CN114756170B - 一种面向容器应用的存储隔离系统及其方法 - Google Patents

Abstract

本发明提出了一种面向容器应用的存储隔离系统及方法，存储构建模块通过统一存储模板，实现存储信息的规范化描述；通过存储模板实例化、存储发布/取消发布实现存储资源的构建与管理；存储控制模块通过基于分布式文件系统的三级分区策略实现存储资源隔离；通过应用组存储授权方式实现对储资源的读写控制；通过实时的存储资源使用监视，动态拓展存储空间容量；存储云化模块通过Kubernetes的PV对象和PVC对象实现存储资源的抽象以及应用存储需求的封装；通过PVC与PV匹配绑定方式，实现存储的按需分配过程；通过PV挂载到容器化应用以及环境变量方式的存储连接信息注入，实现多源存储接入使用方式的统一。本发明提升了存储资源的使用效率与安全性能。

Description

一种面向容器应用的存储隔离系统及其方法

技术领域

本发明属于存储管理领域，更具体地，涉及一种面向容器应用的存储隔离系统及其方法。

背景技术

随着微服务和云计算的发展，越来越多的应用选择容器化方式提供服务。尤其Kubernetes编排引擎的出现，为服务的运行管理带来了极大的便利。但是，由于云环境中的应用具有数量庞大、在线动态更新等特点，随着海量数据的涌入，传统存储(比如文件系统，数据库等)管理方法受到了极大的挑战。比如，在分布式应用场景中，数据通常存储在共享物理磁盘上，存在存储空间竞争和存储读写相互干扰等问题。由于未在物理层进行有效的存储隔离，传统存储管理方法不利于存储资源的精细化管控，包括但不限于对存储的读写权限控制、存储数据迁移、存储安全性保障等。此外，传统存储管理方法在数据存储尖峰阶段和平常时期，缺乏基于数据统计分析的弹性管理机制，导致存储资源利用率较为低下；同时，对于不同存储类型，缺乏统一规范的接入使用方法，应用一旦切换数据源使用往往需要进行特别处理，增加了应用的开发成本。因此，在现有存储系统基础之上，怎样进一步实现物理层存储资源的有效隔离，降低不同存储实例之间的相互干扰，实施细粒度的存储管控，仍是当前亟待解决的问题之一。综上所述，目前在相关领域内缺少面向多种存储源，细粒度的存储资源隔离，以及统一的存储接入使用方法的研究。

发明内容

本发明的目的在于提出一种面向容器应用的存储隔离系统及其方法，解决多源存储资源隔离问题，实施精细化的存储管控，提升存储资源的使用效率与安全性能。

实现本发明目的的技术解决方案为：一种面向容器应用的存储隔离系统，包括存储构建模块，存储控制模块和存储云化模块，其中：

存储构建模块，用于存储资源的引接与模板化方式的存储构建。通过统一存储模板，实现存储类型、存储容量、连接方式以及存储权限等信息的规范化描述；通过存储模板实例化、存储发布/取消发布等方式实现对存储资源的构建与管理；

存储控制模块，用于物理层存储资源的管控，包括存储隔离、权限控制、弹性拓展等功能。通过基于分布式文件系统的三级分区策略实现存储资源隔离，降低存储之间的干扰性；通过应用组存储授权方式实现对储资源的读写控制，保证存储使用的安全性；通过实时的存储资源使用监视，动态拓展存储空间容量，满足峰谷时段的存储需求，提高存储利用效率。

存储云化模块，用于提供一种面向容器化应用的存储接入使用方法。通过Kubernetes的PV对象实现存储资源的抽象，PVC对象实现应用存储需求的封装；通过智能化的PVC与PV匹配绑定方式，实现存储的按需分配过程；通过自动化的PV挂载到容器化应用与环境变量方式的存储连接信息注入，实现多源存储接入使用方式的统一。

进一步地，所述存储构建模块包括存储模板管理、存储实例管理、存储发布管理3个子功能模块，其中：

存储模板管理子模块使用统一存储模板规范，实现存储类型、存储容量、文件数量、存储路径、是否可拓展、读写权限、副本数、同步策略、隔离策略、表结构等信息的规范化描述，通过YMAL/JSON数据结构，实现对多源存储的统一接入管理。

