[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2015168913A1 - 一种证书获取方法和设备 - Google Patents

一种证书获取方法和设备 Download PDF

Info

Publication number
WO2015168913A1
WO2015168913A1 PCT/CN2014/077074 CN2014077074W WO2015168913A1 WO 2015168913 A1 WO2015168913 A1 WO 2015168913A1 CN 2014077074 W CN2014077074 W CN 2014077074W WO 2015168913 A1 WO2015168913 A1 WO 2015168913A1
Authority
WO
WIPO (PCT)
Prior art keywords
certificate
vnfc instance
newly installed
instance
vnfc
Prior art date
Application number
PCT/CN2014/077074
Other languages
English (en)
French (fr)
Inventor
冯成燕
王江胜
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to PCT/CN2014/077074 priority Critical patent/WO2015168913A1/zh
Priority to JP2017510713A priority patent/JP6311196B2/ja
Priority to BR112016026037-6A priority patent/BR112016026037B1/pt
Priority to RU2016147696A priority patent/RU2646317C1/ru
Priority to CN201480028386.5A priority patent/CN105264818B/zh
Priority to EP14891512.7A priority patent/EP3133768B1/en
Publication of WO2015168913A1 publication Critical patent/WO2015168913A1/zh
Priority to US15/345,829 priority patent/US10367647B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Definitions

