CN108241797A

CN108241797A - 镜像仓库用户权限管理方法、装置、系统及可读存储介质

Info

Publication number: CN108241797A
Application number: CN201810022304.6A
Authority: CN
Inventors: 袁绍
Original assignee: Zhengzhou Yunhai Information Technology Co Ltd
Current assignee: Zhengzhou Yunhai Information Technology Co Ltd
Priority date: 2018-01-10
Filing date: 2018-01-10
Publication date: 2018-07-03

Abstract

本发明公开了一种镜像仓库用户权限管理方法，包括：当用户请求访问镜像时，Docker通过Docker客户端获取用户的身份信息；根据数据库中存储的允许访问列表，通过Token对用户进行身份信息验证；当身份信息验证通过时，通过Docker镜像仓库获取用户的操作信息；其中，操作信息包括镜像名称以及操作类型；通过Docker镜像仓库根据用户对应的权限信息进行操作信息验证；当操作信息验证通过时，通过Docker镜像仓库对操作进行响应。该方法能够简单高效管理仓库镜像。本发明还公开了一种镜像仓库用户权限管理装置、系统及一种计算机可读存储介质，具有上述有益效果。

Description

镜像仓库用户权限管理方法、装置、系统及可读存储介质

技术领域

本发明涉及电子技术领域，特别涉及一种镜像仓库用户权限管理方法、装置、系统及一种计算机可读存储介质。

背景技术

集群就是通过高性能网络或局部网将一组计算机系统互联，形成的具有单一系统映像的高性能、高可扩展性、高性能价格比的计算机集群系统。随着集群系统在科学计算，商业运营等方面的广泛应用，集群系统发挥的作用也越来越重要，逐渐成为上述领域中不可或缺的工具。

Docker主要利用LXC来实现类似VM的功能，从而利用更加节省的硬件资源提供给用户更多的计算资源。容器服务部署速度快，开发、测试更敏捷、可以提高系统利用率，降低资源成本，在集群中使用docker已成大多用户的选择。

但是集群系统节点数量庞大，而且用户在不同的项目中对镜像有着不同的权限要求，权限控制过程复杂繁琐，目前对镜像仓库的用户权限控制十分困难。

因此，如何简单高效管理仓库镜像，是本领域技术人员需要解决的技术问题。

发明内容

本发明的目的是提供一种镜像仓库用户权限管理方法，该方法能够简单高效管理仓库镜像；本发明的另一目的是提供一种镜像仓库用户权限管理装置、系统及一种计算机可读存储介质，具有上述有益效果。

