CN108985086B - 应用程序权限控制方法、装置及电子设备 - Google Patents

Abstract

本发明提供了一种应用程序权限控制方法、装置及电子设备，涉及权限控制的技术领域，该方法包括读取并解析沙箱的运行参数和应用程序权限配置的元数据；根据运行参数初始化沙箱并创建沙箱进程；根据元数据创建命名空间进程；根据元数据在命名空间中创建临时文件系统；在命名空间中，根据临时文件系统创建应用程序进程并启动应用程序。本发明实施例通过读取并解析沙箱的运行参数和应用程序权限配置的元数据，初始化沙箱并创建沙箱进程、命名空间进程、临时文件系统、应用程序进程并启动应用程序，为应用程序运行构建一套上下文运行环境。

Description

应用程序权限控制方法、装置及电子设备

技术领域

本发明涉及权限控制技术领域，尤其是涉及一种应用程序权限控制方法、装置及电子设备。

背景技术

基于容器技术实现的应用程序权限控制的原理主要是综合使用当前Linux主流的容器技术，为每个应用程序构建各自独立的虚拟运行环境，通过资源隔离、资源限制、资源配额等策略对应用程序的权限进行控制。其中，最主要的是基于Linux容器的虚拟化技术，其原理主要是通过隔离操作系统内核对象来实现安全性的隔离。通过运用命名空间和访问控制等技术，可以将原来的系统全局对象隔离到完全不同的命名空间中。其中，不同虚拟机之间是完全不可见的，且不能访问到命名空间之外的对象，全局对象在每个容器内本地化。

Chroot(Change Root，改变根目录)工具可以修改进程的根目录，创建一个与宿主系统隔离的新的文件系统环境，实现应用程序权限控制。系统经过chroot之后执行的程序访问到的根目录及文件将不再是旧系统根目录，而是新的指定的根目录。当应用程序的根目录改变之后，它不能访问新的根目录之外的文件，实现文件的隔离访问。然而，chroot只是创建了一个文件访问隔离容器，该容器无法隔离诸如用户权能、系统调用、进程、网络接口等资源，没有为应用程序提供上下文运行环境。

针对上述现有技术中应用程序权限控制方法没有为应用程序提供上下文运行环境的问题，目前尚未提出有效解决方案。

发明内容

有鉴于此，本发明的目的在于提供一种应用程序权限控制方法、装置及电子设备，为应用程序运行构建一套上下文运行环境。

第一方面，本发明实施例提供了一种应用程序权限控制方法，包括：读取并解析沙箱的运行参数和应用程序权限配置的元数据；根据运行参数初始化沙箱并创建沙箱进程；根据元数据创建命名空间进程；根据元数据在命名空间中创建临时文件系统；在命名空间中，根据临时文件系统创建应用程序进程并启动应用程序。

结合第一方面，本发明实施例提供了第一方面的第一种可能的实施方式，其中，方法还包括：退出应用程序，销毁沙箱。

结合第一方面的第一种可能的实施方式，本发明实施例提供了第一方面的第二种可能的实施方式，其中，退出应用程序，销毁沙箱的步骤，包括：退出应用程序，并结束应用程序进程；结束命名空间进程以及沙箱进程。

结合第一方面，本发明实施例提供了第一方面的第三种可能的实施方式，其中，沙箱进程用于存储命名空间进程的运行信息，并检测命名空间进程的运行状态；命名空间进程用于存储应用程序进程的运行信息，并检测应用程序进程的运行状态。

结合第一方面，本发明实施例提供了第一方面的第四种可能的实施方式，其中，根据运行参数初始化沙箱并创建沙箱进程的步骤，包括：根据运行参数设置沙箱环境的设置参数；通过沙箱后端工具设置沙箱环境所需的权能；创建沙箱进程。

结合第一方面，本发明实施例提供了第一方面的第五种可能的实施方式，其中，根据元数据在命名空间中创建临时文件系统的步骤，包括：在命名空间中创建根目录；在根目录创建第一子目录，并挂载主机系统文件到第一子目录；在根目录创建第二子目录，根据元数据挂载持久化层、应用程序文件系统和所需的主机系统文件；所需的主机系统文件为根据元数据从主机系统文件中确定的；卸载第一子目录。

