本发明涉及私有云维护技术领域，尤其是涉及一种私有云平台信息系统安全运维方法及其装置。
背景技术
随着云计算技术的兴起，众多客户开始自建私有云，并把信息系统逐步迁移到了云上。传统的数据中心在安全领域积累了大量的理论和最佳实践，但如何保障云上信息系统的安全则是一个新的领域。各大云安全标准组织、安全厂家和企业自身都提出了自己云安全体系。云安全领域中信息系统运维安全问题尤其突出。目前私有云环境中，信息系统运维仍然采用传统远程桌面协议(remotedesktopprotocol，简称rdp)、安全外壳协议(secureshell，简称ssh)等协议，这些协议要求信息系统在公共网络环境中可访问，用户直接使用信息系统管理员账号运维管理信息系统。这使得用户信息系统直接暴露在黑客视野中，增加了被黑客入侵的可能性。
私有云环境下现有运维方法通常是将所有信息系统的ssh、rdp等运维协议端口映射到公共网络中，用户使用信息系统的管理员账号进行运维操作。信息系统暴露在公共网络中，黑客可以轻易地进行发现和探测，极大的增加了黑客入侵的可能性。用户直接使用信息系统的账号进行运维，无法对运维操作进行审计，出现运维问题时无法进行有效的溯源。因此，当前私有云环境下的运维方法存在巨大安全隐患。
技术实现要素：
有鉴于此，本发明的主要目的在于提供一种私有云平台信息系统安全运维方法及其装置，实现了对用户运维操作的认证、授权、审计功能，并且解决了可能会在公共网络中暴露信息系统的安全问题。
第一方面，本发明实施例提供了一种私有云平台信息系统安全运维方法，包括：
获取到用户端通过防火墙vpn对私有云的访问请求；
对所述用户端输入的vpn账号密码进行认证；
如果认证通过，则通过防火墙的访问控制功能建立所述用户端与运维审计系统的连接；
对所述用户端输入的运维审计系统账号进行身份认证；
如果认证通过，则授权给所述用户端。
结合第一方面，本发明实施例提供了第一方面的第一种可能的实施方式，其中，该方法还包括：
如果所述vpn账号密码或所述运维审计系统账号认证失败，则向用户端发送认证失败消息。
结合第一方面，本发明实施例提供了第一方面的第二种可能的实施方式，其中，所述防火墙vpn的功能，具体包括：sslvpn、ipsecvpn和l2tpvpn，将vpn端口映射到公共网络中。
结合第一方面，本发明实施例提供了第一方面的第三种可能的实施方式，其中，所述防火墙配置有访问控制列表，所述访问控制列表用于限制用户仅能访问运维审计系统。
结合第一方面，本发明实施例提供了第一方面的第四种可能的实施方式，其中，所述运维审计系统账号与用户为一一对应的关系。
结合第一方面，本发明实施例提供了第一方面的第五种可能的实施方式，其中，该方法还包括：
预先将所述信息系统的账号授权给运维审计系统账号，使运维审计系统保存有信息系统账号信息。
结合第一方面，本发明实施例提供了第一方面的第六种可能的实施方式，其中，该方法还包括：
接收所述用户端对已授权信息系统的运维管理操作；
运维审计系统记录所述运维管理操作，并作为日志留存；
接收用户退出运维审计系统的请求，并断开vpn连接。
第二方面，本发明实施例提供了一种私有云平台信息系统安全运维装置，包括：
获取模块，用于获取到用户端通过防火墙vpn对私有云的访问请求；
第一认证模块，用于对所述用户端输入的vpn账号密码进行认证；
建立模块，用于在认证通过时，通过防火墙的访问控制功能建立用户端与运维审计系统的连接；
第二认证模块，用于对所述用户端输入的运维审计系统账号进行身份认证；
授权模块，用于在认证通过时，信息系统授权给所述用户端。
第三方面，本发明实施例还提供一种电子设备，包括存储器、处理器，所述存储器中存储有可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如第一方面所述的方法的步骤。
第四方面，本发明实施例还提供一种具有处理器可执行的非易失的程序代码的计算机可读介质，所述程序代码使所述处理器执行如第一方面所述的方法。
本发明实施例带来了以下有益效果：本发明实施例提供了一种私有云平台信息系统安全运维方法及其装置。所述方法包括：获取到用户端通过防火墙虚拟专用网络(virtualprivatenetwork，简称vpn)对私有云的访问请求后；首先对所述用户端输入的vpn账号密码进行认证；如果认证通过，则通过防火墙的访问控制功能建立所述用户端与运维审计系统的连接；然后对所述用户端输入的运维审计系统账号进行身份认证；如果认证通过，则授权给所述用户端。该方法采用vpn技术在用户和私有云网络内部建立一条加密隧道，所有数据都使用该加密隧道进行传输。通过访问控制功能，限制用户仅能访问运维审计系统，避免用户绕过运维审计系统对信息系统进行操作。通过运维审计系统实现了对用户运维操作的认证、授权、审计功能，并且解决了可能会在公共网络中暴露信息系统的安全问题。
本发明的其他特征和优点将在随后的说明书中阐述，或者，部分特征和优点可以从说明书推知或毫无疑义地确定，或者通过实施本发明的上述技术即可得知。
为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施方式，并配合所附附图，作详细说明如下。
附图说明
为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例一提供的一种私有云平台信息系统安全运维方法的流程图；
图2为本发明实施例二提供的一种私有云平台信息系统安全运维方法的流程图；
图3为本发明实施例三提供的一种私有云平台信息系统安全运维装置结构图；
图4为本发明实施例四提供的电子设备结构图。
图标：31-获取模块；32-第一认证模块；33-建立模块；34-第二认证模块；35-授权模块；36-接收模块；37-记录模块；38-退出模块。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
