用于在减小占地面积的数据中心中初始化证书服务的技术的制作方法

本公开一般而言涉及数据中心。更具体而言，本公开涉及其中使用安全通信通道初始化证书服务的数据中心。

背景技术：

1、云服务提供商（csp）可以使用几个数据中心中的资源为客户供应计算基础设施。随着云计算需求的增加，csp可以通过缩放数据中心来提高云资源的可用性。但是，缩放可能导致大的数据中心占地面积（footprint）以及大量计算设备，这要求成比例数量的资源来操作并且保留大量的计算资源以用于有效管理云资源本身。

技术实现思路

1、本公开的实施例涉及云计算网络。更特别地，本公开描述了用于在减小占地面积的数据中心中实现块存储服务的体系架构、基础设施和相关技术。典型的csp可以向多个客户提供云服务。每个客户可以具有定制和配置所供给的基础设施以支持其分配的云资源的能力。为了管理多个客户的基础设施供给，csp可以保留数据中心内的计算资源以向客户和由csp操作的其他服务两者提供某些“核心”服务。例如，如块存储、对象存储以及身份和访问管理之类的服务在数据中心的“服务飞地（service enclave）”内实现。服务飞地可以经由在数据中心内托管的计算设备（虚拟机和/或裸机实例）的基底网络来连接。基底网络可以是数据中心的“底层网络”的一部分，底层网络包括连接裸机设备的物理网络、计算设备的智能网络接口卡（smartnic）。作为对照，csp客户在“覆盖网络”中被供给基础设施，覆盖网络包括虚拟化环境的一个或多个vcn以向客户提供资源（例如，计算、存储等）。

2、服务飞地存在于数据中心内的专用硬件上。因此，托管在服务飞地内的服务难以缩放。虽然可以在数据中心内实现附加的机架和服务器以扩展对csp客户可用的资源，但是用于服务飞地的专用计算资源通常具有固定大小，该大小取决于数据中心的最大预测大小。扩展服务飞地可能要求复杂的计算资源添加，这可能影响给客户的核心服务的可用性。附加地，服务飞地内未使用的资源（例如，如果服务飞地的大小被调整得对于来自数据中心的客户需求太大）不能容易地对客户可用，因为服务飞地通常不允许来自客户覆盖网络的网络访问。

3、即使对云服务的需求增长，csp也可能希望部署初始地具有尽可能小的物理占地面积的数据中心来满足这种需求。这种占地面积可以提高部署物理组件和配置初始基础设施两者的简易性，同时仍然允许数据中心缩放以满足客户需求。在减小的占地面积中，不是将计算硬件的一部分专用于提供服务飞地，而是托管在服务飞地中的“核心服务”可以替代地在覆盖网络中实现。通过这样做，随着数据中心占地面积扩展，核心服务可以被缩放。用于构造减小占地面积的数据中心的计算设备可以被同质化（homogenize），从而在添加附加的同质设备时改进初始配置并使得占地面积的扩展容易。附加地，通过消除基底网络，灵活的覆盖网络形状对于csp核心服务和客户两者都变得可用。

4、可以移动到覆盖网络的一个服务是公钥基础设施（pki）服务。pki服务可以支持用于基底网络内的实体的授权和认证操作，包括用于为基底主机（包括裸机主机以及在其他基底设备（如smartnic和集成无人值守（lights out）管理器（ilom））上执行的代理）建立tls通道的证书。ilom可以是与数据中心中的裸机主机集成的处理器或处理平台，该ilom在主机的一般功能可能受损（例如，故障发生）的情况下提供用于远程管理和监测主机的功能。pki服务可以包括一个或多个根证书颁发机构（ca），用于对来自利用pki服务的主机的证书请求进行签名。可以移动到覆盖网络的另一个相关服务是证书服务，该证书服务还可以为csp的客户提供用于tls的证书和私有ca。例如，证书服务可以为其他csp服务（如负载平衡器即服务（lbaas））提供用于tls/mtls连接的授权/认证功能。pki服务和证书服务可以与在覆盖网络中实现的包括身份数据平面（iddp）的身份服务以及被实现的身份和访问管理服务（iam）两者结合工作。

