CN109062663A - 镜像分发方法、装置及存储介质 - Google Patents

Abstract

本发明实施例提出一种镜像分发方法、装置及计算机可读存储介质。其中镜像分发方法包括：如果外层镜像仓库接收到用户设备上传的基础镜像，则将所述基础镜像保存到所述外层镜像仓库；从所述外层镜像仓库向所述内层镜像仓库同步所述基础镜像，所述内层镜像仓库包括需要保密的数据；从所述内层镜像仓库向计算集群内的各计算节点分发基础镜像和需要保密的数据，其中，各计算节点被禁止访问所述外层镜像仓库。本发明实施例通过多层镜像仓库的架构设计即保证了外层镜像数据即时单向同步至内部内层镜像仓库，同时内外层镜像隔离性避免了内部敏感数据借由镜像仓库透传外部的问题。

Description

镜像分发方法、装置及存储介质

技术领域

本发明涉及信息技术领域，尤其涉及一种镜像分发方法、装置及计算机可读存储介质。

背景技术

随着云计算时代的到来，公有云提供的基础服务已成为广大互联网及传统企业进行IT(Information Technology，信息技术)系统建设的基石。随着Kubernates及Docker(应用容器引擎)相关容器生态的发展与成熟，通过符合业内镜像标准规范格式的镜像交付，例如Docker镜像格式，部署于容器服务管理平台已成为趋势及行业规范。在现实生产环境中，镜像是用户开发的终点，同时也是服务部署、托管的起点。由于各个业务场景不同，镜像的大小差别也随之不同，较小的单一功能镜像大小可以仅为几百KB，而类似自动驾驶仿真任务训练镜像大小可以达到数十GB的大小。对于深度学习、仿真系统这类离线训练场景下，由于镜像数据敏感且大小较大，同时并行训练场景下可达到数千服务器并发获取训练镜像的规模，因此如何实现安全、高效的镜像分发是一个亟待解决的问题。

目前镜像分发系统中，实现镜像隔离及安全性保证主要基于JWT(JSON WebTokens，JSON网络令牌)认证。现有基于JWT方式的鉴权流程，可以实现镜像服务的多用户隔离及镜像操作鉴权逻辑。但是在公有云生产环境具有敏感数据的场景下，这种实现方式允许用户登录自己的生产节点。由于生产环境需要部署用户镜像，因此传统单层镜像在面向用户端及生产环境部署端对应了相同的后端服务。这种情况下恶意用户可以将生产环境敏感数据制作为镜像通过单层镜像仓库透传到外网，导致敏感数据外泄。

另外，目前镜像分发系统中，实现镜像分发主要有以下方法：

(1)集中式镜像仓库对接分布式存储后端的分发系统。这种镜像分发方法依赖分布式存储系统作为镜像实体数据的存储端，多个同构镜像仓库实例作为服务前端承载流量，镜像仓库实例可实现水平扩容，系统总容量取决于后端分布式存储系统的总容量。系统的峰值分发能力取决于同一镜像数据文件位于的后端存储系统的多个副本所处节点的带宽总和。

上述方案存在的主要问题是，集中式镜像仓库对接分布式存储后端的分发系统的存储瓶颈完全由同一镜像数据文件位于的后端存储系统的多个副本所处节点的带宽总和决定，虽然服务前端的镜像仓库实例可以通过水平扩容的形式承载更多的流量，但是无法改变后端实体数据传输受分布式存储系统节点的带宽限制。

(2)侵入式修改容器管理客户端，使用P2P(Peer-to-Peer，对等网络)分发方式。P2P分发系统是大规模数据分发场景下的一个成熟的技术方案。现有将P2P分发机制引入离线镜像分发系统的方案，主要立足于修改原有系统的客户端，使之使用P2P方式完成相关数据的传输和做种。

在上述方案中，侵入式修改容器管理客户端，由于具有实现的侵入性，无法与现有生产环境兼容，同时这种实现方式是一种非彼即此的选择，选择了P2P分发方式便无法使用原有分发模式，相对缺少灵活性。

发明内容

本发明实施例提供一种镜像分发方法、装置及计算机可读存储介质，以至少解决现有技术中的一个或多个技术问题。

第一方面，本发明实施例提供了一种镜像分发方法，包括：如果外层镜像仓库接收到用户设备上传的基础镜像，则将所述基础镜像保存到所述外层镜像仓库；从所述外层镜像仓库向所述内层镜像仓库同步所述基础镜像，所述内层镜像仓库包括需要保密的数据；从所述内层镜像仓库向计算集群内的各计算节点分发基础镜像和需要保密的数据，其中，各计算节点被禁止访问所述外层镜像仓库。