为解决上述技术问题，本发明提供一种镜像仓库用户权限管理方法，包括：

当用户请求访问镜像时，Docker通过Docker客户端获取用户的身份信息；

根据数据库中存储的允许访问列表，通过Token对所述用户进行身份信息验证；

当所述身份信息验证通过时，通过Docker镜像仓库获取所述用户的操作信息；其中，所述操作信息包括镜像名称以及操作类型；

通过所述Docker镜像仓库根据所述用户对应的权限信息进行操作信息验证；

当所述操作信息验证通过时，通过Docker镜像仓库对所述操作进行响应。

其中，所述通过Docker镜像仓库根据所述用户对应的权限信息进行操作信息验证包括：

如果所述身份信息验证通过，通过所述数据库获取所述用户对应的权限信息；

通过所述Docker镜像仓库接收所述权限信息；

通过所述Docker镜像仓库将所述操作信息与所述权限信息对应比对。

其中，所述数据库的管理方法包括：

Docker管理节点接收通过所述Docker客户端获取的镜像操作信息；其中，所述镜像操作信息包括：允许登录的用户信息以及对应的镜像权限信息；

对所述镜像操作信息进行信息整合处理；

将处理后的镜像操作信息存储至Docker管理节点的数据库中。

其中，所述将处理后的镜像操作信息存储至Docker管理节点的数据库中包括：

将所述处理后的镜像操作信息进行加密处理；

将加密处理后的信息存储至Docker管理节点的数据库中。

其中，所述镜像仓库用户权限管理方法还包括：

将所述操作信息对应存储至所述数据库。

其中，所述Docker采用浏览器/服务器的架构模式。

其中，所述Docker客户端包括：web端以及命令端。

本发明公开一种镜像仓库用户权限管理装置，包括：

身份信息获取单元，用于当用户请求访问镜像时，Docker通过Docker客户端获取用户的身份信息；

身份信息验证单元，用于根据数据库中存储的允许访问列表，通过Token对所述用户进行身份信息验证；

操作信息获取单元，用于当所述身份信息验证通过时，通过Docker镜像仓库获取所述用户的操作信息；其中，所述操作信息包括镜像名称以及操作类型；

操作信息验证单元，用于通过所述Docker镜像仓库根据所述用户对应的权限信息进行操作信息验证；

操作响应单元，用于当所述操作信息验证通过时，通过Docker镜像仓库对所述操作进行响应。

本发明公开一种镜像仓库用户权限管理系统，包括：

Docker客户端，用于当用户请求访问镜像时，获取用户的身份信息；

数据库，用于根据存储的允许访问列表，通过Token对所述用户进行身份信息验证；

Docker镜像仓库，用于当所述身份信息验证通过时，获取所述用户的操作信息；其中，所述操作信息包括镜像名称以及操作类型；根据所述用户对应的权限信息进行操作信息验证；当所述操作信息验证通过时，对所述操作进行响应。

本发明公开一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现所述镜像仓库用户权限管理方法的步骤。

本发明所提供的镜像仓库用户权限管理方法通过Docker来对用户权限进行管理，当用户请求访问镜像时，通过Docker客户端获取用户的身份信息；根据数据库中存储的允许访问列表，通过Token对所述用户进行身份信息验证；如果身份信息验证通过，通过所述Docker镜像仓库根据所述用户对应的权限信息进行操作信息验证；如果所述操作信息验证通过，通过Docker镜像仓库对所述操作进行响应。因此，该方法可以通过软件的方式实现计算机集群技术领域集群镜像仓库权限的管理，不需添加任何硬件设备，通过Docker来进行管理相比于其他管理方式更加简单、高效，可以实现分用户、分项目管理用户对镜像仓库的使用权限，使用灵活，简单易用。

本发明还公开了一种镜像仓库用户权限管理装置、系统及一种计算机可读存储介质，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的节点示意图；

图2为本发明实施例提供的镜像仓库用户权限管理方法的流程图；

图3为本发明实施例提供的镜像仓库用户权限管理装置的结构框图；

图4为本发明实施例提供的镜像仓库用户权限管理系统的结构框图。

具体实施方式

本发明的核心是提供一种镜像仓库用户权限管理方法，该方法能够简单高效管理仓库镜像；本发明的另一核心是提供一种镜像仓库用户权限管理装置、系统及一种计算机可读存储介质，具有上述有益效果。

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明提供的镜像仓库用户权限管理方法通过Docker来对用户权限进行管理，Docker中的节点用于具体实现对权限的管理。

节点主要可以分为两类：计算节点以及管理节点。其中，计算节点主要用于与用户实现信息交互，例如接收用户对镜像的操作信息、接收发送的用户权限信息以及向用户返回权限比对结果等，在此对计算节点的数量在此不做限定，可以为一个，也可以为多个。当计算节点为多个时，在此以三个计算节点与一个管理节点为例进行介绍，如图1所示，可以多个计算节点同时接收不同的用户信息，以便于同时对多个用户进行信息交互；也可以由多个计算节点对同一用户的信息进行处理，以加快处理速度。计算节点中具体的功能组件可以包括Docker客户端，本发明主要基于B/S(浏览器/服务器)架构模式，Docker客户端主要指浏览器(web端)，也可以包括命令端等。B/S最大的优点就是可以在任何地方进行操作而不用安装任何专门的软件，只要有一台能上网的电脑就能使用，客户端零安装、零维护。系统的扩展非常容易、大大的减轻了服务器的负担、并增加了交互性，能进行局部实时刷新。在此以web端为例进行介绍，其它均可参照本实施例的介绍。

