專利名稱：一種提高云計(jì)算數(shù)據(jù)安全的方法及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及數(shù)據(jù)安全技術(shù)領(lǐng)域，特別涉及一種提高云計(jì)算數(shù)據(jù)安全的方法及系統(tǒng)。
背景技術(shù)：
云計(jì)算通過(guò)將IT (Information Technology)資源轉(zhuǎn)化為服務(wù)(IT as aService),以按需付費(fèi)的商業(yè)模式交付給終端用戶使用，從而極大地降低了用戶IT使用成本，加速了 IT資源的交付周期，提高了運(yùn)營(yíng)效率。云計(jì)算推動(dòng)了 IT資源的集中和共享，按照其部署和服務(wù)范疇劃分，云計(jì)算可以分為私有云計(jì)算、公有云計(jì)算和混合云計(jì)算，由于其提供的IT服務(wù)種類(lèi)的不同，云計(jì)算又以以下模式體現(xiàn)基礎(chǔ)架構(gòu)即服務(wù)(IaaS, Infrastructure as a Service),平臺(tái)即服務(wù)(PaaS, Platform as a Service),軟件即服務(wù)(SaaS, Software as a Service),存儲(chǔ)即服務(wù)(cloud storage, Storage as a Service)等。通過(guò)云計(jì)算，雖然用戶的IT成本可以得到降低，但是也使數(shù)據(jù)安全風(fēng)險(xiǎn)更多地集中在云計(jì)算數(shù)據(jù)中心端，具體表現(xiàn)在以下幾個(gè)方面1)多租戶模式下的數(shù)據(jù)隔離和安全問(wèn)題；公有云計(jì)算數(shù)據(jù)中心，處在多租戶模式下，多個(gè)租戶特別是彼此為競(jìng)爭(zhēng)對(duì)手的租戶的數(shù)據(jù)存儲(chǔ)在一起會(huì)導(dǎo)致一定的安全風(fēng)險(xiǎn)，私有云計(jì)算數(shù)據(jù)中心也需要為各個(gè)職能部門(mén)之間的數(shù)據(jù)提供有效的數(shù)據(jù)隔離；2)黑客的非法入侵會(huì)導(dǎo)致重要數(shù)據(jù)的泄漏；3)云計(jì)算數(shù)據(jù)中心管理員特別是超級(jí)管理員的人為錯(cuò)誤或者職業(yè)操守問(wèn)題可能導(dǎo)致用戶數(shù)據(jù)的泄露等等。目前，云計(jì)算數(shù)據(jù)安全的解決方案大致可以分為兩類(lèi)一類(lèi)是針對(duì)存儲(chǔ)即服務(wù)(即云存儲(chǔ))，通過(guò)邏輯級(jí)別多租戶的數(shù)據(jù)隔離，依賴數(shù)據(jù)加密技術(shù)保護(hù)用戶的數(shù)據(jù)安全。所謂邏輯級(jí)別的隔離，主要通過(guò)云計(jì)算數(shù)據(jù)中心端保存的元數(shù)據(jù)信息實(shí)現(xiàn)的，例如基于對(duì)象的存儲(chǔ)系統(tǒng)(Object Storage Device, 0SD),典型的實(shí)施有EMC Atmos, Amazon S3存儲(chǔ)服務(wù)等；還有基于策略多租戶數(shù)據(jù)安全管理方法和系統(tǒng)，如美國(guó)專利 US 2011/0022642Policy Driven Cloud Storage Management and Cloud StoragePolicy Router所記述。邏輯級(jí)別隔離的情況下，雖然不同用戶登錄后所見(jiàn)到的數(shù)據(jù)僅為其所授權(quán)的數(shù)據(jù)，但是為了保護(hù)數(shù)據(jù)安全，用戶通常需要將數(shù)據(jù)加密后傳輸?shù)皆朴?jì)算數(shù)據(jù)中心。另一類(lèi)是針對(duì)存儲(chǔ)即服務(wù)之外的云計(jì)算模式，例如軟件即服務(wù)(SaaS)、基礎(chǔ)架構(gòu)即服務(wù)(IaaS)、平臺(tái)即服務(wù)(PaaS)等。