基于硬件信任的云服务器集群动态访问控制方法及系统与流程

本发明涉及云计算安全，具体涉及基于硬件信任的云服务器集群动态访问控制方法及系统。

背景技术：

1、随着云计算技术快速发展，云服务器集群被广泛应用于各类业务系统，大量业务访问请求运行在集群内部各云服务器之上。现有云集群访问控制方案大多基于软件层面实现访问权限管控，依赖软件证书、访问控制列表完成调度与授权。

2、软件层面的信任机制容易受到操作系统漏洞、恶意入侵的影响，一旦云服务器被恶意攻克，软件层的信任凭证、访问策略就有可能被篡改、绕过，无法保证云服务器节点本身的可信性。部分方案引入tpm硬件信任根，但大多仅实现简单的节点可信接入，缺少完整的动态闭环管控手段。

3、现有技术在应用时存在如下不足：

4、1、不便根据云服务器运行过程中实时硬件可信状态动态调整集群可信节点池，被入侵的云服务器依旧可能承接业务访问请求；

5、2、外部访问请求调度缺少可信状态与负载状态联合判断，容易将业务调度至不可信或过载的云服务器；

6、3、当承载业务的云服务器被恶意攻克后，访问请求及相关运行文件在迁移传输过程中容易存在被窃取、篡改的风险，并且，迁移途中中间节点一旦失陷，迁移流程则直接失败，不便兼顾云服务器集群安全防护和业务运行的连续性。

技术实现思路

1、本发明的目的是提供基于硬件信任的云服务器集群动态访问控制方法及系统，以解决背景技术中提出的问题。

2、为了实现上述目的，本发明提供如下技术方案：基于硬件信任的云服务器集群动态访问控制方法，包括以下步骤：

3、对应云服务器集群建立管控中心，并基于管控中心建立可信集群池；

4、基于管控中心对云服务器集群进行实时监测，并基于监测结果对云服务器集群及可信集群池的各云服务器进行动态调整；

5、建立集群网关，当外界的访问请求到达集群网关时，集群网关将访问请求接入可信集群池内的目标云服务器，目标云服务器对访问请求进行运行处理；

6、若在访问请求运行于目标云服务器期间，监测到目标云服务器被恶意攻克，则对访问请求对应的相关运行文件及运行状态数据进行隔离，并在完成隔离后，建立目标云服务器与迁移目标云服务器之间的迁移通道，基于迁移通道将访问请求对应的相关运行文件及运行状态数据迁移至迁移目标云服务器。

7、在一个优选的实施方式中，所述对应云服务器集群建立管控中心，并基于管控中心建立可信集群池的步骤包括：

8、对应云服务器集群建立管控中心，并将云服务器集群中的每个云服务器绑定唯一编号；

9、通过部署于各云服务器的硬件信任根实时获取云服务器集群中各云服务器的度量值，将度量值达到预设可信标准的云服务器加入可信集群池。

10、在一个优选的实施方式中，所述基于管控中心对云服务器集群进行实时监测，并基于监测结果对云服务器集群及可信集群池的各云服务器进行动态调整的步骤包括：

11、基于管控中心获取云服务器集群及可信集群池中各云服务器的度量值，并将各云服务器的度量值与预设可信标准进行比较，得到监测结果；

12、基于监测结果，当可信集群池中的云服务器的度量值偏离预设可信标准时，将其从可信集群池中移出，当之前未达到预设可信标准的云服务器的度量值达到预设可信标准时，将其重新加入可信集群池。

13、在一个优选的实施方式中，所述建立集群网关，当外界的访问请求到达集群网关时，集群网关将访问请求接入可信集群池内的目标云服务器，目标云服务器对访问请求进行运行处理的步骤包括：

14、对应云服务器集群及可信集群池建立集群网关，集群网关用于接收外界的访问请求；

15、当外界的访问请求到达集群网关时，集群网关解析访问请求，根据访问请求携带的目标服务标识确定其对应的目标云服务器，并确定目标云服务器的度量值及负载状态；

16、若目标云服务器位于可信集群池中且负载状态达标，则将访问请求调度至该目标云服务器，若目标云服务器不在可信集群池中或负载状态不达标，则将访问请求调度至可信集群池中负载状态达标的其他云服务器以作为目标云服务器；

17、访问请求基于其接入的目标云服务器进行运行处理直至完成或在监测到目标云服务器被恶意攻克时触发迁移处理流程。

18、在一个优选的实施方式中，所述若在访问请求运行于目标云服务器期间，监测到目标云服务器被恶意攻克，则对访问请求对应的相关运行文件及运行状态数据进行隔离，并在完成隔离后，建立目标云服务器与迁移目标云服务器之间的迁移通道，基于迁移通道将访问请求对应的相关运行文件及运行状态数据迁移至迁移目标云服务器的步骤包括：

19、在访问请求运行于目标云服务器期间，管控中心通过部署于目标云服务器的硬件信任根对目标云服务器的度量值进行实时监测，当监测到目标云服务器的度量值偏离预设可信标准时，判定该目标云服务器被恶意攻克，管控中心向集群网关发送暂停调度指令，使集群网关停止向该目标云服务器调度新的访问请求；

20、管控中心根据文件级完整性监控定位目标云服务器上被恶意攻克的文件，对被恶意攻克的文件进行文件级隔离，同时对目标云服务器上正在运行的访问请求对应的进程进行挂起处理，保存访问请求的相关运行文件及运行状态数据，并将访问请求的相关运行文件及运行状态数据打包为待迁移数据包，其中，相关运行文件为从管控中心维护的可信文件库中获取被恶意攻克文件的干净版本文件；