管理节点主要用于存储参数信息以及进行信息的比对，例如存储允许访问的用户信息以及用户对应的镜像权限信息、对获取的请求访问的用户进行身份验证以及操作验证等。具体地，管理节点中具体的功能组件可以包括数据库以及Docker镜像仓库。另外，Docker客户端还可以通过接收用户的信息为数据库提供信息输入。

镜像仓库用户权限管理方法的流程请参考图2，该方法可以包括：

步骤s100、当用户请求访问镜像时，Docker通过Docker客户端获取用户的身份信息；

当用户通过Docker客户端请求访问镜像时，Docker获取请求登录的用户的身份信息，在此对用户信息包括的具体种类不做限定，可以包括用户ID、登录密码、用户登录设备等信息。

步骤s200、根据数据库中存储的允许访问列表，通过Token对用户进行身份信息验证；

Token验证管理节点数据库用户是否存在，并返回用户信息。Token验证是无状态、可扩展的，基于这种无状态和不存储Session信息，负载均衡器能够将用户信息从一个服务传到其他服务器上。Token能够创建与其它程序共享权限的程序。例如，能将任意一个社交帐号和其它账号(Fackbook或是Twitter)联系起来。当通过服务登录Twitter(我们将这个过程Buffer)时，我们可以将这些Buffer附到Twitter的数据流上。使用Token时，可以提供可选的权限给第三方应用程序。当用户想让另一个应用程序访问它们的数据时，可以通过建立自己的API，得出特殊权限的Token。Token可以实现多平台跨域，支持众多的语言。

通过Token进行身份信息验证时需要根据数据库中预先存储的允许访问列表进行信息比对，其中对用户进行身份验证的代码可以为如下所示，在此仅此下面的代码形式为例进行介绍，其它代码形式均可参照本实施例的介绍。

本发明可以通过web页面创建不同的镜像，赋予不同用户在镜像中不同的权限，其中用户为linux系统用户。通过web页面操作，将用户信息与镜像信息加密存储到数据库中，数据库中存储着用户以及镜像各种信息。

其中，数据库的管理方法可以包括：Docker管理节点接收通过Docker客户端获取的镜像操作信息；对镜像操作信息进行信息整合处理；将处理后的镜像操作信息存储至Docker管理节点的数据库中。其中，镜像操作信息包括：允许登录的用户信息以及对应的镜像权限信息。可以对不同镜像设置不同的镜像权限，比如对于用户甲的权限为：对镜像A有a的权利，对镜像B有b的权利，对镜像C有c的权利，对其它所有镜像均只有d的权利。不同用户权限可以相同，也可以不同，可以根据用户身份进行设置。另外，镜像的权限可以根据用户身份等级来确定，可以设置为三类，比如管理员权限、用户权限以及游客权限；也可以设置为四类，比如管理员权限、一类用户权限、二类用户权限以及游客权限等，具体对镜像权限的设置不做限定。

当Docker客户端需要对接收到的用户信息进行存储，或新建镜像项目时管理操作时，向管理节点发送用户数据和项目数据，发送的用户数据例如：

json{user:"username",password:"****"，"role":"admin"}。

通过管理节点将接受到的参数进行处理，通过管理节点将数据存入数据库中。

步骤s300、如果身份信息验证通过，通过Docker镜像仓库获取用户的操作信息；其中，操作信息包括镜像名称以及操作类型；

在此对身份信息验证失败的情况不做限定，可以在比对失败后向用户返回“无权访问”的信息，用以提示用户，也可以再次进行验证。

身份信息验证通过后用户有权访问镜像，用户可以通过Docker镜像仓库对镜像进行各种操作，比如读、写、下载、分享等操作，Docker镜像仓库获取用户的操作信息。例如，用户A对Push镜像进行读操作，Docker镜像仓库获取的操作信息中镜像名称为Push镜像、操作类型为只读。

