VNFM与VNF建立数据安全连接的方法、设备及系统与流程

vnfm与vnf建立数据安全连接的方法、设备及系统
技术领域
1.本发明涉及虚拟化资源编排和操作技术领域，尤其涉及一种vnfm与vnf建立数据安全连接的方法、设备及系统。


背景技术：

2.nfv（network function virtualization，网络功能虚拟化）架构的目的是取代通信网络中私有、专用和封闭的网元，实现统一通用硬件平台 业务逻辑软件的开放架构。nfv架构中包括nfvi（nfv infrastructure，网络功能虚拟化基础设施），mano（management and orchestration，管理与编排）和多个vnf（virtualized network function, 虚拟网络功能）。其中，nfvi用来提供vnf的运行环境，包括所需的硬件及软件资源；mano中的vnfm（vnf manager，vnf管理器）用来对vnf的生命周期（实例化、配置、关闭等）进行控制。
3.vnfm与vnf之间需要建立数据安全连接，而在建立数据安全连接时需要传输密码。过去，在安全性要求不高的情况下，vnfm可以采用明文形式将生成的密码发送给vnf。近年来，随着安全性需求的提高，要求vnfm采用密文形式将生成的密码发送给vnf。为了满足这一要求，可以在vnfm和所有的vnf同时升级时配置密钥，以使升级后的vnfm采用升级时配置的密钥对密码进行加密，将加密后得到的密文发送给vnf，vnf采用升级时配置的密钥对该密文进行解密，从而得到密码。
4.由于只有在vnfm和所有的vnf同时升级后才可以得到密钥，所以，要求vnfm和所有的vnf同时升级，而同时升级会导致系统短时间内无法正常工作，从而影响业务的正常运行，且同时升级vnfm和所有的vnf对运维要求较高，实施难度较大。


技术实现要素：

5.本发明提供了一种vnfm与vnf(virtual network function，虚拟化网络功能）建立数据安全连接的方法、设备及系统，其技术目的是实现vnfm与vnf之间从不支持加密功能到支持加密功能的平滑过渡，使系统具有较好的兼容性，还可以解决密钥长期不变和密钥丢失的问题。
6.本发明的上述技术目的是通过以下技术方案得以实现的：一种vnfm与vnf建立数据安全连接的方法，用于vnfm中，所述方法包括：在部署vnf时，向所述vnf发送第一加密配置信息，所述第一加密配置信息中携带有指示信息，所述指示信息用于指示所述vnfm是否支持加密功能；接收所述vnf发送的第二加密配置信息，所述第二加密配置信息用于指示所述vnf是否支持加密功能；若确定所述vnfm和所述vnf都支持加密功能，则以密文形式向所述vnf发送密码；若确定所述vnfm和所述vnf中的至少一个不支持加密功能，则以明文形式向所述vnf发送密码。
7.可选地，所述以密文形式向所述vnf发送密码，包括：
当所述第一加密配置信息中还包括第一密钥时，从所述第一加密配置信息中获取所述第一密钥；或者，当所述vnfm的配置文件中包括第一密钥时，从所述vnfm的配置文件中获取所述第一密钥；采用所述第一密钥对密码进行加密，得到第一密文；将所述第一密文发送给所述vnf。
8.可选地，在所述接收所述vnf发送的第二加密配置信息之后，所述方法还包括：对所述第二加密配置信息进行存储；当需要传输密码时，根据所述第一加密配置信息和存储的所述第二加密配置信息确定所述vnfm和所述vnf是否都支持加密功能。
9.可选地，在所述以密文形式向所述vnf发送密码之后，所述方法还包括：接收所述vnf发送的密钥交换请求，所述密钥交换请求中携带有第一密钥交换数；根据所述密钥交换请求生成第二密钥交换数，并将所述第二密钥交换数发送给所述vnf，所述第二密钥交换数用于供所述vnf生成第二密钥，所述第二密钥用于更新所述第一密钥；根据所述第一密钥交换数生成所述第二密钥。
10.可选地，在所述根据所述第一密钥交换数生成所述第二密钥之后，所述方法还包括：采用所述第二密钥对第一内容进行加密，得到第二密文，所述第一内容为第一生命周期操作请求中的请求内容中的密码，或者，所述第一内容为所述请求内容中的密码和其他信息；将所述第二密文携带在所述第一生命周期操作请求中发送给所述vnf，所述第二密文由所述vnf采用所述第二密钥进行解密后得到所述第一内容。
11.可选地，在所述根据所述第一密钥交换数生成所述第二密钥之后，所述方法还包括：接收所述vnf发送的第二生命周期操作请求；采用所述第二密钥对第二内容进行加密，得到第三密文，所述第二内容为响应消息中的响应内容中的密码，或者，所述第二内容为所述响应内容中的密码和其他信息，所述响应消息用于响应所述第二生命周期操作请求；将所述第三密文携带在所述响应消息中发送给所述vnf，所述第三密文由所述vnf采用所述第二密钥进行解密后得到所述第二内容。
