CN119127408B 云服务系统、虚拟机创建方法、设备、介质及程序产品 （阿里云计算有限公司）

历查询所有vCCP是否占用再进行分配，可提高2所述多个物理CCP对应的虚拟CCP被划分为多个虚拟CCP组，每个虚拟C所述服务设备还用于响应于虚拟机创建请求，确定当前空闲的虚拟CCP组的目标索引响应于虚拟机创建请求，获取所述多个虚拟CCP组的第一索引集合及当前被占用的虚4.根据权利要求3所述的方法，其特征在于，获取当前被占用的通过虚拟化管理命令获取所述第二索引集合；或者，从所述服务通过虚拟化管理命令中的配置文件导出命令，获取所述当前运行的虚拟机的配置信从所述当前运行的虚拟机的配置信息中，获取所述当前运行的虚拟机使用的虚拟CCP确定所述随机数在所述目标索引集合中对应的索引为3对所述目标索引集合中的索引进行排序，从排序后的目标索引集合中在将所述待创建的虚拟机创建完成之后，将所述目标虚拟CCP组的索引添加至所述服针对所述多个虚拟机创建请求中的任一虚拟机创建请求，在响应于所述任在所述任一虚拟机创建请求所请求创建的虚拟机创建完成之后根据所述虚拟机支持的虚拟CCP的数量，将所述多个物理CCP对应的虚拟CCP划分至所将所述待创建的虚拟机的虚拟CCP资源配置文件，添加至所述待创建的虚拟机的初始所述目标虚拟CCP组的资源路径及其它资源配置信息；所述其它资源配置信息是指虚拟机利用所述虚拟机管理器根据所述目标物理CCP及多个物理CCP对应的虚拟CCP被划分为多个虚拟CCP组，每个虚拟CCP组包括的虚拟CCP对应所述处理器耦合至所述存储器，用于执行所述计算机程序以用于执行权利要45[0002]密码协处理器（CryptographicCoprocessor，CCP）是中央处理器（Central物理CCP对应的虚拟CCP被划分为多个虚拟CCP组，每个虚拟CCP组包括的虚拟CCP对应不同67[0034]中介设备（MediatedDevice，MDEV设备MDEV设备是指虚拟函数输入输出拟化设备，允许用户空间的应用程序通过VFIO接口与IO设备进行交互。使用MDEV设备[0035]虚拟机配置组件（prepareVMprepareVM是虚拟机创建过程中用于生成虚拟机[0036]资源管理配置与虚拟机创建管理工具：云服务虚拟化中8个容器或容器组运行着客户自身的应用或服务。可通过虚拟化技术将服务设备10虚拟化为升虚拟机的性能。[0044]在本申请实施例中，虚拟机中的CCP安全能力，可通过QEMU利用主机操作系统的[0045]具体地，在MDEV框架中，真实物理设备（即物理CCP）被作为父设备（Parent厂商驱动能够捕获到虚拟机的操作系统即客户操作系统（GuestOS）对MDEV设备的访问请功能和支持用户空间驱动的能力,支持多种类型的设备，提供核心的直通功能和支持用户9个与加密技术相关的模块，是某个特定系统或设备驱动的一部分，用于实现加密功能。libvirt）。虚拟机配置文件组装组件可调用libvirt接口，将虚拟机配置文件传输给盘映像的位置的命令行及配置网络接口参数的[0064]前述实施例简单对传统虚拟机的创建过程进行了示例性说明。在本申请实施例拟机生成vCCP相关的配置信息。如图3所示为本申请实施例的虚拟机创建过程的流程示意不同物理CCP虚拟化出的vCCP。这主要是因为若虚拟机使用的vCCP中存在多个vCCP对应同表示选择出的Q个物理CCP中的第i个物理CCP对应的vCCP中当前空闲的vCCP的数量。其中，[0068]下面对本申请实施例提供的vCCP资源管理方式进行示例性说明。由于N=1即一台服务设备具有1个物理CCP时，vCCP资源对应同一物理CCP，vCCP资源的分配和管理比较简[0070]假设虚拟机支持的vCCP的数量K满足1≤K≤N。N表示服务设备上物理CCP的数量。包含K个vCCP。资源窗口W为可用的vCCP组即多个vCCP组的索引集合，可表示为：M-1。[0083]在获取服务设备的vCCP组的全量索引集合，即第一索引集合W，与当前被占用的vCCP组的第二索引集合U之后；可根据第一索引集合W和第二索引集合U，确定当前空闲的主要通过虚拟化管理命令获取虚拟机占用的vCCP组的信息。