[發明專利]一種容器鏡像倉庫的安全訪問方法及系統

在審

• 申請號: 202011442927.2
• 申請日: 2020-12-08
• 公開（公告）號: CN112667998A
• 公開（公告）日: 2021-04-16
• 發明（設計）人: 涂碧波;李晨
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/64;G06F9/455
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 余功勛

1.一種容器鏡像倉庫的安全訪問方法，其步驟包括：

1)結合一用戶當前的defaultDomain參數與officialRepoName參數，解析該用戶發起的pull/push命令后的參數，查找目標鏡像倉庫，確定鏡像名和標簽，其中所述defaultDomain參數與officialRepoName參數依據所述用戶是否登錄而設定；

2)目標鏡像倉庫依據該用戶的信息，確定用戶的pull/push權限，進行鏡像驗簽或簽名。

2.如權利要求1所述的方法，其特征在于，通過以下策略設置所述defaultDomain參數：

1)將未登錄用戶的defaultDomain參數設置為unknown；

2)將已登錄用戶的defaultDomain參數設置為已登錄的鏡像倉庫地址；

3)已登錄用戶退出登錄后，將defaultDomain參數恢復為unknown。

3.如權利要求2所述的方法，其特征在于，通過以下策略設置officialRepoName參數：

1)將未登錄用戶的officialRepoName參數設置為unknown；

2)將已登錄用戶的officialRepoName參數設置為一可信的基礎鏡像資源池；

3)已登錄用戶退出登錄后，將officialRepoName參數恢復為unknown。

4.如權利要求3所述的方法，其特征在于，通過以下策略結合該用戶當前的defaultDomain參數與officialRepoName參數：

1)當defaultDomain參數與officialRepoName參數為unknown時，判定所述用戶未登錄，停止解析用戶發起的pull/push命令后的參數；

2)當defaultDomain參數為已登錄的鏡像倉庫地址，且officialRepoName參數為基礎鏡像資源池時，判定所述用戶已登錄，解析用戶發起的pull/push命令后的參數。

5.如權利要求1所述的方法，其特征在于，通過以下步驟確定用戶的pull/push權限：

1)維系一個描述用戶信息的pool_user表、一個描述成員角色對項目中鏡像的操作權限的role表與一個每個用戶在不同項目中角色的project_member表；

2)根據用戶的信息，在pool_user表中獲取用戶的id；

3)根據用戶的id，在project_member表中查看成員角色；

4)根據成員角色，在role表中確定用戶的pull/push權限。

6.如權利要求1所述的方法，其特征在于，所述用戶通過以下步驟進行注冊或變更成員角色：

1)系統管理員依據用戶提交的信息，填寫注冊申請或變更角色申請，其中所述注冊申請或變更角色申請中包括一表示角色狀態的狀態位；

2)安全管理員通過所述狀態位，審批所述注冊申請或變更角色申請。

7.如權利要求6所述的方法，其特征在于，所述系統管理員的權限還包括：申請刪除角色、新建項目、刪除任何項目、更改任何項目公私、創建復制目標和創建項目復制策略。

8.如權利要求6所述的方法，其特征在于，將注冊或變更角色的行為日志發送至審計管理員，以監督安全管理員與系統管理員在注冊或變更角色過程中的行為。

9.如權利要求6所述的方法，其特征在于，所述成員角色包括：各項目的項目管理員與開發者；所述項目管理員的權限包括：添加本項目的開發者、刪除本項目的開發者、上傳本項目鏡像、下載本項目鏡像、刪除本項目鏡像和查看本項目日志；所述開發者的權限包括：上傳本項目鏡像、下載本項目鏡像、刪除本項目鏡像和查看本項目日志。

10.一種容器鏡像倉庫的安全訪問系統，包括：

目標鏡像倉庫查找模塊，用以結合一用戶當前的defaultDomain參數與officialRepoName參數，解析該用戶發起的pull/push命令后的參數，查找目標鏡像倉庫，確定鏡像名和標簽，其中所述defaultDomain參數與officialRepoName參數依據所述用戶是否登錄而設定

鏡像驗簽或簽名模塊，用以目標鏡像倉庫依據該用戶的信息，確定用戶的pull/push的權限，進行鏡像驗簽或簽名。