结合第一方面，本发明实施例提供了第一方面的第六种可能的实施方式，其中，根据临时文件系统创建应用程序进程并启动应用程序的步骤，包括：根据元数据配置过滤系统调用并设置环境变量；创建应用程序进程并启动应用程序。

第二方面，本发明实施例还提供一种应用程序权限控制装置，包括：设置模块，用于读取并解析沙箱的运行参数和应用程序权限配置的元数据；沙箱模块，用于根据运行参数初始化沙箱并创建沙箱进程；命名空间模块，用于根据元数据创建命名空间进程；临时文件系统模块，用于根据元数据在命名空间中创建临时文件系统；应用程序模块，用于在命名空间中，根据临时文件系统创建应用程序进程并启动应用程序。

第三方面，本发明实施例还提供一种电子设备，包括存储器、处理器，存储器中存储有可在处理器上运行的计算机程序，处理器执行计算机程序时实现第一方面及其各可能的实施方式之一提供的方法的步骤。

第四方面，本发明实施例还提供一种具有处理器可执行的非易失的程序代码的计算机可读介质，程序代码使处理器执行第一方面及其各可能的实施方式之一提供的方法。

本发明实施例带来了以下有益效果：

本发明实施例提供的应用程序权限控制方法、装置及电子设备，通过读取并解析沙箱的运行参数和应用程序权限配置的元数据，初始化沙箱并创建沙箱进程、命名空间进程、临时文件系统、应用程序进程并启动应用程序，为应用程序运行构建一套上下文运行环境。

本公开的其他特征和优点将在随后的说明书中阐述，或者，部分特征和优点可以从说明书推知或毫无疑义地确定，或者通过实施本公开的上述技术即可得知。

为使本公开的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种应用程序权限控制方法的流程图；

图2为本发明实施例提供的一种临时文件系统创建方法的流程图；

图3为本发明实施例提供的另一种应用程序权限控制方法的流程图；

图4为本发明实施例提供的一种应用程序权限控制装置的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

目前Linux主流的容器技术为每个应用程序构建各自独立的虚拟运行环境，通过资源隔离、资源限制、资源配额等策略对应用程序的权限进行控制。其中，最主要的是基于Linux容器的虚拟化技术，这种虚拟化技术的原理是通过隔离操作系统内核对象来实现安全性的隔离。通过运用命名空间和访问控制等技术，可以将原来的系统全局对象隔离到完全不同的命名空间中。其中，不同虚拟机之间是完全不可见的，且不能访问到命名空间之外的对象，全局对象在每个容器内本地化。

Chroot工具可以修改进程的根目录，创建一个与宿主系统隔离的新的文件系统环境，实现应用程序权限控制。系统经过chroot之后执行的程序访问到的根目录及文件将不再是旧系统根目录，而是新的指定的根目录。当应用程序的根目录改变之后，它不能访问新的根目录之外的文件，从而实现文件的隔离访问。然而，chroot只是创建了一个文件访问隔离容器，该容器没有为应用程序提供上下文运行环境。基于此，本发明实施例提供的一种应用程序权限控制方法、装置及电子设备，为应用程序运行构建一套上下文运行环境。

为便于对本实施例进行理解，首先对本发明实施例所公开的一种应用程序权限控制方法进行详细介绍。

实施例1

本发明实施例提供了一种应用程序权限控制方法，参见图1所示的一种应用程序权限控制方法的流程图，包括如下步骤：

步骤S102，读取并解析沙箱的运行参数和应用程序权限配置的元数据。

沙箱，是指使用Linux容器技术为应用程序运行构建一个虚拟且独立的运行环境，该运行环境应该具备基本的资源隔离能力，包括文件系统、进程、设备等。运行参数是指配置沙箱环境所需的参数。应用程序指的是需要在沙箱环境中运行的应用程序。权限是指应用程序需要相应的权限才可以调用系统的资源额功能。沙箱中应用程序权限通过配置元数据来存储和实现，元数据是描述数据的数据，对数据及信息资源的描述性信息，用于提供某种资源的有关信息的结构数据。