對(duì)于這些云計(jì)算模式，存儲(chǔ)即服務(wù)的數(shù)據(jù)安全解決方案并不適用，這是因?yàn)椋鎯?chǔ)即服務(wù)大多是基于Restful協(xié)議而不是基于SCSI協(xié)議，以數(shù)據(jù)對(duì)象或者文件為單位存取數(shù)據(jù)，數(shù)據(jù)安全性具有較高優(yōu)先級(jí)(數(shù)據(jù)通常需要加密)，對(duì)數(shù)據(jù)訪問(wèn)延遲、1/0性能和可靠性的要求較低；而對(duì)于其他云計(jì)算模式(即SaaS，IaaS, PaaS等)而言，數(shù)據(jù)訪問(wèn)主要是基于SCSI協(xié)議的，因此數(shù)據(jù)訪問(wèn)延遲性、1/0性能及可靠性，與數(shù)據(jù)的安全性同樣具有相同甚至更高的優(yōu)先級(jí)，同時(shí)為了保證數(shù)據(jù)訪問(wèn)1/0性能，數(shù)據(jù)通常不能被加密，從而使得云計(jì)算的租戶的數(shù)據(jù)安全完全依賴于云計(jì)算服務(wù)提供商的職業(yè)操守和其對(duì)數(shù)據(jù)安全性保護(hù)的技術(shù)能力。對(duì)于該類(lèi)云計(jì)算模式，目前的解決方案主要是通過(guò)云計(jì)算數(shù)據(jù)中心端的多租戶數(shù)據(jù)物理級(jí)別隔離加之云計(jì)算服務(wù)提供商與用戶簽訂的SLA(Service Level Agreement，服務(wù)水平協(xié)議)保障。所謂多租戶數(shù)據(jù)物理級(jí)別的隔離主要通過(guò)云計(jì)算數(shù)據(jù)中心端劃分不同LUN實(shí)現(xiàn)的。每個(gè)用戶在數(shù)據(jù)中心端被分配了一個(gè)或多個(gè)獨(dú)占的物理LUN設(shè)備，其數(shù)據(jù)僅保存在該物理LUN設(shè)備上，從而實(shí)現(xiàn)了不同用戶數(shù)據(jù)之間的物理級(jí)別隔離，典型的解決方案為Netapp MultiStore。物理級(jí)別隔離，可以在一定程度上保證數(shù)據(jù)訪問(wèn)的性能及可靠性，但是，考慮到為了保證性能，數(shù)據(jù)在云計(jì)算端很難加密，由此帶來(lái)的數(shù)據(jù)安全的風(fēng)險(xiǎn)則是云計(jì)算租戶所不能不顧慮的。雖然與云計(jì)算服務(wù)商之間的服務(wù)合同可以在一定程度上降低以上風(fēng)險(xiǎn)，但是也無(wú)法避免，非法入侵用戶或者云計(jì)算數(shù)據(jù)中心管理員仍可以在數(shù)據(jù)所有者未授權(quán)的情況下，將用戶數(shù)據(jù)保存的LUN設(shè)備非法掛載到其他終端上，進(jìn)而獲取數(shù)據(jù)的情況。綜上所述，現(xiàn)有的云計(jì)算數(shù)據(jù)安全解決方案技術(shù)還無(wú)法解決除存儲(chǔ)即服務(wù)之外的云計(jì)算模式(特別是IaaS、PaaS和SaaS)的數(shù)據(jù)安全問(wèn)題，即在保證數(shù)據(jù)安全的同時(shí)，兼顧數(shù)據(jù)訪問(wèn)性能、可靠性等企業(yè)級(jí)云計(jì)算應(yīng)用的要求。

發(fā)明內(nèi)容
為了解決現(xiàn)有云計(jì)算數(shù)據(jù)安全解決方案不適用于云存儲(chǔ)之外的云計(jì)算模式，以及易被非法獲取等問(wèn)題，本發(fā)明提供了一種提高云計(jì)算數(shù)據(jù)安全的方法，所述方法包括用戶為云計(jì)算服務(wù)應(yīng)用實(shí)例可用的物理LUN設(shè)備建立索引信息表；用戶建立一個(gè)虛擬LUN設(shè)備，根據(jù)所述索引信息表，設(shè)置所述虛擬LUN設(shè)備的虛擬LBA地址空間與實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)規(guī)則；用戶根據(jù)所述對(duì)應(yīng)規(guī)則，建立并保存數(shù)據(jù)訪問(wèn)虛擬LUN設(shè)備的虛擬LBA地址空間與指定云計(jì)算數(shù)據(jù)中心的實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系；根據(jù)所述對(duì)應(yīng)關(guān)系，獲取外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指向的虛擬LBA地址空間對(duì)應(yīng)的實(shí)際數(shù)據(jù)的存儲(chǔ)位置信息，完成I/o重定向。