云环境下多租户隔离的密码资源自动化调度系统及其方法与流程

本发明涉及计算机，具体为一种云环境下多租户隔离的密码资源自动化调度系统及其方法。

背景技术：

1、伴随着人工智能、大数据、物联网技术的蓬勃发展，云计算已经成为数字化转型的重要基础设施，政务、运营商、金融、医疗、教育等各行业将业务和数据迁移到云平台上。然而，随着云计算的快速普及和应用，云上业务信息系统及数据也随时面临着越权访问、重要数据篡改、敏感数据泄露等云安全风险。密码作为网络安全和信息安全的核心技术，可以很好的以上解决问题。

2、传统模式下，为满足业务系统的密码使用需求，企业用户通常通过直接购买密码机设备和配套的密钥管理软件，并雇用专门的人员对密码设备和密钥管理软件进行维护管理。

3、伴随着企业的快速发展，业务规模与用户数据与日俱增，企业开始将大量的业务系统及数据迁移至云平台中，依托云计算平台的计算和存储能力以满足自身的需要。为满足云环境下业务系统的密码使用需求，企业用户需要建设自己的密码设备集群，使用背靠背直连的方式部署密码设备，采用独享式的密码应用模式为业务系统提供密码运算能力。

4、这种传统技术方案的优点是多租户密码资源采用物理方式进行隔离，安全性强；在业务量不发生大规模突发增长的前提下，能够安全、可靠的提供密码服务。然而，如果企业业务系统数量剧增，或频繁出现业务高峰时，传统的物理密码设备集群将无法提供动态调整的密码服务能力，且对集群管理员的运维和管理能力提出很大的挑战，甚至无法提供有效的支撑。

5、在云计算环境下，业务系统主要采用资源虚拟化提供服务支撑，企业用户的观念从购买硬件产品向购买服务方向转变，而传统的密码设备应用模式在向云上业务系统提供密码服务时存在很多缺陷，甚至无法满足云计算环境下的密码应用需求。

6、（1）无法满足虚拟化业务系统的密码资源分配、隔离需求。云计算中的业

7、务应用系统主要采用资源虚拟化提供服务支撑，传统密码设备部署模式已经无法适用于云中虚拟化的应用模式，所有的应用调用都必须采用网络调用的形式进行调用，且需要保证不同的虚拟化业务资源配备隔离专用的密码资源，当虚拟化业务资源数量过多时，传统的密码设备集群将无法满足此类需求。

8、（2）无法实现密码资源的弹性、动态调整。弹性计算是云环境下业务系统

9、的一个典型特征，在业务高峰到来的时候云计算环境可以快速扩充较多的计算资源应对业务高峰，业务高峰的出现同样代表着对密码运算资源的高峰需求，传统的独享式密码应用模式无法提供动态调整的密码运算能力。

10、（3）无法提供安全、可靠的远程管理能力。云计算服务中一般支持多租户

11、能力，同时对租户提供的密码资源，租户需要具备完整的密钥管理权，包括密钥的产生、分发、运算、更新以及销毁等，安全的远程密钥管理是密码在云中应用的基本要求，远程管理要求具备完备的身份认证机制，而传统密码应用对该能力存在明显欠缺。

12、因此，提供一种云环境下密码资源按租户安全隔离、按需分配、动态扩缩、自动化调度的方法是密码上云必须要解决的一道技术难题。

技术实现思路

1、为了解决上述技术问题，本发明提供了一种云环境下多租户隔离的密码资源自动化调度系统及其方法，旨在建设一套云环境下的物理密码设备集群，提供多租户隔离的虚拟密码主机，实现云密码资源按需分配和自动化调度的过程。 具体采用如下技术方案：

2、一种云环境下多租户隔离的密码资源自动化调度系统，包括租户认证网关、租户名字空间、虚拟密码主机、虚拟密码主机控制器、虚拟密码主机调度器、节点管理组件、网络服务组件等模块。

3、所述租户认证网关作为集群资源访问入口，用于实现对租户的身份认证、资源鉴权、准入控制等功能。

4、所述身份认证是对租户身份进行合法性校验。

5、所述资源鉴权是租户通过身份认证后，对其所请求的资源进行鉴权，每个租户只能访问所属名字空间范围内的密码资源。

6、所述准入控制是对通过资源鉴权的请求进行更细粒度的验证，包括但不限于白名单限制、黑名单/异常请求拦截、请求类型限制、请求数据大小限制等。

7、所述租户名字空间是按租户隔离的资源视图，每个租户分配一个独有的名字空间，使用linux namespace名字空间、cgroups控制组内核机制和sr-iov技术实现多租户资源安全隔离，每个名字空间由网络名字空间、进程名字空间、用户名字空间、密码资源名字空间组成。

8、所述网络名字空间用于隔离工作节点的网络视图，限制租户及虚拟密码主机只能查看、启动所属名字空间内的网络接口。

9、所述进程名字空间用于隔离工作节点的进程视图，限制租户只能管理所属名字空间内的进程，虚拟密码主机只能与所在名字空间范围内的进程进行通信，以及使用cgroup控制组限制虚拟密码主机运行实例中的密码服务进程的内存访问空间、进程优先级、cpu计算时间等。

10、所述用户名字空间用于隔离工作节点的用户视图，将虚拟密码主机中运行的用户与节点中的用户隔离开来，即在虚拟密码主机中以root用户运行的进程在节点上只能以普通用户运行，防止租户名字空间内的进程发生逃逸越权操作。

11、所述密码资源名字空间用于隔离工作节点的密码资源视图，限制租户只能查看、操作分配给自己的密码资源，包括密钥空间、pci-e通道、随机数缓冲池。

12、所述虚拟密码主机是一个相对临时性的实体，基于虚拟密码主机配置模板进行创建，并存在于租户名字空间范围内，其生命周期包括创建、调度、初始化、就绪、终止、资源回收。

