用于管理网络存储系统的方法、装置和设备与流程

本公开的实施例涉及计算机，更具体地，涉及网络存储系统。本公开的实施例涉及用于管理网络存储系统的方法、装置、电子设备、计算机可读存储介质以及计算机程序产品。

背景技术：

1、存储系统依据数据存储方式，可以分为本地存储系统和网络存储系统。其中，本地存储系统是将数据存储在本地设备(如硬盘、固态硬盘)上，直接由本地设备访问与管理，适用于对数据访问速度要求高且数据量相对较小的场景。网络存储系统则是通过网络将数据存储在远程存储设备中，可实现资源共享与集中管理，能满足大规模数据存储与多设备访问需求。存储系统中的租户是指使用存储资源的不同用户或组织，每个租户可拥有独立的存储空间与权限。而在网络存储系统中，还可以包括多租户环境。在多租户环境中，多个租户可共享同一网络存储基础设施，如存储设备与网络带宽等，但通过技术手段确保各租户数据相互隔离、安全独立，以实现资源高效利用与成本优化。

2、随着私有云部署、高性能计算(high-performance computing，hpc)场景和人工智能(ai)训推集群中用户对租户安全的逐渐关注，用户表现出对多租户环境中租户在网络存储系统中存放的敏感数据可能存在的被管理员或设备持有者窃取的风险的担忧。传统的多租户管理模式主要依赖于软件实现的逻辑隔离和访问控制机制，租户所属资源的隔离仅做到了租户与租户之间。而当前网络存储系统的管理模式是以超级管理员、管理员、租户管理员等角色构建的多层结构，存储管理员皆可查看租户数据，甚至纳管租户，修改租户的安全配置，即网络存储系统的租户设计以设备持有的管理员为中心，而不是以数据的持有者为中心。

技术实现思路

1、本公开的实施例提供了一种硬件隔离、高安全性的网络存储系统管理方案。

2、根据本公开的第一方面，提供了一种用于管理网络存储系统的方法。方法包括：在网络存储系统上创建机密租户和与机密租户对应的机密租户管理员；以及将机密租户的管理权限由网络存储系统的超级管理员转移至机密租户管理员，以使得机密租户对超级管理员不可见。以此方式，本公开的实施例利用独立的权限管理模型实现一旦分配和创建租户资源，租户资源在租期内对超级管理员不可见，更不可改、不可删，提高了网络存储系统中的机密租户的安全性。在本文中，超级管理员也可以被称为存储管理员、系统管理员、全局管理员等。

3、在第一方面的一些实施例中，机密租户管理员配置有认证凭据，认证凭据部署在网络存储系统的可信执行环境中，并且方法还包括：基于认证凭据，对机密租户管理员进行身份校验。基于这样的方式，通过可信执行环境来提供硬件级别的内存和地址空间隔离，使用独立的机密租户认证进程进行独立访问控制，提高了机密租户权限管理的安全性。

4、在第一方面的一些实施例中，方法还可以包括：响应于机密租户管理员在预设时间阈值内未进行初次身份校验，销毁机密租户。基于这样的方式，能够避免未经验证的机密租户占用系统资源和带来安全风险。

5、在第一方面的一些实施例中，方法还可以包括：响应于机密租户管理员进行初次身份校验，启动租期时钟，租期时钟部署在网络存储系统的可信执行环境中，其中，在租期时钟未到期的情况下，机密租户对超级管理员不可见。基于这样的方式，能够利用可信执行环境避免超级管理员对租期时钟进行篡改，时钟保护从软件级别提升到硬件级别，提高了机密租户管理的安全性。

6、在第一方面的一些实施例中，方法还可以包括：响应于租期时钟到期，终止机密租户管理员对机密租户的管理权限。基于这样的方式，能够实现对机密租户使用期限的有效管控。

7、在第一方面的一些实施例中，机密租户还包括在创建时预设的自销毁配置，并且终止机密租户管理员对机密租户的管理权限包括：基于预设的自销毁配置，销毁机密租户。基于这样的方式，能够根据自定义的安全机制，确保机密数据在使用后被彻底清除，防止数据泄露。

