CN116361778A - 用于容器的安全策略更新方法、装置、电子设备及介质 - Google Patents

Abstract

本公开提供了一种用于容器的安全策略更新方法、装置、电子设备及介质，可以应用于容器安全技术领域。该方法包括：对集群中容器当前的状态进行检测，以获得集群中第一容器的当前状态信息；在当前状态信息与期望状态信息不同的情况下，获取第一容器所在节点对应的哈希值，哈希值预先存储在节点中，且不同的节点对应不同的哈希值；基于哈希值确定第一容器对应的目标安全策略，目标安全策略表征第二容器访问第一容器的策略；利用目标安全策略对第一容器的初始安全策略进行更新。

Description

用于容器的安全策略更新方法、装置、电子设备及介质

技术领域

本公开涉及容器安全的技术领域，更具体地，涉及一种用于容器的安全策略更新方法、装置、电子设备、存储介质和程序产品。

背景技术

由于容器在隔离和安全性方面存在的天然缺陷，随着安全攻防的演练和安全意识的提升，通过安全策略保证集群容器的安全性诉求也越来越多。当集群中的节点或容器发生故障导致其不可正常运行时，控制器会自动将容器迁移至其他节点上，容器在被控制器重新拉起时，会导致容器从安全策略的控制中脱离。

相关技术中，安全策略的存储使用数组的方式，通过对数组进行检索，确定重新被拉起后的容器对应的安全策略，从而完成容器安全策略的更新。

在实现本公开构思的过程中，发明人发现相关技术中至少存在如下问题：在数组中检索安全策略的过程中，由于数据量较大，检索速度较慢，导致安全策略无法及时地进行更新。

发明内容

有鉴于此，本公开实施例提供了一种用于容器的安全策略更新方法、装置、电子设备、存储介质和程序产品。

本公开实施例的一个方面提供了一种用于容器的安全策略更新方法，包括：对集群中容器当前的状态进行检测，以获得上述集群中第一容器的当前状态信息；在上述当前状态信息与期望状态信息不同的情况下，获取上述第一容器所在节点对应的哈希值，上述哈希值预先存储在上述节点中，且不同的节点对应不同的哈希值；基于上述哈希值确定上述第一容器对应的目标安全策略，上述目标安全策略表征第二容器访问上述第一容器的策略；利用上述目标安全策略对上述第一容器的初始安全策略进行更新。

根据本公开的实施例，上述基于上述哈希值确定上述第一容器对应的目标安全策略，包括：基于上述哈希值和预设数组长度确定偏移值；基于上述偏移值和预设哈希表长度确定上述节点对应的哈希表的内存地址；基于上述内存地址，从与上述内存地址对应的存储单元中提取上述哈希表；在基于上述哈希值确定上述哈希表中存在上述目标安全策略的情况下，提取上述目标安全策略。

根据本公开的实施例，上述基于上述哈希值和预设数组长度确定偏移值，包括：对上述预设数组长度进行调整，得到目标数组长度；对上述目标数组长度和上述哈希值进行按位与处理，得到上述偏移值。

根据本公开的实施例，上述利用上述目标安全策略对上述第一容器的初始安全策略进行更新，包括：将上述目标安全策略写入上述第一容器对应的更新表中；将指向上述第一容器对应的读取表的指针指向上述更新表，确定上述更新表为新的读取表。

根据本公开的实施例，在上述获取上述第一容器所在节点对应的哈希值之前，上述方法还包括：确定上述第一容器的漂移容器信息；将上述漂移容器信息存储至漂移管道中；利用监听程序监听上述漂移管道，生成监听结果；在上述监听结果表明上述漂移管道中存在上述漂移容器信息的情况下，向策略更新端发送上述漂移容器信息。