  • the present invention relates to the field of virtual network deployment, and in particular, to a certificate acquisition method and device. Background technique
  • NFV Network Function Virtualization
  • VNF Virtualized Network Function
  • IP Internetworking Protocol
  • virtual switches For example, a traditional IP (Internetworking Protocol) network evolves into a virtual network through virtual switches and virtual network adapters. Different virtual machines communicate with each other through virtual networks, thus bypassing traditional physical network devices.
  • the virtual network is the same as the traditional network.
  • the communication between the virtual machines inside the virtual network and the communication between the virtual machine and the external network are facing network security risks.
  • mutual attacks between virtual machines, host applications use attacks with virtual machine networks to attack.
  • the virtual network uses security technologies (such as IPSec technology, TLS (Transport Layer Security) technology, etc.) to establish a secure connection between virtual machines.
  • security technologies such as IPSec technology, TLS (Transport Layer Security) technology, etc.
  • the VNF is a set of software that is instantiated when needed.
  • the so-called instantiation of VNF refers to determining and allocating the required virtualization resources for a VNF software and installing the VNF.
  • the process of the software Since the instantiated VNF is not a traditional hardware entity, it does not always exist, but is generated on-demand in software, dynamically exists, and the physical location of its installation is not fixed. Therefore, the traditional entity certificate configuration method does not apply to virtual software such as VNF.
  • a certificate configuration method is proposed.
  • the operator configures an initial certificate for the instantiated VNF and installs it on the instantiated VNF.
  • the VNF uses the initial certificate to obtain a certificate from a Certificate Authority (CA).
  • CA Certificate Authority
  • the VNFC Virtual Network Function Component
  • the way to obtain the certificate issued by the CA is the same as the way the VNF obtains the certificate. That is, each VNFC is configured when the VNF is instantiated.
  • the initial certificate is successfully installed after VNFC is instantiated; thereafter the VNFC instance uses the initial certificate to apply for a formal certificate from the CA.
  • the process of obtaining the certificate by the VNF is complicated, and the private key associated with the initial certificate is exposed to the risk of leakage during the delivery process, which reduces the security of the VNF to obtain the certificate.
  • the VNF can have multiple embodiments.
  • the process of using in order to improve network performance, it may be necessary to add a new VNFC.
  • the certificate needs to be obtained. If the above-mentioned initial certificate is used to obtain the formal certificate, the process is cumbersome and complicated, and the system response speed is reduced and the operation efficiency is also reduced. Summary of the invention
  • the embodiment of the present invention provides a method and a device for obtaining a certificate, which are used to solve the problem that how to obtain a certificate for the VFFC newly added to the VF to improve the system response speed and increase the system operation efficiency.
  • a certificate obtaining apparatus including:
  • a receiving module configured to receive a certificate requesting proxy message sent by the newly installed virtual network function VNFC instance, where the certificate requesting proxy message includes a public key used by the newly installed VNFC instance to apply for a certificate
  • a sending module configured to send a certificate request message to the certificate authority according to the certificate requesting proxy message received by the receiving module, requesting the certificate authentication center to be the newly installed
  • the certificate is issued by the VNFC instance, where the certificate request message includes the certificate of the primary VNFC instance and the public key of the newly installed VNFC instance for applying for the certificate;
  • the obtaining module is configured to obtain a certificate issued by the certificate authority, where the certificate is issued by the certificate authority using the newly installed VNFC instance for applying for a certificate.
  • the device further includes:
  • the receiving module is further configured to: before the obtaining module obtains the certificate issued by the certificate authentication center, receive a certificate response message sent by the certificate authentication center;
  • the certificate response message includes a certificate issued by the certificate authority
  • the obtaining module is specifically configured to: when the verification module determines to pass the verification of the certificate response message, obtain a certificate that is sent by the certificate authentication center to the newly installed VNFC instance included in the certificate response message, The certificate of the newly installed VNFC instance is determined by the certificate authority according to the certificate of the primary VNFC instance, after the certificate request request message sent by the primary VNFC is authenticated, and the certificate request message is sent to the certificate request message.
  • the newly installed VNFC instance included is used to obtain the public key signature of the certificate.
  • the certificate requesting agent message and the certificate request message further include a private key ownership certificate POP information.
  • the fourth possible implementation manner the POP information is used by the newly installed VNFC instance to use a private key to private key ownership in a public-private key pair Prove that the signature key field is signed.
  • the fifth possible implementation manner the public and private key used by the newly installed VNFC instance The following is obtained by:
  • the newly installed VNFC instance generates a public-private key pair
  • Network Function Virtualization Infrastructure NFVI generates a public-private key pair and injects it into the newly installed VNFC instance.
  • the sending module is further configured to: after the obtaining module obtains the certificate issued by the certificate authority to the newly installed VNFC instance, issue the obtained certificate authentication center to the new The certificate of the installed VNFC instance is sent to the newly installed VNFC instance through the internal network.
  • the primary VNFC instance and the newly installed VNFC instance belong to the same network function virtualized infrastructure NFVI platform in the same VNF Different components.
  • a certificate obtaining apparatus including:
  • a receiving module configured to receive a certificate request message sent by the primary VNFC instance, where the certificate request message includes a certificate of the primary VNFC instance and a public key used by the newly installed VNFC instance to apply for a certificate
  • a certificate issuance module configured to authenticate the certificate request message according to the certificate of the primary VNFC instance received by the receiving module, and use the public key of the newly installed VNFC instance to apply for a certificate when the authentication is passed The signature is issued a certificate
  • a sending module configured to send the issued certificate issued by the certificate issuing module to the primary VNFC instance.
  • the certificate issuance module is specifically configured to verify a signature of the certificate request message by using a certificate of the primary VNFC instance, and use the issued The root CA certificate or the issued intermediate certificate verifies the received certificate of the primary VNFC instance.
  • the certificate request message further includes a private key ownership certificate POP information.
  • the certificate issuance module is further configured to use a public key pair for requesting a certificate included in the certificate request message
  • the POP information included in the certificate request message is authenticated.
  • a certificate obtaining apparatus including:
  • a sending module configured to send a certificate requesting proxy message to the primary virtual network function VNFC instance, where the certificate requesting proxy message includes a public key used by the newly installed VNFC instance to apply for a certificate, where the certificate requesting proxy message is used And requesting the primary VNFC instance to send a certificate request message to the certificate authority, where the certificate request message is used to request the certificate authority to issue a certificate for the newly installed VNFC instance, where the certificate request message includes the The certificate of the VNFC instance and the newly installed VNFC instance are used to apply for a public key of the certificate;
  • a receiving module configured to receive a certificate issued by the certificate authority that is sent by the primary VNFC instance, where the certificate is a public key signature used by the certificate authority to apply for a certificate to the newly installed VNFC instance. owned.
  • the receiving module is further configured to receive the NFVO or before sending the certificate request proxy message to the primary VNFC.
  • the device further includes:
  • a establishing module configured to establish, according to the certificate application information received by the receiving module, a network connection with the primary VNFC instance for the certificate application proxy, before sending the certificate requesting proxy message to the primary VNFC, where
  • the network connection belongs to a network connection inside the VNF of the same network function virtualization infrastructure NFVI platform.
  • the receiving module is specifically used in At the time of installation, the certificate request information injected by the network function virtualization infrastructure NF VI is received.
  • the primary VNFC information used by the certificate application agent includes an Internet Protocol IP address of the primary VNFC instance, an access control MAC identifier, and a virtual network information center NIC address.
  • the fifth possible implementation manner, where the newly installed VNFC instance is used for applying for a certificate is obtained by:
  • the newly installed VNFC instance generates a public-private key pair
  • the NFVI generates a public-private key pair and injects it into the newly installed VNFC instance.
  • the newly installed VNFC instance is to the main
  • the triggering method for sending a certificate request proxy message by a VNFC instance includes:
  • V F Triggered by V F instantiation; or, triggered by V F expansion.
  • a certificate obtaining apparatus including:
  • a signal receiver configured to receive a certificate application proxy message sent by the newly installed virtual network function VNFC instance, where the certificate requesting proxy message includes a public key used by the newly installed VNFC instance to apply for a certificate;
  • a signal transmitter configured to send a certificate request message to the certificate authority according to the certificate requesting agent message, requesting the certificate authority to issue a certificate for the newly installed VNFC instance, where the certificate request message includes The certificate of the primary VNFC instance and the newly installed VNFC instance are used to request the public key of the certificate;
  • a processor configured to obtain a certificate issued by the certificate authority, where the certificate is issued by the certificate authority using the newly installed VNFC instance for applying for a certificate.
  • the signal receiver is further configured to receive a certificate sent by the certificate authentication center before acquiring the certificate issued by the certificate authentication center.
  • Response message
  • the processor is further configured to verify the received certificate response message.
  • the certificate response message includes a certificate issued by the certificate authority
  • the processor is specifically configured to: when the verification of the certificate response message is passed, obtain a certificate that is sent by the certificate authentication center to the newly installed VNFC instance, where the new certificate is included in the certificate response message, where the new The certificate of the installed VNFC instance is the new certificate included in the certificate request message after the certificate authentication center sends the certificate request message sent by the primary VNFC according to the certificate of the primary VNFC instance.
  • the installed VNFC instance is used to apply for a certificate. Public key signature obtained.
  • the certificate requesting agent message and the certificate request message further include a private key ownership certificate POP information.
  • the POP information is used by the newly installed VNFC instance to use a private key to a private key in a public-private key pair. Prove that the signature key field is signed.
  • the public and private key used by the newly installed VNFC instance The following is obtained by:
  • the newly installed VNFC instance generates a public-private key pair
  • Network Function Virtualization Infrastructure NFVI generates a public-private key pair and injects it into the newly installed VNFC instance.
  • the signal transmitter is further configured to: after obtaining the certificate issued by the certificate authority to the newly installed VNFC instance, issue the obtained certificate authentication center to the newly installed VNFC.
  • the certificate of the instance is sent to the newly installed VNFC instance through the internal network.
  • the seventh In a possible implementation manner, the primary VNFC instance and the newly installed VNFC instance belong to different components of the same VNF in the same network function virtualization infrastructure NFVI platform.
  • a certificate obtaining apparatus including:
  • the signal receiver is configured to receive a certificate request message sent by the primary VNFC instance, where the certificate request message includes a certificate of the primary VNFC instance and a public key used by the newly installed VNFC instance to apply for the certificate;
  • a processor configured to authenticate the certificate request message according to the certificate of the primary VNFC instance, and sign the issued public certificate of the newly installed VNFC instance for applying for a certificate when the authentication is passed;
  • a signal transmitter configured to send the issued certificate to the primary VNFC instance.
  • the processor is specifically configured to verify, by using a certificate of the primary VNFC instance, a signature of the certificate request message, and utilize a root of the signature
  • the CA certificate or the issued intermediate certificate verifies the received certificate of the primary VNFC instance.
  • the certificate request message further includes a private key ownership certificate POP information.
  • the processor is further configured to use, by the certificate authority, the certificate for requesting the certificate included in the certificate request message
  • the public key authenticates the POP information contained in the certificate request message.
  • a certificate obtaining apparatus including:
  • a signal transmitter configured to send a certificate requesting proxy message to the primary virtual network function VNFC instance, where the certificate requesting proxy message includes a public key used by the newly installed VNFC instance to apply for a certificate, where the certificate application proxy message is used
  • the requesting the primary VNFC instance sends a certificate request message to the certificate authority, where the certificate request message is used to request the certificate authentication center to be the new security
  • the installed VNFC instance sends a certificate, where the certificate request message includes a certificate of the primary VNFC instance and a public key used by the newly installed VNFC instance to apply for a certificate;
  • a signal receiver configured to receive a certificate issued by the certificate authority that is sent by the primary VNFC instance, where the certificate is a public key used by the certificate authority to apply for a certificate to the newly installed VNFC instance. Signed.
  • the signal receiver is further configured to receive certificate application information sent by the NFVO or the VNFM before sending the certificate request proxy message to the primary VNFC.
  • the certificate application information includes the primary VNFC instance information used for the proxy certificate application.
  • the device further includes a processor, where: the processor is configured to send a certificate request proxy message to the primary VNFC And establishing, according to the certificate application information, a network connection with the primary VNFC instance for the certificate application agent, where the network connection belongs to a network inside the VNF of the same network function virtualization infrastructure NFVI platform connection.
  • the signal receiver is specifically used for At the time of installation, the certificate request information injected by the network function virtualization infrastructure NF VI is received.
  • the primary VNFC information used by the certificate application agent includes an Internet Protocol IP address of the primary VNFC instance, a medium access control MAC identifier, and a virtual network information center NIC address.
  • the new installation is obtained by:
  • the newly installed VNFC instance generates a public-private key pair
  • the NFVI generates a public-private key pair and injects it into the newly installed VNFC instance.
  • the triggering manner for the newly installed VNFC instance to send a certificate request proxy message to the primary VNFC instance includes:
  • a method for obtaining a certificate including:
  • the primary virtual network function receives the certificate request proxy message sent by the newly installed VNFC instance, where the certificate requesting proxy message includes the public key used by the newly installed VNFC instance to apply for a certificate;
  • the primary VNFC instance sends a certificate request message to the certificate authority according to the certificate requesting agent message, requesting the certificate authority to issue a certificate for the newly installed VNFC instance, where the certificate request message includes the master
  • the certificate of the VNFC instance and the newly installed VNFC instance are used to request the public key of the certificate;
  • the primary VNFC instance obtains a certificate issued by the certificate authority, where the certificate is issued by the certificate authority using the newly installed VNFC instance for applying for a certificate.
  • the method further includes: receiving, by the primary VNFC instance, the primary VNFC instance The certificate response message sent by the certificate authority is verified, and the received certificate response message is verified.
  • the certificate response message includes a certificate issued by the certificate authentication center;
  • the obtaining the certificate issued by the certificate certification center includes:
  • the certificate of the instance is the newly installed VNFC included in the certificate request message after the certificate authentication center authenticates the certificate request message sent by the primary VNFC according to the certificate of the primary VNFC instance.
  • the example is used to obtain the certificate of the public bronze signature.
  • the certificate requesting agent message and the certificate request message further include a private key ownership certificate POP information.
  • the POP information is used by the newly installed VNFC instance to use private key to private key ownership in a public-private key pair Prove that the signature key field is signed.
  • the public and private key used by the newly installed VNFC instance The following is obtained by:
  • the newly installed VNFC instance generates a public-private key pair
  • Network Function Virtualization Infrastructure NFVI generates a public-private key pair and injects it into the newly installed VNFC instance.
  • the primary VNFC instance is acquiring the certificate authentication center After the certificate is issued to the newly installed VNFC instance, the method further includes: the primary VNFC instance sends the obtained certificate issued by the certificate authority to the newly installed VNFC instance to be sent to the new installation through the internal network. VNFC instance.
  • the seventh V-FC instance and the newly installed VNFC instance belong to the same VNF in the same network function virtualization infrastructure NFVI platform. Different components.
  • a method for obtaining a certificate including:
  • the certificate authentication center receives the certificate request message sent by the primary VNFC instance, where the certificate request message includes the certificate of the primary VNFC instance and the public key of the newly installed VNFC instance for applying for the certificate;
  • the certificate authentication center authenticates the certificate request message according to the certificate of the primary VNFC instance, and obtains a certificate issued by the public key signature of the newly installed VNFC instance for applying for a certificate when the authentication is passed;
  • the certificate authority sends the issued certificate to the primary VNFC instance.
  • the certificate authentication center performs the authentication on the certificate request message according to the certificate of the primary VNFC, and includes: the certificate authentication center utilization center
  • the certificate of the primary VNFC instance verifies the signature of the certificate request message, and the received certificate of the primary VNFC instance is verified by using the issued root CA certificate or the issued intermediate certificate.
  • the certificate request message is further included Contains private key ownership proof POP information.
  • the certificate authority uses the public key for requesting the certificate included in the certificate request message to authenticate the POP information included in the certificate request message.
  • a method for obtaining a certificate including:
  • the newly installed virtual network function VNFC instance sends a certificate requesting proxy message to the primary VNFC instance, where the certificate requesting agent message includes a newly installed VNFC instance for applying for a certificate, and the certificate application agent message is used for And requesting the primary VNFC instance to send a certificate request message to the certificate authority, where the certificate request message is used to request the certificate authority to issue a certificate for the newly installed VNFC instance, where the certificate request message includes the The certificate of the VNFC instance and the newly installed VNFC instance are used to apply for a public key of the certificate;
  • the newly installed VNFC instance receives the certificate issued by the certificate authority that is sent by the primary VNFC instance, where the certificate is used by the certificate authority to apply for a certificate for the newly installed VNFC instance. Key signature obtained.
  • the method further includes:
  • the newly installed VNFC instance receives the certificate request information sent by the NFVO or the VNFM, where the certificate application information includes the primary V FC instance information used for the proxy certificate application.
  • the method further includes:
  • the newly installed VNFC instance establishes a network connection with the primary VNFC instance for the certificate application agent according to the certificate application information, where the network connection belongs to the same network function virtualization cornerstone out facility NFVI The internal network connection of the platform's VF.
  • the VNFC instance obtains certificate application information, including:
  • the newly installed VNFC instance receives certificate application information injected by the network function virtualization infrastructure device NFVI during installation.
  • the primary VNFC information used by the certificate application agent includes an Internet Protocol IP address of the primary VNFC instance, a medium access control MAC identifier, and a virtual network information center NIC address.
  • the fifth possible implementation manner, where the newly installed VNFC instance is used for applying for a certificate is obtained by:
  • the newly installed VNFC instance generates a public-private key pair
  • the NFVI generates a public-private key pair and injects it into the newly installed VNFC instance.
  • the triggering manner for the newly installed VNFC instance to send a certificate request proxy message to the primary VNFC instance includes:
  • the trust channel established by the other VNFC instance and the certificate authentication center is used instead of the new installation.
  • the VNFC instance application certificate not only can obtain the certificate securely, but also effectively simplifies the process, improves the system response speed, and improves the system operation efficiency.
  • FIG. 1 is a schematic flowchart of a method for obtaining a certificate according to a first embodiment of the present invention
  • FIG. 2 is a schematic flowchart of a method for obtaining a certificate according to Embodiment 2 of the present invention
  • FIG. 4 is a schematic flowchart of a method for obtaining a certificate according to Embodiment 4 of the present invention
  • FIG. 5 is a schematic structural diagram of a certificate obtaining device according to Embodiment 6 of the present invention
  • FIG. 7 is a schematic structural diagram of a certificate obtaining device according to Embodiment 8 of the present invention
  • FIG. 8 is a schematic structural diagram of a certificate obtaining device according to Embodiment 9 of the present invention
  • FIG. 9 is a schematic structural diagram of a certificate obtaining device according to Embodiment 10 of the present invention
  • FIG. 10 is a schematic structural diagram of a certificate acquiring device according to Embodiment 11 of the present invention.
  • an embodiment of the present invention provides a method and a device for obtaining a certificate, where a primary VNFC instance receives a certificate application agent message sent by a newly installed VNFC instance, where the certificate application agent message includes the new installation.
  • the VNFC instance is used to request the public key of the certificate; the certificate request message is sent to the certificate authority, where the certificate request message includes the certificate of the primary VNFC instance and the public key of the newly installed VNFC instance for requesting the certificate.
  • the newly installed VNFC instance does not need to use the current VNF to obtain the certificate, which effectively avoids the cumbersome and complicated process of obtaining the certificate by the newly installed VNFC instance; the certificate is obtained through the same NFVI platform.
  • Other VNFC instances using the trust channel established by other VNFC instances with the certificate authority, instead of the newly installed VNFC instance to apply for a certificate, not only can securely obtain the certificate, but also effectively simplify the process and improve the system response speed. , improved system operation efficiency.
  • VNFC instance newly installed in the embodiment of the present invention is installed when the VNFC instantiated operation instruction or the VNF expansion operation instruction is received.
  • VNFC instance newly installed in the embodiment of the present invention needs to apply for a certificate, Certificates can be requested through other VNFC instance agents that are certified on the same NFVI platform.
  • Embodiment 1 is a diagrammatic representation of Embodiment 1:
  • FIG. 1 it is a schematic flowchart of a method for obtaining a certificate according to Embodiment 1 of the present invention.
  • the method can be as follows.
  • the executor of the embodiment of the present invention may be a proxy VNFC instance that needs to apply for a certificate for the newly installed VNFC instance, or is called a primary VNFC instance; or may be a certificate obtained in a VNF instance that is associated with the newly installed VNFC instance. Other VNF components.
  • Step 101 The primary VNFC instance receives the certificate requesting proxy message sent by the newly installed VNFC instance.
  • the certificate application agent message includes a public key used by the newly installed VNFC instance to apply for a certificate.
  • step 101 when the VNFM (VNF Manager) receives an operation instruction for installing a new VNFC instance, the VNFM sends an operation instruction verification request message to the NFVO.
  • VNFM VNF Manager
  • the operation instructions for installing a new VNFC instance include an operation instruction instantiated by the VNFC, an operation instruction of the VNF expansion, and the like.
  • the operation command for installing a new VNFC instance may be manually or automatically triggered by an EMS (Element Management System), or may be obtained when the VNFM collects measurement data from the VF and finds that it needs to be expanded. There is no limit here.
  • the NFVO Upon receiving the operation instruction verification request information, the NFVO performs an operation decision, checks the resource availability, and sends an operation instruction confirmation message to the VNFM.
  • the operation command confirmation message includes at least one or more of location information and certificate authentication center information of the newly created VNFC instance.
  • the location information of the newly created VNFC instance may be VIM information associated with the NFVI in which the VNFC instance is located, such as VIM identification information or VIM address information.
  • the certificate authentication center information may include the certificate authentication center identifier in the carrier domain or the IP address of the certificate authentication center.
  • the certificate authority may be a network element having a certificate issuing function, such as a certificate authority (CA), a certificate authority (RA, a registration authority), or an element management system (EMS).
  • CA certificate authority
  • RA certificate authority
  • EMS element management system
  • the VNFM determines the certificate application policy of the newly installed VNFC instance based on the location information of the primary VNFC instance and the newly created VNFC instance.
  • the location information of the newly created VNFC instance is sent by the NFVO to the VNFM through an operation command confirmation message.
  • the location information of the newly created VNFC instance may be VIM information associated with the NFVI in which the VNFC is located, such as VIM identification information or VIM address information.
  • the certificate requesting policy is used to determine who is the agent to apply for a certificate for the newly installed VNFC instance.
  • the VNFM determines, according to the location information of the primary VNFC instance and the newly created VNFC instance, that the newly installed VNFC instance belongs to the same network function as the primary VNFC instance, and the same VNF is different from the same VNF on the NFVI platform. Component.
  • the VNFM confirms that the newly installed VNFC instance and the location information and/or VNF identification information of the primary VNFC instance belong to the same VNF platform on the same network function virtualization infrastructure FVI platform. Different components. Determining, by the VNFM, that the newly installed VNFC instance and the main VNFC instance belong to different components of the same VNF on the same network function virtualization infrastructure NFVI platform, determining a certificate application policy of the newly installed VNF instance, The certificate request information is sent to the newly installed VF instance.
  • the certificate application strategy is to use the method to apply for a certificate for the newly created VNFC instance, and whoever acts as an agent if the agent mechanism is adopted.
  • the certificate application policy includes certificate application information, and the certificate application information includes one or more of certificate application agent information and certificate application mode indication.
  • the certificate application agent message contains the identification information of the certificate application agent, for example: IP (Internet Protocol) address, MAC (Medium Access Control) identifier, and virtual NIC (Network Information Center) address. Wait.
  • IP Internet Protocol
  • MAC Medium Access Control
  • NIC Network Information Center
  • the certificate application mode indication may be an explicit indication or an implicit indication.
  • explicit indication for example: proxy mechanism, etc.
  • implicit indication can be implied by specifying proxy information.
  • the proxy VNFC instance which is the primary VNFC instance, is the proxy VNFC instance that is required to apply for a certificate for the newly installed VNFC instance.
  • the master VNFC can be the first VNFC created during the VNF instantiation process to be responsible for the internal management of the VNF.
  • the Master VNFC can be defined as the VNF.
  • a VNFC instance associated with an instance and located on the same Network Function Virtualization Infrastructure (NFVI) hardware platform.
  • NFVI Network Function Virtualization Infrastructure
  • the VNFM sends a VM message to the VIM to request the VIM to allocate resources to the VNFC to be installed.
  • the VM message includes the certificate request information.
  • the VIM instructs the NFVI to create the VM and sends the certificate request information to the NFVI.
  • the NFVI creates the VIM and sends a create confirmation message to the VIM.
  • the NFVI starts the VNFC instance in a secure manner, runs the newly installed VNFC instance on the created VM, and injects the certificate request information into the newly installed VNFC instance.
  • the newly installed VNFC instance determines the primary VNFC instance that executes the certificate application agent according to the certificate application proxy information included in the certificate application information, and sends a certificate request agent message to the primary VNFC instance.
  • the certificate application agent message includes a public key used by the newly installed VNFC instance to apply for a certificate.
  • the public key used to apply for a certificate by the newly installed VNFC instance can be determined by:
  • the network function virtualization infrastructure device NFVI generates a public-private key pair and injects it into the newly installed VNFC instance when instantiating the newly installed VNF instance.
  • the certificate requesting agent message may further include a certificate agent indication, a certificate authentication center information, and the like.
  • Step 102 The primary VNFC instance sends a certificate request message to the certificate authority according to the certificate requesting agent message, and requests the certificate authority to issue a certificate for the newly installed VNFC instance.
  • the certificate request message includes a certificate of the primary VNFC instance and a public key used by the newly installed VNFC instance to apply for a certificate.
  • step 102 the primary VNFC instance is used as a certificate requesting proxy for the newly installed VNFC instance, and the certificate registration is performed between the newly installed VNFC instance and the certificate authority.
  • the primary VNFC instance When the primary VNFC instance receives the certificate requesting agent message, it requests the agent message according to the certificate to generate a certificate request message.
  • the certificate request message includes a certificate of the primary VNFC instance and a public key used by the newly installed VNFC instance to request a certificate.
  • the primary VNFC instance signs the generated certificate request message with the private key corresponding to the installation certificate.
  • the primary VNFC instance sends a certificate request message to the certificate authority.
  • the certificate authority receives the certificate request message sent by the primary VNFC instance
  • the signature of the received certificate request message is verified by the primary VNFC instance certificate, and the primary VNFC instance certificate is verified using the root CA certificate or the intermediate certificate.
  • the certificate authority Upon verification, the certificate authority signs the public key used to apply for the certificate by the newly installed VNFC instance, and sends a certificate response message to the primary VNFC.
  • the certificate response message includes a certificate issued to the newly installed VNFC instance, and/or a root CA certificate.
  • Step 103 The primary VNFC instance obtains the certificate issued by the certificate authority.
  • the certificate is issued by the certificate authority according to the public key of the newly installed VNFC instance for applying for a certificate.
  • the method before the obtaining the certificate issued by the certificate authority, the method further includes:
  • the primary VNFC instance when receiving the certificate response message sent by the certificate authority, the primary VNFC instance verifies the signature of the received certificate response message by using the primary VNFC instance certificate, and verifies the CA certificate by using the root CA certificate or the intermediate certificate.
  • the intermediate certificate needs to be verified with the root CA certificate.
  • the primary VNFC instance obtains the certificate issued by the certificate certificate authority in the certificate response message to the newly installed VNFC instance when the verification is passed.
  • the certificate of the newly installed VNFC instance is included in the certificate request message by the certificate authority according to the certificate of the primary VNFC instance after being authenticated by the certificate request message sent by the primary VNFC.
  • the newly installed VNFC instance is obtained by applying the public copper signature of the certificate.
  • the certificate requesting agent message and the certificate request message It also contains information about the POP (Proof of Possession).
  • the POP information is obtained by the newly installed VNFC instance using a private key to the private key ownership certificate signature key field in the public-private key pair.
  • the public-private key pair used by the newly installed VNFC instance is obtained by: the newly installed VNFC instance generating a public-private key pair; or
  • the network function virtualization infrastructure device NFVI generates a public-private key pair and injects it into the newly installed VNFC instance when instantiating the newly installed VNF instance.
  • the method further includes:
  • the VNFC After the VNFC installs the certificate, it sends a confirmation certificate request to the NFVI, and the NFVI sends the certificate request to the VIM.
  • the VIM confirms the resource allocation to the VNFM.
  • the VNFM configures the newly installed VNFC instance, deploys specific parameters, and notifies the NFVO operation to complete.
  • the NF VO maps the VNFC instance to the VIM and the resource pool; the VNFM sends an acknowledgment message to the EM; and the EMS adds or updates the VNFC instance to be manageable.
  • Device, EMS applies application-specific parameter configuration to the newly installed VNFC instance.
  • the certificate request/response message can be forwarded through the EMS.
  • the certificate applied by the newly installed VNFC instance can also be issued by the EMS.
  • the VNFC instance that is newly installed by the primary VNFC instance agent performs certificate registration in the EMS.
  • the certificate request message can be forwarded for the newly installed VNFC instance.
  • the newly installed VNFC instance does not need to use the current VF to obtain the certificate, thereby effectively avoiding the new VNFC instance.
  • the problem that the installed VNFC instance obtains the certificate is cumbersome and complicated; the other certificate obtained by the same NFVI platform is obtained.
  • the VNFC instance uses the trusted channel between the VNFC instance and the certificate authority to replace the newly installed VNFC instance to apply for a certificate. This not only enables the certificate to be obtained securely, but also simplifies the process and improves the system response speed. The system operates efficiently.
  • Embodiment 2 is a diagrammatic representation of Embodiment 1:
  • FIG. 2 it is a schematic flowchart of a method for obtaining a certificate according to Embodiment 2 of the present invention.
  • the method can be as follows.
  • the executor of the embodiment of the present invention may be a CA, or other device having a certificate issued, for example, an RA or an EMS.
  • Step 201 The certificate authentication center receives the certificate request message sent by the primary VNFC instance.
  • the certificate request message includes a certificate of the primary VNFC instance and a public key used by the newly installed VNFC to apply for the certificate.
  • the primary VNFC instance that sends the certificate request message may be a VNFM agent or a master VNFC defined in the NFV, or may be another VF component that has obtained a certificate in the VNF instance that is associated with the newly installed VNFC instance. , here is not a limit.
  • Step 202 The certificate authentication center authenticates the certificate request message according to the certificate of the primary VNFC, and signs the issued public certificate of the newly installed VNFC instance for applying for a certificate when the authentication is passed.
  • step 202 the certificate authentication center authenticates the certificate request message according to the certificate of the primary VNFC, including:
  • the certificate authority uses the certificate of the primary VNFC instance to verify the signature of the certificate request message, and authenticates the received certificate of the primary V FC instance by using the issued root CA certificate or the issued intermediate certificate.
  • the CA when receiving the certificate request message sent by the primary VNFC instance, uses the primary VNFC instance certificate to verify the signature of the received certificate request message, and uses the root CA certificate or the intermediate certificate to verify the primary VNFC instance certificate.
  • the public key used to apply for the certificate is performed on the newly installed VNFC instance. Sign, and generate a certificate response message.
  • the certificate response message includes a certificate, a root CA certificate, and the like that are sent to the newly installed VNFC instance.
  • the certificate request message further includes POP information
  • the manner of authenticating the certificate request message further includes:
  • the POP information included in the certificate request message is authenticated by using a public key for requesting a certificate included in the certificate request message.
  • Step 203 The certificate authority sends the issued certificate to the primary VNFC instance.
  • the CA sends the generated certificate response message to the primary VNFC instance, where the certificate response message includes a certificate issued to the newly installed VNFC instance, and/or a root CA certificate.
  • the VNFC instance that has obtained the certificate on the same FVI hardware platform uses the trust channel established by the other VNFC instance and the certificate authentication center to replace the newly installed VNFC instance to apply for a certificate. Not only can it securely obtain certificates, but it also simplifies the process effectively, improves system response speed, and improves system operation efficiency.
  • Embodiment 3 is a diagrammatic representation of Embodiment 3
  • FIG. 3 it is a schematic flowchart of a method for obtaining a certificate according to Embodiment 3 of the present invention.
  • the method can be as follows.
  • the execution subject of the embodiment of the present invention is a newly installed VNFC instance.
  • Step 301 The newly installed VNFC instance sends a certificate requesting proxy message to the primary VNFC instance.
  • the certificate application proxy message includes a public key for applying for a certificate by the newly installed VNFC instance, and the certificate requesting proxy message is used to request the primary VNFC instance to send a certificate request message to the certificate authentication center, where the certificate is sent.
  • the request message is used to request the certificate authority to issue a certificate for the newly installed VNFC instance, where the certificate request message includes a certificate of the primary VNFC instance and the newly installed VNFC instance is used to apply for a certificate. Public key.
  • step 301 before sending the certificate requesting proxy message to the primary VNFC instance, the method further includes:
  • the newly installed VNFC instance receives the certificate request information sent by the NFVO or the VNFM.