8、在第一方面的一些实施例中，方法还可以包括：在网络存储系统的可信执行环境中生成机密租户的集群共享密钥；以及响应于机密租户创建加密存储池，基于集群共享密钥生成加密存储池中硬盘的认证密钥，认证密钥由可信执行环境中的可信应用进行管理。基于这样的方式，能够利用集群共享密钥进一步增强加密存储池的认证密钥强度，密钥保护从软件级别提升到硬件级别，进一步提升租户数据的安全性。

9、在第一方面的一些实施例中，方法还可以包括：响应于网络存储系统存在待加入的存储节点，由网络存储系统的主存储节点向待加入的存储节点分发集群共享密钥。基于这样的方式，能够适应网络存储系统的新建、扩容、缩容等场景，在维持租户数据安全性的同时，保证网络存储系统的可扩展性。

10、在第一方面的一些实施例中，由网络存储系统的主存储节点向待加入的存储节点分发集群共享密钥包括：由网络存储系统的可信执行环境利用网络存储系统的富执行环境的通信管道，对可信应用和证书颁发机构进行解耦；基于可信执行环境中的设备证书确定会话密钥；基于通过可信应用的认证证书建立的安全通信通道，由待加入的存储节点向网络存储系统的主存储节点发送密钥同步申请；以及由网络存储系统的主存储节点基于会话密钥对集群共享密钥进行加密并发送给待加入的存储节点。基于这样的方式，能够保障集群共享密钥分发过程的安全性。

11、在第一方面的一些实施例中，机密租户包括独立的资源标识，并且方法还包括：响应于在网络存储系统的富执行环境侧监测到挂载请求报文的扩展字段中包括资源标识，将挂载请求报文转发到网络存储系统的可信执行环境中进行处理。基于这样的方式，能够区分机密租户和非机密租户并进行区别处理，确保机密租户的安全性。

12、根据本公开的第二方面，提供了一种电子设备。电子设备包括：处理单元和存储器，处理单元执行存储器中的指令，使得电子设备执行方法，方法包括：在网络存储系统上创建机密租户和与机密租户对应的机密租户管理员；以及将机密租户的管理权限由网络存储系统的超级管理员转移至机密租户管理员，以使得机密租户对超级管理员不可见。

13、根据本公开的第三方面，提供了一种用于管理网络存储系统的装置。装置包括：机密租户创建单元，被配置为在网络存储系统上创建机密租户和与机密租户对应的机密租户管理员；以及权限管理单元，被配置为将机密租户的管理权限由网络存储系统的超级管理员转移至机密租户管理员，以使得机密租户对超级管理员不可见。

14、根据本公开的第四方面，提供了一种计算机可读存储介质，其上存储有一条或多条计算机指令，其中一条或多条计算机指令被处理器执行使处理器执行根据本公开的第一方面的方法。

15、根据本公开的第五方面，提供了一种计算机程序产品，包括机器可执行指令，机器可执行指令在由设备执行时使设备执行根据本公开的第一方面的方法。

1.一种用于管理网络存储系统的方法，包括：

2.根据权利要求1所述的方法，其中所述机密租户管理员配置有认证凭据，所述认证凭据部署在网络存储系统的可信执行环境中，并且所述方法还包括：

3.根据权利要求1所述的方法，还包括：

4.根据权利要求1所述的方法，还包括：

5.根据权利要求4所述的方法，还包括：

6.根据权利要求5所述的方法，其中所述机密租户还包括在创建时预设的自销毁配置，并且终止所述机密租户管理员对所述机密租户的管理权限包括：

7.根据权利要求1所述的方法，还包括：

8.根据权利要求7所述的方法，还包括：

9.根据权利要求8所述的方法，其中由所述网络存储系统的主存储节点向所述待加入的存储节点分发所述集群共享密钥包括：

10.根据权利要求1所述的方法，其中所述机密租户包括独立的资源标识，并且所述方法还包括：

11.一种用于管理网络存储系统的装置，包括：

12.一种电子设备，包括：

13.一种计算机可读存储介质，其上存储有一条或多条计算机指令，其中所述一条或多条计算机指令被处理器执行使所述处理器执行根据权利要求1至10中任一项所述的方法。

14.一种计算机程序产品，包括机器可执行指令，所述机器可执行指令在由设备执行时使所述设备执行根据权利要求1至10中任一项所述的方法。