WO2015143651A1 - 基于网络功能虚拟化的证书配置方法、装置和*** - Google Patents

基于网络功能虚拟化的证书配置方法、装置和*** Download PDF

Info

Publication number
WO2015143651A1
WO2015143651A1 PCT/CN2014/074142 CN2014074142W WO2015143651A1 WO 2015143651 A1 WO2015143651 A1 WO 2015143651A1 CN 2014074142 W CN2014074142 W CN 2014074142W WO 2015143651 A1 WO2015143651 A1 WO 2015143651A1
Authority
WO
WIPO (PCT)
Prior art keywords
certificate
virtual network
network function
entity
management entity
Prior art date
Application number
PCT/CN2014/074142
Other languages
English (en)
French (fr)
Inventor
冯成燕
陈璟
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP14886935.7A priority Critical patent/EP3107246B1/en
Priority to CN201480001778.2A priority patent/CN105122738B/zh
Priority to PCT/CN2014/074142 priority patent/WO2015143651A1/zh
Publication of WO2015143651A1 publication Critical patent/WO2015143651A1/zh
Priority to US15/274,220 priority patent/US10205719B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/61—Installation
    • G06F8/63—Image based installation; Cloning; Build to order
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/64—Hybrid switching systems
    • H04L12/6418—Hybrid transport
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/20—Network management software packages
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0806—Configuration setting for initial configuration or provisioning, e.g. plug-and-play
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/40—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using virtualisation of network functions or resources, e.g. SDN or NFV entities

