一种虚拟环境中用户管理装置及方法

暂无

一种虚拟环境中用户管理装置及方法\n技术领域\n[0001] 本发明涉及计算机领域中计算机系统用户管理，特别是指一种虚拟环境中用户管理装置及方法。\n背景技术\n[0002] 现在的个人电脑，都支持多用户、多任务的操作系统。一般情况下，电脑中有一个缺省的超级用户，他可以创建其他用户，并赋予其他用户一定的权限。由超级用户创建出的其他用户，由于角色不同，可以看到的电脑资源和对电脑资源的操作权限也不相同；但超级用户或者超级用户授权的用户，可以看见和操作所有的电脑资源。\n[0003] 正常情况下，这种用户权限管理方案可以很好地实现电脑用户资源的管理。在互联网时代，在黑客、病毒等攻击和破坏下，经常出现低级用户通过运行有漏洞的程序，在不知道口令的情况下，获得了超级用户的权限以及所有电脑资源的控制权，进而造成信息泄露或者数据破坏等。这已成为了系统管理员和软件开发人员的一大心病。\n[0004] 目前，业界的解决办法多是采取“亡羊补牢”的方法。比如，系统中装入杀毒软件，实时地对数据和软件进行检测，一旦发现病毒、木马，就禁止用户操作数据或禁止软件运行。又如，系统中装入防火墙，斩断黑手伸向电脑系统的途径。又如，对用户数据进行加密或隐藏处理以保证数据的安全存储和使用。在这个攻防战斗中，攻方一直处于主动。\n[0005] 比较理想的方法是开发无缺陷的系统，比如高质量的代码可避免缓冲区溢出等等。从理论上分析，系统使用时间上滞后于系统开发，很多情况开发系统时无法预料。现实中，系统开发人员水平参差不齐，系统测试力度大小不同。所以，无缺陷系统只能无限逼近，不能最终实现。\n[0006] 经分析，有两个原因导致了这个难题：一是用户权限分级，不仅存在超级用户、系统管理员、普通用户的区别，还存在用户模式、内核模式两种运行状态，在某种情况下还允许发生权限切换；二是缺乏必要的措施，拥有顶级权限的用户可以看见和操作所有电脑资源，攻方一旦获得顶级权限，危害极大。\n[0007] 发明人在实现本发明的过程中，发现现有技术至少存在如下问题：\n[0008] 在多用户，多任务的电脑系统中，由于多个用户在同一操作系统中对资源进行操作，但拥有顶级权限的用户可以操作所有的电脑资源，这样权限低的用户可以通过运行某种有漏洞的软件，获得该拥有顶级权限的用户的权限以及所有电脑资源的控制权，进而造成信息泄露或者数据破坏。\n发明内容\n[0009] 本发明要解决的技术问题是提供一种虚拟环境中用户管理装置及方法，使计算机系统的多用户之间的权限和资源得到很好的隔离，保证了各个用户在各自的权限范围内使用该用户的资源，避免了该用户超越自己的权限使用其他用户的资源的情况。\n[0010] 为解决上述技术问题，本发明的实施例提供技术方案如下：\n[0011] 一方面，提供一种虚拟环境中用户管理装置，包括：\n[0012] 虚拟机管理单元，安装有虚拟机管理器；\n[0013] 第一操作单元，安装有第一操作系统；\n[0014] 第二操作单元，安装有第二操作系统，所述第二操作系统安装在所述虚拟机管理器上；所述第一操作单元包括：\n[0015] 管理单元，用于设置多个用户，并为所述多个用户中的每一个用户分配相应的资源和权限；\n[0016] 虚拟机运行管理单元，与所述管理单元和所述虚拟机管理器分别连接，用于收集所述多个用户中的每一个用户所对应的资源和权限，并将所述多个用户中的第一用户、所述第一用户对应的资源和所述第一用户对应的权限通过所述虚拟机管理器传输至所述第二操作系统，并通过所述虚拟机管理器获取所述第一用户在所述第二操作系统中根据所述第一用户对应的权限对所述第一用户对应的资源的读/写操作请求，根据所述读/写操作请求对所述第一用户对应的资源进行处理后，获得读/写操作结果，并通过所述虚拟机管理器向所述第二操作系统返回所述读/写操作结果。