CN107770095B - 一种用于控制虚拟机元数据访问的方法与设备 - Google Patents

Abstract

本申请的目的是提供一种用于控制虚拟机元数据访问的方法与设备。与现有技术相比，本申请的虚拟机物理设备根据目标虚拟机对应的隧道标识信息对元数据访问请求进行隧道封装处理以获得对应的第一数据报文，本申请的元数据服务设备在获取对应虚拟机物理设备发送的第一数据报文后，对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息，并根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；本申请利用网络隧道技术对元数据访问请求及请求响应结果进行封装或解封装处理，实现身份识别，使得用户可以安全快捷地访问所需要的元数据信息。

Description

一种用于控制虚拟机元数据访问的方法与设备

技术领域

本申请涉及计算机领域，尤其涉及一种用于控制虚拟机元数据访问的技术。

背景技术

虚拟机(Virtual Machine)是指通过软件模拟的具有完整硬件***功能的、运行在一个完全隔离环境中的完整计算机***。虚拟机元数据(metadata)是虚拟机自身属性的键值对，比如虚拟机的IP、MAC、磁盘大小、CPU数量、镜像名称等。

目前云服务提供的虚拟机，每个虚拟机有很多自身的属性存放在云服务内部，用户无法直接在虚拟机获得。但是实际用户希望能够知道这些属性，比如用户希望能知道自己机器的ID、镜像名称来自动启动相应的服务。HTTP请求(是指从客户端到服务器端的请求消息)作为一种简单透明的请求方式，是目前最常用的获取数据的方案。

但是传统的HTTP接口服务需要考虑很多安全策略来保证用户数据安全，一般采用如下方式：在用户端(虚拟机)和服务端双方持有一对非对称加密的密钥证书；用户端对请求HTTP的参数使用私钥加密签名，发送HTTP请求；服务端使用对应的公钥进行签名解密。

然而，通过证书加密签名方式实现的安全策略，主要存在以下几个问题：

1)使用不方便，需要用户下载安装证书，同时所有请求需要通过程序脚本增加签名后再来请求。下载证书需要额外的安全机制来保证证书不被泄漏、盗用。

2)大多数文件证书可复制(copy)导致用户数据不安全。

发明内容

本申请的一个目的是提供一种用于控制虚拟机元数据访问的方法与设备，以解决用户安全快捷地访问所需要的元数据的问题。

根据本申请的一个方面，提供了一种控制虚拟机元数据访问的方法，用于虚拟机物理设备端，其中，该方法包括：

获取元数据访问请求；

根据目标虚拟机对应的隧道标识信息对所述访问请求进行隧道封装处理以获得对应的第一数据报文；

向对应元数据服务设备发送所述第一数据报文；

接收所述元数据服务设备基于所述第一数据报文返回的第二数据报文；

根据所述目标虚拟机对应的隧道标识信息对所述第二数据报文进行隧道解封装处理，获得所述目标虚拟机的元数据信息。

根据本申请的另一个方面，提供了一种控制虚拟机元数据访问的方法，用于元数据服务设备端，其中，该方法包括：

获取对应虚拟机物理设备发送的第一数据报文；

对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息；

根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；

根据所述目标虚拟机对应的隧道标识信息对所述目标虚拟机的元数据信息进行隧道封装处理以获得对应的第二数据报文；

向所述虚拟机物理设备发送所述第二数据报文。

根据本申请的又一个方面，提供了一种控制虚拟机元数据访问的方法，用于虚拟机管理设备端，其中，该方法包括：

为待创建虚拟机分配对应的隧道标识信息；

向对应虚拟机物理设备发送关于所述待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；

向对应元数据服务设备发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息。

根据本申请的再一个方面，提供了一种用于控制虚拟机元数据访问的虚拟机物理设备，其中，该设备包括：

元数据访问请求获取装置，用于获取元数据访问请求；

第一数据报文获得装置，用于根据目标虚拟机对应的隧道标识信息对所述访问请求进行隧道封装处理以获得对应的第一数据报文；

第一数据报文发送装置，用于向对应元数据服务设备发送所述第一数据报文；

第二数据报文接收装置，用于接收所述元数据服务设备基于所述第一数据报文返回的第二数据报文；

第二数据报文解封装装置，用于根据所述目标虚拟机对应的隧道标识信息对所述第二数据报文进行隧道解封装处理，获得所述目标虚拟机的元数据信息。

根据本申请的又一个方面，提供了一种用于控制虚拟机元数据访问的元数据服务设备，其中，该设备包括：

第一数据报文获取装置，用于获取对应虚拟机物理设备发送的第一数据报文；

第一数据报文解封装装置，用于对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息；

元数据信息获取装置，用于根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；

第二数据报文获得装置，用于根据所述目标虚拟机对应的隧道标识信息对所述目标虚拟机的元数据信息进行隧道封装处理以获得对应的第二数据报文；

第二数据报文发送装置，用于向所述虚拟机物理设备发送所述第二数据报文。

根据本申请的又一个方面，提供了一种用于控制虚拟机元数据访问的虚拟机管理设备，其中，该设备包括：

隧道标识信息分配装置，用于为待创建虚拟机分配对应的隧道标识信息；

虚拟机创建指令发送装置，用于向对应虚拟机物理设备发送关于所述待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；