  • the certificate application information includes the primary VNFC instance information used for the proxy certificate application.
  • the newly installed VNFC instance receives the certificate application policy information injected by the NFVI during the installation process.
  • the method for determining the certificate application policy information includes but is not limited to the following two types:
  • the second type is determined by the VNFM according to the location information of the primary VNFC and the newly created VNFC instance.
  • the location information of the newly created VNFC instance is sent by the NFVO to the VNFM.
  • the location information of the primary VNFC and the newly created VNFC instance is: VIM information associated with the FVI where the primary VNFC and the newly created VNFC instance are located, such as VIM identification information or VIM address information.
  • the certificate requesting policy is determined by the NFV compiler NFVO according to the location information of the primary VNFC and the newly created VNFC instance, in the following manner:
  • NFVO When NFVO receives an operation instruction for installing a new VNFC instance, NFVO sends an operation instruction verification request message to VNFM.
  • operation instructions for installing a new VNFC instance include an operation instruction instantiated by the VNFC, an operation instruction of the VNF expansion, and the like.
  • the operation command for installing a new VNFC instance may be manually or automatically triggered by an EMS (Element Management System), or may be obtained by NFVO collecting measurement data from the VF and finding that it needs to be expanded. There is no limit here.
  • EMS Event Management System
  • the VNFM Upon receiving the operation command verification request information, the VNFM sends an operation command confirmation message to the NFVO.
  • NFVO When receiving an operation command confirmation message, NFVO performs an operation decision, checks resource availability, selects a resource pool, and reserves resources.
  • the NFVO determines the certificate application policy of the newly installed VNFC instance according to the location information of the primary VNFC instance and the newly created VNFC instance, and sends the certificate application policy to the VNFM. Specifically, the NFVO confirms that the newly installed VNFC instance belongs to the same network function as the primary VNFC instance and belongs to the same VNF on the NF VI platform according to the location information of the primary VNFC instance and the newly created VNFC instance. Different components.
  • the NFVO confirms that the newly installed VNFC instance and the location information of the primary VNFC instance and/or the VNF identification information belong to the same VNF platform on the same network function virtualization infrastructure FVI platform. Different components.
  • the certificate application policy of the newly installed VNF instance is determined. And sending the certificate request information to the newly installed VF instance.
  • the certificate application strategy is the way to apply for a certificate for the newly created VNFC instance, and whoever acts as an agent if the agent mechanism is adopted.
  • the certificate application policy is determined by the VNFM according to the location information of the primary VNFC and the newly created VNFC instance.
  • the specific manner is as follows:
  • VNFM VNF Manager
  • the VNFM sends an operation instruction verification request message to the NFVO.
  • operation instructions for installing a new VNFC instance include an operation instruction instantiated by the VNFC, an operation instruction of the VNF expansion, and the like.
  • the operation command for installing a new VNFC instance may be manually or automatically triggered by an EMS (Element Management System), or may be obtained when the VNFM collects measurement data from the VF and finds that it needs to be expanded. There is no limit here.
  • EMS Event Management System
  • NFVO Upon receiving the operation instruction verification request information, NFVO performs an operation decision, checks resource availability, selects a resource pool, reserves resources, and sends an operation instruction confirmation message to the VNFM.
  • the operation instruction confirmation message includes location information of the newly created VNFC instance, and/or location information of the primary VNFC instance, and/or certificate authority CA information.
  • the certificate authentication center information may include the certificate authentication center identifier in the carrier domain or the IP address of the certificate authentication center.
  • the certificate authentication center may be an entity having a certificate issuing function, such as a CA, an RA, or an EMS.
  • the VNFM determines the certificate application policy of the newly installed VNFC instance based on the location information of the primary VNFC instance and the newly created VNFC instance.
  • the location information of the newly created VNFC instance is sent by the NFVO to the VNFM through an operation command confirmation message.
  • the VNFM confirms that the newly installed VNFC instance belongs to the same network function as the primary VNFC instance and belongs to the same VNF on the NF VI platform according to the location information of the primary VNFC instance and the newly created VNFC instance. Different components.
  • the VNFM confirms that the newly installed VNFC instance and the location information and/or VNF identification information of the primary VNFC instance belong to the same VNF platform on the same network function virtualization infrastructure FVI platform. Different components.
  • the certificate request information is sent to the newly installed VF instance.
  • the certificate application strategy is the way to apply for a certificate for the newly created VNFC instance, and whoever acts as an agent if the agent mechanism is adopted.
  • the difference between the first way to determine the certificate application policy and the second way to determine the certificate application strategy is:
  • the first way to determine the certificate application policy is determined by NFVO
  • the second way to determine the certificate application policy is VNFM is determined.
  • the certificate application policy includes certificate application information, and the certificate application information includes one or more of certificate application agent information and certificate application mode indication.
  • the certificate request information is sent to the newly installed V F instance after the NFVO or the VNFM determines the certificate application policy of the newly installed VNF instance.
  • the certificate request information is generated by the NFVO or the VNFM to confirm that the newly installed VNFC instance belongs to a different component of the same VNF on the same network function virtualization infrastructure NFVI platform as the primary VNFC instance.
  • the NFVO or VNFM confirms that both the VNFC instance and the primary VNFC instance have the same VNF on the same network function virtualization infrastructure NF VI platform according to the location information and/or the VNF identification information of the primary VNFC instance. Different components.
  • the certificate application agent information includes the identification information of the certificate application agent, for example: IP (Internet Protocol) address, MAC (Medium Access Control) identifier, and virtual NIC (Network Information Center) address. Wait.
  • IP Internet Protocol
  • MAC Medium Access Control
  • NIC Network Information Center
  • the certificate application mode indication may be an explicit indication or an implicit indication.
  • explicit indication for example: proxy mechanism, etc.
  • implicit indication can be implied by specifying proxy information.
  • the proxy VNFC instance which is the primary VNFC instance, is the proxy VNFC instance that is required to apply for a certificate for the newly installed VNFC instance.
  • the VNFM agent or the master VNFC defined in the NFV the VNFC created by the VNFC in the VNF instantiation process is used to be responsible for the internal management of the VNF.
  • the primary VNFC instance can be defined as the VNF.
  • NFVI Network Function Virtualization Infrastructure
  • the NFVO sends a create VM message to the VIM to request the VIM to allocate resources for the VM to be installed, where the create VM message includes Certificate application information.
  • the VIM instructs the NFVI to create the VM and sends the certificate request information to the NFVI.
  • the NFVI creates the VM and sends a create confirmation message to the VIM.
  • the NFVI starts the newly installed VNFC instance in a secure manner, runs the newly installed VNFC instance on the created VM, and injects the certificate request information into the newly installed VNFC instance.
  • the VNFM After the VNFM determines the certificate application policy, the VNFM sends a create VM message to the VIM to request the VIM to allocate resources for the VM to be installed, where the VM message includes the certificate request. information.
  • VIM instructs FVI to create a VM and sends certificate request information to NFVI, NFVI creation The VM, and sends a create confirmation message to the VIM.
  • the NF VI starts the VNFC in a secure manner, runs the newly installed VNFC instance on the created VM, and injects the certificate request information into the newly installed VNF instance.
  • the method further includes: the newly installed VNFC instance establishes a network connection with the primary VNFC instance for the certificate requesting agent according to the certificate request information.
  • the network connection belongs to a network connection inside the VNF of the same NF VI platform.
  • the newly installed VNF instance requests the proxy information of the certificate included in the certificate request information, determines the primary VNFC instance that executes the certificate requesting agent, and sends a certificate requesting proxy message to the primary VNFC instance.
  • the primary VNFC information used by the certificate requesting agent includes the Internet Protocol IP address of the primary VNFC instance, the medium access control MAC identity, and the virtual network information center NIC address.
  • the certificate application agent message includes a public key used by the newly installed VNFC instance to apply for a certificate.
  • the public key used to apply for a certificate by the newly installed VNFC instance can be determined by:
  • the newly installed VNFC instance generates a public-private key pair
  • the network function virtualization infrastructure device NFVI generates a public-private key pair and injects into the newly installed V-F instance when instantiating the newly installed VNF instance.
  • the certificate application agent message further includes POP information, and the POP information is obtained by the newly installed VNFC instance using a private key to the private key ownership certificate signature key field in the public-private key pair.
  • the certificate requesting agent information may further include a certificate proxy indication, CA information, and the like.
  • Step 302 The newly installed VNFC instance receives the certificate issued by the certificate authority that is sent by the primary VNFC instance.
  • the certificate is a newly installed VNFC when the certificate authentication center passes the certificate request message sent by the primary VNFC instance according to the certificate of the primary VNFC instance.
  • the instance is used to sign the public key of the certificate.
  • the certificate authority may be an entity having a certificate issuing function such as CA, RA or EMS.
  • the method before sending the certificate requesting proxy information to the primary VNFC instance, the method further includes:
  • the other VNFC instance that has obtained the certificate on the same F VI platform uses the trust channel established by the other VNFC instance and the certificate authentication center to replace the newly installed VNFC instance to apply for a certificate. Not only can the certificate be obtained securely, but also the process is effectively streamlined, the system response speed is improved, and the system operation efficiency is improved.
  • Embodiment 4 is a diagrammatic representation of Embodiment 4:
  • FIG. 4 it is a schematic flowchart of a method for obtaining a certificate according to Embodiment 4 of the present invention.
  • the method can be as follows.
  • Step 401 The VNFM receives an operation instruction for installing a new VNFC instance.
  • operation instructions for installing a new VNFC instance include an operation instruction instantiated by the VNFC, an operation instruction of the VNF expansion, and the like.
  • the operation command for installing a new VNFC instance may be manually or automatically triggered by an EMS (Element Management System), or may be obtained when the VNFM collects measurement data from the VNF and finds that it needs to be expanded. There is no limit here.
  • EMS Event Management System
  • Step 402 The VNFM sends an operation instruction verification request message to the NF VO.
  • Step 403 When receiving the operation instruction verification request information, the NFVO performs an operation decision and checks resource availability.
  • Step 404 The NFVO sends an operation instruction confirmation message to the VNFM.
  • the operation instruction confirmation message includes location information of the newly created VNFC instance, and/or certificate authentication center information.
  • the location information of the newly created VNFC instance is: The newly created VNFC instance is located.
  • the VIM information associated with the F VI such as VIM identification information or VIM address information.
  • the certificate authentication center information may include the certificate authentication center identifier in the carrier domain or the IP address of the certificate authentication center.
  • the certificate authentication center may be an entity having a certificate issuing function such as a CA, an RA, or an EMS.
  • Step 405 The VNFM determines the certificate application policy of the newly installed VNFC instance according to the location information of the primary VNFC instance and the newly created VNFC instance.
  • the certificate requesting policy is used to determine who is the agent to apply for a certificate for the newly installed VNFC instance.
  • the VNFM confirms that the newly installed VNFC instance belongs to the same network function as the primary VNFC instance and belongs to the same VNF on the NF VI platform according to the location information of the primary VNFC instance and the newly created VNFC instance. Different components.
  • the VNFM confirms that the newly installed VNFC instance and the location information and/or VNF identification information of the primary VNFC instance belong to the same VNF platform on the same network function virtualization infrastructure FVI platform. Different components.
  • the certificate request information is sent to the newly installed VF instance.
  • the certificate application strategy is the way to apply for a certificate for the newly created VNFC instance, and whoever acts as an agent if the agent mechanism is adopted.
  • the certificate application policy includes certificate application information, and the certificate application information includes one or more of certificate application agent information and certificate application mode indication.
  • the certificate application information is sent to the newly installed VNF instance after the VNFM determines the certificate application policy of the newly installed VNF instance.
  • the certificate application information is generated after the VNFM confirms that the newly installed VNFC instance belongs to a different component of the same VNF on the same network function virtualization infrastructure NFVI platform as the primary VNFC instance. Specifically, the VNFM confirms that the newly installed VNFC instance and the location information and/or VNF identification information of the primary VNFC instance belong to the same VNF platform on the same network function virtualization infrastructure FVI platform. Different components.
  • the certificate application agent information includes the identification information of the certificate application agent, for example: IP (Internet Protocol) address, MAC (Medium Access Control) identifier, and virtual NIC (Network Information Center) address. Wait.
  • IP Internet Protocol
  • MAC Medium Access Control
  • NIC Network Information Center
  • the certificate application mode indication may be an explicit indication or an implicit indication, an explicit indication, such as: an agent mechanism, etc.; an implicit indication may be implied by formulating agent information.
  • the proxy VNFC instance which is the primary VNFC instance, is the proxy VNFC instance that is required to apply for a certificate for the newly installed VNFC instance.
  • the VNF is defined in the NFV.
  • the VNFC is the first VNFC created by the VNFC to be responsible for the internal management of the VNF.
  • the primary VNFC can be defined as related to the VF instance.
  • VNFC on the hardware platform of the same Network Function Virtualization Infrastructure (NFVI).
  • NFVI Network Function Virtualization Infrastructure
  • Step 406 The VNFM sends a create VM message to the VIM to request the VIM to allocate resources for the VM to be installed.
  • the certificate creation information is included in the create VM message.
  • Step 407 The VIM instructs the NFVI to create a VM and sends the certificate request information to the NFVI.
  • Step 408 The NFVI creates a VM and sends a create confirmation message to the VIM.
  • Step 409 After the VM is created, the NFVI starts the newly installed VNFC instance in a secure manner, runs the newly installed VNFC instance on the created VM, and injects the certificate application information into the newly installed VNFC instance.
  • Step 410 The newly installed VNFC instance determines, according to the certificate application information, a primary VNFC instance that executes the certificate application agent, and establishes a network connection with the primary VNFC instance used for the certificate application agent.
  • the network connection belongs to a network connection inside the VNF of the same NFVI platform.
  • Step 411 The newly installed VNF instance sends a certificate requesting proxy message to the primary VNFC instance.
  • the certificate application agent message includes a public key used by the newly installed VNFC instance to apply for a certificate.
  • the public key used to apply for a certificate by the newly installed VNFC instance can be determined by:
  • the newly installed VNFC instance generates a public-private key pair
  • the network function virtualization infrastructure device NFVI generates a public-private key pair and injects into the newly installed VNFC instance when instantiating the newly installed VNFC instance.
  • the certificate application agent message further includes POP information, where the POP information is signed by the newly installed VNFC instance using a private key to the private key ownership certificate signature key POP Signing Key field in the public-private key pair. get.
  • the certificate requesting agent information may further include a certificate proxy indication, CA information, and the like.
  • Step 412 The primary VNFC instance exchanges information with the certificate authority according to the certificate application proxy message, and obtains a certificate issued by the CA to the newly installed VNFC instance.
  • step 412 is the same as the first embodiment of the present invention.
  • the second embodiment of the present invention and the third embodiment of the present invention replace the newly installed VNFC instance with the main VNFC instance to obtain the certificate issued by the certificate authentication center to the newly installed VNFC instance. , will not be described in detail here.
  • Step 413 The primary VNFC instance sends the obtained certificate issued by the certificate authority to the newly installed VNFC instance to the newly installed VNFC instance through the internal network connection.
  • Step 414 The newly installed VNFC instance installs a certificate.
  • Step 415 After the VNFC installs the certificate, the confirmation certificate application is sent to the NF VI.
  • Step 416 The NFVI sends a certificate request to the VIM to complete.
  • Step 417 The VIM confirms that the resource allocation is completed to the VNFM.
  • Step 418 The VNFM configures the newly installed VNFC instance, deploys specific parameters, and notifies the NFVO operation.
  • NF VO maps VNFC instances to VIMs and resource pools; VNFM sends acknowledgment messages to EMs; EMS adds or updates VNFC instances to manageable devices, and EMS pairs newly installed VNFCs For example, apply specific parameter configuration.
  • the certificate request/response message can be forwarded through the EMS.
  • the certificate applied by the newly installed VNFC instance can also be issued by the EMS.
  • the VNFC instance that is newly installed by the primary VNFC instance agent performs certificate registration in the EMS.
  • the other VNFC instances that have obtained the certificate on the same F VI platform use the trust channel established by the other VNFC instance and the certificate authentication center to replace the newly installed VNFC instance to apply for a certificate. Not only can the certificate be obtained securely, but also the process is effectively streamlined, the system response speed is improved, and the system operation efficiency is improved.
  • Embodiment 5 is a diagrammatic representation of Embodiment 5:
  • a method for obtaining a certificate according to the fifth embodiment of the present invention is basically the same as the method for obtaining a certificate provided in the fourth embodiment, and the difference is that the certificate application policy is determined differently.
  • the NFVO transmits an operation instruction verification request message to the VNFM.
  • operation instructions for installing a new VNFC instance include an operation instruction instantiated by the VNFC, an operation instruction of the VNF expansion, and the like.
  • the operation instruction for installing a new VNFC instance may be manually or automatically triggered by an EMS (Element Management System), or may be obtained by NFVO collecting measurement data from the VNF and finding that it needs to be expanded. There is no limit here.
  • EMS Event Management System
  • the VNFM Upon receiving the operation command verification request information, the VNFM sends an operation command confirmation message to the NFVO.
  • NFVO When receiving an operation command confirmation message, NFVO performs an operation decision, checks resource availability, selects a resource pool, and reserves resources. Based on the location information of the primary VNFC instance and the newly created VNFC instance, the NFVO determines the certificate requesting policy of the newly installed VNFC instance and sends the certificate requesting policy to the VNFM.
  • the certificate application policy includes certificate application information.
  • the certificate request information is sent to the newly installed VNF instance after the NFVO determines the certificate application policy of the newly installed VNF instance.
  • the certificate request information is generated after the NFVO confirms that the newly installed VNFC instance belongs to the same VNF platform on the same network function virtualization infrastructure F VI platform as the main VNFC instance.
  • the NFVO confirms that the newly installed VNFC instance and the location information of the primary VNFC instance and/or the VNF identification information belong to the same VNF platform on the same network function virtualization infrastructure FVI platform. Different components.
  • FIG. 5 it is a schematic structural diagram of a certificate obtaining device according to Embodiment 6 of the present invention.
  • the device includes: a receiving module 51, a sending module 52, and an obtaining module 53, where:
  • the receiving module 51 is configured to receive a certificate application proxy message sent by the newly installed virtual network function VNFC instance, where the certificate requesting proxy message includes a public key used by the newly installed VNFC instance to apply for a certificate;
  • the sending module 52 is configured to send a certificate request message to the certificate authority according to the certificate requesting agent message received by the receiving module 51, requesting the certificate authority to issue a certificate for the newly installed VNFC instance, where
  • the certificate request message includes a certificate of the primary VNFC instance and a public key used by the newly installed VNFC instance to apply for a certificate;
  • the obtaining module 53 is configured to obtain a certificate issued by the certificate authority, where the certificate is used by the certificate authority to use the newly installed VKFC instance to issue a public key for applying for a certificate.
  • the device further includes: a verification module 54 , where:
  • the receiving module 51 is further configured to: before the obtaining module obtains the certificate issued by the certificate authentication center, receive a certificate response message sent by the certificate authentication center;
  • the verification module 54 is configured to verify the certificate response message received by the receiving module 51.
  • the certificate response message includes a certificate issued by the certificate authority;
  • the obtaining module 53 is specifically configured to: when the verification module determines to pass the verification of the certificate response message, obtain a certificate that is sent by the certificate authentication center to the newly installed VNFC instance included in the certificate response message.
  • the certificate of the newly installed VNFC instance is requested by the certificate authority according to the certificate of the primary VNFC instance, after the certificate request request message sent by the primary VNFC is authenticated, and the certificate request message is sent.
  • the newly installed VNFC instance included in the certificate is obtained by signing the public key of the certificate.
  • the certificate requesting agent message and the certificate request message further include a private key possessive proof POP information.
  • the POP information is obtained by signing, by the newly installed VNFC instance, a private key to a private key ownership certificate signature key field in a public-private key pair.
  • the public-private key pair used by the newly installed VNFC instance is obtained by: the newly installed VNFC instance generating a public-private key pair; or
  • Network Function Virtualization Infrastructure NFVI generates a public-private key pair and injects it into the newly installed VNFC instance.
  • the sending module 52 is further configured to: after the obtaining module obtains the certificate issued by the certificate authority to the newly installed VNFC instance, the obtained certificate authentication center is sent to the newly installed VNFC instance.
  • the certificate is sent to the newly installed VNFC instance via the internal network.
  • the primary VNFC instance belongs to the same network function as the newly installed VNFC instance, and the different components of the same VNF in the NF VI platform.
  • the device described in the embodiment of the present invention may be other components of the same VNF in the same network function virtualization infrastructure NFVI platform as the newly installed VNFC instance, for example: a main VNFC instance, implemented.
  • the method can be implemented by hardware or by software.
  • FIG. 6 is a schematic structural diagram of a certificate obtaining device according to Embodiment 7 of the present invention.
  • the device includes: a receiving module 61, a certificate issuance module 62, and a sending module 63, where:
  • the receiving module 61 is configured to receive a certificate request message sent by the primary VNFC instance, where The certificate request message includes the certificate of the primary VNFC instance and the public key of the newly installed VNFC instance for requesting the certificate;
  • the certificate issuance module 62 is configured to authenticate the certificate request message according to the certificate of the primary VNFC instance received by the receiving module, and use the newly installed VNFC instance to apply for a certificate when the authentication is passed.
  • the key signature is issued a certificate;
  • the sending module 63 is configured to send the issued certificate issued by the certificate issuing module to the primary VNFC instance.
  • the certificate issuance module 62 is configured to verify the signature of the certificate request message by using the certificate of the primary VNFC instance, and use the issued root CA certificate or the issued intermediate certificate to receive the received primary VNFC. The certificate of the instance is verified.
  • the certificate request message further includes a private key ownership certificate POP information.
  • the certificate issuance module 62 is further configured to authenticate the POP information included in the certificate request message by using a public key for applying for a certificate included in the certificate request message.
  • the device in the embodiment of the present invention may be a certificate authentication center, for example, a network element device with a certificate issuing function, such as a CA, an ESA, or an RA.
  • the implementation manner may be implemented by using a hardware method or a software mode. achieve.
  • FIG. 7 is a schematic structural diagram of a certificate obtaining device according to Embodiment 8 of the present invention.
  • the device includes: a sending module 71 and a receiving module 72, where:
  • the sending module 71 is configured to send a certificate requesting proxy message to the primary virtual network function VNFC instance, where the certificate requesting proxy message includes a public key used by the newly installed VNFC instance to apply for a certificate, where the certificate application proxy message is used.
  • the requesting the primary VNFC instance sends a certificate request message to the certificate authority, where the certificate request message is used to request the certificate authority to issue a certificate for the newly installed VNFC instance, where the certificate request message includes the The certificate of the primary VNFC instance and the public key of the newly installed VNFC instance for requesting the certificate;
  • the receiving module 72 is configured to receive a certificate issued by the certificate authority that is sent by the primary VNFC instance, where the certificate is sent by the certificate authority to the newly installed VNFC instance.
  • the public key signature used to apply for the certificate is configured to receive a certificate issued by the certificate authority that is sent by the primary VNFC instance, where the certificate is sent by the certificate authority to the newly installed VNFC instance.
  • the public key signature used to apply for the certificate.
  • the receiving module 71 is further configured to: before sending the certificate requesting proxy message to the primary VNFC, receive the certificate request information sent by the NFVO or the VNFM, where the certificate request information includes the proxy certificate application. Primary VNFC instance information.
  • the device further includes: an establishing module 73, where:
  • the establishing module 73 is configured to establish, according to the certificate application information received by the receiving module, a network connection with the primary VNFC instance for the certificate application proxy, before sending the certificate requesting proxy message to the primary VNFC,
  • the network connection belongs to a network connection inside the VNF of the same network function virtualization infrastructure NFVI platform.
  • the receiving module 72 is specifically configured to receive certificate application information injected by the network function virtualization infrastructure device NFVI during installation.
  • the primary VNFC information used by the certificate requesting agent includes an Internet Protocol IP address of the primary VNFC instance, a medium access control MAC identifier, and a virtual network information center NIC address.
  • the public key of the newly installed VNFC instance for applying for a certificate is obtained by:
  • the newly installed VNFC instance generates a public-private key pair
  • the NFVI generates a public-private key pair and injects it into the newly installed VNFC instance.
  • the triggering manner for the newly installed VNFC instance to send a certificate request proxy message to the primary VNFC instance includes:
  • V F Triggered by V F instantiation; or, triggered by V F expansion.
  • the device in the embodiment of the present invention may need to be a newly installed VNFC instance that is required to apply for a certificate, or may be a control network element integrated on a newly installed VNFC instance that needs to apply for a certificate, and the implementation manner may be through hardware.
  • the implementation of the method can also be implemented by software, which is not limited herein.
  • FIG. 8 is a schematic structural diagram of a certificate obtaining device according to Embodiment 9 of the present invention.
  • the apparatus includes: a signal receiver 81, a signal transmitter 82, and a processor 83, wherein the signal receiver 81, the signal transmitter 82, and the processor 83 are connected by a communication bus 84.
  • the signal receiver 81 is configured to receive a certificate application proxy message sent by the newly installed virtual network function VNFC instance, where the certificate requesting proxy message includes a public key used by the newly installed VNFC instance to apply for a certificate;
  • the signal transmitter 82 is configured to send a certificate request message to the certificate authority according to the certificate requesting agent message, requesting the certificate authority to issue a certificate for the newly installed VNFC instance, where the certificate request message includes The certificate of the primary VNFC instance and the public key of the newly installed VNFC instance for requesting the certificate;
  • the processor 83 is configured to obtain a certificate issued by the certificate authority, where the certificate is issued by the certificate authority using the newly installed VNFC instance for applying for a certificate.
  • the signal receiver 81 is further configured to receive a certificate response message sent by the certificate authority before acquiring the certificate issued by the certificate authority.
  • the processor 83 is further configured to verify the received certificate response message.
  • the certificate response message includes a certificate that is issued by the certificate authority, and the processor 83 is configured to acquire, in the certificate response message, the location included in the certificate response message.
  • a certificate issued by the certificate authority to the newly installed VNFC instance where the certificate of the newly installed VNFC instance is sent by the certificate authority according to the certificate of the primary VKFC instance by sending the certificate to the primary VNFC
  • the newly installed VNFC instance included in the certificate request message is obtained by using the public steel signature of the certificate.
  • the certificate requesting agent message and the certificate request message further include a private key possessive proof POP information.
  • the POP information is obtained by signing, by the newly installed VNFC instance, a private key to a private key ownership certificate signature key field in a public-private key pair.
  • the public-private key pair used by the newly installed VNFC instance is obtained by: The newly installed VNFC instance generates a public-private key pair; or
  • Network Function Virtualization Infrastructure NFVI generates a public-private key pair and injects it into the newly installed VNFC instance.
  • the signal transmitter 82 is further configured to: after obtaining the certificate issued by the certificate authority to the newly installed VNFC instance, issue the obtained certificate authentication center to the newly installed VNFC.
  • the certificate of the instance is sent to the newly installed VNFC instance through the internal network.
  • the primary VNFC instance belongs to the same network function as the newly installed VNFC instance, and the different components of the same VNF in the NF VI platform.
  • the processor 83 can be a general purpose central processing unit (CPU), a microprocessor, an application-specific integrated circuit (ASIC), or one or more integrated circuits for controlling the execution of the program of the present invention.
  • CPU central processing unit
  • ASIC application-specific integrated circuit
  • the communication bus 84 can include a path for communicating information between the components.
  • the device described in the embodiment of the present invention may be other components of the same VNF in the same network function virtualization infrastructure NFVI platform as the newly installed VNFC instance, for example: a main VNFC instance, implemented.
  • the method can be implemented by hardware or by software.
  • FIG. 9 is a schematic structural diagram of a certificate obtaining device according to Embodiment 10 of the present invention.
  • the device includes: a signal receiver 91, a processor 92, and a signal transmitter 93, where: a signal receiver 91, processing The transmitter 92 and the signal transmitter 93 are connected by a communication bus 94.
  • the signal receiver 91 is configured to receive a certificate request message sent by the primary VNFC instance, where the certificate request message includes a certificate of the primary VNFC instance and a public key used by the newly installed VNFC instance to apply for the certificate;
  • the processor 92 is configured to authenticate the certificate request message according to the certificate of the primary VNFC instance, and sign the public key of the newly installed VNFC instance for applying for a certificate when the authentication is passed, and obtain the issued certificate;
  • the signal transmitter 93 is configured to send the issued certificate to the primary VNFC instance.
  • the processor 92 is specifically configured to verify the signature of the certificate request message by using a certificate of the primary VNFC instance, and use the signed root CA certificate or the issued intermediate certificate to receive the received primary VNFC instance. The certificate is verified.
  • the certificate request message further includes a private key ownership certificate POP information.
  • the processor 92 is further configured to authenticate, by the certificate authority, the POP information included in the certificate request message by using a public key for requesting a certificate included in the certificate request message.
  • the processor 92 can be a general purpose central processing unit (CPU), a microprocessor, an application-specific integrated circuit (ASIC), or one or more integrated circuits for controlling the execution of the program of the present invention.
  • CPU central processing unit
  • ASIC application-specific integrated circuit
  • the communication bus 94 can include a path for communicating information between the components.
  • the device in the embodiment of the present invention may be a certificate authentication center, for example, a network element device with a certificate issuing function, such as a CA, an ESA, or an RA.
  • the implementation manner may be implemented by using a hardware method or a software mode. achieve.
  • FIG. 10 it is a schematic structural diagram of a certificate obtaining device according to Embodiment 11 of the present invention.
  • the device includes: a signal transmitter 1001 and a signal receiver 1002, wherein the signal transmitter 1001 and the signal receiver 1002 Connected via communication bus 1003.
  • the signal transmitter 1001 is configured to send a certificate requesting proxy message to the primary virtual network function VNFC instance, where the certificate requesting proxy message includes a public key used by the newly installed VNFC instance to apply for a certificate, and the certificate application proxy message And the method for requesting the primary VNFC to send a certificate request message to the certificate authority, where the certificate request message is used to request the certificate authority to issue a certificate for the newly installed VNFC instance, where the certificate request message includes a certificate of the primary VNFC instance and a public key of the newly installed VNFC instance for requesting a certificate;
  • the signal receiver 1002 is configured to receive a certificate issued by the certificate authority that is sent by the primary VNFC instance, where the certificate is used by the certificate authority to apply for a certificate for the newly installed VNFC instance. Key signature obtained.
  • the signal receiver 1002 is further configured to send a certificate requesting proxy to the primary VNFC.
  • the certificate request information sent by the NFVO or the VNFM is received, where the certificate application information includes the primary VNFC instance information used for the proxy certificate application.
  • the device further includes: a processor 1004, where:
  • the processor 1004 is configured to establish, according to the certificate application information, a network connection with the primary VNFC instance for the certificate requesting agent, before the sending the certificate requesting agent message to the primary VNFC, where the network connection belongs to The same network function virtualizes the infrastructure of the VNF internal network infrastructure of the NFVI platform.
  • the signal receiver 1002 is specifically configured to receive certificate application information injected by the network function virtualization infrastructure device NFVI during installation.
  • the primary VNFC information used by the certificate requesting agent includes an Internet Protocol IP address of the primary VNFC instance, a medium access control MAC identifier, and a virtual network information center NIC address.
  • the public key of the newly installed VNFC instance for applying for a certificate is obtained by:
  • the newly installed VNFC instance generates a public-private key pair
  • the NFVI generates a public-private key pair and injects it into the newly installed VNFC instance.
  • the triggering manner for the newly installed VNFC instance to send a certificate request proxy message to the primary VNFC instance includes:
  • the processor 1004 can be a general purpose central processing unit (CPU), a microprocessor, an application-specific integrated circuit (ASIC), or one or more integrated circuits for controlling the execution of the program of the present invention.
  • CPU central processing unit
  • ASIC application-specific integrated circuit
  • the communication bus 1003 can include a path for communicating information between the components.
  • the device in the embodiment of the present invention may need to be a newly installed VNFC instance that is required to apply for a certificate, or may be a control network element integrated on a newly installed VNFC instance that needs to apply for a certificate, and the implementation manner may be through hardware.
  • the way to achieve, can also be achieved by software, here Not limited.
  • embodiments of the present invention can be provided as a method, apparatus (device), or computer program product. Accordingly, the present invention may take the form of an entirely hardware embodiment, an entirely software embodiment, or a combination of software and hardware. Moreover, the invention can take the form of a computer program product embodied on one or more computer-usable storage media (including but not limited to disk storage, CD-ROM, optical storage, etc.) including computer usable program code.
  • a computer-usable storage media including but not limited to disk storage, CD-ROM, optical storage, etc.
  • the computer program instructions can also be stored in a computer readable memory that can direct a computer or other programmable data processing device to operate in a particular manner, such that the instructions stored in the computer readable memory produce an article of manufacture comprising the instruction device.
  • the apparatus implements the functions specified in one or more blocks of a flow or a flow and/or block diagram of the flowchart.
  • These computer program instructions can also be loaded onto a computer or other programmable data processing device such that a series of operational steps are performed on a computer or other programmable device to produce computer-implemented processing for execution on a computer or other programmable device.
  • the instructions provide steps for implementing the functions specified in one or more of the flow or in a block or blocks of a flow diagram.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明公开了一种证书获取方法和设备，接收新安装的VNFC实例发送的证书申请代理消息；并向证书认证中心发送证书请求消息；获取所述证书认证中心签发的证书，这样，对于新安装的VNFC实例，无需采用目前VNF 获取证书的方式，有效避免了新安装的VNFC实例获取证书出现的过程繁琐、复杂度增大的问题；通过同一个网络功能虚拟化基础设施平台上已获取证书的其他VNFC实例，利用其他VNFC实例建立的与证书认证中心之间的信任通道，代替新安装的VNFC实例申请证书，不仅能够安全获取证书，而且还有效地简化了流程，提升了系统反应速度，改善了系统运行效率。