所述索引信息表的內(nèi)容包括LUN設(shè)備全局ID、云計(jì)算數(shù)據(jù)中心ID和LUN設(shè)備局部ID;所述云計(jì)算服務(wù)應(yīng)用實(shí)例包括軟件即服務(wù)、基礎(chǔ)架構(gòu)即服務(wù)和平臺(tái)即服務(wù)。所述虛擬LUN設(shè)備放置在用戶端或用戶信賴的第三方托管端。所述建立并保存對(duì)應(yīng)關(guān)系的步驟具體包括選擇多個(gè)LBA地址作為虛擬LBA地址空間和實(shí)際LBA地址空間的最小分割單元；根據(jù)所述最小分割單元，將所述虛擬LBA地址空間和實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間，分割成數(shù)量相等的虛擬LBA地址段和實(shí)際LBA地址段；用戶根據(jù)所述對(duì)應(yīng)規(guī)則，將所述虛擬LBA地址段與實(shí)際LBA地址段一一對(duì)應(yīng)，以及將所述虛擬LBA地址段中的虛擬LBA地址與其對(duì)應(yīng)的實(shí)際LBA地址段中的實(shí)際LBA地址進(jìn)行一一對(duì)應(yīng)，并根據(jù)以上對(duì)應(yīng)結(jié)果建立且保存虛擬LBA地址空間與實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系。所述多個(gè)LBA地址為多個(gè)連續(xù)的、不連續(xù)的、有規(guī)律或無(wú)規(guī)律的LBA地址。所述根據(jù)所述對(duì)應(yīng)關(guān)系，獲取外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指向的虛擬LBA地址空間對(duì)應(yīng)的實(shí)際數(shù)據(jù)的存儲(chǔ)位置信息，完成I/o重定向的步驟具體包括
根據(jù)外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指定的虛擬LBA地址空間與指定云計(jì)算數(shù)據(jù)中心的實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系，查詢并獲取虛擬LBA地址空間中每個(gè)虛擬LBA地址對(duì)應(yīng)的實(shí)際數(shù)據(jù)存儲(chǔ)的LBA地址；根據(jù)所述索引信息表中的LUN設(shè)備全局ID，查詢并獲取每個(gè)實(shí)際LBA地址所對(duì)應(yīng)的云計(jì)算數(shù)據(jù)中心和其對(duì)應(yīng)的LUN設(shè)備局部ID ；根據(jù)每個(gè)實(shí)際LBA地址對(duì)應(yīng)的云計(jì)算數(shù)據(jù)中心和LUN設(shè)備局部ID，將外部數(shù)據(jù)讀寫(xiě)請(qǐng)求轉(zhuǎn)發(fā)到實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間上，完成數(shù)據(jù)I/O請(qǐng)求的重定向。所述方法還包括用戶按照預(yù)置的頻率更新所述對(duì)應(yīng)關(guān)系。