元数据信息发送装置，用于向对应元数据服务设备发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息。

根据本申请的又一个方面，还提供了一种用于控制虚拟机元数据访问的虚拟机物理设备，其中，该设备包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

获取元数据访问请求；

根据目标虚拟机对应的隧道标识信息对所述访问请求进行隧道封装处理以获得对应的第一数据报文；

向对应元数据服务设备发送所述第一数据报文；

接收所述元数据服务设备基于所述第一数据报文返回的第二数据报文；

根据所述目标虚拟机对应的隧道标识信息对所述第二数据报文进行隧道解封装处理，获得所述目标虚拟机的元数据信息。

根据本申请的又一个方面，还提供了一种用于控制虚拟机元数据访问的元数据服务设备，其中，该设备包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

获取对应虚拟机物理设备发送的第一数据报文；

对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息；

根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；

根据所述目标虚拟机对应的隧道标识信息对所述目标虚拟机的元数据信息进行隧道封装处理以获得对应的第二数据报文；

向所述虚拟机物理设备发送所述第二数据报文。

根据本申请的又一个方面，还提供了一种用于控制虚拟机元数据访问的虚拟机管理设备，其中，该设备包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

为待创建虚拟机分配对应的隧道标识信息；

向对应虚拟机物理设备发送关于所述待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；

向对应元数据服务设备发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息。

与现有技术相比，本申请的虚拟机物理设备在获取元数据访问请求后，根据目标虚拟机对应的隧道标识信息对该元数据访问请求进行隧道封装处理以获得对应的第一数据报文，再向对应元数据服务设备发送所述第一数据报文，本申请的元数据服务设备在获取对应虚拟机物理设备发送的第一数据报文后，对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息，并根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；本申请通过所述隧道标识信息唯一地标识虚拟机，利用网络隧道技术对元数据访问请求及请求响应结果进行封装或解封装处理，实现身份识别，使得用户可以安全快捷地访问所需要的元数据信息。进一步地，本申请的虚拟机物理设备若所述元数据访问请求的频率超过预定阈值，限制所述元数据访问请求，防止用户恶意的攻击所述元数据服务设备。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1示出根据本申请一个方面的一种用于控制虚拟机元数据访问的***拓扑图；

图2示出根据本申请另一个方面的一种用于控制虚拟机元数据访问的虚拟机物理设备与元数据服务设备的示意图；

图3示出根据本申请一个优选实施例的一种虚拟机物理设备、元数据服务设备与虚拟机管理设备的示意图；

图4示出根据本申请一个优选实施例的一种数据报文格式的示意图；

图5示出根据本申请另一个优选实施例的一种用于控制虚拟机元数据访问的虚拟机管理设备、虚拟机物理设备与元数据服务设备的示意图；

图6示出根据本申请又一个方面的一种在虚拟机物理设备端及元数据服务设备端用于控制虚拟机元数据访问的方法流程图；

图7示出根据本申请又一个优选实施例的一种在虚拟机管理设备端、虚拟机物理设备端及元数据服务设备端用于控制虚拟机元数据访问的方法流程图。

附图中相同或相似的附图标记代表相同或相似的部件。

具体实施方式

下面结合附图对本申请作进一步详细描述。

在本申请一个典型的配置中，终端、服务网络的设备和可信方均包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

图1示出根据本申请一个方面的一种用于控制虚拟机元数据访问的***拓扑图，其中包括虚拟机管理设备3、元数据服务设备2及虚拟机物理设备1。

在本申请中，所述虚拟机管理设备3用于创建虚拟机，所述虚拟机物理设备1为虚拟机的宿主设备，所述元数据服务设备2提供元数据信息的访问服务；而且，所述虚拟机管理设备3与所述元数据服务设备2可能位于相同或不同的物理设备，也可能位于相同或不同的服务器集群，图1仅示出了所述虚拟机管理设备3与所述元数据服务设备2位于同一个服务器集群的情况。本申请在所述虚拟机物理设备1和所述元数据服务设备2中各部署了一个网络模块，用于数据报文的隧道技术处理。在此，网络模块对数据报文的隧道技术处理可以使用现有的网络隧道技术实现，主流的几种方式有xvlan、NVGRE、STT等。