当前私有云环境下的运维方法存在巨大安全隐患，目前需要一种安全有效的运维方式，不需要将信息系统暴露在公共网络中，同时可以对用户的运维操作进行认证、授权和审计。基于此本发明实施例提供的一种私有云平台信息系统安全运维方法及其装置，可以实现对私有云平台信息系统的安全运维。
为便于对本实施例进行理解，首先对本发明实施例的一种私有云平台信息系统安全运维方法进行详细介绍。
实施例一：
本发明实施例提供一种私有云平台信息系统安全运维方法，如图1所示，该方法包括以下步骤：
s101：获取到用户端通过防火墙vpn对私有云的访问请求。
私有云管理员在防火墙上配置vpn功能，防火墙vpn的功能，具体包括：ssl(securesocketslayer)vpn、ipsec(internetprotocolsecurity)vpn和l2tp(layertwotunnelingprotocol)vpn，将vpn端口映射到公共网络中。私有云管理员创建vpn账号，并安全分发给用户。
s102：对用户端输入的vpn账号密码进行认证。
当用户端拨入vpn时，对输入的vpn账号密码进行认证。
s103：如果认证通过，则通过防火墙的访问控制功能建立用户端与运维审计系统的连接。
如果认证通过，用户可以访问运维审计系统。防火墙配置有访问控制列表，访问控制列表用于限制用户仅能访问运维审计系统。不允许访问除运维审计系统外的任何网络资源。通过访问控制列表，限制用户必须通过运维审计系统对信息系统进行运维管理。具体实现方式如下：
配置vpn账号接入时分配的ip地址为ip_a；
配置访问控制列表，具体内容：源地址为ip_a，目的地址为运维审计系统地址ip_b，动作为允许；源地址为任意，目的地址为任意，动作为拒绝。
s104：对用户端输入的运维审计系统账号进行身份认证。
用户访问运维审计系统时需要对用户端输入的运维审计系统账号进行身份认证，运维审计系统账号与用户为一一对应的关系。
私有云管理员为用户创建运维审计系统的账号，如账号a，该账号与用户为一一对应关系，即运维审计系统账号a分发给用户a，运维审计系统账号b分发给用户b。
s105：如果认证通过，则授权给用户端。
认证通过后方可获取到授权给用户的信息系统。信息系统的账号需要预先授权给运维审计系统账号，使运维审计系统保存有信息系统账号信息。
私有云管理员在运维审计系统中添加信息系统的配置，包括运维协议、信息系统账号密码等。私有云管理员将不同信息系统的运维权限授予不同运维审计系统账号，如将信息系统a的管理员权限授予运维审计系统账号a。用户a通过运维审计系统账号a登录堡垒机，然后对已授权信息系统a进行运维管理。运维审计系统记录用户a对信息系统a的所有运维操作记录。
本发明实施例提供了一种私有云平台信息系统安全运维方法，采用vpn技术在用户和私有云网络内部建立一条加密隧道，所有数据都使用该加密隧道进行传输。通过访问控制功能，限制用户仅能访问运维审计系统，避免用户绕过运维审计系统对信息系统进行操作。通过运维审计系统实现了对用户运维操作的认证、授权、审计功能，并且解决了可能会在公共网络中暴露信息系统的安全问题。
实施例二：
本发明实施例提供了一种私有云平台信息系统安全运维方法，如图2所示，该方法包括以下步骤：
s201：获取到用户端通过防火墙vpn对私有云的访问请求。
s202：对用户端输入的vpn账号密码进行认证。
s203：如果认证通过，则通过防火墙的访问控制功能建立用户端与运维审计系统的连接。
s204：如果vpn账号密码认证失败，则向用户端发送认证失败消息。
当vpn账号密码认证失败，向用户发送账号认证失败的消息，使用户重新输入账号密码进行认证。
s205：对用户端输入的运维审计系统账号进行身份认证。
s206：如果认证通过，则授权给用户端。
上述步骤s201至s206(步骤s204除外)与实施例一中的步骤s101至s105具体实施方式相同，本实施例不再赘述。
s207：如果运维审计系统账号认证失败，则向用户端发送认证失败消息。
当运维审计系统账号认证失败时，向用户发送账号认证失败的消息，使用户重新输入账号进行认证。
s208：接收用户端对已授权信息系统的运维管理操作。
用户对已授权的信息系统进行运维管理操作。
s209：运维审计系统记录运维管理操作，并作为日志留存。
运维审计系统记录用户对信息系统的所有运维审计操作，并作为日志留存。当出现运维问题时，还可以通过查询该日志来寻找运维问题的源头。
s210：接收用户退出运维审计系统的请求，并断开vpn连接。
用户操作完成后退出运维审计系统，断开vpn连接。至此用户完成了单次运维审计操作。
本发明实施例提供了一种私有云平台信息系统安全运维方法，采用vpn技术在用户和私有云网络内部建立一条加密隧道，所有数据都使用该加密隧道进行传输。通过访问控制功能，限制用户仅能访问运维审计系统，避免用户绕过运维审计系统对信息系统进行操作。通过运维审计系统实现了对用户运维操作的认证、授权、审计功能，并且解决了可能会在公共网络中暴露信息系统的安全问题。
实施例三：
本发明实施例提供一种私有云平台信息系统安全运维装置，如图3所示，包括：
获取模块31，用于获取到用户端通过防火墙vpn对私有云的访问请求。私有云管理员在防火墙上配置vpn功能，将vpn端口映射到公共网络中。私有云管理员创建vpn账号，并安全分发给用户。
第一认证模块32，用于对用户端输入的vpn账号密码进行认证。当用户端拨入vpn时，对输入的vpn账号密码进行认证。
建立模块33，用于在认证通过时，通过防火墙的访问控制功能建立用户端与运维审计系统的连接。如果认证通过，用户可以访问运维审计系统。防火墙配置有访问控制列表，访问控制列表用于限制用户仅能访问运维审计系统。
第二认证模块34，用于对用户端输入的运维审计系统账号进行身份认证。用户访问运维审计系统时需要对用户端输入的运维审计系统账号进行身份认证，运维审计系统账号与用户为一一对应的关系。
