CN104038444B - 一种资源分配的方法、设备及系统 - Google Patents

Abstract

本发明公开了一种资源分配的方法，在资源池内为各个安全域分配专用资源组，接收到安全域发送的资源分配请求后，确定所述安全域的专用资源组满足所述安全域请求的资源时，在所述安全域的专用资源组中为所述安全域分配资源；所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配所述安全域请求的资源。本发明还同时公开了一种资源分配设备及系统，采用本发明的方案，能解决跨安全域的资源共享问题，既能提高资源的利用率，又能满足安全域的安全规范要求。

Description

一种资源分配的方法、设备及系统

技术领域

本发明涉及云计算网络安全技术，尤其涉及一种资源分配的方法、设备及系统。

背景技术

目前，在多个安全域的网络环境中，利用虚拟化技术进行互联网技术(IT，Internet Technology)基础架构的资源整合，要求在服务器数量大幅减少的情况下，提高计算资源的灵活共享，并尽可能地维持原有安全域环境以满足企业的网络安全规范要求。常规的思路是，部署更多的主机服务器，或为主机服务器添加尽可能多的网卡，以满足多个安全域的接入需要。但是，在云计算和虚拟化环境下，计算环境多构建于刀片服务器环境，刀片服务器具有高密度的计算资源，而其网卡扩展能力比较有限，因此，目前有两种常见的设计方法：

1、对于安全性要求比较高的应用系统，着重考虑安全性要求，分别为相应安全域规划独立的资源池，以独立资源池的方式，即一个资源池对应一个安全域的方式，更好地为计算资源及应用环境的安全性提供保障。但是，该方法无法实现不同安全域之间的资源共享，资源利用率比较低。

2、对于安全性要求一般的应用系统，着重考虑计算资源的灵活共享要求，可将原有的多个安全域整合为一个大的安全域，同时规划一个大的资源池，即一个的大资源池对应一个大的安全域，更好地实现计算资源的灵活共享和动态迁移。该方法虽然可以实现资源池内的所有资源灵活共享，但所有应用部署在一个大的安全域内，应用系统的安全性较整合前将会有所降低。

发明内容

有鉴于此，本发明的主要目的在于提供一种资源分配的方法、设备及系统，能解决跨安全域的资源共享问题，同时能满足安全域的安全规范要求。

为达到上述目的，本发明的技术方案是这样实现的：

一种资源分配的方法，在资源池内为各个安全域分配专用资源组，所述方法包括：

接收到安全域发送的资源分配请求后，确定所述安全域的专用资源组满足所述安全域请求的资源时，在所述安全域的专用资源组中为所述安全域分配资源；所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配所述安全域请求的资源。

优选地，所述专用资源组包括一个以上的刀片服务器，所述一个以上的刀片服务器提供虚拟机作为专用资源组中的资源。

优选地，该方法还包括：

为各个安全域设置专门的虚拟组；

为所述刀片服务器设置虚拟交换机、虚拟网络接口卡；其中，所述虚拟机通过虚拟交换机上的虚拟端口与所述虚拟交换机相连；所述刀片服务器通过虚拟网络接口卡与虚拟组相连；

所述在所述资源池中为所述安全域调度并分配所述安全域请求的资源，包括：

所述资源池中为所述安全域调度空闲资源，根据虚拟机与虚拟交换机上的虚拟端口之间的动态逻辑映射状态、虚拟交换机与虚拟网络接口卡之间的动态逻辑映射状态、虚拟网络接口卡与虚拟组之间的动态逻辑映射状态，关联所调度空闲资源对应的动态逻辑映射。

优选地，所述方法还包括：

接收到所述安全域的资源释放请求后，取消与所述安全域的当前资源对应的各动态逻辑映射的关联。

一种云计算管理平台，所述云计算管理平台包括接收单元、确定单元和资源分配单元；其中，

所述接收单元，用于接收安全域发送的资源分配请求；

所述确定单元，用于确定所述安全域的专用资源组是否满足所述安全域请求的资源，并将确定结果通知资源分配单元；

所述资源分配单元，用于在所述确定结果为所述安全域的专用资源组满足所述安全域请求的资源时，在所述安全域的专用资源组中为所述安全域分配资源；在所述确定结果为所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配所述安全域请求的资源。