\n[0017] 优选的，所述虚拟机运行管理单元包括：\n[0018] 第一处理单元，与所述管理单元连接，用于收集所述多个用户中的第一用户、所述第一用户对应的资源和所述第一用户对应的权限；\n[0019] 第二处理单元，与所述第一处理单元和所述虚拟机管理单元连接，用于将所述第一用户、所述第一用户对应的资源和所述第一用户对应的权限通过所述虚拟机管理器传输至所述第二操作系统；\n[0020] 第三处理单元，与所述第一处理单元和所述虚拟机管理单元分别连接，用于通过所述虚拟机管理器获取所述第一用户在所述第二操作系统中根据所述第一用户对应的权限对所述第一用户对应的资源的读/写操作请求，根据所述读/写操作请求对所述第一用户对应的资源进行处理后，获得读/写操作结果，并通过所述虚拟机管理器向所述第二操作系统返回所述读/写操作结果。\n[0021] 优选的，所述第二处理单元具体为：\n[0022] 数据视图构造单元，与所述第一处理单元和所述虚拟机管理单元连接，用于根据所述第一用户对应的权限构造反映所述第一用户的可见资源与实际资源之间映射关系的数据视图，并向所述虚拟机管理器发送所述数据视图。\n[0023] 优选的，所述虚拟机管理器包括：\n[0024] 数据视图管理器，与所述数据视图构造单元连接，用于获取所述数据视图，并根据所述数据视图为所述第二操作系统创建所述第一用户在所述第二操作系统中操作数据所依赖的软硬件环境；\n[0025] 所述第三处理单元通过所述虚拟机管理器获取所述第一用户在所述第二操作系统中根据所述数据视图对所述第一用户对应的实际资源的读/写操作请求，根据所述读/写操作请求对所述第一用户对应的资源进行处理后，获得读/写操作结果，并通过所述虚拟机管理器向所述第二操作系统返回所述读/写操作结果。\n[0026] 优选的，所述第一操作单元还包括：\n[0027] 存储单元，与所述管理单元和所述第三处理单元分别连接，用于存储所述管理单元为所述多个用户中的每一个用户分配的实际资源；\n[0028] 所述第三处理单元通过所述虚拟机管理器获取所述第一用户在所述第二操作系统中根据所述数据视图对所述第一用户对应的实际资源的读/写操作请求，并根据所述读/写操作请求从所述存储单元中获取相应的读/写操作结果，并通过所述虚拟机管理器向所述第二操作系统返回所述读/写操作结果。\n[0029] 优选的，所述虚拟机运行管理单元还包括：\n[0030] 资源信息数据库，与所述管理单元连接，用于存储所述多个用户中的每一个用户、每一个用户对应的资源和每一个用户对应的权限之间的相互对应关系。\n[0031] 优选的，所述虚拟机管理器和所述第二操作单元安装在所述第一操作单元中。\n[0032] 优选的，所述第一操作单元安装在所述虚拟机管理器上。\n[0033] 优选的，所述虚拟机管理器中包括一安全信息通道，连接在所述虚拟机运行管理单元和所述第二操作系统之间，用于传输所述虚拟机运行管理单元和所述第二操作系统之间的数据。\n[0034] 另一方面，还提供一种虚拟环境中用户管理方法，包括：\n[0035] 收集第一操作系统为多个用户中的每一个用户分配的资源和权限；\n[0036] 将所述多个用户中的第一用户、所述第一用户对应的资源和所述第一用户对应的权限通过虚拟机管理器传输至第二操作系统；\n[0037] 通过所述虚拟机管理器获取，所述第一用户在第二操作系统中根据所述第一用户对应的权限对所述第一用户对应的资源的读/写操作请求，根据所述读/写操作请求对所述第一用户对应的资源进行处理后，获得读/写操作结果，通过所述虚拟机管理器向所述第二操作系统返回所述读/写操作结果。