用于计算实例内的增强安全计算的经验证孤立运行时环境制造技术

在虚拟化主机处，在计算实例内建立孤立运行时环境。由所述主机的管理程序的安全管理器分析所述孤立运行时环境的配置。在所述分析之后，在所述孤立运行时环境处执行计算。在所述孤立运行时环境处执行计算。在所述孤立运行时环境处执行计算。

【技术实现步骤摘要】
【国外来华专利技术】用于计算实例内的增强安全计算的经验证孤立运行时环境

技术介绍

[0001]许多公司和其它组织操作计算机网络，所述计算机网络互连许多计算系统以支持其操作，如计算系统被共同定位(例如，作为局部网络的一部分)或替代地定位在多个不同的地理位置中(例如，通过一个或多个私人或公共中间网络连接)。例如，容纳大量互连计算系统的数据中心已经变得司空见惯，如由单个组织和代表单个组织运营的专用数据中心，以及由作为企业的实体运营以向客户提供计算资源的公共数据中心。一些公共数据中心运营商为各种客户拥有的硬件提供网络接入、电力和安全安装设施，而其它公共数据中心运营商提供“全方位服务(full service)”设施，所述全方位服务设施还包含可供所述运营商的客户使用的硬件资源。
[0002]用于商品硬件的虚拟化技术的出现已经在管理具有不同需求的许多客户的大规模计算资源方面提供了益处，从而允许多个客户有效且安全地共享各种计算资源。例如，虚拟化技术可以通过向每个用户提供由单个虚拟化主机托管的一个或多个“客户”虚拟机来允许单个物理虚拟化主机在多个用户之间共享。每个这样的虚拟机可以表示充当不同逻辑计算系统的软件模拟，所述软件模拟向用户提供他们是给定硬件计算资源的唯一运营商的假象，同时还在各种虚拟机之间提供应用隔离和安全性。具现化同一主机上的若干不同虚拟机也可以帮助增加数据中心处的总体硬件利用率水平，从而带来更高的投资回报率。
[0003]在许多情况下，虚拟化资源可以用于访问或操纵敏感信息的应用程序。例如，金融应用程序、医疗应用程序等都可能处理旨在保密的数据集。可以利用如加密密钥、数字证书等安全相关的工件来确保一些应用程序的机密性和隐私。
附图说明
[0004]图1展示了根据至少一些实施例的示例系统环境，其中可以使用向虚拟化计算服务的计算实例分配的资源子集来设置具有经验证的软件配置的孤立运行时环境。
[0005]图2展示了根据至少一些实施例的用于在虚拟化主机的计算实例处验证孤立运行时环境的配置的示例交互的概览。
[0006]图3展示了根据至少一些实施例的使用安全工件在孤立运行时环境处执行的计算的示例请求/响应工作流程的概览。
[0007]图4展示了根据至少一些实施例的与孤立运行时环境的配置和使用相关的示例编程交互。
[0008]图5展示了根据至少一些实施例的可以在虚拟化计算服务处建立的计算实例的示例类别。
[0009]图6展示了根据至少一些实施例的用于实例化孤立运行时环境的请求的示例元素。
[0010]图7展示了根据至少一些实施例的对与孤立运行时环境有关的配置验证查询的响应的示例元素。
[0011]图8展示了根据至少一些实施例的包括孤立运行时环境的计算实例的示例实时迁
移。
[0012]图9是展示了根据至少一些实施例的可以被执行以在虚拟化计算服务的计算实例内建立和使用孤立运行时环境的操作的各方面的流程图。
[0013]图10是展示了可以在至少一些实施例中使用的示例计算装置的框图。
[0014]尽管本文通过举例的方式针对若干实施例和说明性附图描述了实施例，但是本领域技术人员将认识到，实施例不限于所描述的实施例或附图。应当理解的是，附图和对其的详细描述并非旨在将实施例限制于所公开的特定形式，而相反，本专利技术将覆盖落入由所附权利要求限定的精神和范围内的所有修改、等效物和替代方案。本文所使用的标题只是出于组织目的，而不意图用于限制本说明书或权利要求的范围。如在整个本申请中使用的，词语“可以(may)”以允许的意义(即，意指“有可能”)，而不是强制意义(即，意指“必须”)使用。类似地，词语“包含(include、including和includes)”意味着包含但不限于。当在权利要求中使用时，术语“或”用作包含性的而不是排他性的或。例如，短语“x、y或z中的至少一个”意指x、y和z中的任何一个，以及它们的任何组合。
具体实施方式
[0015]本公开涉及用于实施具有可验证软件配置的孤立运行时环境用于在虚拟化计算服务的计算实例(如客户虚拟机)内进行敏感或增强安全计算的方法和设备。例如，可以代表虚拟化计算服务的客户端设置此类运行时环境，以使用易于使用的编程接口在服务处执行使用安全工件(如加密密钥)的计算，无需使用特殊用途的安全硬件或非标准编程技术，同时降低或最小化安全工件受损的可能性。虚拟化计算服务(VCS)的客户端可能已经将计算实例用于多种类型的应用程序，因此扩展计算实例的功能以支持孤立运行时环境(IRE)可以使客户端能够继续使用熟悉的接口，同时显著增强应用程序安全。在各个实施例中，在虚拟化管理软件的一个或多个组件(例如，管理程序内的安全管理器和/或资源隔离管理器)以及在计算实例中设置的中介通信进程(CIP)的帮助下，可以降低安全工件的损害或“泄漏”的可能性。在一些情况下，IRE可以用于不一定需要使用密钥或其它安全工件的任务。在一些实施例中，VCS客户端可以仅确保已经使用本文所描述的技术验证了IRE的配置，并且然后利用IRE来执行期望的任务——例如，以用特定的输入数据集运行包含在IRE中的特定程序并获得对应的结果。
[0016]根据至少一些实施例，系统可以包括提供商网络的虚拟化计算服务(例如，公共云计算环境)的一个或多个计算装置。计算装置可以包含当在一个或多个处理器上或跨一个或多个处理器执行时使所述装置在虚拟化主机或服务器处启动计算实例(CI)的指令。可以在不同实施例中设置若干种类型或类别的计算实例中的任何一种，包含例如客户虚拟机、直接访问主机硬件中的一些硬件的裸金属实例等。在各个实施例中，可以分配包含主机的存储器区段的一组资源以供计算实例使用，例如，由在主机处运行的虚拟化管理组件使用。在至少一些实施例中，主机的虚拟化管理组件可以包含管理程序，所述管理程序充当计算实例与主机的物理硬件装置中的至少一些物理硬件装置之间的中介，并且管理程序可以参与计算实例的部分或全部资源的分配。在一些实施例中，一些虚拟化管理任务可以从主机的主处理器或CPU卸载；例如，经由外围互连连接到CPU的一个或多个虚拟化管理卸载卡可以用于实施一些类型的虚拟化管理任务(在一些情况下，包含为计算实例、联网相关任务、
存储相关任务等分配存储器)。
[0017]在一些实施例中，在虚拟化主机处，为计算实例分配的资源子集可以被隔离或留出以供在计算实例内建立并与所述计算实例紧密耦接的孤立运行时环境(IRE)独占使用。例如，如果为计算实例指定了K千兆字节的存储器，则可以为孤立运行时环境(例如，通过主机的虚拟化管理组件)划分出包括L千兆字节的存储器区段，其中L<K，使得计算实例仅可以在孤立运行时环境的寿命内访问剩余的(K
‑
L)千兆字节。在此类实施例中，为IRE隔离出的存储器的内容对于处于IRE本身外部(即，不是其一部分)的任何程序或进程可能是不可见的。在一些实施例中，还可以为IRE留出其它类型的资源，如虚拟化处理器，从而减少对于计算实例保持可用的那种类型的可用资源的量。在一些实施例中，本文档来自技高网...