Description

一种证书获取方法和设备 技术领域
本发明涉及虚拟网络部署领域， 尤其涉及一种证书获取方法和设备。 背景技术
NFV ( Network Function Virtualization, 网络功能虚拟化）是以 "传统网 络虚拟化" 为目的而成立的标准组织， 制定了一套在虚拟化环境下部署网络 的标准。 通过 NFV组织制定的标准， 可以实现网络的虚拟化以及灵活部署等 能力。
在 NFV技术中引入 VNF ( Virtualized Network Function, 虚拟化的网络功 能），使得传统 CT网络以及网络节点的架构发生较大变化。在新的电信架构下， 传统的物理电信节点演变为虚拟设备中的虚拟节点， 并以虚拟机的形式存在。 这样使得多个传统物理节点共同部署在同一个物理宿主机上， 共享硬件资源， 甚至与其他第三方应用软件共享资源， 提升了同一个虚拟设备中不同虚拟机 之间的通信性能。
例如： 传统的 IP ( Internetworking Protocol, 组网协议） 网络通过虚拟交 换机、 虚拟网络适配器演变为虚拟网络， 不同虚拟机之间通过虚拟网络进行 通信， 这样就绕过了传统物理网络设备。
虚拟网络与传统网络相同， 虚拟网络内部虚拟机之间通信、 虚拟机与外 部网络之间进行通信都面临着网络安全风险。 例如： 虚拟机之间的相互攻击， 宿主机应用利用与虚拟机网络互通进行攻击等。 对此， 虚拟网络采用安全技 术（例如： IPSec技术、 TLS ( Transport Layer Security, 传输层安全协议）技 术等）， 建立虚拟机之间的安全连接。 上述的安全技术需要相互通信的两个虚 拟机上配置基于 X.509的证书， 以实现通信对端的相互验证。
在虚拟化场景下， VNF是一組软件，在需要的时候进行实例化。 所谓 VNF 的实例化， 是指为一个 VNF软件确定并分配需要的虚拟化资源并安装该 VNF 软件的过程。 由于实例化的 VNF不是传统的硬件实体， 并不一直存在， 而是 以软件方式按需生成、 动态存在， 且其安装的物理位置也不固定。 因此传统 的实体证书配置方法并不适用于 VNF这种虚拟软件。
为了根据 VNF的特性为 VNF配置证书， 目前提出了一种证书配置方式， 即在 VNF实例化的过程中， 由运营商为实例化的 VNF配置初始证书， 并安装 在实例化的 VNF上； 实例化的 VNF利用初始证书， 从证书认证中心 （CA, Certification Authority ) 获取证书。
在实际应用中， VNFC ( Virtual Network Function Component, 虚拟化的 网络功能组件）作为 VNF的组件， 获取 CA签发的证书的方式与 VNF获取证书 的方式相同， 即通过 VNF实例化时对每一个 VNFC配置初始证书， 并在 VNFC 实例化后进行成功安装； 此后 VNFC实例利用初始证书向 CA申请正式证书。 引入初始证书之后， 使得 VNF获取证书的流程比较复杂， 且初始证书关联的 私钥在传递过程中面临泄露的风险， 降低了 VNF获取证书的安全性。
然而， 在 NFV场景下， VNF可以有多个实施例。 在使用的过程中， 为了 提高网络性能， 可能需要增加新的 VNFC。 对于新增加的 VNFC， 如果需要对 外通信则需要获取证书， 而若依然采用上述利用初始证书获取正式证书的方 式， 不仅过程繁瑣、 复杂度增大， 而且使得系统反应速度降低， 运行效率也 降低。 发明内容
有鉴于此， 本发明实施例提供了一种证书获取方法和设备， 用于解决对 于 V F新增加的 VNFC如何获取证书以改善系统反应速度、增加系统运行效 率的问题。
根据本发明的第一方面， 提供了一种证书获取设备， 包括：
接收模块， 用于接收新安装的虚拟网络功能 VNFC实例发送的证书申请 代理消息， 其中， 所述证书申请代理消息中包含了所述新安装的 VNFC 实例 用于申请证书的公钥； 发送模块， 用于根据所述接收模块接收到的所述证书申请代理消息， 向 证书认证中心发送证书请求消息， 请求所述证书认证中心为所述新安装的
VNFC实例签发证书， 其中， 所述证书请求消息中包含了主 VNFC 实例的证 书和所述新安装的 VNFC实例用于申请证书的公钥；
获取模块， 用于获取所述证书认证中心签发的证书， 其中， 所述证书是 由所述证书认证中心使用所述新安装的 VNFC 实例用于申请证书的公钥签发 的。
结合本发明第一方面可能的实施方式中， 第一种可能的实施方式， 所述 设备还包括：
所述接收模块， 还用于在所述获取模块获取所述证书认证中心签发的证 书之前， 接收所述证书认证中心发送的证书响应消息；
验证模块， 用于对所述接收模块接收到的所述证书响应消息进行验证。 结合本发明第一方面的第一种可能的实施方式中， 第二种可能的实施方 式， 所述证书响应消息中包含了所述证书认证中心签发的证书；
所述获取模块， 具体用于在所述验证模块确定对所述证书响应消息验证 通过时， 获取所述证书响应消息中包含的所述证书认证中心签发给所述新安 装的 VNFC实例的证书， 其中， 所述新安装的 VNFC实例的证书是由所述证 书认证中心根据所述主 VNFC实例的证书， 通过对所述主 VNFC发送的证书 申请请求消息的认证后， 对所述证书请求消息中包含的所述新安装的 VNFC 实例用于申请证书的公钥签名得到的。
结合本发明第一方面可能的实施方式中， 或者结合本发明第一方面的第 一种可能的实施方式中， 或者结合本发明第一方面的第二种可能的实施方式 中， 第三种可能的实施方式， 所述证书申请代理消息和所述证书请求消息中 还包含了私钥拥有性证明 POP信息。
结合本发明第一方面的第三种可能的实施方式中， 第四种可能的实施方 式， 所述 POP信息由所述新安装的 VNFC实例使用公私密钥对中的私钥对私 钥拥有性证明签名关键字字段进行签名得到。 结合本发明第一方面可能的实施方式中， 或者结合本发明第一方面的第 一种可能的实施方式中， 或者结合本发明第一方面的第二种可能的实施方式 中， 或者结合本发明第一方面的第三种可能的实施方式中， 或者结合本发明 第一方面的第四种可能的实施方式中， 第五种可能的实施方式， 所述新安装 的 VNFC实例使用的公私密钥对通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI 生成公私密钥对并注入至所述新安装的 VNFC实例中。
结合本发明第一方面可能的实施方式中， 或者结合本发明第一方面的第 一种可能的实施方式中， 或者结合本发明第一方面的第二种可能的实施方式 中， 或者结合本发明第一方面的第三种可能的实施方式中， 或者结合本发明 第一方面的第四种可能的实施方式中， 或者结合本发明第一方面的第五种可 能的实施方式中， 第六种可能的实施方式， 所述发送模块， 还用于在所述获 取模块获取所述证书认证中心签发给所述新安装的 VNFC 实例的证书后， 将 获取的所述证书认证中心签发给所述新安装的 VNFC实例的证书通过内部网 络发送给新安装的 VNFC实例。
结合本发明第一方面可能的实施方式中， 或者结合本发明第一方面的第 一种可能的实施方式中， 或者结合本发明第一方面的第二种可能的实施方式 中， 或者结合本发明第一方面的第三种可能的实施方式中， 或者结合本发明 第一方面的第四种可能的实施方式中， 或者结合本发明第一方面的第五种可 能的实施方式中， 或者结合本发明第一方面的第六种可能的实施方式中， 第 七种可能的实施方式， 所述主 VNFC实例与所述新安装的 VNFC实例属于同 一个网络功能虚拟化基础设施 NFVI平台中同一个 VNF的不同组件。
根据本发明的第二方面， 提供了一种证书获取设备， 包括：
接收模块， 用于接收主 VNFC实例发送的证书请求消息， 其中， 所述证 书请求消息中包含了主 VNFC实例的证书和新安装的 VNFC实例用于申请证 书的公钥； 证书签发模块， 用于根据所述接收模块接收到的所述主 VNFC 实例的证 书对所述证书请求消息进行认证， 并在认证通过时对所述新安装的 VNFC 实 例用于申请证书的公钥签名得到签发的证书；
发送模块， 用于将所述证书签发模块签发的所述签发的证书发送给所述 主 VNFC实例。
结合本发明第二方面可能的实施方式中， 第一种可能的实施方式， 所述 证书签发模块， 具体用于利用所述主 VNFC 实例的证书验证所述证书请求消 息的签名，以及利用签发的根 CA证书或者签发的中间证书对接收到的所述主 VNFC实例的证书进行验证。
结合本发明第二方面可能的实施方式中， 或者结合本发明第二方面的第 一种可能的实施方式中， 第二种可能的实施方式， 所述证书请求消息中还包 含私钥拥有性证明 POP信息。
结合本发明第二方面的第二种可能的实施方式中， 第三种可能的实施方 式， 所述证书签发模块， 还用于利用所述证书请求消息中包含的用于申请证 书的公钥对所述证书请求消息中包含的 POP信息进行认证。
根据本发明的第三方面， 提供了一种证书获取设备， 包括：
发送模块， 用于向主虚拟网络功能 VNFC 实例发送证书申请代理消息， 其中， 所述证书申请代理消息中包含了新安装的 VNFC实例用于申请证书的 公钥， 所述证书申请代理消息用于请求所述主 VNFC实例向证书认证中心发 送证书请求消息， 所述证书请求消息用于请求所述证书认证中心为所述新安 装的 VNFC实例签发证书， 所述证书请求消息中包含了所述主 VNFC实例的 证书和所述新安装的 VNFC实例用于申请证书的公钥；
接收模块， 用于接收所述主 VNFC 实例发送的所述证书认证中心签发的 证书， 其中， 所述证书是由所述证书认证中心对所述新安装的 VNFC 实例用 于申请证书的公钥签名得到的。
结合本发明第三方面可能的实施方式中， 第一种可能的实施方式， 所述 接收模块， 还用于在向主 VNFC发送证书申请代理消息之前， 接收 NFVO或 者 VNFM发送的证书申请信息， 其中， 所述证书申请信息中包含了用于代理 证书申请的主 VNFC实例信息。
结合本发明第三方面的第一种可能的实施方式中， 第二种可能的实施方 式， 所述设备还包括：
建立模块， 用于在向主 VNFC发送证书申请代理消息之前， 根据所述接 收模块接收到的所述证书申请信息，建立与所述用于证书申请代理的主 VNFC 实例之间的网络连接， 其中， 所述网絡连接属于同一个网络功能虚拟化基础 设施 NFVI平台的 VNF内部的网络连接。
结合本发明第三方面的第一种可能的实施方式中， 或者结合本发明第三 方面的第二种可能的实施方式中， 第三种可能的实施方式， 所述接收模块， 具体用于在安装时， 接收网络功能虚拟化基础设备 NF VI 注入的证书申请信 息。
结合本发明第三方面的第一种可能的实施方式中， 或者结合本发明第三 方面的第二种可能的实施方式中， 或者结合本发明第三方面的第三种可能的 实施方式中， 第四种可能的实施方式， 用于证书申请代理的主 VNFC信息包 含了主 VNFC实例的网际协议 IP地址、 接入控制 MAC标识、 虚拟网络 信息中心 NIC地址。
结合本发明第三方面可能的实施方式中， 或者结合本发明第三方面的第 一种可能的实施方式中， 或者结合本发明第三方面的第二种可能的实施方式 中， 或者结合本发明第三方面的第三种可能的实施方式中， 或者结合本发明 第三方面的第四种可能的实施方式中， 第五种可能的实施方式， 所述新安装 的 VNFC实例用于申请证书的公钥通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI生成公私密钥对，并注入至所述新安装的 VNFC实例中。
结合本发明第三方面可能的实施方式中， 或者结合本发明第三方面的第 一种可能的实施方式中， 或者结合本发明第三方面的第二种可能的实施方式 中， 或者结合本发明第三方面的第三种可能的实施方式中， 或者结合本发明 第三方面的第四种可能的实施方式中， 或者结合本发明第三方面的第五种可 能的实施方式中， 第六种可能的实施方式， 所述新安装的 VNFC 实例向主
VNFC实例发送证书申请代理消息的触发方式包括：
由 V F实例化触发； 或， 由 V F扩容触发。
根据本发明的第四方面， 提供了一种证书获取设备， 包括：
信号接收器， 用于接收新安装的虚拟网络功能 VNFC实例发送的证书申 请代理消息， 其中， 所述证书申请代理消息中包含了所述新安装的 VNFC 实 例用于申请证书的公钥；
信号发射器， 用于根据所述证书申请代理消息， 向证书认证中心发送证 书请求消息， 请求所述证书认证中心为所述新安装的 VNFC实例签发证书， 其中，所述证书请求消息中包含了主 VNFC实例的证书和所述新安装的 VNFC 实例用于申请证书的公钥；
处理器， 用于获取所述证书认证中心签发的证书， 其中， 所述证书是由 所述证书认证中心使用所述新安装的 VNFC 实例用于申请证书的公钥签发 的。
结合本发明第四方面可能的实施方式中， 第一种可能的实施方式， 所述 信号接收器， 还用于在获取所述证书认证中心签发的证书之前， 接收所述证 书认证中心发送的证书响应消息；
所述处理器， 还用于对接收到的所述证书响应消息进行验证。
结合本发明第四方面的第一种可能的实施方式中， 第二种可能的实施方 式， 所述证书响应消息中包含了所述证书认证中心签发的证书；
所述处理器， 具体用于在对所述证书响应消息验证通过时， 获取所述证 书响应消息中包含的所述证书认证中心签发给所述新安装的 VNFC 实例的证 书， 其中， 所述新安装的 VNFC 实例的证书是由所述证书认证中心根据所述 主 VNFC实例的证书， 通过对所述主 VNFC发送的证书申请请求消息的认证 后， 对所述证书请求消息中包含的所述新安装的 VNFC实例用于申请证书的 公钥签名得到的。
结合本发明第四方面可能的实施方式中， 或者结合本发明第四方面的第 一种可能的实施方式中， 或者结合本发明第四方面的第二种可能的实施方式 中， 第三种可能的实施方式， 所述证书申请代理消息和所述证书请求消息中 还包含了私钥拥有性证明 POP信息。
结合本发明第四方面的第三种可能的实施方式中， 第四种可能的实施方 式， 所述 POP信息由所述新安装的 VNFC实例使用公私密钥对中的私钥对私 钥拥有性证明签名关键字字段进行签名得到。
结合本发明第四方面可能的实施方式中， 或者结合本发明第四方面的第 一种可能的实施方式中， 或者结合本发明第四方面的第二种可能的实施方式 中， 或者结合本发明第四方面的第三种可能的实施方式中， 或者结合本发明 第四方面的第四种可能的实施方式中， 第五种可能的实施方式， 所述新安装 的 VNFC实例使用的公私密钥对通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI 生成公私密钥对并注入至所述新安装的 VNFC实例中。
结合本发明第四方面可能的实施方式中， 或者结合本发明第四方面的第 一种可能的实施方式中， 或者结合本发明第四方面的第二种可能的实施方式 中， 或者结合本发明第四方面的第三种可能的实施方式中， 或者结合本发明 第四方面的第四种可能的实施方式中， 或者结合本发明第四方面的第五种可 能的实施方式中， 第六种可能的实施方式， 所述信号发射器， 还用于在获取 所述证书认证中心签发给所述新安装的 VNFC 实例的证书后， 将获取的所述 证书认证中心签发给所述新安装的 VNFC 实例的证书通过内部网络发送给新 安装的 VNFC实例。
结合本发明第四方面可能的实施方式中， 或者结合本发明第四方面的第 一种可能的实施方式中， 或者结合本发明第四方面的第二种可能的实施方式 中， 或者结合本发明第四方面的第三种可能的实施方式中， 或者结合本发明 第四方面的第四种可能的实施方式中， 或者结合本发明第四方面的第五种可 能的实施方式中， 或者结合本发明第四方面的第六种可能的实施方式中， 第 七种可能的实施方式， 所述主 VNFC实例与所述新安装的 VNFC实例属于同 一个网络功能虚拟化基础设施 NFVI平台中同一个 VNF的不同组件。
根据本发明的第五方面， 提供了一种证书获取设备， 包括：
信号接收器， 用于接收主 VNFC 实例发送的证书请求消息， 其中， 所述 证书请求消息中包含了主 VNFC实例的证书和新安装的 VNFC实例用于申请 证书的公钥；
处理器， 用于根据所述主 VNFC 实例的证书对所述证书请求消息进行认 证， 并在认证通过时对所述新安装的 VNFC 实例用于申请证书的公钥签名得 到签发的证书；
信号发射器， 用于将所述签发的证书发送给所述主 VNFC实例。
结合本发明第五方面可能的实施方式中， 第一种可能的实施方式， 所述 处理器， 具体用于利用所述主 VNFC 实例的证书验证所述证书请求消息的签 名，以及利用签发的根 CA证书或者签发的中间证书对接收到的所述主 VNFC 实例的证书进行验证。
结合本发明第五方面可能的实施方式中， 或者结合本发明第五方面的第 一种可能的实施方式中， 第二种可能的实施方式， 所述证书请求消息中还包 含私钥拥有性证明 POP信息。
结合本发明第五方面的第二种可能的实施方式中， 第三种可能的实施方 式， 所述处理器， 还用于所述证书认证中心利用所述证书请求消息中包含的 用于申请证书的公钥对所述证书请求消息中包含的 POP信息进行认证。
根据本发明的第六方面， 提供了一种证书获取设备， 包括：
信号发射器，用于向主虚拟网络功能 VNFC实例发送证书申请代理消息， 其中， 所述证书申请代理消息中包含了新安装的 VNFC实例用于申请证书的 公钥， 所述证书申请代理消息用于请求所述主 VNFC实例向证书认证中心发 送证书请求消息， 所述证书请求消息用于请求所述证书认证中心为所述新安 装的 VNFC实例签发证书， 所述证书请求消息中包含了所述主 VNFC实例的 证书和所述新安装的 VNFC实例用于申请证书的公钥；
信号接收器， 用于接收所述主 VNFC 实例发送的所述证书认证中心签发 的证书， 其中， 所述证书是由所述证书认证中心对所述新安装的 VNFC 实例 用于申请证书的公钥签名得到的。
结合本发明第六方面可能的实施方式中， 第一种可能的实施方式， 所述 信号接收器， 还用于在向主 VNFC发送证书申请代理消息之前， 接收 NFVO 或者 VNFM发送的证书申请信息， 其中， 所述证书申请信息中包含了用于代 理证书申请的主 VNFC实例信息。
结合本发明第六方面的第一种可能的实施方式中， 第二种可能的实施方 式， 所述设备还包括处理器， 其中： 所述处理器， 用于在向主 VNFC发送证 书申请代理消息之前， 根据所述证书申请信息， 建立与所述用于证书申请代 理的主 VNFC 实例之间的网络连接， 其中， 所述网络连接属于同一个网络功 能虚拟化基础设施 NFVI平台的 VNF内部的网络连接。
结合本发明第六方面的第一种可能的实施方式中， 或者结合本发明第六 方面的第二种可能的实施方式中， 第三种可能的实施方式， 所述信号接收器， 具体用于在安装时， 接收网络功能虚拟化基础设备 NF VI 注入的证书申请信 息。
结合本发明第六方面的第一种可能的实施方式中， 或者结合本发明第六 方面的第二种可能的实施方式中， 或者结合本发明第六方面的第三种可能的 实施方式中， 第四种可能的实施方式， 用于证书申请代理的主 VNFC信息包 含了主 VNFC实例的网际协议 IP地址、 媒质接入控制 MAC标识、 虚拟网络 信息中心 NIC地址。
结合本发明第六方面可能的实施方式中， 或者结合本发明第六方面的第 一种可能的实施方式中， 或者结合本发明第六方面的第二种可能的实施方式 中， 或者结合本发明第六方面的第三种可能的实施方式中， 或者结合本发明 第六方面的第四种可能的实施方式中， 第五种可能的实施方式， 所述新安装 的 VNFC实例用于申请证书的公钥通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI生成公私密钥对，并注入至所述新安装的 VNFC实例中。
结合本发明第六方面可能的实施方式中， 或者结合本发明第六方面的第 一种可能的实施方式中， 或者结合本发明第六方面的第二种可能的实施方式 中， 或者结合本发明第六方面的第三种可能的实施方式中， 或者结合本发明 第六方面的第四种可能的实施方式中， 或者结合本发明第六方面的第五种可 能的实施方式中， 第六种可能的实施方式， 所述新安装的 VNFC 实例向主 VNFC实例发送证书申请代理消息的触发方式包括：
由 V F实例化触发； 或，
由 V F扩容触发。
根据本发明的第七方面， 提供了一种证书获取方法， 包括：
主虚拟网络功能 VNFC实例接收新安装的 VNFC实例发送的证书申请代 理消息， 其中， 所述证书申请代理消息中包含了所述新安装的 VNFC 实例用 于申请证书的公钥；
所述主 VNFC 实例根据所述证书申请代理消息， 向证书认证中心发送证 书请求消息， 请求所述证书认证中心为所述新安装的 VNFC实例签发证书， 其中，所述证书请求消息中包含了主 VNFC实例的证书和所述新安装的 VNFC 实例用于申请证书的公钥；
所述主 VNFC 实例获取所述证书认证中心签发的证书， 其中， 所述证书 是由所述证书认证中心使用所述新安装的 VNFC 实例用于申请证书的公钥签 发的。
结合本发明第七方面可能的实施方式中， 第一种可能的实施方式， 所述 主 VNFC实例在获取所述证书认证中心签发的证书之前， 所述方法还包括： 所述主 VNFC 实例接收所述证书认证中心发送的证书响应消息， 并对接 收到的所述证书响应消息进行验证。 结合本发明第七方面的第一种可能的实施方式中， 第二种可能的实施方 式， 所述证书响应消息中包含了所述证书认证中心签发的证书；
所述获取所述证书认证中心签发的证书， 包括：
所述主 VNFC 实例在对所述证书响应消息验证通过时， 获取所述证书响 应消息中包含的所述证书认证中心签发给所述新安装的 VNFC实例的证书， 其中， 所述新安装的 VNFC 实例的证书是由所述证书认证中心根据所述主 VNFC实例的证书， 通过对所述主 VNFC发送的证书申请请求消息的认证后， 对所述证书请求消息中包含的所述新安装的 VNFC实例用于申请证书的公铜 签名得到的。
结合本发明第七方面可能的实施方式中， 或者结合本发明第七方面的第 一种可能的实施方式中， 或者结合本发明第七方面的第二种可能的实施方式 中， 第三种可能的实施方式， 所述证书申请代理消息和所述证书请求消息中 还包含了私钥拥有性证明 POP信息。
结合本发明第七方面的第三种可能的实施方式中， 第四种可能的实施方 式， 所述 POP信息由所述新安装的 VNFC实例使用公私密钥对中的私钥对私 钥拥有性证明签名关键字字段进行签名得到。
结合本发明第七方面可能的实施方式中， 或者结合本发明第七方面的第 一种可能的实施方式中， 或者结合本发明第七方面的第二种可能的实施方式 中， 或者结合本发明第七方面的第三种可能的实施方式中， 或者结合本发明 第七方面的第四种可能的实施方式中， 第五种可能的实施方式， 所述新安装 的 VNFC实例使用的公私密钥对通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI 生成公私密钥对并注入至所述新安装的 VNFC实例中。
结合本发明第七方面可能的实施方式中， 或者结合本发明第七方面的第 一种可能的实施方式中， 或者结合本发明第七方面的第二种可能的实施方式 中， 或者结合本发明第七方面的第三种可能的实施方式中， 或者结合本发明 第七方面的第四种可能的实施方式中， 或者结合本发明第七方面的第五种可 能的实施方式中， 第六种可能的实施方式， 所述主 VNFC 实例在获取所述证 书认证中心签发给所述新安装的 VNFC实例的证书后， 所述方法还包括： 所述主 VNFC 实例将获取的所述证书认证中心签发给所述新安装的 VNFC实例的证书通过内部网络发送给新安装的 VNFC实例。
结合本发明第七方面可能的实施方式中， 或者结合本发明第七方面的第 一种可能的实施方式中， 或者结合本发明第七方面的第二种可能的实施方式 中， 或者结合本发明第七方面的第三种可能的实施方式中， 或者结合本发明 第七方面的第四种可能的实施方式中， 或者结合本发明第七方面的第五种可 能的实施方式中， 或者结合本发明第七方面的第六种可能的实施方式中， 第 七种可能的实施方式， 所述主 VNFC实例与所述新安装的 VNFC实例属于同 一个网络功能虚拟化基础设施 NFVI平台中同一个 VNF的不同组件。
根据本发明的第八方面， 提供了一种证书获取方法， 包括：
证书认证中心接收主 VNFC实例发送的证书请求消息， 其中， 所述证书 请求消息中包含了主 VNFC实例的证书和新安装的 VNFC实例用于申请证书 的公钥；
所述证书认证中心根据所述主 VNFC 实例的证书对所述证书请求消息进 行认证， 并在认证通过时对所述新安装的 VNFC 实例用于申请证书的公钥签 名得到签发的证书；
所述证书认证中心将所述签发的证书发送给所述主 VNFC实例。
结合本发明第八方面可能的实施方式中， 第一种可能的实施方式， 所述 证书认证中心根据所述主 VNFC的证书对所述证书请求消息进行认证， 包括： 所述证书认证中心利用所述主 VNFC 实例的证书验证所述证书请求消息 的签名， 以及利用签发的根 CA证书或者签发的中间证书对接收到的所述主 VNFC实例的证书进行验证。
结合本发明第八方面可能的实施方式中， 或者结合本发明第八方面的第 一种可能的实施方式中， 第二种可能的实施方式， 所述证书请求消息中还包 含私钥拥有性证明 POP信息。
结合本发明第八方面的第二种可能的实施方式中， 第三种可能的实施方 式， 所述证书认证中心根据所述主 VNFC的证书对所述证书请求消息进行认 证5 还包括：
所述证书认证中心利用所述证书请求消息中包含的用于申请证书的公钥 对所述证书请求消息中包含的 POP信息进行认证。
根据本发明的第九方面， 提供了一种证书获取方法， 包括：
新安装的虚拟网络功能 VNFC实例向主 VNFC实例发送证书申请代理消 息， 其中， 所述证书申请代理消息中包含了新安装的 VNFC实例用于申请证 书的公铜， 所述证书申请代理消息用于请求所述主 VNFC 实例向证书认证中 心发送证书请求消息， 所述证书请求消息用于请求所述证书认证中心为所述 新安装的 VNFC实例签发证书， 所述证书请求消息中包含了所述主 VNFC实 例的证书和所述新安装的 VNFC实例用于申请证书的公钥；
所述新安装的 VNFC实例接收所述主 VNFC实例发送的所述证书认证中 心签发的证书，其中， 所述证书是由所述证书认证中心对所述新安装的 VNFC 实例用于申请证书的公钥签名得到的。
结合本发明第九方面可能的实施方式中， 第一种可能的实施方式， 在向 主 VNFC发送证书申请代理消息之前， 所述方法还包括：
所述新安装的 VNFC实例接收 NFVO或者 VNFM发送的证书申请信息， 其中， 所述证书申请信息中包含了用于代理证书申请的主 V FC实例信息。
结合本发明第九方面的第一种可能的实施方式中， 第二种可能的实施方 式， 所述新安装的 VNFC实例在向主 VNFC发送证书申请代理消息之前， 所 述方法还包括：
所述新安装的 VNFC实例根据所述证书申请信息， 建立与所述用于证书 申请代理的主 VNFC实例之间的网络连接， 其中， 所述网络连接属于同一个 网络功能虚拟化基石出设施 NFVI平台的 V F内部的网络连接。
结合本发明第九方面的第一种可能的实施方式中， 或者结合本发明第九 方面的第二种可能的实施方式中， 第三种可能的实施方式， 所述新安装的
VNFC实例获取证书申请信息， 包括：
所述新安装的 VNFC实例在安装时，接收网络功能虚拟化基础设备 NFVI 注入的证书申请信息。
结合本发明第九方面的第一种可能的实施方式中， 或者结合本发明第九 方面的第二种可能的实施方式中， 或者结合本发明第九方面的第三种可能的 实施方式中， 第四种可能的实施方式， 用于证书申请代理的主 VNFC信息包 含了主 VNFC实例的网际协议 IP地址、 媒质接入控制 MAC标识、 虚拟网络 信息中心 NIC地址。