存储实例管理子模块实现存储模板的实例化。通过集成多源存储驱动建立与多种类型存储源的连接，通过远程命令执行方式在分布式文件系统上开辟独立的实例级别的存储空间。存储实例与存储模板之间是一种多对一的关系。

存储发布管理子模块用于存储实例的可见性控制。通过存储发布与存储取消发布控制存储实例的可见性；提供“私有发布”和“公开发布”两种发布模式控制存储使用范围。

所述存储控制模块包括存储隔离、权限控制、弹性拓展、资源调度四个功能子模块，其中：

存储隔离子模块实现不同数据源、不同存储实例之间的物理隔离。针对不同存储类型使用不同的存储隔离方法，通过三级存储分区方式实现存储实例在分布式文件系统中的物理隔离，有效提升存储使用的安全性与可靠性。

权限控制子模块实现存储权限的精细化的控制。即通过“应用组-权限组”实现实例级别的存储实例读、写等权限控制。

弹性拓展子模块实现存储空间的动态拓展。通过主动监视容器化应用存储空间的使用情况，根据设定的存储资源使用率阈值动态拓展或缩减存储空间容量，满足应用在峰谷时段的存储需求，提升存储资源利用率。

资源调度子模块实现存储资源的分布式存储，包括多副本存储和同步备份等功能。通过具有时效性特点的“触发式同步”和具有周期性特点的“定时同步”能力，有效提升存储鲁棒性和可靠性。

进一步的，所述存储云化模块包括存储配额、持久卷和绑定控制三个功能子模块，其中：

存储配额子模块实现应用存储需求的封装，包括存储类型、存储容量、文件数量等信息。通过将存储需求构建为Kubernetes的PVC对象，实现应用存储需求的云化。

持久卷子模块实现对存储实例的封装，包括存储容量、挂载模式、访问模式、回收策略等信息。通过将存储实例构建为Kubernetes的PV对象，实现存储资源的云化。

绑定控制子模块通过PVC与PV的自动匹配，实现存储的按需分配。根据PVC所描述的应用存储资源需求，自动匹配最佳存储实例。同时，通过存储路径挂载与环境变量方式的存储连接信息注入，实现面向容器化应用的存储使用方式的统一。

一种面向容器应用的存储隔离方法，基于所述的面向容器应用的存储隔离系统，实现面向容器应用的存储隔离。

一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时，基于所述的面向容器应用的存储隔离系统，实现面向容器应用的存储隔离。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时，基于所述的面向容器应用的存储隔离系统，实现面向容器应用的存储隔离。

本发明与现有技术相比，其显著优点为：1)通过规范化的存储模板，实现多源存储的统一引接、构建与发布管理，降低存储管理的成本；2)通过物理层存储资源隔离，进行细粒度、精细化的存储控制，解决存储空间竞争、读写干扰与存储迁移困难等问题，有效提升存储使用的安全性与可靠性；3)通过PVC/PV自动匹配技术，实现存储的按需分配。同时，通过存储路径挂载与环境变量方式的存储连接信息注入，实现面向容器化应用的存储使用方式的统一，提升存储使用的效率。

附图说明

图1是一种面向容器应用的存储隔离系统的整体结构图。

图2是一种面向容器应用的存储隔离方法的整体流程图。

图3是存储构建模块流程图。

图4是存储控制模块流程图。

图5是多源存储隔离原理图。

图6是存储空间开辟示意图。

图7是权限控制原理图。

图8是弹性控制原理图。

图9是资源调度流程图。

图10是存储云化原理图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本发明通过物理层存储隔离，实施精细化的存储管控，提升存储资源的使用效率和安全性能。一种面向容器应用的存储隔离系统，包括存储构建模块、存储控制模板与存储云化模块，整体结构图与流程图如图1，2所示。下面结合附图3-10对本发明的具体实施方式进行详细说明。

所述存储构建模块，基于统一的存储模板，实现多源存储的统一引接、构建与发布，包括存储模板、存储实例、存储发布三个子模块。存储构建实施流程如图3所示，具体实施步骤如下：

(1)存储模板构建

所述存储模板是一种JSON/YAML格式的文件，统一并规范了各类存储的信息，包括存储类型、存储容量、文件数量、挂载路径、副本数、弹性扩展、读写权限、连接信息等。存储模板用于存储实例的构建，存储模板与存储实例是一种一对多的关系。

