客户虚拟机进行认证，生成认证结果，并将所述认证结果通过所述虚拟机监控器发送至所述客户虚拟机；

所述虚拟机监控器用于将所述客户端虚拟机发送的所述认证结果转发至所述虚拟机安全模块；

所述虚拟机安全模块根据所述认证结果，确定所述客户虚拟机的访问权限，将所述访问权限发送给所述虚拟机监控器；

所述虚拟机监控器根据所述访问权限访问物理资源，向所述客户虚拟机返回访问结果。

可选的，所述虚拟机监控器包括：安全代理子模块和监控器内核；

所述安全代理子模块，用于将所述客户虚拟机发送的访问请求转发至所述虚拟机管理模块，以及将所述认证结果发送至所述客户虚拟机；

所述安全代理子模块，还用于将所述客户虚拟机发送的所述认证结果转发至所述虚拟机安全模块；

所述监控器内核，用于根据所述访问权限访问所述物理资源。

可选的，所述虚拟机管理模块包括：数据库和认证子模块；

所述数据库，用于存储合法的客户虚拟机的信息；

所述认证子模块，用于根据所述数据库存储的内容，确定所述客户虚拟机的所述认证结果。

可选的，所述虚拟机管理模块包括：安全引擎子模块和安全策略子模块；

所述安全策略子模块，用于存储于所述认证结果对应的安全策略；

所述安全引擎子模块，用于根据所述认证结果和所述安全策略子模块中存储的内容，查找所述认证结果对应的安全策略，并根据所述安全策略确定所述客户虚拟机对应的访问权限。

可选的，所述访问请求包括：所述客户虚拟机的标识和资源编号。