根据本公开的实施例，上述获取上述第一容器所在节点对应的哈希值，包括：响应于上述策略更新端发送的上述漂移容器信息，获取上述第一容器所在节点对应的哈希值。

本公开实施例的另一个方面提供了一种用于容器的安全策略更新装置，包括：第一获取模块，用于提取第一容器的当前状态信息；第二获取模块，用于在上述当前状态信息与期望状态信息不同的情况下，获取上述第一容器所在节点对应的哈希值，上述哈希值预先存储在上述节点中，且不同的节点对应不同的哈希值；策略确定模块，用于基于上述哈希值确定上述第一容器对应的目标安全策略，上述目标安全策略表征第二容器访问上述第一容器的策略；策略更新模块，用于利用上述目标安全策略对上述第一容器的初始安全策略进行更新。

本公开实施例的另一个方面提供了一种电子设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序，其中，当上述一个或多个程序被上述一个或多个处理器执行时，使得上述一个或多个处理器实现如上上述的方法。

本公开实施例的另一个方面提供了一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

本公开实施例的另一个方面提供了一种计算机程序产品，所述计算机程序产品包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

根据本公开的实施例，因为采用了在当前状态信息与期望状态信息不同的情况下，获取第一容器所在节点对应的哈希值，基于哈希值确定第一容器对应的目标安全策略的技术手段，由于通过哈希值进行定位可以精准快速的查找到目标安全策略，所以至少部分地克服了对安全策略检索速度慢的技术问题，使得容器的安全策略能够及时地进行更新。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的用于容器的安全策略更新方法的示例性系统架构；

图2示意性示出了根据本公开实施例的用于容器的安全策略更新方法的流程图；

图3示意性示出了根据本公开另一实施例的用于容器的安全策略更新方法的流程图；

图4示意性示出了根据本公开实施例的用于容器的安全策略更新装置的框图；

图5示意性示出了根据本公开实施例的适于实现用于容器的安全策略更新方法的电子设备的方框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

在本公开的技术方案中，所涉及的数据(如包括但不限于用户个人信息)的收集、存储、使用、加工、传输、提供、公开和应用等处理，均符合相关法律法规的规定，采取了必要保密措施，且不违背公序良俗。

由于容器在隔离和安全性方面存在的天然缺陷，随着安全攻防的演练和安全意识的提升，通过安全策略保证集群容器的安全性诉求也越来越多。集群网络安全策略可以根据通信源头与目的，通信协议和开放端口来模拟传统的分段网络管理容器流量，这些网络通常用于在多层应用程序中隔离层，甚至控制来自外部源的流量，对容器间通信进行更细粒度的控制，然而集群容器的漂移问题，会导致配置容器安全策略失效，从而进行非法网络访问。一种针对容器漂移的网络安全控制策略同步方法成为一种通用需求。

相关技术中，通常采用一种粗略模糊的网络安全策略管理方案，实现策略静态管理。这些策略管理方案完全利用路由规则实现的动态组网，通过边界网关协议(BGP)通告路由信息，路由报文的流向完全通过路由规则控制，规则的存储通常为数组的形式导致检索速度慢。相关安全策略的管理是通过对每一条策略创建一个配置文件的方式生效，导致灵活性较差，在配置文件中配置容器的名称空间，端口号与标签，忽略了对源地址与目的地址的控制，限制较多控制进度不足且仅适用于特定场景。

有鉴于此，本公开的实施例提供了一种用于容器的安全策略更新方法，包括：对集群中容器当前的状态进行检测，以获得集群中第一容器的当前状态信息；在当前状态信息与期望状态信息不同的情况下，获取第一容器所在节点对应的哈希值，哈希值预先存储在节点中，且不同的节点对应不同的哈希值；基于哈希值确定第一容器对应的目标安全策略，目标安全策略表征第二容器访问第一容器的策略；利用目标安全策略对第一容器的初始安全策略进行更新。

图1示意性示出了根据本公开实施例的用于容器的安全策略更新方法的示例性系统架构。需要注意的是，图1所示仅为可以应用本公开实施例的系统架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，根据该实施例的系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线和/或无线通信链路等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端和/或社交平台软件等(仅为示例)。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等。