步骤S104，根据运行参数初始化沙箱并创建沙箱进程。

初始化沙箱需要设置沙箱环境的设置参数和沙箱环境所需的权能，例如，可以按照以下步骤执行：

(1)根据运行参数设置沙箱环境的设置参数。

沙箱环境的设置参数包括：环境变量、systemd日志、x11/wayland/xauth、pulseaudio、dbus系统总线和会话总线的socket代理和过滤器、用户字体、cgroup执行单元等。沙箱环境的设置参数的具体数值根据运行参数决定。

(2)通过沙箱后端工具设置沙箱环境所需的权能。

沙箱后端工具指的是特权工具助手，仅授予沙箱后端工具进程所需的权能。并在成功初始化沙箱环境后放弃所有超级权限权能。所需的权能包括setuid权能和CAPSYSADMIN权能。

(3)创建沙箱进程。

完成沙箱环境的设置并配置沙箱环境所需的权能并创建沙箱进程

步骤S106，根据元数据创建命名空间进程。

命名空间是Linux内核提供的一种针对系统资源进行隔离和虚拟化的方案，包括六种子命名空间：用户和用户组(user)、进程ID(pid)、文件系统挂载点(mnt)、网络设备、协议栈、端口等(net)、主机名和NIS域名(uts)和System VIPC,POSIX消息队列等内部进程通讯(ipc)。基于命名空间技术可以提供了一个基本的隔离层，使得每一个应用在它们自己的命名空间中运行而不会访问到外部资源。群组控制(Cgroups)是Linux内核提供的一种可以限制、记录、隔离进程组所使用的物理资源的机制，用于实现对系统资源的配额和度量。具体包括进程组资源数量限制、进程组优先级控制、进程组资源统计、进程组隔离和进程控制等主要功能。

根据读取并解析的元数据，可以配置应用程序权限，并在沙箱环境中创建命名空间，创建命名空间进程。这个命名空间进程是user/pid/net/ipc/uts/cgroup命名空间进程。

步骤S108，根据元数据在命名空间中创建临时文件系统。

文件系统是命名文件及放置文件的逻辑存储和恢复的系统，文件被放置进根目录或子目录中。创建临时文件系统主机系统文件挂在到目录中，参见图2所示的一种临时文件系统创建方法的流程图，包括如下步骤：

步骤S202，在命名空间中创建根目录。

根目录用来挂载主机系统文件，创建临时文件系统。

步骤S204，在根目录创建第一子目录，并挂载主机系统文件到第一子目录。

第一子目录首先挂载主机的系统文件，根据应用程序的权限配置进行绑定挂载。

步骤S206，在根目录创建第二子目录，根据元数据挂载持久化层、应用程序文件系统和所需的主机系统文件。

所需的主机系统文件为根据元数据从主机系统文件中确定的，根据应用程序的权限配置绑定挂载，应用程序的权限通过元数据配置。所需的主机系统文件包括/usr、/lib、/lib32、/lib64、/bin、/sbin、/root、/etc、/opt目录。

步骤S208，卸载第一子目录。

在完成挂载完所需的主机系统文件后，写在第一子目录，以节省系统资源和空间容量。

步骤S110，在命名空间中，根据临时文件系统创建应用程序进程并启动应用程序。

应用程序进程根据临时文件系统创建，并且需要配置过滤系统调用，例如：可以按照以下步骤执行：

(1)根据元数据配置过滤系统调用并设置环境变量。

系统调用是应用程序从用户态陷入内核态的唯一途径，过滤系统调用能够防止应用程序的一些恶意行为，是增强沙箱安全性的一种策略。过滤规则为Seccomp BPF过滤规则。环境变量包括PWD和HOME等。

(2)创建应用程序进程并启动应用程序。

本发明实施例提供的上述方法，通过读取并解析沙箱的运行参数和应用程序权限配置的元数据，初始化沙箱并创建沙箱进程、命名空间进程、临时文件系统、应用程序进程并启动应用程序，为应用程序运行构建一套上下文运行环境。

