[發明專利]一種用于k8s環境的docker白名單執行控制方法

有效

• 申請號: 202010310708.2
• 申請日: 2020-04-20
• 公開（公告）號: CN111523111B
• 公開（公告）日: 2023-07-07
• 發明（設計）人: 王曉娜;劉凱;劉秀玲
• 申請（專利權）人: 北京中軟華泰信息技術有限責任公司
• 主分類號: G06F21/51
• 分類號: G06F21/51;G06F9/455
• 代理公司: 北京正華智誠專利代理事務所(普通合伙) 11870
• 代理人: 代維凡

本發明公開了一種用于k8s環境的docker白名單執行控制方法，包括以下步驟：監控k8s系統上docker容器在集群之間的遷移事件，確定遷移前后的主機ID，獲取白名單策略，并將白名單策略上傳至管理中心；通過k8s系統將遷移前主機ID對應的docker容器進行轉移，并將白名單策略發送至遷移后的主機；判斷目標docker容器執行程序是否在白名單中，若是，則允許其運行，否則對其進行攔截，生成審計并上傳至管理中心。本發明使docker內部程序執行控制策略可以隨著docker容器在K8S服務器集群內部遷移而生效，無需用戶再次部署相同的安全策略，提高了用戶工作效率，減少策略配置時間。

技術領域

本發明屬于docker技術領域，具體涉及一種用于k8s環境的docker白名單執行控制方法。

背景技術

在當前云平臺技術迅速發展的環境下,服務器的負載、維護、能耗等問題嚴重影響了云平臺資源的管理效率。Docker的出現提高云平臺資源的管理效率，加快了應用的開發、部署和維護。而K8S集成加速了docker的部署；但是，現有的docker安全策略，如白名單防護策略是針對docker的，是靜態策略，只能應用于具體客戶端的docker不能夠遷移；而當用戶們部署了K8S之后，K8S會根據負載、容錯等機制對docker進行遷移；docker變成了可遷移的之后，對應于這個docker的安全策略還留在原來的計算機終端上，無法進行有效遷移。從而遷移之后的docker失去了白名單防護等安全策略的保護。

發明內容

針對現有技術中的上述不足，本發明提供的一種用于k8s環境的docker白名單執行控制方法解決了現有技術中docker容器遷移時無法對白名單進行轉移的問題。

為了達到上述發明目的，本發明采用的技術方案為：一種用于k8s環境的docker白名單執行控制方法，包括以下步驟：

S1、監控k8s系統上docker容器在集群之間的遷移事件，確定遷移前后的主機ID和docker容器ID；

S2、根據遷移前的主機ID和docker容器ID，獲取白名單策略和docker容器列表，并將白名單策略和docker容器列表上傳至管理中心；

S3、根據遷移后的主機ID和docker容器列表，通過k8s系統將遷移前主機ID對應的docker容器進行轉移，并通過管理中心將遷移docker容器對應的白名單策略發送至遷移后的主機；

S4、通過遷移后主機的控制引擎執行白名單策略，并判斷目標docker容器中執行的程序是否在白名單策略中，若是，則允許程序運行，否則對其進行攔截，生成審計信息，并將審計信息上傳至管理中心。

進一步地，所述步驟S2包括以下分步驟：

S2.1、根據遷移前的主機ID，通過遷移前主機ID對應的服務器的客戶端掃描其已有的docker鏡像，得到docker鏡像ID；

S2.2、掃描docker鏡像中可執行文件，生成包括docker鏡像ID的白名單策略；

S2.3、根據docker容器ID，獲取docker容器列表，并將白名單策略和docker容器列表上傳至管理中心

進一步地，所述步驟S3包括以下分步驟：

S3.1、根據docker容器列表，通過k8s系統將遷移前主機ID對應的docker容器轉移至遷移后主機ID對應的主機；

S3.2、通過管理中心將遷移docker容器對應的白名單策略發送至遷移后主機中客戶端的docker安全策略數據庫中，并通過客戶端將白名單策略發送至遷移后主機的內核層。

進一步地，所述步驟S4包括以下分步驟：