本领域技术人员应能理解，图1中仅为简明起见而示出的各类网络元素的数量可能小于一个实际网络中的数量，但这种省略无疑地是以不会影响对本发明进行清楚、充分的公开为前提的。为简明起见，下面以一个虚拟机物理设备1及一个元数据服务设备2及一个虚拟机管理设备3组成的***为例进行描述。

图2示出根据本申请另一个方面的一种用于控制虚拟机元数据访问的虚拟机物理设备与元数据服务设备的示意图，包括虚拟机物理设备1与元数据服务设备2。其中，所述虚拟机物理设备1包括元数据访问请求获取装置11、第一数据报文获得装置12、第一数据报文发送装置13、第二数据报文接收装置14和第二数据报文解封装装置15；所述元数据服务设备2包括第一数据报文获取装置21、第一数据报文解封装装置22、元数据信息获取装置23、第二数据报文获得装置24和第二数据报文发送装置25。

具体地，所述虚拟机物理设备1的元数据访问请求获取装置11获取元数据访问请求；所述虚拟机物理设备1的第一数据报文获得装置12根据目标虚拟机对应的隧道标识信息对所述访问请求进行隧道封装处理以获得对应的第一数据报文；所述虚拟机物理设备1的第一数据报文发送装置13向对应元数据服务设备2发送所述第一数据报文；所述元数据服务设备2的第一数据报文获取装置21获取对应虚拟机物理设备1发送的第一数据报文；所述元数据服务设备2的第一数据报文解封装装置22对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息；所述元数据服务设备2的元数据信息获取装置23根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；所述元数据服务设备2的第二数据报文获得装置24根据所述目标虚拟机对应的隧道标识信息对所述目标虚拟机的元数据信息进行隧道封装处理以获得对应的第二数据报文；所述元数据服务设备2的第二数据报文发送装置25向所述虚拟机物理设备1发送所述第二数据报文；所述虚拟机物理设备1的第二数据报文接收装置14接收所述元数据服务设备2基于所述第一数据报文返回的第二数据报文；所述虚拟机物理设备1的第二数据报文解封装装置15根据所述目标虚拟机对应的隧道标识信息对所述第二数据报文进行隧道解封装处理，获得所述目标虚拟机的元数据信息。

例如，参照图3，所述用户设备可以是虚拟机，如果虚拟机需要访问自己的元数据信息，则所述目标虚拟机为其自身；虚拟机发送的关于自身的元数据访问请求经由所述虚拟机物理设备1的网络模块发向所述元数据服务设备2的网络模块，并且所述虚拟机物理设备1的网络模块会对该元数据访问请求进行隧道封装处理(即利用网络隧道技术进行封包处理)，将该元数据访问请求作为所述第一数据报文的一个数据包，而且所述第一数据报文中还包括该虚拟机对应的隧道标识信息，在此，所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；所述元数据服务设备2的网络模块获取所述第一数据报文后，对其进行隧道解封装处理(即利用网络隧道技术进行解包处理)，剥离出该元数据访问请求及所述隧道标识信息，然后根据所述隧道标识信息识别该元数据访问请求的来源身份，通过身份识别后查询得到所请求的元数据信息(即请求响应结果)，所述元数据服务设备2的网络模块对该元数据信息进行隧道封装处理以获得对应的第二数据报文，接着将所述第二数据报文发向所述虚拟机物理设备1，所述虚拟机物理设备1的网络模块对所述第二数据报文进行隧道解封装处理，获得该元数据信息，并将该元数据信息返回给虚拟机(即所述用户设备)。在此，所述第一数据报文及所述第二数据报文可以是图4所示的格式，其中，在隧道封装处理过程中，将请求或请求响应结果作为图示数据报文中的一个数据包(即图4中的二层原始数据)，图4示出采用xvlan技术标准实现网络隧道处理，图4中的vxlan head包含了网络隧道ID，vxlan协议头包含了一个24bit长度的VNI(Vxlan Network identifier)即为网络隧道ID。

优选地，所述虚拟机物理设备1还包括元数据信息提供装置(图中未示出)；所述元数据信息提供装置将所述目标虚拟机对应的元数据信息提供至所述元数据访问请求对应的应用。

例如，若有应用需要所述目标虚拟机对应的元数据信息，比如在一些情况下，需要根据机器的ID、镜像名称等元数据信息来启动相应的服务。在此，将对应的元数据信息提供至所述元数据访问请求对应的应用。

优选地，所述元数据访问请求包括对预定地址的访问请求。

例如，如果目标是所述元数据服务设备2的预定IP地址的请求，所述第一数据报文的下一跳地址即为该预定IP地址。比如，假设该预定IP地址为100.100.100.100，可以通过curl http://100.100.100.100/laster/meta-data/am-id获取目标虚拟机的ID。