结合本发明第九方面可能的实施方式中， 或者结合本发明第九方面的第 一种可能的实施方式中， 或者结合本发明第九方面的第二种可能的实施方式 中， 或者结合本发明第九方面的第三种可能的实施方式中， 或者结合本发明 第九方面的第四种可能的实施方式中， 第五种可能的实施方式， 所述新安装 的 VNFC实例用于申请证书的公钥通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI生成公私密钥对，并注入至所述新安装的 VNFC实例中。
结合本发明第九方面可能的实施方式中， 或者结合本发明第九方面的第 一种可能的实施方式中， 或者结合本发明第九方面的第二种可能的实施方式 中， 或者结合本发明第九方面的第三种可能的实施方式中， 或者结合本发明 第九方面的第四种可能的实施方式中， 或者结合本发明第九方面的第五种可 能的实施方式中， 第六种可能的实施方式， 所述新安装的 VNFC 实例向主 VNFC实例发送证书申请代理消息的触发方式包括：
由 V F实例化触发； 或，
由 V F扩容触发。
本发明实施例在一个 NFVI平台上存在已获取证书的其他 VNFC实例时， 利用其他 VNFC 实例已建立的与证书认证中心之间的信任通道， 代替新安装 的 VNFC实例申请证书， 不仅能够安全获取证书， 而且还有效地简化了流程， 提升了系统反应速度， 改善了系统运行效率。 附图说明
为了更清楚地说明本发明实施例中的技术方案， 下面将对实施例描述中 所需要使用的附图作简要介绍， 显而易见地， 下面描述中的附图仅仅是本发 明的一些实施例， 对于本领域的普通技术人员来讲， 在不付出创造性劳动性 的前提下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例一提供的一种证书获取方法的流程示意图； 图 2为本发明实施例二提供的一种证书获取方法的流程示意图； 图 3为本发明实施例三提供的一种证书获取方法的流程示意图； 图 4为本发明实施例四提供的一种证书获取方法的流程示意图； 图 5为本发明实施例六提供的一种证书获取设备的结构示意图； 图 6为本发明实施例七提供的一种证书获取设备的结构示意图； 图 7为本发明实施例八提供的一种证书获取设备的结构示意图； 图 8为本发明实施例九提供的一种证书获取设备的结构示意图； 图 9为本发明实施例十提供的一种证书获取设备的结构示意图； 图 10为本发明实施例十一提供的一种证书获取设备的结构示意图。 具体实施方式
为了实现本发明的目的， 本发明实施例提供了一种证书获取方法和设备， 主 VNFC实例接收新安装的 VNFC实例发送的证书申请代理消息， 所述证书 申请代理消息中包含了所述新安装的 VNFC 实例用于申请证书的公钥； 向证 书认证中心发送证书请求消息， 其中， 所述证书请求消息中包含了主 VNFC 实例的证书和所述新安装的 VNFC实例用于申请证书的公钥； 获取所述证书 认证中心签发的证书， 其中， 所述证书是由所述证书认证中心根据所述主 VNFC实例的证书对所述主 VNFC实例发送的证书请求消息进行成功认证后， 利用所述新安装的 VNFC实例用于申请证书的公钥进行签名得到的。
这样， 对于新安装的 VNFC实例， 无需釆用目前 VNF获取证书的方式， 有效避免了新安装的 VNFC实例获取证书出现的过程繁瑣、 复杂度增大的问 题； 通过同一个 NFVI平台上已获取证书的其他 VNFC实例，利用其他 VNFC 实例已建立的与证书认证中心之间的信任通道， 代替新安装的 VNFC 实例申 请证书， 不仅能够安全获取证书， 而且还有效地简化了流程， 提升了系统反 应速度， 改善了系统运行效率。
需要说明的是， 本发明实施例新安装的 VNFC实例是在接收到 VNFC实 例化的操作指令或者 VNF扩容的操作指令时启动安装的； 本发明实施例新安 装的 VNFC实例在需要申请证书时， 可以通过位于同一个 NFVI平台的、 已 获得证书的其他 VNFC实例代理申请证书。
下面结合说明书附图对本发明各个实施例进行详细描述。
实施例一：
如图 1所示， 为本发明实施例一提供的一种证书获取方法的流程示意图。 所述方法可以如下所述。 本发明实施例的执行主体可以是需要为新安装的 VNFC实例申请证书的代理 VNFC实例， 或者称为主 VNFC实例； 还可以是 与新安装的 VNFC实例具备关联关系的 VNF实例中已获得证书的其他 VNF 组件。
步骤 101 : 主 VNFC实例接收新安装的 VNFC实例发送的证书申请代理 消息。
其中， 所述证书申请代理消息中包含了所述新安装的 VNFC实例用于申 请证书的公钥。
在步骤 101中， 当 VNFM ( VNF Manager, VNF管理器）接收到用于安 装新的 VNFC实例的操作指令时， VNFM向 NFVO发送操作指令验证请求信 息。
需要说明的是， 用于安装新的 VNFC实例的操作指令包括了 VNFC实例 化的操作指令、 VNF扩容的操作指令等。 用于安装新的 VNFC实例的操作指令可以是由 EMS( Element Management System, 网元管理系统） 手动或者自动触发的， 也可以是由 VNFM收集到来 自 V F的测量数据并发现需要扩容时得到的， 这里不做限定。
NFVO 在接收到操作指令验证请求信息时， 执行操作决策， 检查资源可 用性， 并向 VNFM发送操作指令确认消息。
其中， 所述操作指令确认消息中至少包含了新创建的 VNFC实例的位置 信息、 证书认证中心信息中的一种或者多种。
所述新创建的 VNFC实例的位置信息可以为该 VNFC实例所位于的 NFVI 关联的 VIM信息， 例如 VIM标识信息或者 VIM地址信息。
所谓证书认证中心信息可以包含运营商域内的证书认证中心标识或者证 书认证中心的 IP地址等。
所述的证书认证中心可以为证书颁发机构 （ CA, Certificate Authority )、 证书注册机构（ RA, Registration Authority )或者网元管理系统（ EMS , Element Management System )等具备证书颁发功能的网元。
此时， VNFM根据主 VNFC实例和新创建的 VNFC实例的位置信息， 确 定新安装的 VNFC实例的证书申请策略。 其中， 所述新创建的 VNFC实例的 位置信息由 NFVO通过操作指令确认消息发送给 VNFM。
所述新创建的 VNFC实例的位置信息可以为该 VNFC所位于的 NFVI关 联的 VIM信息， 如 VIM标识信息或 VIM地址信息。
其中， 所述证书申请策略用于确定由谁代理为新安装的 VNFC 实例申请 证书。
具体地， VNFM根据主 VNFC实例和新创建的 VNFC实例的位置信息， 确认所述新安装的 VNFC实例与所述主 VNFC实例属于同一个网络功能虚拟 化基础设施 NFVI平台上中同一个 VNF的不同组件。
具体地，所述 VNFM才艮据所述新安装的 VNFC实例与所述主 VNFC实例 的位置信息和 /或 VNF 标识信息确认二者属于同一个网络功能虚拟化基础设 施 FVI平台上同一个 VNF的不同组件。 所述 VNFM确认所述新安装的 VNFC实例与所述主 VNFC实例属于同一 个网络功能虚拟化基础设施 NFVI平台上同一个 VNF的不同组件后， 确定所 述新安装的 VNF实例的证书申请策略， 并将证书申请信息发送给所述新安装 的 V F实例。
其中，证书申请策略就是釆用何种方式为新创建的 VNFC实例申请证书， 以及如果采用代理人机制， 谁来作为代理人。
所述证书申请策略中包含了证书申请信息， 所述证书申请信息中包含了 证书申请代理信息、 证书申请方式指示中的一种或者多种。
证书申请代理消息包含了证书申请代理的标识信息， 例如： IP ( Internet Protocol, 因特网协议）地址、 MAC ( Medium Access Control, 媒质接入控制） 标识、 虚拟 NIC ( Network Information Center, 网络信息中心）地址等。
证书申请方式指示可以为显式指示或者隐式指示。 其中， 显式指示， 例 如： 代理机制等； 隐式指示可以通过指定代理者信息进行暗示等。
需要说明的是， 证书申请策略指示的为新安装的 VNFC实例申请证书的 代理 VNFC实例， 即主 VNFC实例。
例如： 在 NFV中定义的 VNFM Agent或 Master VNFC, Master VNFC可 以是 VNF实例化过程中第一个创建的 VNFC, 用于负责 VNF的内部管理； 在 VNF扩容过程中， Master VNFC可以定义为与 VNF实例相关联的、 且位 于同一个网络功能虚拟化基础设施 ( NFVI, Network Function Virtualization Infrastructure )硬件平台上的 VNFC实例。
VNFM向 VIM发送创建 VM消息， 以请求 VIM为待安装的 VNFC分配 资源， 其中， 所述创建 VM消息中包含了证书申请信息。
VIM指示 NFVI创建 VM, 并将证书申请信息发送给 NFVI, NFVI创建 VIM , 并向 VIM发送创建确认消息。
在 VM创建完成后， NFVI通过安全方式启动 VNFC实例， 将新安装的 VNFC实例运行于创建的 VM上，并将证书申请信息注入所述新安装的 VNFC 实例中。 新安装的 VNFC实例根据证书申请信息中包含的证书申请代理信息， 确 定执行证书申请代理的主 VNFC实例， 并向主 VNFC实例发送证书申请代理 消息。
其中， 所述证书申请代理消息中包含了所述新安装的 VNFC实例用于申 请证书的公钥。
需要说明的是， 所述新安装的 VNFC 实例用于申请证书的公钥可以通过 以下方式确定：
所述新安装的 VNFC实例生成的公私密钥对； 或
网络功能虚拟化基础设备 NFVI在实例化所述新安装的 VNF实例时， 生 成公私密钥对并注入至所述新安装的 VNFC实例中。
此外， 所述证书申请代理消息中还可以包含证书代理指示、 证书认证中 心信息等。
步骤 102： 主 VNFC 实例根据所述证书申请代理消息， 向证书认证中心 发送证书请求消息， 请求所述证书认证中心为所述新安装的 VNFC 实例签发 证书。
其中， 所述证书请求消息中包含了主 VNFC 实例的证书和所述新安装的 VNFC实例用于申请证书的公钥。
在步骤 102中， 假设主 VNFC实例作为新安装的 VNFC实例的证书申请 代理， 代替新安装的 VNFC实例和证书认证中心之间进行证书登记。
主 VNFC 实例在接收到证书申请代理消息时， 才艮据所述证书申请代理消 息， 生成证书请求消息。
所述证书请求消息中包含了主 VNFC 实例的证书和所述新安装的 VNFC 实例用于申请证书的公钥。
此外， 主 VNFC实例用安装证书对应的私钥对生成的证书请求消息进行 签名。
主 VNFC实例将证书请求消息发送给证书认证中心。
此时， 证书认证中心在接收到主 VNFC 实例发送的证书请求消息时， 利 用主 VNFC实例证书验证接收到的证书请求消息的签名， 以及利用根 CA证 书或者中间证书验证主 VNFC实例证书。
需要说明的是， 假如用中间证书验证主 VNFC实例证书， 此时还需要用 根 C A证书验证中间证书。
证书认证中心在验证通过时， 对所述新安装的 VNFC实例用于申请证书 的公钥进行签名， 向主 VNFC发送证书响应消息。
其中， 所述证书响应消息中包含了签发给所述新安装的 VNFC 实例的证 书， 和 /或根 CA证书等。
步骤 103: 主 VNFC实例获取所述证书认证中心签发的证书。
其中， 所述证书是由所述证书认证中心根据所述新安装的 VNFC 实例用 于申请证书的公钥签发的。
在步骤 103 中， 在获取所述证书认证中心签发的证书之前， 所述方法还 包括：
接收所述证书认证中心发送的证书响应消息， 并对接收到的所述证书响 应消息进行验证。
具体地， 主 VNFC 实例在接收到所述证书认证中心发送的证书响应消息 时， 利用主 VNFC 实例证书验证接收到的证书响应消息的签名， 以及利用根 CA证书或者中间证书验证 CA证书。
需要说明的是， 假如用中间证书验证 CA实例证书， 此时还需要用根 CA 证书验证中间证书。
主 VNFC 实例在验证通过时， 获取所述证书响应消息中包含的所述证书 认证中心签发给所述新安装的 VNFC实例的证书。
其中， 所述新安装的 VNFC实例的证书是由所述证书认证中心根据所述 主 VNFC实例的证书， 通过对所述主 VNFC发送的证书请求消息的认证后， 对所述证书请求消息中包含了所述新安装的 VNFC实例用于申请证书的公铜 签名得到的。
在本发明的另一个实施中， 所述证书申请代理消息和所述证书请求消息 中还包含了私钥拥有性证明 （POP, Proof of Possession )信息。
所述 POP信息由所述新安装的 VNFC实例使用公私密钥对中的私钥对私 钥拥有性证明签名关键字字段进行签名得到。
所述新安装的 VNFC实例使用的公私密钥对通过以下方式得到： 所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI在实例化所述新安装的 VNF实例时， 生 成公私密钥对并注入至所述新安装的 VNFC实例中。
在本发明的另一个实施中， 主 VNFC 实例在获取所述证书认证中心签发 给所述新安装的 VNFC实例的证书后， 所述方法还包括：
将获取的所述证书认证中心签发给所述新安装的 VNFC实例的证书发送 给网络功能虚拟化基础设施 NFVI , 以便于由所述 NFVI将所述证书认证中心 签发给所述新安装的 VNFC实例的证书发送给所述新安装的 VNFC实例进行 安装。
在 VNFC安装证书后，向 NFVI发送确认证书申请完成，由 NFVI向 VIM 发送证书申请完成， 由 VIM向 VNFM确认资源分配完成。
VNFM对新安装的 VNFC实例进行配置， 部署特定的参数， 并通知 NFVO 操作完成， NF VO将 VNFC实例映射到 VIM和资源池中； VNFM向 EM发送确认 消息； EMS增加或更新 VNFC实例为可管理的设备， EMS对新安装的 VNFC实 例进行应用特定的参数配置。
在本实施例中， 若主 VNFC实例和证书认证中心之间没有直连接口的， 则证书请求 /响应消息可以通过 EMS进行转发。
在本实施例中， 新安装的 VNFC实例申请的证书还可以由 EMS来签发， 此时主 VNFC实例代理新安装的 VNFC实例在 EMS进行证书登记。
通过本发明实施例一的方案， 在主 VNFC 实例获得证书之后， 可以为新 安装的 VNFC实例转发证书申请消息， 对于新安装的 VNFC实例， 无需釆用 目前 V F获取证书的方式，有效避免了新安装的 VNFC实例获取证书出现的 过程繁瑣、 复杂度增大的问题； 通过同一个 NFVI 平台上已获取证书的其他 VNFC实例， 利用其它 VNFC实例已建立的与证书认证中心之间的信任通道， 代替新安装的 VNFC实例申请证书， 不仅能够安全获取证书， 而且还有效地 简化了流程， 提升了系统反应速度， 改善了系统运行效率。
实施例二：
如图 2所示， 为本发明实施例二提供的一种证书获取方法的流程示意图。 所述方法可以如下所述。 本发明实施例的执行主体可以是 CA, 也可以是其他 具备签发证书的设备， 例如： RA或 EMS等。
步骤 201 : 证书认证中心接收主 VNFC实例发送的证书请求消息。
其中，所述证书请求消息中包含了主 VNFC实例的证书和新安装的 VNFC 用于申请证书的公钥。
在步骤 201中，发送证书请求消息的主 VNFC实例除了为 NFV中定义的 VNFM Agent或 Master VNFC之外， 还可以是与新安装的 VNFC实例具备关 联关系的 VNF实例中已获得证书的其他 V F组件， 这里不做限定。
步骤 202: 证书认证中心根据所述主 VNFC的证书对所述证书请求消息 进行认证， 并在认证通过时对所述新安装的 VNFC实例用于申请证书的公钥 签名得到签发的证书。
在步骤 202中， 所述证书认证中心根据所述主 VNFC的证书对所述证书 请求消息进行认证， 包括：
证书认证中心利用所述主 VNFC 实例的证书验证所述证书请求消息的签 名，以及利用签发的根 CA证书或者签发的中间证书对接收到的所述主 V FC 实例的证书进行验证。
具体地， CA在接收到主 VNFC实例发送的证书请求消息时，利用主 VNFC 实例证书验证接收到的证书请求消息的签名，以及利用根 CA证书或者中间证 书验证主 VNFC实例证书。
需要说明的是， 假如用中间证书验证主 VNFC实例证书， 此时还需要用 根 C A证书验证中间证书。
CA在验证通过时，对所述新安装的 VNFC实例用于申请证书的公钥进行 签名， 并生成证书响应消息。
其中， 所述证书响应消息中包含了签发给所述新安装的 VNFC 实例的证 书、 根 CA证书等。
在本发明的另一个实施例中， 所述证书请求消息中还包含 POP信息， 那 么对所述证书请求消息进行认证的方式还包括：
利用所述证书请求消息中包含的用于申请证书的公钥对所述证书请求消 息中包含的 POP信息进行认证。
步骤 203: 证书认证中心将所述签发的证书发送给所述主 VNFC实例。 在步骤 203中， CA将生成的证书响应消息发送给所述主 VNFC实例， 其 中， 所述证书响应消息中包含了签发给所述新安装的 VNFC实例的证书， 和 / 或根 CA证书等。
通过本发明实施例二的方案，通过同一个 FVI硬件平台上已获取证书的 其他 VNFC实例， 利用其他 VNFC实例已建立的与证书认证中心之间的信任 通道， 代替新安装的 VNFC实例申请证书， 不仅能够安全获取证书， 而且还 有效地简化了流程， 提升了系统反应速度， 改善了系统运行效率。
实施例三：
如图 3所示， 为本发明实施例三提供的一种证书获取方法的流程示意图。 所述方法可以如下所述。 本发明实施例的执行主体是新安装的 VNFC实例。
步骤 301 : 新安装的 VNFC实例向主 VNFC实例发送证书申请代理消息。 其中， 所述证书申请代理消息中包含了新安装的 VNFC实例用于申请证 书的公钥， 所述证书申请代理消息用于请求所述主 VNFC 实例向证书认证中 心发送证书请求消息， 所述证书请求消息用于用于请求所述证书认证中心为 所述新安装的 VNFC实例签发证书，所述证书请求消息中包含了所述主 VNFC 实例的证书和所述新安装的 VNFC实例用于申请证书的公钥。
在步骤 301 中， 在向主 VNFC实例发送证书申请代理消息之前， 所述方 法还包括：
所述新安装的 VNFC实例接收 NFVO或者 VNFM发送的证书申请信息。 其中， 所述证书申请信息中包含了用于代理证书申请的主 VNFC 实例信 息。
具体地， 新安装的 VNFC实例在安装过程中， 接收 NFVI注入的证书申 请策略信息。
其中， 证书申请策略信息的确定方式包括但不限于以下两种：
第一种： 由 NFV编译器 NFVO根据主 VNFC和新创建的 VNFC实例的 位置信息确定；
第二种： 由所述 VNFM根据主 VNFC和新创建的 VNFC实例的位置信息 确定。 其中， 所述新创建的 VNFC实例的位置信息由 NFVO发送给 VNFM。
所述的主 VNFC和新创建的 VNFC实例的位置信息为： 主 VNFC和新创 建的 VNFC实例所位于的 FVI相关联的 VIM信息，如 VIM标识信息或 VIM 地址信息。
针对第一种由 NFV编译器 NFVO根据主 VNFC和新创建的 VNFC实例 的位置信息确定证书申请策略， 具体方式为：
当 NFVO接收到用于安装新的 VNFC实例的操作指令时， NFVO向 VNFM 发送操作指令验证请求信息。
需要说明的是， 用于安装新的 VNFC实例的操作指令包括了 VNFC实例 化的操作指令、 VNF扩容的操作指令等。
用于安装新的 VNFC实例的操作指令可以是由 EMS( Element Management System, 网元管理系统） 手动或者自动触发的， 也可以是由 NFVO收集到来 自 V F的测量数据并发现需要扩容时得到的， 这里不做限定。
VNFM在接收到操作指令验证请求信息时， 向 NFVO发送操作指令确认 消息。
NFVO在接收到操作指令确认消息时， 执行操作决策， 检查资源可用性， 选择资源池并预留资源。
NFVO根据主 VNFC实例和新创建的 VNFC实例的位置信息， 确定新安 装的 VNFC实例的证书申请策略， 并将该证书申请策略发送给 VNFM。 具体地， NFVO根据主 VNFC实例和新创建的 VNFC实例的位置信息， 确认所述新安装的 VNFC实例与所述主 VNFC实例属于同一个网络功能虚拟 化基础设施 NF VI平台上中同一个 VNF的不同组件。
具体地， 所述 NFVO才艮据所述新安装的 VNFC实例与所述主 VNFC实例 的位置信息和 /或 VNF 标识信息确认二者属于同一个网络功能虚拟化基础设 施 FVI平台上同一个 VNF的不同组件。
所述 NFVO确认所述新安装的 VNFC实例与所述主 VNFC实例属于同一 个网络功能虚拟化基础设施 NFVI平台上同一个 VNF的不同组件后， 确定所 述新安装的 VNF实例的证书申倚策略， 并将证书申倚信息发送给所述新安装 的 V F实例。
其中，证书申请策略就是采用何种方式为新创建的 VNFC实例申请证书， 以及如果采用代理人机制， 谁来作为代理人。
针对第二种由所述 VNFM根据主 VNFC和新创建的 VNFC实例的位置信 息确定证书申请策略， 具体方式为：
当 VNFM ( VNF Manager, VNF管理器）接收到用于安装新的 VNFC实 例的操作指令时 , VNFM向 NFVO发送操作指令验证请求信息。
需要说明的是， 用于安装新的 VNFC实例的操作指令包括了 VNFC实例 化的操作指令、 VNF扩容的操作指令等。
用于安装新的 VNFC实例的操作指令可以是由 EMS( Element Management System, 网元管理系统） 手动或者自动触发的， 也可以是由 VNFM收集到来 自 V F的测量数据并发现需要扩容时得到的， 这里不做限定。
NFVO 在接收到操作指令验证请求信息时， 执行操作决策， 检查资源可 用性， 选择资源池， 预留资源， 并向 VNFM发送操作指令确认消息。
其中，所述操作指令确认消息中包含了新创建的 VNFC实例的位置信息， 和 /或主 VNFC实例的位置信息， 和 /或证书认证中心 CA信息。
所谓证书认证中心信息可以包含运营商域内的证书认证中心标识或者证 书认证中心的 IP地址等。 所述的证书认证中心可以为 CA、RA或者 EMS等具有证书签发功能的实 体。
此时， VNFM根据主 VNFC实例和新创建的 VNFC实例的位置信息， 确 定新安装的 VNFC实例的证书申请策略。 其中， 所述新创建的 VNFC实例的 位置信息由 NFVO通过操作指令确认消息发送给 VNFM。
具体地， VNFM根据主 VNFC实例和新创建的 VNFC实例的位置信息， 确认所述新安装的 VNFC实例与所述主 VNFC实例属于同一个网络功能虚拟 化基础设施 NF VI平台上中同一个 VNF的不同组件。
具体地，所述 VNFM才艮据所述新安装的 VNFC实例与所述主 VNFC实例 的位置信息和 /或 VNF 标识信息确认二者属于同一个网络功能虚拟化基础设 施 FVI平台上同一个 VNF的不同组件。
所述 VNFM确认所述新安装的 VNFC实例与所述主 VNFC实例属于同一 个网络功能虚拟化基础设施 NFVI平台上同一个 VNF的不同组件后， 确定所 述新安装的 VNF实例的证书申请策略， 并将证书申请信息发送给所述新安装 的 V F实例。
其中，证书申请策略就是采用何种方式为新创建的 VNFC实例申请证书， 以及如果采用代理人机制， 谁来作为代理人。
由此可见， 第一种确定证书申请策略的方式与第二种确定证书申请策略 的方式的区别在于： 第一种确定证书申请策略的方式由 NFVO确定， 第二种 确定证书申请策略的方式由 VNFM确定。
所述证书申请策略中包含了证书申请信息， 所述证书申请信息中包含了 证书申请代理信息、 证书申请方式指示中的一种或者多种。
所述证书申请信息是在 NFVO或者 VNFM确定所述新安装的 VNF实例 的证书申请策略后， 发送给所述新安装的 V F实例的。
具体地，所述的证书申请信息是 NFVO或 VNFM确认所述新安装的 VNFC 实例与所述主 VNFC实例属于同一个网络功能虚拟化基础设施 NFVI平台上 同一个 VNF的不同组件后生成的。 具体地， 所述 NFVO或 VNFM根据所述新安装的 VNFC实例与所述主 VNFC实例的位置信息和 /或 VNF标识信息确认二者属于同一个网络功能虚拟 化基础设施 NF VI平台上同一个 VNF的不同组件。
证书申请代理信息包含了证书申请代理的标识信息， 例如： IP ( Internet Protocol, 因特网协议）地址、 MAC ( Medium Access Control, 媒质接入控制） 标识、 虚拟 NIC ( Network Information Center, 网络信息中心）地址等。
证书申请方式指示可以为显式指示或者隐式指示。 其中， 显式指示， 例 如： 代理机制等； 隐式指示可以通过指定代理者信息进行暗示等。
需要说明的是， 证书申请策略指示的为新安装的 VNFC实例申请证书的 代理 VNFC实例， 即主 VNFC实例。
例如： 在 NFV中定义的 VNFM Agent或 Master VNFC, Master VNFC 在 VNF实例化过程中第一个创建的 VNFC, 用于负责 VNF的内部管理； 在 V F扩容过程中， 主 VNFC实例可以定义为与 VNF实例相关联的、 且位于 同一个网络功能虚拟化基础设施 （NFVI , Network Function Virtualization Infrastructure )硬件平台上的 VNFC。
同样的， 针对第一种确定证书申请策略的方式， NFVO 在确定证书申请 策略之后， NFVO向 VIM发送创建 VM消息， 以请求 VIM为待安装的 VM 分配资源， 其中， 所述创建 VM消息中包含了证书申请信息。
VIM指示 NFVI创建 VM, 并将证书申请信息发送给 NFVI, NFVI创建 VM, 并向 VIM发送创建确认消息。
在 VM创建完成后， NFVI通过安全方式启动新安装的 VNFC实例，将新 安装的 VNFC实例运行于创建的 VM上， 并将证书申请信息注入所述新安装 的 VNFC实例中。
针对第二种确定证书申请策略的方式， VNFM在确定证书申请策略之后， VNFM向 VIM发送创建 VM消息， 以请求 VIM为待安装的 VM分配资源， 其中， 所述创建 VM消息中包含了证书申请信息。
VIM指示 FVI创建 VM, 并将证书申请信息发送给 NFVI, NFVI创建 VM, 并向 VIM发送创建确认消息。
在 VM创建完成后， NF VI通过安全方式启动 VNFC， 将新安装的 VNFC 实例运行在创建的 VM上，并将证书申请信息注入所述新安装的 VNF实例中。
在本发明的另一个实施例中， 所述方法还包括： 新安装的 VNFC 实例根 据所述证书申请信息， 建立与所述用于证书申请代理的主 VNFC 实例之间的 网络连接。
其中， 所述网絡连接属于同一个 NF VI平台的 VNF内部的网络连接。 新安装的 VNF实例根据证书申请信息中包含的证书申请代理信息， 确定 执行证书申请代理的主 VNFC实例， 并向主 VNFC实例发送证书申请代理消 息。
具体地， 用于证书申请代理的主 VNFC信息包含了主 VNFC实例的网际 协议 IP地址、 媒质接入控制 MAC标识、 虚拟网络信息中心 NIC地址。
其中， 所述证书申请代理消息中包含了所述新安装的 VNFC实例用于申 请证书的公钥。
需要说明的是， 所述新安装的 VNFC 实例用于申请证书的公钥可以通过 以下方式确定：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI在实例化所述新安装的 VNF实例时， 生 成公私密钥对并注入至所述新安装的 V F实例中。
其中， 所述证书申请代理消息中还包含 POP信息， 所述 POP信息由所述 新安装的 VNFC 实例使用公私密钥对中的私钥对私钥拥有性证明签名关键字 字段进行签名得到。