\n[0038] 优选的，所述收集第一操作系统为多个用户中的每一个用户分配的资源和权限的步骤具体为：\n[0039] 收集第一操作系统为所述多个用户中的第一用户分配的资源和权限。\n[0040] 优选的，所述将所述多个用户中的第一用户、所述第一用户对应的资源和所述第一用户对应的权限通过虚拟机管理器传输至第二操作系统的步骤具体为：\n[0041] 根据所述第一用户对应的权限构造反映所述第一用户的可见资源与实际资源之间映射关系的数据视图，并向所述虚拟机管理器发送所述数据视图；\n[0042] 根据所述数据视图为所述第二操作系统创建所述第一用户在所述第二操作系统中操作数据所依赖的软硬件环境。\n[0043] 优选的，所述通过所述虚拟机管理器获取，所述第一用户在第二操作系统中根据所述第一用户对应的权限对所述第一用户对应的资源的读/写操作请求，根据所述读/写操作请求对所述第一用户对应的资源进行处理后，获得读/写操作结果，通过所述虚拟机管理器向所述第二操作系统返回相应的读/写操作结果的步骤具体为：\n[0044] 通过所述虚拟机管理器获取所述第一用户在第二操作系统中根据所述数据视图对所述第一用户对应的实际资源的读/写操作请求，并根据所述读/写操作请求从存储单元中获取相应的读写操作结果，并通过所述虚拟机管理器向所述第二操作系统返回所述读/写操作结果。\n[0045] 本发明的实施例具有以下有益效果：\n[0046] 上述方案通过在多用户，多任务的计算机系统中，不同的用户分别在不同的操作系统中对该各自拥有的资源进行操作，为该第二操作系统指定一个用户，如上述的第一用户，该用户是第二操作系统的超级用户，该第一用户只能在该第二操作系统中根据自己的权限对自己所拥有的资源进行访问，由于第一操作系统和第二操作系统的隔离性，该第二操作系统中的第一用户无法获得第一操作系统中的用户的相关信息，因此也就无法越过第一操作系统中用户的权限，对第一操作系统中的管理员用户或者其他用户，或者对其他第二操作系统的用户资源不能访问，这样，该第一用户就不会出现绕过管理员用户访问资源的情况，从而避免了信息泄露或者数据被破坏的情况。\n附图说明\n[0047] 图1为本发明的实施例计算机的整体结构示意图；\n[0048] 图2为图1所示计算机的一具体结构示意图；\n[0049] 图3为图2所示计算机的一具体结构示意图；\n[0050] 图4为图3所示计算机的一具体结构示意图；\n[0051] 图5为本发明的实施例计算机的第二操作单元安装在第一操作单元内部的结构示意图；\n[0052] 图6为本发明的实施例计算机的第二操作单元安装在第一操作单元外的结构示意图；\n[0053] 图7为本发明的实施例虚拟环境中用户管理方法的流程示意图。\n具体实施方式\n[0054] 为使本发明的实施例要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述。\n[0055] 本发明的实施例针对现有多用户、多任务的电脑系统中，权限低的用户可以通过运行某种有漏洞的软件，获得了超级用户的权限以及所有电脑资源的控制权，进而造成信息泄露或者数据破坏的问题，提供一种计算机和虚拟环境中用户管理方法。