授权模块35，用于在认证通过时，信息系统授权给用户端。认证通过后方可获取到授权给用户的信息系统。信息系统的账号需要预先授权给运维审计系统账号，使运维审计系统保存有信息系统账号信息。
如图3所示，该装置还包括：
接收模块36，用于接收用户端对已授权信息系统的运维管理操作。
记录模块37，用于运维审计系统记录运维管理操作，并作为日志留存。运维审计系统记录用户对信息系统的所有运维审计操作，并作为日志留存。当出现运维问题时，还可以通过查询该日志来寻找运维问题的源头。
退出模块38，用于接收用户退出运维审计系统的请求，并断开vpn连接。用户操作完成后退出运维审计系统，断开vpn连接。至此用户完成了单次运维审计操作。
本发明实施例提供的私有云平台信息系统安全运维装置，与上述实施例二提供的私有云平台信息系统安全运维方法具有相同的技术特征，所以也能解决相同的技术问题，达到相同的技术效果。
实施例四：
本发明实施例提供的一种电子设备，如图4所示，电子设备4包括处理器41、存储器42，所述存储器中存储有可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述实施例一、实施例二、提供的方法的步骤。
参见图4，电子设备还包括：总线44和通信接口43，处理器41、通信接口43和存储器42通过总线44连接。处理器41用于执行存储器42中存储的可执行模块，例如计算机程序。
其中，存储器42可能包含高速随机存取存储器(ram，randomaccessmemory)，也可能还包括非易失性存储器(non-volatilememory)，例如至少一个磁盘存储器。通过至少一个通信接口43(可以是有线或者无线)实现该系统网元与至少一个其他网元之间的通信连接，可以使用互联网，广域网，本地网，城域网等。
总线44可以是isa总线、pci总线或eisa总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图4中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。
其中，存储器42用于存储程序，所述处理器41在接收到执行指令后，执行所述程序，前述本公开实施例任一实施例揭示的流过程定义的装置所执行的方法可以应用于处理器41中，或者由处理器41实现。
处理器41可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器41中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器41可以是通用处理器，包括中央处理器(centralprocessingunit，简称cpu)、网络处理器(networkprocessor，简称np)等。还可以是数字信号处理器(digitalsignalprocessing，简称dsp)、专用集成电路(applicationspecificintegratedcircuit，简称asic)、现成可编程门阵列(field-programmablegatearray，简称fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本公开实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本公开实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器42，处理器41读取存储器42中的信息，结合其硬件完成上述方法的步骤。
实施例五：
本发明实施例提供的一种具有处理器可执行的非易失的程序代码的计算机可读介质，所述程序代码使所述处理器执行上述实施例一或实施例二提供的方法。
除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对步骤、数字表达式和数值并不限制本公开的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统和装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在这里示出和描述的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制，因此，示例性实施例的其他示例可以具有不同的值。
附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本公开各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本公开的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本公开各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read-onlymemory)、随机存取存储器(ram，randomaccessmemory)、磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是：以上所述实施例，仅为本公开的具体实施方式，用以说明本公开的技术方案，而非对其限制，本公开的保护范围并不局限于此，尽管参照前述实施例对本公开进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本公开揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本公开实施例技术方案的精神和范围，都应涵盖在本公开的保护范围之内。因此，本公开的保护范围应所述以权利要求的保护范围为准。