结合第一方面，本发明实施例在第一方面的第一种实现方式中，还包括：构建外层镜像仓库，所述外层镜像仓库用于通过域名服务承接用户的所述基础镜像的上传及下载功能；构建内层镜像仓库，所述内层镜像仓库用于承接计算集群内部对用户的所述基础镜像和所述需要保密的数据的分发下载源功能；设置安全组，所述安全组用于被禁止所述计算集群内的各个计算节点通过域名服务访问所述外层镜像仓库；构建同步器，所述同步器用于所述外层镜像仓库收到所述用户设备上传的基础镜像的情况下触发向所述内层镜像仓库的同步。

结合第一方面，本发明实施例在第一方面的第二种实现方式中，还包括：允许所述计算集群内的各个计算节点以只读的方式访问所述内层镜像仓库。

结合第一方面，本发明实施例在第一方面的第三种实现方式中，从所述外层镜像仓库向所述内层镜像仓库同步所述基础镜像，包括：在收到用户设备上传的所述基础镜像时，所述外层镜像仓库产生镜像推送事件，以触发所述同步器将上传到所述外层镜像仓库数据的所述基础镜像同步至所述内层镜像仓库。

结合第一方面、第一方面的第一种实现方式、第一方面的第二种实现方式、第一方面的第三种实现方式，本发明实施例在第一方面的第四种实现方式中，还包括：Docker客户端通过代理组件向做种信息查询组件发起镜像数据下载请求；所述代理组件接收所述做种信息查询组件根据所述下载请求获取的下载镜像数据所需要的对等网络节点查询信息；所述代理组件根据所述对等网络节点查询信息下载所述镜像数据。

结合第一方面的第四种实现方式，本发明实施例在第一方面的第五种实现方式中，还包括：所述代理组件根据所述对等网络节点查询信息下载所述镜像数据，包括：所述代理组件从所述对等网络节点查询信息指示的所述对等网络节点下载所述镜像数据；所述代理组件将所述镜像数据返回给所述Docker客户端。

结合第一方面的第四种实现方式或第一方面的第五种实现方式，本发明实施例在第一方面的第六种实现方式中，还包括：当Docker客户端发起镜像元数据下载请求时，所述代理组件将所述Docker客户端的镜像元数据的查询请求转发到镜像仓库，从所述镜像仓库拉取所述Docker客户端请求的所述镜像元数据；和/或，当Docker客户端发起镜像实体数据下载请求时，所述代理组件向所述做种信息查询组件查询下载镜像实体数据所需要的P2P节点查询信息，下载所述镜像数据并在下载过程中进行种子制作，将所述镜像数据返回给所述Docker客户端。

第二方面，本发明实施例提供了一种镜像分发装置，包括：外层存储单元，用于如果外层镜像仓库接收到用户设备上传的基础镜像，则将所述基础镜像保存到所述外层镜像仓库；同步器，用于从所述外层镜像仓库向所述内层镜像仓库同步所述基础镜像，所述内层镜像仓库包括需要保密的数据；分发单元，用于从所述内层镜像仓库向计算集群内的各计算节点分发基础镜像和需要保密的数据；安全控制单元，用于禁止各计算节点访问所述外层镜像仓库。

结合第二方面，本发明实施例在第二方面的第一种实现方式中，还包括：所述外层镜像仓库用于通过域名服务承接用户的所述基础镜像的上传及下载功能；所述内层镜像仓库用于承接计算集群内部对用户的所述基础镜像和所述需要保密的数据的分发下载源功能；所述安全控制单元通过设置安全组禁止所述计算集群内的各个计算节点通过域名服务访问所述外层镜像仓库；所述同步器还用于所述外层镜像仓库收到所述用户设备上传的基础镜像的情况下触发向所述内层镜像仓库的同步。

结合第二方面，本发明实施例在第二方面的第二种实现方式中，还包括：允许所述计算集群内的各个计算节点以只读的方式访问所述内层镜像仓库。

结合第二方面，本发明实施例在第二方面的第三种实现方式中，所述同步器还用于：在收到用户设备上传的所述基础镜像时，所述外层镜像仓库产生镜像推送事件，以触发所述同步器将上传到所述外层镜像仓库数据的所述基础镜像同步至所述内层镜像仓库。

