CN119396536A 基于基板管理控制器的虚拟可信根系统及其应用方法 （麒麟软件有限公司）

基于基板管理控制器的虚拟可信根系统及本发明公开了一种基于基板管理控制器的虚拟机或容器中的软件虚拟化层采用虚拟可信根设备以用于为虚拟机或容器中的应用提供可信根设备服务，基板管理控制器中具有独立的CPU和内存并为主机提供相互内存隔离的N个虚根以使得虚拟可信根设备通过主机操作系统内核中的虚拟可信根驱动访问基板管理控制器中对应虚拟可信域中的虚拟可信根以完成可信根的功能逻辑。本发明增强了虚拟可信根的安全2为虚拟机或容器中的应用提供可信根设备服务，所述基板管理控制器中具有独立的CPU和内存并为主机提供相互内存隔离的N个虚拟可信域，所述N个虚拟可信域与N个虚拟机或容作系统内核中的虚拟可信根驱动访问基板管理控制器中对应虚拟可信域中的虚拟可信根拟可信根设备通过主机内核中的虚拟可信根驱动访问基板管理控制器中对应虚拟可信域6.根据权利要求1所述的基于基板管理控制器板管理控制器以嵌入主板或独立板卡的方式与主包括监测虚拟机迁移操作，在监测到虚拟机迁移操作针对虚拟机迁移操作进行资源认证，且仅仅在认证通过后才执行虚拟可信根的迁移10.一种权利要求1～9任一所述的基于基板管理控制器的虚拟可信根系统的应用方S1，虚拟机或容器中的应用调用虚拟机操作系统提供的可信根设备服务下发操作命3S3，主机的CPU从主机内核中的KVM模块切换到用户空间的QEMU虚拟化层以调用虚S5，主机操作系统内核中的虚拟可信根驱动通过主机S6，基板管理控制器中的虚拟可信根管理模块建立虚拟可信根和虚拟机或容器的连4[0003]随着云计算技术的规模越来越大,发种各样的安全问题也备受人们的关注。虚拟化技术作为云计算环境中的核心技术,能够给云用户提供隔离的系统环境,使用户能够像在真实计算机上一样使用计算服务。而虚拟化所存在的安全问题也给云计算环境带来了巨大的安全挑战。例如,宿主机利用虚拟机管理主可控主动免疫的可信计算形成的双系统体系结构能够利用TPCM对系统进行主动度量和[0006]现有技术实现虚拟可信根存在利于服务部署。3.在主机系统侧使用软件进行可信根的模拟，无法保证运行中的数据安5主机中包括N个虚拟机或容器，所述虚拟机或容器中包括虚拟可信根设备以用于为虚拟机或容器中的应用提供可信根设备服务，所述基板管理控制器中具有独立的CPU和内存并为主机提供相互内存隔离的N个虚拟可信域，所述N个虚拟可信域与N个虚拟机或容器一一对核中的虚拟可信根驱动访问基板管理控制器中对应虚拟可信域中的虚拟可信根以完成可虚拟化的处理器架构下的处理器硬件虚拟化产生的虚[0015]进一步的，所述基板管理控制器以嵌入主板或独立板卡的方式与主机的主板连访问基板管理控制器中对应虚拟可信域中的虚拟可信根时为虚拟可信根设备和虚拟可信6S3，主机的CPU从主机内核中的KVM模块切换到用户空间的QEMU虚拟化层以调S4，QEMU虚拟化层的虚拟可信根设备调用主机操作系统内核中的虚拟可信根驱[0021]图3为本发明实施例中基于支持机密虚拟机的可信执行环境架构的虚拟可信域架[0022]图4为本发明实施例中基于支持硬件可信根虚拟化的处理器架构的虚拟可信域架7触发的设备访问请求，通过主机和BMC交互机制将信息传输给BMC系统中的虚拟可信根模制BMC必须使用何种CPU架构，能够兼容多种目前支持可信执行环境的主流CPU架构，包括[0034]如图1所示，本实施例的虚拟可信根系统由设置于基板管理控制器中的基板管理迁移管理用于对虚拟机迁移时的资源进行认[0037]基于支持通用可信执行环境的架构如图2所示，支持通用可信执行环境架构代表可信执行环境中。8[0038]基于支持机密虚拟机的可信执行环境架构如图3所示，支持机密虚拟机的可信执[0039]基于支持硬件可信根虚拟化的处理器架构如图4所示，目前已有处理器支持可信的应用提供可信根设备服务，此外基板管理控制器中具有独立的CPU和内存并为主机提供虚拟可信域中包含一个虚拟可信根以使得虚拟可信根设备通过主机操作系统内核中的虚拟可信根驱动访问基板管理控制器中对应虚拟可信域中的虚拟可信根以完成可信根的功9可信根驱动访问基板管理控制器中对应虚拟可信域中的虚拟可信根时为虚拟可信根设备本实时例提出一种实施例一中的基于基板管理控制器的虚拟可信根系统的应用S3，主机的CPU从主机内核中的KVM模块切换到用户空间的QEMU虚拟化层处理S4，QEMU虚拟化层的虚拟可信根设备调用主机物理机操作系统hostos内核中的S5，主机物理机操作系统hostos内核中的虚拟可信根驱动通过主机和基板管理控制器的交互通道与基板管理控制器中的虚拟[0050]2.虚拟可信根运行在基板管理控制现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。这些计算机