[發(fā)明專(zhuān)利]一種應(yīng)用隔離方法、系統(tǒng)、設(shè)備及計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 202010461867.2
• 申請(qǐng)日: 2020-05-27
• 公開(kāi)（公告）號(hào): CN111709014B
• 公開(kāi)（公告）日: 2022-06-07
• 發(fā)明（設(shè)計(jì)）人: 張強(qiáng);劉正偉
• 申請(qǐng)（專(zhuān)利權(quán)）人: 浪潮電子信息產(chǎn)業(yè)股份有限公司
• 主分類(lèi)號(hào): G06F21/50
• 分類(lèi)號(hào): G06F21/50
• 代理公司: 北京集佳知識(shí)產(chǎn)權(quán)代理有限公司 11227
• 代理人: 王雨

1.一種應(yīng)用隔離方法，其特征在于，包括：

確定出Kubernetes中待隔離的目標(biāo)應(yīng)用；

獲取所述目標(biāo)應(yīng)用中各個(gè)組件的隔離策略；

創(chuàng)建與所述目標(biāo)應(yīng)用對(duì)應(yīng)的初始網(wǎng)絡(luò)安全策略；

基于所述隔離策略修改所述初始網(wǎng)絡(luò)安全策略的入棧規(guī)則、出棧規(guī)則和匹配標(biāo)簽，得到目標(biāo)網(wǎng)絡(luò)安全策略；

將所述目標(biāo)網(wǎng)絡(luò)安全策略轉(zhuǎn)換為與所述Kubernetes匹配的Iptables規(guī)則；

基于所述Iptables規(guī)則對(duì)所述目標(biāo)應(yīng)用進(jìn)行隔離；

其中，所述創(chuàng)建與所述目標(biāo)應(yīng)用對(duì)應(yīng)的初始網(wǎng)絡(luò)安全策略，包括：

創(chuàng)建所述初始網(wǎng)絡(luò)安全策略；

將所述初始網(wǎng)絡(luò)安全策略的pod選擇器字段設(shè)置為匹配表達(dá)式的形式；

將所述初始網(wǎng)絡(luò)安全策略的operator值設(shè)為條件運(yùn)算符In；

將所述初始網(wǎng)絡(luò)安全策略的所述匹配標(biāo)簽設(shè)置為所述目標(biāo)應(yīng)用中所有組件的標(biāo)識(shí)的集合；

其中，所述基于所述隔離策略修改所述初始網(wǎng)絡(luò)安全策略的入棧規(guī)則、出棧規(guī)則和匹配標(biāo)簽，包括：

基于所述隔離策略中的被訪問(wèn)策略修改所述入棧規(guī)則；

基于所述隔離策略中的主動(dòng)訪問(wèn)策略修改所述出棧規(guī)則；

將所述匹配標(biāo)簽的值設(shè)置為所述隔離策略中被隔離的組件的標(biāo)識(shí)；

其中，所述被訪問(wèn)策略表征其他組件訪問(wèn)所述目標(biāo)應(yīng)用的組件的策略；所述主動(dòng)訪問(wèn)策略表征所述目標(biāo)應(yīng)用的組件訪問(wèn)其他組件的策略。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述基于所述隔離策略中的被訪問(wèn)策略修改所述入棧規(guī)則，包括：

確定出與所述被訪問(wèn)策略對(duì)應(yīng)的第一組件；

將所述入棧規(guī)則中所述第一組件對(duì)應(yīng)的端口號(hào)修改為所述被訪問(wèn)策略中的對(duì)應(yīng)端口號(hào)；

將所述入棧規(guī)則中所述第一組件對(duì)應(yīng)的網(wǎng)絡(luò)數(shù)據(jù)交換規(guī)則修改為所述被訪問(wèn)策略中的對(duì)應(yīng)網(wǎng)絡(luò)數(shù)據(jù)交換規(guī)則；

將所述入棧規(guī)則中所述第一組件對(duì)應(yīng)的pod選擇器字段修改為matchlabel，將所述matchlabel的值設(shè)置為所述被訪問(wèn)策略中對(duì)應(yīng)的其他組件的標(biāo)識(shí)。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述基于所述隔離策略中的主動(dòng)訪問(wèn)策略修改所述出棧規(guī)則，包括：

確定出與所述主動(dòng)訪問(wèn)策略對(duì)應(yīng)的第二組件；

將所述出棧規(guī)則中所述第二組件對(duì)應(yīng)的端口號(hào)修改為所述主動(dòng)訪問(wèn)策略中的對(duì)應(yīng)端口號(hào)；

將所述出棧規(guī)則中所述第二組件對(duì)應(yīng)的網(wǎng)絡(luò)數(shù)據(jù)交換規(guī)則修改為所述主動(dòng)訪問(wèn)策略中的對(duì)應(yīng)網(wǎng)絡(luò)數(shù)據(jù)交換規(guī)則；

將所述出棧規(guī)則中所述第二組件對(duì)應(yīng)的pod選擇器字段修改為matchlabel，將所述matchlabel的值設(shè)置為所述主動(dòng)訪問(wèn)策略中對(duì)應(yīng)的其他組件的標(biāo)識(shí)。

4.根據(jù)權(quán)利要求1至3任一項(xiàng)所述的方法，其特征在于，所述確定出Kubernetes中待隔離的目標(biāo)應(yīng)用之前，還包括：

在所述Kubernetes中部署calico網(wǎng)絡(luò)插件；

將所述calico網(wǎng)絡(luò)插件中的calico node設(shè)置為以demonest方式運(yùn)行；

將所述calico網(wǎng)絡(luò)插件中的calicocontroller設(shè)置為以無(wú)狀態(tài)負(fù)載方式運(yùn)行。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述組件的標(biāo)識(shí)包括所述組件的標(biāo)簽。