\n[0056] 如图1所示，本发明的实施例计算机包括：硬件平台；虚拟机管理单元，位于所述硬件平台之上，安装有虚拟机管理器；\n[0057] 第一操作单元，位于该硬件平台之上，安装有第一操作系统；\n[0058] 第二操作单元，安装有第二操作系统，该第二操作系统安装在虚拟机管理器上；该第一操作单元包括：\n[0059] 管理单元，用于设置多个用户，并为该多个用户中的每一个用户分配相应的资源和权限；\n[0060] 虚拟机运行管理单元，与该管理单元和虚拟机管理器分别连接，用于收集多个用户中的每一个用户所对应的资源和权限，并将该多个用户中的第一用户、该第一用户对应的资源和该第一用户对应的权限通过虚拟机管理器传输至第二操作系统，并通过该虚拟机管理器获取第一用户在所述第二操作系统中根据该第一用户对应的权限对该第一用户对应的资源的读/写操作请求，根据所述读/写操作请求对所述第一用户对应的资源进行处理后，获得读/写操作结果，并通过虚拟机管理器向第二操作系统返回所述读/写操作结果。\n[0061] 上述实施例是在虚拟化技术基础上，采用虚拟化技术的电脑，可以在一台电脑上同时运行多个虚拟机，上述虚拟机管理器可以虚拟出多个第二操作系统，这些第二操作系统之间以及第二操作系统和第一操作系统之间是相互隔离的，该实施例中将用户的设置，用户的资源管理和资源的权限分配放在主机(即第一操作系统，有时也称主机操作系统)中，而将该用户对资源的使用放在虚拟机中(即第二操作系统中)，主机操作系统根据用户的不同，只提供有访问权限的资源给第二操作系统，第二操作系统由第一操作系统启动，为该第二操作系统指定一个用户，如上述的第一用户，该用户是第二操作系统的超级用户，该第一用户在该第二操作系统中根据自己的权限对自己所拥有的资源进行访问，对主机的管理员用户或者其他用户，或者对其它第二操作系统的用户资源不能访问，这样，该第一用户就不会出现绕过管理员用户访问资源的情况，避免信息泄露或者数据被破坏的情况。\n[0062] 如图2所示，为上述图1所示计算机的一具体结构示意图，其中，上述虚拟机运行管理单元包括：\n[0063] 第一处理单元，与上述管理单元连接，用于收集多个用户中的第一用户、该第一用户对应的资源和该第一用户对应的权限；在第一操作系统中，上述管理单元设置多个用户，并为这多个用户分别分配各自可使用的资源和权限，该第一处理单元将其中的一个用户，如第一用户，该第一用户对应的资源和该第一用户对应的权限收集起来，当然，该第一处理单元也可以将多个用户中的第二用户，第三用户及其各自对应的资源和权限收集起来；总之，该第一处理单元收集多个用户中的一个用户及其对应的资源和权限；\n[0064] 第二处理单元，与上述第一处理单元和虚拟机管理单元连接，用于将该第一用户、该第一用户对应的资源和该第一用户对应的权限通过虚拟机管理器传输至第二操作系统；\n[0065] 第三处理单元，与该第一处理单元和虚拟机管理单元分别连接，用于通过虚拟机管理器获取该第一用户在第二操作系统中根据该第一用户对应的权限对该第一用户对应的资源的读/写操作请求，根据所述读/写操作请求对所述第一用户对应的资源进行处理后，获得读/写操作结果，并通过虚拟机管理器向第二操作系统返回该读/写操作结果。该第一用户在第二操作系统中，可以根据该第一用户所对应的权限对该第一用户所拥有的资源进行读/写操作访问，这时，该第三处理单元就会获取该第一用户对其资源的读/写操作访问，并在第一操作系统中获取读/写操作访问的结果，并向第二操作系统返回该读/写操作访问的结果，这样就使该第一用户对资源的使用局限在第二操作系统中，而该第一用户的设置，该第一用户的资源和权限的分配则是在第一操作系统中进行，且该第一用户的实际可用资源也存储在第一操作系统中。\n[0066] 如图3所示，上述第二处理单元具体为：\n[0067] 数据视图构造单元，与上述第一处理单元和虚拟机管理单元连接，用于根据该第一用户对应的权限构造反映该第一用户的可见资源与实际资源之间映射关系的数据视图，并向虚拟机管理器发送该数据视图。