(2)存储实例构建

所述存储实例是存储的实体。存储实例构建包括模板信息读取、存储源连接建立、存储空间开辟、存储源连接关闭等多个步骤。首先，读取存储模板并解析存储相关内容，包括存储类型、存储容量等；其次，根据存储类型，通过已集成的相应存储驱动建立与所述类型存储源的连接，并根据所解析的存储模板内容，使用远程命令执行方式在分布式文件系统开辟独立的存储空间。所述存储空间在实例级别是隔离的，即不同的存储空间具有不同的存储路径；最后，关闭与所述存储源的连接，并返回存储实例创建的详细信息。

(3)存储实例发布

存储实例发布实现存储实例的可见性控制。根据存储使用范围，提供“私有发布”和“公开发布”两种发布模式。“私有发布”模式下，只有指定用户、应用可以使用指定存储；“公开发布”模式下，所有用户、应用均具有指定存储的使用权限。发布成功的存储实例被标识为“已发布”状态。对“已发布”状态的存储实例提供“取消发布”操作，即对存储实例的可见性进行屏蔽。

所述存储控制模块，通过引入各类存储驱动以及linux shell命令，实现对存储的远程操作与控制，包括存储隔离、权限控制、弹性拓展、资源调度四个子模块。存储控制模块实施流程如图4所示，具体实施步骤如下：

(1)存储隔离

存储隔离实现存储实例在物理层的隔离，即存储实例构建时，在分布式文件系统中为存储实例开辟独立的存储空间，实施具体的存储隔离控制。存储隔离原理如图5所示，存储空间开辟示意如图6所示。参见图5，首先，通过远程shell建立分布式文件系统远程操控连接。其次，针对不同的关系型存储源类型，使用不同的存储空间开辟方法。针对MySQL存储源，由于my.cnf配置文件中存储路径datadir只具有只读属性，一旦配置则无法动态修改。因此，本系统在MySQL存储实例创建时，将所述存储实例相关文件全部迁移至分布式文件系统，并在分布式文件系统为所述存储实例分配独立的存储空间(唯一地址)，并将所述存储空间地址软连接指向MySQL存储源，从而实现MySQL存储实例的物理隔离；针对PostgreSQL与达梦(DM)存储源，本系统直接在分布式文件系统分配独立的存储空间，通过建立存储源连接并使用所述存储空间的地址开辟表空间，将存储实例创建于相应表空间之下，从而实现存储实例的物理隔离。

存储空间开辟示意参见图6，本系统采用三级分区方式，对不同存储源开辟唯一的存储空间。第一级为分布式文件系统路径“/data”，此分区在所述分布式文件系统安装时确定；第二级分区为存储类型，如“/mysql”、“/pg”等，此分区由存储源类型确定；第三级分区为实例名称，如“/placename”，此分区为存储实例标识，在同一存储源下唯一。三级分区保证了不同存储源、不同存储实例在分布式文件系统上存储空间的独立性，有效保障存储实例之间的物理隔离。

(2)权限控制

进行存储隔离后，存储实例具有唯一的物理存储地址，为实例级别的存储权限控制提供条件。细粒度存储权限控制参见图7，本系统采用“应用组-权限组”方式实现实例级别的存储权限控制。首先，对每个存储实例维护一组“应用组-权限组”集合，应用组中的所有应用具有相应权限组规定的物理磁盘访问权限，比如磁盘读(Read)、磁盘写(Write)等；然后，应用绑定存储实例时，根据应用的权限范围，将应用标识(ID)动态写入相应的应用组。如已有权限组无法满足需求，则新建。应用取消绑定存储时，将应用标识从应用组集合中移除。不同应用组具有不同的存储访问权限，从而有效保证了存储的安全性。