本發(fā)明還提供了一種提高云計(jì)算數(shù)據(jù)安全的系統(tǒng)，包括建立模塊，用于用戶為云計(jì)算服務(wù)應(yīng)用實(shí)例可用的物理LUN設(shè)備建立索引信息表;·設(shè)置模塊，用于用戶建立一個(gè)虛擬LUN設(shè)備，根據(jù)所述索引信息表，設(shè)置所述虛擬LUN設(shè)備的虛擬LBA地址空間與實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)規(guī)則；建立保存模塊，用于用戶根據(jù)所述對(duì)應(yīng)規(guī)則，建立并保存數(shù)據(jù)訪問(wèn)虛擬LUN設(shè)備的虛擬LBA地址空間與指定云計(jì)算數(shù)據(jù)中心的實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系；重定向模塊，用于根據(jù)所述對(duì)應(yīng)關(guān)系，獲取外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指向的虛擬LBA地址空間對(duì)應(yīng)的實(shí)際數(shù)據(jù)的存儲(chǔ)位置信息，完成I/O重定向。所述建立保存模塊包括選擇單元，用于選擇多個(gè)LBA地址作為虛擬LBA地址空間和實(shí)際LBA地址空間的最小分割單元；分割單元，用于根據(jù)所述最小分割單元，將所述虛擬LBA地址空間和實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間，分割成數(shù)量相等的虛擬LBA地址段和實(shí)際LBA地址段；對(duì)應(yīng)關(guān)系建立單元，用于用戶根據(jù)所述對(duì)應(yīng)規(guī)則，將所述虛擬LBA地址段與實(shí)際LBA地址段——對(duì)應(yīng)，以及將所述虛擬LBA地址段中的虛擬LBA地址與其對(duì)應(yīng)的實(shí)際LBA地址段中的實(shí)際LBA地址進(jìn)行一一對(duì)應(yīng)，并根據(jù)以上對(duì)應(yīng)結(jié)果建立且保存虛擬LBA地址空間與實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系。所述重定向模塊包括第一獲取單元，用于根據(jù)外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指定的虛擬LBA地址空間與指定云計(jì)算數(shù)據(jù)中心的實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系，查詢并獲取虛擬LBA地址空間中每個(gè)虛擬LBA地址對(duì)應(yīng)的實(shí)際數(shù)據(jù)存儲(chǔ)的LBA地址；第二獲取單元，用于根據(jù)所述索引信息表中的LUN設(shè)備全局ID，查詢并獲取每個(gè)實(shí)際LBA地址所對(duì)應(yīng)的云計(jì)算數(shù)據(jù)中心和其對(duì)應(yīng)的LUN設(shè)備局部ID ；定向單元，用于根據(jù)每個(gè)實(shí)際LBA地址對(duì)應(yīng)的云計(jì)算數(shù)據(jù)中心和LUN設(shè)備局部ID，將外部數(shù)據(jù)讀寫(xiě)請(qǐng)求轉(zhuǎn)發(fā)到實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間上，完成數(shù)據(jù)I/O請(qǐng)求的重定向。所述系統(tǒng)還包括更新模塊，用于用戶按照預(yù)置的頻率更新所述對(duì)應(yīng)關(guān)系。本發(fā)明實(shí)現(xiàn)了用戶數(shù)據(jù)在云計(jì)算數(shù)據(jù)中心端物理級(jí)別隔離的同時(shí)，使數(shù)據(jù)所有者可以掌控元數(shù)據(jù)的生成方法、保存方法及位置信息，并且兼顧了企業(yè)級(jí)云計(jì)算服務(wù)計(jì)算對(duì)I/o性能和可靠性的要求，從而使得即便云計(jì)算數(shù)據(jù)中心被非法入侵，用戶數(shù)據(jù)所在物理LUN設(shè)備也不會(huì)被非法掛載，用戶數(shù)據(jù)也不會(huì)泄露，保障了用戶數(shù)據(jù)的安全。


圖I是本發(fā)明實(shí)施例虛擬LBA地址空間到實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系示意圖；圖2是本發(fā)明實(shí)施例第三方云計(jì)算服務(wù)對(duì)虛擬LUN設(shè)備的訪問(wèn)實(shí)例一；圖3是本發(fā)明實(shí)施例第三方云計(jì)算服務(wù)對(duì)虛擬LUN設(shè)備的訪問(wèn)實(shí)例二 ；圖4是本發(fā)明實(shí)施例的提高云計(jì)算數(shù)據(jù)安全的方法流程圖；
