CN105554004B - 一种混合云计算环境中容器服务的认证系统和方法 - Google Patents

Abstract

本发明公开了一种混合云计算环境中容器服务的认证系统和方法，涉及云计算环境中容器集群领域。该方法：判断要访问第三方云计算系统的用户信息是否为属于用户容器注册信息，如果否，则提示用户注册，然后继续下一步；如果是，则容器认证模块验证并查找到与所述用户的容器注册信息存在映射的密钥信息后，向所述第三方云计算系统申请会话令牌；生成与会话令牌存在映射关系的容器会话令牌，保存所述会话令牌与所述容器会话令牌的映射，完成认证。本发明避免额外的向第三方云计算系统提出认证的请求，同时，在保证用户安全和混合云计算环境安全的基础上，为用户使用混合云系统提供了便利性。

Description

一种混合云计算环境中容器服务的认证系统和方法

技术领域

本发明涉及云计算环境中容器集群领域，尤其涉及一种混合云计算环境中容器服务的认证系统和方法。

背景技术

作为新一代云计算核心技术，容器技术已渐渐成为近年国内外云计算企业的发展重点，而与此同时，现有云计算环境的建立大多以虚拟机技术为基础。为了使云计算为企业所用，集成虚拟机云计算技术和容器技术的混合云技术成为云计算技术领域的重要发展方向。

现有的混合云计算环境，用户通过容器资源管理服务申请容器集群资源，而容器集群资源服务向第三方的云资源服务申请云计算资源；而典型的第三方云资源服务如亚马逊云服务AWS或Openstack基础设施服务(IaaS)。

典型的第三方云资源服务都有自己的认证授权系统。一般来说，云资源服务的认证需要处理两个典型场景：用户注册场景和用户认证授权。

用户注册场景的处理流程，简化的步骤为：用户使用匿名申请访问某项云计算资源；计算资源服务拒绝用户的访问，同时将用户导向登录和注册的服务；用户向认证服务发起注册用户的操作，注册用户名和用户的某一种密钥，用户完成注册，然后第三方云资源对注册的用户请求进行认证授权，具体为：资源使用者，即用户，以用户名和密钥登录云服务；云认证服务为资源使用者分配某个会话令牌；资源使用者向云计算资源服务申请云计算资源的同时，携带自己通过认证得到的令牌；云计算资源服务向云认证服务请求验证令牌的合法性；认证服务返回合法结果，则认证成功，完成认证。在认证成功的前提下。云计算资源服务授权资源使用者使用它所申请的资源。

如上所述，在一个传统由虚拟机构成的云计算系统中，云计算资源受到安全认证服务保护的。但是，在现有的混合云计算环境中，用户对容器集群资源的访问和对虚拟机云计算资源的访问，都没有得到安全认证的保护，故用户对容器集群资源的访问和对虚拟机云计算资源的访问不能获得安全保护。