服务器105可以是提供各种服务的服务器，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。

需要说明的是，本公开实施例所提供的用于容器的安全策略更新方法一般可以由服务器105执行。相应地，本公开实施例所提供的用于容器的安全策略更新装置一般可以设置于服务器105中。本公开实施例所提供的用于容器的安全策略更新方法也可以由不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群执行。相应地，本公开实施例所提供的用于容器的安全策略更新装置也可以设置于不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群中。或者，本公开实施例所提供的用于容器的安全策略更新方法也可以由终端设备101、102、或103执行，或者也可以由不同于终端设备101、102、或103的其他终端设备执行。相应地，本公开实施例所提供的用于容器的安全策略更新装置也可以设置于终端设备101、102、或103中，或设置于不同于终端设备101、102、或103的其他终端设备中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

图2示意性示出了根据本公开实施例的用于容器的安全策略更新方法的流程图。

如图2所示，该方法包括操作S201～S204。

在操作S201，对集群中容器当前的状态进行检测，以获得集群中第一容器的当前状态信息。

在操作S202，在当前状态信息与期望状态信息不同的情况下，获取第一容器所在节点对应的哈希值，哈希值预先存储在节点中，且不同的节点对应不同的哈希值。

在操作S203，基于哈希值确定第一容器对应的目标安全策略，目标安全策略表征第二容器访问第一容器的策略。

在操作S204，利用目标安全策略对第一容器的初始安全策略进行更新。

根据本公开的实施例，容器指的是集群调度的最小单位pod(Plain old datastructure，C++语言的标准中定义的一类数据结构)，即一个或少数几个紧密耦合并共享资源的容器。对集群中容器当前的状态进行检测，在当前状态信息与期望状态信息不同的情况下，则说明集群中的节点或容器发生故障导致其不可正常运行，控制器自动将容器迁移至其他节点上，产生了容器漂移。

根据本公开的实施例，容器漂移检测是通过集群容器资源管理器如ReplicaSet(简称RS)实现的，主要是通过开发的特定钩子程序Hook对容器运行时的接口监听，来获取集群容器的状态动态变化信息，以获得集群中第一容器的当前状态信息。其中，当前状态信息包括第一容器的IP地址以及容器的身份标识。RS控制器主要用于当前状态信息与期望状态信息不同时，通过调整容器的副本数以确保由其管控的容器对象副本数在任意时刻都能精确满足期望的数量，即将挂掉的容器重新拉起。

根据本公开的实施例，第一容器发生漂移后，获取第一容器当前所在节点对应的哈希值。其中，哈希值可以从数据库中获取，不同的节点对应不同的哈希值。节点中预先存储的哈希值是以漂移容器的唯一标识作为关键字，容器安全策略作为对应的值，由于容器唯一标识包含的字段决定了其查找过程是无序的，所以要把标识字段通过一个固定的算法函数，即哈希函数，将字符串转换成一个整型数字，即哈希值。在转化过程中，可以通过将该数字对数组长度进行取余，对应的结果就当作数组的下标，将值存储在以该数字为下标的数组空间里。因为哈希表的数量通常设置为2的指数函数，因此还可以采用位运算快速得到哈希值的运算结果。

根据本公开的实施例，基于哈希值确定第一容器对应的目标安全策略，利用目标安全策略对第一容器的初始安全策略进行更新，以保障第一容器网络环境的安全性。本实施例中的安全策略更新方法使用的是集群自身的容器管理机制，不需要依赖于其他的网络组件或插件，对不同的集群有较高的普适性。

根据本公开的实施例，容器安全策略是指通过设置网络策略对容器具有的访问行为规范，包括对主机的访问或对其他容器的访问做出限制，从而保证集群网络环境的安全性。容器安全策略涉及的内容包括对通信协议，访问源IP，访问目的IP，目的端口号的访问控制。安全策略生效的主要原理是容器间通信流量会经过内核框架包过滤防火墙，运行在内核态，具备封包过滤，封包重定向和网络地址转换等功能。因此用户自定义的容器安全策略生效模式是当容器通信数据包流转到内核框架包过滤防火墙时，通过设置的软中断将数据包导向到用户态，运行在用户态的程序会将数据包流转到安全策略处理分支，根据安全策略的设置内容对数据包做出丢弃或通过的处理决定。容器漂移的会导致资源管理控制器重新拉起容器，使得容器的名称与对应IP地址发生变化，从而使容器从安全策略的控制中脱离，导致对应的安全策略无效化。

