安全域和不安全实体之间的存储共享制造技术

根据本发明专利技术的一个或多个实施例，一种计算机实现的方法包括，通过计算机系统的安全接口控制，基于页面通过页面的安全存储保护指示符被清除而被标记为不安全，使计算机系统的不安全实体能够访问在不安全实体与计算机系统的安全域之间共享的存储器页面。安全接口控制可以在允许不安全实体访问该页面之前验证该页面的安全存储保护指示符被清除。安全接口控制可以在没有对该页面的安全存储保护指示符的检查的情况下向安全域的安全实体提供对该页面的访问。面的访问。面的访问。

【技术实现步骤摘要】
【国外来华专利技术】安全域和不安全实体之间的存储共享

技术介绍

[0001]本专利技术总体上涉及计算机技术，并且更具体地涉及安全域和不安全实体之间的存储共享。
[0002]云计算和云存储为用户提供在第三方数据中心中存储和处理他们的数据的能力。云计算促进快速且容易地向客户供应VM的能力，而不需要客户购买硬件或为物理服务器提供地面空间。客户可以根据客户的变化的偏好或要求容易地扩展或收缩VM。通常，云计算提供商供应物理地驻留在提供商的数据中心处的服务器上的VM。客户通常关心VM中的数据的安全性，特别是因为计算提供者通常在同一服务器上存储多于一个客户的数据。客户可能期望他们自己的代码/数据与云计算提供者的代码/数据之间的安全，以及他们自己的代码/数据与在提供者的站点处运行的其他VM的代码/数据之间的安全。此外，客户可能期望来自提供者的管理员的安全性以及防止来自机器上运行的其他代码的潜在安全漏洞。
[0003]为了处理这样的敏感情况，云服务提供商可以实现安全控制以确保适当的数据隔离和逻辑存储隔离。在实现云基础架构中虚拟化的广泛使用导致云服务的客户的独特安全问题，因为虚拟化改变了操作系统(OS)与底层硬件(无论是其计算、存储或甚至联网硬件)之间的关系。这引入了虚拟化作为附加层，它本身必须被适当地配置、管理和安全。
[0004]通常，在主机管理程序的控制下作为访客运行的VM依赖于该管理程序来透明地为该访客提供虚拟化服务。这些服务包括存储器管理、指令仿真和中断处理。
[0005]在存储器管理的情况下，VM可以将其数据从盘移动(页面调入)以驻留在存储器中，并且VM还可以将其数据移回(页面调出)到盘。当页面驻留在存储器中时，VM(访客)使用动态地址转换(DAT)来将存储器中的页面从访客虚拟地址映射到访客绝对地址。此外，主机管理程序具有针对存储器中的访客页面的其自己的DAT映射(从主机虚拟地址到主机绝对地址)，且其可独立地且对访客透明地将访客页面页面调入和调出存储器。通过主机DAT表，管理程序提供存储器隔离或在两个单独的访客VM之间共享访客存储器。主机还能够访问访客存储器，以在必要时代表访客模拟访客操作。