优选地，所述云计算管理平台还包括：

配置单元，用于在资源池中为各个安全域分配专用资源组；其中，所述专用资源组包括一个以上的刀片服务器，所述一个以上的刀片服务器提供虚拟机作为专用资源组中的资源；以及，为各个安全域设置专门的虚拟组；以及，为所述一个以上的刀片服务器设置虚拟交换机、虚拟网络接口卡；其中，所述虚拟机通过虚拟交换机上的虚拟端口与所述虚拟交换机相连；所述刀片服务器通过虚拟网络接口卡与虚拟组相连。

优选地，所述资源分配单元，还用于根据虚拟机与虚拟交换机上的虚拟端口之间的动态逻辑映射状态、虚拟交换机与虚拟网络接口卡之间的动态逻辑映射状态、虚拟网络接口卡与虚拟组之间的动态逻辑映射状态，关联为安全域所分配的空闲资源对应的动态逻辑映射。

优选地，所述接收单元，还用于接收安全域发送的资源释放请求；

对应的，所述资源分配单元，还用于取消与所述安全域的当前资源对应的各动态逻辑映射的关联。

一种资源分配系统，所述系统包括云计算管理平台、资源池和安全域；其中，

所述云计算管理平台，用于接收到安全域发送的资源分配请求后，确定所述安全域的专用资源组满足所述安全域请求的资源时，在所述安全域的专用资源组中为所述安全域分配资源；所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配所述安全域请求的资源；

所述资源池，用于为安全域提供资源；

所述安全域，用于向云计算管理平台发送资源分配请求；还用于向云计算管理平台发送资源释放请求。

优选地，所述云计算管理平台为权利要求5至8任一项所述的云计算管理平台。

本发明提供的资源分配的方法、设备及系统，在资源池内为各个安全域分配专用资源组，接收到安全域发送的资源分配请求后，确定所述安全域的专用资源组满足所述安全域请求的资源时，在所述安全域的专用资源组中为所述安全域分配资源；所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配所述安全域请求的资源。本发明利用云计算管理平台对资源池内的资源进行性能采集分析和动态资源调度，从而能够灵活地实现不同安全域之间的资源共享，能够满足多个安全域的接入需求；同时，在资源池内采用端到端的数据链路层网络技术，实现不同安全域资源的逻辑安全隔离，从而确保现有安全域的安全边界保持不变。通过本发明提供的技术方案，能解决跨安全域的资源共享问题，既能提高资源的利用率，又能满足安全域的安全规范要求。

附图说明

图1为本发明资源分配方法的实现流程示意图；

图2为本发明云计算管理平台的组成结构示意图；

图3为本发明资源分配系统的组成结构示意图；

图4为本发明实施例资源池的逻辑架构的组成结构示意图；

图5为本发明实施例资源动态调度的实现流程示意图；

图6为本发明实施例一种资源分配系统的逻辑架构的示意图。

具体实施方式

下面结合附图及具体实施例对本发明再作进一步详细的说明。

图1为本发明资源分配方法的实现流程示意图，如图1所示，该方法包括以下步骤：

步骤101：接收安全域发送的资源分配请求；

步骤102：确定所述安全域的专用资源组满足所述安全域请求的资源时，在所述安全域的专用资源组中为所述安全域分配资源；所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配所述安全域请求的资源。