圖5是本發(fā)明實(shí)施例的提高云計(jì)算數(shù)據(jù)安全的系統(tǒng)結(jié)構(gòu)示意圖。
具體實(shí)施例方式下面結(jié)合附圖和實(shí)施例，對(duì)本發(fā)明技術(shù)方案作進(jìn)一步描述。為了更加完善地解決云計(jì)算數(shù)據(jù)安全問(wèn)題，本發(fā)明實(shí)施例提供了一種提高云計(jì)算數(shù)據(jù)安全的方法，該方法是由用戶建立并在用戶端(或用戶信任的第三方托管端)保存云計(jì)算服務(wù)應(yīng)用實(shí)例數(shù)據(jù)訪問(wèn)虛擬LUN設(shè)備的虛擬LBA地址空間和指定云計(jì)算數(shù)據(jù)中心的實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系；根據(jù)該對(duì)應(yīng)關(guān)系獲取外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指向的虛擬LBA地址空間對(duì)應(yīng)的實(shí)際數(shù)據(jù)的存儲(chǔ)位置信息，進(jìn)而完成用戶數(shù)據(jù)訪問(wèn)的I/O重定向。通過(guò)上述方法可以實(shí)現(xiàn)多租戶數(shù)據(jù)在云計(jì)算數(shù)據(jù)中心端的物理隔離，同時(shí)在數(shù)據(jù)不加密的情況下，如果數(shù)據(jù)所有者不授權(quán)I/O請(qǐng)求的虛擬LBA地址空間和指定云計(jì)算數(shù)據(jù)中心的實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系信息，數(shù)據(jù)實(shí)際內(nèi)容很難被非法獲取，大大地增強(qiáng)了用戶數(shù)據(jù)的安全性。需要說(shuō)明的是，本發(fā)明實(shí)施例所指云計(jì)算及云計(jì)算服務(wù)應(yīng)用實(shí)例，僅適用于除了存儲(chǔ)即服務(wù)(或稱云存儲(chǔ))之外的云計(jì)算模式，包括軟件即服務(wù)(SaaS)、基礎(chǔ)架構(gòu)即服務(wù)(IaaS)和平臺(tái)即服務(wù)(PaaS)等。參見(jiàn)圖4，本發(fā)明實(shí)施例提供了一種提高云計(jì)算數(shù)據(jù)安全的方法，包括如下步驟步驟101 :用戶為云計(jì)算服務(wù)應(yīng)用實(shí)例可用的物理LUN設(shè)備建立索引信息表。首先，用戶需要為其所擁有的或所租用的云計(jì)算服務(wù)應(yīng)用實(shí)例，規(guī)劃用來(lái)存儲(chǔ)實(shí)際數(shù)據(jù)的物理LUN設(shè)備。這些物理LUN設(shè)備可以來(lái)源于云計(jì)算服務(wù)提供商(位于其指定的云計(jì)算數(shù)據(jù)中心中)，或者來(lái)源于第三方存儲(chǔ)服務(wù)提供商(為了保證數(shù)據(jù)訪問(wèn)性能，它們需要與云計(jì)算服務(wù)提供商構(gòu)建較好的網(wǎng)絡(luò)連接)，或者來(lái)源于用戶本地的數(shù)據(jù)中心。在具體應(yīng)用中，第三方存儲(chǔ)服務(wù)提供商可以包括存儲(chǔ)即服務(wù)提供商(即云存儲(chǔ)服務(wù)提供商)，例如Amazon S3存儲(chǔ)服務(wù)；需要說(shuō)明的是，目前的公有云存儲(chǔ)服務(wù)多數(shù)是基于Restful協(xié)議的以數(shù)據(jù)對(duì)象或者文件為單位的存取，而不是基于SCSI協(xié)議的數(shù)據(jù)塊的存取，為了使本發(fā)明實(shí)施例的云計(jì)算服務(wù)應(yīng)用實(shí)例可以訪問(wèn)其數(shù)據(jù)，需要進(jìn)行協(xié)議轉(zhuǎn)換，即將Restful協(xié)議轉(zhuǎn)換為基于塊的數(shù)據(jù)訪問(wèn)協(xié)議(block based protocol),這種協(xié)議轉(zhuǎn)換已經(jīng)有成功的實(shí)踐，典型的有StorSimple, TwinStrata的云存儲(chǔ)產(chǎn)品與解決方案,具體細(xì)節(jié)這里不再贅述。