12.可选地，在所述根据所述第一密钥交换数生成所述第二密钥之后，所述方法还包括：接收所述vnf发送的第三生命周期操作请求，所述第三生命周期操作请求中携带有第四密文，所述第四密文是所述vnf采用所述第二密钥对第三内容进行加密得到的，所述第三内容为所述第三生命周期操作请求中的请求内容中的密码，或者，所述第三内容为所述请求内容中的密码和其他信息；采用所述第二密钥对所述第四密文进行解密，得到所述第三内容。
13.可选地，在所述接收所述vnf发送的密钥交换请求之前，所述方法还包括：向所述vnf发送部署完成的通知消息，所述vnf用于在所述通知消息的触发下发送所述密钥交换请
求；或者，向所述vnf发送第四生命周期操作请求，所述vnf用于在所述第四生命周期操作请求的触发下发送所述密钥交换请求；或者，所述密钥交换请求是所述vnf中发生预定生命周期操作后发送的。
14.一种vnfm与vnf建立数据安全连接的方法，用于vnf中，所述方法包括：在部署所述vnf时，接收vnfm发送的第一加密配置信息，所述第一加密配置信息中携带有指示信息，所述指示信息用于指示所述vnfm是否支持加密功能；向所述vnfm发送第二加密配置信息，所述第二加密配置信息用于指示所述vnf是否支持加密功能；接收所述vnfm以密文形式发送的密码，所述密码是所述vnfm确定所述vnfm和所述vnf都支持加密功能时，以密文形式发送的；或者，接收所述vnfm以明文形式发送的密码，所述密码是所述vnfm确定所述vnfm和所述vnf中的至少一个不支持加密功能时，以明文形式发送的。
15.可选地，在所述接收vnfm发送的第一加密配置信息之后，所述方法还包括：对所述第一加密配置信息进行存储；在所述接收所述vnfm以密文形式发送的密码之后，所述方法还包括：根据所述第二加密配置信息和存储的所述第一加密配置信息确定所述vnfm和所述vnf是否都支持加密功能；若确定所述vnfm和所述vnf都支持加密功能，则当所述第一加密配置信息中还包括第一密钥时，从所述第一加密配置信息中获取所述第一密钥；或者，当所述vnf的配置文件中包括第一密钥时，从所述vnf的配置文件中获取所述第一密钥；采用所述第一密钥对以密文形式发送的第一密文进行解密，得到所述密码。
16.可选地，在所述接收所述vnfm以密文形式发送的密码之后，所述方法还包括：向所述vnfm发送密钥交换请求，所述密钥交换请求中携带有第一密钥交换数，所述第一密钥交换数用于供所述vnfm生成第二密钥，所述第二密钥用于更新所述第一密钥；接收所述vnfm发送的第二密钥交换数，所述第二密钥交换数是所述vnfm根据所述密钥交换请求生成的；根据所述第二密钥交换数生成所述第二密钥。
17.可选地，在所述根据所述第二密钥交换数生成所述第二密钥之后，所述方法还包括：接收所述vnfm发送的第一生命周期操作请求，所述第一生命周期操作请求中携带有第二密文，所述第二密文是所述vnfm采用所述第二密钥对第一内容进行加密得到的，所述第一内容为所述第一生命周期操作请求中的请求内容中的密码，或者，所述第一内容为所述请求内容中的密码和其他信息；采用所述第二密钥对所述第二密文进行解密，得到所述第一内容。
18.可选地，在所述根据所述第二密钥交换数生成所述第二密钥之后，所述方法还包括：向所述vnfm发送第二生命周期操作请求；接收所述vnfm发送的响应消息，所述响应消息用于响应所述第二生命周期操作请求，且所述响应消息中携带有第三密文，所述第三密文是所述vnfm采用所述第二密钥对第
二内容进行加密得到的，所述第二内容为所述响应消息中的响应内容中的密码，或者，所述第二内容为所述响应内容中的密码和其他信息；采用所述第二密钥对所述第三密文进行解密，得到所述第二内容。
19.可选地，在所述根据所述第二密钥交换数生成所述第二密钥之后，所述方法还包括：采用所述第二密钥对第三内容进行加密，得到第四密文，所述第三内容为第三生命周期操作请求中的请求内容中的密码，或者，所述第三内容为所述请求内容中的密码和其他信息；将所述第四密文携带在所述第三生命周期操作请求中发送给所述vnfm，所述第四密文由所述vnfm采用生成的所述第二密钥进行解密后得到所述第三内容。
20.可选地，在所述向所述vnfm发送密钥交换请求之前，所述方法还包括：接收所述vnfm发送的部署完成的通知消息，在所述通知消息的触发下执行所述向所述vnfm发送密钥交换请求的步骤；或者，接收所述vnfm发送的第四生命周期操作请求，在所述第四生命周期操作请求的触发下执行所述向所述vnfm发送密钥交换请求的步骤；或者，在所述vnf中发生预定生命周期操作后，在所述预定生命周期操作的触发下执行所述向所述vnfm发送密钥交换请求的步骤。