结合第二方面、第二方面的第一种实现方式、第二方面的第二种实现方式、第二方面的第三种实现方式，本发明实施例在第二方面的第四种实现方式中，还包括：Docker客户端，用于通过代理组件向做种信息查询组件发起镜像数据下载请求；所述代理组件，用于：接收所述做种信息查询组件根据所述下载请求获取的下载镜像数据所需要的对等网络节点查询信息；根据所述对等网络节点查询信息下载所述镜像数据。

结合第二方面的第四种实现方式，本发明实施例在第二方面的第五种实现方式中，所述代理组件还用于：从所述对等网络节点查询信息指示的所述对等网络节点下载所述镜像数据；将所述镜像数据返回给所述Docker客户端。

结合第二方面的第四种实现方式或第二方面的第五种实现方式，本发明实施例在第二方面的第六种实现方式中，所述代理组件还用于：当Docker客户端发起镜像元数据下载请求时，将所述Docker客户端的镜像元数据的查询请求转发到镜像仓库，从所述镜像仓库拉取所述Docker客户端请求的所述镜像元数据；和/或，当Docker客户端发起镜像实体数据下载请求时，向所述做种信息查询组件查询下载镜像实体数据所需要的P2P节点查询信息，下载所述镜像数据并在下载过程中进行种子制作，将所述镜像数据返回给所述Docker客户端。

在一个可能的设计中，镜像分发装置的结构中包括处理器和存储器，所述存储器用于存储支持镜像分发装置执行上述第一方面中镜像分发方法的程序，所述处理器被配置为用于执行所述存储器中存储的程序。所述镜像分发装置还可以包括通信接口，用于镜像分发装置与其他设备或通信网络通信。

第三方面，本发明实施例提供了一种镜像分发装置，包括：一个或多个处理器；存储装置，用于存储一个或多个程序；当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上述第一方面中任一所述的方法。

第四方面，本发明实施例提供了一种计算机可读存储介质，其存储有计算机程序，该程序被处理器执行时实现上述第一方面中任一所述的方法。

上述技术方案中的一个技术方案具有如下优点或有益效果：通过多层镜像仓库的架构设计即保证了外层镜像数据即时单向同步至内部内层镜像仓库，同时内外层镜像隔离性避免了内部敏感数据借由镜像仓库透传外部的问题。

上述技术方案中的另一个技术方案具有如下优点或有益效果：整个镜像分发系统兼容原生的中心化镜像仓库对接分布式存储的方式，并以非侵入的方式引入P2P镜像分发机制，能够根据不同的业务场景灵活选择镜像分发方式，从而保证镜像分发流程的高效性。

上述概述仅仅是为了说明书的目的，并不意图以任何方式进行限制。除上述描述的示意性的方面、实施方式和特征之外，通过参考附图和以下的详细描述，本发明进一步的方面、实施方式和特征将会是容易明白的。

附图说明

在附图中，除非另外规定，否则贯穿多个附图相同的附图标记表示相同或相似的部件或元素。这些附图不一定是按照比例绘制的。应该理解，这些附图仅描绘了根据本发明公开的一些实施方式，而不应将其视为是对本发明范围的限制。

图1为本发明一实施例提供的镜像分发方法的流程图。

图2为本发明另一实施例提供的镜像分发方法中的多层镜像仓库隔离架构图。

图3为本发明另一实施例提供的镜像分发方法的非侵入式P2P镜像分发的流程图。

图4为本发明另一实施例提供的镜像分发方法的非侵入式集成P2P系统架构图。

图5为本发明另一实施例提供的镜像分发方法的镜像分发服务端流程图。

图6为本发明另一实施例提供的镜像分发方法的镜像分发客户端流程图。

图7为本发明一实施例提供的镜像分发装置的结构框图。

图8为本发明另一实施例提供的镜像分发装置的非侵入式P2P镜像分发的结构框图。

具体实施方式

在下文中，仅简单地描述了某些示例性实施例。正如本领域技术人员可认识到的那样，在不脱离本发明的精神或范围的情况下，可通过各种不同方式修改所描述的实施例。因此，附图和描述被认为本质上是示例性的而非限制性的。

图1为本发明一实施例提供的镜像分发方法的流程图。如图1所示，本发明实施例的镜像分发方法包括：步骤S110，如果外层镜像仓库接收到用户设备上传的基础镜像，则将所述基础镜像保存到所述外层镜像仓库；步骤S120，从所述外层镜像仓库向所述内层镜像仓库同步所述基础镜像，所述内层镜像仓库包括需要保密的数据；步骤S130，从所述内层镜像仓库向计算集群内的各计算节点分发基础镜像和需要保密的数据，其中，各计算节点被禁止访问所述外层镜像仓库。