虚拟化管理命令可为virsh命获取当前运行的虚拟机的配置信息。virshdumpxml命令是一个用于导出虚拟机的配置文[0090]进一步，可从当前运行的虚拟机的配置信息中，获取当前运行的虚拟机使用的模式进行解析，可获取具体的vCCP资源路径。之后，读取vCCP资源路径下的厂商索引vCCP组的索引。在该实施方式中，通过虚拟化管理命令（如virshlist命令及virshdumpxml命令）获取当前被占用的vCCP组的第二索引集合U，而无需维护和更新vCCP资源的使用情况，可节约维护和更新vCCP资源的使用情况的处理开销，还可节约存储vCCP资源的使用情况的存储空间。可以快速定位到一个未被使用的vCCP组，而无需复杂的算法来决定哪个vCCP组适合分目标索引集合的位于第一位的索引也为，则就会导致虚拟机创建请求1和2对应的虚拟资源而造成的vCCP资源冲突。但是，这种方式将为并发的多个虚拟机创建请求并行分配[0102]该实施方式通过生成大于或等于0，且小于或等于所述目标索引集合的长度的随的vCCP组的目标索引集合A）的长度区间内随机选取一个数值，只要随机选取的数值不相同，其所对应的vCCP资源必然是未占用可分配的，无需其他数据结构与开销对待分配的器等硬件配置信息以及启动参数等。prepareVM组件将待创建的虚拟机的vCCP资源配置文[0109]由于每次请求创建具有CCP功能的虚拟机时，当前被占用的vCCP资源都会随着前期虚拟机的启动和销毁情况进行更新，但可用资源窗口（即前述当前空闲的vCCP的目标索窗口。前述通过随机数在可用资源窗口中随机选择可用的目标vCCP组，可确保不与已使用vCCP资源相冲突。因此，这种vCCP资源的管理与分配机制可称为滑动窗口随机选择机制[0110]下面结合图7示出的服务设备的内部软件架构，对使用SWRS机制实现虚拟机创建将待创建的虚拟机的CCP资源配置文件添加至待创建的虚拟机的初始配置文件中，以得到[0120]7、虚拟机配置文件组装组件将完整的虚拟机配置文件，下发至虚拟化管理组件[0124]步骤9和10之间的交互持续进行，标志着虚拟机正在运行。当这种交互开始运转[0131]则，在该时间段内多个并发的虚拟机创建工作流互不冲突的概率与并发数量c满[0137]在一些实际应用场景中，对于一台服务设备具有128个处理器核，具有16个物理目标索引集合A的长度维度vCCP资源冲突概率P随着可用资源窗口长度L（即空闲的vCCPt0建64核的虚拟机的最大失败概率为0.1[0144]通过以上理论分析，可得本申请实施例提供的SWRS方案为虚[0145]需要说明的是，上述实施例所提供方法的各步骤的执行个或多个处理器执行时，致使所述一个或多个处理器执行上述虚拟机创建方法中的步骤。的虚拟机创建方法中的步骤。关于各步骤的具体实施方式可参见前述实施例的相关描述，相应控制逻辑。存储器可以由任何类型的易失性或非易失性存储设备或者它们的组合实（ComplexProgrammableLogicDevice，CPLD）等可编程器件；或者为先进精简指令集线方式的通信。通信组件所在设备可以接入基于通信标准的无线网络，如无线保真件经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实（RadioFrequencyIdentification，RFID）技术、红外数据协会（InfraredData[0156]在本申请实施例中，显示组件可以包括液晶显示器（LiquidCryst[0162]这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特AccessMemory，RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash存取存储器(DynamicRandomAccessMemory，DRAM)、其他类型的随机存取存储器