(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210856238.9 (22)申请日 2022.07.21 (71)申请人 国开启科量子技 术 （北京） 有限公司 地址 100193 北京市海淀区西北旺东路10 号院东区5号楼一层108 (72)发明人 高光辉　刘亚龙　王其兵　王林松　 陈柳平　 (51)Int.Cl. H04L 9/08(2006.01) H04L 9/40(2022.01) H04L 12/46(2006.01) (54)发明名称 使用量子密钥对虚拟机数据进行加解密的 方法、 装置、 介质和设备 (57)摘要 本发明提供使用量子密钥对虚拟机数据进 行加解密的方法、 装置、 介质和设备， 其中， 所述 方法包括： 响应于虚拟机从第一计算节点迁移至 第二计算节 点而获取虚拟机的标识； 向第一虚拟 密钥管理机所在的量子密钥分发节点发送用于 获取虚拟 机的数据加密密钥的请求； 接收虚拟机 的数据加密密钥的密文以及用于加密虚拟机的 数据加密密钥的量子密钥的标识； 根据量子密钥 的标识获取量子密钥； 使用量子密钥从虚拟机的 数据加密密钥的密文中解密出虚拟机的数据加 密密钥； 使用解密出的数据加密密钥对来自第二 计算节点的虚拟机的数据进行加密或解密。 本发 明有效地解决了虚拟机在云计算平台中因迁移 而无法使用数据加密密钥对数据进行加解密 的 问题。 权利要求书3页 说明书8页 附图6页 CN 115242384 A 2022.10.25 CN 115242384 A 1.一种使用量子密钥对虚拟机数据进行加解密的方法， 其特 征在于， 所述方法包括： 响应于虚拟机从第一计算节点迁移至第二计算节点而获取 所述虚拟机的标识； 向第一虚拟密钥管理机所在的量子密钥分发节点发送用于获取所述虚拟机的数据加 密密钥的请求， 所述请求包括所述虚拟机的标识； 接收来自所述量子密钥分发节点的针对所述请求的响应， 所述响应包括所述虚拟机的 数据加密密钥的密文以及用于加密所述虚拟机的数据加密密钥的第一虚拟密钥管理机与 第二虚拟密钥管理机之间的量子密钥的标识； 根据所述 量子密钥的标识从第二虚拟密钥管理机的量子密钥池中获取 所述量子密钥； 使用所述量子密钥从所述虚拟机的数据加密密钥的密文中解密出所述虚拟机的数据 加密密钥； 使用解密出的数据加密密钥对来自第二计算节点的所述虚拟机的数据进行加密或解 密， 其中， 第一虚拟密钥管理机被配置为在所述虚拟机位于第 一计算节点 时向所述虚拟机 提供数据加解密服务， 第二虚拟密钥管理机被配置为在所述虚拟机位于第二计算节点时向 所述虚拟机提供 数据加解密服 务。 2.根据权利要求1所述的方法， 其特征在于， 从第 二虚拟密钥管理机的量子密钥池中获 取的量子密钥为所述 量子密钥的密文。 3.根据权利要求2所述的方法， 其特征在于， 在使用所述量子密钥从所述虚拟机的数据 加密密钥的密文中解密出 所述虚拟机的数据加密 密钥之前， 所述方法还 包括： 根据所述量子密钥的标识从第二虚拟密钥管理机所在的量子密钥分发节点的加密卡 中获取所述量子密钥的量子密钥加密 密钥； 使用所述量子密钥的量子密钥加密密钥从所述量子密钥的密文中解密出所述量子密 钥。 4.一种使用量子密钥对虚拟机数据进行加解密的方法， 其特 征在于， 所述方法包括： 接收来自第二虚拟密钥管理机所在的量子密钥分发节点的用于获取虚拟机的数据加 密密钥的请求， 所述请求包括所述虚拟机的标识； 根据所述虚拟机的标识从第一虚拟密钥管理机所在的量子密钥分发节点的加密卡中 获取所述虚拟机的数据加密 密钥； 从第一虚拟密钥管理机的量子密钥池中获取用于加密所述虚拟机的数据加密密钥的 第一虚拟密钥管理机与第二虚拟密钥管理机之间的量子密钥； 使用所述量子密钥将所述虚拟机的数据加密密钥加密成所述虚拟机的数据加密密钥 的密文； 将所述虚拟机的数据加密密钥的密文以及所述量子密钥的标识作为针对所述请求的 响应发送至第二虚拟密钥管理机所在的量子密钥分发节点， 其中， 第一虚拟密钥管理机被配置为在所述虚拟机位于第 一计算节点 时向所述虚拟机 提供数据加解密服务， 第二虚拟密钥管理机被配置为在所述虚拟机位于第二计算节点时向 所述虚拟机提供 数据加解密服 务。 