(3)弹性拓展

弹性拓展用于对应用所使用的存储空间进行动态增加或缩减。通常应用存储在应用生命周期过程中随着数据量的接入会出现资源不足或资源过剩的情况，从而导致存储碎片的存在。本系统提供“手动”和“自动”两种存储拓展模式。“手动”模式通过人机交互界面键入伸缩信息，包括存储容量、文件数量等；“自动”模式下，本系统主动监视与分析应用存储的使用情况，根据设定的存储资源使用率阈值动态拓展或缩减存储空间的容量。参见图8，当应用存储空间使用率达到一定阈值(可设置，比如90％)后，本系统会自动进行存储空间的拓展，每次拓展当前存储空间的10％，直到存储资源利用率在限定范围内；当监视到存储空间使用量低于一定阈值(可设置，比如20％)，本系统自动进行存储空间回收，每次回收当前存储空间的10％，直到存储资源利用率在限定范围内。本系统通过基于资源利用率的主动伸缩策略，应对应用在峰谷时段的存储需求，提高存储使用效率。

(4)资源调度

资源调度实现分布式、多副本的资源存储，包括多副本存储，同步备份等功能。所述多副本存储基于分布式文件系统多副本存储能力，同步备份实现“触发式同步”和“定时同步”两种策略。参见图9，触发式同步提供一键式存储备份功能，系统自动监视存储操作事件，实时同步存储数据至其他节点；定时同步实现周期性的存储数据同步。触发式同步的时效性与定时同步的周期性有效保障存储数据的可靠性。

所述存储云化模块，提供一种面向容器化应用的存储接入使用方法。通过Kubernetes的PV对象实现存储资源的抽象，PVC对象实现应用存储需求的封装；通过智能化的PVC与PV匹配绑定方式，实现存储的按需分配过程；通过自动化的PV挂载到容器化应用与环境变量方式的存储连接信息注入，实现多源存储接入使用方式的统一。存储云化模块包括存储配额、持久卷、绑定控制三个部分，原理参见图10。

(1)存储配额

存储配额实现应用对存储需求的封装，包括存储类型、存储容量、文件数量、是否支持弹性拓展等信息。本系统通过集成Kubernetes客户端，实现对Kubernetes资源的操作。在接收到应用存储配额申请时，系统主动调用Kubernetes的PVC创建接口，将应用的存储配额自动构建为PVC对象。所述PVC对象为用户存储需求的最终载体，支持后续存储智能匹配流程。

(2)持久卷

持久卷(PV)实现对存储实例的封装。本系统在创建存储实例时，自动触发创建与所述存储实例对应的PV对象。即通过读取存储实例描述文件，解析存储容量、挂载模式、访问模式、回收策略等信息构建PV对象。所述PV对象为存储实例在云环境下的最终载体，支持后续存储智能匹配流程。

(3)绑定控制

通过PVC与PV自动绑定方式，实现存储的按需分配。PVC构建成功时，本系统根据存储类型、存储容量等条件，为PVC匹配最佳PV。提供“手动”和“自动”两种存储构建模式。“手动”模式下，存储实例和PV构建通过人机交互界面进行；“自动”模式下，存储实例根据存储模板构建并创建相应的PV实例。若匹配成功，PV将被自动挂载到容器化应用，相关连接信息以环境变量方式注入到容器。应用通过读取容器环境变量方式获取存储使用方法，进而实现存储的统一使用；若匹配失败，系统给出相关错误提示。

本发明还提出一种面向容器应用的存储隔离方法，基于所述的面向容器应用的存储隔离系统，实现面向容器应用的存储隔离。

一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时，基于所述的面向容器应用的存储隔离系统，实现面向容器应用的存储隔离。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时，基于所述的面向容器应用的存储隔离系统，实现面向容器应用的存储隔离。

综上所述，本发明通过模板化的存储构建方法，实现统一的存储接入；通过物理层资源隔离，进行细粒度、精细化的存储控制；通过弹性的存储供给方法，提高存储资源的利用率；基于Kubernetes PV/PVC技术，通过存储申请与存储匹配，提高存储资源的使用效率。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本申请专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (4)

1.一种面向容器应用的存储隔离系统，其特征在于，包括存储构建模块，存储控制模块和存储云化模块，其中：

存储构建模块，用于存储资源的引接与模板化方式的存储构建，通过统一存储模板，实现存储信息的规范化描述；通过存储模板实例化、存储发布/取消发布实现对存储资源的构建与管理；

存储控制模块，用于物理层存储资源的管控，通过基于分布式文件系统的三级分区策略实现面向关系型存储资源的隔离；通过应用组存储授权方式实现对储资源的读写控制；通过实时的存储资源使用监视，动态拓展存储空间容量，满足峰谷时段的存储需求；

