可信執(zhí)行環(huán)境虛擬機克隆制造技術(shù)

具有可信執(zhí)行環(huán)境(諸如基于軟件的可信平臺模塊)的虛擬機的克隆。為了克隆虛擬機，源虛擬機的虛擬機狀態(tài)被復(fù)制以制定要與目標(biāo)虛擬機相關(guān)聯(lián)的目標(biāo)虛擬機狀態(tài)。目標(biāo)虛擬機是源虛擬機狀態(tài)的克隆，并且因而針對源虛擬機狀態(tài)和目標(biāo)虛擬機狀態(tài)中的可信執(zhí)行環(huán)境的存儲分層結(jié)構(gòu)可以是相同的。然而，因為目標(biāo)虛擬機的身份與源虛擬機的身份不同，所以目標(biāo)虛擬機狀態(tài)的背書分層結(jié)構(gòu)被更改，使得它基于目標(biāo)虛擬機的身份而非源虛擬機。

【技術(shù)實現(xiàn)步驟摘要】
【國外來華專利技術(shù)】【專利說明】可信執(zhí)行環(huán)境虛擬機克隆 背景 可信平臺模塊（即"TPM"）是與計算設(shè)備的常規(guī)操作環(huán)境隔離的可信執(zhí)行環(huán)境。 通常，TPM以物理上綁定到計算設(shè)備的芯片形式來實現(xiàn)。常規(guī)計算環(huán)境可以通過接口（該 接口的一個示例是基于TPM的服務(wù)（即"TBS"））與TPM通信。 TPM提供各種功能，最常用的包括密碼密鑰生成、策略驅(qū)動的密鑰使用、密封存儲 以及證明。TPM具有被稱為"受保護區(qū)域"的存儲器區(qū)域，該"受保護區(qū)域"包含無法從TPM 外部讀取的數(shù)據(jù)，但是可以使用這些數(shù)據(jù)來執(zhí)行操作。一些數(shù)據(jù)是不可改變的，并且因而由 正在執(zhí)行的操作讀?。ǖ槐桓淖儯?，而一些數(shù)據(jù)是可改變的并且可以通過這些操作來改 變。注意，讀取數(shù)據(jù)的是在TPM內(nèi)部正在執(zhí)行的操作。受保護數(shù)據(jù)在TPM外部是不可讀的。 因而，TPM具有執(zhí)行操作的操作組件，以及保留不能夠在TPM外部被讀取的受保護 數(shù)據(jù)的存儲器組件。TPM的操作速度受限于TPM內(nèi)硬件的能力。同樣，受保護區(qū)域的大小受 限于TPM內(nèi)的空間。 概述 本文描述的至少一個實施例涉及其狀態(tài)包括可信執(zhí)行環(huán)境（如，基于軟件的可信 平臺模塊）的虛擬機的克隆。為了克隆虛擬機，源虛擬機的虛擬機狀態(tài)被復(fù)制以制定要與 目標(biāo)虛擬機相關(guān)聯(lián)的目標(biāo)虛擬機狀態(tài)。目標(biāo)虛擬機是源虛擬機狀態(tài)的克隆，并且因此在存 在存儲分層結(jié)構(gòu)的情況下，可信執(zhí)行環(huán)境的存儲分層結(jié)構(gòu)在源虛擬機和目標(biāo)虛擬機中可以 是相同的。然而，因為目標(biāo)虛擬機的身份與源虛擬機的身份不同，所以目標(biāo)虛擬機狀態(tài)的背 書分層結(jié)構(gòu)被更改，使得它基于目標(biāo)虛擬機的身份而非源虛擬機。 克隆可被執(zhí)行以針對任何目的，諸如，舉例而言，復(fù)制源虛擬機以使得兩個虛擬機 可從該點處繼續(xù)操作。或者，克隆可被執(zhí)行以為源虛擬機狀態(tài)建立回滾（rolled back)狀 態(tài)。因此，克隆和回滾（虛擬化的兩個關(guān)鍵操作）可在可信執(zhí)行環(huán)境的環(huán)境中實現(xiàn)，所述可 信執(zhí)行環(huán)境由于在可信執(zhí)行環(huán)境中進行克隆所呈現(xiàn)的困難而抵抗虛擬化。在一個實施例 中，主機計算系統(tǒng)上的每一虛擬機具有相關(guān)聯(lián)的基于軟件的可信執(zhí)行環(huán)境，從而允許虛擬 機連同其可信執(zhí)行環(huán)境一起迀移。因而，本文描述的原理允許可信執(zhí)行環(huán)境被虛擬化。 提供本概述是為了以簡化的形式介紹將在以下【具體實施方式】中進一步描述的概 念選擇。本概述并不旨在標(biāo)識所要求保護的主題的關(guān)鍵特征或必要特征，也不旨在用于幫 助判定所要求保護的主題的范圍?！靖綀D說明】 為了描述能夠獲得上述和其它優(yōu)點和特征的方式，各實施例的更具體的描述將通 過參考各附圖來呈現(xiàn)?？梢岳斫?，這些附圖只描繪了示例實施例，并且因此不被認(rèn)為是對其 范圍的限制，將通過使用附圖并利用附加特征和細節(jié)來描述和解釋各實施例，在附圖中： 圖1示出可用于采用本文描述的各實施例并且包括管理級和本地可信執(zhí)行環(huán)境 級的示例計算系統(tǒng)； 圖2示出運行多個虛擬機的主機計算系統(tǒng)，所述虛擬機中的一些具有它們自己的 可信執(zhí)行環(huán)境； 圖3示出用于在具有可信執(zhí)行環(huán)境的那些虛擬機的環(huán)境中克隆源虛擬機以形成 目標(biāo)虛擬機的方法的流程圖； 圖4A示出其中存在與源虛擬機相關(guān)聯(lián)的可信執(zhí)行環(huán)境的情形； 圖4B示出其中源虛擬機的可信執(zhí)行環(huán)境被復(fù)制以創(chuàng)建目標(biāo)虛擬機的可信執(zhí)行環(huán) 境的情形； 圖4C示出了其中目標(biāo)虛擬機的可信執(zhí)行環(huán)境的背書分層結(jié)構(gòu)被修改成基于目標(biāo) 虛擬機的身份的情形； 圖5示出了其中源虛擬機被克隆兩次以形成兩個目標(biāo)虛擬機的過程； 圖6示出了其中源虛擬機被克隆以創(chuàng)建目標(biāo)虛擬機并且隨后該目標(biāo)虛擬機變成 用于另一克隆的源虛擬機的過程； 圖7示出了用于允許執(zhí)行圖3的方法的可信執(zhí)行環(huán)境的生成和結(jié)構(gòu)的特定體系結(jié) 構(gòu)； 圖8示出了其中多個客戶端其中的一些利用通過網(wǎng)絡(luò)的與系統(tǒng)的可信平臺模塊 (TPM)接口的環(huán)境； 圖9將受保護數(shù)據(jù)集抽象地示為包括不可改變數(shù)據(jù)和可改變數(shù)據(jù)；以及 圖10示出了用于管理可信執(zhí)行環(huán)境命令的方法的流程圖?！