发明内容

本发明的目的在于提供一种混合云计算环境中容器服务的认证系统和方法，从而解决现有技术中存在的前述问题。

为了实现上述目的，本发明所述混合云计算环境中容器服务的认证方法，该方法包括：

S1，判断要访问第三方云计算系统的用户信息是否为属于用户容器注册信息，如果是，则直接进入S3；如果否，则提示用户注册，进入S2；

S2，接收用户填写的容器注册信息并生成用于访问第三方云计算系统的密钥信息，同时建立容器注册信息与所述密钥信息的映射，用户注册成功，进入S3；

S3，容器认证模块验证并查找到与所述用户的容器注册信息存在映射的密钥信息后，向所述第三方云计算系统申请会话令牌；

S4，生成与所述会话令牌存在映射关系的容器会话令牌，保存所述会话令牌与所述容器会话令牌的映射，完成认证。

优选地，步骤S2，具体按照下述步骤实现：

S21，接收并存储用户填写的容器注册信息；

S22，根据所述容器注册信息通过单项映射函数生成并存储所述用户用于访问第三方云计算系统的密钥信息；

S23，以密钥信息向所述第三方云计算系统进行注册，所述第三方云计算系统返回注册成功的消息，完成注册；

建立并存储容器注册信息与所述密钥信息的映射发生在步骤S22至完成注册的任意时间段。

优选地，步骤S3，具体按照下述步骤实现：

S31，验证所述用户的容器注册信息是否合法，如果合法则，进入S32；如果不合法，则提示用户没有访问权限；

S32，容器认证模块获取用户的容器注册信息，查找到与所述用户的容器注册信息存在映射关系的密钥信息；

S33，根据所述密钥信息从所述第三方云计算系统认证并获取会话令牌。

优选地，步骤S4，具体按照下述步骤实现：

判断用户预先选择的是静态容器会话令牌还是动态容器会话令牌；

如果是静态容器会话令牌，则通过不可逆的映射计算函数，以所述会话令牌为基础生成静态容器会话令牌；

如果是动态容器会话令牌，动态容器会话令牌按照下述计算方法获得：

动态容器会话令牌＝F(第三方会话令牌，预备容器会话令牌)，其中，F表示任意一个映射函数；

所述预备容器会话令牌＝H(容器用户信息，会话状态信息，容器认证模块信息)，H表示任意一个不可逆的信息摘要算法。

优选地，所述用户的容器注册信息包括登录容器集群服务管理系统的用户名和密码。

优选地，所述密钥信息包括访问第三方云计算系统的用户名和密码。

优选地，所述会话令牌中包括访问第三方云计算系统的会话期限。

一种混合云计算环境中容器服务的认证系统，所述系统包括：容器用户注册模块、容器认证模块、用户映射模块、会话令牌映射模块、容器用户存储服务模块；

所述容器用户注册模块，接收来自容器集群管理服务器的用户容器注册信息，并将所述用户容器注册信息发送给用户映射模块；

所述用户映射模块，根据收到的用户容器注册信息中包含的用户信息自动生成用于用户访问第三方云计算系统的密钥信息和所述用户容器注册信息到密钥信息的映射；

所述容器认证模块，验证所述用户容器注册信息和获取密钥信息，然后使用所述密钥信息向第三方云计算系统认证，并将认证成功的结果反馈给所述容器用户注册模块，将从第三方云计算系统得到的会话令牌发送会话令牌映射模块；

所述会话令牌映射模块，根据所述会话令牌自动生成相对应的容器会话令牌，及所述会话令牌与所述容器会话令牌的映射；

所述容器用户存储服务，用于存储所述述用户容器注册信息、所述密钥信息、所述用户容器注册信息到密钥信息的映射和所述会话令牌与所述容器会话令牌的映射。

优选地，所述容器认证模块与所述第三方云计算系统的第三方认证服务模块数据通信。

优选地，所述容器用户注册模块和所述容器认证模块均与所述容器集群管理服务模块数据通信连接；所述会话令牌映射模块与容器集群资源服务模块数据通信连接；

所述容器集群资源服务模块与第三方云资源服务数据通信连接。

本发明的有益效果是：

本发明所述系统和方法，用于在集成了容器集群系统和第三方云计算系统的混合云系统中提供注册、认证和授权功能。利用所述系统，在不限定任何一个第三方云计算系统的条件下，用户只需要向本发明的认证系统提出注册和认证请求，避免额外的向第三方云计算系统提出认证的请求，同时，在保证用户安全和混合云计算环境安全的基础上，为用户使用混合云系统提供了便利性。

附图说明

图1是传统混合云系统，当容器集群管理服务申请容器资源，而容器资源又需要申请第三方云资源服务时，两部分的资源申请都是通过无安全保护的方式直接访问；

图2是传统云服务的用户注册和认证授权流程，典型的第三方云计算系统的用户注册和认证授权流程；

图3是本发明所述认证系统在混合云系统的位置；

图4是本发明所述认证系统的结构；

图5是本发明所述认证系统用户注册的流程；

图6是本发明所述认证系统实现用户认证并申请会话令牌的流程；

图7是一个实施例轻元容器认证系统在混合云系统的位置；

图8是一个实施例轻元容器认证系统的组成模块。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施方式仅仅用以解释本发明，并不用于限定本发明。