其次，用戶需要為云計(jì)算服務(wù)應(yīng)用實(shí)例所使用到的物理LUN設(shè)備建立一張全局物理LUN設(shè)備的索引信息表，如表I所示。該索引信息表包括LUN設(shè)備全局ID、云計(jì)算數(shù)據(jù)中心ID和LUN設(shè)備局部ID ;其中，LUN設(shè)備全局ID是建立未來(lái)虛擬LUN設(shè)備上虛擬LBA地址空間與實(shí)際數(shù)據(jù)保存位置對(duì)應(yīng)關(guān)系的主要依據(jù)之一；同時(shí)，LUN設(shè)備全局ID和所分配的云計(jì)算數(shù)據(jù)中心ID都是局部變量，其作用范圍僅限于該用戶的該虛擬LUN設(shè)備。對(duì)于不同的用戶甚至同一用戶的不同(如下面步驟102所述)虛擬LUN設(shè)備，索引信息表所中的信息都可以不同，例如同一云計(jì)算數(shù)據(jù)中心ID在用戶A處可以被分配為0，在用戶B處可以被分配為I等等，這種分配方法對(duì)于保護(hù)數(shù)據(jù)所有者數(shù)據(jù)的隱私性有好處。另外，從數(shù)據(jù)安全性的考慮，該索引信息表通常保存在用戶端或者用戶信賴的第三方托管端。表I
權(quán)利要求
1.一種提高云計(jì)算數(shù)據(jù)安全的方法，其特征在于，所述方法包括 用戶為云計(jì)算服務(wù)應(yīng)用實(shí)例可用的物理LUN設(shè)備建立索引信息表； 用戶建立一個(gè)虛擬LUN設(shè)備，根據(jù)所述索引信息表，設(shè)置所述虛擬LUN設(shè)備的虛擬LBA地址空間與實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間 的對(duì)應(yīng)規(guī)則； 用戶根據(jù)所述對(duì)應(yīng)規(guī)則，建立并保存數(shù)據(jù)訪問(wèn)虛擬LUN設(shè)備的虛擬LBA地址空間與指定云計(jì)算數(shù)據(jù)中心的實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系； 根據(jù)所述對(duì)應(yīng)關(guān)系，獲取外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指向的虛擬LBA地址空間對(duì)應(yīng)的實(shí)際數(shù)據(jù)的存儲(chǔ)位置信息，完成I/O重定向。
2.如權(quán)利要求I所述的提高云計(jì)算數(shù)據(jù)安全的方法，其特征在于，所述索引信息表的內(nèi)容包括LUN設(shè)備全局ID、云計(jì)算數(shù)據(jù)中心ID和LUN設(shè)備局部ID ;所述云計(jì)算服務(wù)應(yīng)用實(shí)例包括軟件即服務(wù)、基礎(chǔ)架構(gòu)即服務(wù)和平臺(tái)即服務(wù)。
3.如權(quán)利要求2所述的提高云計(jì)算數(shù)據(jù)安全的方法，其特征在于，所述虛擬LUN設(shè)備放置在用戶端或用戶信賴的第三方托管端。
4.如權(quán)利要求3所述的提高云計(jì)算數(shù)據(jù)安全的方法，其特征在于，所述建立并保存對(duì)應(yīng)關(guān)系的步驟具體包括 選擇多個(gè)LBA地址作為虛擬LBA地址空間和實(shí)際LBA地址空間的最小分割單元； 根據(jù)所述最小分割單元，將所述虛擬LBA地址空間和實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間，分割成數(shù)量相等的虛擬LBA地址段和實(shí)際LBA地址段； 用戶根據(jù)所述對(duì)應(yīng)規(guī)則，將所述虛擬LBA地址段與實(shí)際LBA地址段一一對(duì)應(yīng)，以及將所述虛擬LBA地址段中的虛擬LBA地址與其對(duì)應(yīng)的實(shí)際LBA地址段中的實(shí)際LBA地址進(jìn)行一一對(duì)應(yīng)，并根據(jù)以上對(duì)應(yīng)結(jié)果建立且保存虛擬LBA地址空間與實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系。