21.一种vnfm，所述vnfm包括：第一发送单元，用于在部署vnf时，向所述vnf发送第一加密配置信息，所述第一加密配置信息中携带有指示信息，所述指示信息用于指示所述vnfm是否支持加密功能；第一接收单元，用于接收所述vnf发送的第二加密配置信息，所述第二加密配置信息用于指示所述vnf是否支持加密功能；所述第一发送单元，还用于若确定所述vnfm和所述vnf都支持加密功能，则以密文形式向所述vnf发送密码；所述第一发送单元，还用于若确定所述vnfm和所述vnf中的至少一个不支持加密功能，则以明文形式向所述vnf发送密码。
22.一种vnf，所述vnf包括：第二接收单元，用于在部署所述vnf时，接收vnfm发送的第一加密配置信息，所述第一加密配置信息中携带有指示信息，所述指示信息用于指示所述vnfm是否支持加密功能；第二发送单元，用于向所述vnfm发送第二加密配置信息，所述第二加密配置信息用于指示所述vnf是否支持加密功能；所述第二接收单元，还用于接收所述vnfm以密文形式发送的密码，所述密码是所述vnfm确定所述vnfm和所述vnf都支持加密功能时，以密文形式发送的；或者，所述第二接收单元，还用于接收所述vnfm以明文形式发送的密码，所述密码是所述vnfm确定所述vnfm和所述vnf中的至少一个不支持加密功能时，以明文形式发送的。
23.一种系统，所述系统包括vnfm和vnf；所述vnfm为如上所述的vnfm；所述vnf为如上所述的vnf。
24.本发明的有益效果在于：在部署vnf的过程中，vnfm向vnf发送第一加密配置信息，该第一加密配置信息中携带有用于指示vnfm是否支持加密功能的指示信息，vnf向vnfm发送第二加密配置信息，该第二加密配置信息用于指示vnf是否支持加密功能，在根据第一加密配置信息和第二加密配置信息确定vnfm和vnf都支持加密功能时，以密文形式向vnf发送密码；在根据第一加密配置信息和第二加密配置信息确定vnfm和vnf中的至少一个不支持加密功能时，以明文形式向vnf发送密码。可见，系统中既可以包括支持加密功能的设备（即升级后的设备），也可以包括不支持加密功能的设备（即升级前的设备），不要求系统中的所有设备都同时升级，可以实现从不支持加密功能到支持加密功能的平滑过渡，使系统具有较好的兼容性。
25.第一密钥可以配置在第一加密配置信息中，也可以配置在配置文件中，从而扩展了第一密钥的获取方式。
26.在vnf发起密钥交换请求后，vnf和vnfm可以协商后各自生成相同的第二密钥，再使用第二密钥对第一密钥进行更新，从而可以达到更新密钥的目的，可以解决密钥长期不变或密钥丢失而影响数据安全连接的问题。
附图说明
27.图1是本发明实施例一提供的一种vnfm与vnf建立数据安全连接的方法的流程图；图2是本发明实施例二提供的一种vnfm与vnf之间协商密钥更新的流程图；图3是本发明实施例三提供的vnfm将密文携带在生命周期操作请求中发送给vnf的流程图；图4是本发明实施例三提供的vnfm将密文携带在响应消息中发送给vnf的流程图；图5是本发明实施例三提供的vnf将密文携带在生命周期操作请求中发送给vnfm的流程图；图6是本发明实施例四提供的vnfm的结构示意图；图7是本发明实施例五提供的vnf的结构示意图；图8是本发明实施例六提供的系统的结构示意图。
具体实施方式
28.下面将结合附图对本发明技术方案进行详细说明。在本技术的描述中，需要理解地是，术语“第一”、“第二”、“第三”、“第四”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量，仅用来区分不同的组成部分。
29.实施例一如图1所示，本实施例提供了一种vnfm与vnf建立数据安全连接的方法，该方法可以应用于包括vnfm和vnf的系统中，该方法包括以下步骤：步骤s101，在部署vnf时，vnfm向vnf发送第一加密配置信息，该第一加密配置信息中携带有指示信息，该指示信息用于指示vnfm是否支持加密功能。
30.vnfm可以先创建一个vnf，再对该vnf进行部署。在部署vnf时，vnfm可以先根据自身的配置确定自身是否支持加密功能，若vnfm自身支持加密功能，则生成用于指示vnfm支持加密功能的指示信息，并将该指示信息携带在第一加密配置信息中发送给vnf；若vnfm自
身不支持加密功能，则生成用于指示vnfm不支持加密功能的指示信息，并将该指示信息携带在第一加密配置信息中发送给vnf。