参照图4，一种混合云计算环境中容器服务的认证方法的认证系统，所述系统包括：容器用户注册模块、容器认证模块、用户映射模块、会话令牌映射模块、容器用户存储服务；

所述容器用户注册模块，接收来自容器集群管理服务器的用户容器注册信息，并将所述用户容器注册信息发送给用户映射模块；

所述用户映射模块，根据收到的用户容器注册信息中包含的用户信息自动生成用于用户访问第三方云计算系统的密钥信息和所述用户容器注册信息到密钥信息的映射；

所述容器认证模块，验证所述用户容器注册信息和获取密钥信息，然后使用所述密钥信息向第三方云计算系统认证，并将认证成功的结果反馈给所述容器用户注册模块，将从第三方云计算系统得到的会话令牌发送会话令牌映射模块；

所述会话令牌映射模块，根据所述会话令牌自动生成相对应的容器会话令牌，及所述会话令牌与所述容器会话令牌的映射；

所述容器用户存储服务，用于存储所述述用户容器注册信息、所述密钥信息、所述用户容器注册信息到密钥信息的映射和所述会话令牌与所述容器会话令牌的映射。

其中，所述容器认证模块与所述第三方云计算系统的第三方认证服务模块数据通信。所述容器用户注册模块和所述容器认证模块均与所述容器集群管理服务模块数据通信连接；所述会话令牌映射模块与容器集群资源服务模块数据通信连接；所述容器集群资源服务模块与第三方云资源服务数据通信连接。

本申请所述混合云计算环境中容器服务的认证系统主要需要在两种用户场景下完成本申请所述方法涉及的处理流程：一是在用户注册容器用户的时候，同时在第三方云计算系统中注册相应的用户，并保存两个用户之间的映射；二是在用户向容器认证服务系统申请容器服务会话令牌的时候，同时在第三方云计算系统中申请会话令牌，参照图5和图6，具体的方法为：

S1，判断要访问第三方云计算系统的用户信息是否为属于用户的容器注册信息，如果是，则直接进入S3；如果否，则提示用户注册，进入S2；

S2，接收用户填写的容器注册信息并生成用于访问第三方云计算系统的密钥信息，同时建立容器注册信息与所述密钥信息的映射，用户注册成功，进入S3；

S3，容器认证模块验证并查找到与所述用户的容器注册信息存在映射的密钥信息后，向所述第三方云计算系统申请会话令牌；

S4，生成与所述会话令牌存在映射关系的容器会话令牌，保存所述会话令牌与所述容器会话令牌的映射，完成认证。

更详细的解释说明：

(一)步骤S2，具体按照下述步骤实现：

S21，接收并存储用户填写的容器注册信息；

S22，根据所述容器注册信息通过单项映射函数生成并存储所述用户用于访问第三方云计算系统的密钥信息；

S23，以密钥信息向所述第三方云计算系统进行注册，所述第三方云计算系统返回注册成功的消息，完成注册。

所述用户的容器注册信息包括登录容器集群服务管理系统的用户名和密钥。所述密钥信息包括访问第三方云计算系统的用户名和密钥。

建立并存储容器注册信息与所述密钥信息的映射发生在步骤S22至完成注册的任意时间段。即：建立并存储容器注册信息与所述密钥信息的映射可以发生在步骤S22、骤S23同时进行或在两步骤之间或在步骤S23之后。

容器注册信息、密钥信息及两者之间的映射都被保护到容器用户存储服务模块中；注意这里保存的用户密码可能不是密钥的原文，而是密码的单项哈希或是其他变体，但这不是本申请所关心的核心部分。如果没有特别声明，本申请所说的用户密钥可能是任何一种的密码变体。

在容器用户注册时，用户的容器注册信息到第三方云计算系统用户名和用户密钥的映射，密钥信息，第三方云计算系统注册，这些部分都保存成功后，则标志整个注册流程的成功。第S21、S22、S23步有任何一步失败，则整个注册流程失败，需要触发重新一次的注册流程。此外第S21、S22、S23步的处理顺序也可能有交换，并不影响本发明的作用。

(二)步骤S3，具体按照下述步骤实现：

S31，所述容器用户注册模块收到容器集群管理服务模块发出的认证请求，验证所述用户的容器注册信息是否合法，如果合法则，进入S32；如果不合法，则提示用户没有访问权限；

