[发明专利]一种安全隔离虚拟机的页表管理方法、装置及相关设备

说明书

本发明实施例公开一种安全隔离虚拟机的页表管理方法、装置及相关设备，所述方法包括：设置安全页表虚拟机管理器，仅用于启动和管理安全隔离虚拟机的缺页中断请求；当虚拟机管理器；接收到所述安全隔离虚拟机产生的缺页中断请求时，将所述缺页中断请求发送给安全页表虚拟机管理器；所述安全页表虚拟机管理器完成内存的分配和安全页表的添加。本发明实施例提供的技术方案中无需主处理器与安全处理器之间进行页面管理相关指令转发，明显提高了安全隔离虚拟机在进行页面管理时的效率。

技术领域

本发明涉及计算机技术领域，尤其涉及一种安全隔离虚拟机的页表管理方法、装置及相关设备。

背景技术

安全隔离虚拟机(SIV，Secure Isolation Virtualization)是一种通过将系统内存划分为安全内存和非安全内存两块区域的安全虚拟化技术。现有技术中,在安全隔离虚拟机中，对于安全内存的访问可参考图1中所示出的内存访问子系统的构架来说明，其中：

内存管理单元(MMU，Memory Management Unit)在CPU核的配合下，实现线性地址到物理地址的动态映射，为正在CPU核上运行的应用进程提供一个独立的连续的虚拟内存空间。

在物理内存中确定一个区域为安全内存，设置安全内存的访问权限为：只允许安全处理器和安全隔离虚拟机访问，内存的访问权限管理可以通过硬件(例如，内存控制器)来实现，硬件检查发起内存访问的主体的身份标识(ID)，当对安全内存的发起访问的主体是安全处理器或者安全隔离虚拟机本身时，则允许访问，否则直接拒绝访问，对内存控制器的配置由安全处理器来实现；这也避免了安全内存会被操作系统或者应用程序进行恶意修改。

在内存控制器中设置有安全页面属性表(SPOT，Secure Page Ownership Table)，用来控制内存所有者和读写权限，在内存控制器访问内存之前检查所述SPOT中配置的物理地址的权限，只有对内存的访问请求与该内存在SPOT中的配置的对应物理地址权限一致时才允许访问，即使在页表中配置了页面可写，但SPOT中配置为不可写，页面最终也不可写。对于SPOT的管理和配置由安全处理器执行。

对于安全隔离虚拟机而言，记录安全隔离虚拟机的虚拟地址和系统物理地址映射关系的页表也位于安全内存内，由安全处理器进行配置和管理，以防止虚拟机管理器(VMM，Virtual Machine Manager)对页表进行配置和使用，并且修改和管理虚拟机页表必须受到SPOT的控制，这是因为在安全隔离虚拟机中，VMM是不受信任的，其有被恶意程序共计的可能，SPOT拦截所有来自VMM对虚拟机页表的访问。因此，当安全隔离虚拟机的页表存在缺页情况而不完备时，VMM将缺页命令发送给安全处理器，由安全处理器完成安全内存分配和页表的添加，其实现过程如图2所示，从中明显可以看出：页表管理过程中存在降低虚拟机性能的如下问题：

(1)从主处理器到安全处理器需要进行消息转发，转发过程不仅耗系统资源还比较耗时；

(2)安全处理器的处理能力通常都弱于主处理器，因此程序执行过程较慢。

发明内容

有鉴于此，本发明实施例提供一种安全隔离虚拟机的页表管理方法、装置和相关设备，以解决安全隔离虚拟机在页面管理时性能降低的问题。

第一方面，本发明实施例提供一种安全隔离虚拟机的页表管理方法，包括：

设置安全页表虚拟机管理器，仅用于启动和管理安全隔离虚拟机的缺页中断请求；

当虚拟机管理器接收到所述安全隔离虚拟机产生的缺页中断请求时，将所述缺页中断请求发送给所述安全页表虚拟机管理器；

所述安全页表虚拟机管理器完成内存的分配和安全页表的添加。

进一步地，所述安全页表虚拟机管理器在系统特定设置的专用处理器上运行。