21、管控中心从可信集群池中筛选出提供与目标云服务器相同服务、度量值满足预设可信标准且负载状态达标的云服务器作为候选迁移云服务器，按照最小负载优先策略从候选迁移云服务器中确定一台作为迁移目标云服务器；

22、管控中心建立目标云服务器与迁移目标云服务器之间的迁移通道，将待迁移数据包通过迁移通道发送至迁移目标云服务器，将待迁移数据包在迁移目标云服务器内进行加载并在迁移目标云服务器中恢复运行，在管控中心确认迁移完成后，切断目标云服务器与迁移目标云服务器之间的迁移通道。

23、在一个优选的实施方式中，所述管控中心建立目标云服务器与迁移目标云服务器之间的迁移通道，将待迁移数据包通过迁移通道发送至迁移目标云服务器的步骤包括：

24、获取云服务器集群中的各云服务器的度量值，将云服务器集群中的各云服务器均映射至基于各云服务器的物理拓扑与逻辑拓扑关系构建的预设虚拟镜像层，得到多个镜像节点；

25、以目标云服务器为发送节点，以迁移目标云服务器为接收节点，将虚拟镜像层中位于发送节点与接收节点之间的跳转路径上、物理可达且逻辑连通、且度量值满足预设可信标准的其他镜像节点所对应的云服务器确定为中间节点，基于发送节点、多个中间节点以及接收节点建立迁移通道；

26、对待迁移数据包配置逃脱包，逃脱包包括外仓、内仓及备用仓，其中，内仓用于承载待迁移数据包，外仓用于与所到达的中间节点对接，备用仓用于在内仓与外仓断开连接后，替代外仓与下一中间节点连接；

27、发送节点基于迁移通道对待迁移数据包进行传输，待迁移数据包基于虚拟镜像层内各镜像节点的度量值进行跳转，直至跳转至迁移目标云服务器。

28、在一个优选的实施方式中，所述待迁移数据包基于虚拟镜像层内各镜像节点的度量值进行跳转，直至跳转至迁移目标云服务器的步骤包括：

29、在虚拟镜像层中的相邻两个镜像节点各自的度量值达到预设可信标准时，在两者之间建立跳转路径，在偏离预设可信标准的情况下在相邻镜像节点之间不建立跳转路径，基于虚拟镜像层中的多个跳转路径构建实时拓扑图，其中，镜像节点与对应中间节点连接，中间节点基于对应镜像节点同步感知其与相邻镜像节点之间是否存在跳转路径；

30、待迁移数据包沿发送节点与接收节点之间最短拓扑距离对应的跳转路径进行跳转，直至跳转至迁移目标云服务器，其中，待迁移数据包在跳转到中间节点时，通过逃脱包的外仓与该中间节点进行对接，由内仓承载待迁移数据包，当该中间节点对应的镜像节点的度量值偏离预设可信标准而判定该中间节点被恶意攻克时，外仓与该中间节点不断开连接，内仓断开与外仓的连接，内仓携带待迁移数据包及备用仓基于实时拓扑图跳转至下一中间节点，备用仓与下一中间节点重新对接，直至到达迁移目标云服务器。

31、本发明还提供基于硬件信任的云服务器集群动态访问控制系统，包括：

32、建立模块，其用于对应云服务器集群建立管控中心，并基于管控中心建立可信集群池；

33、监测调整模块，其用于基于管控中心对云服务器集群进行实时监测，并基于监测结果对云服务器集群及可信集群池的各云服务器进行动态调整；

34、访问接入模块，其用于建立集群网关，当外界的访问请求到达集群网关时，集群网关将访问请求接入可信集群池内的目标云服务器，目标云服务器对访问请求进行运行处理；

35、数据迁移模块，其用于若在访问请求运行于目标云服务器期间，监测到目标云服务器被恶意攻克，则对访问请求对应的相关运行文件及运行状态数据进行隔离，并在完成隔离后，建立目标云服务器与迁移目标云服务器之间的迁移通道，基于迁移通道将访问请求对应的相关运行文件及运行状态数据迁移至迁移目标云服务器。

36、在上述技术方案中，本发明提供的技术效果和优点：

37、本发明通过各云服务器硬件信任根生成度量值作为信任判断依据，建立可信集群池，能从硬件底层保障集群业务承载节点的基础可信能力；通过可信集群池内对各云服务器的动态调整，能够保证只有当前可信的云服务器能够承接访问请求，实现集群访问控制的动态性与安全性，还能保障访问请求始终调度至可信且资源充足的节点；

38、2、本发明通过目标云服务器被判定攻克后，先挂起业务进程、保存运行状态，对被攻克文件做文件级隔离，并采用可信文件库中的干净版本文件打包生成待迁移数据包，避免恶意代码随迁移扩散至迁移目标云服务器，保障迁移数据本身安全；基于各节点物理与逻辑拓扑构建虚拟镜像层与实时拓扑图，仅在度量值达标的镜像节点之间建立跳转路径，待迁移数据包仅在可信节点之间跳转，规避迁移数据包途经不可信中间节点带来的窃取、篡改风险；通过逃脱包的外仓、内仓、备用仓协同，当迁移途中中间节点被攻克时，内仓携带待迁移数据包脱离风险节点，依靠备用仓与下一中间节点重新对接；外仓继续维持与失陷节点的连接以迷惑攻击者，迁移不会因中间节点失陷而中断，提升迁移过程的抗攻击能力与传输连续性；按最小负载优先策略筛选迁移目标云服务器，保证迁移后业务具备充足运行资源；迁移完成后在目标服务器恢复运行并切断迁移通道，完成异常业务的接管，保障访问请求不中断。