此外， 所述证书申请代理信息中还可以包含证书代理指示、 CA信息等。 步骤 302: 新安装的 VNFC实例接收所述主 VNFC实例发送的所述证书 认证中心签发的证书。
其中， 所述证书是由所述证书认证中心根据所述主 VNFC 实例的证书通 过对所述主 VNFC实例发送的证书请求消息的认证时对所述新安装的 VNFC 实例用于申请证书的公钥签名得到的。
所述的证书认证中心可以为 CA、RA或者 EMS等具有证书签发功能的实 体。
需要说明的是， 在向主 VNFC实例发送证书申请代理信息之前， 所述方 法还包括：
确定新安装的 VNF实例由 VNF实例化触发安装； 或，
确定新安装的 VNF实例由 VNF扩容触发安装。
通过本发明实施例三的方案，通过同一个 F VI平台上已获取证书的其他 VNFC实例， 利用其他 VNFC实例已建立的与证书认证中心之间的信任通道， 代替新安装的 VNFC实例申请证书， 不仅能够安全获取证书， 而且还有效地 筒化了流程， 提升了系统反应速度， 改善了系统运行效率。
实施例四：
如图 4所示， 为本发明实施例四提供的一种证书获取方法的流程示意图。 所述方法可以如下所述。
步骤 401： VNFM接收到用于安装新的 VNFC实例的操作指令。
需要说明的是， 用于安装新的 VNFC实例的操作指令包括了 VNFC实例 化的操作指令、 VNF扩容的操作指令等。
用于安装新的 VNFC实例的操作指令可以是由 EMS( Element Management System, 网元管理系统） 手动或者自动触发的， 也可以是由 VNFM收集到来 自 VNF的测量数据并发现需要扩容时得到的， 这里不做限定。
步骤 402： VNFM向 NF VO发送操作指令验证请求信息。
步骤 403: NFVO在接收到操作指令验证请求信息时， 执行操作决策， 检 查资源可用性。
步骤 404: NFVO向 VNFM发送操作指令确认消息。
其中，所述操作指令确认消息中包含了新创建的 VNFC实例的位置信息， 和 /或证书认证中心信息。
所述的新创建的 VNFC实例的位置信息为： 新创建的 VNFC实例所位于 的 F VI相关联的 VIM信息， 例如 VIM标识信息或 VIM地址信息。
所谓证书认证中心信息可以包含运营商域内的证书认证中心标识或者证 书认证中心的 IP地址等。 所述的证书认证中心可以为 CA、 RA或者 EMS等 具有证书签发功能的实体。
步骤 405: VNFM根据主 VNFC实例和新创建的 VNFC实例的位置信息， 确定新安装的 VNFC实例的证书申倚策略。
其中， 所述证书申请策略用于确定由谁代理为新安装的 VNFC 实例申请 证书。
具体地， VNFM根据主 VNFC实例和新创建的 VNFC实例的位置信息， 确认所述新安装的 VNFC实例与所述主 VNFC实例属于同一个网络功能虚拟 化基础设施 NF VI平台上中同一个 VNF的不同组件。
具体地，所述 VNFM才艮据所述新安装的 VNFC实例与所述主 VNFC实例 的位置信息和 /或 VNF 标识信息确认二者属于同一个网络功能虚拟化基础设 施 FVI平台上同一个 VNF的不同组件。
所述 VNFM确认所述新安装的 VNFC实例与所述主 VNFC实例属于同一 个网络功能虚拟化基础设施 NFVI平台上同一个 VNF的不同组件后， 确定所 述新安装的 VNF实例的证书申请策略， 并将证书申请信息发送给所述新安装 的 V F实例。
其中，证书申请策略就是采用何种方式为新创建的 VNFC实例申请证书， 以及如果采用代理人机制， 谁来作为代理人。
所述证书申请策略中包含了证书申请信息， 所述证书申请信息中包含了 证书申请代理信息、 证书申请方式指示中的一种或者多种。
所述证书申请信息是在 VNFM确定所述新安装的 VNF实例的证书申请策 略后， 发送给所述新安装的 VNF实例的。
具体地， 所述的证书申请信息是 VNFM确认所述新安装的 VNFC实例与 所述主 VNFC实例属于同一个网络功能虚拟化基础设施 NFVI平台上同一个 VNF的不同组件后生成的。 具体地，所述 VNFM才艮据所述新安装的 VNFC实例与所述主 VNFC实例 的位置信息和 /或 VNF 标识信息确认二者属于同一个网絡功能虚拟化基础设 施 FVI平台上同一个 VNF的不同组件。
证书申请代理信息包含了证书申请代理的标识信息， 例如： IP ( Internet Protocol, 因特网协议）地址、 MAC ( Medium Access Control, 媒质接入控制） 标识、 虚拟 NIC ( Network Information Center, 网络信息中心）地址等。
证书申请方式指示可以为显式指示或者隐式指示， 显式指示， 例如： 代 理机制等； 隐式指示可以通过制定代理者信息进行暗示等。
需要说明的是， 证书申请策略指示的为新安装的 VNFC实例申请证书的 代理 VNFC实例， 即主 VNFC实例。
例如： 在 NFV中定义 VNFM Agent或 Master VNFC, Master VNFC在 VNF实例化过程中第一个创建的 VNFC,用于负责 VNF的内部管理； 在 VNF 扩容过程中， 主 VNFC可以定义为与 V F实例相关联的、 且位于同一个网络 功能虚拟化基础设施 ( NFVI, Network Function Virtualization Infrastructure ) 硬件平台上的 VNFC。
步骤 406: VNFM向 VIM发送创建 VM消息， 以请求 VIM为待安装的 VM分配资源。
其中， 所述创建 VM消息中包含了证书申请信息。
步骤 407： VIM指示 NFVI创建 VM， 并将证书申请信息发送给 NFVI。 步骤 408： NFVI创建 VM， 并向 VIM发送创建确认消息。
步骤 409: 在 VM创建完成后， NFVI通过安全方式启动新安装的 VNFC 实例， 将新安装的 VNFC实例运行于创建的 VM上， 并将证书申请信息注入 所述新安装的 VNFC实例中。
步骤 410: 新安装的 VNFC 实例根据所述证书申请信息， 确定执行证书 申请代理的主 VNFC实例， 并建立与所述用于证书申请代理的主 VNFC实例 之间的网络连接。
其中， 所述网络连接属于同一个 NFVI平台的 VNF内部的网络连接。 步骤 411 : 新安装的 VNF实例向主 VNFC实例发送证书申请代理消息。 其中， 所述证书申请代理消息中包含了所述新安装的 VNFC实例用于申 请证书的公钥。
需要说明的是， 所述新安装的 VNFC 实例用于申请证书的公钥可以通过 以下方式确定：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI在实例化所述新安装的 VNFC实例时， 生成公私密钥对并注入至所述新安装的 VNFC实例中。
其中， 所述证书申请代理消息中还包含 POP信息， 所述 POP信息由所述 新安装的 VNFC 实例使用公私密钥对中的私钥对私钥拥有性证明签名关键字 POP Signing Key字段进行签名得到。
此外， 所述证书申请代理信息中还可以包含证书代理指示、 CA信息等。 步骤 412： 主 VNFC 实例根据所述证书申请代理消息， 与证书认证中心 之间进行信息交互， 获取 CA签发给新安装的 VNFC实例的证书。
步骤 412具体实现方式与本发明实施例一、 本发明实施例二和本发明实 施例三中由主 VNFC实例代替新安装的 VNFC实例获取证书认证中心签发给 新安装的 VNFC实例的证书的方式相同， 这里不再详细描述。
步骤 413: 主 VNFC 实例将获取的所述证书认证中心签发给所述新安装 的 VNFC实例的证书经过内部网絡连接发送给新安装的 VNFC实例。
步骤 414: 所述新安装的 VNFC实例安装证书。
步骤 415: VNFC安装证书后， 向 NF VI发送确认证书申请完成。
步骤 416: NFVI向 VIM发送证书申请完成。
步骤 417: VIM向 VNFM确认资源分配完成。
步骤 418: VNFM对新安装的 VNFC实例进行配置， 部署特定的参数， 并 通知 NFVO操作完成。
此外， NF VO将 VNFC实例映射到 VIM和资源池中； VNFM向 EM发送确认 消息； EMS增加或更新 VNFC实例为可管理的设备， EMS对新安装的 VNFC实 例进行应用特定的参数配置。
在本实施例中， 若主 VNFC实例和认证中心 CA之间没有直连接口的， 则证书请求 /响应消息可以通过 EMS进行转发。
在本实施例中， 新安装的 VNFC实例申请的证书还可以由 EMS来签发， 此时主 VNFC实例代理新安装的 VNFC实例在 EMS进行证书登记。
通过本发明实施例四的方案，通过同一个 F VI平台上已获取证书的其他 VNFC实例， 利用其他 VNFC实例已建立的与证书认证中心之间的信任通道， 代替新安装的 VNFC实例申请证书， 不仅能够安全获取证书， 而且还有效地 筒化了流程， 提升了系统反应速度， 改善了系统运行效率。
实施例五：
本发明实施例五提供的一种证书获取方法， 本发明实施例五提供的证书 获取方法与实施例四提供的证书获取方法基本相同， 也存在区别， 最大区别 在于： 证书申请策略确定方式不同。
具体地，当 FVO接收到用于安装新的 VNFC实例的操作指令时， NFVO 向 VNFM发送操作指令验证请求信息。
需要说明的是， 用于安装新的 VNFC实例的操作指令包括了 VNFC实例 化的操作指令、 VNF扩容的操作指令等。
用于安装新的 VNFC实例的操作指令可以是由 EMS( Element Management System, 网元管理系统） 手动或者自动触发的， 也可以是由 NFVO收集到来 自 VNF的测量数据并发现需要扩容时得到的， 这里不做限定。
VNFM在接收到操作指令验证请求信息时， 向 NFVO发送操作指令确认 消息。
NFVO在接收到操作指令确认消息时， 执行操作决策， 检查资源可用性， 选择资源池并预留资源。 NFVO根据主 VNFC实例和新创建的 VNFC实例的 位置信息， 确定新安装的 VNFC 实例的证书申请策略， 并将该证书申请策略 发送给 VNFM。
其中， 所述证书申请策略包含了证书申请信息。 所述证书申请信息是在 NFVO确定所述新安装的 VNF实例的证书申请策 略后， 发送给所述新安装的 VNF实例的。
具体地， 所述的证书申请信息是 NFVO确认所述新安装的 VNFC实例与 所述主 VNFC实例属于同一个网络功能虚拟化基础设施 F VI平台上同一个 VNF的不同组件后生成的。
具体地， 所述 NFVO才艮据所述新安装的 VNFC实例与所述主 VNFC实例 的位置信息和 /或 VNF 标识信息确认二者属于同一个网絡功能虚拟化基础设 施 FVI平台上同一个 VNF的不同组件。
实施例六：
如图 5所示， 为本发明实施例六提供的一种证书获取设备的结构示意图， 所述设备包括： 接收模块 51、 发送模块 52和获取模块 53 , 其中：
接收模块 51 , 用于接收新安装的虚拟网络功能 VNFC实例发送的证书申 请代理消息， 其中， 所述证书申请代理消息中包含了所述新安装的 VNFC 实 例用于申请证书的公钥；
发送模块 52，用于根据所述接收模块 51接收到的所述证书申请代理消息， 向证书认证中心发送证书请求消息 , 请求所述证书认证中心为所述新安装的 VNFC实例签发证书， 其中， 所述证书请求消息中包含了主 VNFC 实例的证 书和所述新安装的 VNFC实例用于申请证书的公钥；
获取模块 53 , 用于获取所述证书认证中心签发的证书， 其中， 所述证书 是由所述证书认证中心使用所述新安装的 VKFC 实例用于申请证书的公钥签 发的。
可选地， 所述设备还包括： 验证模块 54 , 其中：
所述接收模块 51 , 还用于在所述获取模块获取所述证书认证中心签发的 证书之前， 接收所述证书认证中心发送的证书响应消息；
验证模块 54，用于对所述接收模块 51接收到的所述证书响应消息进行验 证。
具体地， 所述证书响应消息中包含了所述证书认证中心签发的证书； 所述获取模块 53 , 具体用于在所述验证模块确定对所述证书响应消息验 证通过时， 获取所述证书响应消息中包含的所述证书认证中心签发给所述新 安装的 VNFC实例的证书， 其中， 所述新安装的 VNFC实例的证书是由所述 证书认证中心根据所述主 VNFC实例的证书， 通过对所述主 VNFC发送的证 书申请请求消息的认证后，对所述证书请求消息中包含的所述新安装的 VNFC 实例用于申请证书的公钥签名得到的。
可选地， 所述证书申请代理消息和所述证书请求消息中还包含了私钥拥 有性证明 POP信息。
可选地， 所述 POP信息由所述新安装的 VNFC实例使用公私密钥对中的 私钥对私钥拥有性证明签名关键字字段进行签名得到。
可选地，所述新安装的 VNFC实例使用的公私密钥对通过以下方式得到： 所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI 生成公私密钥对并注入至所述新安装的 VNFC实例中。
所述发送模块 52， 还用于在所述获取模块获取所述证书认证中心签发给 所述新安装的 VNFC实例的证书后， 将获取的所述证书认证中心签发给所述 新安装的 VNFC实例的证书通过内部网络发送给新安装的 VNFC实例。
所述主 VNFC实例与所述新安装的 VNFC实例属于同一个网络功能虚拟 化基础设施 NF VI平台中同一个 VNF的不同组件。
需要说明的是，本发明实施例中所述的设备可以是与所述新安装的 VNFC 实例属于同一个网络功能虚拟化基础设施 NFVI平台中同一个 VNF的其他组 件， 例如： 主 VNFC实例， 实现方式可以通过硬件方式实现， 也可以通过软 件方式实现。
实施例七：
如图 6所示， 为本发明实施例七提供的一种证书获取设备的结构示意图， 所述设备包括： 接收模块 61、 证书签发模块 62和发送模块 63 , 其中：
接收模块 61 , 用于接收主 VNFC实例发送的证书请求消息， 其中， 所述 证书请求消息中包含了主 VNFC实例的证书和新安装的 VNFC实例用于申请 证书的公钥；
证书签发模块 62, 用于根据所述接收模块接收到的所述主 VNFC实例的 证书对所述证书请求消息进行认证， 并在认证通过时对所述新安装的 VNFC 实例用于申请证书的公钥签名得到签发的证书；
发送模块 63 , 用于将所述证书签发模块签发的所述签发的证书发送给所 述主 VNFC实例。
具体地， 所述证书签发模块 62， 具体用于利用所述主 VNFC实例的证书 验证所述证书请求消息的签名，以及利用签发的根 CA证书或者签发的中间证 书对接收到的所述主 VNFC实例的证书进行验证。
可选地， 所述证书请求消息中还包含私钥拥有性证明 POP信息。
所述证书签发模块 62, 还用于利用所述证书请求消息中包含的用于申请 证书的公钥对所述证书请求消息中包含的 POP信息进行认证。
需要说明的是， 本发明实施例中所述的设备可以是证书认证中心， 例如： CA、 ESA、 RA 等具备证书签发功能的网元设备， 实现方式可以通过硬件方 式实现， 也可以通过软件方式实现。
实施例八：
如图 7所示， 为本发明实施例八提供的一种证书获取设备的结构示意图， 所述设备包括： 发送模块 71和接收模块 72, 其中：
发送模块 71 ,用于向主虚拟网络功能 VNFC实例发送证书申请代理消息， 其中， 所述证书申请代理消息中包含了新安装的 VNFC实例用于申请证书的 公钥， 所述证书申请代理消息用于请求所述主 VNFC实例向证书认证中心发 送证书请求消息， 所述证书请求消息用于请求所述证书认证中心为所述新安 装的 VNFC实例签发证书， 所述证书请求消息中包含了所述主 VNFC实例的 证书和所述新安装的 VNFC实例用于申请证书的公钥；
接收模块 72 , 用于接收所述主 VNFC实例发送的所述证书认证中心签发 的证书， 其中， 所述证书是由所述证书认证中心对所述新安装的 VNFC 实例 用于申请证书的公钥签名得到的。
可选地， 所述接收模块 71， 还用于在向主 VNFC发送证书申请代理消息 之前， 接收 NFVO或者 VNFM发送的证书申请信息， 其中， 所述证书申请信 息中包含了用于代理证书申请的主 VNFC实例信息。
可选地， 所述设备还包括： 建立模块 73， 其中：
建立模块 73， 用于在向主 VNFC发送证书申请代理消息之前， 根据所述 接收模块接收到的所述证书申请信息， 建立与所述用于证书申请代理的主 VNFC 实例之间的网络连接， 其中， 所述网络连接属于同一个网络功能虚拟 化基础设施 NFVI平台的 VNF内部的网络连接。
具体地， 所述接收模块 72, 具体用于在安装时， 接收网络功能虚拟化基 础设备 NFVI注入的证书申请信息。
可选地， 用于证书申请代理的主 VNFC信息包含了主 VNFC实例的网际 协议 IP地址、 媒质接入控制 MAC标识、 虚拟网络信息中心 NIC地址。
可选地， 所述新安装的 VNFC实例用于申请证书的公钥通过以下方式得 到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI生成公私密钥对，并注入至所述新安装的 VNFC实例中。
可选地， 所述新安装的 VNFC实例向主 VNFC实例发送证书申请代理消 息的触发方式包括：
由 V F实例化触发； 或， 由 V F扩容触发。
需要说明的是， 本发明实施例中所述的设备可以需要申请证书的新安装 的 VNFC实例， 也可以是集成在需要申请证书的新安装的 VNFC实例上的控 制网元， 实现方式可以通过硬件方式实现， 也可以通过软件方式实现， 这里 不做限定。
实施例九：
如图 8所示， 为本发明实施例九提供的一种证书获取设备的结构示意图， 所述设备包括： 信号接收器 81、 信号发射器 82和处理器 83 , 其中， 信号接 收器 81、 信号发射器 82和处理器 83通过通信总线 84连接。
信号接收器 81 , 用于接收新安装的虚拟网络功能 VNFC实例发送的证书 申请代理消息， 其中， 所述证书申请代理消息中包含了所述新安装的 VNFC 实例用于申请证书的公钥；
信号发射器 82, 用于根据所述证书申请代理消息， 向证书认证中心发送 证书请求消息，请求所述证书认证中心为所述新安装的 VNFC实例签发证书， 其中，所述证书请求消息中包含了主 VNFC实例的证书和所述新安装的 VNFC 实例用于申请证书的公钥；
处理器 83 , 用于获取所述证书认证中心签发的证书， 其中， 所述证书是 由所述证书认证中心使用所述新安装的 VNFC 实例用于申请证书的公钥签发 的。
可选地， 所述信号接收器 81 , 还用于在获取所述证书认证中心签发的证 书之前， 接收所述证书认证中心发送的证书响应消息。
所述处理器 83， 还用于对接收到的所述证书响应消息进行验证。
具体地， 所述证书响应消息中包含了所述证书认证中心签发的证书； 所述处理器 83 , 具体用于在对所述证书响应消息验证通过时， 获取所述 证书响应消息中包含的所述证书认证中心签发给所述新安装的 VNFC 实例的 证书， 其中， 所述新安装的 VNFC实例的证书是由所述证书认证中心根据所 述主 VKFC实例的证书， 通过对所述主 VNFC发送的证书申请请求消息的认 证后， 对所述证书请求消息中包含的所述新安装的 VNFC 实例用于申请证书 的公钢签名得到的。
可选地， 所述证书申请代理消息和所述证书请求消息中还包含了私钥拥 有性证明 POP信息。
可选地， 所述 POP信息由所述新安装的 VNFC实例使用公私密钥对中的 私钥对私钥拥有性证明签名关键字字段进行签名得到。
可选地，所述新安装的 VNFC实例使用的公私密钥对通过以下方式得到： 所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI 生成公私密钥对并注入至所述新安装的 VNFC实例中。
可选地， 所述信号发射器 82, 还用于在获取所述证书认证中心签发给所 述新安装的 VNFC 实例的证书后， 将获取的所述证书认证中心签发给所述新 安装的 VNFC实例的证书通过内部网络发送给新安装的 VNFC实例。
所述主 VNFC实例与所述新安装的 VNFC实例属于同一个网络功能虚拟 化基础设施 NF VI平台中同一个 VNF的不同组件。
处理器 83 可以是一个通用中央处理器 （CPU ), 微处理器， 特定应用集 成电路 ( application-specific integrated circuit, ASIC) , 或一个或多个用于控制 本发明方案程序执行的集成电路。
所述通信总线 84可包括一通路， 在上述组件之间传送信息。
需要说明的是，本发明实施例中所述的设备可以是与所述新安装的 VNFC 实例属于同一个网络功能虚拟化基础设施 NFVI平台中同一个 VNF的其他组 件， 例如： 主 VNFC实例， 实现方式可以通过硬件方式实现， 也可以通过软 件方式实现。
实施例十：
如图 9所示， 为本发明实施例十提供的一种证书获取设备的结构示意图， 所述设备包括： 信号接收器 91、 处理器 92和信号发射器 93 , 其中： 信号接 收器 91、 处理器 92和信号发射器 93之间通过通信总线 94连接。
信号接收器 91 , 用于接收主 VNFC实例发送的证书请求消息， 其中， 所 述证书请求消息中包含了主 VNFC实例的证书和新安装的 VNFC实例用于申 请证书的公钥；
处理器 92, 用于根据所述主 VNFC实例的证书对所述证书请求消息进行 认证， 并在认证通过时对所述新安装的 VNFC 实例用于申请证书的公钥签名 得到签发的证书；
信号发射器 93 , 用于将所述签发的证书发送给所述主 VNFC实例。 具体地， 所述处理器 92, 具体用于利用所述主 VNFC实例的证书验证所 述证书请求消息的签名，以及利用签发的根 CA证书或者签发的中间证书对接 收到的所述主 VNFC实例的证书进行验证。
可选地， 所述证书请求消息中还包含私钥拥有性证明 POP信息。
所述处理器 92， 还用于所述证书认证中心利用所述证书请求消息中包含 的用于申请证书的公钥对所述证书请求消息中包含的 POP信息进行认证。
处理器 92 可以是一个通用中央处理器 （CPU ), 微处理器， 特定应用集 成电路 ( application-specific integrated circuit, ASIC) , 或一个或多个用于控制 本发明方案程序执行的集成电路。
所述通信总线 94可包括一通路， 在上述组件之间传送信息。
需要说明的是， 本发明实施例中所述的设备可以是证书认证中心， 例如： CA、 ESA、 RA 等具备证书签发功能的网元设备， 实现方式可以通过硬件方 式实现， 也可以通过软件方式实现。
实施例十一：
如图 10所示， 为本发明实施例十一提供的一种证书获取设备的结构示意 图， 所述设备包括： 信号发射器 1001和信号接收器 1002, 其中， 信号发射器 1001和信号接收器 1002通过通信总线 1003连接。
信号发射器 1001， 用于向主虚拟网络功能 VNFC实例发送证书申请代理 消息， 其中， 所述证书申请代理消息中包含了新安装的 VNFC实例用于申请 证书的公钥， 所述证书申请代理消息用于请求所述主 VNFC实例向证书认证 中心发送证书请求消息， 所述证书请求消息用于请求所述证书认证中心为所 述新安装的 VNFC实例签发证书， 所述证书请求消息中包含了所述主 VNFC 实例的证书和所述新安装的 VNFC实例用于申请证书的公钥；
信号接收器 1002 , 用于接收所述主 VNFC实例发送的所述证书认证中心 签发的证书， 其中， 所述证书是由所述证书认证中心对所述新安装的 VNFC 实例用于申请证书的公钥签名得到的。
可选地， 所述信号接收器 1002， 还用于在向主 VNFC发送证书申请代理 消息之前， 接收 NFVO或者 VNFM发送的证书申请信息， 其中， 所述证书申 请信息中包含了用于代理证书申请的主 VNFC实例信息。
可选地， 所述设备还包括： 处理器 1004, 其中：
处理器 1004, 用于在向主 VNFC发送证书申请代理消息之前， 根据所述 证书申请信息， 建立与所述用于证书申请代理的主 VNFC 实例之间的网络连 接， 其中， 所述网络连接属于同一个网络功能虚拟化基础设施 NFVI 平台的 VNF内部的网絡连接。
具体地， 所述信号接收器 1002, 具体用于在安装时， 接收网络功能虚拟 化基础设备 NFVI注入的证书申请信息。
可选地， 用于证书申请代理的主 VNFC信息包含了主 VNFC实例的网际 协议 IP地址、 媒质接入控制 MAC标识、 虚拟网络信息中心 NIC地址。
可选地， 所述新安装的 VNFC实例用于申请证书的公钥通过以下方式得 到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI生成公私密钥对，并注入至所述新安装的 VNFC实例中。
可选地， 所述新安装的 VNFC实例向主 VNFC实例发送证书申请代理消 息的触发方式包括：
由 V F实例化触发； 或，
由 VKF扩容触发。
处理器 1004 可以是一个通用中央处理器 （CPU ), 微处理器， 特定应用 集成电路 ( application-specific integrated circuit, ASIC), 或一个或多个用于控 制本发明方案程序执行的集成电路。
所述通信总线 1003可包括一通路， 在上述组件之间传送信息。
需要说明的是， 本发明实施例中所述的设备可以需要申请证书的新安装 的 VNFC实例， 也可以是集成在需要申请证书的新安装的 VNFC实例上的控 制网元， 实现方式可以通过硬件方式实现， 也可以通过软件方式实现， 这里 不做限定。
本领域的技术人员应明白，本发明的实施例可提供为方法、装置（设备）、 或计算机程序产品。 因此， 本发明可采用完全硬件实施例、 完全软件实施例、 或结合软件和硬件方面的实施例的形式。 而且， 本发明可采用在一个或多个 其中包含有计算机可用程序代码的计算机可用存储介质 (包括但不限于磁盘 存储器、 CD-ROM、 光学存储器等） 上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、 装置 （设备） 和计算机程序产 品的流程图和 /或方框图来描述的。 应理解可由计算机程序指令实现流程图和 / 或方框图中的每一流程和 /或方框、以及流程图和 /或方框图中的流程和 /或方框 的结合。 可提供这些计算机程序指令到通用计算机、 专用计算机、 嵌入式处 理机或其他可编程数据处理设备的处理器以产生一个机器， 使得通过计算机 或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个 流程或多个流程和 /或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设 备以特定方式工作的计算机可读存储器中， 使得存储在该计算机可读存储器 中的指令产生包括指令装置的制造品， 该指令装置实现在流程图一个流程或 多个流程和 /或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上， 使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的 处理， 从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图 一个流程或多个流程和 /或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本发明的优选实施例， 但本领域内的技术人员一旦得知了 基本创造性概念， 则可对这些实施例作出另外的变更和修改。 所以， 所附权 利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。 发明的精神和范围。 这样， 倘若本发明的这些修改和变型属于本发明权利要 求及其等同技术的范围之内， 则本发明也意图包含这些改动和变型在内。