Definitions

  • the embodiments of the present invention relate to the field of network communication technologies, and in particular, to a certificate configuration method, apparatus, and system based on network function virtualization. Background technique
  • the architecture of traditional network and network nodes changes greatly.
  • the traditional physical telecommunication nodes evolve into virtual nodes in the virtual machine.
  • the virtual machine exists in the form, so that multiple traditional physical nodes are deployed together on the same physical host, share hardware resources, and even share resources with other third-party application software.
  • virtual machines can be dynamically migrated and virtualized in the same virtual machine. Communication performance between machines, traditional IP networks evolve into virtual networks through virtual switches and virtual network adapters, and virtual machines communicate directly through virtual networks, bypassing traditional physical network devices.
  • the virtual network functional entity Since the virtual network functional entity is not a traditional hardware entity, it generates dynamic presence on demand in software, and its installation location is not fixed. Therefore, the traditional entity certificate configuration method is not applicable to the network function virtualization scenario; further, a virtual network function entity can have multiple instances at the same time, if the traditional entity certificate configuration method is used by the provider of the virtual network function entity When the certificate is configured, multiple instances are installed with the same certificate because the installation package of the same virtual network function entity has a large security risk.
  • Summary of the invention The embodiment of the invention provides a certificate configuration method, device and system based on network function virtualization, which can solve the security risk problem existing in the existing network function virtualization.
  • a method for configuring a certificate based on network function virtualization includes: obtaining, by a virtual network management entity, initial credential information of a virtual network functional entity; and performing, by the virtual network management entity, an instance of the virtual network functional entity
  • the initial credential information is installed into the virtual network functional entity during or after instantiation, so that the virtual network functional entity obtains the virtual network function from the authentication center by using the initial credential information.
  • the acquiring, by the virtual network management entity, the initial credential information of the virtual network functional entity includes:
  • the virtual network management entity receives an instantiation request sent by the network operation management entity, where the instantiation request includes initial credential information of the virtual network function entity.
  • the acquiring, by the virtual network management entity, the initial credential information of the virtual network functional entity includes:
  • the virtual network function package or the image file or the VNFD or the instantiated data is before or instantiated by the network operation management entity before the virtual network management entity instantiates the virtual network function entity
  • the process is sent to the virtual network management entity, and the VNFD or the image file includes the initial credential information.
  • the initial credential information includes, but is not limited to, a certificate, a pre-shared key, a token, and/or a password.
  • the initial trust information when the initial trust information includes a certificate, the initial credential information includes an initial certificate and a corresponding first private key;
  • the initial certificate is issued by the provider or the network operator of the virtual network function entity for the virtual network function entity, and the first private key is the first public key-private key pair corresponding to the initial certificate. Private key.
  • the initial certificate is signed by a root certificate corresponding to a provider of the virtual network function entity or a private key corresponding to an intermediate certificate, where The intermediate certificate of the provider of the virtual network functional entity is a certificate issued by a subordinate certificate of the root certificate of the provider of the virtual network functional entity; or
  • the initial certificate is signed by the root certificate of the network operator of the virtual network function entity or the private key corresponding to the intermediate certificate, where the intermediate certificate of the network operator of the virtual network function entity belongs to the virtual network.
  • the virtual network management entity includes a first management entity NFV0, a second management entity VNFM, and a third management entity VIM. And a fourth management entity NFVI management control unit;
  • the network operation management entity includes an operation support system 0SS or a network element management system EMS; and the virtual network function entity includes a virtual network function unit VNF or a virtual network function sub-unit VNFC.
  • the initial credential information is that the first management entity NFV0 or the second management entity VNFM or the network operation management entity is The virtual network function entity is configured.
  • the initial credential information is sent by the first management entity NFV0 to the third management entity VIM, or by the second management
  • the entity VNFM is sent to the third management entity VIM via the first management entity NFV0 or to the third management entity VIM by the second management entity VNFM.
  • the initial credential information is sent by the third management entity VIM to the first part in the VNF instantiation process or after the instantiation process
  • the fourth management entity NFVI manages the control unit, and is installed on the virtual network function entity by the fourth management entity NFVI management control unit through the virtual machine.
  • the initial credential information is sent by the first management entity NFV0 to the second management entity VNFM, or is managed by the network.
  • the entity is sent to the VNFM via NFV0, or the VNFM is sent by the network operations management entity.
  • the initial The credential information is installed on the virtual network functional entity by the second management entity VNFM during or after the VNF instantiation process.
  • the second aspect provides a certificate configuration method based on network function virtualization, including: the virtual network function entity obtains initial credential information during or after instantiation of the virtual network function entity by the virtual network management entity. ;
  • the virtual network function entity acquires an official certificate issued by the network operator of the virtual network function entity from the authentication center by using the initial credential information.
  • the initial credential information includes, but is not limited to, a certificate, a pre-shared key, a token, and/or a password.
  • the initial credential information when the initial credential information includes a certificate, the initial credential information includes an initial credential and a corresponding first private key;
  • the initial certificate is issued by the provider or the network operator of the virtual network function entity for the virtual network function entity, and the first private key is the first public key-private key pair corresponding to the initial certificate. Private key.
  • the initial certificate is signed by a root certificate corresponding to a provider of the virtual network function entity or a private key corresponding to the intermediate certificate, where the intermediate certificate of the provider of the virtual network function entity belongs to the a certificate issued by a subordinate certificate of the root certificate of the provider of the virtual network functional entity; or
  • the initial certificate is signed by the root certificate of the network operator of the virtual network function entity or the private key corresponding to the intermediate certificate, where the intermediate certificate of the network operator of the virtual network function entity belongs to the virtual network.
  • the initial credential information is carried in an image file of the virtual network function package or the virtual network function or a descriptor VNFD of the virtual network function or instantiation data of the virtual network function.
  • the virtual network management entity includes a first management entity NFV0, a second management entity VNFM, a third management entity VIM, and a fourth management entity NFVI management control unit;
  • the network operation management entity includes an operation support system OSS or a network element management system EMS; the virtual network function entity includes a virtual network function unit VNF or a virtual network function sub-unit VNFC.
  • the initial credential information may also be initial credential information configured by the first management entity NFV0 or the second management entity VNFM or the network operation management entity for the virtual network function entity.
  • the virtual network function entity obtains the official certificate issued by the network operator of the virtual network function entity from the authentication center by using the initial credential information, including:
  • the virtual network function entity sends a certificate request message to the authentication center, where the certificate request message includes a third public key and the initial credential, so that the authentication center uses the initial credential to verify the received
  • the certificate request message when the verification is successful, the third public key is signed by using a root certificate corresponding to the network operator or a private key corresponding to the intermediate certificate, and a formal certificate issued by the network operator is generated;
  • the virtual network function entity receives a certificate response message sent by the authentication center, where the certificate response message includes the formal certificate, or the certificate response message further includes a root certificate of the network operator;
  • the virtual network function entity verifies the certificate response message, and when the verification succeeds, obtains an official certificate issued by the network operator.
  • the third public key is a public key in a third public key-private key pair generated or configured by the virtual network function entity;
  • the certificate request message is signed with a private key corresponding to the initial certificate
  • the certificate response message includes an authentication certificate, and is signed by a private key corresponding to the authentication certificate.
  • the authentication certificate is issued by a root certificate or an intermediate certificate of the network operator;
  • the method further includes: the virtual network function entity verifying the authentication certificate by using an intermediate certificate of the network operator, and verifying, by using a root certificate of the network operator, Intermediate certificate.
  • a virtual network management entity including:
  • An obtaining module configured to obtain initial credential information of a virtual network functional entity
  • An instantiation module configured to install the initial credential information into the virtual network functional entity during or after instantiating the virtual network functional entity, so that the virtual network functional entity Obtaining an official certificate issued by the network operator of the virtual network functional entity from the authentication center by using the initial credential information.
  • the acquiring module is configured to: obtain an initial credential letter of the virtual network function entity included in the instantiation request in an instantiation request sent by the receiving network operation management entity
  • the obtaining module is further configured to: from the virtual network function package or the image file of the virtual network function or the descriptor VNFD of the virtual network function or the instantiation data of the virtual network function Obtaining initial credential information of the virtual network functional entity;
  • the virtual network function package or the image file or the VNFD or the instantiated data is before or instantiated by the network operation management entity before the virtual network management entity instantiates the virtual network function entity And sending the initial credential information to the virtual network management entity, the virtual network function package or the VNFD or the instantiated data, the image file or the instantiated data.
  • the initial credential information includes, but is not limited to, a certificate, a pre-shared key, a token, and/or a password.
  • the initial credential information when the initial credential information includes a certificate, the initial credential information includes an initial credential and a corresponding first private key;
  • the initial certificate is issued by the provider or the network operator of the virtual network function entity for the virtual network function entity, and the first private key is the first public key-private key pair corresponding to the initial certificate. Private key.
  • the initial certificate is signed by a root certificate corresponding to a provider of the virtual network function entity or a private key corresponding to the intermediate certificate, where the intermediate certificate of the provider of the virtual network function entity belongs to the a certificate issued by a subordinate certificate of the root certificate of the provider of the virtual network functional entity; or
  • the initial certificate is signed by the root certificate of the network operator of the virtual network function entity or the private key corresponding to the intermediate certificate, where the intermediate certificate of the network operator of the virtual network function entity belongs to the virtual network.
  • the virtual network management entity includes a first management entity NFV0, a second management entity VNFM, a third management entity VIM, and a fourth management entity NFVI management control unit;
  • the network operation management entity includes an operation support system OSS or a network element management system EMS; the virtual network function entity includes a virtual network function unit VNF or a virtual network function Unit VNFC.
  • the initial credential information is initial credential information configured by the first management entity NFV0 or the second management entity VNFM or the network operation management system for the virtual network function entity.
  • the initial credential information is sent by the first management entity NFV0 to the third management entity VIM, or sent by the second management entity VNFM to the first management entity NFV0.
  • the third management entity VIM is sent by the second management entity VNFM to the third management entity VIM.
  • the initial credential information is sent by the third management entity VIM to the fourth management entity NFVI management control unit during the VNF instantiation process or after the instantiation process, and is configured by the fourth management
  • the entity NFVI management control unit is installed on the virtual network function entity through a virtual machine.
  • the fourth aspect provides a virtual network functional entity, including:
  • a first obtaining module configured to obtain initial credential information during or after instantiating the virtual network function entity by the virtual network management entity
  • a second obtaining module configured to obtain, by using the initial credential information obtained by the first acquiring module, an official certificate issued by a network operator of the virtual network functional entity from the authentication center.
  • the initial credential information includes, but is not limited to, a certificate, a pre-shared key, a token, and/or a password.
  • the initial credential information when the initial credential information includes a certificate, the initial credential information includes an initial credential and a corresponding first private key;
  • the initial certificate is issued by the provider or the network operator of the virtual network function entity for the virtual network function entity, and the first private key is the first public key-private key pair corresponding to the initial certificate. Private key.
  • the initial certificate is signed by a root certificate corresponding to a provider of the virtual network function entity or a private key corresponding to the intermediate certificate, where the intermediate certificate of the provider of the virtual network function entity belongs to the a certificate issued by a subordinate certificate of the root certificate of the provider of the virtual network functional entity; or
  • the initial certificate is signed by a root certificate corresponding to the network operator of the virtual network function entity or a private key corresponding to the intermediate certificate, where the virtual network function entity is in the network operator
  • the inter-certificate is a certificate issued by a sub-certificate of a sub-certificate of the network operator of the virtual network functional entity.
  • the initial credential information is carried in an image file of the virtual network function package or the virtual network function or a descriptor VNFD of the virtual network function or instantiation data of the virtual network function.
  • the virtual network management entity includes a first management entity NFV0, a second management entity VNFM, a third management entity VIM, and a fourth management entity NFVI management control unit;
  • the network operation management entity includes an operation support system 0SS or a network element management system EMS; and the virtual network function entity includes a virtual network function unit VNF or a virtual network function sub-unit VNFC.
  • the initial credential information may also be initial credential information configured by the first management entity NFV0 or the second management entity VNFM or a network operation management entity for the virtual network function entity.
  • the second acquiring module specifically includes:
  • a sending unit configured to send a certificate request message to the authentication center, where the certificate request message includes a third public key and the initial credential; so that the authentication center uses the initial credential to verify the received Declaring a certificate request message; signing the third public key by using a private key corresponding to the root certificate or the intermediate certificate of the network operator when the verification is successful, and generating an official certificate issued by the network operator;
  • a receiving unit configured to receive a certificate response message sent by the authentication center, where the certificate response message includes the formal certificate, or the certificate response message further includes a root certificate of the network operator;
  • a verification unit configured to verify the certificate response message, and verify the authentication certificate by using a root certificate of the network operator included in the preset or the certificate response message;
  • An obtaining unit when the verification unit is successfully verified, obtaining an official certificate issued by the network operator.
  • the third public key is a public key in a third public key-private key pair generated or configured by the virtual network function entity;
  • the certificate request message is signed with a private key corresponding to the initial credential
  • the certificate response message includes an authentication certificate, and is signed by a private key corresponding to the authentication certificate;
  • the authentication certificate is issued by a root certificate or an intermediate certificate of the network operator; if the authentication certificate is an intermediate certificate of the network operator, the method further includes: the virtual network The functional entity verifies the authentication certificate using an intermediate certificate of the network operator, and verifies the intermediate certificate with a root certificate of the network operator.
  • a certificate configuration system based on network function virtualization including: a virtual network function entity, a virtual network management entity, and a certificate center;
  • the virtual network management entity is a virtual network management entity according to the third aspect; the virtual network function entity is a virtual network function entity according to the fourth aspect; the authentication center is configured to receive the virtual network function a certificate request message sent by the entity, where the certificate request message includes a third public key and the initial credential; the received credential request message is verified by using the initial credential; and the network operation is used when the verification succeeds
  • the third public key is signed by the private key corresponding to the root certificate or the intermediate certificate, and the official certificate issued by the network operator is generated; the third public key is generated or configured by the virtual network functional entity.
  • the public key in the three public key-private key pair.
  • a server including a processor and a memory, where the processor and the memory are connected by a bus, where the memory is stored with a certificate configuration method that implements network function virtualization based on the first aspect. And the processor executes the instruction corresponding to the network function virtualization-based certificate configuration method according to the first aspect.
  • a server including a processor and a memory, where the processor and the memory are connected by a bus, where the memory stores a certificate configuration method that implements network function virtualization based on the second aspect. And the processor executes the instruction corresponding to the network function virtualization-based certificate configuration method according to the second aspect.
  • the embodiment of the present invention acquires the initial credential information of the virtual network functional entity by using the virtual network management entity. After the instantiation or instantiation of the virtual network functional entity, the initial of the virtual network functional entity is targeted.
  • the credential information is installed into the virtual network function entity, so that the virtual network function entity obtains the formal certificate issued by the network operator of the virtual network function entity from the authentication center by using the initial credential information.
  • the certificate configuration method described in this embodiment can be applied not only to the network function virtualization scenario, but also to the security risk problem existing in the network function virtualization.
  • FIG. 1 is a schematic flowchart of a method for configuring a certificate based on network function virtualization according to an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of a method for configuring a certificate based on network function virtualization according to another embodiment of the present invention
  • FIG. 3 is a signaling diagram of a certificate configuration method based on network function virtualization according to another embodiment of the present invention.
  • FIG. 4 is a signaling diagram of a certificate configuration method based on network function virtualization according to another embodiment of the present invention.
  • FIG. 5 is a signaling diagram of a certificate configuration method based on network function virtualization according to another embodiment of the present invention.
  • FIG. 6 is a signaling diagram of a certificate configuration method based on network function virtualization according to another embodiment of the present invention.
  • FIG. 7 is a signaling diagram of a certificate configuration method based on network function virtualization according to another embodiment of the present invention.
  • FIG. 8 is a signaling diagram of a certificate configuration method based on network function virtualization according to another embodiment of the present invention.
  • FIG. 9 is a schematic structural diagram of a virtual network management entity according to an embodiment of the present invention.
  • FIG. 10 is a schematic structural diagram of a virtual network functional entity according to an embodiment of the present invention.
  • FIG. 11 is a network-based Schematic diagram of a certificate configuration system for functional virtualization;
  • FIG. 12 is a schematic structural diagram of a server according to an embodiment of the present invention.
  • FIG. 13 is a schematic structural diagram of a server according to an embodiment of the present invention.
  • the technical solutions in the embodiments of the present invention are clearly and completely described in the following with reference to the accompanying drawings in the embodiments of the present invention. It is a partial embodiment of the invention, and not all of the embodiments. All other embodiments obtained by those skilled in the art based on the embodiments of the present invention without creative efforts are within the scope of the present invention.
  • the virtual network function entity in this embodiment includes a virtual network function unit (VNF) or a virtual network function subunit (VNF Component, VNFC). ).
  • VNF virtual network function unit
  • VNFC virtual network function subunit
  • the VNF corresponds to the physical network function entity (PNF) in the traditional non-virtualized network.
  • PNF physical network function entity
  • the functional behavior and state of the network function are independent of the virtualization.
  • the VNF and the PNF have the same function. Sexual behavior and external interfaces.
  • the VNF can be composed of multiple lower-level components. Therefore, one VNF can be deployed on multiple virtual machines (VMs), each VM is hosted in a VNFC; VNF can also be deployed on a VM. .
  • VMs virtual machines
  • VNF can also be deployed on a VM.
  • the virtual network management entity described in this embodiment includes, but is not limited to, a first management entity (NFV Orchestrator, NFV0), a second management entity (VNF Manager, VNFM), and a third management entity (Virtual ised Infrastructure Manager, VIM) and the management unit of the Fourth Management Entity (NFVI), such as NFVI Agent or NFVI Manager;
  • NFV First Management Entity
  • VNF Manager VNF Manager
  • VIM Virtual ised Infrastructure Manager
  • NFVI Fourth Management Entity
  • NFVI Fourth Management Entity
  • the VIM is a virtualized entity that includes resources for controlling and managing computing, storage, and network resources;
  • NFV0 is the virtualization entity responsible for the network side scheduling and management of NFV resources and the implementation of NFV service topologies on the NFV infrastructure;
  • NFVI consists of hardware resources and virtual resources as well as virtual layers. From a VNF perspective, virtualization layers and hardware resources appear to be an entity that provides the required virtual resources.
  • the NFVI Management Control Unit is responsible for the management and control of virtual machines within the NFVI.
  • VNFM is responsible for the management of the life cycle of VNF instances.
  • the network operation management entity in this embodiment includes, but is not limited to, an operation support system (OSS) or an element management system (EMS); wherein the EMS mainly performs a traditional FCAPS function for the VNF; , FCAPS functions include fault management (Fault Management), configuration management (Conf iguration Management ), Account ing Management, Performance Management, and Security Management.
  • OSS operation support system
  • EMS element management system
  • FCAPS functions include fault management (Fault Management), configuration management (Conf iguration Management ), Account ing Management, Performance Management, and Security Management.
  • FIG. 1 is a schematic flowchart of a method for configuring a certificate based on network function virtualization according to an embodiment of the present invention. As shown in FIG. 1, the method includes:
  • step 101 The virtual network management entity obtains initial credential information of the virtual network function entity.
  • the specific implementation of step 101 includes:
  • the virtual network management entity receives the instantiation request sent by the network operation management entity, where the instantiation request includes initial credential information of the virtual network function entity.
  • the instantiation request includes initial credential information of the virtual network function entity.
  • the NFV0 receives the VNF instantiation request from the operation support system 0SS to request to instantiate a new VNF, and the VNF instantiation request includes the initial credential information of the VNF.
  • the EMS sends a VNF instantiation request to the VNFM, where the VNF instantiation request includes initial credentials information of the VNF.
  • the initial credential information of the virtual network functional entity may be the initial credential information configured by the provider of the VNF or the network operator for the virtual network functional entity.
  • the VNF provider or network operator can configure an initial credential information for the VNF or configure an initial credential information for each VNFC that constitutes the VNF.
  • each VNFC installs an initial credential; after the VNFC successfully completes the certificate enrollment process, the VNFC Obtain an official certificate issued by the network operator.
  • the VNF provider or network operator configures an initial credential information for the VNF
  • the ijVNF as a whole installs an initial credential.
  • the VNF as a whole obtained the official certificate issued by the network operator.
  • the initial credential information described above includes, but is not limited to, at least one of a certificate, a pre-shared key, a token, and a password.
  • the initial credential information includes a certificate
  • the initial credential information includes an initial credential and a corresponding first private key
  • the initial certificate is a certificate issued by a provider of the virtual network function entity or a first public key-private key pair configured by the network operator for the virtual network function entity, where the first private key is The private key in the first public-private key pair.
  • the initial certificate uses a root certificate or a middle of a provider of the virtual network functional entity Signing a private key corresponding to the certificate, where the intermediate certificate of the provider of the virtual network function entity is a certificate issued by a sub-certificate of the root certificate of the provider of the virtual network function entity; or
  • the initial certificate is signed by the root certificate of the network operator of the virtual network function entity or the private key corresponding to the intermediate certificate, where the intermediate certificate of the network operator of the virtual network function entity belongs to the virtual network.
  • the initial credential information may be carried in a VNF package, where the VNF package includes a VNF Descriptor (VNFD), and a software image file associated with the VNF (software image (s)). ) and additional archive files; where VNFD is a resource description describing the VNF virtual resource requirements;
  • VNFD is a resource description describing the VNF virtual resource requirements;
  • the foregoing initial credential information may be carried in a VNFD or an image file in the VNF package.
  • the VNFD or the image file in the VNF package or the VNF package may be signed by a certificate configured by the VNF provider or the network operator, or the initial credential information may be confidentially protected.
  • the certificate configured by the VNF provider or the network operator may be any one of the certificates configured by the VNF provider or the network operator for the VNF, or may be newly generated specifically for the VNF package or the VNFD or the image file.
  • Signed certificate may perform integrity verification on the VNF packet or VNFD carrying the initial credential information or the mirror file using a certificate configured by the VNF provider or the network operator for the VNF.
  • the foregoing initial credential information may also be carried in the instantiation data.
  • the virtual network management entity includes a first management entity NFV0, a second management entity VNFM, a third management entity VIM, and a fourth management entity NFVI management control unit;
  • the network operation management entity includes an operation support system 0SS.
  • the virtual network function entity comprises a virtual network function unit VNF or a virtual network function sub-unit VNFC.
  • the initial credential information is configured by the first management entity NFV0 or the second management entity VNFM or the network operation management entity for the virtual network function entity.
  • step 101 further includes: The provider or network operator of the virtual network function entity may configure initial information information for the virtual network function entity, store the initial information information in the image file of the virtual network function entity, and upload the initial information information to the VIM.
  • the initial credential information of the virtual network function entity may be obtained from the image file of the virtual network function entity.
  • the step 101 is further implemented, for example, by: the virtual network management entity after receiving the instantiation request sent by the network operation management entity or after instantiating the virtual network function entity And configuring initial credential information for the virtual network functional entity.
  • the initial credential information is configured for the virtual network functional entity by, for example, NFV0 or VNFM.
  • the virtual network management entity installs the initial credential information into the virtual network functional entity in a process of instantiating or instantiating the virtual network functional entity, so that the virtual network functional entity Obtaining an official certificate issued by the network operator of the virtual network functional entity from the authentication center by using the initial credential information.
  • the initial credential information is sent by the first management entity NFV0 to the third management entity VIM, or sent by the second management entity VNFM to the first management entity NFV0.
  • the third management entity VIM is sent by the second management entity VNFM to the third management entity VIM.
  • the initial credential information is sent by the third management entity VIM to the fourth management entity NFVI management control unit during the VNF instantiation process or after the instantiation process, and the fourth management entity NFVI
  • the management control unit is installed on the virtual network function entity through a virtual machine.
  • the initial credential information is sent to the VIM by the NFV0, or sent by the VNFM to the VIM via the NFV0, or sent by the VNFM to the VIM;
  • the initial credential information is sent by the VIM to the NFVI management control unit during the VNF instantiation process or after the instantiation process, and is installed by the NFVI management control unit on the virtual network functional entity through the virtual machine.
  • the instantiation refers to a process in which the virtual network management entity allocates a required virtualization resource to the virtual network function entity and installs the instantiated data for the virtual network function entity.
  • the virtual network function entity uses the initial credential information from the authentication center.
  • the embodiment of the present invention acquires or configures the initial credential information of the virtual network functional entity by using the virtual network management entity. After the instantiation or instantiation of the virtual network functional entity, the initial credential information is installed to The virtual network function entity is configured to enable the virtual network function entity to obtain an official certificate issued by a network operator of the virtual network function entity from the authentication center by using the initial credential information.
  • the certificate configuration method described in this embodiment may be applied to a network function virtualization scenario;
  • the embodiment initially installs the initial credential information of the virtual network function entity into the virtual network function entity, And causing the virtual network function entity to obtain an official certificate issued by the network operator of the virtual network function entity from the authentication center by using the initial credential information, so that the VNF instance installs a unique certificate for establishing a secure connection, and improving The security of virtual network communication.
  • FIG. 2 is a schematic flowchart of a method for configuring a certificate based on network function virtualization according to another embodiment of the present invention. As shown in FIG. 2, the method includes:
  • the virtual network function entity obtains initial credential information during or after instantiation of the virtual network function entity by the virtual network management entity.
  • the instantiation refers to a process in which the virtual network management entity allocates required virtualized resources for the virtual network function entity and installs instantiated data for the virtual network functional entity.
  • the initial credential information may be carried in the VNF package, or in the VNFD, or in an image file of the virtual network function, or carried in the instantiation data;
  • the VNFD or the image file is signed by a provider of the virtual network function entity or a certificate configured by a network operator.
  • the initial credential information includes, but is not limited to, a certificate, a pre-shared key, a token, and a password.
  • the initial credential information includes a certificate
  • the initial credential information includes an initial certificate and a corresponding first private key
  • the initial certificate is a certificate issued by a provider of the virtual network function entity or a first public key-private key pair configured by the network operator for the virtual network function entity, where the first private key is the The private key in the first public key-private key pair.
  • the initial certificate is signed by a root certificate of the provider of the virtual network function entity or a private key corresponding to the intermediate certificate, where the intermediate certificate of the provider of the virtual network function entity belongs to the virtual network. a certificate issued by a subordinate certificate of the root certificate of the provider of the functional entity; or
  • the initial certificate is signed by the root certificate of the network operator of the virtual network function entity or the private key corresponding to the intermediate certificate, where the intermediate certificate of the network operator of the virtual network function entity belongs to the virtual network.
  • the initial credential information is the virtual network function after the virtual network management entity receives the instantiation request sent by the network operation management entity or after instantiating the virtual network function entity.
  • the initial configuration information includes, but is not limited to: a certificate, a pre-shared key, a token, and a password.
  • the initial credential information includes a certificate
  • the initial credential information includes an initial certificate and a corresponding second private key
  • the initial credential is a second public configured by the virtual network management entity for the virtual network functional entity.
  • the certificate issued by the key-private key pair, and the second private key is the private key in the second public-private key pair.
  • the VNF provider or network operator can configure an initial credential information for the VNF or configure an initial credential information for each VNFC that constitutes the VNF.
  • the VNF provider or network operator configures an initial credential information for the VNF
  • the VNF as a whole for example, through Master VNF, or VNFMA
  • installs an initial credential After the VNF successfully completes the registration process, the VNF as a whole obtains the official certificate issued by the network operator.
  • the initial credential is sent by the virtual network management entity to the NFVI; the initial credential is securely installed on the VNF or VNFC through the secure boot process of the virtual network functional entity.
  • NFV0 sends the initial credential information to VIM (can be transferred through VNFM, or sent directly), VIM sends the initial credential information to the NFVI management control unit (such as NFVI Agent, or NFVI Manager), and then through the secure boot process, the initial credential is installed through the virtual machine.
  • VIM can be transferred through VNFM, or sent directly
  • NFVI management control unit such as NFVI Agent, or NFVI Manager
  • the VNFM sends the initial credential information to the VIM, and the V sends the initial credential information to the NFVI management control unit (eg, NFVI Agent, or NFVI Manager), and then through the secure boot process.
  • the initial credentials are installed on the VNF or VNFC through the virtual machine.