根据本公开的实施例，因为采用了在当前状态信息与期望状态信息不同的情况下，获取第一容器所在节点对应的哈希值，基于哈希值确定第一容器对应的目标安全策略的技术手段，由于通过哈希值进行定位可以精准快速的查找到目标安全策略，所以至少部分地克服了对安全策略检索速度慢的技术问题，使得容器的安全策略能够及时地进行更新。

根据本公开的实施例，基于哈希值确定第一容器对应的目标安全策略，可以包括如下步骤。

基于哈希值和预设数组长度确定偏移值；基于偏移值和预设哈希表长度确定节点对应的哈希表的内存地址；基于内存地址，从与内存地址对应的存储单元中提取哈希表；在基于哈希值确定哈希表中存在目标安全策略的情况下，提取目标安全策略。

根据本公开的实施例，偏移值是一个逻辑编号，存储的内存地址需要在获得哈希表初始地址的基础上，通过偏移值*预设哈希表长度得到对应的哈希表的内存地址。其中，预设哈希表长度是基于哈希表的类型确定的，可以为10或16等。基于内存地址从与内存地址对应的存储单元中提取哈希表，若对应空间里存在数据，则在相应位置创建新的链表存储数据，以解决产生的哈希冲突。

根据本公开的实施例，在使用哈希表查询目标安全策略时，在哈希表中逐一比较安全策略的内容与目标安全策略是否相等。若相等，则此次查找过程结束，返回目标安全策略在哈希表中对应位置上的指针地址，基于指针地址确定目标安全策略的内存位置，从而基于内存位置对目标安全策略进行提取。若不相等，则继续往下遍历单链表，若遍历完链表中的所有数据均与此次要找到的目标安全策略不相等，此时将遍历指针清空回收，返回第一容器类型的零值，表示该节点中不存在第一容器对应的目标安全策略。

根据本公开的实施例，基于哈希值和预设数组长度确定偏移值，可以包括如下步骤。

对预设数组长度进行调整，得到目标数组长度；对目标数组长度和哈希值进行按位与处理，得到偏移值。

根据本公开的实施例，对预设数组长度进行调整，可以是将预设数组长度减少一位，也可以是将预设数组长度增加一位，基于实际运算需求进行设置。其中，预设数组长度可以基于存储需求进行设定，可以设置为10。

根据本公开的实施例，利用目标安全策略对第一容器的初始安全策略进行更新，可以包括如下步骤。

将目标安全策略写入第一容器对应的更新表中；将指向第一容器对应的读取表的指针指向更新表，确定更新表为新的读取表。

根据本公开的实施例，确定第一容器的目标安全策略的地址后，通过开辟多个协程，实现第一容器的安全策略更新。在更新过程中，由于并发的问题可能会导致同一时刻对第一容器的安全策略读取的内容不一致，这对定位的准确性会造成干扰。为解决容器安全策略遍历导致的并发读写问题，本实施例采用一种基于空间换时间的加锁方法，通过将读取与更新分离的方式，建立读取表与更新表。对读取表中元素的访问不需要加锁，但是该表也不会进行元素的增加，元素会被先添加到更新表中然后后续再转移到读取表中。更新表是一个非线程安全的哈希表，包含新写入的关键字，并且包含读表中的所有未被删除的关键字，这可以快速地将更新表提升为读取表，继续对外提供服务。

根据本公开的实施例，如果更新表为空，那么再写入时，会新建一个更新表，这个初始的更新表是对读表的一个拷贝，但除掉了其中已被删除的关键字。对更新表的更新与删除操作需要通过加锁实现，防止在同一时刻容器发生多次漂移，需要多次更新安全策略时，多个安全策略同时写入，导致更新冲突。通过对更新表加锁，以实现更新完当前的安全策略后再进行下一次安全策略的更新。读表与更新表之间通过设置一个指针，指向对应的值，并且两表各自维护一套键，不同表的键指向的都是同一条策略。也就是说，只要修改了这个指针指向的值，对读表和更新表都是可见的。

