[發(fā)明專利]容器集群訪問權(quán)限的控制方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202010171726.7
• 申請日: 2020-03-12
• 公開（公告）號: CN111404923B
• 公開（公告）日: 2022-07-19
• 發(fā)明（設(shè)計）人: 趙琦
• 申請（專利權(quán)）人: 北京金山云網(wǎng)絡(luò)技術(shù)有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L12/46
• 代理公司: 北京博遵律師事務(wù)所 11761
• 代理人: 馬佑平

本發(fā)明公開了一種容器集群訪問權(quán)限的控制方法及系統(tǒng)。其中，方法包括：密鑰管理模塊獲取用戶的用戶信息和用戶可訪問服務(wù)接口的列表，每隔預(yù)定時間將用戶信息和列表發(fā)送至認(rèn)證模塊，獲取認(rèn)證模塊基于用戶信息和列表生成的臨時訪問密鑰，將臨時訪問密鑰保存至用戶的Kubernetes集群中，用戶的Kubernetes集群處于用戶的VPC網(wǎng)絡(luò)環(huán)境中；在用戶的Kubernetes集群接收到資源操作請求時，將臨時訪問密鑰添加至資源操作請求中，并將包含有臨時訪問密鑰的資源操作請求發(fā)送至資源管理系統(tǒng)；資源管理系統(tǒng)與用戶的Kubernetes集群處于不同的VPC網(wǎng)絡(luò)環(huán)境。本實施例中，處于用戶的VPC網(wǎng)絡(luò)環(huán)境的Kubernetes集群有訪問權(quán)限，可根據(jù)該訪問權(quán)限與資源管理系統(tǒng)交互，同時還可實現(xiàn)防止非法用戶獲取到用戶的訪問權(quán)限。

技術(shù)領(lǐng)域

本發(fā)明涉及通信技術(shù)領(lǐng)域，更具體地，涉及一種容器集群訪問權(quán)限的控制方法及一種容器集群訪問權(quán)限的控制系統(tǒng)。

背景技術(shù)

云計算是一種按使用量付費的商業(yè)模式。這種模式為用戶提供便捷、按需的網(wǎng)絡(luò)訪問和可配置的資源池(包括計算、存儲及網(wǎng)絡(luò)資源)，用戶部署在資源池上的應(yīng)用系統(tǒng)能夠根據(jù)需要獲取計算力、存儲空間和信息服務(wù)。

Kubernetes集群作為一種容器管理工具，包括主節(jié)點和分別與主節(jié)點通信連接的多個計算節(jié)點，其中，主節(jié)點用于管理和控制多個計算節(jié)點。

在云計算服務(wù)模式下，為了實現(xiàn)不同用戶之間的隔離，用戶創(chuàng)建的Kubernetes集群通常運行在用戶的VPC(Virtual Private Cloud，虛擬私有云)網(wǎng)絡(luò)環(huán)境內(nèi)，而用戶的VPC網(wǎng)絡(luò)環(huán)境中的Kubernetes集群中的一些底層服務(wù)，例如Cloud Provider，需要與云計算服務(wù)提供商的其他內(nèi)部系統(tǒng)(例如：資源管理系統(tǒng)OpenAPI)進行交互，以獲取容器和/或計算節(jié)點所需資源。而云計算服務(wù)提供商的其他內(nèi)部系統(tǒng)通常和用戶的Kubernetes集群處于不同的VPC網(wǎng)絡(luò)環(huán)境中。

且現(xiàn)有技術(shù)中，云計算服務(wù)提供商為了保護和控制資源，在每個用戶VPC網(wǎng)絡(luò)環(huán)境內(nèi)的容器引擎向資源管理系統(tǒng)OpenAPI發(fā)送訪問請求時，資源管理系統(tǒng)OpenAPI需要驗證該用戶的每個訪問請求的權(quán)限。因為不同的用戶都需要被資源管理系統(tǒng)OpenAPI驗證身份，因此，有些不法用戶如果在此環(huán)節(jié)設(shè)置非法流程將有可能盜取其他用戶的密鑰。

因此，如何能夠?qū)崿F(xiàn)處于用戶VPC網(wǎng)絡(luò)環(huán)境中的Kubernetes集群能夠與處于不同VPC的資源管理系統(tǒng)OpenAPI交互的同時，實現(xiàn)防止一個不法用戶獲取到用戶的訪問權(quán)限成為亟待解決的技術(shù)問題。

發(fā)明內(nèi)容

本發(fā)明的一個目的是提供一種用于控制容器集群訪問權(quán)限的新技術(shù)方案。

根據(jù)本發(fā)明的第一方面，提供了一種容器集群訪問權(quán)限的控制方法，包括：

密鑰管理模塊獲取用戶的用戶信息和所述用戶可訪問服務(wù)接口的列表；

所述密鑰管理模塊每隔預(yù)定時間將所述用戶信息和所述列表發(fā)送至認(rèn)證模塊；

所述密鑰管理模塊獲取所述認(rèn)證模塊基于所述用戶信息和列表生成的臨時訪問密鑰；

所述密鑰管理模塊將所述臨時訪問密鑰保存至所述用戶的Kubernetes集群中，其中，所述用戶的Kubernetes集群處于所述用戶的虛擬私有云VPC網(wǎng)絡(luò)環(huán)境中；

在所述用戶的Kubernetes集群接收到資源操作請求時，將所述臨時訪問密鑰添加至所述資源操作請求中，并將包含有臨時訪問密鑰的資源操作請求發(fā)送至資源管理系統(tǒng)；其中，所述資源管理系統(tǒng)與所述用戶的Kubernetes集群處于不同的虛擬私有云VPC網(wǎng)絡(luò)環(huán)境。

在一個實施例中，所述密鑰管理模塊獲取所述用戶可訪問服務(wù)接口的列表的步驟，包括：