Claims

权 利 要 求
1、 一种证书获取设备， 其特征在于， 包括：
接收模块， 用于接收新安装的虚拟网络功能 VNFC实例发送的证书申请 代理消息， 其中， 所述证书申请代理消息中包含了所述新安装的 VNFC 实例 用于申请证书的公钥；
发送模块， 用于根据所述接收模块接收到的所述证书申请代理消息， 向 证书认证中心发送证书请求消息， 请求所述证书认证中心为所述新安装的 VNFC实例签发证书， 其中， 所述证书请求消息中包含了主 VNFC 实例的证 书和所述新安装的 VNFC实例用于申请证书的公钥；
获取模块， 用于获取所述证书认证中心签发的证书， 其中， 所述证书是 由所述证书认证中心使用所述新安装的 VNFC 实例用于申请证书的公钥签发 的。
2、 如权利要求 1所述的设备， 其特征在于， 所述设备还包括： 所述接收模块， 还用于在所述获取模块获取所述证书认证中心签发的证 书之前， 接收所述证书认证中心发送的证书响应消息；
验证模块， 用于对所述接收模块接收到的所述证书响应消息进行验证。
3、 如权利要求 2所述的设备， 其特征在于 , 所述证书响应消息中包含了 所述证书认证中心签发的证书；
所述获取模块， 具体用于在所述验证模块确定对所述证书响应消息验证 通过时， 获取所述证书响应消息中包含的所述证书认证中心签发给所述新安 装的 VNFC实例的证书， 其中， 所述新安装的 VNFC实例的证书是由所述证 书认证中心根据所述主 VNFC实例的证书， 通过对所述主 VNFC发送的证书 申请请求消息的认证后， 对所述证书请求消息中包含的所述新安装的 VNFC 实例用于申请证书的公钥签名得到的。
4、 如权利要求 1至 3任一所述的设备， 其特征在于， 所述证书申请代理 消息和所述证书请求消息中还包含了私钥拥有性证明 POP信息。
5、 如权利要求 4所述的设备， 其特征在于， 所述 POP信息由所述新安装 的 VNFC实例使用公私密钥对中的私钥对私钥拥有性证明签名关键字字段进 行签名得到。
6、如权利要求 1至 5任一所述的设备，其特征在于，所述新安装的 VNFC 实例使用的公私密钥对通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI 生成公私密钥对并注入至所述新安装的 VNFC实例中。
7、 如权利要求 1至 6任一所述的设备， 其特征在于，
所述发送模块， 还用于在所述获取模块获取所述证书认证中心签发给所 述新安装的 VNFC 实例的证书后， 将获取的所述证书认证中心签发给所述新 安装的 VNFC实例的证书通过内部网络发送给新安装的 VNFC实例。
8、 如权利要求 1至 7任一所述的设备， 其特征在于，
所述主 VNFC实例与所述新安装的 VNFC实例属于同一个网络功能虚拟 化基础设施 NF VI平台中同一个 VNF的不同组件。
9、 一种证书获取设备， 其特征在于， 包括：
接收模块， 用于接收主 VNFC实例发送的证书请求消息， 其中， 所述证 书请求消息中包含了主 VNFC实例的证书和新安装的 VNFC实例用于申请证 书的公钥；
证书签发模块， 用于根据所述接收模块接收到的所述主 VNFC 实例的证 书对所述证书请求消息进行认证， 并在认证通过时对所述新安装的 VNFC 实 例用于申请证书的公钥签名得到签发的证书；
发送模块， 用于将所述证书签发模块签发的所述签发的证书发送给所述 主 VNFC实例。
10、 如权利要求 9所述的设备， 其特征在于，
所述证书签发模块， 具体用于利用所述主 VNFC实例的证书验证所述证 书请求消息的签名，以及利用签发的根 CA证书或者签发的中间证书对接收到 的所述主 VNFC实例的证书进行验证。
11、 如权利要求 9或 10所述的设备， 其特征在于， 所述证书请求消息中 还包含私钥拥有性证明 POP信息。
12、 如权利要求 11所述的设备， 其特征在于，
所述证书签发模块， 还用于利用所述证书请求消息中包含的用于申请证 书的公钥对所述证书请求消息中包含的 POP信息进行认证。
13、 一种证书获取设备， 其特征在于， 包括：
发送模块， 用于向主虚拟网络功能 VNFC 实例发送证书申请代理消息， 其中， 所述证书申请代理消息中包含了新安装的 VNFC实例用于申请证书的 公钥， 所述证书申请代理消息用于请求所述主 VNFC实例向证书认证中心发 送证书请求消息， 所述证书请求消息用于请求所述证书认证中心为所述新安 装的 VNFC实例签发证书， 所述证书请求消息中包含了所述主 VNFC实例的 证书和所述新安装的 VNFC实例用于申请证书的公胡；
接收模块， 用于接收所述主 VNFC 实例发送的所述证书认证中心签发的 证书， 其中， 所述证书是由所述证书认证中心对所述新安装的 VNFC 实例用 于申请证书的公钥签名得到的。
14、 如权利要求 13所述的设备， 其特征在于，
所述接收模块， 还用于在向主 VNFC发送证书申请代理消息之前， 接收 NFVO或者 VNFM发送的证书申请信息， 其中， 所述证书申请信息中包含了 用于代理证书申请的主 VNFC实例信息。
15、 如权利要求 14所述的设备， 其特征在于， 所述设备还包括： 建立模块， 用于在向主 VNFC发送证书申请代理消息之前， 根据所述接 收模块接收到的所述证书申请信息，建立与所述用于证书申请代理的主 VNFC 实例之间的网络连接， 其中， 所述网络连接属于同一个网络功能虚拟化基础 设施 NFVI平台的 VNF内部的网络连接。
16、 如权利要求 14至 15任一所述的设备， 其特征在于，
所述接收模块， 具体用于在安装时， 接收网络功能虚拟化基础设备 NFVI 注入的证书申请信息。
17、 如权利要求 14至 16任一所述的设备， 其特征在于， 用于证书申请 代理的主 VNFC信息包含了主 VNFC实例的网际协议 IP地址、媒质接入控制 MAC标识、 虚拟网络信息中心 NIC地址。
18、 如权利要求 13至 17任一所述的设备， 其特征在于， 所述新安装的 VNFC实例用于申请证书的公钥通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI生成公私密钥对，并注入至所述新安装的 VNFC实例中。
19、 如权利要求 13至 18任一所述的设备， 其特征在于， 所述新安装的 VNFC实例向主 VNFC实例发送证书申请代理消息的触发方式包括：
由 V F实例化触发； 或， 由 VNF扩容触发。
20、 一种证书获取设备， 其特征在于， 包括：
信号接收器， 用于接收新安装的虚拟网络功能 VNFC实例发送的证书申 请代理消息， 其中， 所述证书申请代理消息中包含了所述新安装的 VNFC 实 例用于申请证书的公钥；
信号发射器， 用于根据所述证书申请代理消息， 向证书认证中心发送证 书请求消息， 请求所述证书认证中心为所述新安装的 VNFC实例签发证书， 其中，所述证书请求消息中包含了主 VNFC实例的证书和所述新安装的 VNFC 实例用于申请证书的公钥；
处理器， 用于获取所述证书认证中心签发的证书， 其中， 所述证书是由 所述证书认证中心使用所述新安装的 VNFC 实例用于申请证书的公钥签发 的。
21、 如权利要求 20所述的设备， 其特征在于，
所述信号接收器， 还用于在获取所述证书认证中心签发的证书之前， 接 收所述证书认证中心发送的证书响应消息；
所述处理器， 还用于对接收到的所述证书响应消息进行验证。
22、 如权利要求 21所述的设备， 其特征在于， 所述证书响应消息中包含 了所述证书认证中心签发的证书；
所述处理器， 具体用于在对所述证书响应消息验证通过时， 获取所述证 书响应消息中包含的所述证书认证中心签发给所述新安装的 VNFC 实例的证 书， 其中， 所述新安装的 VNFC 实例的证书是由所述证书认证中心根据所述 主 VNFC实例的证书， 通过对所述主 VNFC发送的证书申请请求消息的认证 后， 对所述证书请求消息中包含的所述新安装的 VNFC实例用于申请证书的 公钥签名得到的。
23、 如权利要求 19至 22任一所述的设备， 其特征在于， 所述证书申请 代理消息和所述证书请求消息中还包含了私钥拥有性证明 POP信息。
24、 如权利要求 23所述的设备， 其特征在于 , 所述 POP信息由所述新安 装的 VNFC 实例使用公私密钥对中的私钥对私钥拥有性证明签名关键字字段 进行签名得到。
25、 如权利要求 19至 24任一所述的设备， 其特征在于， 所述新安装的 VNFC实例使用的公私密钥对通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI 生成公私密钥对并注入至所述新安装的 VNFC实例中。
26、 如权利要求 19至 25任一所述的设备， 其特征在于，
所述信号发射器， 还用于在获取所述证书认证中心签发给所述新安装的 VNFC实例的证书后，将获取的所述证书认证中心签发给所述新安装的 VNFC 实例的证书通过内部网络发送给新安装的 VNFC实例。
27、 如权利要求 19至 26任一所述的设备， 其特征在于，
所述主 VNFC实例与所述新安装的 VNFC实例属于同一个网络功能虚拟 化基础设施 NF VI平台中同一个 VNF的不同组件。
28、 一种证书获取设备， 其特征在于， 包括：
信号接收器， 用于接收主 VNFC 实例发送的证书请求消息， 其中， 所述 证书请求消息中包含了主 VNFC实例的证书和新安装的 VNFC实例用于申请 证书的公钥；
处理器， 用于根据所述主 VNFC 实例的证书对所述证书请求消息进行认 证， 并在认证通过时对所述新安装的 VNFC 实例用于申请证书的公钥签名得 到签发的证书；
信号发射器， 用于将所述签发的证书发送给所述主 VNFC实例。
29、 如权利要求 28所述的设备， 其特征在于，
所述处理器， 具体用于利用所述主 VNFC 实例的证书验证所述证书请求 消息的签名，以及利用签发的根 CA证书或者签发的中间证书对接收到的所述 主 VNFC实例的证书进行验证。
30、 如权利要求 28或 29所述的设备， 其特征在于， 所述证书请求消息 中还包含私钥拥有性证明 POP信息。
31、 如权利要求 30所述的方法， 其特征在于，
所述处理器， 还用于所述证书认证中心利用所述证书请求消息中包含的 用于申请证书的公钥对所述证书请求消息中包含的 POP信息进行认证。
32、 一种证书获取设备， 其特征在于， 包括：
信号发射器，用于向主虚拟网络功能 VNFC实例发送证书申请代理消息， 其中， 所述证书申请代理消息中包含了新安装的 VNFC实例用于申请证书的 公钥， 所述证书申请代理消息用于请求所述主 VNFC实例向证书认证中心发 送证书请求消息， 所述证书请求消息用于请求所述证书认证中心为所述新安 装的 VNFC实例签发证书， 所述证书请求消息中包含了所述主 VNFC实例的 证书和所述新安装的 VNFC实例用于申请证书的公钥；
信号接收器， 用于接收所述主 VNFC 实例发送的所述证书认证中心签发 的证书， 其中， 所述证书是由所述证书认证中心对所述新安装的 VNFC 实例 用于申请证书的公钥签名得到的。
33、 如权利要求 32所述的设备， 其特征在于，
所述信号接收器， 还用于在向主 VNFC发送证书申请代理消息之前， 接 收 FVO或者 VNFM发送的证书申请信息， 其中， 所述证书申请信息中包含 了用于代理证书申请的主 VNFC实例信息。
34、 如权利要求 33所述的设备， 其特征在于， 所述设备还包括： 处理器， 其中：
所述处理器， 用于在向主 VNFC发送证书申请代理消息之前， 根据所述 证书申请信息， 建立与所述用于证书申请代理的主 VNFC 实例之间的网络连 接， 其中， 所述网絡连接属于同一个网络功能虚拟化基础设施 NFVI 平台的 VNF内部的网络连接。
35、 如权利要求 33至 34任一所述的设备， 其特征在于，
所述信号接收器， 具体用于在安装时， 接收网络功能虚拟化基础设备 NFVI注入的证书申请信息。
36、 如权利要求 33至 35任一所述的设备， 其特征在于， 用于证书申请 代理的主 VNFC信息包含了主 VNFC实例的网际协议 IP地址、媒质接入控制 MAC标识、 虚拟网络信息中心 NIC地址。
37、 如权利要求 32至 36任一所述的设备， 其特征在于， 所述新安装的 VNFC实例用于申请证书的公钥通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI生成公私密钥对，并注入至所述新安装的 VNFC实例中。
38、 如权利要求 32至 37任一所述的设备， 其特征在于， 所述新安装的 VNFC实例向主 VNFC实例发送证书申请代理消息的触发方式包括：
由 V F实例化触发； 或，
由 V F扩容触发。
39、 一种证书获取方法， 其特征在于， 包括：
主虚拟网络功能 VNFC实例接收新安装的 VNFC实例发送的证书申请代 理消息， 其中， 所述证书申请代理消息中包含了所述新安装的 VNFC 实例用 于申请证书的公钥； 所述主 VNFC 实例根据所述证书申请代理消息， 向证书认证中心发送证 书请求消息， 请求所述证书认证中心为所述新安装的 VNFC实例签发证书， 其中，所述证书请求消息中包含了主 VNFC实例的证书和所述新安装的 VNFC 实例用于申请证书的公钥；
所述主 VNFC 实例获取所述证书认证中心签发的证书， 其中， 所述证书 是由所述证书认证中心使用所述新安装的 VNFC 实例用于申请证书的公钥签 发的。
40、 如权利要求 39所述的方法， 其特征在于， 所述主 VNFC实例在获取 所述证书认证中心签发的证书之前， 所述方法还包括：
所述主 VNFC 实例接收所述证书认证中心发送的证书响应消息， 并对接 收到的所述证书响应消息进行验证。
41、 如权利要求 40所述的方法， 其特征在于， 所述证书响应消息中包含 了所述证书认证中心签发的证书；
所述获取所述证书认证中心签发的证书， 包括：
所述主 VNFC 实例在对所述证书响应消息验证通过时， 获取所述证书响 应消息中包含的所述证书认证中心签发给所述新安装的 VNFC实例的证书， 其中， 所述新安装的 VNFC 实例的证书是由所述证书认证中心根据所述主 VNFC实例的证书， 通过对所述主 VNFC发送的证书申请请求消息的认证后， 对所述证书请求消息中包含的所述新安装的 VNFC实例用于申请证书的公钥 签名得到的。
42、 如权利要求 39至 41任一所述的方法， 其特征在于， 所述证书申请 代理消息和所述证书请求消息中还包含了私钥拥有性证明 POP信息。
43、 如权利要求 42所述的方法， 其特征在于， 所述 POP信息由所述新安 装的 VNFC 实例使用公私密钥对中的私钥对私钥拥有性证明签名关键字字段 进行签名得到。
44、 如权利要求 39至 43任一所述的方法， 其特征在于， 所述新安装的 VNFC实例使用的公私密钥对通过以下方式得到： 所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI 生成公私密钥对并注入至所述新安装的 VNFC实例中。
45、 如权利要求 39至 44任一所述的方法， 其特征在于， 所述主 VNFC 实例在获取所述证书认证中心签发给所述新安装的 VNFC 实例的证书后， 所 述方法还包括：
所述主 VNFC 实例将获取的所述证书认证中心签发给所述新安装的 VNFC实例的证书通过内部网络发送给新安装的 VNFC实例。
46、 如权利要求 39至 45任一所述的方法， 其特征在于，
所述主 VNFC实例与所述新安装的 VNFC实例属于同一个网络功能虚拟 化基础设施 NF VI平台中同一个 VNF的不同组件。
47、 一种证书获取方法， 其特征在于， 包括：
证书认证中心接收主 VNFC实例发送的证书请求消息， 其中， 所述证书 请求消息中包含了主 VNFC实例的证书和新安装的 VNFC实例用于申请证书 的公钥；
所述证书认证中心根据所述主 VNFC 实例的证书对所述证书请求消息进 行认证， 并在认证通过时对所述新安装的 VNFC 实例用于申请证书的公钥签 名得到签发的证书；
所述证书认证中心将所述签发的证书发送给所述主 VNFC实例。
48、 如权利要求 47所述的方法， 其特征在于， 所述证书认证中心根据所 述主 VNFC的证书对所述证书请求消息进行认证， 包括：
所述证书认证中心利用所述主 VNFC 实例的证书验证所述证书请求消息 的签名， 以及利用签发的根 CA证书或者签发的中间证书对接收到的所述主 VNFC实例的证书进行验证。
49、 如权利要求 47或 48所述的方法， 其特征在于， 所述证书请求消息 中还包含私钥拥有性证明 POP信息。
50、 如权利要求 49所述的方法， 其特征在于， 所述证书认证中心根据所 述主 VNFC的证书对所述证书请求消息进行认证， 还包括：
所述证书认证中心利用所述证书请求消息中包含的用于申请证书的公钥 对所述证书请求消息中包含的 POP信息进行认证。
51、 一种证书获取方法， 其特征在于， 包括：
新安装的虚拟网络功能 VNFC实例向主 VNFC实例发送证书申请代理消 息， 其中， 所述证书申请代理消息中包含了新安装的 VNFC实例用于申请证 书的公钥， 所述证书申请代理消息用于请求所述主 VNFC 实例向证书认证中 心发送证书请求消息， 所述证书请求消息用于请求所述证书认证中心为所述 新安装的 VNFC实例签发证书， 所述证书请求消息中包含了所述主 VNFC实 例的证书和所述新安装的 VNFC实例用于申请证书的公钥；
所述新安装的 VNFC实例接收所述主 VNFC实例发送的所述证书认证中 心签发的证书，其中， 所述证书是由所述证书认证中心对所述新安装的 VNFC 实例用于申请证书的公钥签名得到的。
52、 如权利要求 51所述的方法， 其特征在于， 在向主 VNFC发送证书申 请代理消息之前， 所述方法还包括：
所述新安装的 VNFC实例接收 NFVO或者 VNFM发送的证书申请信息， 其中， 所述证书申请信息中包含了用于代理证书申请的主 VNFC实例信息。
53、 如权利要求 52所述的方法， 其特征在于， 所述新安装的 VNFC实例 在向主 VNFC发送证书申请代理消息之前， 所述方法还包括：
所述新安装的 VKFC实例根据所述证书申请信息， 建立与所述用于证书 申请代理的主 VNFC实例之间的网络连接， 其中， 所述网络连接属于同一个 网络功能虚拟化基础设施 NFVI平台的 V F内部的网絡连接。
54、 如权利要求 52至 53任一所述的方法， 其特征在于， 所述新安装的 VNFC实例获取证书申请信息， 包括：
所述新安装的 VNFC实例在安装时，接收网络功能虚拟化基础设备 NFVI 注入的证书申请信息。
55、 如权利要求 52至 54任一所述的方法， 其特征在于， 用于证书申请 代理的主 VNFC信息包含了主 VNFC实例的网际协议 IP地址、媒质接入控制 MAC标识、 虚拟网络信息中心 NIC地址。
56、 如权利要求 51至 55任一所述的方法， 其特征在于， 所述新安装的 VNFC实例用于申请证书的公钥通过以下方式得到：
所述新安装的 VNFC实例生成公私密钥对； 或
网络功能虚拟化基础设备 NFVI生成公私密钥对，并注入至所述新安装的 VNFC实例中。
57、 如权利要求 51至 56任一所述的方法， 其特征在于， 所述新安装的 VNFC实例向主 VNFC实例发送证书申请代理消息的触发方式包括：
由 V F实例化触发； 或，
由 V F扩容触发。
PCT/CN2014/077074 2014-05-08 2014-05-08 一种证书获取方法和设备 WO2015168913A1 (zh)