步骤S31主要是容器用户注册模块将收到的用户的容器注册信息与容器用户存储服务模块进行对比，如果容器用户存储服务模块存在该容器注册信息，则所述容器注册信息合法；

S32，容器认证模块获取用户的容器注册信息，与用户映射模块信息交互，查找到与所述用户的容器注册信息存在映射关系的密钥信息；

S33，根据所述密钥信息从所述第三方云计算系统认证并获取会话令牌。

利用此会话令牌，在会话合法期间内，可以用此令牌向第三方云计算认证服务申请云计算资源，而不用每次都用户名和用户密钥申请资源。

(三)步骤S4，具体按照下述步骤实现：

判断用户预先选择的是静态容器会话令牌还是动态容器会话令牌；

如果是静态容器会话令牌，则通过不可逆的映射计算函数，以所述会话令牌为基础生成静态容器会话令牌；

如果是动态容器会话令牌，动态容器会话令牌按照下述计算方法获得：

动态容器会话令牌＝F(第三方会话令牌，预备容器会话令牌)，其中，F表示任意一个映射函数；

所述预备容器会话令牌＝H(容器用户信息，会话状态信息，容器认证模块信息)，H表示任意一个不可逆的信息摘要算法，例如MD5或SHA1，SHA2不可逆的信息摘要算法。

所述会话令牌中包括访问第三方云计算系统的会话期限。

会话令牌映射模块将容器会话令牌到第三方云计算会话令牌的映射保存到容器用户存储服务中。这一步骤是否需要，取决于第三方云计算会话令牌是否可以由容器会话令牌直接计算得到；如果可以，则不需要保存映射关系；如果不可以，则需要保存映射关系以便查询。

(四)在步骤S4之后涉及到的是用户访问第三方云计算系统，具体为：

容器用户认证模块向容器集群管理服务返回容器会话令牌。容器集群管理服务需要向容器集群资源服务申请资源时，要附上容器会话令牌。容器集群资源服务利用容器会话令牌，通过与会话令牌映射模块交互，查找得到第三方云计算会话令牌。利用第三方云计算会话令牌，容器集群资源服务可以向第三方云资源服务申请资源。

更具体的一个实施例：

系统环境如图7所示：第三方云计算资源服务为Openstack的计算服务系统Nova服务，第三方云计算认证系统为Openstack的认证服务系统Keystone服务。容器集群管理系统为轻元数据中心管理系统，容器资源服务系统为轻元容器即服务(Container as aService,CaaS)系统。而本发明的实现即为轻元容器认证系统。而轻元容器认证系统的组成模块如图8所示：

容器用户注册服务通过Java和MySQL数据库按照一般同行用户注册服务实现。容器用户认证模块用通行用户名密码认证方式实现。

用户映射模块包含两部分：用户名映射使得Openstack用户名和容器用户名相同；密钥映射使得Openstack密钥通过容器用户密钥的两次MD5哈希计算得到，保证从容器用户密钥可以得到Openstack用户密钥。

会话令牌映射模块采用独立的容器会话令牌计算方法，通过对用户名结合服务器启动时间进行MD5哈希计算得到。由于容器会话令牌的计算的与Openstack会话令牌的计算互相独立，不能互相计算得到，因此将其映射关系保存到容器用户存储服务中。

容器用户存储服务通过内存数据库Redis集群实现。

通过采用本发明公开的上述技术方案，得到了如下有益的效果：

本发明所述系统和方法，用于在集成了容器集群系统和第三方云计算系统的混合云系统中提供注册、认证和授权功能。利用所述系统，在不限定任何一个第三方云计算系统的条件下，用户只需要向本发明的认证系统提出注册和认证请求，避免额外的向第三方云计算系统提出认证的请求，同时，在保证用户安全和混合云计算环境安全的基础上，为用户使用混合云系统提供了便利性。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

Claims (10)