  • the virtual network function entity obtains, by using the initial credential information, an official certificate issued by a network operator of the virtual network function entity from the authentication center.
  • step 203 includes:
  • the virtual network function entity sends a certificate request message to the certificate center, where the certificate request message includes a third public key and the initial credential;
  • the certificate authority verifies the received certificate request message using the initial credential.
  • the authentication center verifies the initial certificate included in the certificate request message by using the preset provider of the virtual network function entity or the root certificate of the network operator, when the verification succeeds And signing the third public key by using a private key corresponding to the root certificate or the intermediate certificate of the network operator, and generating an official certificate issued by the network operator.
  • the certificate authority sends a certificate response message to the virtual network function entity, where the certificate response message includes the official certificate and the authentication certificate, or the certificate response message further includes the root certificate of the network operator.
  • the virtual network function entity receives the certificate response message sent by the authentication center;
  • the virtual network function entity verifies the certificate response message by using the received authentication certificate, and verifies the authentication certificate with the root certificate of the network operator included in the preset or the certificate response message, and obtains the authentication certificate when the verification succeeds.
  • the official certificate issued by the network operator is
  • the third public key is a public key in a third public key-private key pair generated or configured by the virtual network function entity;
  • the certificate request message may be, for example, signed by a private key corresponding to the initial certificate; wherein the private key corresponding to the initial credential includes the first private key or the second private key.
  • the certificate response message may be, for example, signed by a private key corresponding to the authentication certificate; for example, the authentication certificate may be a root certificate or an intermediate certificate of the network operator.
  • the virtual network function entity verifies the authentication certificate by using an intermediate certificate of the network operator, and verifying the intermediate certificate by using a root certificate of the network operator.
  • the embodiment of the present invention obtains initial credential information by using a virtual network function entity in the process of instantiating the virtual network function entity by the virtual network management entity or after instantiating; and obtaining the location from the authentication center by using the initial credential information.
  • the certificate configuration method in this embodiment may be applied to a network function virtualization scenario.
  • the virtual The initial credential information of the network function entity is installed to the virtual network function entity, so that the virtual network function entity obtains the formal certificate issued by the network operator of the virtual network function entity from the authentication center by using the initial credential information.
  • This method enables the VNF instance to successfully install a unique certificate issued by the operator for the establishment of a subsequent secure connection, which can improve the security of virtual network communication.
  • FIG. 3 is a signaling diagram of a method for configuring a certificate based on network function virtualization according to another embodiment of the present invention. As shown in FIG. 3, the method includes:
  • NFV0 receives an instantiation request for 0SS.
  • the instantiation request is used to request to instantiate a new VNF, and the instantiation request includes VNF initial credential information.
  • the VNF initial credential information may be carried in the VNFD, for example.
  • the VNF initial credential information may be configured by the VNF provider or the network operator.
  • the certificate is included in the initial credential information
  • the VNF initial certificate issued by the VNF provider or the network operator and the corresponding private key are included, or the public key corresponding to the VNF initial credential is also included.
  • the VNF initial certificate and the corresponding private key and public key are the public key and the private key in the first public key-private key pair configured by the VNF provider or the network operator for the VNF.
  • the VNF initial credential can be issued for each VNFC.
  • the NFV0 verifies the received instantiation request, including verifying whether the sender authorizes the instantiation request, verifying the technical correctness of the passed parameters, and complying with the policy. 302.
  • the NFVO operation feasibility check is to reserve resources before the actual instantiation begins.
  • steps 3a-3g are optional:
  • NFVO sends a feasibility check message to VNFM requesting a feasibility check on the instantiation request.
  • the feasibility check message carries the VNF initial credential information.
  • the VNF initial credential information may be stored in the VNFD.
  • VNFM verifies the instantiation request, processing the VNFD and instantiating the data, which may include modifying or supplementing the instantiated data.
  • VNFM returns (possibly updated) instantiated data to NFV0.
  • NFVO performs the required pre-allocation processing work.
  • NFVO Requests VIM checks the availability of resources (computing, storage, and network resources) and makes resource reservations.
  • VIM checks the availability of resources and makes resource reservations.
  • VIM returns the result of resource reservation to NFVO.
  • the NFV0 sends a VNF instantiation request message to the VNFM.
  • the VNF instantiated request message includes the VNF initial credential information and the instantiated data.
  • the VNF initial credential information is stored in the VNFD.
  • the VNF instantiated request message may further include performing the foregoing. Information about reserved resources after steps 3a-3g.
  • the request message instantiated by the VNF has confidentiality and integrity protection; correspondingly, the VNFM verifies the request message instantiated by the VNF.
  • the VNFM applies VNFD specific restrictions to modify or supplement the VNFD. If the above step 3b is performed, the VNFM does not need to apply specific restrictions on the VNFD to modify or supplement the VNFD.
  • VNFM requests NFVO to reserve resources.
  • NFV0 performs the required pre-allocation processing work.
  • NFV0 requests VIM to perform resource allocation and establish a connection.
  • the VIM instantiates an internal network connection.
  • VIM instantiates the required virtual machines and storage resources to attach the instantiated virtual machines to the internal network connections.
  • the VIM confirms the message that the resource allocation is completed to the NFV0.
  • the NFV0 confirms to the VNFM that the resource allocation is completed.
  • the message confirming the allocation of the completed resource carries the VNF initial credential information.
  • the VNFM uses the allocated resources, instantiates the VNF, and installs the VNF initial credentials into the VNF.
  • VNFM uses the allocated resources to perform the task of opening the Virtual Deployment Unit (VDU) and instantiating the VNF.
  • VDU Virtual Deployment Unit
  • the VNF initial trust is successfully installed on the VNF.
  • each VNFC that makes up the VNF successfully configures an initial credential.
  • the VNFM returns a confirmation message that the VNF instantiation ends to the NFV0.
  • NFV0 confirms the completion of VNF instantiation to 0SS.
  • the VNF instantiation is successfully completed.
  • the VNF is in a restricted connection state, and only the network operator's certificate authority is allowed to perform the certificate registration process.
  • the VNF uses the initial letter of acquisition to initiate a certificate registration process to the certificate authority and obtain a formal certificate issued by the network operator.
  • the communication confidentiality and/or integrity protection mechanism between 0SS and NFV0 the communication confidentiality and/or integrity protection mechanism between NFV0 and VNFM.
  • the initial credential information of the VNF is obtained from the 0SS by using the NFV0; during the VNF instantiation of the VNFM, the initial credential information of the VNF is installed into the VNF or the VNFC, so that the VNF or the VNFC utilizes the initial credential.
  • the information is obtained from the certification center and the official certificate issued by the network operator of the VNF is obtained.
  • the certificate configuration method in this embodiment may be applied to a network function virtualization scenario.
  • the initial credential information of the VNF is specifically installed to The VNF is used to enable the VNF or the VNFC to obtain the official certificate issued by the network operator from the authentication center by using the initial credential information, and does not cause multiple instances to install the same certificate, thereby improving the security of the virtual network communication.
  • Another embodiment of the present invention provides a certificate configuration method based on network function virtualization.
  • the initial credential is configured by the VNFM during the instantiation or instantiation process for the VNF or VNFC, and passes the following transmission path VNFM -> NFV0.
  • ->VIM -> NFVI Management Control Unit -> VM is installed in VNF or VNFC:
  • the step 301 of the embodiment shown in FIG. 3 is further illustrated.
  • Step 2 is the same as step 302 of the embodiment shown in FIG. 3, the difference is:
  • the VNFM configures an initial credential for the VNF or VNFC that needs to be configured with a certificate, and adds it to the instantiated data, in the step 3c is sent to NFV0; in step 3e, NFV0 sends the initial credential Give VIM.
  • Steps 2 through 9 are the same as steps 303-309 of the embodiment shown in FIG.
  • Step 10 VIM sends the initial credential information to the NFVI; specifically, the initial credential information is sent to the NFVI Management Control Unit (NFVI Agent, or NFVI Manager), through the secure boot process, initial trust Information is installed on the VNF through the VM or
  • NFVI Agent or NFVI Manager
  • Step 311 together with step 311 of the embodiment shown in FIG.
  • the initial credential information may also be sent by the VNFM to NFV0 in step four and sent to VIM by NFV0 in step 6.
  • the initial credential information may also be configured by NFV0 as VNF or VNFC, and sent to VIM by NFV0 in step 3e or step 6.
  • a secure connection is established between the VNFM and the NFV0, between the NFV0 and the VIM, and between the VIM and the NFVI management control unit to protect the confidentiality and integrity of the information transmitted thereon.
  • the initial credential usage of the configuration is limited, and can only be used by the VNF or the VNFC to initiate a certificate registration process to the network operator's authentication center to obtain a formal certificate of the network operator.
  • FIG. 4 is a signaling diagram of a method for configuring a certificate based on network function virtualization according to another embodiment of the present invention. As shown in FIG. 4, the method includes:
  • the EMS sends a VNF instantiation request message to the VNFM.
  • the VNF instantiation request message carries VNF initial credential information, including but not limited to: a certificate, a pre-shared key, a token, and a password.
  • the initial credential information specifically includes a VNF initial certificate and a corresponding private key, or further includes a corresponding public key.
  • the VNF initial credential can be issued for each VNFC.
  • the VNFM verifies that the VNF instantiates the request message and processes the instantiated data.
  • the VNFM can use the certificate configured by the network operator for the VNF to authenticate the VNF instantiation request message, process the VNFD and instantiate the data, and modify or supplement the instantiated data.
  • the VNFM sends the instantiated data to NFV0.
  • the instantiated data sent to NFV0 may be instantiated after VNFM modification or supplementation. Data.
  • the instantiated data sent by the VNFM to the NFV0 includes initial credential information.
  • the method further includes:
  • NFV0, VNFM and VIM initiate a feasibility check process and reserve the required resources.
  • the initial credential information is sent by NFV0 to the VIM.
  • NFV0, VNFM, and VIM use the reserved resources to instantiate the VNF, and successfully install the VNF initial credential on the VNF during the instantiation process.
  • the VIM sends the initial credential information to the NFVI; specifically, the initial credential is sent to the NFVI Management Control Unit (NFVI Agent, or NFVI Manager); through the secure boot process, the initial credential is installed on the VNF or VNFC through the VM. on.
  • NFVI Agent or NFVI Manager
  • the VNFM confirms the completion of the VNF instantiation to the EMS. At this point, the VNF instantiation is successfully completed.
  • the VNF is in a restricted connection state, and only the authentication center connected to the operator is allowed to perform the certificate registration process.
  • the VNF uses the initial credentials obtained to initiate a certificate registration process to the certification center and obtain an official certificate issued by the operator.
  • communication confidentiality and integrity protection mechanisms between EMS and B VNFM, between VNFM and B NFV0, between NFV0 and B VIM, between VIM and NFVI management control units.
  • the embodiment of the present invention obtains the initial credential information of the VNF from the EMS through the VNFM and sends it to the VIM via the NFV0.
  • the VIM installs the initial credential information of the VNF into the VNF, so that the VNF uses the initial
  • the credential information is obtained from the certification center to obtain the official certificate issued by the network operator of the VNF.
  • the certificate configuration method in this embodiment may be applied to a network function virtualization scenario.
  • the initial credential information of the VNF is specifically installed to The VNF enables the VNFD instance to successfully install a unique certificate issued by the operator for the establishment of a subsequent secure connection, thereby improving the security of the virtual network communication.
  • FIG. 5 is a signaling diagram of a method for configuring a certificate based on network function virtualization according to another embodiment of the present invention. As shown in FIG. 5, the method includes:
  • the EMS sends a VNF instantiation request message to the VNFM.
  • the VNFM configures an initial credential for the VNF or VNFC that needs to configure the certificate, and adds it to the instantiated data.
  • the VNFM sends a VNF instantiation request message to the NFV0.
  • the instantiation request message includes initial credential information.
  • the initial credential information includes but is not limited to: a certificate, a pre-shared key, a token, and a password.
  • NFV0, VNFM, and VIM perform a feasibility check.
  • NFV0, VNFM, and VIM allocate resources needed for VNF instantiation.
  • the initial credential information is sent by NFV0 to the VIM.
  • the VIM sends the initial credential information to the NFVI; specifically, the initial credential is sent to the NFVI Management Control Unit (NFVI Agent, or NFVI Manager); through the secure boot process, the initial credential is installed on the VNF or VNFC through the VM. on.
  • NFVI Agent or NFVI Manager
  • the VNFM confirms the completion of the VNF instantiation to the EMS. At this time, the VNF instantiation is successfully completed. At this time, the VNF is in a restricted connection state. Only the certificate center connected to the network operator can perform the certificate registration process and obtain the official certificate issued by the network operator.
  • the initial credential information is configured for the VNF, and is sent to the VIM via the NFV0.
  • the VIM installs the initial credential information of the VNF to the VNF.
  • the certificate configuration method in this embodiment may be applied to a network function virtualization scenario.
  • the initial credential information of the VNF is specifically installed to The VNF is used to enable the VNF or the VNFC to obtain the formal certificate issued by the network operator from the authentication center by using the initial credential information, so that the VNF instance successfully installs the unique certificate issued by the operator for the establishment of the subsequent secure connection, thereby improving The security of virtual network communication.
  • FIG. 6 is a signaling diagram of a method for configuring a certificate based on network function virtualization according to another embodiment of the present invention. As shown in FIG. 6, the method includes:
  • the VNFM configures initial credential information for each VNFC that constitutes the VNF.
  • the initial credential information includes but is not limited to: a certificate, a pre-shared key, a token, and a password.
  • the VNFM can configure initial credential information for each VNF component (ie, VNFC) that makes up the VNF.
  • VNFC VNF component
  • the VNFM is configured as a VNFC second.
  • a public key-private key pair, and an initial certificate is issued to the second public key; the initial certificate information of the configuration includes an initial certificate and a corresponding second private key, or may further include a second public key.
  • the EMS can also configure initial credential information for each VNF component.
  • the initial credential is a certificate
  • the EMS configures a fourth public key-private key pair for the VNFC, and issues an initial certificate with the fourth public key; the initial certificate information of the configuration includes an initial certificate and a corresponding fourth private key. Or it may also include a fourth public key.
  • the VNFM sends the configured initial credential information to the VIM.
  • VNFM sends the configured initial credential information to VIM via NFV0.
  • the VIM sends the initial credential information to the NFVI, so that the NFVI installs the initial credential on the VNF or VNFC through the VM.
  • the initial credential is sent to the NFVI Management Control Unit (NFVI Agent, or NFVI Manager); through the secure boot process, the initial credential is installed on the VNF or VNFC through the VM.
  • NFVI Agent or NFVI Manager
  • the initial credential is installed on the VNF or VNFC through the VM.
  • the initial credential usage of the configuration is limited, and can only be used by the VNFC to initiate a certificate registration process to the network operator's authentication center to obtain a formal certificate of the network operator.
  • the VNFM or the EMS configures the initial credential information for the VNF and sends it to the VIM, and the VIM installs the initial credential information of the VNF into the VNF, so that the VNF uses the initial credential information from the authentication center.
  • the certificate configuration method in this embodiment may be applicable to a network function virtualization scenario, and may also specifically install the initial credential information of the VNF to the VNF, so that the VNF or the VNFC utilizes the initial credential information.
  • the certification center obtains the official certificate issued by the network operator, which avoids multiple instances installing the same certificate, which can improve the security of virtual network communication.
  • FIG. 7 is a signaling diagram of a method for configuring a certificate based on network function virtualization according to another embodiment of the present invention. As shown in FIG. 7, the method includes:
  • VNF packet is submitted to NFV0 for going online.
  • the VNF packet includes VNF initial credential information.
  • the initial credential information includes but is not limited to: a certificate, a pre-shared key, a token, a password.
  • the VNF initial credential information is stored in an image file.
  • NFV0 can also verify the VNF package, notify the catalog, and store the VNFD in the catalog.
  • the NFV0 sends an image file containing the VNF initial credential information to the VIM.
  • the VIM confirms to NFV0 that the image file has been successfully uploaded.
  • NFV0 and VIM instantiate the VNF.
  • the VNF is instantiated.
  • the VIM sends the initial credential information to the NFVI.
  • the initial credential is sent to the NFVI management control unit (NFVI Agent, Or NFVI Manager);
  • the initial credentials are installed on the VNF or VNFC through the VM.
  • the initial credential usage of the configuration is limited, and can only be used by the VNFC to initiate a certificate registration process to the network operator's authentication center to obtain a formal certificate of the network operator.
  • the VNF uses the initial credential to initiate a certificate registration process to the network operator's certificate authority to obtain an official certificate issued by the operator.
  • the VNF provider or the network operator configures an initial credential for the VNF, and stores the initial credential in the image file and uploads it to the VIM.
  • the certificate is installed on the VNF, and then the VNF is directed to the VNF.
  • the certification center performs the certificate registration process and obtains the official certificate issued by the operator.
  • the certificate configuration method in this embodiment may be applicable to a network function virtualization scenario, and may also specifically install the initial credential information of the VNF to the VNF, so that the VNF or the VNFC utilizes the initial credential information.
  • the authentication center obtains the official certificate issued by the network operator, so that the VNF instance successfully installs the unique certificate issued by the operator for the establishment of the subsequent secure connection, thereby improving the security of the virtual network communication.
  • FIG. 8 is a signaling diagram of a method for configuring a certificate based on network function virtualization according to another embodiment of the present invention.
  • This embodiment shows a VNF initial credential issued by a VNF provider or a network operator through a CMPv2 protocol.
  • the VNF sends a certificate request message to the authentication center.
  • the certificate request message carries the third public key and the initial certificate.
  • the certificate request message may be signed by using a private key corresponding to the initial certificate.
  • the third public key may be the VNF pre-configured or self-generated the public key in the third public key-private key pair.
  • the initial certificate is the initial certificate described in any of the foregoing embodiments in FIG. 1 to FIG. 7, and details are not described herein. If the initial credential is a shared key, or a token, or a password, the certificate request message carries the third public key and the initial credential.
  • the certificate request message can be forwarded through the EMS.
  • the authentication center verifies the received certificate request message by using the initial credential information.
  • the authentication center signs the third public key by using the network operator root certificate or the private key corresponding to the network operator intermediate certificate, and generates an official VNF certificate issued by the operator.
  • the authentication center sends a certificate response message to the VNF.
  • the information carried in the certificate response message includes, for example, a formal certificate and an authentication certificate.
  • the certificate response message may be, for example, signed by a private key corresponding to the authentication certificate.
  • the information carried in the certificate response message further includes an intermediate certificate of the network operator, if the authentication certificate is not directly issued by the network operator root certificate.
  • the network certificate provider root certificate is not required to be carried in the certificate response message. Otherwise, the network operator root certificate needs to be carried.
  • the VNF verifies the received certificate response message by using the received authentication certificate, and verifies the authentication certificate by using the network operator root certificate.
  • the VNF verifies the authentication certificate with the network operator intermediate certificate, and verifies the intermediate certificate with the network operator root certificate.
  • the VNF or the VNFC obtains the formal certificate issued by the network operator from the authentication center by using the initial credential information, so that a secure connection can be established with the communication peer in the subsequent communication process, thereby improving the security of the virtual network communication.
  • FIG. 9 is a schematic structural diagram of a virtual network management entity according to an embodiment of the present invention, as shown in FIG.
  • the obtaining module 91 is configured to obtain initial credential information of the virtual network function entity
  • the instantiation module 92 is configured to: after the instantiating the virtual network function entity, the initial credential information Installing into the virtual network function entity, so that the virtual network function entity acquires the certificate from the authentication center by using the initial credential information An official certificate issued by the network operator of the virtual network functional entity.
  • the obtaining module 91 is configured to: obtain an initial credential of the virtual network function entity included in the instantiation request, by receiving an instantiation request sent by the network operation management entity
  • the obtaining module 91 is further configured to: instantiate data from the virtual network function package or the image file of the virtual network function or the descriptor VNFD of the virtual network function or the virtual network function Obtaining initial credential information of the virtual network function entity; the virtual network function package or the image file or the VNFD or the instantiated data is a pair of the network operation management entity in the virtual network management entity
  • the virtual network function entity sends the virtual network management entity to the virtual network management entity before the instantiation or instantiation, the virtual network function package or the VNFD or the instantiated data, the image file or the instance
  • the initial credential information is included in the data.
  • the initial credential information includes, but is not limited to, a certificate, a pre-shared key, a token, and/or a password.
  • the initial credential information when the initial credential information includes a certificate, the initial credential information includes an initial credential and a corresponding first private key;
  • the initial certificate is issued by the provider or the network operator of the virtual network function entity for the virtual network function entity, and the first private key is the first public key-private key pair corresponding to the initial certificate. Private key.
  • the initial certificate is signed by a root certificate corresponding to a provider of the virtual network function entity or a private key corresponding to the intermediate certificate, where the intermediate certificate of the provider of the virtual network function entity belongs to the a certificate issued by a subordinate certificate of the root certificate of the provider of the virtual network functional entity; or
  • the initial certificate is signed by the root certificate of the network operator of the virtual network function entity or the private key corresponding to the intermediate certificate, where the intermediate certificate of the network operator of the virtual network function entity belongs to the virtual network.
  • the virtual network management entity includes a first management entity NFV0, a second management entity VNFM, a third management entity VIM, and a fourth management entity NFVI management control unit;
  • the network operation management entity includes an operation support system OSS or a network element management system EMS;
  • the virtual network function entity includes a virtual network function unit VNF or a virtual network function sub-unit VNFC.
  • the initial credential information is initial credential information configured by the first management entity NFV0 or the second management entity VNFM or the network operation management system for the virtual network function entity.
  • the initial credential information is sent by the first management entity NFV0 to the third management entity VIM, or sent by the second management entity VNFM to the first management entity NFV0.
  • the third management entity VIM is sent by the second management entity VNFM to the third management entity VIM.
  • the initial credential information is sent by the third management entity VIM to the fourth management entity NFVI management control unit during the VNF instantiation process or after the instantiation process, and is configured by the fourth management
  • the entity NFVI management control unit is installed on the virtual network function entity through a virtual machine.
  • the fourth management entity NFVI management control unit may perform the certificate configuration method described in any of the foregoing embodiments of FIG. 1 or FIG. 3 to FIG. 7, and the specific technical effects are not described herein.
  • FIG. 10 is a schematic structural diagram of a virtual network function entity according to an embodiment of the present invention. As shown in FIG. 10, the method includes:
  • the first obtaining module 1 is configured to obtain initial credential information during or after instantiation of the virtual network functional entity by the virtual network management entity;
  • the second obtaining module 12 is configured to obtain an official certificate issued by the network operator of the virtual network functional entity from the authentication center by using the initial credential information obtained by the first obtaining module.
  • the initial credential information includes, but is not limited to, a certificate, a pre-shared key, a token, and/or a password.
  • the initial credential information when the initial credential information includes a certificate, the initial credential information includes an initial credential and a corresponding first private key;
  • the initial certificate is issued by the provider or the network operator of the virtual network function entity for the virtual network function entity, and the first private key is the first public key-private key pair corresponding to the initial certificate. Private key.
  • the initial certificate is a root certificate of a provider of the virtual network functional entity or
  • signing, by the private key corresponding to the intermediate certificate, the intermediate certificate of the provider of the virtual network function entity is a certificate issued by a sub-certificate of the root certificate of the provider of the virtual network function entity; or
  • the initial certificate is signed by the root certificate of the network operator of the virtual network function entity or the private key corresponding to the intermediate certificate, where the intermediate certificate of the network operator of the virtual network function entity belongs to the virtual network.
  • the initial credential information is carried in an image file of the virtual network function package or the virtual network function or a descriptor VNFD of the virtual network function or instantiation data of the virtual network function.
  • the virtual network management entity includes a first management entity NFV0, a second management entity VNFM, a third management entity VIM, and a fourth management entity NFVI management control unit;
  • the network operation management entity includes an operation support system 0SS or a network element management system EMS; and the virtual network function entity includes a virtual network function unit VNF or a virtual network function sub-unit VNFC.
  • the initial credential information may also be initial credential information configured by the first management entity NFV0 or the second management entity VNFM or a network operation management entity for the virtual network function entity.
  • the second obtaining module 12 specifically includes:
  • the sending unit 121 is configured to send a certificate request message to the authentication center, where the certificate request message includes a third public key and the initial credential; so that the authentication center uses the initial credential to verify the received The certificate request message; when the verification is successful, the third public key is signed by using a root certificate corresponding to the network operator or a private key corresponding to the intermediate certificate, and a formal certificate issued by the network operator is generated;
  • the receiving unit 122 is configured to receive a certificate response message sent by the authentication center, where the certificate response message includes the formal certificate, or the certificate response message further includes a root certificate of the network operator;
  • the verification unit 123 is configured to verify the certificate response message, and verify the authentication certificate by using a root certificate of the network operator included in the preset or the certificate response message;
  • the obtaining unit 124 when the verification unit successfully verifies, obtain the network operator sign Official certificate issued.
  • the third public key is a public key in a third public key-private key pair generated or configured by the virtual network function entity;
  • the certificate request message is signed with a private key corresponding to the initial credential
  • the certificate response message includes an authentication certificate, and is signed by a private key corresponding to the authentication certificate.
  • the authentication certificate is issued by a root certificate or an intermediate certificate of the network operator;
  • the method further includes: the virtual network function entity verifying the authentication certificate by using an intermediate certificate of the network operator, and verifying, by using a root certificate of the network operator, Intermediate certificate.
  • the virtual network function entity in this embodiment may perform the certificate configuration method described in the foregoing embodiment of FIG. 2 or FIG. 8. The specific technical effects are not described herein.
  • FIG. 11 is a schematic structural diagram of a certificate configuration system based on network function virtualization according to an embodiment of the present invention. As shown in FIG. 11, the method includes: a virtual network management entity 21, a virtual network function entity 22, and a certification center 23;
  • the virtual network management entity 21 is the virtual network management entity described in the embodiment shown in FIG. 9;
  • the virtual network function entity 22 is a virtual network function entity described in the embodiment shown in FIG. 10;
  • the authentication center 23 is configured to receive a certificate request message sent by the virtual network function entity, where the certificate request message includes a third public key and the initial credential; and the received credential is used to verify the received a certificate request message, and verifying an initial credential included in the credential request message by using a preset root certificate of the provider of the virtual network function entity or a network operator, and using the root of the network operator when the verification succeeds And signing, by the private key corresponding to the certificate or the intermediate certificate, the third public key to generate a formal certificate issued by the network operator; the third public key is a third public key generated or configured by the virtual network function entity - The public key in the private key pair.
  • the interfaces applied in the NFV system described in this embodiment include:
  • the VNF Manager sends resource-related requests: for example, authorization, verification, reservation, allocation, etc. of resources, used as VNF lifecycle management;
  • NFV0 sends configuration information to VNFM, so that VNF can be reasonably configured according to VNF forwarding map (forwarding gragh);
  • the VNF status information is collected for lifecycle management of the VNF.
  • VNF Manager sends a resource allocation request
  • Virtual hardware resource configuration and status information (such as events) are exchanged.
  • NFV0 send resource reservation request
  • Virtual hardware resource configuration and status information (such as events) are exchanged.
  • Virtual hardware resource configuration and status information (such as events) are exchanged.
  • NFVO Se-Ma This interface is used to retrieve information related to VNF forwarding map (graving), business-related information, and VNF-related information. And information related to the NFVI information model. This information is provided for use by NFV0.
  • the NFV system described in this embodiment implements the certificate configuration process through the foregoing interface.
  • the details refer to the certificate configuration process described in any of the foregoing embodiments in FIG. 1 to FIG. 8. The details are not described herein.
  • the NFV system described in this embodiment implements partial network functions in general high-performance servers, switches, and storage by drawing on IT virtualization technology.
  • the private network element equipment dedicated to the communication network is replaced by an industry standard based X86 server, storage and switching equipment.
  • the virtual network management entity and the virtual network function entity in the NFV system in this implementation may be implemented in software and run on general server hardware, and may be migrated, instantiated, and deployed in different locations on the network as needed. And it does not need to install new equipment, which can save operators huge investment cost; at the same time, its open API interface can help network operators to obtain more and more flexible network capabilities.
  • the NFV system in this embodiment may also install the VNF initial credential information into the VNF or VNFC after instantiation or instantiation of the VNF or VNFC, so that the VNF or VNFC can utilize the VNF initial credential information.
  • VNF initial credential information may be installed into the VNF or VNFC after instantiation or instantiation of the VNF or VNFC, so that the VNF or VNFC can utilize the VNF initial credential information.
  • FIG. 12 is a schematic structural diagram of a server according to an embodiment of the present invention. As shown in FIG. 12, a processor 31 and a memory 32 are included. The processor and the memory are connected by a bus, and are characterized by:
  • the memory 32 stores instructions corresponding to the network configuration virtualization-based certificate configuration method implemented in the embodiment shown in FIG. 1, and the processor 32 executes the method as described in the embodiment shown in FIG. An instruction corresponding to a certificate configuration method based on network function virtualization.
  • FIG. 13 is a schematic structural diagram of a server according to an embodiment of the present invention. As shown in FIG. 13, a processor 41 and a memory 42 are included. The processor and the memory are connected by using a bus. Features are:
  • the memory 42 stores instructions corresponding to the network configuration virtualization-based certificate configuration method implemented in the embodiment shown in FIG. 2, and the processor 41 executes the method as described in the embodiment shown in FIG. An instruction corresponding to a certificate configuration method based on network function virtualization.
  • the disclosed systems, devices, and methods may be implemented in other ways.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another system, or some features can be ignored, or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be electrical, mechanical or otherwise.
  • the units described as separate components may or may not be physically separate, and the components displayed as units may or may not be physical units, that is, may be located in one place, or may be distributed to multiple network units. Some or all of the units may be selected according to actual needs to achieve the objectives of the solution of the embodiment.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of hardware plus software functional units.
  • the above-described integrated unit implemented in the form of a software functional unit can be stored in a computer readable storage medium.
  • the above software functional units are stored in a storage medium and include a number of instructions for causing a computer device (which may be a personal computer, server, or network device, etc.) to perform portions of the methods described in various embodiments of the present invention.
  • the foregoing storage medium includes: a mobile hard disk, a read-only memory (English: Read-Only Memory, ROM for short), a random access memory (English: Random Access Memory, RAM for short), a magnetic disk or an optical disk, and the like.
  • the medium in which the program code is stored is stored.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开一种基于网络功能虚拟化的证书配置方法、装置和***，通过虚拟网络管理实体获取虚拟网络功能实体的初始信任状信息；并在对所述虚拟网络功能实体进行实例化的过程中或实例化之后，将所述初始信任状信息安装到所述虚拟网络功能实体中，以使所述虚拟网络功能实体利用所述初始信任状信息从认证中心获取所述虚拟网络功能实体的网络运营商签发的正式证书。本发明不仅可以适用于网络功能虚拟化场景，而且还可以解决网络功能虚拟化中存在的安全隐患问题。