图3示意性示出了根据本公开另一实施例的用于容器的安全策略更新方法的流程图。

如图3所示，在获取第一容器所在节点对应的哈希值之前，该方法还包括操作S301～S304。

在操作S301，确定第一容器的漂移容器信息；

在操作S302，将漂移容器信息存储至漂移管道中；

在操作S303，利用监听程序监听漂移管道，生成监听结果；

在操作S304，在监听结果表明漂移管道中存在漂移容器信息的情况下，向策略更新端发送漂移容器信息。

根据本公开的实施例，第一容器发生漂移后，从本地维护的容器信息队列进中提取出对应容器信息，基于第一容器的当前状态信息和期望状态信息生成第一容器的容器漂移事件，最后通过创建的漂移管道发布到容器安全插件中。其中，本地容器信息队列会持续维护一个键值对集合，该集合以容器身份标识作为键，以容器IP地址作为值，同时为漂移容器维护一个漂移管道，漂移管道存储的漂移容器信息为漂移前后容器对应的IP地址。

根据本公开的实施例，当集群组件StatusManager(集群中负责维护状态信息的组件)将pod状态信息同步给ApiServer(集群中负责提供访问接口的组件)时，同时会将状态信息同步到Hook(钩子程序)。Hook对状态信息查询接口的重复调用不会对集群的功能产生影响，也不会影响数据包传输的完整性。当Hook监听到有容器漂移事件到来的时候，容器安全插件首先会从这个集合里获取对应的漂移容器信息发送到对应的漂移管道中，当漂移管道中的监听程序监听到该漂移容器信息后，生成监听结果，并执行特定的回调程序将管道的内容发布出去，最后策略更新端将订阅相关的漂移容器信息。漂移容器信息订阅发布的设计模式，具有松耦合、高可靠、灵活性的优点。

根据本公开的实施例，获取第一容器所在节点对应的哈希值，可以包括如下步骤。

响应于策略更新端发送的漂移容器信息，获取第一容器所在节点对应的哈希值。

根据本公开的实施例，响应于策略更新端发送的漂移容器信息，可以从数据库中获取第一容器所在节点对应的哈希值，不同的节点对应不同的哈希值。

图4示意性示出了根据本公开实施例的用于容器的安全策略更新装置的框图。

如图4所示，安全策略更新装置400包括第一获取模块410、第二获取模块420、策略确定模块430以及策略更新模块440。

第一获取模块410，用于提取第一容器的当前状态信息；

第二获取模块420，用于在当前状态信息与期望状态信息不同的情况下，获取第一容器所在节点对应的哈希值，哈希值预先存储在节点中，且不同的节点对应不同的哈希值；

策略确定模块430，用于基于哈希值确定第一容器对应的目标安全策略，目标安全策略表征第二容器访问第一容器的策略；

策略更新模块440，用于利用目标安全策略对第一容器的初始安全策略进行更新。

根据本公开的实施例，因为采用了在当前状态信息与期望状态信息不同的情况下，获取第一容器所在节点对应的哈希值，基于哈希值确定第一容器对应的目标安全策略的技术手段，由于通过哈希值进行定位可以精准快速的查找到目标安全策略，所以至少部分地克服了对安全策略检索速度慢的技术问题，使得容器的安全策略能够及时地进行更新。

根据本公开的实施例，策略确定模块430包括第一确定子模块、第二确定子模块、提取子模块和第三确定子模块。

第一确定子模块，用于基于哈希值和预设数组长度确定偏移值。

第二确定子模块，用于基于偏移值和预设哈希表长度确定节点对应的哈希表的内存地址。

提取子模块，用于基于内存地址，从与内存地址对应的存储单元中提取哈希表。

第三确定子模块，用于在基于哈希值确定哈希表中存在目标安全策略的情况下，提取目标安全策略。

根据本公开的实施例，第一确定子模块包括调整单元和处理单元。

调整单元，用于对预设数组长度进行调整，得到目标数组长度。

处理单元，用于对目标数组长度和哈希值进行按位与处理，得到偏移值。

根据本公开的实施例，策略更新模块440包括写入子模块和第四确定子模块。

写入子模块，用于将目标安全策略写入第一容器对应的更新表中。

第四确定子模块，用于将指向第一容器对应的读取表的指针指向更新表，确定更新表为新的读取表。

根据本公开的实施例，安全策略更新装置400还包括信息确定模块、信息存储模块、监听模块和信息发送模块。

信息确定模块，用于确定第一容器的漂移容器信息；

信息存储模块，用于将漂移容器信息存储至漂移管道中；

监听模块，用于利用监听程序监听漂移管道，生成监听结果；

信息发送模块，用于在监听结果表明漂移管道中存在漂移容器信息的情况下，向策略更新端发送漂移容器信息。

根据本公开的实施例，第二获取模块420包括获取子模块。

获取子模块，用于响应于策略更新端发送的漂移容器信息，获取第一容器所在节点对应的哈希值。

根据本公开的实施例的模块、子模块、单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(Field ProgrammableGate Array，FPGA)、可编程逻辑阵列(Programmable Logic Arrays，PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(Application Specific Integrated Circuit，ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，第一获取模块410、第二获取模块420、策略确定模块430以及策略更新模块440中的任意多个可以合并在一个模块/单元/子单元中实现，或者其中的任意一个模块/单元/子单元可以被拆分成多个模块/单元/子单元。或者，这些模块/单元/子单元中的一个或多个模块/单元/子单元的至少部分功能可以与其他模块/单元/子单元的至少部分功能相结合，并在一个模块/单元/子单元中实现。根据本公开的实施例，第一获取模块410、第二获取模块420、策略确定模块430以及策略更新模块440中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，第一获取模块410、第二获取模块420、策略确定模块430以及策略更新模块440中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

需要说明的是，本公开的实施例中用于容器的安全策略更新装置部分与本公开的实施例中用于容器的安全策略更新方法部分是相对应的，用于容器的安全策略更新装置部分的描述具体参考用于容器的安全策略更新方法部分，在此不再赘述。

图5示意性示出了根据本公开实施例的适于实现用于容器的安全策略更新方法的电子设备的方框图。图5示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图5所示，根据本公开实施例的电子设备500包括处理器501，其可以根据存储在只读存储器(Read-Only Memory，ROM)502中的程序或者从存储部分508加载到随机访问存储器(Random Access Memory，RAM)503中的程序而执行各种适当的动作和处理。处理器501例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器501还可以包括用于缓存用途的板载存储器。处理器501可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 503中，存储有电子设备500操作所需的各种程序和数据。处理器501、ROM502以及RAM 503通过总线504彼此相连。处理器501通过执行ROM 502和/或RAM 503中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 502和RAM 503以外的一个或多个存储器中。处理器501也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，电子设备500还可以包括输入/输出(I/O)接口505，输入/输出(I/O)接口505也连接至总线504。系统500还可以包括连接至I/O接口505的以下部件中的一项或多项：包括键盘、鼠标等的输入部分506；包括诸如阴极射线管(CRT)、液晶显示器(Liquid Crystal Display，LCD)等以及扬声器等的输出部分507；包括硬盘等的存储部分508；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分509。通信部分509经由诸如因特网的网络执行通信处理。驱动器510也根据需要连接至I/O接口505。可拆卸介质511，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器510上，以便于从其上读出的计算机程序根据需要被安装入存储部分508。

根据本公开的实施例，根据本公开实施例的方法流程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分509从网络上被下载和安装，和/或从可拆卸介质511被安装。在该计算机程序被处理器501执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质。例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM(Erasable Programmable Read Only Memory，EPROM)或闪存)、便携式紧凑磁盘只读存储器(Computer Disc Read-Only Memory，CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 502和/或RAM 503和/或ROM 502和RAM 503以外的一个或多个存储器。

本公开的实施例还包括一种计算机程序产品，其包括计算机程序，该计算机程序包含用于执行本公开实施例所提供的方法的程序代码，当计算机程序产品在电子设备上运行时，该程序代码用于使电子设备实现本公开实施例所提供的用于容器的安全策略更新方法。

在该计算机程序被处理器501执行时，执行本公开实施例的系统/装置中限定的上述功能。根据本公开的实施例，上文描述的系统、装置、模块、单元等可以通过计算机程序模块来实现。

在一种实施例中，该计算机程序可以依托于光存储器件、磁存储器件等有形存储介质。在另一种实施例中，该计算机程序也可以在网络介质上以信号的形式进行传输、分发，并通过通信部分509被下载和安装，和/或从可拆卸介质511被安装。该计算机程序包含的程序代码可以用任何适当的网络介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。

根据本公开的实施例，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开实施例提供的计算机程序的程序代码，具体地，可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。程序设计语言包括但不限于诸如Java，C++，python，“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (10)

1.一种用于容器的安全策略更新方法，包括：

对集群中容器当前的状态进行检测，以获得所述集群中第一容器的当前状态信息；

在所述当前状态信息与期望状态信息不同的情况下，获取所述第一容器所在节点对应的哈希值，所述哈希值预先存储在所述节点中，且不同的节点对应不同的哈希值；

基于所述哈希值确定所述第一容器对应的目标安全策略，所述目标安全策略表征第二容器访问所述第一容器的策略；

利用所述目标安全策略对所述第一容器的初始安全策略进行更新。

2.根据权利要求1所述的方法，其中，所述基于所述哈希值确定所述第一容器对应的目标安全策略，包括：

基于所述哈希值和预设数组长度确定偏移值；

基于所述偏移值和预设哈希表长度确定所述节点对应的哈希表的内存地址；

基于所述内存地址，从与所述内存地址对应的存储单元中提取所述哈希表；

在基于所述哈希值确定所述哈希表中存在所述目标安全策略的情况下，提取所述目标安全策略。

3.根据权利要求2所述的方法，其中，所述基于所述哈希值和预设数组长度确定偏移值，包括：

对所述预设数组长度进行调整，得到目标数组长度；

对所述目标数组长度和所述哈希值进行按位与处理，得到所述偏移值。

4.根据权利要求1所述的方法，其中，所述利用所述目标安全策略对所述第一容器的初始安全策略进行更新，包括：

将所述目标安全策略写入所述第一容器对应的更新表中；

将指向所述第一容器对应的读取表的指针指向所述更新表，确定所述更新表为新的读取表。

5.根据权利要求1所述的方法，其中，在所述获取所述第一容器所在节点对应的哈希值之前，所述方法还包括：

确定所述第一容器的漂移容器信息；

将所述漂移容器信息存储至漂移管道中；

利用监听程序监听所述漂移管道，生成监听结果；

在所述监听结果表明所述漂移管道中存在所述漂移容器信息的情况下，向策略更新端发送所述漂移容器信息。

6.根据权利要求5所述的方法，其中，所述获取所述第一容器所在节点对应的哈希值，包括：

响应于所述策略更新端发送的所述漂移容器信息，获取所述第一容器所在节点对应的哈希值。

7.一种用于容器的安全策略更新装置，包括：

第一获取模块，用于提取第一容器的当前状态信息；

第二获取模块，用于在所述当前状态信息与期望状态信息不同的情况下，获取所述第一容器所在节点对应的哈希值，所述哈希值预先存储在所述节点中，且不同的节点对应不同的哈希值；

策略确定模块，用于基于所述哈希值确定所述第一容器对应的目标安全策略，所述目标安全策略表征第二容器访问所述第一容器的策略；

策略更新模块，用于利用所述目标安全策略对所述第一容器的初始安全策略进行更新。

8.一种电子设备，包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现权利要求1～6中任一项所述的方法。

9.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器实现权利要求1～6中任一项所述的方法。

10.一种计算机程序产品，所述计算机程序产品包括计算机程序，所述计算机程序被处理器执行时用于实现权利要求1～6中任一项所述的方法。

Images