[发明专利]虚拟机可信迁移方法及装置

说明书

本发明公开了一种虚拟机可信迁移方法及装置，属于虚拟机技术领域。所述方法包括：源主机向目的主机发送迁移请求，以使目的主机进行迁移响应；当源主机接收到目的主机返回的迁移响应时，基于目标虚拟机中加载的sTPM实例的明文、迁移响应中携带的迁移身份码和源主机的私钥，生成签章文件的密文和目标sTPM实例的密文；源主机将签章文件的密文和目标sTPM实例的密文发送给目的主机，以使目的主机建立目标sTPM实例与目的主机的硬件TPM之间的可信链；当源主机接收到目的主机发送的虚拟机迁移响应时，将目标虚拟机的虚拟机实例动态迁移到目的主机上，以使目的主机建立目标虚拟机与目标sTPM实例之间的可信链。本发明提高了目标虚拟机的可信迁移效率。

技术领域

本发明涉及虚拟机技术领域，特别涉及一种虚拟机可信迁移方法及装置。

背景技术

随着虚拟机技术的快速发展，虚拟机的使用越来越广泛，这些虚拟机可以安装在物理主机上，且一个物理主机上可以安装多个虚拟机。为了实现物理主机的维护、升级或者动态负载均衡，可以将该物理主机上安装的虚拟机迁移到其它物理主机上，此时，该虚拟机所在的物理主机可以称为源主机，其它物理主机可以称为目的主机。而为了防止源主机将安装的虚拟机迁移到目的主机的过程中发生数据泄露等不安全事件，需要保证目的主机运行环境的安全性，以及保证迁移过程中该虚拟机的完整性和机密性，也即是，需要对该虚拟机进行可信迁移。

目前，提供了一种基于XEN平台的虚拟机可信迁移方法，具体为：在XEN平台所在的每个物理主机上设置有一个可信管理虚拟机以及多个客户虚拟机，可信管理虚拟机上部署有可信平台模块(英文：Trusted Platform Module，简称：TPM)驱动和虚拟可信平台模块(英文：Virtual Trusted Platform Module，简称：vTPM)管理器，vTPM管理器负责为该多个客户虚拟机生成vTPM实例，并通过每个客户虚拟机的vTPM实例保证每个客户虚拟机与可信管理虚拟机之间的可信链。而当某一客户虚拟机从源主机向目的主机迁移时，源主机将该客户虚拟机对应的vTPM实例静态迁移到目的主机上，再将该客户虚拟机动态迁移到目的主机上，之后，目的主机将该客户虚拟机对应的vTPM实例添加到目标主机的vTPM管理器中，以建立该vTPM实例与目的主机的可信管理虚拟机之间的可信链，进而通过目的主机的TPM驱动，建立该vTPM实例与该客户虚拟机之间的通信，以建立该vTPM实例和该客户虚拟机之间的可信链，从而实现该客户虚拟机的可信迁移。

而由于迁移过程中，目的主机的可信管理虚拟机不仅要将vTPM实例添加到vTPM管理器中，还要建立vTPM实例与客户虚拟机之间的可信链，从而导致可信管理虚拟机的实现机制比较复杂，降低了客户虚拟机的可信迁移效率。

发明内容

为了提高虚拟机的可信迁移效率，本发明实施例提供了一种虚拟机可信迁移方法及装置。所述技术方案如下：

第一方面，提供了一种虚拟机可信迁移方法，所述方法包括：

源主机向目的主机发送迁移请求，所述迁移请求中携带目标虚拟机的迁移信息，以使所述目的主机基于所述迁移信息进行迁移响应，所述迁移响应中携带迁移身份码；

当所述源主机接收到所述目的主机返回的所述迁移响应时，基于所述目标虚拟机中加载的目标sTPM实例的明文、所述迁移身份码和所述源主机的私钥，生成签章文件的密文和所述目标sTPM实例的密文；

所述源主机将所述签章文件的密文和所述目标sTPM实例的密文发送给所述目的主机，以使所述目的主机基于所述签章文件的密文和所述目标sTPM实例的密文，建立所述目标sTPM实例与所述目的主机的硬件TPM之间的可信链；

当所述源主机接收到所述目的主机发送的虚拟机迁移响应时，将所述目标虚拟机的虚拟机实例动态迁移到所述目的主机上，以使所述目的主机基于所述虚拟机实例建立所述目标虚拟机与所述目标sTPM实例之间的可信链。