Description

基于网络功能虚拟化的证书配置方法、 装置和*** 技术领域
本发明实施例涉及网络通信技术领域， 尤其涉及一种基于网络功能虚 拟化的证书配置方法、 装置和***。 背景技术
在网络功能虚拟化 NFV ( Network Function Virtul izat ion ) 场景下， 传 统网络及网络节点的架构发生较大变化， 传统的物理电信节点在新的网络架 构下， 演变为虚拟器中的虚拟节点， 以虚拟机的形式存在， 这样使得多个传 统物理节点共同部署在同一物理宿主机上， 共享硬件资源， 甚至与其它第三 方应用软件共享资源； 另外为便于虚拟机动态迁移和提升同一虚拟器中虚拟 机之间的通信性能， 传统 IP网络通过虚拟交换机、 虚拟网络适配器进而演变 为虚拟网络， 虚拟机之间将直接通过虚拟网络通信， 从而绕过了传统物理网 络设备。 然而， 虚拟网络内部虚拟机之间通信、 虚拟机与外部网络通信面临 着安全风险， 例如虚拟机之间的相互攻击， 宿主机应用对主机、 虚拟机之间 的攻击， 宿主机利用与虚拟机网络互通进行攻击， 通过远程维护管理通道对 虚拟机的攻击， 通过网络边缘节点进行外部网络攻击等。 因此， 网络功能虚 拟化面临的这些通信威胁要求虚拟化通信采用特定的安全技术建立安全连接， 用以保证虚拟化通信的机密性、 完整性。 而建立安全连接需要虚拟化通信实 体双方配置有基于 X. 509的证书。
由于虚拟网络功能实体不是传统的硬件实体， 而是以软件方式按需生 成动态存在的， 且其安装的位置也不是固定的。 因此， 传统的实体证书配 置方法并不适用于网络功能虚拟化场景； 进一歩地， 一个虚拟网络功能实 体可以同时存在多个实例， 如果使用传统的实体证书配置方法由虚拟网络 功能实体的提供商进行证书配置时， 会因为相同的虚拟网络功能实体的安 装包导致多个实例安装相同的证书， 存在较大的安全隐患。 发明内容 本发明实施例提供一种基于网络功能虚拟化的证书配置方法、 装置和 ***， 可以解决现有的网络功能虚拟化中存在的安全隐患问题。
第一方面， 提供一种基于网络功能虚拟化的证书配置方法， 包括： 虚拟网络管理实体获取虚拟网络功能实体的初始信任状信息； 所述虚拟网络管理实体在对所述虚拟网络功能实体进行实例化的过 程中或实例化之后， 将所述初始信任状信息安装到所述虚拟网络功能实体 中， 以使所述虚拟网络功能实体利用所述初始信任状信息从认证中心获取 所述虚拟网络功能实体的网络运营商签发的正式证书。
基于第一方面， 在第一种实现方式中， 所述虚拟网络管理实体获取虚 拟网络功能实体的初始信任状信息， 包括：
所述虚拟网络管理实体接收网络运营管理实体发送的实例化请求，所述 实例化请求中包括所述虚拟网络功能实体的初始信任状信息。
基于第一方面， 在第二种实现方式中， 所述虚拟网络管理实体获取虚 拟网络功能实体的初始信任状信息， 包括：
所述虚拟网络管理实体从所述虚拟网络功能包或所述虚拟网络功能 的镜像文件或所述虚拟网络功能的描述器 VNFD 中或所述虚拟网络功能的 实例化数据中获取所述虚拟网络功能实体的初始信任状信息；
所述虚拟网络功能包或所述镜像文件或所述 VNFD 或所述实例化数据 为所述网络运营管理实体在所述虚拟网络管理实体对所述虚拟网络功能 实体进行实例化之前或实例化的过程中发送给所述虚拟网络管理实体，所 述 VNFD或所述镜像文件中包括所述初始信任状信息。
基于第一方面或第一方面的第一或第二种实现方式， 在第三种实现方 式中， 所述初始信任状信息包括但不限于证书、 预共享密钥、 令牌和 /或 密码。
基于第一方面的第三种实现方式， 在第四种实现方式中， 所述初始信 任状信息包括证书时， 所述初始信任状信息中包括初始证书以及对应的第 一私钥；
所述初始证书是所述虚拟网络功能实体的提供商或网络运营商为所 述虚拟网络功能实体所签发， 所述第一私钥为所述初始证书对应的第一公 钥 -私钥对中的私钥。 基于第一方面的第四种实现方式， 在第五种实现方式中， 所述初始证 书用所述虚拟网络功能实体的提供商的根证书或中间证书对应的私钥进行签 名， 其中， 所述虚拟网络功能实体的提供商的中间证书是隶属于所述虚拟网 络功能实体的提供商的根证书的下级子证书签发的证书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
基于第一方面或第一方面的第一或第二种实现方式， 在第六种实现方 式中，所述虚拟网络管理实体包括第一管理实体 NFV0、第二管理实体 VNFM、 第三管理实体 VIM和第四管理实体 NFVI管理控制单元；
所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。
基于第一方面的第六种实现方式， 在第七种实现方式中， 所述初始信 任状信息是所述第一管理实体 NFV0或所述第二管理实体 VNFM或所述网络运 营管理实体为所述虚拟网络功能实体配置的。
基于第一方面的第六种实现方式， 在第八种实现方式中， 所述初始信 任状信息由所述第一管理实体 NFV0发送给所述第三管理实体 VIM,或者由 所述第二管理实体 VNFM经由所述第一管理实体 NFV0发送给所述第三管理 实体 VIM, 或者由所述第二管理实体 VNFM发送给所述第三管理实体 VIM。
基于第一方面的第六种实现方式， 在第九种实现方式中， 所述初始信 任状信息在 VNF 实例化过程中或实例化过程之后， 由所述第三管理实体 VIM发送给所述第四管理实体 NFVI管理控制单元，并由所述第四管理实体 NFVI管理控制单元通过虚拟机安装于所述虚拟网络功能实体上。
基于第一方面的第六种实现方式， 在第十种实现方式中， 所述初始信 任状信息由所述第一管理实体 NFV0发送给所述第二管理实体 VNFM, 或者 由所述网络运营管理实体经由 NFV0发送给 VNFM, 或者由网络运营管理实 体发送费 VNFM。
基于第一方面的第十种实现方式， 在第 ^一种实现方式中， 所述初始 信任状信息在 VNF实例化过程中或实例化过程之后， 由所述第二管理实体 VNFM安装于虚拟网络功能实体上。
第二方面， 提供一种基于网络功能虚拟化的证书配置方法， 包括： 虚拟网络功能实体在虚拟网络管理实体对所述虚拟网络功能实体进 行实例化的过程中或实例化之后获取初始信任状信息；
所述虚拟网络功能实体利用所述初始信任状信息从认证中心获取所 述虚拟网络功能实体的网络运营商签发的正式证书。
可选地， 所述初始信任状信息包括但不限于证书、 预共享密钥、 令牌 和 /或密码。
可选地， 所述初始信任状信息包括证书时， 所述初始信任状信息中包 括初始证书以及对应的第一私钥；
所述初始证书是所述虚拟网络功能实体的提供商或网络运营商为所 述虚拟网络功能实体所签发， 所述第一私钥为所述初始证书对应的第一公 钥 -私钥对中的私钥。
可选地， 所述初始证书用所述虚拟网络功能实体的提供商的根证书或 中间证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中 间证书是隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发 的证书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
可选地， 所述初始信任状信息携带在所述虚拟网络功能包或所述虚拟 网络功能的镜像文件或所述虚拟网络功能的描述器 VNFD或所述虚拟网络 功能的实例化数据中。
可选地， 所述虚拟网络管理实体包括第一管理实体 NFV0、第二管理实 体 VNFM、 第三管理实体 VIM和第四管理实体 NFVI管理控制单元；
所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。 可选地，所述初始信任状信息还可以为所述第一管理实体 NFV0或所述 第二管理实体 VNFM或所述网络运营管理实体为所述虚拟网络功能实体配置 的初始信任状信息。
可选地， 所述虚拟网络功能实体利用所述初始信任状信息从认证中心 获取所述虚拟网络功能实体的网络运营商签发的正式证书， 包括：
所述虚拟网络功能实体向所述认证中心发送证书请求消息， 所述证书 请求消息中包括第三公钥和所述初始信任状， 以使所述认证中心使用所述初 始信任状验证接收到的所述证书请求消息； 在验证成功时使用所述网络运营商 的根证书或中间证书对应的私钥对所述第三公钥进行签名， 生成所述网络运营 商签发的正式证书；
所述虚拟网络功能实体接收所述认证中心发送的证书响应消息， 所述 证书响应消息中包括所述正式证书， 或者所述证书响应消息中还包括所述 网络运营商的根证书；
所述虚拟网络功能实体验证所述证书响应消息， 在验证成功时， 获得 所述网络运营商签发的正式证书。
可选地，所述第三公钥为所述虚拟网络功能实体生成或配置的第三公钥- 私钥对中的公钥；
如果所述初始信任状为证书， 所述证书请求消息用所述初始证书对应的 私钥进行签名；
所述证书响应消息包括认证证书，用所述认证证书对应的私钥进行签名； 可选地， 所述认证证书是所述网络运营商的根证书或中间证书签发的； 若所述认证证书是所述网络运营商的中间证书签发，则所述方法还包括： 所述虚拟网络功能实体使用所述网络运营商的中间证书验证所述认证 证书， 用所述网络运营商的根证书验证所述中间证书。
第三方面， 提供一种虚拟网络管理实体， 包括：
获取模块， 用于获取虚拟网络功能实体的初始信任状信息；
实例化模块， 用于在对所述虚拟网络功能实体进行实例化的过程中或 实例化之后， 将所述初始信任状信息安装到所述虚拟网络功能实体中， 以 使所述虚拟网络功能实体利用所述初始信任状信息从认证中心获取所述 虚拟网络功能实体的网络运营商签发的正式证书。 可选地， 所述获取模块用于： 在接收网络运营管理实体发送的实例化 请求中获取所述实例化请求中包括的所述虚拟网络功能实体的初始信任状信 白
可选地， 所述获取模块还用于： 从所述虚拟网络功能包或所述虚拟网 络功能的镜像文件或所述虚拟网络功能的描述器 VNFD 中或所述虚拟网络 功能的实例化数据中获取所述虚拟网络功能实体的初始信任状信息；
所述虚拟网络功能包或所述镜像文件或所述 VNFD 或所述实例化数据 为所述网络运营管理实体在所述虚拟网络管理实体对所述虚拟网络功能 实体进行实例化之前或实例化的过程中发送给所述虚拟网络管理实体，所 述虚拟网络功能包或所述 VNFD 或或所述实例化数据所述镜像文件或所述 实例化数据中包括所述初始信任状信息。
可选地， 所述初始信任状信息包括但不限于证书、 预共享密钥、 令牌 和 /或密码。
可选地， 所述初始信任状信息包括证书时， 所述初始信任状信息中包 括初始证书以及对应的第一私钥；
所述初始证书是所述虚拟网络功能实体的提供商或网络运营商为所 述虚拟网络功能实体所签发， 所述第一私钥为所述初始证书对应的第一公 钥 -私钥对中的私钥。
可选地， 所述初始证书用所述虚拟网络功能实体的提供商的根证书或 中间证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中 间证书是隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发 的证书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
可选地， 所述虚拟网络管理实体包括第一管理实体 NFV0、第二管理实 体 VNFM、 第三管理实体 VIM和第四管理实体 NFVI管理控制单元；
所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。
可选地，所述初始信任状信息由所述第一管理实体 NFV0或所述第二管 理实体 VNFM或所述网络运营管理***为所述虚拟网络功能实体配置的初始 信任状信息。
可选地， 所述初始信任状信息由所述第一管理实体 NFV0发送给所述 第三管理实体 VIM,或者由所述第二管理实体 VNFM经由所述第一管理实体 NFV0发送给所述第三管理实体 VIM , 或者由所述第二管理实体 VNFM发送 给所述第三管理实体 VIM。
可选地，所述初始信任状信息在 VNF实例化过程中或实例化过程之后， 由所述第三管理实体 VIM发送给所述第四管理实体 NFVI管理控制单元， 并由所述第四管理实体 NFVI 管理控制单元通过虚拟机安装于所述虚拟网 络功能实体上。
第四方面， 提供一种虚拟网络功能实体， 包括：
第一获取模块， 用于在虚拟网络管理实体对所述虚拟网络功能实体进 行实例化的过程中或实例化之后获取初始信任状信息；
第二获取模块， 用于利用所述第一获取模块获取的初始信任状信息从 认证中心获取所述虚拟网络功能实体的网络运营商签发的正式证书。
可选地， 所述初始信任状信息包括但不限于证书、 预共享密钥、 令牌 和 /或密码。
可选地， 所述初始信任状信息包括证书时， 所述初始信任状信息中包 括初始证书以及对应的第一私钥；
所述初始证书是所述虚拟网络功能实体的提供商或网络运营商为所 述虚拟网络功能实体所签发， 所述第一私钥为所述初始证书对应的第一公 钥 -私钥对中的私钥。
可选地， 所述初始证书用所述虚拟网络功能实体的提供商的根证书或 中间证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中 间证书是隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发 的证书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
可选地， 所述初始信任状信息携带在所述虚拟网络功能包或所述虚拟 网络功能的镜像文件或所述虚拟网络功能的描述器 VNFD 中或所述虚拟网 络功能的实例化数据中。
可选地， 所述虚拟网络管理实体包括第一管理实体 NFV0、第二管理实 体 VNFM、 第三管理实体 VIM和第四管理实体 NFVI管理控制单元；
所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS ; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。
可选地，所述初始信任状信息还可以为所述第一管理实体 NFV0或所述 第二管理实体 VNFM或网络运营管理实体为所述虚拟网络功能实体配置的初 始信任状信息。
可选地， 所述第二获取模块具体包括：
发送单元， 用于向所述认证中心发送证书请求消息， 所述证书请求消 息中包括第三公钥和所述初始信任状；以使所述认证中心使用所述初始信任状 验证接收到的所述证书请求消息； 在验证成功时使用所述网络运营商的根证书 或中间证书对应的私钥对所述第三公钥进行签名，生成所述网络运营商签发的 正式证书；
接收单元， 用于接收所述认证中心发送的证书响应消息， 所述证书响 应消息中包括所述正式证书， 或者所述证书响应消息中还包括所述网络运 营商的根证书；
验证单元， 用于验证所述证书响应消息， 并用预置的或者所述证书响 应消息中包括的所述网络运营商的根证书验证所述认证证书；
获取单元， 在所述验证单元验证成功时， 获得所述网络运营商签发的 正式证书。
可选地，所述第三公钥为所述虚拟网络功能实体生成或配置的第三公钥- 私钥对中的公钥；
所述证书请求消息用所述初始信任状对应的私钥进行签名；
所述证书响应消息包括认证证书，用所述认证证书对应的私钥进行签名； 可选地， 所述认证证书是所述网络运营商的根证书或中间证书签发的； 若所述认证证书是所述网络运营商的中间证书签发，则所述方法还包括: 所述虚拟网络功能实体使用所述网络运营商的中间证书验证所述认 证证书， 用所述网络运营商的根证书验证所述中间证书。
第五方面， 提供一种基于网络功能虚拟化的证书配置***， 包括： 虚 拟网络功能实体、 虚拟网络管理实体和认证中心；
所述虚拟网络管理实体为如第三方面所述的虚拟网络管理实体； 所述虚拟网络功能实体为如第四方面所述的虚拟网络功能实体； 所述认证中心用于接收所述虚拟网络功能实体发送的证书请求消息， 所述证书请求消息中包括第三公钥和所述初始信任状； 使用所述初始信任状 验证接收到的所述证书请求消息； 在验证成功时使用所述网络运营商的根证书 或中间证书对应的私钥对所述第三公钥进行签名，生成所述网络运营商签发的 正式证书； 所述第三公钥为所述虚拟网络功能实体生成或配置的第三公钥 -私钥对中的公钥。
第六方面， 提供一种服务器， 包括处理器和存储器， 所述处理器和存 储器通过总线连接， 所述存储器中保存有实现如第一方面所述的基于网络 功能虚拟化的证书配置方法所对应的指令， 所述处理器执行如第一方面所 述的基于网络功能虚拟化的证书配置方法所对应的指令。
第七方面， 提供一种服务器， 包括处理器和存储器， 所述处理器和存 储器通过总线连接， 所述存储器中保存有实现如第二方面所述的基于网络 功能虚拟化的证书配置方法所对应的指令， 所述处理器执行如第二方面所 述的基于网络功能虚拟化的证书配置方法所对应的指令。
本发明实施例通过虚拟网络管理实体获取虚拟网络功能实体的初始 信任状信息； 在对所述虚拟网络功能实体进行实例化的过程中或实例化之 后， 有针对性的将虚拟网络功能实体的初始信任状信息安装到所述虚拟网 络功能实体中， 以使所述虚拟网络功能实体利用所述初始信任状信息从认 证中心获取所述虚拟网络功能实体的网络运营商签发的正式证书。 本实施 例所述的证书配置方法不仅可以适用于网络功能虚拟化场景， 而且还可以 解决网络功能虚拟化中存在的安全隐患问题。 附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例或现有技术描述中所需要使用的附图作一简单地介绍， 显而易见地， 下 面描述中的附图是本发明的一些实施例， 对于本领域普通技术人员来讲， 在 不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1 为本发明一实施例提供的一种基于网络功能虚拟化的证书配置方 法的流程示意图；
图 2 为本发明另一实施例提供的基于网络功能虚拟化的证书配置方法 的流程示意图；
图 3为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图；
图 4为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图；
图 5为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图；
图 6为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图；
图 7为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图；
图 8为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图；
图 9为本发明一实施例提供的虚拟网络管理实体的结构示意图； 图 10为本发明一实施例提供的虚拟网络功能实体的结构示意图； 图 11 为本发明一实施例提供的一种基于网络功能虚拟化的证书配置 ***的结构示意图；
图 12为本发明一实施例提供的一种服务器的结构示意图；
图 13为本发明一实施例提供的一种服务器的结构示意图。 具体实施方式 为使本发明实施例的目的、 技术方案和优点更加清楚， 下面将结合本发 明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完整地描述， 显然， 所描述的实施例是本发明一部分实施例， 而不是全部的实施例。 基于 本发明中的实施例， 本领域普通技术人员在没有作出创造性劳动前提下所获 得的所有其他实施例， 都属于本发明保护的范围。
本实施例的技术方案应用在 NFV场景下， 举例来说， 本实施例所述的 虚拟网络功能实体包括虚拟网络功能单元（Virtual ised Network Function, VNF) 或虚拟网络功能子单元 （VNF Component ， VNFC ) 。
其中， VNF 对应于传统非虚拟化网络中的物理网络功能实体 （Physical Network Function, PNF ) ， 网络功能的功能性行为和状态与虚拟化与否无关， 本实施中， VNF和 PNF拥有相同的功能性行为和外部接口。
其中， VNF可以由多个更低级别的组件来组成， 因此， 一个 VNF可以部署 在多个虚拟机 (Virtual Machine , VM) 上， 每个 VM宿主在一个 VNFC; VNF也 可以部署在一个 VM上。
举例来说， 本实施例所述的虚拟网络管理实体包括但不限于第一管理 实体 ( NFV Orchestrator, NFV0 ) 、 第二管理实体 ( VNF Manager, VNFM ) 、 第三管理实体 ( Virtual ised Infrastructure Manager, VIM) 和第四管理实 体 ( Network Funct ion Virtul ization Infrastructure , NFVI ) 的管理控 制单元， 例如 NFVI Agent或 NFVI Manager ;
其中， VIM是包括用来控制和管理计算、 存储和网络资源的虚拟化实体；
NFV0是负责对 NFV资源进行网络侧的编排和管理， 以及在 NFV基础设施上 实现 NFV业务拓扑的虚拟化实体；
NFVI由硬件资源和虚拟资源以及虚拟层组成， 从 VNF的角度来说， 虚拟化 层和硬件资源看起来是一个能够提供所需虚拟资源的实体。 NFVI管理控制单元 负责 NFVI内虚拟机的管理和控制。
VNFM负责 VNF实例的生命周期的管理。
本实施例所述网络运营管理实体包括但不限于运营支撑*** ( Operation support system, OSS )或网兀管理*** ( Element Management System , EMS ) ； 其中， EMS主要是针对 VNF执行传统的 FCAPS功能； 其中， FCAPS功能包括故障管理（Fault Management)、 配置管理 （Conf iguration Management )、计费管理 ( Account ing Management )、性能管理 ( Performance Management ) 禾口安全管理 ( Security Management ) 。
图 1为本发明一实施例提供的一种基于网络功能虚拟化的证书配置方 法的流程示意图， 如图 1所示， 包括：
101、 虚拟网络管理实体获取虚拟网络功能实体的初始信任状信息。 在一种可选的实施方式中， 歩骤 101具体实现时包括：
虚拟网络管理实体接收网络运营管理实体发送的实例化请求， 其中， 所述实例化请求中包括所述虚拟网络功能实体的初始信任状信息。 例如，
NFV0接收到运营支撑*** 0SS的 VNF实例化请求，以请求实例化一个新的 VNF, 该 VNF实例化请求中包括 VNF的初始信任状信息。 又例如， EMS 向 VNFM发送 VNF实例化请求，该 VNF实例化请求中包括 VNF的初始信任状信 息。