31.本实施例中将部署vnf时首次用来加密密码的密钥称为第一密钥，且第一密钥通常是预先配置的。在第一种实现方式中，只在vnfm中配置第一密钥，那么，vnfm需要将该第一密钥添加到第一加密配置信息中发送给vnf，此时，第一加密配置信息中至少包括指示信息和第一密钥。在第二种实现方式中，可以在vnfm的配置文件和vnf的配置文件中分别配置第一密钥，那么，vnfm无需将第一密钥添加到第一加密配置信息中发送给vnf，此时，第一加密配置信息中至少包括指示信息。
32.步骤s102，vnf接收vnfm发送的第一加密配置信息。
33.vnf接收vnfm发送的第一加密配置信息，并对该第一加密配置信息进行存储。可选的，vnf可以将第一加密配置信息存储到数据库中。
34.步骤s103，vnf向vnfm发送第二加密配置信息，该第二加密配置信息用于指示vnf是否支持加密功能。
35.vnf可以先根据自身的配置确定自身是否支持加密功能，若vnf自身支持加密功能，则生成用于指示vnf支持加密功能的第二加密配置信息，并将该第二加密配置信息发送给vnfm；若vnf自身不支持加密功能，则生成用于指示vnf不支持加密功能的第二加密配置信息，将该第二加密配置信息发送给vnfm。
36.步骤s104，vnfm接收vnf发送的第二加密配置信息。
37.vnfm接收vnf发送的第二加密配置信息，并对该第二加密配置信息进行存储。可选的，vnfm可以将第二加密配置信息存储到数据库中。
38.vnfm可以继续部署vnf，在确定需要向vnf发送密码时，vnfm可以根据第一加密配置信息和存储的第二加密配置信息确定vnfm和vnf是否都支持加密功能；当vnfm和vnf都支持加密功能时，执行步骤s105；当vnfm不支持加密功能，vnf支持加密功能时，或者，当vnf不支持加密功能，vnfm支持加密功能时，或者，当vnfm和vnf都不支持加密功能时，执行步骤s107。
39.步骤s105，若确定vnfm和vnf都支持加密功能，则vnfm以密文形式向vnf发送密码，执行步骤s106。
40.具体的，当第一加密配置信息中还包括第一密钥时，vnfm从第一加密配置信息中获取第一密钥；或者，当vnfm的配置文件中包括第一密钥时，从vnfm的配置文件中获取第一密钥；再采用第一密钥对密码进行加密，得到第一密文；将该第一密文发送给vnf。其中，采用第一密钥对密码进行加密的加密算法有很多种，本实施例不对具体算法作限定。
41.步骤s106，vnf接收vnfm以密文形式发送的密码，流程结束。
42.由于vnf并不知道vnfm是以密文形式还是以明文形式发送密码，所以，vnf可以先根据存储的第一加密配置信息和第二加密配置信息确定vnfm和vnf是否都支持加密功能。在当前场景下，vnfm和vnf都支持加密功能，vnf确定接收到第一密文，需要对该第一密文进行解密，得到密码。具体的，当第一加密配置信息中还包括第一密钥时，vnf从第一加密配置信息中获取第一密钥；或者，当vnf的配置文件中包括第一密钥时，vnf从vnf的配置文件中获取第一密钥；采用第一密钥对第一密文进行解密，得到密码。其中，采用第一密钥对第一密文进行解密的解密算法与步骤s105中的加密算法相对应。
43.步骤s107，若确定vnfm和vnf中的至少一个不支持加密功能，则vnfm以明文形式向vnf发送密码，执行步骤s108。
44.vnfm可以直接将密码发送给vnf。
45.步骤s108，vnf接收vnfm以明文形式发送的密码。
46.由于vnf并不知道vnfm是以密文形式还是以明文形式发送密码，所以，vnf可以先根据存储的第一加密配置信息和第二加密配置信息确定vnfm和vnf是否都支持加密功能。在当前场景下，vnfm不支持加密功能，vnf支持加密功能，或者，vnf不支持加密功能，vnfm支持加密功能，或者，vnfm和vnf都不支持加密功能，vnf确定接收到明文形式的密码。
47.其中，步骤s101、步骤s104、步骤s105和步骤s107可以单独实现为vnfm侧的实施例，步骤s102、步骤s103、步骤s106和步骤s108可以单独实现为vnf侧的实施例。
48.综上所述，本发明实施例提出的一种vnfm与vnf建立数据安全连接的方法，通过在部署vnf的过程中，vnfm向vnf发送第一加密配置信息，该第一加密配置信息中携带有用于指示vnfm是否支持加密功能的指示信息，vnf向vnfm发送第二加密配置信息，该第二加密配置信息用于指示vnf是否支持加密功能，在根据第一加密配置信息和第二加密配置信息确定vnfm和vnf都支持加密功能时，以密文形式向vnf发送密码；在根据第一加密配置信息和第二加密配置信息确定vnfm和vnf中的至少一个不支持加密功能时，以明文形式向vnf发送密码。可见，系统中既可以包括支持加密功能的设备（即升级后的设备），也可以包括不支持加密功能的设备（即升级前的设备），不要求系统中的所有设备都同时升级，可以实现从不支持加密功能到支持加密功能的平滑过渡，使系统具有较好的兼容性。