为节约系统资源，在应用程序退出后会销毁沙箱环境，上述方法还包括：退出应用程序，销毁沙箱。其中，退出应用程序，还需要结束进程，例如：可以按照以下步骤执行：

(1)退出应用程序，并结束应用程序进程；

应用程序退出后，结束对应的应用程序进程。

(2)结束命名空间进程以及沙箱进程。

应用程序进程的运行信息和运行状态被命名空间进程存储和检测，命名空间进程的运行信息和运行状态被沙箱进程存储和检测。当应用程序进程结束后，命名空间进程检测到应用程序进程运行状态的改变，同时结束命名空间进程；沙箱进程检测到命名空间进程结束后关闭沙箱进程，最终销毁沙箱环境。

本发明实施例提供的上述方法，通过在应用程序退出后结束进程并销毁沙箱，节约了系统的资源，增加了系统的运行速度。

本发明实施例提供的一种应用程序权限控制方法，通过读取并解析沙箱的运行参数和应用程序权限配置的元数据，初始化沙箱并创建沙箱进程、命名空间进程、临时文件系统、应用程序进程并启动应用程序，在应用程序退出后结束进程并销毁沙箱。为应用程序运行构建一套上下文运行环境，节约了系统的资源，增加了系统的运行速度。

实施例2

本发明实施例2提供一种应用程序权限控制方法，参见图3所示的另一种应用程序权限控制方法的流程图，包括如下步骤：

步骤S302，解析运行参数并读取配置元数据。

运行参数是指沙箱运行所需的参数，元数据用来配置应用程序权限。

步骤S304，初始化沙箱环境基本设置。

沙箱环境基本设置通过上述运行参数设置，在完成上述初始化后，创建沙箱进程。

步骤S306，启动沙箱特权助手工具并设置基本权能。

沙箱特权助手是沙箱后端工具，基本权能为setuid权能和CAPSYSADMIN权能。

步骤S308，根据权限配置创建命名空间进程。

根据上述元数据配置应用程序权限，并以应用程序权限配置创建命名空间进程。命名空间进程的运行状态被沙箱进程检测。

步骤S310，判断命名空间进程是否退出，如果否，则执行步骤S312；如果是，则结束。

如果命名空间进程未退出，说明需要在命名空间中启动应用程序，创建临时文件系统。

如果命名空间进程退出，说明不需要在命名空间中启动应用程序，则结束。

步骤S312，初始化一个临时文件系统作为根目录。

临时文件系统在命名空间中创建，并且作为根目录。

步骤S314，挂载主机文件系统到/oldroot。

/oldroot是上述根目录的一个子目录，挂载主机文件系统。

步骤S316，联合挂载持久化层、应用程序文件系统和主机文件系统到/newroot。

/newroot是上述根目录的一个子目录，联合挂载挂载持久化层、应用程序文件系统和所需的主机文件系统。所需的主机文件系统由应用程序权限配置，在/oldroot中挂载的机文件系统确定。

步骤S318，卸载/oldroot并将/newroot设置为根目录。

在完成/newroot的联合挂载步骤后，卸载/oldroot并将/newroot设置为根目录。

步骤S320，过滤系统调用并设置一些环境变量。

系统调用包括read、write、exit等，过滤系统调用通过Seccomp BPF过滤规则，环境变量包括PWD、HOME等。

步骤S322，创建一个子进程并启动应用程序。

这个子进程就是应用程序进程。

本发明实施例提供的一种应用程序权限控制方法，通过读取并解析沙箱的运行参数和应用程序权限配置的元数据，初始化沙箱并创建沙箱进程、命名空间进程、临时文件系统并启动应用程序。为应用程序的启动运行构建一套上下文运行环境。

实施例3

本发明实施例3提供一种应用程序权限控制装置，参见图4所示的一种应用程序权限控制装置的结构示意图，包括：设置模块41、沙箱模块42、命名空间模块43、临时文件系统模块44，应用程序模块45，上述各模块的功能如下：