Priority Applications (7)

Application Number Priority Date Filing Date Title
PCT/CN2014/077074 WO2015168913A1 (zh) 2014-05-08 2014-05-08 一种证书获取方法和设备
JP2017510713A JP6311196B2 (ja) 2014-05-08 2014-05-08 証明書取得方法およびデバイス
BR112016026037-6A BR112016026037B1 (pt) 2014-05-08 2014-05-08 Dispositivo de aquisição de certificado
RU2016147696A RU2646317C1 (ru) 2014-05-08 2014-05-08 Способ и устройство для получения сертификата
CN201480028386.5A CN105264818B (zh) 2014-05-08 2014-05-08 一种证书获取方法和设备
EP14891512.7A EP3133768B1 (en) 2014-05-08 2014-05-08 Certificate acquisition method and device
US15/345,829 US10367647B2 (en) 2014-05-08 2016-11-08 Certificate acquiring method and device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2014/077074 WO2015168913A1 (zh) 2014-05-08 2014-05-08 一种证书获取方法和设备

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/345,829 Continuation US10367647B2 (en) 2014-05-08 2016-11-08 Certificate acquiring method and device

Publications (1)

Publication Number Publication Date
WO2015168913A1 true WO2015168913A1 (zh) 2015-11-12

Family

ID=54391999

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/077074 WO2015168913A1 (zh) 2014-05-08 2014-05-08 一种证书获取方法和设备

Country Status (7)

Country Link
US (1) US10367647B2 (zh)
EP (1) EP3133768B1 (zh)
JP (1) JP6311196B2 (zh)
CN (1) CN105264818B (zh)
BR (1) BR112016026037B1 (zh)
RU (1) RU2646317C1 (zh)
WO (1) WO2015168913A1 (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107135192A (zh) * 2016-02-26 2017-09-05 中国移动通信集团公司 部署vnf的资源授权方法、vnfm和nfvo
WO2017197560A1 (en) 2016-05-16 2017-11-23 Nokia Technologies Oy Virtualized network security
WO2018040095A1 (zh) * 2016-09-05 2018-03-08 华为技术有限公司 一种生成安全凭证的方法和设备
WO2018047399A1 (en) * 2016-09-08 2018-03-15 Nec Corporation Network function virtualization system and verifying method
WO2019015563A1 (zh) * 2017-07-20 2019-01-24 华为技术有限公司 一种虚拟网络功能vnf的初始化凭据生成方法及设备
CN109905252A (zh) * 2017-12-07 2019-06-18 华为技术有限公司 建立虚拟网络功能实例的方法和装置
CN111010410A (zh) * 2020-03-09 2020-04-14 南京红阵网络安全技术研究院有限公司 一种基于证书身份认证的拟态防御系统及证书签发方法
US11070541B2 (en) 2015-10-21 2021-07-20 Huawei Technologies Co., Ltd. Certificate management method and apparatus in network functions virtualization architecture

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10491594B2 (en) * 2014-08-22 2019-11-26 Nokia Technologies Oy Security and trust framework for virtualized networks
CN104580208B (zh) 2015-01-04 2018-11-30 华为技术有限公司 一种身份认证方法及装置
US9578008B2 (en) * 2015-05-11 2017-02-21 Intel Corporation Technologies for secure bootstrapping of virtual network functions
EP3440823B1 (en) 2016-04-05 2020-09-02 Zamna Technologies Limited Method and system for managing personal information within independent computer systems and digital networks
CN106302394B (zh) * 2016-07-26 2019-08-30 京信通信系统（中国）有限公司 安全通道建立方法和系统
US10318723B1 (en) * 2016-11-29 2019-06-11 Sprint Communications Company L.P. Hardware-trusted network-on-chip (NOC) and system-on-chip (SOC) network function virtualization (NFV) data communications
CN110121857B (zh) * 2016-12-30 2021-02-09 华为技术有限公司 一种凭据分发的方法和设备
US10298553B2 (en) * 2017-03-31 2019-05-21 Sprint Communications Company L.P. Hardware trusted data communications over system-on-chip (SOC) architectures
CN107302544B (zh) * 2017-08-15 2019-09-13 迈普通信技术股份有限公司 证书申请方法、无线接入控制设备及无线接入点设备
CN109756356B (zh) * 2017-11-07 2021-09-21 华为技术有限公司 设备升级方法及装置
US10728243B2 (en) * 2018-01-17 2020-07-28 Vmware, Inc. Automating establishment of initial mutual trust during deployment of a virtual appliance in a managed virtual data center environment
US10764160B1 (en) 2018-04-24 2020-09-01 Amdocs Development Limited System, method, and computer program for utilizing an open and global/private blockchain system for virtual network function (VNF) certification and consumption processes
EP3965372A1 (en) 2018-05-15 2022-03-09 Telefonaktiebolaget LM Ericsson (publ) Signaling optimization in 3gpp analytics
US11218329B2 (en) 2019-02-20 2022-01-04 Arris Enterprises Llc Certificate generation with fallback certificates
US20210377054A1 (en) * 2020-05-26 2021-12-02 Verizon Patent And Licensing Inc. Systems and methods for managing public key infrastructure certificates for components of a network
CN113765668B (zh) * 2020-06-03 2024-07-02 广州汽车集团股份有限公司 一种车辆数字证书在线安装方法及车辆数字证书管理装置
JP7409504B2 (ja) * 2020-07-03 2024-01-09 日本電信電話株式会社 ネットワーク仮想化システム、仮想リソース管理装置、仮想リソース管理方法およびプログラム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1961526A (zh) * 2004-05-28 2007-05-09 松下电器产业株式会社 母子卡认证系统
CN101030908A (zh) * 2007-02-06 2007-09-05 西安西电捷通无线网络通信有限公司 无线局域网wapi安全机制中证书的申请方法
CN101039182A (zh) * 2007-03-07 2007-09-19 广东南方信息安全产业基地有限公司 认证系统及用户标识证书发放方法
CN101272252A (zh) * 2008-04-09 2008-09-24 西安西电捷通无线网络通信有限公司 一种证书的分配与管理方法

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
NO313480B1 (no) 2001-01-24 2002-10-07 Telenor Asa Fremgangsmåte for å åpne hele eller deler av et smartkort
JP2005086445A (ja) * 2003-09-08 2005-03-31 Nooza:Kk ネットワーク構築方法、ネットワーク構築装置、およびネットワーク構築プログラム
JP2005149337A (ja) * 2003-11-19 2005-06-09 Nippon Telegr & Teleph Corp <Ntt> ゲートウエイ装置
JP2006246272A (ja) * 2005-03-07 2006-09-14 Fuji Xerox Co Ltd 証明書取得システム
US8281387B2 (en) * 2006-06-30 2012-10-02 Intel Corporation Method and apparatus for supporting a virtual private network architecture on a partitioned platform
ATE451780T1 (de) * 2007-09-28 2009-12-15 Zimory Gmbh Verfahren und system zur automatischen remote- bereitstellung eines servers über virtuelle geräteanwendungen
US8347355B2 (en) * 2008-01-17 2013-01-01 Aerohive Networks, Inc. Networking as a service: delivering network services using remote appliances controlled via a hosted, multi-tenant management system
US8458763B2 (en) * 2008-07-01 2013-06-04 International Business Machines Corporation Method of automating and personalizing systems to satisfy security requirements in an end-to-end service landscape
KR20120115560A (ko) * 2009-10-15 2012-10-18 인터디지탈 패튼 홀딩스, 인크 가입 기반 서비스에 액세스하기 위한 등록 및 크리덴셜 롤 아웃
US8364954B2 (en) * 2009-12-16 2013-01-29 Symantec Corporation Method and system for provisioning multiple digital certificates
US9100171B1 (en) * 2009-12-17 2015-08-04 Secure Forward, LLC Computer-implemented forum for enabling secure exchange of information
WO2013097117A1 (zh) 2011-12-28 2013-07-04 华为技术有限公司 虚拟机全盘加密下预启动时的密钥传输方法和设备
CN102726028A (zh) 2011-12-31 2012-10-10 华为技术有限公司 一种加密方法、解密方法和相关装置及系统
TWI623205B (zh) * 2012-09-27 2018-05-01 內數位專利控股公司 在虛擬網路中端對端架構、api框架、發現及存取
US9635013B2 (en) * 2012-10-12 2017-04-25 Koninklijke Philips N.V. Secure data handling by a virtual machine
JP2014082584A (ja) * 2012-10-15 2014-05-08 Nippon Registry Authentication Inc 認証基盤システム
EP2913956B1 (en) 2012-11-22 2017-01-04 Huawei Technologies Co., Ltd. Management control method and device for virtual machines
CN103888429B (zh) 2012-12-21 2017-11-03 华为技术有限公司 虚拟机启动方法、相关设备和系统
CN103023920B (zh) 2012-12-27 2016-04-13 华为技术有限公司 虚拟机安全保护方法及装置
CN103475485B (zh) * 2013-09-16 2017-03-22 浙江汇信科技有限公司 基于数字证书互联互通的身份认证支撑平台及认证方法
CN104639516B (zh) 2013-11-13 2018-02-06 华为技术有限公司 身份认证方法、设备及系统
WO2015143651A1 (zh) 2014-03-26 2015-10-01 华为技术有限公司 基于网络功能虚拟化的证书配置方法、装置和系统
BR112016026035B1 (pt) 2014-05-08 2023-04-18 Huawei Technologies Co., Ltd Dispositivo e métodos de aquisição de certificado

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1961526A (zh) * 2004-05-28 2007-05-09 松下电器产业株式会社 母子卡认证系统
CN101030908A (zh) * 2007-02-06 2007-09-05 西安西电捷通无线网络通信有限公司 无线局域网wapi安全机制中证书的申请方法
CN101039182A (zh) * 2007-03-07 2007-09-19 广东南方信息安全产业基地有限公司 认证系统及用户标识证书发放方法
CN101272252A (zh) * 2008-04-09 2008-09-24 西安西电捷通无线网络通信有限公司 一种证书的分配与管理方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3133768A4 *

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11070541B2 (en) 2015-10-21 2021-07-20 Huawei Technologies Co., Ltd. Certificate management method and apparatus in network functions virtualization architecture
CN107135192B (zh) * 2016-02-26 2020-04-21 中国移动通信集团公司 部署vnf的资源授权方法、vnfm和nfvo
CN107135192A (zh) * 2016-02-26 2017-09-05 中国移动通信集团公司 部署vnf的资源授权方法、vnfm和nfvo
WO2017197560A1 (en) 2016-05-16 2017-11-23 Nokia Technologies Oy Virtualized network security
EP3443500A4 (en) * 2016-05-16 2019-12-18 Nokia Technologies Oy VIRTUALIZED NETWORK SECURITY
WO2018040095A1 (zh) * 2016-09-05 2018-03-08 华为技术有限公司 一种生成安全凭证的方法和设备
WO2018047399A1 (en) * 2016-09-08 2018-03-15 Nec Corporation Network function virtualization system and verifying method
US11463267B2 (en) 2016-09-08 2022-10-04 Nec Corporation Network function virtualization system and verifying method
JP2019526993A (ja) * 2016-09-08 2019-09-19 日本電気株式会社 ネットワーク機能仮想化システム及び検証方法
WO2019015563A1 (zh) * 2017-07-20 2019-01-24 华为技术有限公司 一种虚拟网络功能vnf的初始化凭据生成方法及设备
CN109286494B (zh) * 2017-07-20 2020-10-23 华为技术有限公司 一种虚拟网络功能vnf的初始化凭据生成方法及设备
CN109286494A (zh) * 2017-07-20 2019-01-29 华为技术有限公司 一种虚拟网络功能vnf的初始化凭据生成方法及设备
CN109905252A (zh) * 2017-12-07 2019-06-18 华为技术有限公司 建立虚拟网络功能实例的方法和装置
CN109905252B (zh) * 2017-12-07 2022-06-07 华为技术有限公司 建立虚拟网络功能实例的方法和装置
US11487867B2 (en) 2017-12-07 2022-11-01 Huawei Technologies Co., Ltd. Method and apparatus for creating virtualized network function instance
CN111010410A (zh) * 2020-03-09 2020-04-14 南京红阵网络安全技术研究院有限公司 一种基于证书身份认证的拟态防御系统及证书签发方法
CN111010410B (zh) * 2020-03-09 2020-06-16 南京红阵网络安全技术研究院有限公司 一种基于证书身份认证的拟态防御系统及证书签发方法
WO2021179449A1 (zh) * 2020-03-09 2021-09-16 南京红阵网络安全技术研究院有限公司 一种基于证书身份认证的拟态防御系统及证书签发方法

Also Published As

Publication number Publication date
EP3133768A4 (en) 2017-02-22
US10367647B2 (en) 2019-07-30
CN105264818A (zh) 2016-01-20
BR112016026037A2 (zh) 2017-08-15
JP2017521971A (ja) 2017-08-03
RU2646317C1 (ru) 2018-03-02
CN105264818B (zh) 2018-10-30
EP3133768B1 (en) 2019-07-31
BR112016026037B1 (pt) 2023-04-04
US20170054565A1 (en) 2017-02-23
JP6311196B2 (ja) 2018-04-18
EP3133768A1 (en) 2017-02-22

Similar Documents

Publication Publication Date Title
WO2015168913A1 (zh) 一种证书获取方法和设备
RU2658172C2 (ru) Способ и устройство получения сертификата
US10205719B2 (en) Network function virtualization-based certificate configuration method, apparatus, and system
US8862899B2 (en) Storage access authentication mechanism
EP3846522A1 (en) Mec platform deployment method and device
EP2410454A1 (en) Techniques for identity-enabled interface deployment
JP2016519540A (ja) 分散環境の安全通信認証方法及びシステム
EP3874674A1 (en) Authorization with a preloaded certificate
WO2018055530A1 (en) Authorization with container application issued token
WO2018120042A1 (zh) 一种凭据分发的方法和设备
EP3987391B1 (en) Method and system for service image deployment in a cloud computing system based on distributed ledger technology
US20220360454A1 (en) Methods and devices for securing a multiple-access peripheral network
WO2019015563A1 (zh) 一种虚拟网络功能vnf的初始化凭据生成方法及设备
US20240241743A1 (en) Registration and deployment of an agent platform appliance in a hybrid environment
WO2018120182A1 (zh) 一种秘密信息的分发方法和设备
US20240007340A1 (en) Executing on-demand workloads initiated from cloud services in a software-defined data center

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201480028386.5

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14891512

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017510713

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

REEP Request for entry into the european phase

Ref document number: 2014891512

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2014891512

Country of ref document: EP

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112016026037

Country of ref document: BR

ENP Entry into the national phase

Ref document number: 2016147696

Country of ref document: RU

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 112016026037

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20161107