[發明專利]云管理平臺中微服務應用的網絡安全策略配置方法和系統

有效

• 申請號: 202010789582.1
• 申請日: 2020-08-07
• 公開（公告）號: CN112019522B
• 公開（公告）日: 2022-12-09
• 發明（設計）人: 藍玉杰;劉正偉
• 申請（專利權）人: 蘇州浪潮智能科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 濟南誠智商標專利事務所有限公司 37105
• 代理人: 朱曉熹

1.一種云管理平臺中微服務應用的網絡安全策略配置方法，其特征在于，包括：

實時監聽云管理平臺是否出現創建微服務應用的動作；

當監聽到所述云管理平臺出現創建微服務應用的動作時，根據所述微服務應用是否存在入口組件，為所述微服務應用的組件創建網絡通信規則；其中，所述網絡通信規則僅允許通過所述入口組件向微服務應用的其他組件發起訪問請求；

根據所述網絡通信規則，配置所述微服務應用的網絡安全策略；

所述根據微服務應用是否存在入口組件，為微服務應用的組件創建網絡通信規則的步驟，包括：

當所述微服務應用存在入口組件時，將所述微服務應用中除所述入口組件外的其他組件整合于同一網絡孤島，為所述入口組件開放連通所述網絡孤島的通信端口，其中，所述通信端口用于通過所述入口組件向所述網絡孤島流入數據；或者，

當所述微服務應用不存在入口組件時，將所述微服務應用中所有組件整合于同一網絡孤島，禁止其他微服務應用或組件訪問所述網絡孤島內的組件；

配置微服務應用的網絡安全策略的步驟，包括：

配置所述微服務應用中各組件所在的網絡孤島；以及，

配置所述微服務應用中各組件需要啟用或禁用的通信端口。

2.根據權利要求1所述的微服務應用的網絡安全策略配置方法，其特征在于，在所述根據網絡通信規則，配置微服務應用的網絡安全策略的步驟之后，所述方法還包括：

監聽所述微服務應用中各組件之間的數據流向；

根據所述各組件之間的數據流向，分別規劃所述微服務應用中每一組件的網絡通信規則，其中，所述網絡通信規則用于分別為每一組件劃分網絡孤島和設置通信端口。

3.根據權利要求2所述的微服務應用的網絡安全策略配置方法，其特征在于，在所述根據各組件之間的數據流向，分別規劃所述微服務應用中每一組件的網絡通信規則的步驟之后，所述方法還包括：

判斷規劃的網絡通信規則是否與當前網絡通信規則相同；

若判定所述規劃的網絡通信規則與當前網絡通信規則不同，則推送策略修改請求，其中，所述策略修改請求用于請求策略修改指令；

當接收到所述策略修改指令時，根據所述規劃的網絡通信規則修改所述微服務應用的網絡安全策略。

4.一種微服務應用的網絡安全策略配置系統，其特征在于，包括：

監聽模塊，用于實時監聽云管理平臺是否出現創建微服務應用的動作；

規則創建模塊，用于當所述監聽模塊監聽到所述云管理平臺出現創建微服務應用的動作時，根據所述微服務應用是否存在入口組件，為所述微服務應用的組件創建網絡通信規則；其中，所述網絡通信規則僅允許通過所述入口組件向微服務應用的其他組件發起訪問請求；

安全策略配置模塊，用于根據所述網絡通信規則，配置所述微服務應用的網絡安全策略；

所述規則創建模塊，包括：

組件整合子模塊，用于當所述微服務應用存在入口組件時，將所述微服務應用中除所述入口組件外的其他組件整合于同一網絡孤島；

端口開放子模塊，用于為所述入口組件開放連通所述網絡孤島的通信端口，其中，所述通信端口用于通過所述入口組件向所述網絡孤島流入數據；

所述組件整合子模塊，還用于當所述微服務應用不存在入口組件時，將所述微服務應用中所有組件整合于同一網絡孤島，禁止其他微服務應用或組件訪問所述網絡孤島內的組件；

所述安全策略配置模塊，包括：

孤島配置子模塊，用于配置所述微服務應用中各組件所在的網絡孤島；以及，

端口配置子模塊，用于配置所述微服務應用中各組件需要啟用或禁用的通信端口。

5.根據權利要求4所述的微服務應用的網絡安全策略配置系統，其特征在于，

所述監聽模塊，還用于監聽所述微服務應用中各組件之間的數據流向；

所述規則創建模塊，還用于根據所述各組件之間的數據流向，分別規劃所述微服務應用中每一組件的網絡通信規則，其中，所述網絡通信規則用于分別為每一組件劃分網絡孤島和設置通信端口。

6.根據權利要求5所述的微服務應用的網絡安全策略配置系統，其特征在于，還包括：

規則判斷模塊，用于判斷規劃的網絡通信規則是否與當前網絡通信規則相同；

信息收發模塊，用于當所述規則判斷模塊判定所述規劃的網絡通信規則與當前網絡通信規則不同時，推送策略修改請求；

所述安全策略配置模塊，還用于當所述信息收發模塊接收到策略修改指令時，根據所述規劃的網絡通信規則修改所述微服務應用的網絡安全策略。