5.如權(quán)利要求4所述的提高云計(jì)算數(shù)據(jù)安全的方法，其特征在于，所述多個(gè)LBA地址為多個(gè)連續(xù)的、不連續(xù)的、有規(guī)律或無(wú)規(guī)律的LBA地址。
6.如權(quán)利要求5所述的提高云計(jì)算數(shù)據(jù)安全的方法，其特征在于，所述根據(jù)所述對(duì)應(yīng)關(guān)系，獲取外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指向的虛擬LBA地址空間對(duì)應(yīng)的實(shí)際數(shù)據(jù)的存儲(chǔ)位置信息，完成I/O重定向的步驟具體包括 根據(jù)外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指定的虛擬LBA地址空間與指定云計(jì)算數(shù)據(jù)中心的實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系，查詢并獲取虛擬LBA地址空間中每個(gè)虛擬LBA地址對(duì)應(yīng)的實(shí)際數(shù)據(jù)存儲(chǔ)的LBA地址； 根據(jù)所述索引信息表中的LUN設(shè)備全局ID，查詢并獲取每個(gè)實(shí)際LBA地址所對(duì)應(yīng)的云計(jì)算數(shù)據(jù)中心和其對(duì)應(yīng)的LUN設(shè)備局部ID ； 根據(jù)每個(gè)實(shí)際LBA地址對(duì)應(yīng)的云計(jì)算數(shù)據(jù)中心和LUN設(shè)備局部ID，將外部數(shù)據(jù)讀寫(xiě)請(qǐng)求轉(zhuǎn)發(fā)到實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間上，完成數(shù)據(jù)I/O請(qǐng)求的重定向。
7.如權(quán)利要求6所述的提高云計(jì)算數(shù)據(jù)安全的方法，其特征在于，所述方法還包括用戶按照預(yù)置的頻率更新所述對(duì)應(yīng)關(guān)系。
8.一種提高云計(jì)算數(shù)據(jù)安全的系統(tǒng)，其特征在于，包括 建立模塊，用于用戶為云計(jì)算服務(wù)應(yīng)用實(shí)例可用的物理LUN設(shè)備建立索引信息表； 設(shè)置模塊，用于用戶建立一個(gè)虛擬LUN設(shè)備，根據(jù)所述索引信息表，設(shè)置所述虛擬LUN設(shè)備的虛擬LBA地址空間與實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)規(guī)則； 建立保存模塊，用于用戶根據(jù)所述對(duì)應(yīng)規(guī)則，建立并保存數(shù)據(jù)訪問(wèn)虛擬LUN設(shè)備的虛擬LBA地址空間與指定云計(jì)算數(shù)據(jù)中心的實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系； 重定向模塊，用于根據(jù)所述對(duì)應(yīng)關(guān)系，獲取外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指向的虛擬LBA地址空間對(duì)應(yīng)的實(shí)際數(shù)據(jù)的存儲(chǔ)位置信息，完成I/O重定向。