步骤s400、通过Docker镜像仓库根据用户对应的权限信息进行操作信息验证；

获取到用户的操作信息后，进行操作信息验证，判断该用户是否有权限继续该操作。具体地，通过Docker镜像仓库根据用户对应的权限信息进行操作信息验证可以包括：如果身份信息验证通过，通过数据库获取用户对应的权限信息；通过Docker镜像仓库接收权限信息；通过Docker镜像仓库将操作信息与权限信息对应比对。

当在数据库中的身份信息验证后得到该用户确为允许访问列表中预先存储的用户，则身份信息验证通过，数据库在验证通过后返回数据库中存储的该用户对应的镜像权限信息，以便于在Docker镜像仓库进行操作信息验证。Docker镜像仓库接收到该用户对应的镜像权限信息后与获取的用户请求操作的镜像信息进行比对，包括比对镜像名称以及对该镜像进行的操作类型等，在此对具体的比对方法不做限定。

步骤s500、如果操作信息验证通过，通过Docker镜像仓库对操作进行响应。

在此对操作信息验证失败的情况不做限定，可以在比对失败后向用户返回“无权执行该操作”的信息，用以提示用户，也可以再次进行验证。

如果操作信息验证通过则操作底层镜像仓库，用户验证成功后向docker镜像仓库操作镜像。

在此对Push镜像进行操作A为例对验证过程进行介绍。将镜像重命名为10.166.14.11:5000/test/test:01(仓库ip:仓库端口/项目名称/镜像名称:镜像tag)。

通过获取到的用户信息，用户甲以及登录设备乙属于允许访问列表，获取用户甲的操作信息，得到对10.166.14.11:5000/test/test:01执行操作A，根据预先存储的用户甲属于管理员级别，可以对所有镜像执行所有操作，对操作信息进行验证发现用户甲可以对10.166.14.11:5000/test/test:01执行操作A，则对仓库进行操作，将数据存于管理节点。

其中，数据库依赖于docker的官方registry镜像。在本发明中，用户还可以通过浏览器直观对用户以及权限进行管控以及查看，对系统管理员维护和集群有着十分重要的作用。

基于上述技术方案，本发明实施例所提供的镜像仓库用户权限管理方法通过Docker来对用户权限进行管理，当用户请求访问镜像时，通过Docker客户端获取用户的身份信息；根据数据库中存储的允许访问列表，通过Token对用户进行身份信息验证；如果身份信息验证通过，通过Docker镜像仓库根据用户对应的权限信息进行操作信息验证；如果操作信息验证通过，通过Docker镜像仓库对操作进行响应。因此，该方法可以通过软件的方式实现计算机集群技术领域集群镜像仓库权限的管理，不需添加任何硬件设备，通过Docker来进行管理相比于其他管理方式更加简单、高效，而且不同用户对不同项目中的镜像可以有不同的权限，可以实现分用户、分项目管理用户对镜像仓库的使用权限，使用灵活，简单易用。

由于存储的数据均为隐私数据，为了增强保密性，优选地，可以将处理后的镜像操作信息进行加密处理；将加密处理后的信息存储至Docker管理节点的数据库中。在此对加密处理的方法不做限定，例如可以通过RSA、DES等算法。

另外，由于数据库中存储的数据量可能较大，还可以将数据压缩后再存储至数据库中，当然，也可以不压缩，在此不做限定。

另外，为了实现全面监控镜像，可以在接收到用户操作后对操作信息进行记录，这里的操作信息不仅可以包括被验证用户权限的用户的操作，还可以包括管理用户对验证过程进行的操作。通过定期查看操作记录，可以清晰了解是否出现异常操作，以便于及时排除异常。