\n[0068] 相应的，上述虚拟机管理器包括：\n[0069] 数据视图管理器，与该数据视图构造单元连接，用于获取该数据视图，并根据该数据视图为第二操作系统创建第一用户在第二操作系统中操作数据所依赖的软硬件环境；\n[0070] 第三处理单元通过虚拟机管理器获取该第一用户在第二操作系统中根据该数据视图对该第一用户对应的实际资源的读/写操作请求，根据所述读/写操作请求对所述第一用户对应的资源进行处理后，获得读/写操作结果，并通过虚拟机管理器向第二操作系统返回该读/写操作结果；\n[0071] 该数据视图由一些系统镜像组成，这些镜像是只读的，且这些数据视图是根据第一用户对应的权限构造的，因此，第二操作系统中，这些数据视图代表了该第一用户的操作权限，这些数据视图被注入到虚拟机管理器的配置参数中，与虚拟机镜像中的系统环境资源结合起来，为该第一用户在第二操作系统对其资源的访问提供了完整的静态软硬件资源环境。\n[0072] 存储器，与所述管理单元和所述第三处理单元分别连接，用于存储所述管理单元为所述多个用户中的每一个用户分配的实际资源；\n[0073] 第三处理单元则通过虚拟机管理器获取该第一用户在第二操作系统中根据数据视图对该第一用户对应的实际资源的读/写操作请求，并根据该读/写操作请求从存储器中获取相应的读写操作结果，并通过虚拟机管理器向第二操作系统返回该读/写操作结果。\n[0074] 第二操作系统启动以后，该第一用户在第二操作系统中的操作就局限在这个动态构建的资源环境中了，该第一用户在第二操作系统中操作数据时，其打开、关闭、读、写等I/O操作请求会被虚拟机管理器(Virtual Machine Monitor，VMM)拦截，如果是系统数据，如Windows系统DLL，数据视图管理器会将其定向到数据视图中的数据对象；如果是用户数据，操作的对象存在数据视图中，是虚拟的用户资源，真实的用户资源存储在第一操作系统的存储器中，数据视图管理器会查询虚拟机运行管理单元，该虚拟机运行管理单元得到实际的用户资源对象，然后将I/O请求重定向到第一操作系统中存储器中的真实用户资源。\n[0075] 为了使第一用户在第二操作系统中根据其对应的权限，对其所拥有的资源进行I/O请求操作时，提高操作的效率，如图4所示，上述虚拟机运行管理单元还包括：资源信息数据库，与管理单元连接，用于维护并存储多个用户中的每一个用户、每一个用户对应的资源和每一个用户对应的权限之间的相互对应关系。这样，当第一用户进行I/O操作请求时，虚拟机管理器中的数据视图管理器会查询虚拟机运行管理单元，而虚拟机运行管理单元不用直接去读取存储器，而是先查询该资源信息数据库，得到第一用户的真实资源相关信息，再根据该第一用户的真实资源相关信息去存储器中读取相关的真实资源，而不用直接去访问存储器。\n[0076] 如图5所示，上述第一操作单元直接安装在硬件平台上，虚拟机管理器和第二操作单元安装在第一操作单元中。这是虚拟化技术中的一种架构，同样的，上述图1至图4所示的实施例同样也适用于基于虚拟化技术中的另一种架构。\n[0077] 如图6所示，上述虚拟机管理器安装直接在硬件平台上，第一操作单元直接安装在虚拟机管理器上。这时，还需要在第一操作系统和第二操作系统之间设置一安全信息通道，该安全信息通道安装在虚拟机管理器中，连接在虚拟机运行管理单元和第二操作系统之间，用于传输在虚拟机运行管理单元和第二操作系统之间的数据。