存储云化模块，用于面向容器化应用的存储接入，通过Kubernetes的PV对象和PVC对象实现存储资源的抽象以及应用存储需求的封装；通过PVC与PV匹配绑定方式，实现存储的按需分配过程；通过PV挂载到容器化应用以及环境变量方式的存储连接信息注入，实现多源存储接入使用方式的统一；

所述存储构建模块包括存储模板子模块、存储实例子模块、存储发布子模块，其中：

存储模板子模块，用于统一存储模板规范，实现存储类型、存储容量、文件数量、存储路径、是否可拓展、读写权限、副本数的规范化描述，并通过YMAL/JSON数据结构，实现对多源存储的统一接入管理；

存储实例子模块，用于实现存储模板的实例化，通过集成多源存储驱动建立与多种类型存储源的连接，通过远程命令执行方式在分布式文件系统上开辟独立的实例级别的存储空间，返回的存储实例与存储模板之间是一种多对一的关系；

存储发布子模块，用于存储实例的可见性控制，通过存储发布与存储取消发布控制存储实例的可见性，并提供“私有发布”和“公开发布”两种发布模式控制存储使用范围；

所述存储控制模块包括存储隔离子模块、权限控制子模块、弹性拓展子模块、资源调度子模块，其中：

存储隔离子模块，用于实现不同数据源、不同存储实例之间的物理隔离，针对不同的关系型存储源类型使用不同的存储空间开辟方法，并通过三级存储分区方式实现存储实例在分布式文件系统中的物理隔离，对于MySQL存储源，在存储实例创建时将其迁移至分布式文件系统，在分布式文件系统为存储实例分配独立的存储空间，并将存储空间地址软连接指向MySQL存储源，从而实现MySQL存储实例的物理隔离；对于PostgreSQL与DM存储源，直接在分布式文件系统分配独立的存储空间，通过建立存储源连接并使用存储空间的地址开辟表空间，将存储实例创建于相应表空间之下，从而实现存储实例的物理隔离；此外，三级存储分区方式，第一级为分布式文件系统路径，在分布式文件系统安装时确定，第二级分区为存储类型，由存储源类型确定；第三级分区为实例名称，为存储实例标识，在同一存储源下唯一；

权限控制子模块，用于实现存储权限的精细化的控制，通过“应用组-权限组”实现实例级别的存储实例读、写权限控制，其中应用组中的所有应用具有相应权限组规定的物理磁盘访问权限，不同应用组具有不同的存储访问权限；应用绑定存储实例时，根据应用的权限范围，将应用标识动态写入相应的应用组，如已有权限组无法满足需求，则新建；应用取消绑定存储实例时，将应用标识从应用组集合中移除；

弹性拓展子模块，用于实现存储空间的动态拓展，通过主动监视容器化应用存储空间的使用情况，根据设定的存储资源使用率阈值动态拓展增加或缩减存储空间容量，以满足应用在峰谷时段的存储需求；

资源调度子模块，用于实现存储资源的分布式存储，包括多副本存储和同步备份，其中多副本存储基于分布式文件系统多副本存储能力，同步备份实现“触发式同步”和“定时同步”两种策略；

所述存储云化模块包括存储配额子模块、持久卷子模块和绑定控制子模块，其中：

存储配额子模块，用于实现应用存储需求的封装，包括存储类型、存储容量、文件数量，并将存储需求构建为Kubernetes的PVC对象，实现应用存储需求的云化；

持久卷子模块，用于实现对存储实例的封装，读取存储实例描述文件，解析存储容量、挂载模式、访问模式、回收策略，并构建为Kubernetes的PV对象，实现存储资源的云化；

绑定控制子模块，用于匹配PVC与PV，实现存储的按需分配，根据PVC所描述的应用存储资源需求，匹配最佳存储实例，并通过存储路径挂载以及环境变量方式的存储连接信息注入，实现面向容器化应用的存储使用方式的统一。

2.一种面向容器应用的存储隔离方法，其特征在于，基于权利要求1所述的面向容器应用的存储隔离系统，实现面向容器应用的存储隔离。

3.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时，基于权利要求1所述的面向容器应用的存储隔离系统，实现面向容器应用的存储隔离。

4.一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时，基于权利要求1所述的面向容器应用的存储隔离系统，实现面向容器应用的存储隔离。

Images