具体的，在资源池内为各个安全域分配专用资源组；其中，所述专用资源组包括一个以上的刀片服务器，所述一个以上的刀片服务器提供虚拟机作为专用资源组中的资源。

具体的，该方法还包括：

为各个安全域设置专门的虚拟组；

为所述刀片服务器设置虚拟交换机、虚拟网络接口卡；其中，所述虚拟机通过虚拟交换机上的虚拟端口与所述虚拟交换机相连；所述刀片服务器通过虚拟网络接口卡与虚拟组相连。

具体的，所述在所述资源池中为所述安全域调度并分配所述安全域请求的资源，包括：

所述资源池中为所述安全域调度空闲资源，根据虚拟机与虚拟交换机上的虚拟端口之间的动态逻辑映射状态、虚拟交换机与虚拟网络接口卡之间的动态逻辑映射状态、虚拟网络接口卡与虚拟组之间的动态逻辑映射状态，关联所调度空闲资源对应的动态逻辑映射。

比如，某安全域向云计算管理平台发送资源分配请求，云计算管理平台对资源池的资源信息进行采集，所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配空闲资源，并对与所述安全域相对应的虚拟网络接口卡与虚拟组之间的逻辑映射，以及，虚拟交换机与虚拟网络接口卡之间的逻辑映射，以及云计算管理平台为所述安全域分配的虚拟机与虚拟端口之间的动态逻辑映射进行关联，以使上述动态逻辑映射的状态处于连通状态，那么，即能将云计算管理平台为所述安全域分配的虚拟机接入所述安全域。

具体的，所述方法还包括：

接收到所述安全域的资源释放请求后，取消与所述安全域的当前资源对应的各动态逻辑映射的关联。

图2为本发明一种云计算管理平台的组成结构示意图，如图2所示，所述云计算管理平台包括接收单元22、确定单元23和资源分配单元24；其中，

所述接收单元22，用于接收安全域发送的资源分配请求；

所述确定单元23，用于确定所述安全域的专用资源组是否满足所述安全域请求的资源，并将确定结果通知资源分配单元24；

所述资源分配单元24，用于在所述确定结果为所述安全域的专用资源组满足所述安全域请求的资源时，在所述安全域的专用资源组中为所述安全域分配资源；在所述确定结果为所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配所述安全域请求的资源。

具体的，所述云计算管理平台还包括：

配置单元21，用于在资源池中为各个安全域分配专用资源组；其中，所述专用资源组包括一个以上的刀片服务器，所述一个以上的刀片服务器提供虚拟机作为专用资源组中的资源；以及，为各个安全域设置专门的虚拟组；以及，为所述一个以上的刀片服务器设置虚拟交换机、虚拟网络接口卡；其中，所述虚拟机通过虚拟交换机上的虚拟端口与所述虚拟交换机相连；所述刀片服务器通过虚拟网络接口卡与虚拟组相连。

具体的，所述资源分配单元23，还用于根据虚拟机与虚拟交换机上的虚拟端口之间的动态逻辑映射状态、虚拟交换机与虚拟网络接口卡之间的动态逻辑映射状态、虚拟网络接口卡与虚拟组之间的动态逻辑映射状态，关联为安全域所分配的空闲资源对应的动态逻辑映射。

具体的，所述接收单元22，还用于接收安全域发送的资源释放请求；

对应的，所述资源分配单元23，还用于取消与所述安全域的当前资源对应的各动态逻辑映射的关联。

图3为本发明资源分配系统的组成结构示意图，如图3所示，所述系统包括云计算管理平台31、资源池32、和安全域33；其中，

所述云计算管理平台31，用于接收到安全域33发送的资源分配请求后，确定所述安全域33的专用资源组满足所述安全域请求的资源时，在所述安全域33的专用资源组中为所述安全域33分配资源；所述安全域33的专用资源组不满足所述安全域33请求的资源时，在所述资源池32中为所述安全域33调度并分配所述安全域33请求的资源；

所述资源池32，用于为安全域33提供资源；

所述安全域33，用于向云计算管理平台31发送资源分配请求；还用于向云计算管理平台31发送资源释放请求。

这里，所述云计算管理平台31的组成结构为如图2所示的组成结构示意图。

图4为本发明实施例资源池的逻辑架构的组成结构示意图，如图4所示，资源池主要由刀片服务器41、以及位于刀片服务器机箱40上的交换模块42组成；其中，

刀片服务器41，用于为安全域44提供资源；

交换模块42，用于将刀片服务器提供的资源接入安全域。

具体的，所述刀片服务器41包括：虚拟机(VM，Virtual Machine)410、虚拟交换机(VS，Virtual Switch)413、虚拟网络接口卡(VNIC，Virtual Network InterfaceController)415；其中，