49.实施例二在得到第一密钥后，vnfm和vnf还可以通过协商来生成第二密钥，并采用第二密钥来更新第一密钥，从而可以达到更新密钥的目的，可以解决密钥长期不变或密钥丢失而影响数据安全连接的问题。如图2所示，该方法可以包括：步骤s201，vnf向vnfm发送密钥交换请求，该密钥交换请求中携带有第一密钥交换数。
50.其中，第一密钥交换数是vnf根据预定算法生成的。可选的，预定算法可以是diffie-hellman(迪菲-赫尔曼)算法。
51.本实施例中，vnf可以在以下三种情况下向vnfm发送密钥交换请求，下面对这三种情况进行说明。
52.1）在vnf部署完成后，vnf向vnfm发送密钥交换请求。
53.在vnf部署完成后，vnfm会向vnf发送部署完成的通知消息，vnf接收vnfm发送的部署完成的通知消息，在该通知消息的触发下向vnfm发送密钥交换请求。可选的，该通知消息可以是实例化后扩展请求。
54.2）在接收到vnfm发送的生命周期操作请求后，vnf向vnfm发送密钥交换请求。
55.其中，生命周期操作请求是用来对vnf的生命周期进行控制的操作请求，可以由vnfm向vnf发送，例如在vnf中新增虚机的生命周期操作请求、修改vnf容量的生命周期操作请求等等；也可以由vnf向vnfm发送，例如请求自愈的生命周期操作请求、系统重启的生命周期操作请求等等。
56.本实施例中，可以设置vnf在接收到任一生命周期操作请求后都发送密钥交换请
求，也可以设置vnf在接收到部分特定的生命周期操作请求后发送密钥交换请求，还可以设置接收到任一生命周期操作请求后都不发送密钥交换请求。为了便于与下文中出现的生命周期操作请求相区别，本实施例中将触发vnf发送密钥交换请求的生命周期操作请求称为第四生命周期操作请求。
57.在当前场景下，vnfm向vnf发送第四生命周期操作请求，vnf接收vnfm发送的第四生命周期操作请求，在该第四生命周期操作请求的触发下向vnfm发送密钥交换请求。
58.3）在vnf中发生预定生命周期操作后，vnf向vnfm发送密钥交换请求。
59.在vnf中发生预定生命周期操作后，在该预定生命周期操作的触发下向vnfm发送密钥交换请求。其中，预定生命周期操作可以预先设置，比如，将预定生命周期操作设置为系统重启，则在系统重启后，vnf向vnfm发送密钥交换请求。
60.需要说明的是，在系统重启后，vnf还需要向vnfm发送系统重启的生命周期操作请求，本实施例中不限定该生命周期操作请求和密钥交换请求的先后发送顺序。
61.步骤s202，vnfm接收vnf发送的密钥交换请求，该密钥交换请求中携带有第一密钥交换数。
62.步骤s203，vnfm根据密钥交换请求生成第二密钥交换数，并将该第二密钥交换数发送给vnf。
63.vnfm可以在接收到密钥交换请求后，根据预定算法生成第二密钥交换数。可选的，预定算法可以是diffie-hellman(迪菲-赫尔曼)算法。
64.步骤s204，vnfm根据第一密钥交换数生成第二密钥。
65.vnfm可以将第一密钥交换数输入预定算法中，得到第二密钥。可选的，预定算法可以是diffie-hellman(迪菲-赫尔曼)算法。
66.vnfm将生成的第二密钥加密存储在数据库中。
67.步骤s205，vnf接收vnfm发送的第二密钥交换数。
68.其中，本实施例不限定步骤s204和步骤s205的先后执行顺序。
69.步骤s206，vnf根据第二密钥交换数生成第二密钥。
70.vnf可以将第二密钥交换数输入预定算法中，得到第二密钥。可选的，预定算法可以是diffie-hellman(迪菲-赫尔曼)算法。
71.vnf将生成的第二密钥加密存储在数据库中。
72.需要说明的是，预定算法可以根据不同的输入（第一密钥交换数和第二密钥交换数）生成相同的输出（第二密钥）。
73.其中，步骤s202、步骤s203和步骤s204可以单独实现为vnfm侧的实施例，步骤s201、步骤s205和步骤s206可以单独实现为vnf侧的实施例。
74.实施例三在生成第二密钥后，vnfm和vnf可以利用第二密钥来进行密文传输，下面对三种传输场景进行说明。
75.1）如图3所示，vnfm将密文携带在生命周期操作请求中发送给vnf。
76.步骤s301，vnfm采用第二密钥对第一内容进行加密，得到第二密文，第一内容为第一生命周期操作请求中的请求内容中的密码，或者，第一内容为该请求内容中的密码和其他信息。
