[发明专利]按需安全策略提供

权利要求书

1.一种方法，包括：

在包括多个网荚的网络中，在第一网荚中针对第一端点组(EPG)配置一个或多个安全策略，所述一个或多个安全策略包括黑名单规则和白名单规则，所述黑名单规则和所述白名单规则定义用于所述第一EPG与所述网络中的一个或多个第二网荚中的一个或多个第二EPG之间的通信的流量安全实施规则；

基于每个策略的相应特性，将相应优先级分配给所述一个或多个安全策略，其中，与较不具体的策略相比，更具体的策略被分配更高的优先级；

检测与所述第一EPG相关联的虚拟机从所述第一网荚到来自所述一个或多个第二网荚的第二网荚上的目标节点的移动；以及

当与所述第一EPG相关联的虚拟机是所述第二网荚上要与所述第一EPG相关联的第一个虚拟机时，在所述目标节点或所述第二网荚中的至少一者中针对所述第一EPG自动提供所述一个或多个安全策略。

2.根据权利要求1所述的方法，还包括：

当与所述第一EPG相关联的虚拟机是所述第一网荚上与所述第一EPG相关联的最后虚拟机时，从所述第一网荚中自动移除所述一个或多个安全策略中的至少一个。

3.根据权利要求1至2中任一项所述的方法，还包括：

经由所述网络上的控制器呈现配置元件，所述配置元件提供用于手动覆盖与所述一个或多个安全策略相关联的相应隐式优先级的选项。

4.根据权利要求1至2中任一项所述的方法，其中，所述一个或多个安全策略包括所述第一EPG与所述一个或多个第二EPG之间的合同。

5.根据权利要求4所述的方法，其中，所述合同定义针对相关联的流量的相应EPG，以及相应上下文、相应主题、相应过滤器、相应源或相应目的地中的至少一个。

6.根据权利要求1至2中任一项所述的方法，其中，所述一个或多个安全策略基于所述网络的模式，所述模式包括分层管理信息树。

7.根据权利要求1至2中任一项所述的方法，其中，所述网络包括软件定义的网络，并且所述多个网荚包括所述软件定义的网络中的多个网络结构段。

8.一种系统，包括一个或多个处理器，所述一个或多个处理器被配置为：

在包括多个网荚的网络中，在第一网荚中针对第一端点组(EPG)配置一个或多个安全策略，所述一个或多个安全策略包括黑名单规则和白名单规则，所述黑名单规则和所述白名单规则定义用于所述第一EPG与所述网络中的一个或多个第二网荚中的一个或多个第二EPG之间的通信的流量安全实施规则；

基于每个策略的相应特性，将相应优先级分配给所述一个或多个安全策略，其中，与较不具体的策略相比，更具体的策略被分配更高的优先级；

检测与所述第一EPG相关联的虚拟机在所述网络中从所述第一网荚到来自所述一个或多个第二网荚的第二网荚的移动；以及

响应于所述移动，在所述第二网荚中针对所述第一EPG动态提供所述一个或多个安全策略。

9.根据权利要求8所述的系统，其中，所述一个或多个安全策略包括所述第一EPG与所述一个或多个第二EPG之间的合同。

10.根据权利要求9所述的系统，其中，所述合同定义针对相关联的流量的相应EPG，以及相应上下文、相应主题、相应过滤器、相应源或相应目的地中的至少一个。

11.根据权利要求8至10中任一项所述的系统，所述一个或多个处理器被配置为：

呈现配置元件，所述配置元件提供用于手动覆盖与所述一个或多个安全策略相关联的相应隐式优先级的选项。

12.根据权利要求8至10中任一项所述的系统，其中，所述网络包括软件定义的网络，并且其中，所述多个网荚包括所述软件定义的网络中的多个网络结构段。