[发明专利]一种云平台中虚拟机加密方法、装置、设备及介质

说明书

本发明提出了一种云平台中虚拟机加密方法，包括：构建KMS系统池，所述KMS系统池中配置多个校验后的KMS系统；创建若干加密策略，每个加密策略与KMS系统池中的经过校验后的一个KMS系统绑定；云平台中的待加密的虚拟机从所有加密策略选择一个加密策略，将选择的加密策略绑定到待加密虚拟机上；通过选择的加密策略对应绑定的KMS系统上获取对称加密密钥，并对待加密虚拟机的所有虚拟磁盘加密，本发明还提出了一种云平台中虚拟机加密装置、设备及介质，防止云平台下待加密虚拟机从非绑定关联的KMS系统获取密钥，避免了数据不能解密的场景。

技术领域

本发明涉及虚拟机加密领域，尤其是涉及一种云平台中虚拟机加密方法、装置、设备及介质。

背景技术

随着云计算的发展，越来越多的企业应用迁移到云平台上。企业上云之后，企业的核心数据资产如何保证信息安全，防止信息泄密成为首要解决的问题。

为防止信息泄密，通常是采用针对虚拟机磁盘加密的方式。该方式采用对称密钥把虚拟磁盘的明文进行加密成虚拟磁盘密文后，然后再进行数据存储。为保证密钥安全，该加密密钥由单独的密钥管理系统KMS(Key Management System，密钥管理系统)保存。云平台在连接KMS时，需要通过KMS的认证后方可获取相关的密钥。主流的KMS系统通常Server(服务端)+Client(客户端)方式进行认证，即KMS作为Server端，云平台作为Client端进行网络连接，云平台必须出具从KMS系统下载的Client证书才能通过认证。

但是，这种单向认证Client端身份的认证方式针对1+1(即1个云平台下只配置有1个KMS系统)应用场景能够很好的进行支撑。但是针对1+N(即1个云平台配置了N个KMS系统，N1)的应用场景就存在很多问题。当云平台用从第一个KMS系统上获取某虚拟机对应的密钥后，云平台中的虚拟机利用对应密钥进行虚拟磁盘加密存储。例如管理员又配置了第二个KMS系统的Client证书，当云平台对上述虚拟机进行解密时，就会从第二个KMS系统上获取该虚拟机对应的密钥。第二个KMS系统上会认为该请求是一个新的密钥请求，于是第二个KMS系统会创建另外一个全新的密钥返回给云平台(密钥管理系统会查询该密钥ID，当密钥ID不存在时，会创建该密钥，然后再返回给云平台)。但是该全新的密钥跟原来的第一个KMS创建的密钥肯定不相同，所以会导致该虚拟机解密不成功。如果强制解密还可能导致原加密数据丢失。

发明内容

本发明为了解决现有技术中存在的问题，创新提出了一种云平台中虚拟机加密方法、装置、设备及介质，有效解决由于现有技术造成云平台中虚拟机加密后从非关联的KMS系统获取密钥，使得数据不能正确加解密的问题，有效地提高了云平台中虚拟机加密的可用性。

本发明第一方面提供了一种云平台中虚拟机加密方法，包括：

构建KMS系统池，所述KMS系统池中配置多个校验后的KMS系统；

创建若干加密策略，每个加密策略与KMS系统池中的经过校验后的一个KMS系统绑定；

云平台中的待加密的虚拟机从所有加密策略选择一个加密策略，将选择的加密策略绑定到待加密虚拟机上；

通过选择的加密策略对应绑定的KMS系统上获取对称加密密钥，并对待加密虚拟机的所有虚拟磁盘加密。

可选地，构建KMS系统池，所述KMS系统池中配置多个校验后的KMS系统具体包括：

获取输入的KMS系统信息，所述KMS系统信息至少包括Client证书；

在当前输入的KMS系统上创建对称密钥，利用创建的对称密钥对预设特征值进行加密得到密文，并利用对称密钥对密文解密得到明文，校验明文跟预设特征值是否相同，如果相同，则检验通过；如果不同，提示错误；