请参考图3，图3为本发明实施例提供的镜像仓库用户权限管理装置的结构框图；该装置可以包括：

身份信息获取单元100，用于当用户请求访问镜像时，Docker通过Docker客户端获取用户的身份信息；

身份信息验证单元200，用于根据数据库中存储的允许访问列表，通过Token对用户进行身份信息验证；

操作信息获取单元300，用于当身份信息验证通过时，通过Docker镜像仓库获取用户的操作信息；其中，操作信息包括镜像名称以及操作类型；

操作信息验证单元400，用于通过Docker镜像仓库根据用户对应的权限信息进行操作信息验证；

操作响应单元500，用于当操作信息验证通过时，通过Docker镜像仓库对操作进行响应。

其中，操作信息验证单元400具体用于如果身份信息验证通过，通过数据库获取用户对应的权限信息；通过Docker镜像仓库接收权限信息；通过Docker镜像仓库将操作信息与权限信息对应比对。

具体地，本发明所提供的镜像仓库用户权限管理装置可参照上述镜像仓库用户权限管理方法的介绍，在此不再赘述。

本发明提供的镜像仓库用户权限管理装置通过Docker对镜像仓库用户权限进行管理相比于其他管理方式更加简单、高效，而且不同用户对不同项目中的镜像可以有不同的权限，可以实现分用户、分项目管理用户对镜像仓库的使用权限，使用灵活，简单易用。

请参考图4，图4为本发明实施例提供的镜像仓库用户权限管理系统的结构框图；该系统可以包括：

Docker客户端600，用于当用户请求访问镜像时，获取用户的身份信息；

数据库700，用于根据存储的允许访问列表，通过Token对用户进行身份信息验证；

Docker镜像仓库800，用于当身份信息验证通过时，获取用户的操作信息；其中，操作信息包括镜像名称以及操作类型；根据用户对应的权限信息进行操作信息验证；当操作信息验证通过时，对操作进行响应。

上面图2所描述的镜像仓库用户权限管理方法中的步骤可以由镜像仓库用户权限管理系统的结构实现。

本发明还提供一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现镜像仓库用户权限管理方法的步骤。

需要说明的是，本申请具体实施方式中的文件共享装置中的各个单元，其工作过程请参考图2对应的具体实施方式，在此不再赘述。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的装置，设备，存储介质和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置，系统，存储介质和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个移动终端中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该产品存储在一个存储介质中，包括若干指令用以使得一台移动终端(可以是手机，或者平板电脑等)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、终端或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本发明所提供的镜像仓库用户权限管理方法、装置、系统及计算机可读存储介质进行了详细介绍。本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims

1.一种镜像仓库用户权限管理方法，其特征在于，包括：

2.如权利要求1所述的镜像仓库用户权限管理方法，其特征在于，所述通过Docker镜像仓库根据所述用户对应的权限信息进行操作信息验证包括：

通过所述Docker镜像仓库接收所述权限信息；

3.如权利要求1所述的镜像仓库用户权限管理方法，其特征在于，所述数据库的管理方法包括：

对所述镜像操作信息进行信息整合处理；

将处理后的镜像操作信息存储至Docker管理节点的数据库中。

4.如权利要求3所述的镜像仓库用户权限管理方法，其特征在于，所述将处理后的镜像操作信息存储至Docker管理节点的数据库中包括：

将所述处理后的镜像操作信息进行加密处理；

将加密处理后的信息存储至Docker管理节点的数据库中。

5.如权利要求1所述的镜像仓库用户权限管理方法，其特征在于，还包括：

将所述操作信息对应存储至所述数据库。

6.如权利要求1所述的镜像仓库用户权限管理方法，其特征在于，所述Docker采用浏览器/服务器的架构模式。

7.如权利要求1所述的镜像仓库用户权限管理方法，其特征在于，所述Docker客户端包括：web端以及命令端。

8.一种镜像仓库用户权限管理装置，其特征在于，包括：

9.一种镜像仓库用户权限管理系统，其特征在于，包括：

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述镜像仓库用户权限管理方法的步骤。