优选地，所述虚拟机物理设备1还包括元数据访问请求限制装置(图中未示出)；所述元数据访问请求限制装置若所述元数据访问请求的频率超过预定阈值，限制所述元数据访问请求。

在此，针对目标地址是所述元数据服务设备2的请求，所述虚拟机物理设备1的网络模块可以提供QOS限流功能，防止用户恶意的攻击所述元数据服务设备2。

图5示出根据本申请另一个优选实施例的一种用于控制虚拟机元数据访问的虚拟机管理设备、虚拟机物理设备与元数据服务设备的示意图，包括虚拟机管理设备3、虚拟机物理设备1和元数据服务设备2。其中，所述虚拟机管理设备3包括隧道标识信息分配装置31’、虚拟机创建指令发送装置32’和元数据信息发送装置33’；所述虚拟机物理设备1包括虚拟机创建指令接收装置16’、虚拟机创建装置17’、元数据访问请求获取装置11’、第一数据报文获得装置12’、第一数据报文发送装置13’、第二数据报文接收装置14’和第二数据报文解封装装置15’；所述元数据服务设备2包括元数据信息接收装置26’、存储装置27’、第一数据报文获取装置21’、第一数据报文解封装装置22’、元数据信息获取装置23’、第二数据报文获得装置24’和第二数据报文发送装置25’。

在此，所述虚拟机物理设备1的元数据访问请求获取装置11’、第一数据报文获得装置12’、第一数据报文发送装置13’、第二数据报文接收装置14’、第二数据报文解封装装置15’与图2中的元数据访问请求获取装置11、第一数据报文获得装置12、第一数据报文发送装置13、第二数据报文接收装置14、第二数据报文解封装装置15内容相同或基本相同，所述元数据服务设备2的第一数据报文获取装置21’、第一数据报文解封装装置22’、元数据信息获取装置23’、第二数据报文获得装置24’、第二数据报文发送装置25’与图2中的第一数据报文获取装置21、第一数据报文解封装装置22、元数据信息获取装置23、第二数据报文获得装置24、第二数据报文发送装置25内容相同或基本相同，为简明起见，不再赘述。

具体地，所述虚拟机管理设备3的隧道标识信息分配装置31’为待创建虚拟机分配对应的隧道标识信息；所述虚拟机管理设备3的虚拟机创建指令发送装置32’向对应虚拟机物理设备1发送关于所述待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；所述虚拟机物理设备1的虚拟机创建指令接收装置16’接收对应虚拟机管理设备3所发送的关于待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；所述虚拟机物理设备1的虚拟机创建装置17’根据所述虚拟机创建指令创建所述待创建虚拟机，并存储所述待创建虚拟机对应的隧道标识信息；所述虚拟机管理设备3的元数据信息发送装置33’向对应元数据服务设备2发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息；所述元数据服务设备2的元数据信息接收装置26’接收对应虚拟机管理设备3发送的新创建虚拟机的元数据信息，以及所述新创建虚拟机对应的隧道标识信息；所述元数据服务设备2的存储装置27’存储所述新创建虚拟机对应的隧道标识信息及所述新创建虚拟机的元数据信息。

例如，参照图3，在虚拟机创建阶段为待创建虚拟机分配对应的隧道标识信息，在此，所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址，从而标识新创建的虚拟机的唯一身份。然后，对应虚拟机物理设备1根据所述虚拟机管理设备3的虚拟机创建指令创建新的虚拟机，对应虚拟机物理设备1会记录新创建的虚拟机对应的隧道标识信息。而且，所述虚拟机管理设备3会向对应元数据服务设备2发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息；对应元数据服务设备2接收并存储所述待创建虚拟机的元数据信息及其对应的隧道标识信息，以便于后续根据所述隧道标识信息识别身份并响应元数据访问请求。

优选地，所述虚拟机物理设备1还包括创建成功信息发送装置(图中未示出)；所述创建成功信息发送装置当成功创建所述待创建虚拟机，向所述虚拟机管理设备3发送对应的创建成功信息。

优选地，所述虚拟机管理设备3的元数据信息发送装置33’当接收到所述虚拟机物理设备1基于所述虚拟机创建指令返回的创建成功信息，向对应元数据服务设备2发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息。而后，对应元数据服务设备2接收并存储所述待创建虚拟机的元数据信息及其对应的隧道标识信息，以便于后续根据所述隧道标识信息识别身份并响应元数据访问请求。

图6示出根据本申请又一个方面的一种在虚拟机物理设备端及元数据服务设备端用于控制虚拟机元数据访问的方法流程图，该方法包括虚拟机物理设备端的步骤S11、步骤S12、步骤S13、步骤S14和步骤S15，元数据服务设备端的步骤S21、步骤S22、步骤S23、步骤S24和步骤S25。