揪唧w實施方式】 根據(jù)本文描述的至少一個實施例，描述了虛擬機的克隆。虛擬機包括可信執(zhí)行環(huán) 境，諸如基于軟件的可信平臺模塊。為了克隆虛擬機，源虛擬機的虛擬機狀態(tài)被復(fù)制以制定 要與目標(biāo)虛擬機相關(guān)聯(lián)的目標(biāo)虛擬機狀態(tài)。目標(biāo)虛擬機是源虛擬機狀態(tài)的克隆，并且因而 針對源虛擬機狀態(tài)和目標(biāo)虛擬機狀態(tài)中的可信執(zhí)行環(huán)境的可信執(zhí)行環(huán)境的存儲分層結(jié)構(gòu) 可以是相同的。然而，因為目標(biāo)虛擬機的身份與源虛擬機的身份不同，所以目標(biāo)虛擬機狀態(tài) 的背書分層結(jié)構(gòu)被更改，使得它基于目標(biāo)虛擬機的身份而非源虛擬機。 在一些實施例中，向每一虛擬機提供它自己的可迀移的基于軟件的可信執(zhí)行環(huán) 境。因而，本文描述的至少一些實施例通過允許虛擬機連同可信執(zhí)行環(huán)境一起被克隆、回滾 以及迀移，允許可信執(zhí)行環(huán)境的虛擬化。 計算系統(tǒng)現(xiàn)在越來越多地采取多種多樣的形式。例如，計算系統(tǒng)可以是手持式設(shè) 備（諸如智能電話）、電器、膝上型計算機、臺式計算機、大型機、分布式計算系統(tǒng)或甚至常 規(guī)上不被認(rèn)為是計算系統(tǒng)的設(shè)備（諸如腕帶手表、廚房電器、汽車、醫(yī)療植入設(shè)備等）。在本 說明書以及權(quán)利要求書中，術(shù)語"計算系統(tǒng)"被廣義地定義為包括任何設(shè)備或系統(tǒng)（或其組 合），該設(shè)備或系統(tǒng)包含至少一個物理有形的處理器以及其上能含有可由處理器執(zhí)行的計 算機可執(zhí)行指令的物理有形的存儲器。存儲器可以采取任何形式，并可以取決于計算系統(tǒng) 的性質(zhì)和形式。 如此處所使用的那樣，術(shù)語"模塊"或"組件"可以指在計算系統(tǒng)上執(zhí)行的軟件對 象或例程。此處所描述的不同組件、模塊、引擎，以及服務(wù)可以實現(xiàn)為在計算系統(tǒng)上執(zhí)行的 對象或進程（例如，作為分開的線程）。 這里描述的各實施例可包括或利用專用或通用計算機，該專用或通用計算機包括 諸如例如一個或多個處理器和系統(tǒng)存儲器等計算機硬件，如以下更詳細討論的。這里描述 的各實施例還包括用于承載或存儲計算機可執(zhí)行指令和/或數(shù)據(jù)結(jié)構(gòu)的物理和其他計算 機可讀介質(zhì)。這樣的計算機可讀介質(zhì)可以是可由通用或?qū)Ｓ糜嬎銠C系統(tǒng)訪問的任何可用介 質(zhì)。存儲計算機可執(zhí)行指令或數(shù)據(jù)的計算機可讀介質(zhì)是物理存儲介質(zhì)。承載計算機可執(zhí)行 指令或數(shù)據(jù)的計算機可讀介質(zhì)是傳輸介質(zhì)。由此，作為示例而非限制，本專利技術(shù)的各實施例可 包括至少兩種顯著不同的計算機可讀介質(zhì)：計算機存儲介質(zhì)和傳輸介質(zhì)。 計算機存儲介質(zhì)包括RAM、ROM、EEPROM、CD-ROM或其他光盤存儲、磁盤存儲或其他 磁存儲設(shè)備、或可用于存儲計算機可執(zhí)行指令或數(shù)據(jù)結(jié)構(gòu)形式的所需程序代碼裝置且可由 通用或?qū)Ｓ糜嬎銠C訪問的任何其他介質(zhì)。 "網(wǎng)絡(luò)"被定義為使得電子數(shù)據(jù)能夠在計算機系統(tǒng)和/或模塊和/或其它電子設(shè) 備之間傳輸?shù)囊粋€或多個數(shù)據(jù)鏈路。當(dāng)信息通過網(wǎng)絡(luò)或另一個通信連接（硬連線、無線、 或者硬連線或無線的組合）傳輸或提供給計算機時，該計算機將該連接適當(dāng)?shù)匾暈閭鬏斀?質(zhì)。傳輸介質(zhì)可包括可用于攜帶計算機可執(zhí)行指令或數(shù)據(jù)結(jié)構(gòu)形式的所需程序代碼裝置且 可由通用或?qū)Ｓ糜嬎銠C訪問的網(wǎng)絡(luò)和/或數(shù)據(jù)鏈路。上述的組合也應(yīng)被包括在計算機可讀 介質(zhì)的范圍內(nèi)。 此外，在到達各種計算機系統(tǒng)組件之后，計算機可執(zhí)行指令或數(shù)據(jù)結(jié)構(gòu)形式的程 序代碼裝置可從傳輸介質(zhì)自動轉(zhuǎn)移到計算機存儲介質(zhì)（或者相反）。例如，通過網(wǎng)絡(luò)或數(shù) 據(jù)鏈路接收到的計算機可執(zhí)行指令或數(shù)據(jù)結(jié)構(gòu)可被緩存在網(wǎng)絡(luò)接口模塊（例如，"NIC"）內(nèi) 的RAM中，然后最終被傳輸?shù)接嬎銠C系統(tǒng)RA本文檔來自技高網(wǎng)...

【技術(shù)保護點】
一種用于克隆具有相關(guān)聯(lián)的可信執(zhí)行環(huán)境的源虛擬機狀態(tài)以制定目標(biāo)虛擬機狀態(tài)的方法，所述方法包括：訪問具有身份的源虛擬機的源虛擬機狀態(tài)的動作，所述源虛擬機狀態(tài)包括至少具有背書分層結(jié)構(gòu)的可信執(zhí)行環(huán)境，所述背書分層結(jié)構(gòu)基于所述源虛擬機的身份；復(fù)制所述源虛擬機狀態(tài)以制定要與目標(biāo)虛擬機相關(guān)聯(lián)的目標(biāo)虛擬機狀態(tài)的動作，所述目標(biāo)虛擬機具有與所述源虛擬機的身份不同的身份，其中所復(fù)制的背書分層結(jié)構(gòu)的簽署部分被禁用；以及修改所述目標(biāo)虛擬機狀態(tài)使得所述目標(biāo)虛擬機狀態(tài)的背書分層結(jié)構(gòu)基于所述目標(biāo)虛擬機的身份的動作。

【技術(shù)特征摘要】
【國外來華專利技術(shù)】...

【專利技術(shù)屬性】
技術(shù)研發(fā)人員：M·F·諾瓦克，A·J·雷曼，M·尼斯特倫，S·湯姆，
申請(專利權(quán))人：微軟公司，
類型：發(fā)明
國別省市：美國;US