技术实现思路

[0006]根据本专利技术的一个或多个实施例，一种计算机实现的方法包括，通过计算机系统的安全接口控制，基于页面通过页面的安全存储保护指示符被清除而被标记为不安全，使所述计算机系统的不安全实体能够访问在不安全实体与计算机系统的安全域之间共享的存储器的页面。安全接口控制可以在允许不安全实体访问该页之前验证页面的安全存储保护指示符被清除。该安全接口控制可以向安全域的安全实体提供对页面的访问，而不检查页面的安全存储保护指示符。优点可以包括安全域与不安全实体之间的存储共享。
[0007]根据本专利技术的附加或替代实施例，在向安全实体提供对页面的访问之前，安全接口控制可以验证由不安全实体建立并且由安全实体使用的动态地址转换映射未改变。优点可以包括确保由安全实体使用的地址转换不被不安全实体修改。
[0008]根据本专利技术的附加或替代实施例，安全接口控制可以从安全实体接收建立对页面
的共享访问的请求。该安全接口控制可以确定该页面当前是否通过该安全存储保护指示符被设置而被标识为安全的，并且该页面被注册到该安全实体的安全域。该安全接口控制可以基于确定该页面被标识为安全的并且被注册到该安全实体的安全域来将该页面注册到该安全域作为共享的。优点可以包括跟踪存储保护状态和页面注册。
[0009]根据本专利技术的附加或替代实施例，该安全接口控制可以基于确定该页面当前被标识为安全的、注册到该安全实体的安全域上、并且该页面当前未被锁定来锁定该页面。安全接口控制可阻止不同上下文中的安全实体或安全接口控制在该页面被锁定时访问该页面。优点可以包括在某些条件下限制对安全页面的访问。
[0010]根据本专利技术的附加或替代实施例，安全接口控制可以在该页面被锁定时执行对页面的一个或多个授权检查或状态更新。安全接口控制可基于完成页面的一个或多个授权检查或状态更新来解锁页面。优点可以包括管理页面的授权检查。
[0011]根据本专利技术的附加或替代实施例，可以基于在接收建立对页面的共享访问的请求之前确定页面已经被锁定来向安全实体发送繁忙指示符。优点可以包括控制通知定时。
[0012]根据本专利技术的附加或替代实施例，可以通过包括与该页面相关联的安全域标识符和与该页面相关联的虚拟地址映射数据的区安全表来检查和更新该安全域。优点可以包括管理多个页面和区域的状态。
[0013]根据本专利技术的附加或替代实施例，安全存储保护指示符可包括针对存储器的多个页面中的每一页面的计算机系统的硬件中的位。优点可以包括管理存储器的存储保护指示符。
[0014]根据本专利技术的附加或替代实施例，安全接口控制可以是固件、硬件、或固件与硬件的组合。不安全实体可以是管理程序。该安全实体可以是虚拟机，该虚拟机是由安全域中的管理程序托管的安全访客。优点可以包括与不安全实体共享来自安全实体的安全页面。
[0015]本专利技术的其他实施例在计算机系统和计算机程序产品中实现上述方法的特征。
[0016]通过本公开的技术实现了附加特征和优点。本专利技术的其他实施例和方面在此详细描述并且被认为是本专利技术的一部分。为了更好地理解本专利技术的优点和特征，参考说明书和附图。
附图说明
[0017]在说明书结论的权利要求书中特别指出并清楚地要求保护本文描述的独占权利的细节。从以下结合附图的详细描述中，本专利技术的实施例的前述和其他特征和优点是显而易见的，其中：图1描述了根据本专利技术的一个或多个实施例的区域安全表；图2描述了根据本专利技术的一个或多个实施例的用于执行DAT的虚拟和绝对地址空间；图3描绘了根据本专利技术的一个或多个实施例的用于支持在管理程序下运行的虚拟机(VM)的嵌套的多部分DAT；图4描绘了根据本专利技术的一个或多个实施例的安全访客存储的映射；图5描绘了根据本专利技术的一个或多个实施例的动态地址转换(DAT)操作的系统示意图；
图6描绘了根据本专利技术的一个或多个实施例的安全接口控制存储器的系统示意图；图7描绘了根据本专利技术的一个或多个实施例的导入操作的过程流程；图8描绘了根据本专利技术的一个或多个实施例的导入操作的过程流程；图9描绘了根据本专利技术的一个或多个实施例的捐赠存储器操作的过程；图10描绘了根据本专利技术的一个或多个实施例的不安全管理程序页面到安全接口控制的安全页面的转换的过程流程；图11描绘了根据本专利技术的一个或多个实施例的由安全接口控制进行的安全存储访问的过程流程；图12描绘了根据本专利技术的一个或多个实施例的由安全接口控制和由硬件进行的访问标注的过程流程；图13描绘了根据本专利技术的一个或多个实施例的用于支持程序和安全接口控制的安全和不安全访问的转换的过程流程；图14描绘了根据本专利技术的一个或多个实施例的通过程序和通过安全接口控制进行安全存储保护的DAT的过程流程；图15示出了根据本专利技术一个或多个实施例的用于共享访问存储保护的处理流程；图16描绘了根据本专利技术的一个或多个实施例的用于安全域与不安全实体之间的存储共享的本文档来自技高网...