具体地，在步骤S11中，所述虚拟机物理设备1获取元数据访问请求；在步骤S12中，所述虚拟机物理设备1根据目标虚拟机对应的隧道标识信息对所述访问请求进行隧道封装处理以获得对应的第一数据报文；在步骤S13中，所述虚拟机物理设备1向对应元数据服务设备2发送所述第一数据报文；在步骤S21中，所述元数据服务设备2获取对应虚拟机物理设备1发送的第一数据报文；在步骤S22中，所述元数据服务设备2对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息；在步骤S23中，所述元数据服务设备2根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；在步骤S24中，所述元数据服务设备2根据所述目标虚拟机对应的隧道标识信息对所述目标虚拟机的元数据信息进行隧道封装处理以获得对应的第二数据报文；在步骤S25中，所述元数据服务设备2向所述虚拟机物理设备1发送所述第二数据报文；在步骤S14中，所述虚拟机物理设备1接收所述元数据服务设备2基于所述第一数据报文返回的第二数据报文；在步骤S15中，所述虚拟机物理设备1根据所述目标虚拟机对应的隧道标识信息对所述第二数据报文进行隧道解封装处理，获得所述目标虚拟机的元数据信息。

例如，参照图3，所述用户设备可以是虚拟机，如果虚拟机需要访问自己的元数据信息，则所述目标虚拟机为其自身；虚拟机发送的关于自身的元数据访问请求经由所述虚拟机物理设备1的网络模块发向所述元数据服务设备2的网络模块，并且所述虚拟机物理设备1的网络模块会对该元数据访问请求进行隧道封装处理(即利用网络隧道技术进行封包处理)，将该元数据访问请求作为所述第一数据报文的一个数据包，而且所述第一数据报文中还包括该虚拟机对应的隧道标识信息，在此，所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；所述元数据服务设备2的网络模块获取所述第一数据报文后，对其进行隧道解封装处理(即利用网络隧道技术进行解包处理)，剥离出该元数据访问请求及所述隧道标识信息，然后根据所述隧道标识信息识别该元数据访问请求的来源身份，通过身份识别后查询得到所请求的元数据信息(即请求响应结果)，所述元数据服务设备2的网络模块对该元数据信息进行隧道封装处理以获得对应的第二数据报文，接着将所述第二数据报文发向所述虚拟机物理设备1，所述虚拟机物理设备1的网络模块对所述第二数据报文进行隧道解封装处理，获得该元数据信息，并将该元数据信息返回给虚拟机(即所述用户设备)。在此，所述第一数据报文及所述第二数据报文可以是图4所示的格式，其中，在隧道封装处理过程中，将请求或请求响应结果作为图示数据报文中的一个数据包(即图4中的二层原始数据)，图4示出采用xvlan技术标准实现网络隧道处理，图4中的vxlan head包含了网络隧道ID，vxlan协议头包含了一个24bit长度的VNI(Vxlan Network identifier)即为网络隧道ID。

优选地，所述方法还包括：所述虚拟机物理设备1将所述目标虚拟机对应的元数据信息提供至所述元数据访问请求对应的应用。

例如，若有应用需要所述目标虚拟机对应的元数据信息，比如在一些情况下，需要根据机器的ID、镜像名称等元数据信息来启动相应的服务。在此，将对应的元数据信息提供至所述元数据访问请求对应的应用。

优选地，所述元数据访问请求包括对预定地址的访问请求。

例如，如果目标是所述元数据服务设备2的预定IP地址的请求，所述第一数据报文的下一跳地址即为该预定IP地址。比如，假设该预定IP地址为100.100.100.100，可以通过curl http://100.100.100.100/laster/meta-data/am-id获取目标虚拟机的ID。

优选地，所述方法还包括：所述虚拟机物理设备1若所述元数据访问请求的频率超过预定阈值，限制所述元数据访问请求。

在此，针对目标地址是所述元数据服务设备2的请求，所述虚拟机物理设备1的网络模块可以提供QOS限流功能，防止用户恶意的攻击所述元数据服务设备2。

图7示出根据本申请又一个优选实施例的一种在虚拟机管理设备端、虚拟机物理设备端及元数据服务设备端用于控制虚拟机元数据访问的方法流程图，该方法虚拟机管理设备端的步骤S31’、步骤S32’和步骤S33’，虚拟机物理设备端的步骤S16’、步骤S17’、步骤S11’、步骤S12’、步骤S13’、步骤S14’和步骤S15’；元数据服务设备端的步骤S26’、步骤S27’、步骤S21’、步骤S22’、步骤S23’、步骤S24’和步骤S25’。

在此，所述步骤S11’、步骤S12’、步骤S13’、步骤S14’、步骤S15’、步骤S21’、步骤S22’、步骤S23’、步骤S24’、步骤S25’与图6中的步骤S11、步骤S12、步骤S13、步骤S14、步骤S15、步骤S21、步骤S22、步骤S23、步骤S24、步骤S25内容相同或基本相同，为简明起见，不再赘述。

具体地，在步骤S31’中，所述虚拟机管理设备3为待创建虚拟机分配对应的隧道标识信息；在步骤S32’中，所述虚拟机管理设备3向对应虚拟机物理设备1发送关于所述待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；在步骤S16’中，所述虚拟机物理设备1接收对应虚拟机管理设备3所发送的关于待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；在步骤S17’中，所述虚拟机物理设备1根据所述虚拟机创建指令创建所述待创建虚拟机，并存储所述待创建虚拟机对应的隧道标识信息；在步骤S33’中，所述虚拟机管理设备3向对应元数据服务设备2发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息；在步骤S26’中，所述元数据服务设备2接收对应虚拟机管理设备3发送的新创建虚拟机的元数据信息，以及所述新创建虚拟机对应的隧道标识信息；在步骤S27’中，所述元数据服务设备2存储所述新创建虚拟机对应的隧道标识信息及所述新创建虚拟机的元数据信息。

例如，参照图3，在虚拟机创建阶段为待创建虚拟机分配对应的隧道标识信息，在此，所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址，从而标识新创建的虚拟机的唯一身份。然后，对应虚拟机物理设备1根据所述虚拟机管理设备3的虚拟机创建指令创建新的虚拟机，对应虚拟机物理设备1会记录新创建的虚拟机对应的隧道标识信息。而且，所述虚拟机管理设备3会向对应元数据服务设备2发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息；对应元数据服务设备2接收并存储所述待创建虚拟机的元数据信息及其对应的隧道标识信息，以便于后续根据所述隧道标识信息识别身份并响应元数据访问请求。

优选地，所述方法还包括：所述虚拟机物理设备1当成功创建所述待创建虚拟机，向所述虚拟机管理设备3发送对应的创建成功信息。

优选地，所述虚拟机管理设备3当接收到所述虚拟机物理设备1基于所述虚拟机创建指令返回的创建成功信息，向对应元数据服务设备2发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息。而后，对应元数据服务设备2接收并存储所述待创建虚拟机的元数据信息及其对应的隧道标识信息，以便于后续根据所述隧道标识信息识别身份并响应元数据访问请求。

根据本申请的又一个方面，还提供了一种用于控制虚拟机元数据访问的虚拟机物理设备，其中，该设备包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

获取元数据访问请求；

根据目标虚拟机对应的隧道标识信息对所述访问请求进行隧道封装处理以获得对应的第一数据报文；

向对应元数据服务设备发送所述第一数据报文；

接收所述元数据服务设备基于所述第一数据报文返回的第二数据报文；

根据所述目标虚拟机对应的隧道标识信息对所述第二数据报文进行隧道解封装处理，获得所述目标虚拟机的元数据信息。

根据本申请的又一个方面，还提供了一种用于控制虚拟机元数据访问的元数据服务设备，其中，该设备包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

获取对应虚拟机物理设备发送的第一数据报文；

对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息；

根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；

根据所述目标虚拟机对应的隧道标识信息对所述目标虚拟机的元数据信息进行隧道封装处理以获得对应的第二数据报文；

向所述虚拟机物理设备发送所述第二数据报文。

根据本申请的又一个方面，还提供了一种用于控制虚拟机元数据访问的虚拟机管理设备，其中，该设备包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

为待创建虚拟机分配对应的隧道标识信息；

向对应虚拟机物理设备发送关于所述待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；

向对应元数据服务设备发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息。

与现有技术相比，本申请的虚拟机物理设备在获取元数据访问请求后，根据目标虚拟机对应的隧道标识信息对该元数据访问请求进行隧道封装处理以获得对应的第一数据报文，再向对应元数据服务设备发送所述第一数据报文，本申请的元数据服务设备在获取对应虚拟机物理设备发送的第一数据报文后，对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息，并根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；本申请通过所述隧道标识信息唯一地标识虚拟机，利用网络隧道技术对元数据访问请求及请求响应结果进行封装或解封装处理，实现身份识别，使得用户可以安全快捷地访问所需要的元数据信息。进一步地，本申请的虚拟机物理设备若所述元数据访问请求的频率超过预定阈值，限制所述元数据访问请求，防止用户恶意的攻击所述元数据服务设备。

