[发明专利]一种微内核虚拟化操作系统的系统调用方法及装置

说明书

本申请属于虚拟操作系统技术领域。具体提供了一种微内核虚拟化操作系统的系统调用方法和装置，该方法包括：通过开发工具，自定义配置虚拟机的系统调用的权限，并将配置信息注入微内核；在虚拟机执行系统调用请求时，所述微内核根据所述配置信息，确定对应系统调用的权限，以及根据确定的权限给予调用响应。基于本申请提供的技术方案，用户可以自主定义每个虚拟机系统功能的调用权限，从而实现差异化管理。

技术领域

本申请涉及虚拟操作系统技术领域，特别涉及一种微内核虚拟化操作系统的系统调用方法及装置。

背景技术

内核是操作系统的核心部分，内核管理着系统的各种资源。目前，从内核架构来划分，可分为微内核(Micro Kernel)和宏内核(Monolithic Kernel)。相较于宏内核，微内核具有更安全可靠的优点。

在执行系统调用任务时，微内核操作系统会提供一系列的调用接口，但是这些系统调用接口往往暴露在用户空间。一方面在大多数虚拟机的整个生命周期内，许多系统调用接口实际使用率并不高；另一方面，暴露在用户空间的系统调用接口可能存在各种安全漏洞，如果被恶意利用，则可能为整个系统带来严重的安全隐患，因此，有必要对用户态虚拟机的系统调用加以限制。

在现有已知的微内核操作系统中，例如seL4等并未对系统调用加以限制。而对于传统的宏内核来说，例如Linux系统所支持的Seccomp安全计算模式可以限制应用程序系统的调用权限。在Linux系统中的Seccomp安全计算模式中，仅允许使用read、write、_exit和sigreturn四个系统调用，除此之外，其他调用会被终止。但是，Linux系统中的Seccomp安全计算模式虽然实现了对系统调用权限的限制，但是由于其对所有被控进程的调用权限的一致性处理，使其不能做到差异性控制。另外，仅开放几个固定的系统调用权限，无法满足用户对系统调用的访问需求。

发明内容

鉴于现有技术的以上问题，本申请提供一种微内核虚拟化操作系统的系统调用方法及装置，使得用户可以自主定义每个虚拟机系统的调用权限，从而实现差异化管理，以满足用户对系统调用的个性化需求。

为达到上述目的，本申请第一方面提供了一种微内核虚拟化操作系统的系统调用方法，包括：通过开发工具，自定义配置虚拟机的系统调用的权限，并将配置信息注入微内核；在虚拟机执行系统调用请求时，所述微内核根据所述配置信息，确定对应系统调用的权限，以及根据确定的权限给予调用响应。

由上，本申请提供的微内核虚拟化操作系统的系统调用方法，通过自主配置虚拟机的系统调用权限，并将该配置的信息注入到微内核中，实现基于微内核虚拟化操作系统的系统调用的差异化管理，满足用户对系统调用的个性化需求。

作为第一方面一种可能的实现方式，所述将配置信息注入微内核，包括：根据配置信息生成虚拟机调用权限描述符，并将所述描述符编译到所述微内核的镜像中。

由上，通过描述符来描述虚拟机调用权限，可以使虚拟机快速识别是否具有相应的系统调用权限。

作为第一方面一种可能的实现方式，所述自定义配置虚拟机的系统调用的权限时，还包括：配置针对无系统调用权限的调用响应策略；所述根据确定的权限给予调用响应，包括：当确定系统调用无权限时，根据所述调用响应策略进行调用响应。

由上，为无系统调用权限的调用请求配置调用响应策略，使得响应策略具有可扩展性和差异性。

作为第一方面一种可能的实现方式，所述调用响应策略，包括：停止所述虚拟机的运行或者向所述虚拟机返回错误码。

由上，通过执行不同的调用响应策略，防止安全事故进一步扩散，提高虚拟机系统的安全性和可靠性。

作为第一方面一种可能的实现方式，所述虚拟机的系统调用的配置信息在虚拟机生存期内被锁定。