[发明专利]基于云计算的认证方法及系统

权利要求书

1.一种基于云计算的认证方法，其特征在于，所述方法适用于云计算系统，所述系统包括代理端设备以及服务端设备，代理端设备中部署有密码模块；所述方法包括：

对于代理端设备中已创建的虚拟机，在所述虚拟机中部署代理模块；

采集所述代理端设备的设备信息，所述设备信息包括系统参数以及密码模块的属性信息；

若采集到所述设备信息，则基于所述设备信息初始化密码模块以得到签名密钥对，并向服务端设备申请双证书，其中双证书包括签名证书以及加密证书；

将申请到的双证书以及签名密钥对存储到密码模块中，以实现对所述虚拟机的动态监测；

其中，对所述虚拟机的动态监测包括通过代理模块向监控服务器上报虚拟机所处状态，所述状态包括虚拟机的证书状态以及虚拟机运行情况，虚拟机的证书状态复用证书吊销列表中的证书状态，在证书吊销列表中体现双证书的证书状态，双证书的证书状态包括双证书的序列号以及异常状态的原因；

当工作负载启动时在引导层支持密码模块的自检和工作负载的状态管理功能，以在虚拟机运行的任意阶段进行动态监测或者重新认证，其中，虚拟机的证书状态例如包括冻结–保持、作废–主机下线、未使用–租用未使用。

2.如权利要求1所述的方法，其特征在于，还包括：

通过所述代理模块向监控服务器上报所述虚拟机所处状态。

3.如权利要求1所述的方法，其特征在于，所述基于所述设备信息初始化密码模块以得到签名密钥对，包括：

基于所述系统参数以及所述密码模块的属性信息生成公钥基础设施PKI体系中的摘要；

生成所述虚拟机的签名密钥对。

4.如权利要求1所述的方法，其特征在于，若所述服务端设备包括证书管理服务器，所述代理模块为可信代理模块，则所述向服务端设备申请双证书，将申请到的双证书以及签名密钥对存储到密码模块中，包括：

通过可信代理模块创建证书签名请求并发送给证书管理服务器，所述证书签名请求包括PKI体系中的摘要和挑战码；

接收证书管理服务器反馈的双证书，以将双证书以及对应的签名密钥对存储到所述密码模块中。

5.如权利要求4所述的方法，其特征在于，还包括：

向所述服务端设备发送携带有本地设备标识的挑战码获取请求；

接收所述服务端设备下发的挑战码，其中，挑战码用于生成证书签名请求。

6.如权利要求1所述的方法，其特征在于，所述服务端设备包括认证服务器；所述方法还包括：

接收到双证书中的加密证书之后，向服务端设备申请挑战码；

响应认证服务器反馈的挑战码，向认证服务器发送签名值，其中，签名值经过加密证书的加密，签名值包括基础设施即服务IaaS虚拟机的资产标识；

通过认证服务器采用加密证书对应私钥对签名值进行解密以及验证，并向通过验证的代理端设备反馈对应的密钥保护方法。

7.如权利要求1至6任一所述的方法，其特征在于，所述密码模块部署在所述代理端设备的IaaS虚拟机中。

8.如权利要求1至6任一所述的方法，其特征在于，所述密码模块包括可插拔的硬件密码模块，或者集成在所述代理模块中的软件密码模块；

所述软件密码模块用于替代可插拔的硬件密码模块实现认证功能。

9.如权利要求8所述的方法，其特征在于，为密码模块预先配置统一的预制证。

10.如权利要求1至6任一所述的方法，其特征在于，所述密码模块支持硬件虚拟化，以通过硬件虚拟化使得多个虚拟机共用同一所述密码模块。