5、由于pki服务和证书服务的重叠功能，在减小占地面积的数据中心中，覆盖网络中的服务可以合并，以为上述两种用例提供授权/认证和证书服务。但是，将证书服务和pki服务移动到覆盖网络可能产生与iddp和iam的循环依赖性。例如，当iddp或iam服务首次在减小占地面积的数据中心中被供给时，覆盖中的证书服务可能尚未被部署来为与iddp或iam的连接（包括iddp或iam与证书数据平面之间用来处置证书请求的连接）提供证书功能。附加地，一些功能将保留在基底中，包括smartnic和ilom代理，而其他核心服务可能需要使用证书进行授权以支持用于与基底接入vcn连接的mtls。

6、本文所描述的实施例涉及实现减小占地面积的数据中心的覆盖网络中的证书服务数据平面并提供用于打破证书服务与在减小占地面积的数据中心中实现的其他服务之间的循环依赖性的功能的方法、系统和计算机可读介质。一种方法可以包括在减小占地面积的数据中心的计算设备上实现证书服务数据平面，以及在证书服务数据平面处从在通信地连接到该计算设备的附加计算设备上执行的代理接收证书签名请求。证书签名请求可以包括与代理的身份对应的身份信息。该方法还可以包括证书服务数据平面获得身份验证信息。证书服务数据平面可以通过至少将身份信息与身份验证信息进行比较来验证代理的身份。证书服务数据平面可以向代理颁发经签名的证书。

7、另一个实施例涉及一种计算系统，该计算系统包括一个或多个处理器和一个或多个存储器，该一个或多个存储器存储计算机可执行指令，该指令在由该一个或多个处理器执行时，使得该计算系统执行上述方法。

8、又一个实施例涉及一种非暂态计算机可读介质，存储计算机可执行指令，该指令在由计算机系统的一个或多个处理器执行时，使得该计算机系统执行上述方法。附加地，实施例可以通过使用计算机程序产品来实现，该计算机程序产品包括计算机程序/指令，该计算机程序/指令在由处理器执行时，使得该处理器执行本公开中描述的任何方法。

9、本公开的附加方面包括在以下示例中提供的内容：

10、示例1：一种方法，包括在减小占地面积的数据中心的计算设备上实现证书服务数据平面；在证书服务数据平面处从在通信地连接到该计算设备的附加计算设备上执行的代理接收证书签名请求，该证书签名请求包括与代理的身份对应的身份信息；由证书服务数据平面获得身份验证信息；由证书服务数据平面通过至少将身份信息与身份验证信息进行比较来验证代理的身份；以及由证书服务数据平面向代理颁发经签名的证书。

11、示例1.1：示例1的方法，其中附加计算设备包括智能网络接口卡。

12、示例1.2：示例1.1的方法，其中智能网络接口卡连接到减小占地面积的数据中心的服务器设备。

13、示例1.3：示例1的方法，其中附加计算设备包括集成无人值守管理器。

14、示例1.4：示例1的方法，其中获得身份验证信息包括从连接到计算设备的受信任平台模块获得身份验证信息。

15、示例1.5：示例1.4的方法，其中身份验证信息在减小占地面积的数据中心的启动（bootstrapping）操作期间在受信任平台模块上供给。

16、示例1.6：示例1.4的方法，其中身份验证信息包括与根证书颁发机构对应的根证书。

17、示例2：一种计算系统，包括一个或多个处理器，以及一个或多个存储器，该一个或多个存储器存储计算机可执行指令，该计算机可执行指令在由该一个或多个处理器执行时，使得该计算系统执行以上示例1-1.6中的任何方法。

18、示例3：一种非暂态计算机可读介质，存储指令，该指令在由计算系统的一个或多个处理器执行时，使得该计算系统执行以上示例1-1.6中的任何方法。附加地，实施例可以通过使用计算机程序产品来实现，该计算机程序产品包括计算机程序/指令，该计算机程序/指令在由处理器执行时，使得该处理器执行示例1-1.6的方法。