5.根据权利要求4所述的方法， 其特征在于， 从第 一虚拟密钥管理机的量子密钥池中获 取的量子密钥为所述 量子密钥的密文。权　利　要　求　书 1/3 页 2 CN 115242384 A 26.根据权利要求5所述的方法， 其特征在于， 在使用所述量子密钥将所述虚拟机的数据 加密密钥加密成所述虚拟机的数据加密 密钥的密文之前， 所述方法还 包括： 根据所述量子密钥的标识从第一虚拟密钥管理机所在的量子密钥分发节点的加密卡 中获取所述量子密钥的量子密钥加密 密钥； 使用所述量子密钥的量子密钥加密密钥从所述量子密钥的密文中解密出所述量子密 钥。 7.一种使用量子密钥对虚拟机数据进行加解密的装置， 其特 征在于， 所述装置包括： 虚拟机标识获取单元， 被配置为响应于虚拟机从第 一计算节点迁移至第 二计算节点而 获取所述虚拟机的标识； 数据加密密钥请求单元， 被配置为向第 一虚拟密钥管理机所在的量子密钥分发节点发 送用于获取 所述虚拟机的数据加密 密钥的请求， 所述请求包括所述虚拟机的标识； 数据加密密钥 接收单元， 被配置为接收来自所述量子密钥分发节点的针对所述请求的 响应， 所述响应包括所述虚拟机的数据加密密钥的密 文以及用于加密所述虚拟机的数据加 密密钥的第一虚拟密钥管理机与第二虚拟密钥管理机之间的量子密钥的标识； 第一量子密钥获取单元， 被配置为根据所述量子密钥的标识从第 二虚拟密钥管理机的 量子密钥池中获取 所述量子密钥； 数据加密密钥解密单元， 被配置为使用所述量子密钥从所述虚拟机的数据加密密钥的 密文中解密出 所述虚拟机的数据加密 密钥； 虚拟机数据加解密单元， 被配置为使用解密出的数据加密密钥对来自第 二计算节点的 所述虚拟机的数据进行加密或解密， 其中， 第一虚拟密钥管理机被配置为在所述虚拟机位于第 一计算节点 时向所述虚拟机 提供数据加解密服务， 第二虚拟密钥管理机被配置为在所述虚拟机位于第二计算节点时向 所述虚拟机提供 数据加解密服 务。 8.根据权利要求7所述的装置， 其特征在于， 从第 二虚拟密钥管理机的量子密钥池中获 取的量子密钥为所述 量子密钥的密文。 9.根据权利要求8所述的装置， 其特 征在于， 所述装置还 包括： 第一量子密钥加密密钥获取单元， 被配置为根据 所述量子密钥的标识从第 二虚拟密钥 管理机所在的量子密钥分发节点的加密卡中获取 所述量子密钥的量子密钥加密 密钥； 第一量子密钥解密单元， 被配置为使用所述量子密钥的量子密钥加密密钥从所述量子 密钥的密文中解密出 所述量子密钥。 10.一种使用量子密钥对虚拟机数据进行加解密的装置， 其特 征在于， 所述装置包括： 数据加密密钥请求接收单元， 被配置为接收来自第 二虚拟密钥管理机所在的量子密钥 分发节点的用于获取虚拟机的数据加密 密钥的请求， 所述请求包括所述虚拟机的标识； 数据加密密钥获取单元， 被配置为根据所述虚拟机的标识从第 一虚拟密钥管理机所在 的量子密钥分发节点的加密卡中获取 所述虚拟机的数据加密 密钥； 第二量子密钥获取单元， 被配置为从第 一虚拟密钥管理机的量子密钥池中获取用于加 密所述虚拟机的数据加密密钥的第一虚拟密钥管理机与第二虚拟密钥管理机之间的量子 密钥； 数据加密密钥加密单元， 被配置为使用所述量子密钥将所述虚拟机的数据加密密钥加权　利　要　求　书 2/3 页 3 CN 115242384 A 3