77.vnfm在确定需要向vnf发送第一生命周期操作请求时，从数据库中读取第二密钥，再获取第一生命周期请求中的请求内容中的第一内容，采用第二密钥对第一内容进行加密，得到第二密文。
78.其中，当请求内容中包括密码和其他信息时，vnfm可以只将密码确定为第一内容，此时，vnfm只对请求内容中的密码进行加密，而不对请求内容中的其他信息进行加密；或者，vnfm可以将密码和其他信息都确定为第一内容，此时，vnfm对请求内容中的密码和其他信息都进行加密。当请求内容中只包括密码，而不包括其他信息时，vnfm可以将密码确定为第一内容，此时，vnfm对请求内容中的密码进行加密。
79.步骤s302，vnfm将第二密文携带在第一生命周期操作请求中发送给vnf。
80.步骤s303，vnf接收vnfm发送的第一生命周期操作请求，该第一生命周期操作请求中携带有第二密文。
81.步骤s304，vnf采用第二密钥对第二密文进行解密，得到第一内容。
82.vnf可以从第一生命周期操作请求中读取第二密文，再从数据库中读取第二密钥，采用第二密钥对第二密文进行解密，得到第一内容。其中，采用第二密钥对第二密文进行解密的解密算法与步骤s301中的加密算法相对应。
83.其中，步骤s301和步骤s302可以单独实现为vnfm侧的实施例，步骤s303和步骤s304可以单独实现为vnf侧的实施例。
84.2）如图4所示，vnfm将密文携带在响应消息中发送给vnf，该响应消息用于响应vnf发送的生命周期操作请求。
85.步骤s401，vnf向vnfm发送第二生命周期操作请求。
86.步骤s402，vnfm接收vnf发送的第二生命周期操作请求。
87.步骤s403，vnfm采用第二密钥对第二内容进行加密，得到第三密文，第二内容为响应消息中的响应内容中的密码，或者，第二内容为该响应内容中的密码和其他信息，响应消息用于响应第二生命周期操作请求。
88.vnfm在接收到第二生命周期操作请求后，需要向vnf发送响应消息，此时，vnfm从数据库中读取第二密钥，再获取响应消息中的响应内容中的第二内容，采用第二密钥对第二内容进行加密，得到第三密文。
89.其中，当响应内容中包括密码和其他信息时，vnfm可以只将密码确定为第二内容，此时，vnfm只对响应内容中的密码进行加密，而不对响应内容中的其他信息进行加密；或者，vnfm可以将密码和其他信息都确定为第二内容，此时，vnfm对响应内容中的密码和其他信息都进行加密。当响应内容中只包括密码，而不包括其他信息时，vnfm可以将密码确定为第二内容，此时，vnfm对响应内容中的密码进行加密。
90.步骤s404，vnfm将第三密文携带在响应消息中发送给vnf。
91.步骤s405，vnf接收vnfm发送的响应消息，该响应消息中携带有第三密文。
92.步骤s406，vnf采用第二密钥对第三密文进行解密，得到第二内容。
93.vnf可以从响应消息中读取第三密文，再从数据库中读取第二密钥，采用第二密钥对第三密文进行解密，得到第二内容。其中，采用第二密钥对第三密文进行解密的解密算法与步骤s403中的加密算法相对应。
94.其中，步骤s402、步骤s403和步骤s404可以单独实现为vnfm侧的实施例，步骤
s401、步骤s405和步骤s406可以单独实现为vnf侧的实施例。
95.3）如图5所示，vnf将密文携带在生命周期操作请求中发送给vnfm。
96.步骤s501，vnf采用第二密钥对第三内容进行加密，得到第四密文，第三内容为第三生命周期操作请求中的请求内容中的密码，或者，第三内容为该请求内容中的密码和其他信息。
97.vnf在确定需要向vnfm发送第三生命周期操作请求时，从数据库中读取第二密钥，再获取第三生命周期请求中的请求内容中的第三内容，采用第二密钥对第三内容进行加密，得到第四密文。
98.其中，当请求内容中包括密码和其他信息时，vnf可以只将密码确定为第三内容，此时，vnf只对请求内容中的密码进行加密，而不对请求内容中的其他信息进行加密；或者，vnf可以将密码和其他信息都确定为第三内容，此时，vnf对请求内容中的密码和其他信息都进行加密。当请求内容中只包括密码，而不包括其他信息时，vnf可以将密码确定为第三内容，此时，vnf对请求内容中的密码进行加密。
99.步骤s502，vnf将第四密文携带在第三生命周期操作请求中发送给vnfm。
100.步骤s503，vnfm接收vnf发送的第三生命周期操作请求，该第三生命周期操作请求中携带有第四密文。
101.步骤s504，vnfm采用第二密钥对第四密文进行解密，得到第三内容。
102.vnfm可以从第三生命周期操作请求中读取第四密文，再从数据库中读取第二密钥，采用第二密钥对第四密文进行解密，得到第三内容。其中，采用第二密钥对第四密文进行解密的解密算法与步骤s501中的加密算法相对应。