【技术保护点】

【技术特征摘要】
【国外来华专利技术】1.一种系统，其包括：虚拟化计算服务的一个或多个计算装置；其中所述一个或多个计算装置包含指令，所述指令在一个或多个处理器上或跨一个或多个处理器执行时使所述一个或多个计算装置：在虚拟化主机处启动计算实例，其中所述虚拟化主机的存储器部分被分配给所述计算实例；为所述计算实例的第一子孤立运行时环境隔离出所述存储器部分的第一子集，其中所述第一子孤立运行时环境禁止与所述虚拟化主机外部的端点进行网络通信，并且其中所述第一子集不能从在所述第一子孤立运行时环境外部运行的程序被访问；使对所述第一子孤立运行时环境的配置的认证由在所述虚拟化主机的虚拟化管理组件处建立的安全管理器发起；向一个或多个目的地提供(a)所述认证的结果和(b)对所述安全管理器的身份的指示；确定所述认证的所述结果已经被接受；在所述第一子孤立运行时环境处经由在第一计算实例处建立的通信中介获得经加密安全工件，其中对所述安全工件的解密需要(a)所述通信中介和(b)在所述计算实例处运行的其它程序无法访问的密钥；并且在所述第一子孤立运行时环境处使用所述安全工件和所述存储器部分的所述第一子集执行一个或多个计算。2.根据权利要求1所述的系统，其中所述一个或多个计算装置包含另外的指令，所述另外的指令在一个或多个处理器上或跨一个或多个处理器执行时进一步使所述一个或多个计算装置：至少部分地基于针对所述计算实例的启动请求的参数来确定待在所述计算实例内建立所述第一子孤立运行时环境。3.根据权利要求1所述的系统，其中所述一个或多个计算装置包含另外的指令，所述另外的指令在一个或多个处理器上或跨一个或多个处理器执行时进一步使所述一个或多个计算装置：至少部分地基于在启动所述计算实例之后接收到的编程请求来确定待在所述计算实例内建立所述第一子孤立运行时环境。4.根据权利要求1所述的系统，其中所述第一子孤立运行时环境的配置设置不允许到或来自持久存储设备的输入/输出(I/O)操作。5.根据权利要求1所述的系统，其中所述一个或多个计算装置包含另外的指令，所述另外的指令在一个或多个处理器上或跨一个或多个处理器执行时进一步使所述一个或多个计算装置：在所述虚拟化主机处实例化所述计算实例的第二子孤立运行时环境，其中隔离出所述存储器部分的第二子集以供从所述第二子孤立运行时环境中独占使用。6.一种方法，其包括：在一个或多个计算装置处执行：由管理程序指派分配给在虚拟化主机处建立的孤立运行时环境的父计算实例的资源子集，以供所述孤立运行时环境独占使用；
向一个或多个端点提供对所述孤立运行时环境的配置分析的结果，其中所述配置分析由所述管理程序的安全管理器执行；在接受所述配置分析的所述结果之后在所述孤立运行时环境处获得经加密应用程序安全工件，其中在所述...

【专利技术属性】
技术研发人员：A，
申请(专利权)人：亚马逊科技公司，
类型：发明
国别省市：