需要注意的是，本申请可在软件和/或软件与硬件的组合体中被实施，例如，可采用专用集成电路(ASIC)、通用目的计算机或任何其他类似硬件设备来实现。在一个实施例中，本申请的软件程序可以通过处理器执行以实现上文所述步骤或功能。同样地，本申请的软件程序(包括相关的数据结构)可以被存储到计算机可读记录介质中，例如，RAM存储器，磁或光驱动器或软磁盘及类似设备。另外，本申请的一些步骤或功能可采用硬件来实现，例如，作为与处理器配合从而执行各个步骤或功能的电路。

另外，本申请的一部分可被应用为计算机程序产品，例如计算机程序指令，当其被计算机执行时，通过该计算机的操作，可以调用或提供根据本申请的方法和/或技术方案。而调用本申请的方法的程序指令，可能被存储在固定的或可移动的记录介质中，和/或通过广播或其他信号承载媒体中的数据流而被传输，和/或被存储在根据所述程序指令运行的计算机设备的工作存储器中。在此，根据本申请的一个实施例包括一个装置，该装置包括用于存储计算机程序指令的存储器和用于执行程序指令的处理器，其中，当该计算机程序指令被该处理器执行时，触发该装置运行基于前述根据本申请的多个实施例的方法和/或技术方案。

对于本领域技术人员而言，显然本申请不限于上述示范性实施例的细节，而且在不背离本申请的精神或基本特征的情况下，能够以其他的具体形式实现本申请。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本申请的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本申请内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。装置权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

Claims (23)

1.一种控制虚拟机元数据访问的方法，用于虚拟机物理设备端，其中，该方法包括：

获取元数据访问请求；

根据目标虚拟机对应的隧道标识信息对所述访问请求进行隧道封装处理以获得对应的第一数据报文；

向对应元数据服务设备发送所述第一数据报文；

接收所述元数据服务设备基于所述第一数据报文返回的第二数据报文；

根据所述目标虚拟机对应的隧道标识信息对所述第二数据报文进行隧道解封装处理，获得所述目标虚拟机的元数据信息；

所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；网络隧道ID包括：vxlan协议头的VNI字段。

2.根据权利要求1所述的方法，其中，所述方法还包括：

将所述目标虚拟机对应的元数据信息提供至所述元数据访问请求对应的应用。

3.根据权利要求1所述的方法，其中，所述元数据访问请求包括对预定地址的访问请求。

4.根据权利要求1所述的方法，其中，所述方法还包括：

接收对应虚拟机管理设备所发送的关于待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；

根据所述虚拟机创建指令创建所述待创建虚拟机，并存储所述待创建虚拟机对应的隧道标识信息。

5.根据权利要求4所述的方法，其中，所述方法还包括：

当成功创建所述待创建虚拟机，向所述虚拟机管理设备发送对应的创建成功信息。

6.根据权利要求1至5中任一项所述的方法，其中，所述方法还包括：

若所述元数据访问请求的频率超过预定阈值，限制所述元数据访问请求。

7.一种控制虚拟机元数据访问的方法，用于元数据服务设备端，其中，该方法包括：

获取对应虚拟机物理设备发送的第一数据报文；

对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息；

根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；

根据所述目标虚拟机对应的隧道标识信息对所述目标虚拟机的元数据信息进行隧道封装处理以获得对应的第二数据报文；

向所述虚拟机物理设备发送所述第二数据报文；

所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；网络隧道ID包括：vxlan协议头的VNI字段。

8.根据权利要求7所述的方法，其中，所述方法还包括：

接收对应虚拟机管理设备发送的新创建虚拟机的元数据信息，以及所述新创建虚拟机对应的隧道标识信息；

存储所述新创建虚拟机对应的隧道标识信息及所述新创建虚拟机的元数据信息。

9.一种控制虚拟机元数据访问的方法，用于虚拟机管理设备端，其中，该方法包括：

为待创建虚拟机分配对应的隧道标识信息；

向对应虚拟机物理设备发送关于所述待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；

向对应元数据服务设备发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息；

所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；网络隧道ID包括：vxlan协议头的VNI字段。

10.根据权利要求9所述的方法，其中，所述向对应元数据服务设备发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息，包括：

当接收到所述虚拟机物理设备基于所述虚拟机创建指令返回的创建成功信息，向对应元数据服务设备发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息。