举例来说，所述虚拟网络功能实体的初始信任状信息可以是 VNF的提供商 或网络运营商为虚拟网络功能实体配置的初始信任状信息。具体地， VNF的提 供商或网络运营商可以为 VNF配置一个初始信任状信息或者为组成 VNF的 每一个 VNFC配置一个初始信任状信息。 举例来说， 当 VNF提供商或网络运 营商为 VNFC配置一个初始信任状信息时， VNF实例化成功后，则每一个 VNFC 安装成功一个初始信任状； 后续在 VNFC成功完成证书登记过程后， VNFC获 得网络运营商签发的正式证书。 当 VNF提供商或网络运营商为 VNF配置一个 初始信任状信息时， VNF实例化成功后， 贝 ijVNF作为一个整体 （例如通过 Master VNF, 或 VNFMA ) 安装成功一个初始信任状。 后续在 VNF成功完成证 书登记过程后， VNF作为一个整体获得网络运营商签发的正式证书。
举例来说， 上述的初始信任状信息包括但不限于证书、 预共享密钥、 令牌 （token ) 、 密码中的至少一项。
当初始信任状信息包括证书时， 则初始信任状信息中包括初始证书以 及对应的第一私钥；
其中， 上述的初始证书是上述虚拟网络功能实体的提供商或网络运营 商为上述虚拟网络功能实体配置的第一公钥-私钥对所签发的证书， 其中， 所述第一私钥为所述第一公钥 -私钥对中的私钥。
其中，所述初始证书用所述虚拟网络功能实体的提供商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中间证 书是隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发的证 书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
举例来说， 上述初始信任状信息可以携带在 VNF包（VNF Package )中， 其中， VNF包中包括一个 VNF描述器 ( VNF Descriptor, VNFD ) 、 与 VNF关联 的软件镜像文件 （software image (s) ) 、 以及另外的档案文件； 其中， VNFD 是描述 VNF虚拟资源需求的一个资源说明；
具体地，本实施例中，上述初始信任状信息可以携带在 VNF包中的 VNFD 或镜像文件中。 为了提高安全性， 本实施例中， 例如， 上述 VNF包或者 VNF 包中 VNFD或镜像文件可以用 VNF提供商或网络运营商配置的证书进行签 名， 或者对初始信任状信息进行机密性保护。 其中， VNF提供商或网络运 营商配置的证书可以是 VNF提供商或网络运营商为 VNF配置的证书中的任 一证书， 也可以是新生成的专门用于所述 VNF包或 VNFD或镜像文件签名的证 书。 对应地， 虚拟网络管理实体可以使用 VNF 提供商或网络运营商为 VNF 配置的证书对携带有所述初始信任状信息的 VNF包或者 VNFD或者所述镜 像文件进行完整性验证。
具体地， 本实施例中， 上述初始信任状信息还可以携带在实例化数据 中。
本实施例中， 所述虚拟网络管理实体包括第一管理实体 NFV0、第二管 理实体 VNFM、 第三管理实体 VIM和第四管理实体 NFVI管理控制单元； 所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS ; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。
举例来说，所述初始信任状信息是所述第一管理实体 NFV0或所述第二 管理实体 VNFM或所述网络运营管理实体为所述虚拟网络功能实体配置的。
在一种可选的实施方式中， 歩骤 101具体实现实例还包括： 虚拟网络功能实体的提供商或网络运营商可以为虚拟网络功能实体 配置初始信息状信息， 将初始信息状信息存储于该虚拟网络功能实体的镜 像文件中， 并将初始信息状信息上传到 VIM处， 当对虚拟网络功能实体进 行 VNF实例化时或者实例化之后， 可以从虚拟网络功能实体的镜像文件中 获取该虚拟网络功能实体的初始信任状信息。
在一种可选的实施方式中， 歩骤 101具体实现时例如还包括： 虚拟网络管理实体在接收所述网络运营管理实体发送的实例化请求之 后或者在对所述虚拟网络功能实体实例化之后，为所述虚拟网络功能实体配 置初始信任状信息。 例如由 NFV0或 VNFM为虚拟网络功能实体配置所述初 始信任状信息。
102、 虚拟网络管理实体在对所述虚拟网络功能实体进行实例化的过 程中或实例化之后， 将所述初始信任状信息安装到所述虚拟网络功能实体 中， 以使所述虚拟网络功能实体利用所述初始信任状信息从认证中心获取 所述虚拟网络功能实体的网络运营商签发的正式证书。
举例来说，所述初始信任状信息由所述第一管理实体 NFV0发送给所述 第三管理实体 VIM,或者由所述第二管理实体 VNFM经由所述第一管理实体 NFV0发送给所述第三管理实体 VIM , 或者由所述第二管理实体 VNFM发送 给所述第三管理实体 VIM。
或者， 所述初始信任状信息在 VNF实例化过程中或实例化过程之后， 由所述第三管理实体 VIM发送给所述第四管理实体 NFVI管理控制单元， 并由所述第四管理实体 NFVI 管理控制单元通过虚拟机安装于所述虚拟网 络功能实体上。
或者，所述初始信任状信息由 NFV0发送给 VIM ,或者由 VNFM经由 NFV0 发送给 VIM , 或者由 VNFM发送给 VIM;
其中， 所述初始信任状信息在 VNF实例化过程中或实例化过程之后， 由 VIM发送给 NFVI管理控制单元，并由 NFVI管理控制单元通过虚拟机安装 于所述虚拟网络功能实体上。
其中， 本实施例中， 所述实例化是指所述虚拟网络管理实体为所述虚 拟网络功能实体分配需要的虚拟化资源并为所述虚拟网络功能实体安装 实例化数据的过程。 其中， 上述虚拟网络功能实体利用所述初始信任状信息从认证中心
(Certif icate Authority , CA)获取所述虚拟网络功能实体的网络运营商 签发的正式证书的具体实现可以参考图 2所示实施例中的相关描述。
本发明实施例通过虚拟网络管理实体获取或配置虚拟网络功能实体 的初始信任状信息； 在对所述虚拟网络功能实体进行实例化的过程中或实 例化之后， 将所述初始信任状信息安装到所述虚拟网络功能实体中， 以使 所述虚拟网络功能实体利用所述初始信任状信息从认证中心获取所述虚 拟网络功能实体的网络运营商签发的正式证书。 本实施例所述的证书配置 方法可以适用于网络功能虚拟化场景；
进一歩地， 本实施例在对一个虚拟网络功能实体进行实例化的过程中 或实例化之后， 有针对性地将该虚拟网络功能实体的初始信任状信息安装 到该虚拟网络功能实体中， 以使所述虚拟网络功能实体利用所述初始信任 状信息从认证中心获取所述虚拟网络功能实体的网络运营商签发的正式 证书， 从而使 VNF实例安装唯一的证书以用于安全连接的建立， 提高虚拟 网络通信的安全性。
图 2 为本发明另一实施例提供的基于网络功能虚拟化的证书配置方法 的流程示意图， 如图 2所示， 包括：
201、 虚拟网络功能实体在虚拟网络管理实体对所述虚拟网络功能实 体进行实例化的过程中或实例化之后获取初始信任状信息。
其中， 所述实例化是指所述虚拟网络管理实体为所述虚拟网络功能实 体分配需要的虚拟化资源并为所述虚拟网络功能实体安装实例化数据的 过程。
举例来说，所述初始信任状信息可以携带在 VNF包中，或者 VNFD中， 或者虚拟网络功能的镜像文件中， 或者携带于实例化数据中；
其中， 所述 VNFD 或所述镜像文件用所述虚拟网络功能实体的提供商 或网络运营商配置的证书进行签名。
举例来说，所述的初始信任状信息包括但不限于：证书、预共享密钥、 令牌 （token ) 、 密码。
当上述初始信任状信息包括证书时， 所述初始信任状信息中包括初始 证书以及对应的第一私钥； 其中， 上述初始证书是上述虚拟网络功能实体的提供商或网络运营商 为上述虚拟网络功能实体配置的第一公钥-私钥对所签发的证书， 其中， 所 述第一私钥为所述第一公钥 -私钥对中的私钥。
其中，所述初始证书用所述虚拟网络功能实体的提供商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中间证 书是隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发的证 书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
举例来说， 所述初始信任状信息为所述虚拟网络管理实体在接收所述 网络运营管理实体发送的实例化请求之后或者在对所述虚拟网络功能实体 实例化之后， 为所述虚拟网络功能实体配置的； 其中， 所述的初始信任状 信息包括但不限于： 证书、 预共享密钥、 令牌 （token ) 、 密码。
当初始信任状信息中包括证书时， 则初始信任状信息中包括初始证书 以及对应的第二私钥； 所述初始证书是所述虚拟网络管理实体为所述虚拟 网络功能实体配置的第二公钥-私钥对所签发的证书， 所述第二私钥为所述 第二公钥 -私钥对中的私钥。
需要说明的是， VNF提供商或网络运营商可以为 VNF配置一个初始信任 状信息或者为组成 VNF的每一个 VNFC配置一个初始信任状信息。举例来说， 当 VNF提供商或网络运营商为 VNF配置一个初始信任状信息时， VNF实例化 成功后， 则 VNF作为一个整体 （例如通过 Master VNF , 或 VNFMA ) 安装成功 一个初始信任状。 后续在 VNF成功完成登记过程后， VNF作为一个整体获得 网络运营商签发的正式证书。
202、 在 VNF实例化过程中或实例化之后， 将初始信任状信息安装于虚拟 网络功能实体上。
例如， 所述的初始信任状由虚拟网络管理实体发送至 NFVI ; 通过虚拟网络 功能实体的安全启动过程， 初始信任状被安全的安装于 VNF或 VNFC上。
又例如， 如果初始信任状为 NFV0配置， 则 NFV0将初始信任状信息发送至 VIM (可以通过 VNFM的中转， 或者直接发送） ， VIM将初始信任状信息发送至 NFVI管理控制单元 （例如 NFVI Agent , 或者 NFVI Manager ) ， 再通过安全启 动过程， 初始信任状通过虚拟机被安装于 VNF或者 VNFC上。
又例如， 如果初始信任状为 VNFM配置， 则 VNFM将初始信任状信息发送至 VIM, V 将初始信任状信息发送至 NFVI管理控制单元 （例如 NFVI Agent , 或 者 NFVI Manager )，再通过安全启动过程，初始信任状通过虚拟机被安装于 VNF 或者 VNFC上。
203、 虚拟网络功能实体利用所述初始信任状信息从认证中心获取所 述虚拟网络功能实体的网络运营商签发的正式证书。
在一种可选的实现方式中， 歩骤 203包括：
虚拟网络功能实体向所述认证中心发送证书请求消息， 其中， 所述证 书请求消息中包括第三公钥和所述初始信任状；
认证中心使用初始信任状验证接收到的所述证书请求消息。
如果所述的初始信任状为初始证书时，认证中心使用预置的所述虚拟网络 功能实体的提供商或网络运营商的根证书验证所述证书请求消息中包括的初 始证书， 在验证成功时使用所述网络运营商的根证书或中间证书对应的私钥对 所述第三公钥进行签名， 生成所述网络运营商签发的正式证书。
认证中心向虚拟网络功能实体发送证书响应消息， 所述证书响应消息 中包括所述正式证书和认证证书， 或者所述证书响应消息中还包括所述网 络运营商的根证书；
虚拟网络功能实体接收所述认证中心发送的证书响应消息；
虚拟网络功能实体用接收到的认证证书验证所述证书响应消息， 并用 预置的或者所述证书响应消息中包括的所述网络运营商的根证书验证所述 认证证书， 在验证成功时， 获得所述网络运营商签发的正式证书。
举例来说， 所述第三公钥为所述虚拟网络功能实体生成或配置的第三公 钥 -私钥对中的公钥；
所述证书请求消息例如可以用所述初始证书对应的私钥进行签名；其中， 初始信任状对应的私钥包括上述的第一私钥或第二私钥。
所述证书响应消息例如可以用所述认证证书对应的私钥进行签名； 举例来说， 所述认证证书可以是所述网络运营商的根证书或中间证书签 发的；
若所述认证证书是所述网络运营商的中间证书签发， 则虚拟网络功能实 体使用所述网络运营商的中间证书验证所述认证证书，用所述网络运营商的 根证书验证所述中间证书。
本发明实施例通过虚拟网络功能实体在虚拟网络管理实体对所述虚 拟网络功能实体进行实例化的过程中或实例化之后获取初始信任状信息； 并利用所述初始信任状信息从认证中心获取所述虚拟网络功能实体的网 络运营商签发的正式证书。 本实施例所述的证书配置方法可以适用于网络 功能虚拟化场景； 进一歩地， 本实施例在对一个虚拟网络功能实体进行实 例化的过程中或实例化之后， 有针对性地将该虚拟网络功能实体的初始信 任状信息安装到该虚拟网络功能实体， 以使虚拟网络功能实体利用所述初 始信任状信息从认证中心获取所述虚拟网络功能实体的网络运营商签发 的正式证书。 该方法使 VNF实例成功安装运营商签发的唯一的证书以用于 后续安全连接的建立， 可以提高虚拟网络通信的安全性。
以下对本发明所述的基于网络功能虚拟化的证书配置方法的具体实 现手段进行详细的描述。
图 3为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图， 如图 3所示， 包括：
301、 NFV0接收 0SS的实例化请求。
其中，该实例化请求用以请求实例化一个新的 VNF,该实例化请求中包括 VNF 初始信任状信息。
可选地， 所述 VNF初始信任状信息例如可以携带在 VNFD中。
其中， VNF初始信任状信息可以为 VNF提供商或网络运营商配置。 当初 始信任状信息中包括证书时， 具体包括 VNF提供商或网络运营商签发的 VNF 初始证书以及对应的私钥， 或者还包括 VNF初始信任状对应的公钥。 其中， VNF初始证书以及对应的私钥和公钥是 VNF提供商或网络运营商为该 VNF配 置的第一公钥 -私钥对中的公钥和私钥。
可选地， 该 VNF初始信任状可以针对每一个 VNFC所签发。
可选地， NFV0对接收到的实例化请求进行验证， 包括验证发送方是否授 权发出该实例化请求， 验证传递的参数技术上的正确性、 是否遵从策略等。 302、 NFVO运行可行性检査， 以在实际的实例化开始前预留资源。
下面歩骤 3a-3g为可选的：
3a) NFVO发送可行性检査消息给 VNFM, 要求对实例化请求进行可行性检 査。 该可行性检査消息中携带 VNF初始信任状信息。 可选地， 所述的 VNF初 始信任状信息可以存储于 VNFD中。
3b) VNFM验证实例化请求， 处理 VNFD和实例化数据， 可能包括对实例 化数据进行修改或补充。
3c) VNFM返回 （可能更新的） 实例化数据给 NFV0。
3d) NFVO执行需要的预分配处理工作。
3e) NFVO请求 VIM检査资源 （计算、 存储和网络资源） 的可用性并进行 资源预留。
3f) VIM检査资源的可用性， 并进行资源预留。
3g) VIM向 NFVO返回资源预留的结果。
303、 NFV0向 VNFM发送 VNF实例化的请求消息。
其中， VNF实例化的请求消息中包括 VNF初始信任状信息和实例化数据； 可选地， VNF初始信任状信息存储于 VNFD中； 可选地， VNF实例化的请求消息 中还可以包括执行上述歩骤 3a-3g后的预留资源的信息。
优选地， VNF实例化的请求消息具有机密性和完整性保护； 对应地， VNFM 验证 VNF实例化的请求消息。
可选地， VNFM对 VNFD应用特定的限制对实例化数据进行修改或补充 VNFD, 如果上述歩骤 3b已执行， 则 VNFM不需要对 VNFD应用特定的限制对实例化数据 进行修改或补充 VNFD。
304、 VNFM请求 NFVO进行资源预留。
305、 NFV0执行需要的预分配处理工作。
306、 NFV0请求 VIM进行资源分配和建立连接。
307、 VIM实例化内部网络连接。
例如， VIM实例化需要的虚拟机和存储资源， 将实例化的虚拟机附着到内 部网络连接上。
308、 VIM向 NFV0确认完成资源的分配的消息。
309、 NFV0向 VNFM确认完成资源的分配的消息。 可选地， 确认完成资源的分配的消息中携带 VNF初始信任状信息。
310、 VNFM使用分配的资源， 实例化 VNF, 并将 VNF初始信任状安装到 VNF 中。
例如， VNFM使用分配的资源， 执行开启虚拟部署单元 （Virtual ization Deployment Unit ， VDU) 的任务， 实例化 VNF, 在该过程中， VNF初始信任 状被成功地安装于 VNF上。
可选地， 组成 VNF的每一个 VNFC均成功配置一个初始信任状。
311、 VNFM向 NFV0返回 VNF实例化结束的确认消息。
312、 NFV0向 0SS确认 VNF实例化的完成。
此时 VNF实例化成功完成， 可选地， 此时 VNF处于受限连接状态， 仅允许 连接网络运营商的认证中心执行证书登记过程。之后， VNF利用获得的初始信 任状， 向认证中心发起证书登记过程， 获得网络运营商签发的正式证书。
可选地， 本实施例中， 0SS和 NFV0之间的通信有机密性和 /或完整性 保护机制， NFV0和 VNFM之间的通信有机密性和 /或完整性保护机制。
本发明实施例通过 NFV0从 0SS中获取 VNF的初始信任状信息；在 VNFM 进行 VNF实例化的过程中， 将 VNF的初始信任状信息安装到 VNF或 VNFC 中， 以使 VNF或 VNFC利用初始信任状信息从认证中心中获取 VNF的网络 运营商签发的正式证书。 本实施例所述的证书配置方法可以适用于网络功 能虚拟化场景； 进一歩地， 本实施例在对一个 VNF进行实例化的过程中， 有针对性地将该 VNF的初始信任状信息安装到该 VNF , 以使 VNF或 VNFC 利用所述初始信任状信息从认证中心获取网络运营商签发的正式证书， 不 会导致多个实例安装相同的证书， 可以提高虚拟网络通信的安全性。
本发明另一实施例提供的一种基于网络功能虚拟化的证书配置方法， 初始信任状由 VNFM在实例化过程中或实例化过程后为 VNF或 VNFC配置， 并通过如下传输路径 VNFM -〉 NFV0-〉VIM -〉 NFVI管理控制单元 -〉 VM安装到 VNF或 VNFC中：
其中， 歩骤一同图 3所示实施例的歩骤 301。
歩骤二同图 3所示实施例的歩骤 302，区别在于： 在上述歩骤 3b中， VNFM为需要配置证书的 VNF或 VNFC配置初始信任状， 并添加到实例化数 据中， 在歩骤 3c中发送给 NFV0 ; 在歩骤 3e中， NFV0将初始信任状发送 给 VIM。
歩骤二至歩骤 9同图 3所示实施例的歩骤 303-309。
歩骤十在 VNF实例化过程中， VIM将初始信任状信息发送给 NFVI ; 具 体地， 初始信任状信息被发送给 NFVI管理控制单元（NFVI Agent , 或 NFVI Manager ) ， 通过安全启动过程， 初始信任状信息通过 VM被安装于 VNF或
VNFC上。
歩骤 ^一同图 3所示实施例的歩骤 311。
可选地， 初始信任状信息也可以在歩骤四中由 VNFM发送给 NFV0 , 并 在歩骤六中由 NFV0发送给 VIM。
可选地， 初始信任状信息也可以由 NFV0为 VNF或 VNFC配置， 并在歩 骤 3e或者歩骤六中由 NFV0发送给 VIM。
在上述实施例中， VNFM禾口 NFV0之间， NFV0禾口 VIM之间， VIM禾口 NFVI 管理控制单元之间均建立有安全连接， 能保护其上传输信息的机密性和完 整性。
其中， 所述配置的初始信任状使用受限， 仅能用于 VNF或 VNFC向网 络运营商的认证中心发起证书登记过程获取网络运营商的正式证书。
图 4为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图， 如图 4所示， 包括：
401、 EMS向 VNFM发送 VNF实例化请求消息。
该 VNF实例化请求消息携带 VNF初始信任状信息， 所述的初始信任状信息 包括但不限于： 证书、 预共享密钥、 令牌 （token) 、 密码。
其中， 所述 VNF初始信任状信息包括证书时， 所述初始信任状信息具体包 括 VNF初始证书以及对应的私钥， 或者还包括对应的公钥。
可选地， 该 VNF初始信任状可以针对每一个 VNFC所签发。
402、 VNFM验证 VNF实例化请求消息， 处理实例化数据。
举例来说， VNFM例如可以利用网络运营商为 VNF配置的证书验证 VNF 实例化请求消息， 处理 VNFD和实例化数据， 也可以对实例化数据进行修 改或补充。
403、 VNFM发送实例化数据给 NFV0。
其中， 发送给 NFV0的实例化数据可以是 VNFM修改或补充后的实例化 数据。
可选地， VNFM发送给 NFV0的实例化数据中包括初始信任状信息。 可选地， 歩骤 403之后还包括：
404、 NFV0、 VNFM和 VIM发起可行性检査过程， 预留需要的资源。 可选地， 在该过程中， 初始信任状信息由 NFV0发送给 VIM。
405、 NFV0、 VNFM和 VIM利用预留资源进行 VNF实例化， 在实例化过 程中将 VNF初始信任状成功安装于 VNF上。
其中， VIM将初始信任状信息发送给 NFVI ; 具体地， 初始信任状被发 送给 NFVI管理控制单元 （NFVI Agent , 或 NFVI Manager ) ； 通过安全启 动过程， 初始信任状通过 VM被安装于 VNF或 VNFC上。
之后， VNFM向 EMS确认 VNF实例化的完成。此时 VNF实例化成功完成， 可选地， 此时 VNF处于受限连接状态， 仅允许连接运营商的认证中心执行 证书登记过程。 VNF利用获得的初始信任状， 向认证中心发起证书登记过 程， 获得运营商签发的正式证书。
优选地， EMS禾 B VNFM之间、 VNFM禾 B NFV0之间、 NFV0禾 B VIM之间、 VIM 和 NFVI管理控制单元之间的通信有机密性和完整性保护机制。
本发明实施例通过 VNFM从 EMS中获取 VNF的初始信任状信息并经由 NFV0发送给 VIM; 在进行 VNF实例化的过程中， VIM将 VNF的初始信任状 信息安装到 VNF中， 以使 VNF利用初始信任状信息从认证中心获取 VNF的 网络运营商签发的正式证书。 本实施例所述的证书配置方法可以适用于网 络功能虚拟化场景； 进一歩地， 本实施例在对一个 VNF进行实例化的过程 中， 有针对性地将该 VNF的初始信任状信息安装到该 VNF, 使得 VNFD实例 成功安装运营商签发的唯一的证书以用于后续安全连接的建立， 从而提高 虚拟网络通信的安全性。
图 5为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图， 如图 5所示， 包括：
501、 EMS向 VNFM发送 VNF实例化请求消息。
502、 VNFM为需要配置证书的 VNF或 VNFC配置初始信任状， 并添加到 实例化数据中。
503、 VNFM发送 VNF实例化请求消息给 NFV0。 其中， 实例化请求消息中包括初始信任状信息。
其中， 所述的初始信任状信息包括但不限于： 证书、 预共享密钥、 令 牌 （token ) 、 密码。
可选地， NFV0、 VNFM和 VIM执行可行性检査。
504、 NFV0、 VNFM和 VIM为 VNF实例化分配所需要的资源。
可选地， 在该过程中， 初始信任状信息由 NFV0发送给 VIM。
