一种镜像管理方法及装置制造方法及图纸

本申请实施例提供一种镜像管理方法及装置，该方法包括：接收第一终端设备发送的签名者的信息和目标镜像的信息；该签名者为指定为目标镜像进行签名的对象；基于签名者的信息和目标镜像的信息获得签名文件；若在容器平台返回的目标镜像的第一摘要与基于签名文件得到的第二摘要匹配，则指示容器平台允许使用目标镜像启动容器。本申请实施例提出了通过签名技术实现细粒度的并易用的镜像控制功能，在容器镜像全生命周期中保障镜像内容安全和容器平台安全。台安全。台安全。

【技术实现步骤摘要】
一种镜像管理方法及装置


[0001]本申请涉及云计算、信息安全
，尤其涉及一种镜像管理方法及装置。

技术介绍

[0002]容器技术是一种操作系统层面的进程级虚拟化技术，通过对CPU、内存和文件系统等资源进行划分、隔离和控制，实现进程之间透明的、互不影响的资源使用。在生产环境中使用容器技术需要容器平台和镜像之间的共同配合。
[0003]其中，容器平台是运行容器的系统，通常来说可以包含服务器、云平台、容器引擎、容器编排工具等中的一项或者多项，可实现容器部署、运行、维护、管理等功能。
[0004]镜像是容器的基础，容器引擎可使用镜像启动容器。镜像是由封装好的文件系统和描述镜像的元数据构成的文件系统包，包含一个应用所需要的全部要素包括系统、环境、配置和应用程序代码本身等。也就是说，镜像内容的安全性直接影响到容器运行的安全性，进而影响到容器底层计算、存储和网络基础设施的安全性。
[0005]因此，如何保证镜像的完整性和安全性是本领域技术人员正在研究的热点问题。

技术实现思路

[0006]本申请实施例公开了一种镜像管理方法及装置，能够实现对镜像的安全性和完整性的控制，保障镜像内容安全和容器平台的安全，提升用户体验。
[0007]本申请实施例第一方面公开了一种镜像管理方法，包括：
[0008]接收第一终端设备发送的签名者的信息和目标镜像的信息；该签名者为指定为目标镜像进行签名的对象；
[0009]基于签名者的信息和目标镜像的信息获得签名文件；
[0010]若在容器平台返回的目标镜像的第一摘要与基于签名文件得到的第二摘要匹配，则指示容器平台允许使用目标镜像启动容器。
[0011]在上述实施例中，通过第一终端设备获取签名者的信息和目标镜像的信息，根据签名者的信息和目标镜像的信息获取目标镜像的签名文件。由于目标镜像的摘要与目标镜像的内容之间存在映射关系，若目标镜像内容被纂改，则目标镜像的摘要也会对应变化，因此，在容器平台使用目标镜像启动容器时，若验证目标镜像的第一摘要与生成签名文件时的目标镜像的第二摘要匹配，则说明目标镜像的内容没有被纂改，因此可以指示容器平台允许使用目标镜像启动容器，从而可以实现对目标镜像的安全性和完整性的控制，保障了目标镜像内容安全和容器平台的安全。
[0012]此外，签名者只需要通过第一终端设备即可对镜像进行签名，无需签名者在本地终端生成密钥对、保存密钥、生成签名文件等等，提高了镜像的安全性，也减轻了签名者的操作复杂度，提升了用户体验。
[0013]上述方法实施例可以执行在镜像开发前、镜像推送时、镜像使用时，因此采用上述方法实施例可以实现对镜像整个生命周期的跟踪，且可以与镜像构建的流水线(pipeline)
进行耦合，适配当前的云原生开发技术。
[0014]在第一方面的一种可能的实施方式中，在接收第一终端设备发送的签名者的信息和所述目标镜像的信息之前，所述方法还包括：
[0015]接收第二终端设备发送的目标镜像的指示信息和所述签名者的描述信息。进一步的，该签名者的描述信息用于指示对目标镜像进行签名的签名者。
[0016]可以看出，第二终端设备可以指示需要哪些签名者对目标镜像进行签名。在一种可能的设计中，管理员通过第二终端设备输入镜像的控制策略，该控制策略包含前述的目标镜像的指示信息和所述签名者的描述信息，该控制策略用于对目标镜像进行控制。可以看出，管理员只需要输入控制策略，即可实现对镜像的控制，提升了用户体验。尤其对于存在有多个镜像需要管理时(例如企业、组织等对开发的镜像的管理)，可以实现镜像研发团队、镜像管理团队、镜像签名者之间的解耦，提升了用户体验。
[0017]在第一方面的又一种可能的实施方式中，所述目标镜像的指示信息包括所述目标镜像的身份标识和/或用于运行所述目标镜像的容器集群的标识信息。
[0018]可以看出，通过本申请实施例，不仅可以实现对单个镜像的控制功能，还可以实现对需要在某容器集群中运行的多个镜像进行控制，从而实现各种粒度的镜像控制功能，满足了用户对单个镜像、多个镜像、需要在某一容器集群运行的镜像的控制需求。
[0019]在第一方面的又一种可能的实施方式中，所述签名者的信息中包括签名者的身份信息，所述方法还包括：
[0020]根据所述身份信息确定所述至少一个签名者的身份认证通过。
[0021]上述说明了镜像管理过程中可以对签名者的身份进行认证，这样可以避免不可信的签名者对签名文件进行签名，提高了镜像的安全性。
[0022]在第一方面的又一种可能的实施方式中，所述根据所述身份信息确定所述至少一个签名者的身份信息认证通过，包括：
[0023]接收所述第二终端设备发送的所述签名者的认证信息；
[0024]根据所述签名者的认证信息和所述身份信息，确定所述签名者的身份验证通过。
[0025]上述提供了一种认证签名者的身份的方法，(管理员或者自动化管理程序等)可以通过第二终端设备可以设定签名者的认证信息，第一终端设备上传签名者的身份信息时，可以将该身份信息与认证信息进行比对，若比对一致则说明签名者的身份可信。
[0026]在第一方面的又一种可能的实施方式中，通过应用程序接口API支持与所述第二终端设备、所述第一终端设备、所述容器平台之间的信息传输。
[0027]上述说明了通信的方式，通过API接口与第二终端设备、第一终端设备和容器平台之间进行连接，上述设备通过只需通过API接口调用相关功能，即可实现镜像管理、镜像签名、镜像启动控制等功能，降低了用户操作难度。
[0028]在第一方面的又一种可能的实施方式中，所述接收第二终端设备发送的至少一个签名者的描述信息之后，所述方法还包括：
[0029]生成所述签名者对应的密钥对，所述密钥对包括公钥和私钥。
[0030]上述说明了镜像管理过程中可以生成密钥对，该密钥对可以在签名、身份认证、启动控制过程中使用。进一步的，该密钥对可以保存在镜像管理装置中，无需用户在本地保存公私钥等，可以避免密钥泄露。
[0031]在第一方面的又一种可能的实施方式中，所述目标镜像的信息包括所述目标镜像的哈希值；所述签名者的信息对应有所述签名者的私钥；所述基于所述签名者的信息和所述目标镜像的信息获得签名文件，包括：
[0032]使用所述签名者的私钥和所述目标镜像的哈希值，生成所述签名文件。
[0033]上述说明了生成签名文件的方式，镜像的信息中包括镜像的哈希值，通过签名者的私钥和镜像的哈希值可以生成签名文件。由于镜像的内容与镜像的哈希值之间存在映射关系，若镜像内容被纂改，则镜像的摘要也会对应变化，从而可以通过镜像哈希值辨别镜像的内容是否被纂改。
[0034]在第一方面的又一种可能的实施方式中，所述方法还包括：
[0035]接收容器平台发送的请求消息，所述请求信息用于请求使用所述目标镜像启动容器平台上的所述容器。进一步的，该请求消息中包括所述第一摘本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种镜像管理方法，其特征在于，所述方法包括：接收第一终端设备发送的签名者的信息和目标镜像的信息；所述签名者为指定为所述目标镜像进行签名的对象；基于所述签名者的信息和所述目标镜像的信息获得签名文件；若在容器平台返回的所述目标镜像的第一摘要与基于所述签名文件得到的第二摘要匹配，则指示所述容器平台允许使用所述目标镜像启动容器。2.根据权利要求1中所述的方法，其特征在于，在接收第一终端设备发送的签名者的信息和所述目标镜像的信息之前，所述方法还包括：接收第二终端设备发送的所述目标镜像的指示信息和所述签名者的描述信息，其中，所述签名者的描述信息用于指示对所述目标镜像进行签名的签名者。3.根据权利要求1或2中所述的方法，其特征在于，所述签名者的信息中包括签名者的身份信息；所述方法还包括：根据所述身份信息确定所述至少一个签名者的身份认证通过。4.根据权利要求3中所述的方法，其特征在于，所述根据所述身份信息确定所述至少一个签名者的身份信息认证通过，包括：接收所述第二终端设备发送的所述签名者的认证信息；根据所述签名者的认证信息和所述身份信息，确定所述签名者的身份验证通过。5.根据权利要求1-4任一项中所述的方法，其特征在于，通过应用程序接口API支持与所述第二终端设备、所述第一终端设备、所述容器平台之间的信息传输。6.根据权利要求1-5中任一项所述的方法，其特征在于，所述接收第二终端设备发送的至少一个签名者的描述信息之后，所述方法还包括：生成所述签名者对应的密钥对，所述密钥对包括公钥和私钥。7.根据权利要求6中所述的方法，其特征在于，所述目标镜像的信息包括所述目标镜像的哈希值；所述签名者的信息对应有所述签名者的私钥；所述基于所述签名者的信息和所述目标镜像的信息获得签名文件，包括：使用所述签名者的私钥和所述目标镜像的哈希值，生成所述签名文件。8.根据权利要求6或7中所述的方法，其特征在于，所述方法还包括：接收容器平台发送的请求消息，所述请求信息用于请求使用所述目标镜像启动所述容器平台上的所述容器。9.根据权利要求6-8中任一项所述的方法，其特征在于，所述方法还包括：根据所述签名者的认证信息，将所述签名者的认证信息添加到签名者数据库。10.一种镜像管理装置，其特征在于，所述方法包括：接收单元，用于接收第一终端设备发送的签名者的信息和目标镜像的信息；所述签名者为指定为所述目标镜像进行签名的对象；处理单元，用于基于所述签名者的信息和所述目标镜像的信息获得签名文件；所述处理单元，用于若在容器平台返回的所述目标镜像的第一摘要与基于所述签名文件得到的第二摘要匹配，则指示所述容器平台...

【专利技术属性】
技术研发人员：张宇，刘建锋，
申请(专利权)人：华为技术有限公司，
类型：发明
国别省市：