11.一种用于控制虚拟机元数据访问的虚拟机物理设备，其中，该设备包括：

元数据访问请求获取装置，用于获取元数据访问请求；

第一数据报文获得装置，用于根据目标虚拟机对应的隧道标识信息对所述访问请求进行隧道封装处理以获得对应的第一数据报文；

第一数据报文发送装置，用于向对应元数据服务设备发送所述第一数据报文；

第二数据报文接收装置，用于接收所述元数据服务设备基于所述第一数据报文返回的第二数据报文；

第二数据报文解封装装置，用于根据所述目标虚拟机对应的隧道标识信息对所述第二数据报文进行隧道解封装处理，获得所述目标虚拟机的元数据信息；

所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；网络隧道ID包括：vxlan协议头的VNI字段。

12.根据权利要求11所述的设备，其中，所述设备还包括：

元数据信息提供装置，用于将所述目标虚拟机对应的元数据信息提供至所述元数据访问请求对应的应用。

13.根据权利要求11所述的设备，其中，所述元数据访问请求包括对预定地址的访问请求。

14.根据权利要求11所述的设备，其中，所述设备还包括：

虚拟机创建指令接收装置，用于接收对应虚拟机管理设备所发送的关于待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；

虚拟机创建装置，用于根据所述虚拟机创建指令创建所述待创建虚拟机，并存储所述待创建虚拟机对应的隧道标识信息。

15.根据权利要求14所述的设备，其中，所述设备还包括：

创建成功信息发送装置，用于当成功创建所述待创建虚拟机，向所述虚拟机管理设备发送对应的创建成功信息。

16.根据权利要求11至15中任一项所述的设备，其中，所述设备还包括：

元数据访问请求限制装置，用于若所述元数据访问请求的频率超过预定阈值，限制所述元数据访问请求。

17.一种用于控制虚拟机元数据访问的元数据服务设备，其中，该设备包括：

第一数据报文获取装置，用于获取对应虚拟机物理设备发送的第一数据报文；

第一数据报文解封装装置，用于对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息；

元数据信息获取装置，用于根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；

第二数据报文获得装置，用于根据所述目标虚拟机对应的隧道标识信息对所述目标虚拟机的元数据信息进行隧道封装处理以获得对应的第二数据报文；

第二数据报文发送装置，用于向所述虚拟机物理设备发送所述第二数据报文；

所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；网络隧道ID包括：vxlan协议头的VNI字段。

18.根据权利要求17所述的设备，其中，所述设备还包括：

元数据信息接收装置，用于接收对应虚拟机管理设备发送的新创建虚拟机的元数据信息，以及所述新创建虚拟机对应的隧道标识信息；

存储装置，用于存储所述新创建虚拟机对应的隧道标识信息及所述新创建虚拟机的元数据信息。

19.一种用于控制虚拟机元数据访问的虚拟机管理设备，其中，该设备包括：

隧道标识信息分配装置，用于为待创建虚拟机分配对应的隧道标识信息；

虚拟机创建指令发送装置，用于向对应虚拟机物理设备发送关于所述待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；

元数据信息发送装置，用于向对应元数据服务设备发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息；

所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；网络隧道ID包括：vxlan协议头的VNI字段。

20.根据权利要求19所述的设备，其中，所述元数据信息发送装置用于：

当接收到所述虚拟机物理设备基于所述虚拟机创建指令返回的创建成功信息，向对应元数据服务设备发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息。

21.一种用于控制虚拟机元数据访问的虚拟机物理设备，其中，该设备包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

获取元数据访问请求；

根据目标虚拟机对应的隧道标识信息对所述访问请求进行隧道封装处理以获得对应的第一数据报文；

向对应元数据服务设备发送所述第一数据报文；

接收所述元数据服务设备基于所述第一数据报文返回的第二数据报文；

根据所述目标虚拟机对应的隧道标识信息对所述第二数据报文进行隧道解封装处理，获得所述目标虚拟机的元数据信息；

所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；网络隧道ID包括：vxlan协议头的VNI字段。

22.一种用于控制虚拟机元数据访问的元数据服务设备，其中，该设备包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

获取对应虚拟机物理设备发送的第一数据报文；

对所述第一数据报文进行隧道解封装处理，以获得关于目标虚拟机的元数据访问请求及所述目标虚拟机对应的隧道标识信息；

根据所述目标虚拟机对应的隧道标识信息获取所述目标虚拟机的元数据信息；

根据所述目标虚拟机对应的隧道标识信息对所述目标虚拟机的元数据信息进行隧道封装处理以获得对应的第二数据报文；

向所述虚拟机物理设备发送所述第二数据报文；

所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；网络隧道ID包括：vxlan协议头的VNI字段。

23.一种用于控制虚拟机元数据访问的虚拟机管理设备，其中，该设备包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

为待创建虚拟机分配对应的隧道标识信息；

向对应虚拟机物理设备发送关于所述待创建虚拟机的虚拟机创建指令，其中，所述虚拟机创建指令包括所述待创建虚拟机对应的隧道标识信息；

向对应元数据服务设备发送所述待创建虚拟机的元数据信息，以及所述待创建虚拟机对应的隧道标识信息；

所述隧道标识信息可以包括网络隧道ID和虚拟机网卡的IP地址；网络隧道ID包括：vxlan协议头的VNI字段。

Images