505、 NFV0、 VNFM和 VIM在 VNF实例化过程中将 VNF初始信任状成功 安装于 VNF上。
其中， VIM将初始信任状信息发送给 NFVI ; 具体地， 初始信任状被发 送给 NFVI管理控制单元 （NFVI Agent , 或 NFVI Manager ) ； 通过安全启 动过程， 初始信任状通过 VM被安装于 VNF或 VNFC上。
之后， VNFM向 EMS确认 VNF实例化的完成。此时 VNF实例化成功完成， 此时 VNF 处于受限连接状态， 仅允许连接网络运营商的认证中心执行证书登记过程， 获得网络运营商签发的正式证书。
本发明实施例通过 VNFM在接收到 EMS的实例化请求时， 为 VNF配置 初始信任状信息， 并经由 NFV0发送给 VIM; 在 VNF实例化的过程中， VIM 将 VNF的初始信任状信息安装到 VNF中， 以使 VNF利用初始信任状信息从 认证中心中获取 VNF的网络运营商签发的正式证书。 本实施例所述的证书 配置方法可以适用于网络功能虚拟化场景； 进一歩地， 本实施例在对一个 VNF进行实例化的过程中， 有针对性地将该 VNF的初始信任状信息安装到 该 VNF,以使 VNF或 VNFC利用所述初始信任状信息从认证中心获取网络运 营商签发的正式证书， 使得 VNF实例成功安装运营商签发的唯一的证书以 用于后续安全连接的建立， 从而提高虚拟网络通信的安全性。
图 6为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图， 如图 6所示， 包括：
601、 VNF实例化之后， VNFM为组成 VNF的每一个 VNFC配置初始信任状信息。 其中， 所述的初始信任状信息包括但不限于： 证书、 预共享密钥、 令牌 ( token) 、 密码。
例如， VNF实例化成功后， VNFM可以为组成 VNF的每一个 VNF组件（即 VNFC ) 配置初始信任状信息。 所述的初始信任状为证书时， 则 VNFM为 VNFC配置第二 公钥-私钥对， 并对第二公钥签发初始证书； 该配置的初始证书信息中包括初 始证书以及对应的第二私钥， 或者还可以包括第二公钥。
可选地， VNF实例化成功后， EMS也可以为每一个 VNF组件配置初始信任状 信息。 所述的初始信任状为证书时， EMS为 VNFC配置第四公钥-私钥对， 并用 第四公钥签发初始证书； 该配置的初始证书信息中包括初始证书以及对应的 第四私钥， 或者还可以包括第四公钥。
602、 VNFM将配置的初始信任状信息发送给 VIM。
或者 VNFM将配置的初始信任状信息经由 NFV0发送给 VIM。
603、 VIM将初始信任状信息发送给 NFVI , 以使 NFVI将初始信任状通过 VM 被安装于 VNF或 VNFC上。
具体地， 初始信任状被发送给 NFVI管理控制单元 （NFVI Agent , 或 NFVI Manager ) ； 通过安全启动过程， 初始信任状通过 VM被安装于 VNF或 VNFC上。
其中， 所述配置的初始信任状使用受限， 仅能用于 VNFC 向网络运营 商的认证中心发起证书登记过程获取网络运营商的正式证书。
本发明实施例通过在 VNF实例化之后， VNFM或者 EMS为 VNF配置初始 信任状信息并发送给 VIM, VIM将 VNF的初始信任状信息安装到 VNF中， 以使 VNF利用初始信任状信息从认证中心中获取 VNF的网络运营商签发的 正式证书。 本实施例所述的证书配置方法可以适用于网络功能虚拟化场景， 还可以有针对性地将该 VNF的初始信任状信息安装到该 VNF, 以使 VNF或 VNFC 利用所述初始信任状信息从认证中心获取网络运营商签发的正式证 书， 避免了多个实例安装相同的证书， 可以提高虚拟网络通信的安全性。
图 7为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图， 如图 7所示， 包括：
701、 VNF包被递交给 NFV0用于上线。
其中， 所述的 VNF包中包括 VNF初始信任状信息。 所述的初始信任状 信息包括但不限于： 证书、 预共享密钥、 令牌（token ) 、 密码。 可选地， 所述的 VNF初始信任状信息存储于镜像文件中。
具体地， NFV0还可以验证 VNF包， 通知目录库 （catalog ) ， 将 VNFD 存储于目录库中。
702、 NFV0将包含 VNF初始信任状信息的镜像文件发送给 VIM。 对应地， VIM向 NFV0确认已成功上传镜像文件。
703、 NFV0和 VIM对 VNF进行实例化过程。
具体地， NFV0确认 VNF已上线之后， 对 VNF进行实例化过程， 在实例 化过程中， VIM将初始信任状信息发送给 NFVI ; 具体地， 初始信任状被发 送给 NFVI管理控制单元 （NFVI Agent , 或 NFVI Manager ) ； 通过安全启 动过程， 初始信任状通过 VM被安装于 VNF或 VNFC上。
其中， 所述配置的初始信任状使用受限， 仅能用于 VNFC 向网络运营 商的认证中心发起证书登记过程获取网络运营商的正式证书。
VNF使用该初始信任状， 向网络运营商的认证中心发起证书登记过程 获得运营商签发的正式证书。
本发明实施例通过 VNF提供商或网络运营商为 VNF配置初始信任状， 并将初始信任状存储于镜像文件中， 上传到 VIM处， VNF实例化过程成功 后证书安装到 VNF上， 此后 VNF向认证中心执行证书登记过程获得运营商 签发的正式证书。 本实施例所述的证书配置方法可以适用于网络功能虚拟 化场景， 还可以有针对性地将该 VNF的初始信任状信息安装到该 VNF, 以 使 VNF或 VNFC利用所述初始信任状信息从认证中心获取网络运营商签发 的正式证书， 使得 VNF实例成功安装运营商签发的唯一的证书以用于后续 安全连接的建立， 从而提高虚拟网络通信的安全性。
图 8为本发明另一实施例提供的一种基于网络功能虚拟化的证书配置 方法的信令图， 本实施例示出了 VNF使用 VNF提供商或网络运营商签发的 VNF初始信任状通过 CMPv2协议定义的证书登记（Cert if icate Enrolment ) 过程获得运营商签发的正式证书的过程。 本过程不限于 CMPv2协议， 也可 以使用其它的证书登记协议， 如图 8所示， 包括：
801、 VNF向认证中心发送证书请求消息。
如果初始信任状为初始证书的话， 则该证书请求消息携带第三公钥和初 始证书。
其中， 该证书请求消息可以使用初始证书对应的私钥进行签名。 其中， 第三公钥可以是 VNF通过预配置或者自己生成第三公钥 -私钥对中的公钥。
其中， 所述初始证书为上述图 1-图 7任一实施例中所述的初始证书， 不再 赘述。 如果初始信任状为共享密钥， 或者令牌， 或者密码的话， 则该证书请求 消息中携带第三公钥和初始信任状。
其中， 若 VNF和认证中心之间没有直连接口的话， 则证书请求消息可以通 过 EMS进行转发。
802、 认证中心用初始信任状信息验证接收到的证书请求消息。
803、若验证成功， 认证中心用网络运营商根证书或网络运营商中间证书 对应的私钥对第三公钥进行签名， 生成运营商签发的 VNF正式证书。
804、 认证中心向 VNF发送证书响应消息。
该证书响应消息携带的信息例如包括正式证书和认证证书。 其中， 该证 书响应消息例如可以用认证证书对应的私钥进行签名。
其中， 若认证证书不是直接由网络运营商根证书签发， 则上述证书响应 消息还携带的信息还包括网络运营商的中间证书。
其中， 当 VNF已经预配置了网络运营商根证书的情况下， 则上述证书响应 消息中不用再携带网络运营商根证书， 否则需要携带网络运营商根证书。
805、 VNF用接收到的认证证书验证接收到的证书响应消息， 用网络运营 商根证书验证认证证书。
806、 若验证成功， 则获得网络运营商签发的 VNF正式证书。
例如还可以获得网络运营商的根证书。 其中， 若认证证书不是直接由网 络运营商根证书签发的话， 则 VNF用网络运营商中间证书验证认证证书， 用网 络运营商根证书验证中间证书。
之后， VNF和认证中心之间继续进行剩下的证书确认交互过程。
本发明实施例 VNF或 VNFC利用所述初始信任状信息从认证中心获取 网络运营商签发的正式证书， 从而可以在后续的通信过程中与通信对端建 立安全连接， 提高虚拟网络通信的安全性。
图 9为本发明一实施例提供的虚拟网络管理实体的结构示意图， 如图
9所示， 包括：
获取模块 91， 用于获取虚拟网络功能实体的初始信任状信息； 实例化模块 92，用于在对所述虚拟网络功能实体进行实例化的过程中 或实例化之后， 将所述初始信任状信息安装到所述虚拟网络功能实体中， 以使所述虚拟网络功能实体利用所述初始信任状信息从认证中心获取所 述虚拟网络功能实体的网络运营商签发的正式证书。
可选地， 所述获取模块 91用于： 在接收网络运营管理实体发送的实例 化请求中获取所述实例化请求中包括的所述虚拟网络功能实体的初始信任状 自
可选地， 所述获取模块 91 还用于： 从所述虚拟网络功能包或所述虚 拟网络功能的镜像文件或所述虚拟网络功能的描述器 VNFD 中或所述虚拟 网络功能的实例化数据中获取所述虚拟网络功能实体的初始信任状信息； 所述虚拟网络功能包或所述镜像文件或所述 VNFD 或所述实例化数据 为所述网络运营管理实体在所述虚拟网络管理实体对所述虚拟网络功能 实体进行实例化之前或实例化的过程中发送给所述虚拟网络管理实体，所 述虚拟网络功能包或所述 VNFD 或或所述实例化数据所述镜像文件或所述 实例化数据中包括所述初始信任状信息。
可选地， 所述初始信任状信息包括但不限于证书、 预共享密钥、 令牌 和 /或密码。
可选地， 所述初始信任状信息包括证书时， 所述初始信任状信息中包 括初始证书以及对应的第一私钥；
所述初始证书是所述虚拟网络功能实体的提供商或网络运营商为所 述虚拟网络功能实体所签发， 所述第一私钥为所述初始证书对应的第一公 钥 -私钥对中的私钥。
可选地， 所述初始证书用所述虚拟网络功能实体的提供商的根证书或 中间证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中 间证书是隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发 的证书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
可选地， 所述虚拟网络管理实体包括第一管理实体 NFV0、第二管理实 体 VNFM、 第三管理实体 VIM和第四管理实体 NFVI管理控制单元；
所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。
可选地，所述初始信任状信息由所述第一管理实体 NFV0或所述第二管 理实体 VNFM或所述网络运营管理***为所述虚拟网络功能实体配置的初始 信任状信息。
可选地， 所述初始信任状信息由所述第一管理实体 NFV0发送给所述 第三管理实体 VIM,或者由所述第二管理实体 VNFM经由所述第一管理实体 NFV0发送给所述第三管理实体 VIM , 或者由所述第二管理实体 VNFM发送 给所述第三管理实体 VIM。
可选地，所述初始信任状信息在 VNF实例化过程中或实例化过程之后， 由所述第三管理实体 VIM发送给所述第四管理实体 NFVI管理控制单元， 并由所述第四管理实体 NFVI 管理控制单元通过虚拟机安装于所述虚拟网 络功能实体上。
第四管理实体 NFVI 管理控制单元本实施例所述的虚拟网络管理实体 可以执行上述图 1或图 3-图 7中任一项实施例所述的证书配置方法，具体 技术效果不再赘述。
图 10 为本发明一实施例提供的虚拟网络功能实体的结构示意图， 如 图 10所示， 包括：
第一获取模块 1 1，用于在虚拟网络管理实体对所述虚拟网络功能实体 进行实例化的过程中或实例化之后获取初始信任状信息；
第二获取模块 12，用于利用所述第一获取模块获取的初始信任状信息 从认证中心获取所述虚拟网络功能实体的网络运营商签发的正式证书。
可选地， 所述初始信任状信息包括但不限于证书、 预共享密钥、 令牌 和 /或密码。
可选地， 所述初始信任状信息包括证书时， 所述初始信任状信息中包 括初始证书以及对应的第一私钥；
所述初始证书是所述虚拟网络功能实体的提供商或网络运营商为所 述虚拟网络功能实体所签发， 所述第一私钥为所述初始证书对应的第一公 钥 -私钥对中的私钥。
可选地， 所述初始证书用所述虚拟网络功能实体的提供商的根证书或 中间证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中 间证书是隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发 的证书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
可选地， 所述初始信任状信息携带在所述虚拟网络功能包或所述虚拟 网络功能的镜像文件或所述虚拟网络功能的描述器 VNFD 中或所述虚拟网 络功能的实例化数据中。
可选地， 所述虚拟网络管理实体包括第一管理实体 NFV0、第二管理实 体 VNFM、 第三管理实体 VIM和第四管理实体 NFVI管理控制单元；
所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS ; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。
可选地，所述初始信任状信息还可以为所述第一管理实体 NFV0或所述 第二管理实体 VNFM或网络运营管理实体为所述虚拟网络功能实体配置的初 始信任状信息。
可选地， 所述第二获取模块 12具体包括：
发送单元 121， 用于向所述认证中心发送证书请求消息， 所述证书请 求消息中包括第三公钥和所述初始信任状； 以使所述认证中心使用所述初始 信任状验证接收到的所述证书请求消息； 在验证成功时使用所述网络运营商的 根证书或中间证书对应的私钥对所述第三公钥进行签名， 生成所述网络运营商 签发的正式证书；
接收单元 122， 用于接收所述认证中心发送的证书响应消息， 所述证 书响应消息中包括所述正式证书， 或者所述证书响应消息中还包括所述网 络运营商的根证书；
验证单元 123， 用于验证所述证书响应消息， 并用预置的或者所述证 书响应消息中包括的所述网络运营商的根证书验证所述认证证书；
获取单元 124， 在所述验证单元验证成功时， 获得所述网络运营商签 发的正式证书。
可选地，所述第三公钥为所述虚拟网络功能实体生成或配置的第三公钥- 私钥对中的公钥；
所述证书请求消息用所述初始信任状对应的私钥进行签名；
所述证书响应消息包括认证证书，用所述认证证书对应的私钥进行签名； 可选地， 所述认证证书是所述网络运营商的根证书或中间证书签发的； 若所述认证证书是所述网络运营商的中间证书签发，则所述方法还包括： 所述虚拟网络功能实体使用所述网络运营商的中间证书验证所述认 证证书， 用所述网络运营商的根证书验证所述中间证书。
本实施例所述的虚拟网络功能实体可以执行上述图 2或图 8所示实施 例中所述的证书配置方法， 具体技术效果不再赘述。
图 11 为本发明一实施例提供的一种基于网络功能虚拟化的证书配置 ***的结构示意图， 如图 11所示， 包括： 虚拟网络管理实体 21、 虚拟网 络功能实体 22和认证中心 23 ;
所述虚拟网络管理实体 21为图 9所示实施例中所述的虚拟网络管理 实体；
所述虚拟网络功能实体 22为图 10所示实施例中所述的虚拟网络功能 实体；
所述认证中心 23用于接收所述虚拟网络功能实体发送的证书请求消 息， 所述证书请求消息中包括第三公钥和所述初始信任状； 使用所述初始 信任状验证接收到的所述证书请求消息， 并使用预置的所述虚拟网络功能 实体的提供商或网络运营商的根证书验证所述证书请求消息中包括的初 始信任状， 在验证成功时使用所述网络运营商的根证书或中间证书对应的 私钥对所述第三公钥进行签名， 生成所述网络运营商签发的正式证书； 所 述第三公钥为所述虚拟网络功能实体生成或配置的第三公钥 -私钥对中的 公钥。
举例来说， 本实施例中所述的 NFV***中应用的接口包括：
( 1 )虚拟层和硬件资源之间的接口 VI-Ha: 通过该接口虚拟层可以请 求硬件资源并收集相关的硬件资源状态信息。
( 2 ) VNF和 NFVI之间的接口 Vn-Nf : 描述 NFVI提供给 VNF的执行环境。 ( 3 ) NFV0和 VNFM之间的接口 0r-Vnfm，是 MANO的内部接口，其中， NFVO、 VNFM和 VIM共同组成 MANO , 具体用于：
VNF Manager发送资源相关的请求： 例如资源的授权、 验证、 预留、 分配等， 用作 VNF的生命周期管理；
NFV0发送配置信息给 VNFM, 使得 VNF能够根据 VNF转发图 （forwarding gragh ) 被合理地配置；
收集 VNF的状态信息用作 VNF的生命周期管理。
( 4 ) VIM和 VNFM之间的接口 Vi-Vnfm， 是 MANO的内部接口， 具体用于： VNF Manager发送资源分配请求；
虚拟硬件资源配置以及状态信息 （如事件） 交换。
( 5 ) NFV0和 VIM之间的接口 0r-Vi， 是 NFVO的内部接口， 具体用于： NFV0发送资源预留请求；
NFV0资源分配请求；
虚拟硬件资源配置以及状态信息 （如事件） 交换。
( 6 ) NFVI和 VIM之间的接口 Nf-Vi， 具体用于：
根据资源分配请求进行特定的资源分配；
转发虚拟资源状态信息；
虚拟硬件资源配置以及状态信息 （如事件） 交换。
( 7 ) 0SS/BSS和 NFV0之间的接口 0s-Ma， 具体用于：
请求对 service gragh的生命周期管理；
请求 VNF生命周期管理；
转发 NFV相关的状态信息；
交换策略管理信息；
交换数据分析信息；
转发 NFV相关的计费和使用记录；
交换容量和存货 （inventory ) 信息，
( 8 ) VNF/EMS和 VNFM之间的接口 Ve-Vnfm， 具体用于：
请求 VNF生命周期管理；
交换配置信息；
交换进行业务生命周期管理所必须的状态信息； ( 9 ) Service, VNF and Infrastructure Descript ion禾口 NFVO之间的 接口 Se-Ma: 该接口用来检索与 VNF转发图 （forwarding gragh ) 相关的 信息、 与业务相关的信息、 与 VNF相关的信息， 以及与 NFVI信息模型相关 的信息。 该信息提供给 NFV0使用。
本实施例中所述的 NFV***通过上述接口实现证书配置过程， 具体可 以参考上述图 1-图 8任一项实施例中所述的证书配置过程， 详细内容不再 赘述。
本实施例中所述的 NFV***通过借鉴 IT的虚拟化技术， 在通用的高性 能服务器、 交换机和存储中实现部分网络功能。 进而通过基于行业标准的 X86服务器、 存储和交换设备， 来取代通信网私有专用的网元设备。 本实 施中所述 NFV***中的虚拟网络管理实体和虚拟网络功能实体可以以软件 方式实现， 并能在通用的服务器硬件上运行， 可以根据需要进行迁移、 实 例化、 部署在网络的不同位置， 并且不需要安装新设备， 能够为运营商节 省巨大的投资成本； 同时其开放的 API接口，能帮助网络运营商获得更多、 更灵活的网络能力。
进一歩地， 本实施例所述的 NFV***还可以在对 VNF或 VNFC实例化中或 实例化之后将 VNF初始信任状信息安装到 VNF或 VNFC中， 使得 VNF或 VNFC可 以利用 VNF初始信任状信息从认证中心获取 VNF网络运营商签发的正式证 书， 从而可以在后续的通信过程中与通信对端建立安全连接， 提高虚拟网络 通信的安全性。
图 12为本发明一实施例提供的一种服务器的结构示意图， 如图 12所 示， 包括处理器 31和存储器 32， 所述处理器和存储器通过总线连接， 其 特征在于：
所述存储器 32中保存有实现如图 1所示实施例中所述的基于网络功 能虚拟化的证书配置方法所对应的指令， 所述处理器 32执行如图 1所示 实施例中所述的基于网络功能虚拟化的证书配置方法所对应的指令。
具体可以参考上述图 1或图 3-7中任一项实施例所述的证书配置过程， 详细内容不再赘述。
图 13为本发明一实施例提供的一种服务器的结构示意图， 如图 13所 示， 包括处理器 41和存储器 42， 所述处理器和存储器通过总线连接， 其 特征在于：
所述存储器 42中保存有实现如图 2所示实施例中所述的基于网络功能虚 拟化的证书配置方法所对应的指令，所述处理器 41执行如图 2所示实施例中所 述的基于网络功能虚拟化的证书配置方法所对应的指令。
具体可以参考上述图 2或图 8所示实施例中所述的证书配置过程， 详 细内容不再赘述。
所属领域的技术人员可以清楚地了解到， 为描述的方便和简洁， 上述描 述的***， 装置和单元的具体工作过程， 可以参考前述方法实施例中的对应 过程， 在此不再赘述。
在本申请所提供的几个实施例中， 应该理解到， 所揭露的***， 装置和 方法， 可以通过其它的方式实现。 例如， 以上所描述的装置实施例仅仅是示 意性的， 例如， 所述单元的划分， 仅仅为一种逻辑功能划分， 实际实现时可 以有另外的划分方式， 例如多个单元或组件可以结合或者可以集成到另一个 ***， 或一些特征可以忽略， 或不执行。 另一点， 所显示或讨论的相互之间 的耦合或直接耦合或通信连接可以是通过一些接口， 装置或单元的间接耦合 或通信连接， 可以是电性， 机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的， 作 为单元显示的部件可以是或者也可以不是物理单元， 即可以位于一个地方， 或者也可以分布到多个网络单元上。 可以根据实际的需要选择其中的部分或 者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中， 也可以是各个单元单独物理存在， 也可以两个或两个以上单元集成在一个单 元中。 上述集成的单元既可以采用硬件的形式实现， 也可以采用硬件加软件 功能单元的形式实现。
上述以软件功能单元的形式实现的集成的单元， 可以存储在一个计算机 可读取存储介质中。 上述软件功能单元存储在一个存储介质中， 包括若干指 令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等） 执行本发明各个实施例所述方法的部分歩骤。 而前述的存储介质包括： 移动 硬盘、 只读存储器 （英文： Read-Only Memory, 简称 ROM ) 、 随机存取存储 器 （英文： Random Access Memory , 简称 RAM) 、 磁碟或者光盘等各种可以 存储程序代码的介质。
最后应说明的是： 以上实施例仅用以说明本发明的技术方案， 而非对其 限制； 尽管参照前述实施例对本发明进行了详细的说明， 本领域的普通技术 人员应当理解： 其依然可以对前述各实施例所记载的技术方案进行修改， 或 者对其中部分技术特征进行等同替换； 而这些修改或者替换， 并不使相应技 术方案的本质脱离本发明各实施例技术方案的保护范围。