虚拟机410，用于为各安全域44提供资源；

虚拟交换机413，用于通过虚拟网络接口卡415与交换模块42进行连接；

虚拟网络接口卡415，用于连接虚拟交换机413和交换模块42。

这里，虚拟交换机的虚拟端口(Portgroup)412，通过虚拟局域网(VLAN，VirtualLocal Area Network)的序列号(ID，IDentity)将虚拟机410划分到相应安全域44的不同子网段；

虚拟网络接口卡415为刀片服务器41上的物理端口虚拟出来的子端口，其中，每个物理端口可支持多个虚拟网络接口卡415，满足刀片服务器41对多个网口的使用需要。

具体的，所述交换模块42包括：虚拟组(VG，Virtual Group)427；其中，

所述虚拟组427，用于将交换模块42划分不同的网段；还用于通过虚拟网络接口卡415与虚拟交换机413相连，以及，还用于通过交换模块42的外联物理端口(EXT)428实现与外部的物理网络的连接，满足不同安全域44的接入需要。

这里，所述外部的物理网络为安全域(Secure Zone)44；

所述外联物理端口428，通过光纤跳线实现与各安全域44的接入。

具体的，虚拟机410与虚拟交换机413的虚拟端口412之间的逻辑映射411，用于实现将虚拟机410接入相应安全域44的不同子网段；虚拟交换机413与虚拟网络接口卡415之间的逻辑映射414，可通过虚拟组427实现虚拟交换机413与安全域44的互连互通；虚拟网络接口卡415与虚拟组427之间的逻辑映射426，实现刀片服务器41与交换模块42上不同网段组的互连互通。

这里，安全域44为企业的生产网规划的网络安全域，有明确的网络安全边界和安全规范要求，不同安全域之间通过企业的核心交换区实现网络互连互通。

本实施例将资源池划分为：预配置的固定资源和可调度的动态资源两部分。

1)预配置的固定资源

预配置的固定资源是指根据系统架构规划，可预先配置好的部分资源，一般情况下，固定资源配置完成后不再进行更改，以便确保整个系统架构的稳定、可靠和安全性。固定资源主要包括虚拟机410、虚拟端口412、虚拟交换机413、虚拟网络接口卡415、虚拟组427、外联物理端口428和安全域44等，其部署方式如下：

虚拟机410，可利用预先配置好的虚拟机镜像，能够快速实现虚拟机410部署，并通过动态资源的调度方便地接入相应安全域44；

虚拟端口412与虚拟交换机413，预先规划并配置好；虚拟交换机413与安全域44之间也实现一一对应部署，即虚拟端口412则根据相应安全域44的不同应用需要接入的VLAN网段进行配置；

虚拟网络接口卡415，由于刀片服务器41上物理端口可虚拟化的子端口数量有限，需要根据实际的安全域接入需要动态进行调度；

外联物理端口428与虚拟组427、安全域44部分，根据资源池需要接入的安全域44预先规划并配置好，即虚拟组427、外联物理端口428与安全域44之间实现一一对应部署，跳线和配置基本固定，进而能够灵活地满足资源动态调配的接入需要。

2)可调度的动态资源

可调度的动态资源是指需要根据实际使用需要动态进行调度的资源。通过动态资源的调度，可方便灵活地实现资源的跨安全域共享，提高资源利用率。动态资源主要包括：

虚拟机410与虚拟端口412之间的动态逻辑映射411，可通过VLAN标签实现不同安全域资源之间的数据链路层网络安全隔离；

虚拟交换机413与虚拟网络接口卡415之间的动态逻辑映射414，可经过虚拟组427，实现虚拟交换机413与相应安全域44之间的连通；

虚拟网络接口卡415与虚拟组427之间的动态逻辑映射426，可实现虚拟网络接口卡415与各安全域44之间的关联和数据链路层网络安全隔离。

本发明通过对逻辑架构中各组件的规划配置和灵活调度，实现资源的跨安全域灵活共享和安全域的边界安全。

图5为本发明实施例资源动态调度的实现流程示意图，如图5所示，该流程包括以下步骤：

步骤501：安全域向云计算管理平台发送资源分配请求，然后执行步骤502；

步骤502：云计算管理平台根据安全域的资源分配请求，对资源池的资源信息进行采集，检查所述资源池内与所述安全域相对应的刀片服务器是否满足所述安全域的资源申请，如果不满足，执行步骤503；否则，执行步骤504；

步骤503：云计算管理平台进行资源调度；然后，执行步骤504；

这里，如果资源池内与所述安全域相对应的刀片服务器已无法满足该安全域的申请资源需求，则云计算管理平台进行资源调度，即从其它有空闲资源的刀片服务器上扩展资源。

步骤504：云计算管理平台为安全域分配资源，创建虚拟机，然后执行步骤505；

这里，云计算管理平台在资源池内与所述安全域相对应的、有足够计算资源和网络资源的刀片服务器上进行资源分配和虚拟机创建。

步骤505：云计算管理平台部署虚拟机环境，并检查网络配置，然后执行步骤506；

步骤506：云计算管理平台检查是否满足安全域接入条件，如果不满足，执行步骤507；否则，执行步骤509；

这里，如果与该安全域相对应的虚拟网络接口卡与虚拟组、虚拟交换机与虚拟网络接口卡已经互连互通，则满足相应安全域的接入条件要求。

步骤507：云计算管理平台调度关联虚拟网络接口卡与虚拟组，使与所述安全域相匹配的虚拟网络接口卡与虚拟组连通；然后执行步骤508；

步骤508：云计算管理平台调度关联虚拟交换机与虚拟网络接口卡，使与所述安全域相匹配的虚拟交换机与虚拟网络接口卡连通；然后执行步骤509；

步骤509：云计算管理平台关联虚拟机与相应虚拟端口，实现虚拟机接入相应的安全域；然后执行步骤510；

步骤510：云计算管理平台更新资源池内的资源信息。

本发明通过云计算管理平台对固定资源和可调度的动态资源进行信息采集、资源分配、安全域接入条件检查、资源调度关联等操作，实现跨安全域资源的快速部署和动态分配，满足各安全域的资源申请需求；同时，对空闲的资源可通过取消相应安全域的动态资源关联，进行资源释放回收，真正实现云计算环境下资源池的灵活性和可伸缩性。

在云计算环境下，通过上述对可调度的动态资源的自动调度控制，确保资源池内的资源方便地满足各安全域的分配使用需要，充分实现资源的灵活共享和高利用率。

图6为本发明实施例一种资源分配系统的逻辑架构的示意图，如图6所示，该系统涉及十个安全域的资源共享要求，由于每个刀片服务器的物理端口最多只能支持四个虚拟网络接口卡，即每个刀片服务器同时最多只能满足四个安全域的接入，本实施例采用逐台刀片服务器错开安全域的方式，如：刀片服务器1支持安全域1、2、3、4的接入，刀片服务器2支持安全域2、3、4、5的接入等，从而最大程度地实现资源的灵活共享。

其中，预配置的固定资源包括虚拟机、虚拟端口、虚拟交换机、虚拟网络接口卡、虚拟组、外联物理端口和安全域等部分。虚拟组n、物理外联端口n和安全域n一一对应固定连接，因此，资源池内部资源的动态调度不影响安全域的连接。虚拟交换机采用分布式虚拟交换机，并为各安全域预配置好相应的虚拟交换机，满足各安全域VLAN的接入需要。