\n[0078] 综上所述，上述实施例通过将用户、用户的资源和权限的管理，和用户对资源的使用严格隔离，不会出现资源使用者绕过资源管理者访问资源的情况；实现了用户之间资源的完全隔离，第二操作系统(虚拟机)看到的只是第一用户的资源，而不是所有用户的资源，也不是整个系统资源，同样对于其他的用户，如管理员用户，可以在第一操作系统中，由于第一操作系统和第二操作系统的隔离性，第二操作系统中的第一用户无法获得第一操作系统中的用户的相关信息，因此也就无法越过第一操作系统中用户的权限，对第一操作系统中的用户的资源进行访问；另外，即使黑客、病毒攻破了第二操作系统或者虚拟机，其危害也局限在第二操作系统内，而不会危害其他的用户或者操作系统。但整个计算机系统中原有的安全防护措施依然有效，在第二操作系统中，依然可以使用杀毒软件、防火墙等保护措施，在第一操作系统中或者主操作系统中，依然可以采用加密、口令和隐藏等手段增强系统资源的安全性；另外，还可以将虚拟机镜像做成只读的(即数据视图中的镜像也是只读的)，且定期更新，这样，即使第二操作系统或者虚拟机感染了病毒、木马等，也不会影响其他用户的操作环境；且在第一操作系统中，利用原有的操作界面可以动态地实现用户操作环境的定制，由于允许多个虚拟机同时运行，也就是说，可以允许多个第二操作系统同时运行，用户之间的切换直接进行，没有了注销的环节，通过这种方式，使个人电脑依然支持多用户，多任务。\n[0079] 如图7所示，本发明的实施例还提供一种虚拟环境中用户管理方法，包括：\n[0080] 步骤S70，收集第一操作系统为多个用户中的每一个用户分配的资源和权限；\n[0081] 步骤S71，将多个用户中的第一用户、第一用户对应的资源和第一用户对应的权限通过虚拟机管理器传输至第二操作系统；\n[0082] 步骤S72，通过虚拟机管理器获取第一用户在第二操作系统中根据第一用户对应的权限对该第一用户对应的资源的读/写操作请求，根据所述读/写操作请求对所述第一用户对应的资源进行处理后，获得读/写操作结果，通过虚拟机管理器向第二操作系统返回该读/写操作结果。\n[0083] 上述步骤S70中，多个用户，以及这多个用户分别对应的资源和权限是在第一操作系统中设置和分配，并将这些多个用户中的每一个用户、每一个用户对应的资源和权限之间的相互对应关系维护在一信息资源数据库中，而本实施例中，收集多个用户中的其中一个用户的资源和权限，即收集第一用户的资源和权限；上述步骤S71可以具体为：\n[0084] 根据该第一用户对应的权限构造反映该第一用户的可见资源与实际资源之间映射关系的数据视图，并向虚拟机管理器发送该数据视图；\n[0085] 根据该数据视图为第二操作系统创建第一用户在第二操作系统中操作数据所依赖的软硬件环境；相应的，步骤S72可以具体为：\n[0086] 通过虚拟机管理器获取第一用户在第二操作系统中根据该数据视图对第一用户对应的实际资源的读/写操作请求，并根据该读/写操作请求从存储器中获取相应的读写操作结果，并通过虚拟机管理器向第二操作系统返回该读/写操作结果；在该步骤中，在获得第一用户的读/写操作请求时，还可以先查询上述信息资源数据库，再去存储器中读取相应的读/写操作结果，并向第二操作系统返回该读/写操作结果。\n[0087] 这样就实现了，为第二操作系统只指定一个用户，即第一用户，该第一用户在第二操作系统对其资源的使用不受其他用户的影响，该第一用户的资源也不会被其他用户所访问，同时，该第一用户只能对其权限范围内的数据视图所表示的资源进行访问，该第一用户权限范围外的资源对该第一用户来说是不可见的，因此该第一用户也无法访问其他用户的资源，这样，在原有操作系统支持多用户，多任务的情况下，使用户的管理和用户对资源的使用严格分离，不会出现普通用户绕过超级用户的权限而访问超级用户所拥有的资源的情况，避免信息泄露或者数据被破坏的情况。\n[0088] 以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。