Claims

权利 要 求 书
1、 一种基于网络功能虚拟化的证书配置方法， 其特征在于， 包括： 虚拟网络管理实体获取虚拟网络功能实体的初始信任状信息； 所述虚拟网络管理实体在对所述虚拟网络功能实体进行实例化的过 程中或实例化之后， 将所述初始信任状信息安装到所述虚拟网络功能实体 中， 以使所述虚拟网络功能实体利用所述初始信任状信息从认证中心获取 所述虚拟网络功能实体的网络运营商签发的正式证书。
2、 根据权利要求 1 所述的方法， 其特征在于， 所述虚拟网络管理实 体获取虚拟网络功能实体的初始信任状信息， 包括：
所述虚拟网络管理实体接收网络运营管理实体发送的实例化请求，所述 实例化请求中包括所述虚拟网络功能实体的初始信任状信息。
3、 根据权利要求 1 所述的方法， 其特征在于， 所述虚拟网络管理实 体获取虚拟网络功能实体的初始信任状信息， 包括：
所述虚拟网络管理实体从所述虚拟网络功能包或所述虚拟网络功能 的镜像文件或所述虚拟网络功能的描述器 VNFD 中或所述虚拟网络功能的 实例化数据中获取所述虚拟网络功能实体的初始信任状信息；
所述虚拟网络功能包或所述镜像文件或所述 VNFD 或所述实例化数据 为所述网络运营管理实体在所述虚拟网络管理实体对所述虚拟网络功能 实体进行实例化之前或实例化的过程中发送给所述虚拟网络管理实体，所 述 VNFD或所述镜像文件中包括所述初始信任状信息。
4、 根据权利要求 1-3任一项所述的方法， 其特征在于： 所述初始信 任状信息包括但不限于证书、 预共享密钥、 令牌和 /或密码。
5、 根据权利要求 4所述的方法， 其特征在于：
所述初始信任状信息包括证书时， 所述初始信任状信息中包括初始证 书以及对应的第一私钥；
所述初始证书是所述虚拟网络功能实体的提供商或网络运营商为所 述虚拟网络功能实体所签发， 所述第一私钥为所述初始证书对应的第一公 钥 -私钥对中的私钥。
6、 根据权利要求 5所述的方法， 其特征在于：
所述初始证书用所述虚拟网络功能实体的提供商的根证书或中间证书 对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中间证书是 隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发的证书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
7、 根据权利要求 1-3任一项所述的方法， 其特征在于， 所述虚拟网 络管理实体包括第一管理实体 NFV0、 第二管理实体 VNFM、 第三管理实体 VIM和第四管理实体 NFVI管理控制单元；
所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。
8、 根据权利要求 7所述的方法， 其特征在于， 所述初始信任状信息 是所述第一管理实体 NFV0或所述第二管理实体 VNFM或所述网络运营管理实 体为所述虚拟网络功能实体配置的。
9、根据权利要求 7所述的方法， 其特征在于， 所述初始信任状信息由 所述第一管理实体 NFV0发送给所述第三管理实体 VIM,或者由所述第二管 理实体 VNFM经由所述第一管理实体 NFV0发送给所述第三管理实体 VIM, 或者由所述第二管理实体 VNFM发送给所述第三管理实体 VIM。
10、 根据权利要求 7所述的方法， 其特征在于， 还包括： 所述初始信 任状信息在 VNF 实例化过程中或实例化过程之后， 由所述第三管理实体 VIM发送给所述第四管理实体 NFVI管理控制单元，并由所述第四管理实体 NFVI管理控制单元通过虚拟机安装于所述虚拟网络功能实体上。
11、 根据权利要求 7所述的方法， 其特征在于， 所述初始信任状信息 由所述第一管理实体 NFV0发送给所述第二管理实体 VNFM, 或者由所述网 络运营管理实体经由 NFV0发送给 VNFM, 或者由网络运营管理实体发送费 V醒。
12、 根据权利要求 11 所述的方法， 其特征在于， 所述初始信任状信 息在 VNF实例化过程中或实例化过程之后， 由所述第二管理实体 VNFM安 装于虚拟网络功能实体上。
13、 一种基于网络功能虚拟化的证书配置方法， 其特征在于， 包括： 虚拟网络功能实体在虚拟网络管理实体对所述虚拟网络功能实体进 行实例化的过程中或实例化之后获取初始信任状信息；
所述虚拟网络功能实体利用所述初始信任状信息从认证中心获取所 述虚拟网络功能实体的网络运营商签发的正式证书。
14、 根据权利要求 13所述的方法， 其特征在于：
所述初始信任状信息包括但不限于证书、 预共享密钥、 令牌和 /或密 码。
15、 根据权利要求 14所述的方法， 其特征在于：
所述初始信任状信息包括证书时， 所述初始信任状信息中包括初始证 书以及对应的第一私钥；
所述初始证书是所述虚拟网络功能实体的提供商或网络运营商为所 述虚拟网络功能实体所签发， 所述第一私钥为所述初始证书对应的第一公 钥 -私钥对中的私钥。
16、 根据权利要求 15所述的方法， 其特征在于：
所述初始证书用所述虚拟网络功能实体的提供商的根证书或中间证书 对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中间证书是 隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发的证书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
17、 根据权利要求 13-15任一项所述的方法， 其特征在于， 所述初始 信任状信息携带在所述虚拟网络功能包或所述虚拟网络功能的镜像文件 或所述虚拟网络功能的描述器 VNFD或所述虚拟网络功能的实例化数据中。
18、 根据权利要求 13所述的方法， 其特征在于， 所述虚拟网络管理 实体包括第一管理实体 NFV0、 第二管理实体 VNFM、 第三管理实体 VIM和 第四管理实体 NFVI管理控制单元； 所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS ; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。
19、 根据权利要求 18任一项所述的方法， 其特征在于：
所述初始信任状信息还可以为所述第一管理实体 NFV0 或所述第二管 理实体 VNFM或所述网络运营管理实体为所述虚拟网络功能实体配置的初始 信任状信息。
20、 根据权利要求 13所述的方法， 其特征在于， 所述虚拟网络功能 实体利用所述初始信任状信息从认证中心获取所述虚拟网络功能实体的 网络运营商签发的正式证书， 包括：
所述虚拟网络功能实体向所述认证中心发送证书请求消息， 所述证书 请求消息中包括第三公钥和所述初始信任状， 以使所述认证中心使用所述初 始信任状验证接收到的所述证书请求消息； 在验证成功时使用所述网络运营商 的根证书或中间证书对应的私钥对所述第三公钥进行签名， 生成所述网络运营 商签发的正式证书；
所述虚拟网络功能实体接收所述认证中心发送的证书响应消息， 所述 证书响应消息中包括所述正式证书， 或者所述证书响应消息中还包括所述 网络运营商的根证书；
所述虚拟网络功能实体验证所述证书响应消息， 在验证成功时， 获得 所述网络运营商签发的正式证书。
21、 根据权利要求 20所述的方法， 其特征在于， 所述第三公钥为所述虚 拟网络功能实体生成或配置的第三公钥 -私钥对中的公钥；
如果所述初始信任状为证书， 所述证书请求消息用所述初始证书对应的 私钥进行签名；
所述证书响应消息包括认证证书，用所述认证证书对应的私钥进行签名；
22、 根据权利要求 21所述的方法， 其特征在于， 所述认证证书是所述网 络运营商的根证书或中间证书签发的；
若所述认证证书是所述网络运营商的中间证书签发，则所述方法还包括: 所述虚拟网络功能实体使用所述网络运营商的中间证书验证所述认证 证书， 用所述网络运营商的根证书验证所述中间证书。
23、 一种虚拟网络管理实体， 其特征在于， 包括：
获取模块， 用于获取虚拟网络功能实体的初始信任状信息； 实例化模块， 用于在对所述虚拟网络功能实体进行实例化的过程中或 实例化之后， 将所述初始信任状信息安装到所述虚拟网络功能实体中， 以 使所述虚拟网络功能实体利用所述初始信任状信息从认证中心获取所述 虚拟网络功能实体的网络运营商签发的正式证书。
24、 根据权利要求 23所述的虚拟网络管理实体， 其特征在于， 所述 获取模块用于： 在接收网络运营管理实体发送的实例化请求中获取所述实例 化请求中包括的所述虚拟网络功能实体的初始信任状信息。
25、 根据权利要求 23所述的虚拟网络管理实体， 其特征在于， 所述 获取模块还用于： 从所述虚拟网络功能包或所述虚拟网络功能的镜像文件 或所述虚拟网络功能的描述器 VNFD 中或所述虚拟网络功能的实例化数据 中获取所述虚拟网络功能实体的初始信任状信息；
所述虚拟网络功能包或所述镜像文件或所述 VNFD 或所述实例化数据 为所述网络运营管理实体在所述虚拟网络管理实体对所述虚拟网络功能 实体进行实例化之前或实例化的过程中发送给所述虚拟网络管理实体，所 述虚拟网络功能包或所述 VNFD 或所述实例化数据所述镜像文件或所述实 例化数据中包括所述初始信任状信息。
26、 根据权利要求 23-25任一项所述的虚拟网络管理实体， 其特征在 于： 所述初始信任状信息包括但不限于证书、 预共享密钥、 令牌和 /或密 码。
27、 根据权利要求 26所述的虚拟网络管理实体， 其特征在于： 所述初始信任状信息包括证书时， 所述初始信任状信息中包括初始证 书以及对应的第一私钥；
所述初始证书是所述虚拟网络功能实体的提供商或网络运营商为所 述虚拟网络功能实体所签发， 所述第一私钥为所述初始证书对应的第一公 钥 -私钥对中的私钥。
28、 根据权利要求 27所述的虚拟网络管理实体， 其特征在于： 所述初始证书用所述虚拟网络功能实体的提供商的根证书或中间证书 对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中间证书是 隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发的证书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
29、 根据权利要求 23-25任一项所述的虚拟网络管理实体， 其特征在 于，所述虚拟网络管理实体包括第一管理实体 NFV0、第二管理实体 VNFM、 第三管理实体 VIM和第四管理实体 NFVI管理控制单元；
所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。
30、 根据权利要求 29所述的虚拟网络管理实体， 其特征在于， 所述 初始信任状信息由所述第一管理实体 NFV0或所述第二管理实体 VNFM或所述 网络运营管理***为所述虚拟网络功能实体配置的初始信任状信息。
31、 根据权利要求 29所述的虚拟网络管理实体， 其特征在于， 所述初 始信任状信息由所述第一管理实体 NFV0发送给所述第三管理实体 VIM,或 者由所述第二管理实体 VNFM经由所述第一管理实体 NFV0发送给所述第三 管理实体 VIM, 或者由所述第二管理实体 VNFM 发送给所述第三管理实体
32、 根据权利要求 29所述的虚拟网络管理实体， 其特征在于， 还包 括： 所述初始信任状信息在 VNF实例化过程中或实例化过程之后， 由所述 第三管理实体 VIM发送给所述第四管理实体 NFVI管理控制单元， 并由所 述第四管理实体 NFVI 管理控制单元通过虚拟机安装于所述虚拟网络功能 实体上。
33、 一种虚拟网络功能实体， 其特征在于， 包括：
第一获取模块， 用于在虚拟网络管理实体对所述虚拟网络功能实体进 行实例化的过程中或实例化之后获取初始信任状信息；
第二获取模块， 用于利用所述第一获取模块获取的初始信任状信息从 认证中心获取所述虚拟网络功能实体的网络运营商签发的正式证书。
34、 根据权利要求 33所述的虚拟网络功能实体， 其特征在于： 所述初始信任状信息包括但不限于证书、 预共享密钥、 令牌和 /或密 码。
35、 根据权利要求 34所述的虚拟网络功能实体， 其特征在于： 所述初始信任状信息包括证书时， 所述初始信任状信息中包括初始证 书以及对应的第一私钥；
所述初始证书是所述虚拟网络功能实体的提供商或网络运营商为所 述虚拟网络功能实体所签发， 所述第一私钥为所述初始证书对应的第一公 钥 -私钥对中的私钥。
36、 根据权利要求 35所述的虚拟网络功能实体， 其特征在于： 所述初始证书用所述虚拟网络功能实体的提供商的根证书或中间证书 对应的私钥进行签名， 其中， 所述虚拟网络功能实体的提供商的中间证书是 隶属于所述虚拟网络功能实体的提供商的根证书的下级子证书签发的证书； 或者
所述初始证书用所述虚拟网络功能实体的网络运营商的根证书或中间 证书对应的私钥进行签名， 其中， 所述虚拟网络功能实体的网络运营商的中 间证书是隶属于所述虚拟网络功能实体的网络运营商的根证书的下级子证书 签发的证书。
37、 根据权利要求 33-35任一项所述的虚拟网络功能实体， 其特征在 于， 所述初始信任状信息携带在所述虚拟网络功能包或所述虚拟网络功能 的镜像文件或所述虚拟网络功能的描述器 VNFD 中或所述虚拟网络功能的 实例化数据中。
38、 根据权利要求 33所述的虚拟网络功能实体， 其特征在于， 所述 虚拟网络管理实体包括第一管理实体 NFV0、 第二管理实体 VNFM、 第三管 理实体 VIM和第四管理实体 NFVI管理控制单元；
所述网络运营管理实体包括运营支撑*** 0SS或网元管理*** EMS ; 所述虚拟网络功能实体包括虚拟网络功能单元 VNF或虚拟网络功能子 单元 VNFC。
39、根据权利要求 38任一项所述的虚拟网络功能实体，其特征在于： 所述初始信任状信息还可以为所述第一管理实体 NFV0 或所述第二管 理实体 VNFM或网络运营管理实体为所述虚拟网络功能实体配置的初始信任 状信息。
40、 根据权利要求 33所述的虚拟网络功能实体， 其特征在于， 所述 第二获取模块具体包括：
发送单元， 用于向所述认证中心发送证书请求消息， 所述证书请求消 息中包括第三公钥和所述初始信任状；以使所述认证中心使用所述初始信任状 验证接收到的所述证书请求消息； 在验证成功时使用所述网络运营商的根证书 或中间证书对应的私钥对所述第三公钥进行签名，生成所述网络运营商签发的 正式证书；
接收单元， 用于接收所述认证中心发送的证书响应消息， 所述证书响 应消息中包括所述正式证书， 或者所述证书响应消息中还包括所述网络运 营商的根证书；
验证单元， 用于验证所述证书响应消息， 并用预置的或者所述证书响 应消息中包括的所述网络运营商的根证书验证所述认证证书；
获取单元， 在所述验证单元验证成功时， 获得所述网络运营商签发的 正式证书。
41、 根据权利要求 40所述的虚拟网络功能实体， 其特征在于， 所述第三 公钥为所述虚拟网络功能实体生成或配置的第三公钥 -私钥对中的公钥；
所述证书请求消息用所述初始信任状对应的私钥进行签名；
所述证书响应消息包括认证证书，用所述认证证书对应的私钥进行签名；
42、 根据权利要求 41所述的虚拟网络功能实体， 其特征在于， 所述认证 证书是所述网络运营商的根证书或中间证书签发的；
若所述认证证书是所述网络运营商的中间证书签发，则所述方法还包括: 所述虚拟网络功能实体使用所述网络运营商的中间证书验证所述认 证证书， 用所述网络运营商的根证书验证所述中间证书。
43、 一种基于网络功能虚拟化的证书配置***， 其特征在于， 包括： 虚拟网络功能实体、 虚拟网络管理实体和认证中心；
所述虚拟网络管理实体为如权利要求 23-32任一项所述的虚拟网络管 理实体；
所述虚拟网络功能实体为如权利要求 33-42任一项所述的虚拟网络功 能实体；
所述认证中心用于接收所述虚拟网络功能实体发送的证书请求消息， 所述证书请求消息中包括第三公钥和所述初始信任状； 使用所述初始信任状 验证接收到的所述证书请求消息； 在验证成功时使用所述网络运营商的根证书 或中间证书对应的私钥对所述第三公钥进行签名，生成所述网络运营商签发的 正式证书； 所述第三公钥为所述虚拟网络功能实体生成或配置的第三公钥 -私钥对中的公钥。
44、 一种服务器， 包括处理器和存储器， 所述处理器和存储器通过总 线连接， 其特征在于：
所述存储器中保存有实现如权利要求 1-12任一项所述的基于网络功 能虚拟化的证书配置方法所对应的指令，所述处理器执行如权利要求 1-12 任一项所述的基于网络功能虚拟化的证书配置方法所对应的指令。
45、 一种服务器， 包括处理器和存储器， 所述处理器和存储器通过总 线连接， 其特征在于：
所述存储器中保存有实现如权利要求 13-22任一项所述的基于网络功 能虚拟化的证书配置方法所对应的指令， 所述处理器执行如权利要求 13-22任一项所述的基于网络功能虚拟化的证书配置方法所对应的指令。
PCT/CN2014/074142 2014-03-26 2014-03-26 基于网络功能虚拟化的证书配置方法、装置和*** WO2015143651A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP14886935.7A EP3107246B1 (en) 2014-03-26 2014-03-26 Network function virtualization-based certificate configuration
CN201480001778.2A CN105122738B (zh) 2014-03-26 2014-03-26 基于网络功能虚拟化的证书配置方法、装置和***
PCT/CN2014/074142 WO2015143651A1 (zh) 2014-03-26 2014-03-26 基于网络功能虚拟化的证书配置方法、装置和***
US15/274,220 US10205719B2 (en) 2014-03-26 2016-09-23 Network function virtualization-based certificate configuration method, apparatus, and system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2014/074142 WO2015143651A1 (zh) 2014-03-26 2014-03-26 基于网络功能虚拟化的证书配置方法、装置和***