可调度的动态资源包括：虚拟机与虚拟端口之间的动态逻辑映射，虚拟交换机与虚拟网络接口卡之间的动态逻辑映射，虚拟网络接口卡与虚拟组之间的动态逻辑映射。

这里，动态资源的调度，通过云计算管理平台根据各安全域的资源分配请求进行自动化关联，从而实现资源池内的每个刀片服务器都可灵活地接入不同安全域，进而满足跨安全域的资源共享。同时，资源池内部端到端采用数据链路层的网络技术实现跨安全域资源的安全隔离，不影响现有安全域的网络架构，符合安全规范要求。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (5)

1.一种资源分配的方法，其特征在于，在资源池内为各个安全域分配专用资源组，所述方法包括：

接收到安全域发送的资源分配请求后，确定所述安全域的专用资源组满足所述安全域请求的资源时，在所述安全域的专用资源组中为所述安全域分配资源；所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配所述安全域请求的资源；

所述专用资源组包括一个以上的刀片服务器，所述一个以上的刀片服务器提供虚拟机作为专用资源组中的资源；

为各个安全域设置专门的虚拟组；

为所述刀片服务器设置虚拟交换机、虚拟网络接口卡；其中，所述虚拟机通过虚拟交换机上的虚拟端口与所述虚拟交换机相连；所述刀片服务器通过虚拟网络接口卡与虚拟组相连；

所述在所述资源池中为所述安全域调度并分配所述安全域请求的资源，包括：

所述资源池中为所述安全域调度空闲资源，根据虚拟机与虚拟交换机上的虚拟端口之间的动态逻辑映射状态、虚拟交换机与虚拟网络接口卡之间的动态逻辑映射状态、虚拟网络接口卡与虚拟组之间的动态逻辑映射状态，关联所调度空闲资源对应的动态逻辑映射。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收到所述安全域的资源释放请求后，取消与所述安全域的当前资源对应的各动态逻辑映射的关联。

3.一种云计算管理平台，其特征在于，所述云计算管理平台包括接收单元、确定单元、配置单元和资源分配单元；其中，

所述接收单元，用于接收安全域发送的资源分配请求；

所述确定单元，用于确定所述安全域的专用资源组是否满足所述安全域请求的资源，并将确定结果通知资源分配单元；

所述配置单元，用于在资源池中为各个安全域分配专用资源组；其中，所述专用资源组包括一个以上的刀片服务器，所述一个以上的刀片服务器提供虚拟机作为专用资源组中的资源；以及，为各个安全域设置专门的虚拟组；以及，为所述一个以上的刀片服务器设置虚拟交换机、虚拟网络接口卡；其中，所述虚拟机通过虚拟交换机上的虚拟端口与所述虚拟交换机相连；所述刀片服务器通过虚拟网络接口卡与虚拟组相连；

所述资源分配单元，用于在所述确定结果为所述安全域的专用资源组满足所述安全域请求的资源时，在所述安全域的专用资源组中为所述安全域分配资源；在所述确定结果为所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配所述安全域请求的资源；

以及，根据虚拟机与虚拟交换机上的虚拟端口之间的动态逻辑映射状态、虚拟交换机与虚拟网络接口卡之间的动态逻辑映射状态、虚拟网络接口卡与虚拟组之间的动态逻辑映射状态，关联为安全域所分配的空闲资源对应的动态逻辑映射。

4.根据权利要求3所述的云计算管理平台，其特征在于，

所述接收单元，还用于接收安全域发送的资源释放请求；

对应的，所述资源分配单元，还用于取消与所述安全域的当前资源对应的各动态逻辑映射的关联。

5.一种资源分配系统，其特征在于，所述系统包括资源池、安全域、权利要求3或4所述的云计算管理平台；其中，

所述云计算管理平台，用于接收到安全域发送的资源分配请求后，确定所述安全域的专用资源组满足所述安全域请求的资源时，在所述安全域的专用资源组中为所述安全域分配资源；所述安全域的专用资源组不满足所述安全域请求的资源时，在所述资源池中为所述安全域调度并分配所述安全域请求的资源；

所述资源池，用于为安全域提供资源；

所述安全域，用于向云计算管理平台发送资源分配请求；还用于向云计算管理平台发送资源释放请求。