设置模块41，用于读取并解析沙箱的运行参数和应用程序权限配置的元数据；

沙箱模块42，用于根据运行参数初始化沙箱并创建沙箱进程；

命名空间模块43，用于根据元数据创建命名空间进程；

临时文件系统模块44，用于根据元数据在命名空间中创建临时文件系统；

应用程序模块45，用于在命名空间中，根据临时文件系统创建应用程序进程并启动应用程序。

本发明实施例提供的应用程序权限控制装置，与上述实施例提供的应用程序权限控制方法具有相同的技术特征，所以也能解决相同的技术问题，达到相同的技术效果。

本发明实施例还提供了一种电子设备，包括存储器、处理器，存储器中存储有可在处理器上运行的计算机程序，处理器执行计算机程序时实现上述实施例提供的方法的步骤。

本发明实施例还提供了一种机器可读存储介质，一种具有处理器可执行的非易失的程序代码的计算机可读介质，程序代码使处理器执行上述实施例提供的方法。

本发明实施例所提供的进行应用程序权限控制方法的计算机程序产品，包括存储了处理器可执行的非易失的程序代码的计算机可读存储介质，所述程序代码包括的指令可用于执行前面方法实施例中所述的方法，具体实现可参见方法实施例，在此不再赘述。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可执行的非易失的计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (9)

1.一种应用程序权限控制方法，其特征在于，包括：

读取并解析沙箱的运行参数和应用程序权限配置的元数据；

根据所述运行参数初始化所述沙箱并创建沙箱进程；

根据所述元数据创建命名空间进程；

根据所述元数据在命名空间中创建临时文件系统；

在所述命名空间中，根据所述临时文件系统创建应用程序进程并启动应用程序；

所述根据所述元数据在命名空间中创建临时文件系统的步骤，包括：

在所述命名空间中创建根目录；

在所述根目录创建第一子目录，并挂载主机系统文件到所述第一子目录；

在所述根目录创建第二子目录，根据所述元数据挂载持久化层、应用程序文件系统和所需的主机系统文件；所述所需的主机系统文件为根据所述元数据从所述主机系统文件中确定的；

卸载所述第一子目录。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

退出所述应用程序，销毁所述沙箱。

3.根据权利要求2所述的方法，其特征在于，所述退出所述应用程序，销毁所述沙箱的步骤，包括：

退出所述应用程序，并结束所述应用程序进程；

结束所述命名空间进程以及所述沙箱进程。

4.根据权利要求1所述的方法，其特征在于，所述沙箱进程用于存储所述命名空间进程的运行信息，并检测所述命名空间进程的运行状态；

所述命名空间进程用于存储所述应用程序进程的运行信息，并检测所述应用程序进程的运行状态。

5.根据权利要求1所述的方法，其特征在于，所述根据所述运行参数初始化所述沙箱并创建沙箱进程的步骤，包括：

根据所述运行参数设置沙箱环境的设置参数；

通过沙箱后端工具设置所述沙箱环境所需的权能；

创建沙箱进程。

6.根据权利要求1所述的方法，其特征在于，所述根据所述临时文件系统创建应用程序进程并启动应用程序的步骤，包括：

根据所述元数据配置过滤系统调用并设置环境变量；

创建应用程序进程并启动应用程序。

7.一种应用程序权限控制装置，其特征在于，包括：

设置模块，用于读取并解析沙箱的运行参数和应用程序权限配置的元数据；

沙箱模块，用于根据所述运行参数初始化所述沙箱并创建沙箱进程；

命名空间模块，用于根据所述元数据创建命名空间进程；

临时文件系统模块，用于根据所述元数据在命名空间中创建临时文件系统；

应用程序模块，用于在所述命名空间中，根据所述临时文件系统创建应用程序进程并启动应用程序；

所述临时文件系统模块还用于：

在所述命名空间中创建根目录；

在所述根目录创建第一子目录，并挂载主机系统文件到所述第一子目录；

在所述根目录创建第二子目录，根据所述元数据挂载持久化层、应用程序文件系统和所需的主机系统文件；所述所需的主机系统文件为根据所述元数据从所述主机系统文件中确定的；

卸载所述第一子目录。

8.一种电子设备，包括存储器、处理器，所述存储器中存储有可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1-6任一项所述的方法的步骤。

9.一种具有处理器可执行的非易失的程序代码的计算机可读介质，其特征在于，所述程序代码使所述处理器执行权利要求1-6任一所述方法。

Images