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/274,220 Continuation US10205719B2 (en) 2014-03-26 2016-09-23 Network function virtualization-based certificate configuration method, apparatus, and system

Publications (1)

Publication Number Publication Date
WO2015143651A1 true WO2015143651A1 (zh) 2015-10-01

Family

ID=54193892

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/074142 WO2015143651A1 (zh) 2014-03-26 2014-03-26 基于网络功能虚拟化的证书配置方法、装置和***

Country Status (4)

Country Link
US (1) US10205719B2 (zh)
EP (1) EP3107246B1 (zh)
CN (1) CN105122738B (zh)
WO (1) WO2015143651A1 (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018047399A1 (en) * 2016-09-08 2018-03-15 Nec Corporation Network function virtualization system and verifying method
WO2018118418A1 (en) * 2016-12-19 2018-06-28 Arris Enterprises Llc Secure provisioning of unique time-limited certificates to virtual application instances in dynamic and elastic systems
CN109905252A (zh) * 2017-12-07 2019-06-18 华为技术有限公司 建立虚拟网络功能实例的方法和装置
CN113037782A (zh) * 2021-05-20 2021-06-25 中兴通讯股份有限公司 证书获取方法和***、电子设备、计算机可读存储介质
US11070541B2 (en) 2015-10-21 2021-07-20 Huawei Technologies Co., Ltd. Certificate management method and apparatus in network functions virtualization architecture
US11258766B2 (en) * 2017-02-07 2022-02-22 Nec Corporation VNF package signing system and VNF package signing method
US20230007474A1 (en) * 2021-07-02 2023-01-05 Commscope Technologies Llc Systems and methods for secure virtualized base station orchestration

Families Citing this family (41)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9578664B1 (en) 2013-02-07 2017-02-21 Sprint Communications Company L.P. Trusted signaling in 3GPP interfaces in a network function virtualization wireless communication system
US11271948B2 (en) 2017-05-22 2022-03-08 Amdocs Development Limited System, method, and computer program for verifying virtual network function (VNF) package and/or network service definition integrity
WO2015168913A1 (zh) 2014-05-08 2015-11-12 华为技术有限公司 一种证书获取方法和设备
US9979602B1 (en) * 2014-08-25 2018-05-22 Cisco Technology, Inc. Network function virtualization infrastructure pod in a network environment
CN106797323B (zh) * 2014-09-25 2021-04-30 苹果公司 网络功能虚拟化
EP3238057A1 (en) * 2014-12-24 2017-11-01 Koninklijke KPN N.V. Method for controlling on-demand service provisioning
WO2016154917A1 (zh) 2015-03-31 2016-10-06 华为技术有限公司 一种管理虚拟网络功能的方法和装置
US9578008B2 (en) * 2015-05-11 2017-02-21 Intel Corporation Technologies for secure bootstrapping of virtual network functions
WO2016183799A1 (zh) * 2015-05-19 2016-11-24 华为技术有限公司 一种硬件加速方法以及相关设备
US9686240B1 (en) 2015-07-07 2017-06-20 Sprint Communications Company L.P. IPv6 to IPv4 data packet migration in a trusted security zone
CN107925864B (zh) 2015-07-27 2021-02-05 苹果公司 虚拟移动性管理实体管理
US9749294B1 (en) * 2015-09-08 2017-08-29 Sprint Communications Company L.P. System and method of establishing trusted operability between networks in a network functions virtualization environment
US10542115B1 (en) 2015-10-01 2020-01-21 Sprint Communications Company L.P. Securing communications in a network function virtualization (NFV) core network
US10348517B2 (en) * 2015-10-09 2019-07-09 Openet Telecom Ltd. System and method for enabling service lifecycle based policy, licensing, and charging in a network function virtualization ecosystem
US9811686B1 (en) 2015-10-09 2017-11-07 Sprint Communications Company L.P. Support systems interactions with virtual network functions in a trusted security zone
US9781016B1 (en) 2015-11-02 2017-10-03 Sprint Communications Company L.P. Dynamic addition of network function services
US11122039B2 (en) * 2015-12-23 2021-09-14 Comptel Oy Network management
CN108701278B (zh) 2015-12-28 2023-01-10 皇家Kpn公司 用于经由第二运营商网络向连接到第一运营商网络的用户设备提供服务的方法
CN106998560A (zh) * 2016-01-25 2017-08-01 中兴通讯股份有限公司 一种虚拟化网络功能的管理方法、网络设备及***
CN112256343B (zh) * 2016-05-10 2022-05-10 华为技术有限公司 一种软件加载方法、设备及***
US10250498B1 (en) 2016-10-03 2019-04-02 Sprint Communications Company L.P. Session aggregator brokering of data stream communication
US11252048B2 (en) * 2016-10-05 2022-02-15 Convida Wireless, Llc Capability exposure for service instantiation
US10318723B1 (en) * 2016-11-29 2019-06-11 Sprint Communications Company L.P. Hardware-trusted network-on-chip (NOC) and system-on-chip (SOC) network function virtualization (NFV) data communications
WO2018169291A1 (ko) * 2017-03-13 2018-09-20 성균관대학교 산학협력단 네트워크 보안 기능에 대한 등록 인터페이스 정보 모델
US9980144B1 (en) * 2017-04-13 2018-05-22 Sprint Communications Company L.P. Hardware-trusted wireless data communications over a wireless relay
US10348488B1 (en) 2017-08-25 2019-07-09 Sprint Communications Company L.P. Tiered distributed ledger technology (DLT) in a network function virtualization (NFV) core network
US11496322B2 (en) 2018-05-21 2022-11-08 Entrust, Inc. Identity management for software components using one-time use credential and dynamically created identity credential
CN111443985A (zh) * 2019-01-17 2020-07-24 华为技术有限公司 实例化虚拟网络功能的方法及设备
CN111865598B (zh) * 2019-04-28 2022-05-10 华为技术有限公司 网络功能服务的身份校验方法及相关装置
WO2021008716A1 (en) * 2019-07-17 2021-01-21 Telefonaktiebolaget Lm Ericsson (Publ) Technique for certificate handling in a core network domain
CN112350980B (zh) * 2019-08-09 2023-06-06 中兴通讯股份有限公司 一种软件包传输、传输验证方法、网络设备及存储介质
US11663298B2 (en) * 2019-12-11 2023-05-30 At&T Intellectual Property I, L.P. Managing enterprise software licenses for virtual network functions
US11522721B2 (en) * 2020-04-07 2022-12-06 Verizon Patent And Licensing Inc. System and method for establishing dynamic trust credentials for network functions
US11870768B1 (en) 2020-04-10 2024-01-09 Cisco Technology, Inc. Certificate-based techniques to securely onboard a radio interface unit
US20210377054A1 (en) * 2020-05-26 2021-12-02 Verizon Patent And Licensing Inc. Systems and methods for managing public key infrastructure certificates for components of a network
CN112491812B (zh) 2020-07-08 2022-03-01 支付宝(杭州)信息技术有限公司 区块链一体机的哈希更新方法及装置
CN113971289A (zh) * 2020-07-08 2022-01-25 支付宝(杭州)信息技术有限公司 区块链一体机的可信启动方法及装置
US11436127B1 (en) * 2020-09-10 2022-09-06 Cisco Technology, Inc. Automated validation and authentication of software modules
US11575684B2 (en) 2020-09-22 2023-02-07 Bank Of America Corporation System for secure resource allocation communication with a network
US11847205B1 (en) 2020-10-26 2023-12-19 T-Mobile Innovations Llc Trusted 5G network function virtualization of virtual network function elements embedded on a system-on-chip
WO2022259024A1 (en) * 2021-06-09 2022-12-15 Telefonaktiebolaget Lm Ericsson (Publ) Proxy certificate management for nfv environment (pcs)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101227376A (zh) * 2008-02-04 2008-07-23 杭州华三通信技术有限公司 一种虚拟专用网多实例安全接入的方法及设备
EP1975830A1 (en) * 2007-03-30 2008-10-01 British Telecommunications Public Limited Company Distributed computer system
CN103580980A (zh) * 2012-07-24 2014-02-12 中兴通讯股份有限公司 虚拟网络自动发现和自动配置的方法及其装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120054486A1 (en) * 2010-08-31 2012-03-01 MindTree Limited Securing A Virtual Environment And Virtual Machines
CN103379010B (zh) 2012-04-20 2018-09-21 中兴通讯股份有限公司 一种虚拟网络实现方法及***
US8583920B1 (en) * 2012-04-25 2013-11-12 Citrix Systems, Inc. Secure administration of virtual machines
DE102012215167A1 (de) * 2012-08-27 2014-02-27 Siemens Aktiengesellschaft Authentifizierung eines ersten Gerätes durch eine Vermittlungsstelle
US8863255B2 (en) * 2012-09-14 2014-10-14 Netflix, Inc. Security credential deployment in cloud environment
US10664297B2 (en) * 2014-02-24 2020-05-26 Hewlett Packard Enterprise Development Lp Activating pre-created VNFCs when a monitored performance level of a VNF exceeds a maximum value attainable by the combined VNFCs that form a VNF

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1975830A1 (en) * 2007-03-30 2008-10-01 British Telecommunications Public Limited Company Distributed computer system
CN101227376A (zh) * 2008-02-04 2008-07-23 杭州华三通信技术有限公司 一种虚拟专用网多实例安全接入的方法及设备
CN103580980A (zh) * 2012-07-24 2014-02-12 中兴通讯股份有限公司 虚拟网络自动发现和自动配置的方法及其装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3107246A4 *

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11070541B2 (en) 2015-10-21 2021-07-20 Huawei Technologies Co., Ltd. Certificate management method and apparatus in network functions virtualization architecture
CN109691009B (zh) * 2016-09-08 2022-04-29 日本电气株式会社 网络功能虚拟化***和验证方法
CN109691009A (zh) * 2016-09-08 2019-04-26 日本电气株式会社 网络功能虚拟化***和验证方法
WO2018047399A1 (en) * 2016-09-08 2018-03-15 Nec Corporation Network function virtualization system and verifying method
JP2019526993A (ja) * 2016-09-08 2019-09-19 日本電気株式会社 ネットワーク機能仮想化システム及び検証方法
US11463267B2 (en) 2016-09-08 2022-10-04 Nec Corporation Network function virtualization system and verifying method
WO2018118418A1 (en) * 2016-12-19 2018-06-28 Arris Enterprises Llc Secure provisioning of unique time-limited certificates to virtual application instances in dynamic and elastic systems
US10432407B2 (en) 2016-12-19 2019-10-01 Arris Enterprises Llc Secure provisioning of unique time-limited certificates to virtual application instances in dynamic and elastic systems
US11258766B2 (en) * 2017-02-07 2022-02-22 Nec Corporation VNF package signing system and VNF package signing method
CN109905252A (zh) * 2017-12-07 2019-06-18 华为技术有限公司 建立虚拟网络功能实例的方法和装置
CN109905252B (zh) * 2017-12-07 2022-06-07 华为技术有限公司 建立虚拟网络功能实例的方法和装置
US11487867B2 (en) 2017-12-07 2022-11-01 Huawei Technologies Co., Ltd. Method and apparatus for creating virtualized network function instance
CN113037782A (zh) * 2021-05-20 2021-06-25 中兴通讯股份有限公司 证书获取方法和***、电子设备、计算机可读存储介质
US20230007474A1 (en) * 2021-07-02 2023-01-05 Commscope Technologies Llc Systems and methods for secure virtualized base station orchestration
US12010510B2 (en) * 2021-07-02 2024-06-11 Commscope Technologies Llc Systems and methods for secure virtualized base station orchestration

Also Published As

Publication number Publication date
US10205719B2 (en) 2019-02-12
EP3107246A1 (en) 2016-12-21
EP3107246B1 (en) 2019-05-22
EP3107246A4 (en) 2017-04-12
CN105122738B (zh) 2018-06-15
CN105122738A (zh) 2015-12-02
US20170012968A1 (en) 2017-01-12

Similar Documents

Publication Publication Date Title
WO2015143651A1 (zh) 基于网络功能虚拟化的证书配置方法、装置和***
US11695757B2 (en) Fast smart card login
US10122703B2 (en) Federated full domain logon
US9509692B2 (en) Secured access to resources using a proxy
JP6311196B2 (ja) 証明書取得方法およびデバイス
US20150358313A1 (en) Systems and methods for secured communication hardware security module and network-enabled devices
US10382213B1 (en) Certificate registration
WO2015168914A1 (zh) 一种证书获取方法和设备
EP3288235A1 (en) System and apparatus for enforcing a service level agreement (sla) in a cloud environment using digital signatures
US11032708B2 (en) Securing public WLAN hotspot network access
CN110121857B (zh) 一种凭据分发的方法和设备
KR20160084728A (ko) 원격 클라우드 관리 서비스 시스템 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14886935

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2014886935

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2014886935

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE