CN117640765A - 云环境服务访问方法及系统 - Google Patents

Abstract

本发明提供了一种云环境服务访问方法及系统，所述云环境服务访问方法包括步骤S1，用户通过客户端向服务暴露组件发起申请访问远端服务请求指令，判断是否向K8s集群管理服务转发请求；步骤S2，K8s集群管理服务根据请求指令自查集群列表，完成资源创建和权限配置，获取转发配置信息，经过加密后将转发配置信息返回给服务暴露组件；步骤S3，服务暴露组件收到转发配置信息后，对信息进行解密，监测各个集群的Service的变化；步骤S4，使用流传输将本地流量转发到远端，并向客户端发送转发结果，若转发成功，则进入步骤S5，若转发失败，则不做反馈；步骤S5，客户端访问远端服务，以解决端口暴露安全隐患问题，满足用户对外部访问方便、快捷连接的需求。

Description

云环境服务访问方法及系统

技术领域

本发明涉及云环境服务访问技术领域，更具体地说，涉及一种云环境服务访问方法及系统。

背景技术

随着云原生架构的兴起，越来越多企业将其应用部署到K8s(容器编排平台)上，采用多云、多集群的部署模式已经成为常态。在K8s集群中托管大量容器化应用和服务，这些服务需要对集群外的客户端进行访问。尽管K8s提供了多种服务对外暴露的方式，如NodePort(节点端口)、LoadBalancer(负载均衡器)和Ingress(入口)，但各自存在使用限制，难以满足用户对外部访问方便、快捷连接的需求。具体而言，这些方式的缺陷包括：NodePort：存在端口冲突的可能性，可能导致服务在冲突的节点上无法访问。此外，实际使用中，IT系统的安全组可能仅支持VPC(虚拟专用网络)级别的限制，不支持IP级别，因此端口暴露可能存在安全隐患。用户所在的网络环境也难以确保与多个位置的K8s集群直接连通。LoadBalancer：通常需要云服务提供商的支持，并且配置相对较为复杂。此外，需要额外的负载均衡器资源，从而增加了基础架构成本。Ingress：在使用之前需要了解应用的路由规则，配置较为复杂。此外，暴露的服务需要支持HTTP(超文本传输协议)，而协议支持有限。

发明内容

本发明提供一种云环境服务访问方法及系统，旨在解决端口暴露安全隐患问题，满足用户对外部访问方便、快捷连接的需求。

为实现上述目的，本发明提供了一种云环境服务访问方法，包括：

步骤S1，用户通过客户端向服务暴露组件发起申请访问远端服务请求指令，判断是否向K8s集群管理服务转发请求，若判断是，则进入步骤S2，若否，则直接访问远端服务；

步骤S2，K8s集群管理服务根据请求指令自查集群列表，连接API服务器服务，完成资源创建和权限配置，获取转发配置信息，经过加密后将转发配置信息返回给服务暴露组件；

步骤S3，服务暴露组件收到转发配置信息后，对信息进行解密，然后组装成可访问K8s集群API服务器的K8s配置文件内容，并监测各个集群的Service的变化；

步骤S4，当Service新增时，构建命名空间Service关联的容器组的端口转发子资源的统一资源定位符，使用流传输将本地流量转发到远端，并向客户端发送转发结果，若转发成功，则进入步骤S5，若转发失败，则不做反馈；

步骤S5，客户端访问远端服务。

在一个实施例中，步骤S1中，请求指令包括传递参数，所述参数包括集群名、命令空间、服务名和转发端口。

在一个实施例中，步骤S1中，服务暴露组件收到请求指令后会先检查本地的K8s配置文件内容中集群是否包含相应的集群名，命名空间是否包含相应的命名空间。如果不包含集群名或不包含命名空间，进入步骤S2，若都包含，则直接响应配置已存在，用户可以直接访问远端服务。

在一个实施例中，步骤S2中，连接API服务器，根据请求参数，在指定的命名空间中创建服务账号、角色和角色绑定资源，实现服务账号和用户角色的关联，配置用户角色以赋予容器组资源列举权限、获取权限、监视权限和Services资源获取权限，从命名空间的密钥中获取转发配置信息，所述转发配置信息包括证书颁发机构数据和服务器。

在一个实施例中，步骤S3中，若本地不存在K8s配置文件，则创建新的K8s配置文件，若已存在K8s配置文件，则更新K8s配置文件内容，更新时，会增加集群和用户部分，自定义命名空间字段以记录指定集群可以监听和访问具体命令空间下的服务。

在一个实施例中，步骤S3中，服务暴露组件通过用户级线程同时连接多个K8s集群的API服务器，通过列举与监视机制自动发现各个集群的Service资源的变化。

在一个实施例中，步骤S4中，当Service新增时，生成对应命名空间下与该Service关联的正常运行容器组实例的端口转发子资源的统一资源定位符，若未指定转发端口，则转发端口与远端服务的端口一致，经由SPDY协议的客户端使用数据流传输，将本地流量转发到远端，同时，在本地的主机文件中新增一条记录，用于服务名称的本地解析。

在一个实施例中，当Service删除时，关闭相应的客户端连接，同时清除相应服务名称的本地主机修改记录。

一种云环境服务访问系统，用于实现云环境服务访问方法，包括：

获取模块，所述获取模块包括请求单元、创建单元、获取单元和更新单元，所述请求单元用于请求K8s集群管理服务远程访问K8s集群的API服务器，所述创建单元用于在集群中创建服务账号、角色、角色绑定，所述获取单元用于从集群的保密字典中获取有访问限制的经过自定义加密处理的K8s配置文件，所述更新单元按照集群、用户、命名空间的层级动态更新到本地的K8s配置文件中；

转发模块，所述转发模块包括跟踪单元、实现单元、映射单元，所述跟踪单元用于跟踪多个K8s集群中远端服务的变化，所述实现单元用于实现本地到远端服务流量的转发和卸载，所述映射单元用于将大量字符串映射到较小的数字范围，以在内存中更高效的存储和查找字符串；

发送模块，所述发送模块包括维护单元，以维护来自客户端的请求连接。

在一个实施例中，步骤S1中，所述字符串包括K8s集群名和命名空间，将K8s集群名和命名空间哈希取低位值处理或ASCII码求和取余处理后，再映射为0到255范围内的数字，以获得K8s集群序号和命令空间序号。

在一个实施例中，K8s会为每个服务分配一个本地IP地址，并将这些地址加入到回环接口中，以便于在集群内进行通信，基于服务信息，本地维护转发映射表，实现服务端点变更时的动态更新。

在一个实施例中，所述发送模块按照转发表格的映射选择远端服务，通过连接池向实际后端服务发送请求，并获取相应的响应，所述发送模块支持超时重试和熔断节流。

本发明具有如下有益效果：

1、可靠性：通过在本地缓存集群配置、维护转发映射表以及自发现远端集群的服务来暴露流量，实现持久、可靠的应用访问。

2、安全性：通过服务暴露组件完成对转发的配置和连接管理，用户仅需一次转发申请操作即可在本地安全访问远端服务，避免远端机器暴露不必要的端口，提高安全性，减轻了端口暴露的安全隐患。

3、高效率性：通过建立K8s集群、命名空间与本地网段地址的映射，将相关IP绑定到回环接口后支持多集群的批量访问，提高访问效率。

附图说明

图1为本发明一实施例的云环境服务访问方法的流程示意图；

图2为本发明一实施例的云环境服务访问系统的结构框图。

其中，100为获取模块；110为请求单元；120为获取单元；130为更新单元；200为转发模块；210为跟踪单元；220为实现单元；230为映射单元；300为发送模块；310为维护单元。

具体实施方式

为使本申请实施的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行更加详细的描述。在附图中，相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。所描述的实施例是本申请一部分实施例，而不是全部的实施例。下面通过参考附图描述的实施例是示例性的，旨在用于解释本申请，而不能理解为对本申请的限制。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下为本申请中的术语解释：

K8s(Kubernetes，容器编排系统)：一个开源的容器编排平台,提供跨主机集群的自动化部署、扩展和管理容器化应用程序的功能。

Pod(容器组)：Kubernetes的基本编排单元,是一组紧密关联的容器集合。

NodePort：是Kubernetes中一种服务类型,它可以在集群中的每个Node上暴露一个端口,这样就可以从集群外访问该服务。

LoadBalancer：是Kubernetes中一种服务类型,它可以将服务暴露给外部负载均衡器,从而实现对服务的外部访问。

Ingress：是Kubernetes中一个资源类型,它允许通过规则配置的方式将服务暴露给集群外部。

SPDY：是一种网络传输协议，它是Google推出的一个开源网络协议,目的是要增强HTTP的性能。

APISERVER(API服务器)：在Kubernetes中，API服务器是集群的主要管理点，负责处理对Kubernetes API的所有请求。

kubeconfig(K8s配置文件)：kubeconfig是Kubernetes的配置文件，用于存储访问集群所需的信息，例如集群地址、证书、认证令牌等。

port-forward(端口转发)：在Kubernetes中，kubectl port-forward命令用于在本地机器和集群内的Pod之间建立端口转发，使得可以通过本地端口直接访问运行在集群中的应用程序。

URL(统一资源定位符)：是一种用于标识和定位互联网上资源的标准，它包含了资源的地址以及访问该资源所需的协议信息。

clusters(集群)：是一组相互连接的计算机或服务器，它们通过网络协同工作，以提供更高的性能、可用性和可伸缩性。

ListAndWatch(列举与监视)：是一种用于观察资源变化的机制，通常用于客户端与Kubernetes API Server之间的交互。

Service：提供一个固定的入口点，允许应用程序的不同部分通过服务名称和端口进行通信，而无需关心底层Pod的具体IP地址和端口。

systemd(系统守护进程)：是一个软件套件，可以提供更快的启动速度、更简单的配置和更强大的管理功能。

ASCII(美国标准信息交换码)：是一种将字符映射到数字的编码标准。

XXTEA(Tiny Encryption Algorithm)：是一种简单而有效的加密算法，用于加密和解密数据。

图1为本发明一实施例的云环境服务访问方法的流程示意图，所述云环境服务访问方法包括：

步骤S1，用户通过客户端向服务暴露组件发起申请访问远端服务请求指令，判断是否向K8s集群管理服务转发请求，若判断是，则进入步骤S2，若否，则直接访问远端服务；

步骤S2，K8s集群管理服务根据请求指令自查集群列表，连接APISERVER服务，完成资源创建和权限配置，获取转发配置信息，经过加密后将转发配置信息返回给服务暴露组件；

步骤S3，服务暴露组件收到转发配置信息后，对信息进行解密，然后组装成可访问K8s集群APISERVER的kubeconfig内容，并监测各个集群的Service的变化；

步骤S4，当Service新增时，构建命名空间Service关联的Pod的port-forward子资源的URL，使用流传输将本地流量转发到远端，并向客户端发送转发结果，若转发成功，则进入步骤S5，若转发失败，则不做反馈；

步骤S5，客户端访问远端服务。

在一个实施例中，步骤S1中，请求指令包括传递参数，所述参数包括K8s集群名、命令空间、服务名和转发端口。

在一个实施例中，步骤S1中，服务暴露组件收到请求指令后会先检查本地的kubeconfig文件内容中集群是否包含相应的集群名称，命名空间是否包含相应的命名空间。如果不包含集群名称或不包含命名空间，进入步骤S2，若都包含，则直接响应配置已存在，用户可以直接访问远端服务。

具体地，访问地址为<服务名称>:<服务默认端口>。如果需要指定转发端口，则需在请求参数中添加转发端口。

在一个实施例中，步骤S2中，连接API服务器，根据请求参数，在指定的命名空间中创建服务账号、角色和角色绑定资源，实现服务账号和用户角色的关联，配置用户角色以赋予容器组资源列举权限、获取权限、监视权限和Services资源获取权限，从命名空间的密钥中获取转发配置信息，所述转发配置信息包括证书颁发机构数据和服务器。

在一个实施例中，步骤S3中，若本地不存在kubeconfig文件，则创建新的kubeconfig文件，若已存在kubeconfig文件，则更新kubeconfig文件内容，更新时，会增加clusters和用户部分，自定义命名空间字段以记录指定cluster可以监听和访问具体命令空间下的服务。

在一个实施例中，步骤S3中，服务暴露组件通过用户级线程同时连接多个K8s集群的APISERVER，通过ListAndWatch机制自动发现各个集群的Service资源的变化。

在一个实施例中，步骤S4中，当Service新增时，生成对应命名空间下与该Service关联的正常运行Pod实例的port-forward子资源的URL，若未指定转发端口，则转发端口与远端服务的端口一致，经由SPDY协议客户端使用流传输，将本地流量转发到远端，同时，在本地的主机文件中新增一条记录，用于服务名称的本地解析。

在一个实施例中，当Service删除时，关闭相应的客户端连接，同时清除相应服务名称的本地主机修改记录。

图2为一实施例的云环境服务访问系统的结构框图，用于实现云环境服务访问方法，包括：

获取模块100，所述获取模块100包括请求单元110、创建单元、获取单元120和更新单元130，所述请求单元110用于请求K8s集群管理服务远程访问K8s集群的APISERVER，所述创建单元用于在集群中创建服务账号、角色、角色绑定，所述获取单元120用于从集群的保密字典中获取有访问限制的经过自定义加密处理的kubeconfig，所述更新单元130按照cluster、用户、命名空间的层级动态更新到本地的kubeconfig文件中；

转发模块200，所述转发模块200包括跟踪单元210、实现单元220、映射单元230，所述跟踪单元210用于跟踪多个K8s集群中远端服务的变化，所述实现单元220用于实现本地到远端服务流量的转发和卸载，所述映射单元230用于将大量字符串映射到较小的数字范围，以在内存中更高效的存储和查找字符串；

发送模块300，所述发送模块300包括维护单元310，以维护来自客户端的请求连接。

在一个实施例中，步骤S1中，所述字符串包括K8s集群名和命名空间，将K8s集群名和命名空间哈希取低位值处理或ASCII求和取余处理后，再映射为0到255范围内的数字，以获得K8s集群序号和命令空间序号。

在一个实施例中，K8s会为每个服务分配一个本地IP地址，并将这些地址加入到回环接口中，以便于在集群内进行通信，基于服务信息，本地维护转发映射表，实现服务端点变更时的动态更新。

具体地，即使有相同的服务名称，也可以通过不同的IP地址进行区分。

在一个实施例中，所述发送模块300按照转发表格的映射选择远端服务，通过连接池向实际后端服务发送请求，并获取相应的响应，所述发送模块300支持超时重试和熔断节流。

具体地，本地IP的分配公式即为127.<K8s集群索引/255>.<命名空间索引/255>.<映射索引>。

本发明专利实施例描述如下：

步骤一，在用户网络可访问的一台主机上安装本专利的服务暴露组件。服务暴露组件采用二进制包部署，以服务器模式启动，启动命令为“kfwd–server”，默认监听端口为9280。为保证服务开机自启动以及故障自重启，默认采用systemd服务托管。

步骤二，用户向服务暴露组件发送远端服务访问申请，请求地址为http://<用户侧主机IP>:9280/fwd？cluster-name＝k8s01&Namespace＝mysql&Service-name＝mysql。

步骤三，服务暴露组件自检查，发现本地用户目录下无kubeconfig文件，转发远端服务访问申请给K8s集群管理服务。

步骤四，K8s集群管理服务解析请求参数，获得集群名为k8s01、命名空间为mysql、服务名为mysql。自查K8s集群列表，获得对应集群APISERVER的访问地址，依次调用创建服务账户、创建角色、创建角色绑定的接口。角色和角色绑定示例内容如下：

同命名空间下，有个同名的Secret，提取其中的字段“certificate-authority-data”、“server”的内容，通过XX-TEA加密后返回给服务暴露组件。

步骤五，服务暴露组件通过XX-TEA解密出“certificate-authority-data”、“server”的内容，按照kubeconfig的规范格式生成kubeconfig内容，写入到本地的kubeconfig文件中。同时，服务暴露组件检测到有新的Cluster配置变更，自动按照访问地址连接APISERVER，启动SPDY协议客户端转发本地流量到mysql命令空间下mysql服务关联的一个正常运行的Pod(mysql-test-0)，转发路径为/pods/mysql-test-0/portforward。

步骤六，服务暴露组件修改本地的Hosts文件，增加一条记录“127.1.1.1mysql”。同时，添加127.1.1.1到回环接口上。用户在本地即可通过mysql:3306即可访问远端K8s集群的MySQL服务。

本发明具有如下有益效果：

1、可靠性：通过在本地缓存集群配置、维护转发映射表以及自发现远端集群的服务来暴露流量，实现持久、可靠的应用访问。

2、安全性：通过服务暴露组件完成对转发的配置和连接管理，用户仅需一次转发申请操作即可在本地安全访问远端服务，避免远端机器暴露不必要的端口，提高安全性，减轻了端口暴露的安全隐患。

3、高效率性：通过建立K8s集群、命名空间与本地网段地址的映射，将相关IP绑定到回环接口后支持多集群的批量访问，提高访问效率。

在本申请的描述中，需要说明的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本申请的示例性实施方式。为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

需要说明的是，在本申请中，术语包括、包含或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。还需要指出的是，本申请实施方式中的方法和装置的范围不限按示出或讨论的顺序来执行功能，还可包括根据所涉及的功能按基本同时的方式或按相反的顺序来执行功能，例如，可以按不同于所描述的次序来执行所描述的方法，并且还可以添加、省去、或组合各种步骤。另外，参照某些示例所描述的特征可在其他示例中被组合。

上述实施例是提供给熟悉本领域内的人员来实现或使用本申请的，熟悉本领域的人员可在不脱离本申请的申请思想的情况下，对上述实施例作出种种修改或变化，因而本申请的保护范围并不被上述实施例所限，而应该是符合权利要求书提到的创新性特征的最大范围。

Claims (12)

1.一种云环境服务访问方法，其特征在于，所述云环境服务访问方法包括：

步骤S1，用户通过客户端向服务暴露组件发起申请访问远端服务请求指令，判断是否向K8s集群管理服务转发请求，若判断是，则进入步骤S2，若否，则直接访问远端服务；

步骤S2，K8s集群管理服务根据请求指令自查集群列表，连接API服务器服务，完成资源创建和权限配置，获取转发配置信息，经过加密后将转发配置信息返回给服务暴露组件；

步骤S3，服务暴露组件收到转发配置信息后，对信息进行解密，然后组装成可访问K8s集群API服务器的K8s配置文件内容，并监测各个集群的Service的变化；

步骤S4，当Service新增时，构建命名空间Service关联的容器组的端口转发子资源的统一资源定位符，使用流传输将本地流量转发到远端，并向客户端发送转发结果，若转发成功，则进入步骤S5，若转发失败，则不做反馈；

