[发明专利]用于虚拟机的日志结构化卷加密

摘要

一种用于提供数据的方法、系统和装置。该方法包括从第一虚拟机(VM1)接收用于存储第一数据的第一请求，获得第一数据和授权用户的访问控制列表(ACL)，获得第一数据密钥和第一数据密钥标识符，用所述第一数据密钥对第一数据进行加密，对第一数据密钥和ACL进行加密以生成卷包的blob，存储卷包的blob和加密的第一数据，并且向在ACL上的一个或者多个用户提供第一数据密钥标识符。该方法还包括从第二虚拟机(VM2)接收对于第一数据的快照的第二请求、包括做出该请求的用户的标识，对卷包的blob进行解密，获得第一数据，按照ACL对该用户进行认证和授权，使用第一数据密钥对加密的第一数据进行解密，并且提供解密的第一数据的快照。

主权项

一种由一个或者多个数据处理装置实施的方法，所述方法包括：从第一虚拟机接收第一请求，所述第一请求用于在日志结构化卷中存储数据，并且基于所述第一请求：获得所述数据和被授权访问所述数据的一个或者多个用户的访问控制列表；获得数据密钥，所述数据密钥具有标识所述数据密钥的数据密钥标识符，所述数据密钥标识符与所述数据密钥不同；使用所述一个或者多个数据处理装置、使用卷包密钥对所述数据密钥和所述访问控制列表进行加密以生成卷包的blob；使用所述一个或者多个数据处理装置、使用所述数据密钥对所述数据进行加密以生成加密的数据；在所述日志结构化卷中存储所述卷包的blob和所述加密的数据；以及向在所述访问控制列表上的一个或者多个用户提供所述数据密钥标识符；以及从第二虚拟机接收第二请求，所述第二请求标识所述数据密钥标识符，所述第二请求是用以获得所述数据的快照的请求；以及基于所述第二请求：基于所述数据密钥标识符获得包含所述数据密钥和所述访问控制列表的非卷包的blob；从所述非卷包的blob获得所述数据密钥和所述访问控制列表；以及认证与所述第二请求关联的用户并且按照所述访问控制列表向所述用户授权，并且在确定所述用户被认证和授权时：使用所述一个或者多个数据处理装置、使用所述数据密钥对所述数据进行解密；以及向所述第二虚拟机提供所述数据的快照；确定阈值条件已经出现，其中所述阈值条件与所述数据在所述日志结构化卷上的存储关联并且作为响应；获得由新的数据密钥标识符来标识的新的数据密钥；使用所述数据密钥对所述数据进行解密；使用所述卷包密钥对所述数据密钥和所述访问控制列表进行加密以生成新的卷包的blob；使用所述新的数据密钥对所述数据进行加密以生成加密的数据；在所述日志结构化卷中存储所述新的卷包的blob和所述加密的数据；向在所述访问控制列表上的所述一个或者多个用户提供所述新的数据密钥标识符；以及防止所述数据密钥的后续使用。