[發(fā)明專利]容器集群訪問(wèn)權(quán)限的控制方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 202010171726.7
• 申請(qǐng)日: 2020-03-12
• 公開（公告）號(hào): CN111404923B
• 公開（公告）日: 2022-07-19
• 發(fā)明（設(shè)計(jì)）人: 趙琦
• 申請(qǐng)（專利權(quán)）人: 北京金山云網(wǎng)絡(luò)技術(shù)有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L12/46
• 代理公司: 北京博遵律師事務(wù)所 11761
• 代理人: 馬佑平

1.一種容器集群訪問(wèn)權(quán)限的控制方法，其特征在于，包括：

密鑰管理模塊獲取用戶的用戶信息和所述用戶可訪問(wèn)服務(wù)接口的列表；

所述密鑰管理模塊每隔預(yù)定時(shí)間將所述用戶信息和所述列表發(fā)送至認(rèn)證模塊；

所述密鑰管理模塊獲取所述認(rèn)證模塊基于所述用戶信息和列表生成的臨時(shí)訪問(wèn)密鑰，其中，所述臨時(shí)訪問(wèn)密鑰基于所述認(rèn)證模塊對(duì)資源管理系統(tǒng)的服務(wù)接口進(jìn)行鑒權(quán)認(rèn)證的服務(wù)而獲?。?/p>

所述密鑰管理模塊將所述臨時(shí)訪問(wèn)密鑰保存至所述用戶的Kubernetes集群中，其中，所述用戶的Kubernetes集群處于所述用戶的虛擬私有云VPC網(wǎng)絡(luò)環(huán)境中；

在所述用戶的Kubernetes集群接收到資源操作請(qǐng)求時(shí)，將所述臨時(shí)訪問(wèn)密鑰添加至所述資源操作請(qǐng)求中，并將包含有臨時(shí)訪問(wèn)密鑰的資源操作請(qǐng)求發(fā)送至所述資源管理系統(tǒng)；其中，所述資源管理系統(tǒng)與所述用戶的Kubernetes集群處于不同的虛擬私有云VPC網(wǎng)絡(luò)環(huán)境，

其中，所述密鑰管理模塊獲取所述用戶可訪問(wèn)服務(wù)接口的列表的步驟，包括：

所述密鑰管理模塊獲取用戶的用戶信息，并向容器引擎控制模塊輸出與所述用戶信息匹配的可訪問(wèn)服務(wù)接口的列表；其中，所述容器引擎控制模塊中提供有用于輸入確認(rèn)指令的輸入接口，所述確認(rèn)指令表征所述用戶授權(quán)所述用戶的Kubernetes集群訪問(wèn)所述列表中的服務(wù)接口；以及，

在檢測(cè)到所述容器引擎控制模塊接收到所述輸入接口輸入所述確認(rèn)指令的情況下，獲取所述用戶可訪問(wèn)服務(wù)接口的列表。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述列表中包括的可訪問(wèn)服務(wù)接口為：主機(jī)服務(wù)接口、網(wǎng)絡(luò)服務(wù)接口、存儲(chǔ)服務(wù)接口中的任意一個(gè)。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述密鑰管理模塊將所述臨時(shí)訪問(wèn)密鑰保存至所述用戶的Kubernetes集群中，包括：

密鑰管理模塊將所述臨時(shí)訪問(wèn)密鑰保存至所述用戶的Kubernetes集群的資源對(duì)象中。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述資源對(duì)象為configmap或secrets。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

Kubernetes集群接收所述用戶輸入的資源操作命令，并根據(jù)接收到的所述資源操作命令，生成所述資源操作請(qǐng)求。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

在所述用戶的Kubernetes集群滿足擴(kuò)縮容條件的情況下，所述用戶的Kubernetes集群根據(jù)所述擴(kuò)縮容條件對(duì)應(yīng)的擴(kuò)縮容策略生成所述資源操作請(qǐng)求。

7.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述將包含有臨時(shí)訪問(wèn)密鑰的資源操作請(qǐng)求發(fā)送至資源管理系統(tǒng)，包括：

所述用戶的Kubernetes集群識(shí)別所述資源操作請(qǐng)求的所請(qǐng)求的資源類型；所述資源類型包括計(jì)算資源類、網(wǎng)絡(luò)資源類、存儲(chǔ)資源類；

將包含有臨時(shí)訪問(wèn)密鑰的資源操作請(qǐng)求發(fā)送至資源管理系統(tǒng)的與所述資源類型對(duì)應(yīng)的服務(wù)接口。

8.一種容器集群訪問(wèn)權(quán)限的控制系統(tǒng)，其特征在于，包括：

密鑰管理模塊，用于獲取用戶的用戶信息和所述用戶可訪問(wèn)服務(wù)接口的列表；每隔預(yù)定時(shí)間將所述用戶信息和列表發(fā)送至認(rèn)證模塊；獲取所述認(rèn)證模塊基于所述用戶信息和列表生成的臨時(shí)訪問(wèn)密鑰，其中，所述臨時(shí)訪問(wèn)密鑰基于所述認(rèn)證模塊對(duì)資源管理系統(tǒng)的服務(wù)接口進(jìn)行鑒權(quán)認(rèn)證的服務(wù)而獲取；將所述臨時(shí)訪問(wèn)密鑰保存至所述用戶的Kubernetes集群中，其中，所述用戶的Kubernetes集群處于所述用戶的虛擬私有云VPC網(wǎng)絡(luò)環(huán)境中；

所述用戶的Kubernetes集群，用于在接收到資源操作請(qǐng)求時(shí)，將所述臨時(shí)訪問(wèn)密鑰添加至所述資源操作請(qǐng)求中，并將包含有臨時(shí)訪問(wèn)密鑰的資源操作請(qǐng)求發(fā)送至所述資源管理系統(tǒng)；其中，所述資源管理系統(tǒng)與所述用戶的Kubernetes集群處于不同的虛擬私有云VPC網(wǎng)絡(luò)環(huán)境，

其中，所述密鑰管理模塊，具體用于：

提供用于輸入確認(rèn)指令的指令輸入接口，其中，所述確認(rèn)指令表征所述用戶授權(quán)所述用戶的Kubernetes集群訪問(wèn)所述列表中的服務(wù)接口；

所述密鑰管理模塊在接收到通過(guò)所述指令輸入接口輸入的所述確認(rèn)指令的情況下，獲取用戶的用戶信息和所述用戶可訪問(wèn)服務(wù)接口的列表。