103.其中，步骤s503和步骤s504可以单独实现为vnfm侧的实施例，步骤s501和步骤s502可以单独实现为vnf侧的实施例。
104.实施例四如图6所示，本实施例提供了一种vnfm，该vnfm可以包括：第一发送单元601，用于在部署vnf时，向vnf发送第一加密配置信息，该第一加密配置信息中携带有指示信息，该指示信息用于指示vnfm是否支持加密功能；第一接收单元602，用于接收vnf发送的第二加密配置信息，该第二加密配置信息用于指示vnf是否支持加密功能；第一发送单元601，还用于若确定vnfm和vnf都支持加密功能，则以密文形式向vnf发送密码；第一发送单元601，还用于若确定vnfm和vnf中的至少一个不支持加密功能，则以明文形式向vnf发送密码。
105.可选的，vnfm还可以包括：第一处理单元603，用于当第一加密配置信息中还包括第一密钥时，从第一加密配置信息中获取第一密钥；或者，当vnfm的配置文件中包括第一密钥时，从vnfm的配置文件中获取第一密钥；第一处理单元603，还用于采用第一密钥对密码进行加密，得到第一密文；第一发送单元601，用于将第一密文发送给vnf。
106.可选的，第一处理单元603，还用于：
在第一接收单元602接收vnf发送的第二加密配置信息之后，对第二加密配置信息进行存储；当需要传输密码时，根据第一加密配置信息和存储的第二加密配置信息确定vnfm和vnf是否都支持加密功能。
107.可选的，第一接收单元602，还用于在第一发送单元601以密文形式向vnf发送密码之后，接收vnf发送的密钥交换请求，该密钥交换请求中携带有第一密钥交换数；第一处理单元603，还用于根据密钥交换请求生成第二密钥交换数；第一发送单元601，还用于将第二密钥交换数发送给vnf，该第二密钥交换数用于供vnf生成第二密钥，该第二密钥用于更新第一密钥；第一处理单元603，还用于根据第一密钥交换数生成第二密钥。
108.可选的，第一处理单元603，还用于在根据第一密钥交换数生成第二密钥之后，采用第二密钥对第一内容进行加密，得到第二密文，第一内容为第一生命周期操作请求中的请求内容中的密码，或者，第一内容为请求内容中的密码和其他信息；第一发送单元601，还用于将第二密文携带在第一生命周期操作请求中发送给vnf，该第二密文由vnf采用第二密钥进行解密后得到第一内容。
109.可选的，第一接收单元602，还用于在第一处理单元603根据第一密钥交换数生成第二密钥之后，接收vnf发送的第二生命周期操作请求；第一处理单元603，还用于采用第二密钥对第二内容进行加密，得到第三密文，第二内容为响应消息中的响应内容中的密码，或者，第二内容为响应内容中的密码和其他信息，响应消息用于响应第二生命周期操作请求；第一发送单元601，还用于将第三密文携带在响应消息中发送给vnf，该第三密文由vnf采用第二密钥进行解密后得到第二内容。
110.可选的，第一接收单元602，还用于在第一处理单元603根据第一密钥交换数生成第二密钥之后，接收vnf发送的第三生命周期操作请求，该第三生命周期操作请求中携带有第四密文，该第四密文是vnf采用第二密钥对第三内容进行加密得到的，第三内容为第三生命周期操作请求中的请求内容中的密码，或者，第三内容为请求内容中的密码和其他信息；第一处理单元603，还用于采用第二密钥对第四密文进行解密，得到第三内容。
111.可选的，第一发送单元601，还用于在第一接收单元602接收vnf发送的密钥交换请求之前，向vnf发送部署完成的通知消息，该vnf用于在通知消息的触发下发送密钥交换请求；或者，向vnf发送第四生命周期操作请求，该vnf用于在第四生命周期操作请求的触发下发送密钥交换请求；或者，密钥交换请求是vnf中发生预定生命周期操作后发送的。
112.实施例五如图7所示，本实施例提供了一种vnf，该vnf可以包括：第二接收单元701，用于在部署vnf时，接收vnfm发送的第一加密配置信息，该第一加密配置信息中携带有指示信息，该指示信息用于指示vnfm是否支持加密功能；第二发送单元702，用于向vnfm发送第二加密配置信息，该第二加密配置信息用于指示vnf是否支持加密功能；第二接收单元701，还用于接收vnfm以密文形式发送的密码，该密码是vnfm确定
vnfm和vnf都支持加密功能时，以密文形式发送的；或者，第二接收单元701，还用于接收vnfm以明文形式发送的密码，该密码是vnfm确定vnfm和vnf中的至少一个不支持加密功能时，以明文形式发送的。