【技术保护点】

【技术特征摘要】
【国外来华专利技术】1.一种方法，包括：基于页面通过所述页面的安全存储保护指示符被清除而被标记为不安全，由计算机系统的安全接口控制使所述计算机系统的不安全实体能够访问在所述不安全实体与所述计算机系统的安全域之间共享的存储器的页面；在允许所述不安全实体访问所述页面之前，由所述安全接口控制验证所述页面的所述安全存储保护指示符被清除；并且由所述安全接口控制向所述安全域的安全实体提供对所述页面的访问，而不检查所述页面的所述安全存储保护指示符。2.如权利要求1所述的方法，进一步包括：在向所述安全实体提供对所述页面的访问之前，由所述安全接口控制验证由所述不安全实体建立并且由所述安全实体使用的动态地址转换映射未改变。3.如权利要求1所述的方法，进一步包括：由所述安全接口控制从所述安全实体接收建立对所述页面的共享访问的请求；由所述安全接口控制确定所述页面当前是否通过所述安全存储保护指示符被设置而被标识为安全的并且所述页面被注册到所述安全实体的所述安全域；并且基于确定所述页面被标识为安全的并且被注册到所述安全实体的所述安全域，由所述安全接口控制将所述页面注册到所述安全域作为共享的。4.如权利要求3所述的方法，进一步包括：基于确定所述页面当前被标识为安全、注册到所述安全实体的所述安全域、并且所述页面当前未被锁定，由所述安全接口控制锁定所述页面；并且由所述安全接口控制阻止不同上下文中的所述安全实体或所述安全接口控制在所述页面被锁定时访问所述页面。5.如权利要求4所述的方法，进一步包括：当所述页面被锁定时，由所述安全接口控制执行所述页面的一个或多个授权检查或状态更新；并且基于完成所述页面的所述一个或多个授权检查或状态更新，由所述安全接口控制解锁所述页面。6.如权利要求4所述的方法，进一步包括：基于确定在接收建立对所述页面的共享访问的所述请求之前所述页面已被锁定，将繁忙指示符发送到所述安全实体。7.如权利要求1所述的方法，其中，通过区安全表来检查和更新所述安全域，所述区安全表包括与所述页面相关联的安全域标识符以及与所述页面相关联的虚拟地址映射数据。8.如权利要求1所述的方法，其中，所述安全存储保护指示符包括用于所述存储器的多个页面中的每一页面的所述计算机系统的硬件中的位。9.如权利要求1所述的方法，其中，所述安全接口控制包括固件、硬件、或固件与硬件的组合；所述不安全实体包括管理程序；并且所述安全实体包括虚拟机，所述虚拟机是由所述管理程序托管在所述安全域中的安全访客。10.一种系统，包括：存储器；以及
被配置为执行多个操作的处理单元的安全接口控制，所述多个操作包括：基于页面通过所述页面的安全存储保护指示符被清除而被标记为不安全，使得不安全实体能够访问在所述不安全实体与所述系统的安全域之间共享的所述存储器的页面；在允许所述不安全实体访问所述页面之前，验证所述页面的所述安全存储保护指示符被清除；并且向所述安全域的安全实体提供对所述页面的访问，而不检查所述页面的所述安全存储保护指示符。11.如权利要求10所述的系统，其中，所述安全接口控制被配置为执行操作，所述操作包括：在向所述安全实体提供对所述页面的访问之前，验证由所述不安全实体建立并且由所述安全实体使用的动态地址转换映射未改变。12.如权利要求10所述的系统，其中，所述安全接口控制被配置为执行操作，所述操作包括：从所述安全实体接收对建立对所述页面的共享访问的请求；确定所述页面当前是否通过所述安全存储保护指示符被设置而被标识为安全的并且所述页面被注册到所述安全实体的所述安全域；并且基于确定所述页面被标识为安全的并且被注册到所述安全实体的所述安全域，将所述页面注册到所述安全域作为共享的。13.如权利要求12所述的系统，其中，所述安全接口控制被配置为...

【专利技术属性】
技术研发人员：L，
申请(专利权)人：国际商业机器公司，
类型：发明
国别省市：