图2为本发明另一实施例提供的镜像分发方法中的多层镜像仓库隔离架构图。图2中所示的“外网可见的支持读写的镜像仓库”是外层镜像仓库，“外网不可见的内部镜像仓库”是内层镜像仓库。如图2所示，多层镜像仓库隔离架构由一个可读写的镜像仓库，即外层镜像仓库以开放外网域名形式对外提供服务。用户由外层镜像仓库进行基础镜像下载与用户镜像上传。同时生产环境的各个计算节点设置相关安全组，参见图2中的“╳”号，表示封禁计算节点对该外层镜像仓库的域名服务的访问。其中，安全组是可以列在用于定义资源和对象权限的任意访问控制列表中的组。同时在内部构建一个外部不可见的只读镜像仓库，即内层镜像仓库，允许计算节点访问。当用户进行镜像推送上传时，外层仓库产生镜像推送事件触发同步器进行外层镜像仓库和内层镜像仓库的单向数据同步操作。

镜像的全量数据一般包括基础运行环境的镜像数据，除此之外还包括一些敏感数据。敏感数据主要包括需要保密的数据，例如大型机器学习场景的训练样本的数据，再如模拟仿真任务中的地图信息、军事信息等数据。上文中的“基础镜像”可以包括基础运行环境的镜像数据，而不包含敏感数据。“基础镜像”存储在外网可见的支持读写的镜像仓库中。敏感数据存储在外网不可见的内部镜像仓库中。这种多层镜像隔离架构能够确保数据安全，有效避免敏感数据外泄。

根据本发明镜像分发方法的一种实施方式，还包括：构建外层镜像仓库，所述外层镜像仓库用于通过域名服务承接用户的所述基础镜像的上传及下载功能；构建内层镜像仓库，所述内层镜像仓库用于承接计算集群内部对用户的所述基础镜像和所述需要保密的数据的分发下载源功能；设置安全组，所述安全组用于禁止所述计算集群内的各个计算节点通过域名服务访问所述外层镜像仓库；构建同步器，所述同步器用于所述外层镜像仓库收到所述用户设备上传的基础镜像的情况下触发向所述内层镜像仓库的同步。

简而言之，外层镜像仓库用以承接外部用户基础镜像上传及基础镜像下载功能；同步器保证外层镜像仓库数据上传后即时单向同步至内层镜像仓库；内层镜像仓库负责大规模计算集群内部对用户基础镜像和敏感的分发下载源职能。

根据本发明镜像分发方法的一种实施方式，还包括：允许所述计算集群内的各个计算节点以只读的方式访问所述内层镜像仓库。只读方式可防止误操作或恶意改写数据，进一步保证数据的安全。

根据本发明镜像分发方法的一种实施方式，从所述外层镜像仓库向所述内层镜像仓库同步所述基础镜像，包括：在收到用户设备上传的所述基础镜像时，所述外层镜像仓库产生镜像推送事件，以触发所述同步器将上传到所述外层镜像仓库数据的所述基础镜像同步至所述内层镜像仓库。

当用户进行镜像推送上传时，即将“基础镜像”上传到外网可见的支持读写的镜像仓库中时，外层镜像仓库数据上传后即时单向同步至内层镜像仓库，也就是将“基础镜像”从外网可见的支持读写的镜像仓库同步到外网不可见的内部镜像仓库中。这样计算节点可以从外网不可见的内部镜像仓库中获取“基础镜像”和敏感数据，将这两部分数据结合，达成一个新的镜像，使用这个结合的新的镜像进行相关计算任务执行。

上述技术方案中具有如下优点或有益效果：通过多层镜像仓库的架构设计即保证了外层镜像数据即时单向同步至内部内层镜像仓库，同时内外层镜像隔离性避免了内部敏感数据借由镜像仓库透传外部的问题。

图3为本发明另一实施例提供的镜像分发方法的非侵入式P2P镜像分发的流程图。如图3所示，在一种可能的实现方式中，还包括：步骤S210，Docker客户端通过代理组件向做种信息查询组件发起镜像数据下载请求；步骤S220，所述代理组件接收所述做种信息查询组件根据所述下载请求获取的下载镜像数据所需要的对等网络节点查询信息。步骤S230，所述代理组件根据所述对等网络节点查询信息下载所述镜像数据。

在一种可能的实现方式中，所述代理组件根据所述对等网络节点查询信息下载所述镜像数据，包括：所述代理组件从所述对等网络节点查询信息指示的所述对等网络节点下载所述镜像数据；所述代理组件将所述镜像数据返回给所述Docker客户端。

图4为本发明另一实施例提供的镜像分发方法的非侵入式集成P2P系统架构图。本发明实施例引入基于P2P技术的分发网络实现大规模镜像的P2P分发。并且新引入的分发网络及集成客户端以代理方式不侵入现有镜像仓库及客户端。框架示例如图4所示，非侵入式集成P2P系统架构主要包括的组件有：Tracker(做种信息查询组件)、Proxy、Docker(客户端)和Registry(仓库实例)，以下分别介绍各个组件实现的功能。

1)Tracker：系统中的Tracker组件承担两部分职责。其一充当BT(BitTorrent，比特流)系统Tracker，它存储了BT客户端下载过程中所需要的元数据信息，并协助各个BT客户端完成P2P节点查询工作整个通信过程。其二是当发现P2P系统中尚无对应镜像层数据的种子情况下，去和镜像仓库交互完成数据下载、种子制作，并充当系统中的第一个做种者。

其中，BT是用于对等网络中文件分享的网络协议的程序。BT专门为大容量文件的共享而设计，它是用户群对用户群，下载同一文件的人越多，且下载后，继续维持上传的状态进行“分享”，下载该档案的速度越快。BT采用高效的软件分发系统和点对点技术共享大体积文件，并使每个用户像网络重新分配结点那样提供上传服务。一般的下载服务器为每一个发出下载请求的用户提供下载服务，而BT的工作方式与之不同。BT的工作方式是分配器或文件的持有者将文件发送给其中一名用户，再由这名用户转发给其它用户，用户之间相互转发自己所拥有的文件部分，直到每个用户的下载都全部完成。这种方法可以使下载服务器同时处理多个大体积文件的下载请求，而无须占用大量带宽。根据BitTorrent协议，文件发布者会根据要发布的文件生成提供一个.torrent文件，即种子文件，也简称为“种子”。.torrent文件本质上是文本文件，包含Tracker信息和文件信息两部分。Tracker信息主要是BT下载中需要用到的Tracker服务器的地址和针对Tracker服务器的设置。它的主要原理是需要把提供下载的文件虚拟分成大小相等的块，并把每个块的索引信息写入种子文件(.torrent)中。所以，种子文件(.torrent)就是被下载文件的“索引”。

2)Proxy：Proxy作为资源节点的代理组件，当Docker发起镜像下载请求时，将元数据、查询类型请求直接转发到镜像仓库。对于镜像实体数据的下载请求，则向Tracker查询P2P节点信息，使用P2P方式下载，并在下载过程中进行做种。这样实现不侵入现有客户端(Docker)的前提下，支持较大的镜像实体数据通过P2P方式分发，同时保留Docker原有下载方式，做到兼容，增加系统的灵活性。

3)Docker：该组件主要用于从远程仓库拉取镜像，镜像文件的导出、导入以及本地镜像层存在性查询、判断。镜像数据由多层数据组成，Docker需要查询本地存在的镜像层数据，并在查询基础上对下载策略进行判断，只下载本地不存在的镜像层数据。

4)Registry：该组件为镜像的远端存储仓库实例，用以存储全局、全量的镜像数据。后端可对接各类分布式对象存储，实现数据的冗余性及高可用性。

图5为本发明另一实施例提供的镜像分发方法的镜像分发服务端流程图。如图5所示，步骤301中，镜像分发服务端启动，对数据目录下已有的镜像数据进行做种；步骤302中，接收到代理组件Proxy的种子下载请求；步骤303中，判断是否已在做种；步骤304中，如果已在做种，则返回种子文件及Peer(对等网络)列表，即下载镜像数据所需要的P2P节点查询信息；步骤305，完成请求；步骤306中，如果没有做种，则从镜像仓库鉴权端完成权限验证；步骤307中，从镜像仓库实例完成进行数据下载；步骤308中，制作对应数据种子文件并做种，然后返回步骤304。

参见图5，在一种可能的实现方式中，在尚无下载请求的镜像数据的种子的情况下，通过做种信息查询组件Tracker与镜像仓库交互进行镜像数据的下载和种子制作。

在一种可能的实现方式中，还包括：当Docker客户端发起镜像元数据下载请求时，所述代理组件将所述Docker客户端的镜像元数据的查询请求转发到镜像仓库，从所述镜像仓库拉取所述Docker客户端请求的所述镜像元数据；和/或，当Docker客户端发起镜像实体数据下载请求时，所述代理组件向所述Tracker组件查询下载镜像实体数据所需要的P2P节点查询信息，下载所述镜像数据并在下载过程中进行种子制作，将所述镜像数据返回给所述Docker客户端。

图6为本发明另一实施例提供的镜像分发方法的镜像分发客户端流程图。如图6所示，步骤401中，客户端发起一次镜像分发请求；步骤402中，到达代理组件Proxy后，与镜像仓库鉴权端进行验证；步骤403中，判断镜像分发请求是不是元数据请求；步骤404中，如果镜像分发请求是元数据请求，则直接转发到镜像仓库实例处理，即直接从镜像仓库实例拉取，不必使用非侵入式P2P镜像分发的方式；步骤405中，如果镜像分发请求不是元数据请求，则发起镜像实体数据下载请求；步骤406，下载种子，包括查询Tracker，是否有可用的下载Peer，若没有则等待第一个做种者；步骤407中，从Tracker返回可用的做种者进行数据P2P下载并做种；步骤408中，完成镜像数据下载返回给客户端，由客户端进行拼装。

镜像数据包括元数据和镜像实体数据。其中，元数据是对于镜像的基本情况的描述信息，例如镜像的结构信息、镜像的尺寸(大小)、校验码等。元数据的数据量比较小，因此可以采用现有技术的方式下载。例如，直接从镜像仓库实例(Registry)拉取，不必使用非侵入式P2P镜像分发的方式。镜像实体数据可包括镜像的操作系统、文件数据等，其数据量比较大，因此需要使用非侵入式P2P镜像分发的方式进行下载。

本发明实施例的镜像分发方案中，Proxy既承担P2P中BT client(BT客户端)角色，同时又是下载请求的代理器，完成数据P2P下载后直接将下载好的数据以流数据方式写入请求的响应体里，返回给Docker客户端。这种直接返回的方式能够减少下载数据的交互开销，提高分发效率。

上述技术方案具有如下优点或有益效果：整个镜像分发系统兼容原生的中心化镜像仓库对接分布式存储的方式，并以非侵入的方式引入P2P镜像分发机制，能够根据不同的业务场景灵活选择镜像分发方式，从而保证镜像分发流程的高效性。

图7为本发明一实施例提供的镜像分发装置的结构框图。如图7所示，本发明实施例的镜像分发装置包括：外层存储单元100，用于如果外层镜像仓库接收到用户设备上传的基础镜像，则将所述基础镜像保存到所述外层镜像仓库；同步器200，用于从所述外层镜像仓库向所述内层镜像仓库同步所述基础镜像，所述内层镜像仓库包括需要保密的数据；分发单元400，用于从所述内层镜像仓库向计算集群内的各计算节点分发基础镜像和需要保密的数据；安全控制单元450，用于禁止各计算节点访问所述外层镜像仓库。

根据本发明镜像分发装置的一种实施方式，还包括：所述外层镜像仓库用于通过域名服务承接用户的所述基础镜像的上传及下载功能；所述内层镜像仓库用于承接计算集群内部对用户的所述基础镜像和所述需要保密的数据的分发下载源功能；所述安全控制单元通过设置安全组禁止所述计算集群内的各个计算节点通过域名服务访问所述外层镜像仓库；所述同步器还用于所述外层镜像仓库收到所述用户设备上传的基础镜像的情况下触发向所述内层镜像仓库的同步。

根据本发明镜像分发装置的一种实施方式，还包括：允许所述计算集群内的各个计算节点以只读的方式访问所述内层镜像仓库。

根据本发明镜像分发装置的一种实施方式，所述同步器200还用于：在收到用户设备上传的所述基础镜像时，所述外层镜像仓库产生镜像推送事件，以触发所述同步器将上传到所述外层镜像仓库数据的所述基础镜像同步至所述内层镜像仓库。

图8为本发明另一实施例提供的镜像分发装置的非侵入式P2P镜像分发的结构框图。如图8所示，根据本发明镜像分发装置的一种实施方式，所述装置还包括：Docker客户端700，用于通过代理组件600向做种信息查询组件500发起镜像数据下载请求；所述代理组件600，用于：接收所述做种信息查询组件根据所述下载请求获取的下载镜像数据所需要的对等网络节点查询信息；根据所述对等网络节点查询信息下载所述镜像数据。