步骤S5，客户端访问远端服务。

2.根据权利要求1所述的云环境服务访问方法，其特征在于，步骤S1中，请求指令包括传递参数，所述参数包括集群名、命令空间、服务名和转发端口。

3.根据权利要求2所述的云环境服务访问方法，其特征在于，步骤S1中，服务暴露组件收到请求指令后会先检查本地的K8s配置文件内容中集群是否包含相应的集群名，命名空间是否包含相应的命名空间。如果不包含集群名或不包含命名空间，进入步骤S2，若都包含，则直接响应配置已存在，用户可以直接访问远端服务。

4.根据权利要求1所述的云环境服务访问方法，其特征在于，步骤S2中，连接API服务器，根据请求参数，在指定的命名空间中创建服务账号、角色和角色绑定资源，实现服务账号和用户角色的关联，配置用户角色以赋予容器组资源列举权限、获取权限、监视权限和Services资源获取权限，从命名空间的密钥中获取转发配置信息，所述转发配置信息包括证书颁发机构数据和服务器。

5.根据权利要求1所述的云环境服务访问方法，其特征在于，步骤S3中，若本地不存在K8s配置文件，则创建新的K8s配置文件，若已存在K8s配置文件，则更新K8s配置文件内容，更新时，会增加集群和用户部分，自定义命名空间字段以记录指定集群可以监听和访问具体命令空间下的服务。

6.根据权利要求5所述的云环境服务访问方法，其特征在于，步骤S3中，服务暴露组件通过用户级线程同时连接多个K8s集群的API服务器，通过列举与监视机制自动发现各个集群的Service资源的变化。

7.根据权利要求6所述的云环境服务访问方法，其特征在于，步骤S4中，当Service新增时，生成对应命名空间下与该Service关联的正常运行容器组实例的端口转发子资源的统一资源定位符，若未指定转发端口，则转发端口与远端服务的端口一致，经由SPDY协议的客户端使用数据流传输，将本地流量转发到远端，同时，在本地的主机文件中新增一条记录，用于服务名称的本地解析。

8.根据权利要求7所述的云环境服务访问方法，其特征在于，当Service删除时，关闭相应的客户端连接，同时清除相应服务名称的本地主机修改记录。

9.一种云环境服务访问系统，用于实现权利要求1-8任一项所述的云环境服务访问方法，包括：

获取模块，所述获取模块包括请求单元、创建单元、获取单元和更新单元，所述请求单元用于请求K8s集群管理服务远程访问K8s集群的API服务器，所述创建单元用于在集群中创建服务账号、角色、角色绑定，所述获取单元用于从集群的保密字典中获取有访问限制的经过自定义加密处理的K8s配置文件，所述更新单元按照集群、用户、命名空间的层级动态更新到本地的K8s配置文件中；

转发模块，所述转发模块包括跟踪单元、实现单元、映射单元，所述跟踪单元用于跟踪多个K8s集群中远端服务的变化，所述实现单元用于实现本地到远端服务流量的转发和卸载，所述映射单元用于将大量字符串映射到较小的数字范围，以在内存中更高效的存储和查找字符串；

发送模块，所述发送模块包括维护单元，以维护来自客户端的请求连接。

10.根据权利要求1所述的云环境服务访问系统，其特征在于，步骤S1中，所述字符串包括K8s集群名和命名空间，将K8s集群名和命名空间哈希取低位值处理或ASCII码求和取余处理后，再映射为0到255范围内的数字，以获得K8s集群序号和命令空间序号。

11.根据权利要求10所述的云环境服务访问系统，其特征在于，K8s会为每个服务分配一个本地IP地址，并将这些地址加入到回环接口中，以便于在集群内进行通信，基于服务信息，本地维护转发映射表，实现服务端点变更时的动态更新。

12.根据权利要求11所述的云环境服务访问系统，其特征在于，所述发送模块按照转发表格的映射选择远端服务，通过连接池向实际后端服务发送请求，并获取相应的响应，所述发送模块支持超时重试和熔断节流。