[發明專利]系統初始化方法、基于MAC的訪問控制方法以及相關設備

在審

• 申請號: 202310469694.2
• 申請日: 2023-04-24
• 公開（公告）號: CN116474374A
• 公開（公告）日: 2023-07-25
• 發明（設計）人: 周克陽
• 申請（專利權）人: 深圳云網霧聯科技有限公司
• 主分類號: A63F13/77
• 分類號: A63F13/77;G06F9/455;G06F16/28
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 范友飛

本申請實施例公開了系統初始化方法、基于MAC的訪問控制方法以及相關設備，用于使內核準確運行MAC權限審查功能。本申請實施例方法包括：創建所述容器系統的容器init進程；啟動所述容器init進程，以使得所述容器init進程掛載所述容器系統的容器資源文件，并將所述容器系統的容器策略數據寫入容器策略數據庫，所述容器策略數據基于所述容器資源文件中的容器策略文件確定，所述容器策略數據庫用于對所述容器系統執行MAC強制訪問控制機制校驗。

技術領域

本申請實施例涉及云游戲領域，尤其涉及系統初始化方法、基于MAC的訪問控制方法以及相關設備。

背景技術

對于智能終端設備，通常出廠都是一套硬件安裝單個操作系統，這樣性能足以滿足各大小型應用的正常運行。而在云游戲場景，硬件設備一般是由多個系統級芯片(SOC，system?on?chip)組裝成的陣列服務器。為了最大化利用SOC的資源，通常會依照游戲復雜度，針對單個SOC進行系統虛擬化。這樣單個SOC的每個系統中都可以運行游戲，可以讓多個用戶同時并行使用。

基于容器技術實現的虛擬化，即通過共享內核和裝載不同的用戶文件系統來實現。強制訪問控制(MAC，mandatory?access?control)權限審查功能是通過內核進行，但在實現了虛擬化的硬件設備中，由于內核環境的共享，內核的MAC權限審查功能會規則混淆而失效。也就是說，內核無法區分虛擬系統(或者說容器系統)以及宿主系統，也無法區別策略數據庫中虛擬系統以及宿主系統分別對應的規則，也就無法實現針對虛擬系統或宿主系統的MAC權限審查。

因此，亟需一種可以在實現了虛擬化的硬件設備中，允許內核準確運行MAC權限審查功能的方法。

發明內容

本申請實施例提供了系統初始化方法、基于MAC的訪問控制方法以及相關設備，用于使內核準確運行MAC權限審查功能。

本申請實施例第一方面提供一種系統初始化方法，應用于計算機設備，所述計算機設備部署宿主系統以及容器系統，所述宿主系統存在對應的宿主策略數據庫，所述方法包括：

創建所述容器系統的容器init進程；

啟動所述容器init進程，以使得所述容器init進程掛載所述容器系統的容器資源文件，并將所述容器系統的容器策略數據寫入容器策略數據庫，所述容器策略數據基于所述容器資源文件中的容器策略文件確定，所述容器策略數據庫用于對所述容器系統執行MAC強制訪問控制機制校驗。

在一種具體實現方式中，所述創建所述容器系統的容器init進程，包括：

所述宿主系統創建所述容器系統的容器init進程。

在一種具體實現方式中，所述宿主系統創建所述容器系統的容器init進程，包括：

所述宿主系統創建所述容器管理程序；

啟動所述容器管理程序，以使得所述容器管理程序創建所述容器系統的容器init進程。

在一種具體實現方式中，在所述啟動所述容器init進程之前，所述方法還包括：

將所述容器init進程的訪問權限修改為內核態權限，以使得所述容器init進程訪問所述宿主系統的內核空間，所述容器策略數據庫以及所述宿主策略數據庫存儲于所述內核空間。

在一種具體實現方式中，所述宿主系統的內核空間包括所述宿主策略數據庫，以及預先構建的至少一個空白策略數據庫，所述容器init進程將所述容器系統的容器策略數據寫入容器策略數據庫，包括：

從預先構建的至少一個空白策略數據庫中，確定所述容器策略數據庫；

將所述容器系統的容器策略數據寫入所述容器策略數據庫。

在一種具體實現方式中，在確定所述容器策略數據庫之前，所述方法還包括：