113.可选的，vnf还可以包括：第二处理单元703，用于在第二接收单元701接收vnfm发送的第一加密配置信息之后，对第一加密配置信息进行存储；第二处理单元703，还用于在第二接收单元701接收vnfm以密文形式发送的密码之后，根据第二加密配置信息和存储的第一加密配置信息确定vnfm和vnf是否都支持加密功能；若确定vnfm和vnf都支持加密功能，则当第一加密配置信息中还包括第一密钥时，从第一加密配置信息中获取第一密钥；或者，当vnf的配置文件中包括第一密钥时，从vnf的配置文件中获取第一密钥；采用第一密钥对以密文形式发送的第一密文进行解密，得到密码。
114.可选的，第二发送单元702，还用于在第二接收单元701接收vnfm以密文形式发送的密码之后，向vnfm发送密钥交换请求，该密钥交换请求中携带有第一密钥交换数，该第一密钥交换数用于供vnfm生成第二密钥，该第二密钥用于更新第一密钥；第二接收单元701，还用于接收vnfm发送的第二密钥交换数，该第二密钥交换数是vnfm根据密钥交换请求生成的；第二处理单元703，还用于根据第二密钥交换数生成第二密钥。
115.可选的，第二接收单元701，还用于在第二处理单元703根据第二密钥交换数生成第二密钥之后，接收vnfm发送的第一生命周期操作请求，该第一生命周期操作请求中携带有第二密文，该第二密文是vnfm采用第二密钥对第一内容进行加密得到的，第一内容为第一生命周期操作请求中的请求内容中的密码，或者，第一内容为请求内容中的密码和其他信息；第二处理单元703，还用于采用第二密钥对第二密文进行解密，得到第一内容。
116.可选的，第二发送单元702，还用于在第二处理单元703根据第二密钥交换数生成第二密钥之后，向vnfm发送第二生命周期操作请求；第二接收单元701，还用于接收vnfm发送的响应消息，该响应消息用于响应第二生命周期操作请求，且响应消息中携带有第三密文，该第三密文是vnfm采用第二密钥对第二内容进行加密得到的，第二内容为响应消息中的响应内容中的密码，或者，第二内容为响应内容中的密码和其他信息；第二处理单元703，还用于采用第二密钥对第三密文进行解密，得到第二内容。
117.可选的，第二处理单元703，还用于在根据第二密钥交换数生成第二密钥之后，采用第二密钥对第三内容进行加密，得到第四密文，第三内容为第三生命周期操作请求中的请求内容中的密码，或者，第三内容为请求内容中的密码和其他信息；第二发送单元702，还用于将第四密文携带在第三生命周期操作请求中发送给vnfm，该第四密文由vnfm采用生成的第二密钥进行解密后得到第三内容。
118.可选的，在向vnfm发送密钥交换请求之前，第二接收单元701还用于接收vnfm发送的部署完成的通知消息，第二发送单元702还用于在通知消息的触发下执行向vnfm发送密钥交换请求的步骤；或者，第二接收单元701还用于接收vnfm发送的第四生命周期操作请求，第二发送单元702还用于在第四生命周期操作请求的触发下执行向vnfm发送密钥交换
请求的步骤；或者，第二发送单元702还用于在vnf中发生预定生命周期操作后，在预定生命周期操作的触发下执行向vnfm发送密钥交换请求的步骤。
119.实施例六如图8所示，本实施例提供了一种系统，该系统中包括vnfm801和vnf802，且vnfm801可以是如图6所示的vnfm，vnf802可以是如图7所示的vnf。
120.本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统、设备中的功能模块/单元可以被实施为软件、固件、硬件及其适当的组合。
121.在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些物理组件或所有物理组件可以被实施为由处理器，如中央处理器、数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质（或非暂时性介质）和通信介质（或暂时性介质）。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息（诸如计算机可读指令、数据结构、程序模块或其他数据）的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于ram、rom、eeprom、闪存或其他存储器技术、cd-rom、数字多功能盘（dvd）或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。
122.以上参照附图说明了本发明的优选实施例，并非因此局限本发明的权利范围。本领域技术人员不脱离本发明的范围和实质内所作的任何修改、等同替换和改进，均应在本发明的权利范围之内。