9.如權(quán)利要求8所述的提高云計(jì)算數(shù)據(jù)安全的系統(tǒng)，其特征在于，所述建立保存模塊包括 選擇單元，用于選擇多個(gè)LBA地址作為虛擬LBA地址空間和實(shí)際LBA地址空間的最小分表I]單兀； 分割單元，用于根據(jù)所述最小分割單元，將所述虛擬LBA地址空間和實(shí)際數(shù)據(jù)存儲(chǔ)LBA 地址空間，分割成數(shù)量相等的虛擬LBA地址段和實(shí)際LBA地址段； 對(duì)應(yīng)關(guān)系建立單元，用于用戶根據(jù)所述對(duì)應(yīng)規(guī)則，將所述虛擬LBA地址段與實(shí)際LBA地址段一一對(duì)應(yīng)，以及將所述虛擬LBA地址段中的虛擬LBA地址與其對(duì)應(yīng)的實(shí)際LBA地址段中的實(shí)際LBA地址進(jìn)行一一對(duì)應(yīng)，并根據(jù)以上對(duì)應(yīng)結(jié)果建立且保存虛擬LBA地址空間與實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系。
10.如權(quán)利要求9所述的提高云計(jì)算數(shù)據(jù)安全的系統(tǒng)，其特征在于，所述重定向模塊包括 第一獲取單元，用于根據(jù)外部數(shù)據(jù)讀寫(xiě)請(qǐng)求指定的虛擬LBA地址空間與指定云計(jì)算數(shù)據(jù)中心的實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系，查詢并獲取虛擬LBA地址空間中每個(gè)虛擬LBA地址對(duì)應(yīng)的實(shí)際數(shù)據(jù)存儲(chǔ)的LBA地址； 第二獲取單元，用于根據(jù)所述索引信息表中的LUN設(shè)備全局ID，查詢并獲取每個(gè)實(shí)際LBA地址所對(duì)應(yīng)的云計(jì)算數(shù)據(jù)中心和其對(duì)應(yīng)的LUN設(shè)備局部ID ； 定向單元，用于根據(jù)每個(gè)實(shí)際LBA地址對(duì)應(yīng)的云計(jì)算數(shù)據(jù)中心和LUN設(shè)備局部ID，將外部數(shù)據(jù)讀寫(xiě)請(qǐng)求轉(zhuǎn)發(fā)到實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間上，完成數(shù)據(jù)I/O請(qǐng)求的重定向。
11.如權(quán)利要求10所述的提高云計(jì)算數(shù)據(jù)安全的系統(tǒng)，其特征在于，所述系統(tǒng)還包括更新模塊，用于用戶按照預(yù)置的頻率更新所述對(duì)應(yīng)關(guān)系。
全文摘要
本發(fā)明公開(kāi)了一種提高云計(jì)算數(shù)據(jù)安全的方法及系統(tǒng)，屬于數(shù)據(jù)安全技術(shù)領(lǐng)域。所述方法包括用戶為云計(jì)算服務(wù)應(yīng)用實(shí)例可用的物理LUN設(shè)備建立索引信息表，根據(jù)索引信息表，設(shè)置虛擬LUN設(shè)備的虛擬LBA地址空間與實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)規(guī)則；用戶根據(jù)對(duì)應(yīng)規(guī)則，建立并保存虛擬LBA地址空間與實(shí)際數(shù)據(jù)存儲(chǔ)LBA地址空間的對(duì)應(yīng)關(guān)系；根據(jù)對(duì)應(yīng)關(guān)系，獲取讀寫(xiě)請(qǐng)求指向的虛擬LBA地址空間對(duì)應(yīng)的實(shí)際數(shù)據(jù)的存儲(chǔ)位置信息，完成I/O重定向。所述系統(tǒng)包括建立模塊、設(shè)置模塊、建立保存模塊和重定向模塊。本發(fā)明使數(shù)據(jù)所有者掌控元數(shù)據(jù)的生成方法、保存方法及位置，使用戶數(shù)據(jù)所在的LUN設(shè)備不會(huì)被非法掛載，保障了用戶數(shù)據(jù)的安全。
文檔編號(hào)H04L29/06GK102882885SQ20121039382
公開(kāi)日2013年1月16日 申請(qǐng)日期2012年10月17日 優(yōu)先權(quán)日2012年10月17日
發(fā)明者趙乃巖 申請(qǐng)人:北京卓微天成科技咨詢有限公司