1.一种混合云计算环境中容器服务的认证方法，其特征在于，该方法包括：

S1，容器集群服务管理系统判断要访问第三方云计算系统的用户信息是否为属于用户容器注册信息，如果是，则直接进入S3；如果否，则提示用户注册，进入S2；

S2，容器用户注册模块接收用户填写的容器注册信息并生成用于访问第三方云计算系统的密钥信息，同时建立容器注册信息与所述密钥信息的映射，用户注册成功，进入S3；

S3，容器认证模块验证并查找到与所述用户的容器注册信息存在映射的密钥信息后，向所述第三方云计算系统申请会话令牌；

S4，会话令牌映射模块生成与所述会话令牌存在映射关系的容器会话令牌，保存所述会话令牌与所述容器会话令牌的映射，完成认证。

2.根据权利要求1所述方法，其特征在于，步骤S2，具体按照下述步骤实现：

S21，容器用户注册模块接收用户填写的容器注册信息，容器用户存储服务模块存储用户填写的容器注册信息；

S22，用户映射模块根据所述容器注册信息通过单项映射函数生成所述用户用于访问第三方云计算系统的密钥信息，容器用户存储服务模块存储所述用户用于访问第三方云计算系统的密钥信息；

S23，容器认证模块以密钥信息向所述第三方云计算系统进行注册，所述第三方云计算系统返回注册成功的消息，完成注册；

建立并存储容器注册信息与所述密钥信息的映射发生在步骤S22至完成注册的任意时间段。

3.根据权利要求1所述方法，其特征在于，步骤S3，具体按照下述步骤实现：

S31，验证所述用户的容器注册信息是否合法，如果合法，则进入S32；如果不合法，则提示用户没有访问权限；

S32，容器认证模块获取用户的容器注册信息，查找到与所述用户的容器注册信息存在映射关系的密钥信息；

S33，根据所述密钥信息从所述第三方云计算系统认证并获取会话令牌。

4.根据权利要求1所述方法，其特征在于，步骤S4，具体按照下述步骤实现：

会话令牌映射模块判断用户预先选择的是静态容器会话令牌还是动态容器会话令牌；

如果是静态容器会话令牌，则会话令牌映射模块通过不可逆的映射计算函数，以所述会话令牌为基础生成静态容器会话令牌；

如果是动态容器会话令牌，会话令牌映射模块按照下述计算方法获得动态容器会话令牌：

动态容器会话令牌＝F(第三方会话令牌，预备容器会话令牌)，其中，F表示任意一个映射函数；

所述预备容器会话令牌＝H(容器用户信息，会话状态信息，容器认证模块信息)，H表示任意一个不可逆的信息摘要算法。

5.根据权利要求1所述方法，其特征在于，所述用户的容器注册信息包括登录容器集群服务管理系统的用户名和密码。

6.根据权利要求1所述方法，其特征在于，所述密钥信息包括访问第三方云计算系统的用户名和密码。

7.根据权利要求1所述方法，其特征在于，所述会话令牌中包括访问第三方云计算系统的会话期限。

8.一种实现如权利要求1-7任意一项所述混合云计算环境中容器服务的认证方法的认证系统，其特征在于，所述系统包括：容器用户注册模块、容器认证模块、用户映射模块、会话令牌映射模块、容器用户存储服务模块；

所述容器用户注册模块，接收来自容器集群管理服务器的用户容器注册信息，并将所述用户容器注册信息发送给用户映射模块；

所述用户映射模块，根据收到的用户容器注册信息中包含的用户信息自动生成用于用户访问第三方云计算系统的密钥信息和所述用户容器注册信息到密钥信息的映射；

所述容器认证模块，验证所述用户容器注册信息和获取密钥信息，然后使用所述密钥信息向第三方云计算系统认证，并将认证成功的结果反馈给所述容器用户注册模块，将从第三方云计算系统得到的会话令牌发送会话令牌映射模块；

所述会话令牌映射模块，根据所述会话令牌自动生成相对应的容器会话令牌，及所述会话令牌与所述容器会话令牌的映射；

所述容器用户存储服务模块，用于存储所述述用户容器注册信息、所述密钥信息、所述用户容器注册信息到密钥信息的映射和所述会话令牌与所述容器会话令牌的映射。

9.根据权利要求8所述系统，其特征在于，所述容器认证模块与所述第三方云计算系统的第三方认证服务模块数据通信。

10.根据权利要求8所述系统，其特征在于，所述容器用户注册模块和所述容器认证模块均与所述容器集群管理服务模块数据通信连接；

所述会话令牌映射模块与容器集群资源服务模块数据通信连接；

所述容器集群资源服务模块与第三方云资源服务数据通信连接。