根据本发明镜像分发装置的一种实施方式，所述代理组件600还用于：从所述对等网络节点查询信息指示的所述对等网络节点下载所述镜像数据；将所述镜像数据返回给所述Docker客户端。

根据本发明镜像分发装置的一种实施方式，所述代理组件600还用于：当Docker客户端发起镜像元数据下载请求时，将所述Docker客户端的镜像元数据的查询请求转发到镜像仓库800，从所述镜像仓库拉取所述Docker客户端请求的所述镜像元数据；和/或，当Docker客户端发起镜像实体数据下载请求时，向所述做种信息查询组件查询下载镜像实体数据所需要的P2P节点查询信息，下载所述镜像数据并在下载过程中进行种子制作，将所述镜像数据返回给所述Docker客户端。

本发明实施例的镜像分发装置中各单元的功能可以参见上述方法的相关描述，在此不再赘述。

在一个可能的设计中，镜像分发装置的结构中包括处理器和存储器，所述存储器用于存储支持镜像分发装置执行上述镜像分发方法的程序，所述处理器被配置为用于执行所述存储器中存储的程序。所述镜像分发装置还可以包括通信接口，用于镜像分发装置与其他设备或通信网络通信。

另一方面，本发明实施例提供了一种镜像分发装置，包括：一个或多个处理器；存储装置，用于存储一个或多个程序；当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上述镜像分发方法中任一所述的方法。

又一方面，本发明实施例提供了一种计算机可读存储介质，其存储有计算机程序，该程序被处理器执行时实现上述镜像分发方法中任一所述的方法。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或隐含地包括至少一个该特征。在本发明的描述中，“多个”的含义是两个或两个以上，除非另有明确具体的限定。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

在流程图中表示或在此以其他方式描述的逻辑和/或步骤，例如，可以被认为是用于实现逻辑功能的可执行指令的定序列表，可以具体实现在任何计算机可读介质中，以供指令执行系统、装置或设备(如基于计算机的系统、包括处理器的系统或其他可以从指令执行系统、装置或设备取指令并执行指令的系统)使用，或结合这些指令执行系统、装置或设备而使用。就本说明书而言，“计算机可读介质”可以是任何可以包含、存储、通信、传播或传输程序以供指令执行系统、装置或设备或结合这些指令执行系统、装置或设备而使用的装置。计算机可读介质的更具体的示例(非穷尽性列表)包括以下：具有一个或多个布线的电连接部(电子装置)，便携式计算机盘盒(磁装置)，随机存取存储器(RAM)，只读存储器(ROM)，可擦除可编辑只读存储器(EPROM或闪速存储器)，光纤装置，以及便携式只读存储器(CDROM)。另外，计算机可读介质甚至可以是可在其上打印所述程序的纸或其他合适的介质，因为可以例如通过对纸或其他介质进行光学扫描，接着进行编辑、解译或必要时以其他合适方式进行处理来以电子方式获得所述程序，然后将其存储在计算机存储器中。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读存储介质中。所述存储介质可以是只读存储器，磁盘或光盘等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到其各种变化或替换，这些都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (16)