13、所述虚拟密码主机配置模板是为降低物理密码设备的运维难度、管理难度，满足每个租户自身多样化的密码运算需求，并为实现自动化提供基础而创建的配置清单。租户可根据自身业务系统的实际情况配置虚拟密码主机模板，模板配置项包括：虚拟密码主机名称、所属名字空间、镜像类型及版本、服务端口号、标签、资源请求和限制、优先级、实例数量范围等。

14、所属虚拟密码主机控制器根据租户配置的虚拟密码主机模板创建实例数量范围下限值的虚拟密码主机，保证租户密码资源的最小可用性。通过定义一些可观测的指标，包括平均cpu利用率、平均内存利用率、vf平均 i/o读写速率等，并根据当前指标和期望指标来实时计算虚拟密码主机运行实例的数量，实现动态调整租户虚拟密码主机的所需规模。

15、所述虚拟密码主机调度器通过监视机制来发现集群中新创建且尚未被调度到工作节点上的虚拟密码主机，并使用调度算法将虚拟密码主机调度到合适的节点上运行，实现密码资源的均匀分配，提高密码资源的利用效率。

16、所述节点管理组件负责为调度到当前节点上的虚拟密码主机分配密码资源，生成虚拟密码主机运行实例，并实时监测实例的运行状态，进行故障检测和修复；根据虚拟密码主机控制器发送的缩容消息终止一定数量的实例副本，释放并回收低负载实例副本所占用的密码资源，实现密码资源的均匀分配，提高密码资源的利用效率。

17、所述网络服务组件通过服务发现、负载均衡和联网机制将一个或一组就绪的虚拟密码主机运行实例公开为网络服务，并实时监测租户名字空间中的实例进程，将因扩容且已就绪的新实例加入到服务端点列表，将因缩容且已终止的旧实例从服务端点列表中移除。同时为服务网络端点列表中的虚拟密码主机运行实例生成具体的路由访问规则，实现租户业务系统与服务端点列表中的虚拟密码主机运行实例建立网络会话连接，处理密码服务请求。

18、基于以上系统，本发明还公开了一种云环境下多租户隔离的密码资源自动化调度实现方法，包括如下步骤：

19、步骤s1：部署密码资源集群。集群管理员部署完密码资源自动化调度系统之后，便构建了一个完整的密码资源集群。集群中至少有一个管理节点，用于运行租户认证网关、虚拟密码主机控制器、虚拟密码主机调度器、网络服务组件；其余节点均为工作节点，用于运行节点管理组件、节点网络代理、虚拟密码主机运行实例。

20、步骤s2：构建云密码资源池。集群正常工作之前，由系统管理员进行集群初始化，生成集群密钥体系，构建云密码资源池。

21、步骤s3：创建租户名字空间。租户名字空间是按租户隔离的资源视图，每个租户分配一个独有的名字空间。每个名字空间由网络名字空间、进程名字空间、用户名字空间、密码资源名字空间组成。集群管理员负责创建租户名字空间，包括开通租户访问账号、授权可访问资源、资源配额、设置准入控制规则等。

22、步骤s4：配置虚拟密码主机模板。虚拟密码主机模板由租户根据自身业务系统的实际需求进行配置，模板配置项可包括：虚拟密码主机名称、所属名字空间、镜像类型及版本、服务端口号、标签、资源请求和限制、优先级、实例数量范围等。

23、步骤s5：创建虚拟密码主机。虚拟密码主机控制器根据租户配置的虚拟密码主机模板创建实例数量范围下限值的虚拟密码主机，保证租户密码资源的最小可用性，并根据当前指标和期望指标来实时计算虚拟密码主机运行实例的数量，实现动态调整租户虚拟密码主机的所需规模。

24、步骤s6：调度虚拟密码主机。虚拟密码主机调度器为所发现的每一个新创建的虚拟密码主机尽力选择一个最佳节点。调度器首先在集群中过滤出满足虚拟密码主机配置的所有可调度节点，然后对这些节点进行打分，选出其中得分最高的节点作为目标节点来运行。

25、步骤s7：生成虚拟密码主机运行实例。节点管理组件为调度到当前节点上的虚拟密码主机分配密码资源，生成虚拟密码主机运行实例，并实时监测实例的运行状态，进行故障检测和修复；根据虚拟密码主机控制器发送的缩容消息终止一定数量的实例副本，释放并回收低负载实例副本所占用的密码资源。

26、步骤s8：将虚拟密码主机运行实例中的密码服务公开为网络服务。网络服务组件定义了每个租户名字空间中虚拟密码主机运行实例的一组逻辑集合以及如何将这些实例公开为网络服务的方法，最终产生一个可供租户业务系统访问的服务端点集合，并提供负载均衡的能力。

27、本发明还公开一种非易失性存储介质，其特征在于，所述非易失性存储介质包括存储的程序，其中，所述程序运行时控制非易失性存储介质所在的设备执行上述的方法。

28、本发明还公开一种电子装置，其特征在于，包含处理器和存储器；所述存储器中存储有计算机可读指令，所述处理器用于运行所述计算机可读指令，其中，所述计算机可读指令运行时执行上述的方法。

29、有益效果

30、本发明实现了一种云环境下多租户隔离的密码资源自动化调度系统，可以极大程度上降低物理密码设备的运维、管理难度；本发明基于linux namespace命名空间、cgroups控制组内核机制和sr-iov技术实现了一种多租户隔离的名字空间，实现了云环境下多租户安全隔离；本发明提供了一种密码资源按需动态分配和自动化调度方法，实现密码资源均匀分配和动态调度，提高密码资源的利用效率。