针对采用VEB(virtual ethernet bridge)模式的IaaS(infrastructure as a service)虚拟网络架构面临的虚拟机网络策略有效性问题,研究保障虚拟机全生命周期网络策略有效性的策略动态加载机制。通过解耦合虚拟机网络策略于虚拟机默认配置文件、分析影响虚拟机网络策略有效性的因素并定义虚拟机网络策略加载要素,提出了虚拟机运行时VIF(virtual network interface)网络策略动态加载机制,以虚拟机状态变化过程为依据选取合适时间点加载网络策略至正确位置。实验结果表明,该机制可以在毫秒级耗时内完成虚拟机网络策略加载,保障虚拟机在全生命周期中不出现策略空白;同时,基于虚拟机网络策略的独立性,该机制可按需扩展网络策略并支持虚拟机运行时策略动态变更。
针对Iaa S(infrastructure as a service)环境下虚拟机通信数据在共享网络基础设施中的安全性问题,提出了一种虚拟机无代理通信加密机制。该机制通过加载于虚拟化节点内的加密模块与平台统一加密控制器间的协作,实现了Iaa S环境下虚拟机通信无代理按需加密;同时,引入通信加密策略有效性保障机制,保障了虚拟机全生命周期内的通信加密策略有效性。实验结果表明,该机制在引入较小性能开销的前提下,可以有效实现虚拟机通信加密,并保障虚拟机全生命周期内加密策略的有效性。
针对虚拟化IaaS(Infrastructure as a Service)环境下的安全隔离及访问控制问题进行了研究,通过系统地研究IaaS环境下的安全隔离与访问控制需求,以安全域划分原则为指导,从网络基础设施、域边界管控、安全支撑性基础设施方面综合考虑,系统地构建了IaaS平台网络安全域模型;并重点针对IaaS平台特有的共享多租户环境,抽象了租户域要素并构建了租户域模型.进一步地,在所构建的安全域模型的基础上,结合云计算环境下资源动态性、云资源具有时效性等因素,从用户业务会话访问控制的角度出发,基于RBAC(Role-Based Access Control)模型及UCON(Usage CONtrol)模型构建了包括用户、角色、权限、资源、授权规则等元素的云资源访问控制模型CloudAC,从而保障虚拟化IaaS环境下用户对云资源访问的安全性.实践表明,依据提出的安全域模型构建的云计算IaaS环境,可以有效地保障不同业务功能网络的安全隔离;利用基于租户域或租户子域构建的隔离网络环境,可以在较小的管理与资源开销下为租户提供灵活的域划分能力,让租户可以依据业务安全需求自主构建隔离与边界可控的网络环境,消除了传统方式下进行网络分段时对物理网络或物理防火墙的配置需求;并使业务环境具有纵深防御能力.同时,依据所构建的云资源访问控制模型,可以灵活构建具有权限分离、用户属性与云资源属性约束、云资源租赁时间约束、虚拟机资源隔离性增强特性的云资源访问控制系统,且相关属性与约束元素可结合业务需求按需扩充,从而能够更好地满足云环境下具有多租户共享、动态特性的云资源访问控制需求.