1.一种镜像分发方法，其特征在于，包括：

如果外层镜像仓库接收到用户设备上传的基础镜像，则将所述基础镜像保存到所述外层镜像仓库；

从所述外层镜像仓库向所述内层镜像仓库同步所述基础镜像，所述内层镜像仓库包括需要保密的数据；

从所述内层镜像仓库向计算集群内的各计算节点分发基础镜像和需要保密的数据，其中，各计算节点被禁止访问所述外层镜像仓库。

2.根据权利要求1所述的方法，其特征在于，还包括：

构建外层镜像仓库，所述外层镜像仓库用于通过域名服务承接用户的所述基础镜像的上传及下载功能；

构建内层镜像仓库，所述内层镜像仓库用于承接计算集群内部对用户的所述基础镜像和所述需要保密的数据的分发下载源功能；

设置安全组，所述安全组用于禁止所述计算集群内的各个计算节点通过域名服务访问所述外层镜像仓库；

构建同步器，所述同步器用于所述外层镜像仓库收到所述用户设备上传的基础镜像的情况下触发向所述内层镜像仓库的同步。

3.根据权利要求1所述的方法，其特征在于，还包括：

允许所述计算集群内的各个计算节点以只读的方式访问所述内层镜像仓库。

4.根据权利要求1所述的方法，其特征在于，从所述外层镜像仓库向所述内层镜像仓库同步所述基础镜像，包括：

在收到用户设备上传的所述基础镜像时，所述外层镜像仓库产生镜像推送事件，以触发所述同步器将上传到所述外层镜像仓库数据的所述基础镜像同步至所述内层镜像仓库。

5.根据权利要求1-4中任一项所述的方法，其特征在于，还包括：

Docker客户端通过代理组件向做种信息查询组件发起镜像数据下载请求；

所述代理组件接收所述做种信息查询组件根据所述下载请求获取的下载镜像数据所需要的对等网络节点查询信息；

所述代理组件根据所述对等网络节点查询信息下载所述镜像数据。

6.根据权利要求5所述的方法，其特征在于，所述代理组件根据所述对等网络节点查询信息下载所述镜像数据，包括：

所述代理组件从所述对等网络节点查询信息指示的所述对等网络节点下载所述镜像数据；

所述代理组件将所述镜像数据返回给所述Docker客户端。

7.根据权利要求6所述的方法，其特征在于，所述镜像数据包括镜像元数据和/或镜像实体数据，所述方法还包括：

当Docker客户端发起镜像元数据下载请求时，所述代理组件将所述Docker客户端的镜像元数据的查询请求转发到镜像仓库，从所述镜像仓库拉取所述Docker客户端请求的所述镜像元数据；和/或，

当Docker客户端发起镜像实体数据下载请求时，所述代理组件向所述做种信息查询组件查询下载镜像实体数据所需要的对等网络节点查询信息，下载所述镜像数据并在下载过程中进行种子制作，将所述镜像数据返回给所述Docker客户端。

8.一种镜像分发装置，其特征在于，包括：

外层存储单元，用于如果外层镜像仓库接收到用户设备上传的基础镜像，则将所述基础镜像保存到所述外层镜像仓库；

同步器，用于从所述外层镜像仓库向所述内层镜像仓库同步所述基础镜像，所述内层镜像仓库包括需要保密的数据；

分发单元，用于从所述内层镜像仓库向计算集群内的各计算节点分发基础镜像和需要保密的数据；

安全控制单元，用于禁止各计算节点访问所述外层镜像仓库。

9.根据权利要求8所述的装置，其特征在于，还包括：

所述外层镜像仓库用于通过域名服务承接用户的所述基础镜像的上传及下载功能；

所述内层镜像仓库用于承接计算集群内部对用户的所述基础镜像和所述需要保密的数据的分发下载源功能；

所述安全控制单元通过设置安全组禁止所述计算集群内的各个计算节点通过域名服务访问所述外层镜像仓库；

所述同步器还用于所述外层镜像仓库收到所述用户设备上传的基础镜像的情况下触发向所述内层镜像仓库的同步。

10.根据权利要求8所述的装置，其特征在于，还包括：

允许所述计算集群内的各个计算节点以只读的方式访问所述内层镜像仓库。

11.根据权利要求2所述的装置，其特征在于，所述同步器还用于：

在收到用户设备上传的所述基础镜像时，所述外层镜像仓库产生镜像推送事件，以触发所述同步器将上传到所述外层镜像仓库数据的所述基础镜像同步至所述内层镜像仓库。

12.根据权利要求8-11中任一项所述的装置，其特征在于，还包括：

Docker客户端，用于通过代理组件向做种信息查询组件发起镜像数据下载请求；

所述代理组件，用于：

接收所述做种信息查询组件根据所述下载请求获取的下载镜像数据所需要的对等网络节点查询信息；

根据所述对等网络节点查询信息下载所述镜像数据。

13.根据权利要求12所述的装置，其特征在于，所述代理组件还用于：

从所述对等网络节点查询信息指示的所述对等网络节点下载所述镜像数据；

将所述镜像数据返回给所述Docker客户端。

14.根据权利要求13所述的装置，其特征在于，所述代理组件还用于：

当Docker客户端发起镜像元数据下载请求时，将所述Docker客户端的镜像元数据的查询请求转发到镜像仓库，从所述镜像仓库拉取所述Docker客户端请求的所述镜像元数据；和/或，

当Docker客户端发起镜像实体数据下载请求时，向所述做种信息查询组件查询下载镜像实体数据所需要的P2P节点查询信息，下载所述镜像数据并在下载过程中进行种子制作，将所述镜像数据返回给所述Docker客户端。

15.一种镜像分发装置，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1-7中任一所述的方法。

16.一种计算机可读存储介质，其存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-7中任一所述的方法。