[发明专利]用于多租户容器资源管理的方法和系统

说明书

本发明公开了一种用于多租户容器资源管理的方法和系统，涉及云计算领域。其中方法包括：资源接口代理模块接收租户发送的资源访问请求；资源接口代理模块从资源访问请求中提取租户标识和容器资源标识；资源接口代理模块根据租户标识和容器资源标识进行鉴权，将鉴权结果和资源访问请求发送至资源接口模块；资源接口模块根据资源访问请求对租户的容器资源进行相应的操作。本发明通过增加资源接口代理模块，对租户的操作请求进行鉴权，提高了系统的安全性；向租户开放资源接口模块，租户可以在授权和配额范围内更加灵活的配置镜像、数据卷、端口和子网等资源；同时将IPC机制的资源归于同一命名空间，提升了容器的通信效率。

技术领域

本发明涉及云计算领域，尤其涉及一种用于多租户容器资源管理的方法和系统。

背景技术

在云计算领域，Docker、LXC等容器技术是今年兴起的一种共享Linux内核的轻量级虚拟化技术，多个容器共享宿主机上的计算、存储、网络等资源，通过Linux内核的命名空间(Namespace)等机制以容器为粒度进行资源隔离，与传统虚拟机管理相比，容器资源的管理粒度更细，管理难度也更大。

然而在多租户环境下，无论是容器引擎本身还是现有的多租户虚拟资源管理方案均存在以下不足：

诸如Docker、Rocket、LXC等主流的容器引擎本身均不支持多租户，缺乏租户级的安全管控机制。现有的多租户资源管理方案中，通常将容器作为一种计算资源，例如OpenStack云计算管理平台，利用虚拟机的多租户模型把容器当作一种虚拟机租赁资源，这种方案对租户屏蔽了容器引擎的API(Application Programming Interface，应用程序编程接口)，让租户无法动态配置容器的镜像、存储、端口和服务资源，容器资源管理的灵活性差。

容器引擎通常为宿主机上的每个容器分配独立的命名空间，每个命名空间拥有独立的资源视图(进程、IPC、用户等)，每个命名空间的资源对于其他命名空间而言都是透明的，因此容器之间无法直接使用IPC(Inter-Process Communication，进程间通信)机制(进程间通信，如共享内存、信号量、管道等)进行高效通信。现有技术中的容器资源管理的系统架构如图1所示，包括虚拟机资源管理器101，虚拟机租户管理器102和容器主机100，其中容器主机100包括容器引擎103，容器引擎103包括容器资源API服务和容器资源配置器105，容器配置1051、存储配置1052和网络配置1053分别对容器资源进行相关配置，即使同一个租户的容器在同一个宿主机上，例如当容器1和容器2同属于同一租户时，它们之间也无法使用高效的IPC机制通信，只能使用相对低效的RPC(Remote Procedure Call，远程过程调用)机制(远程通信，文件、Socket套接字)通信，相同租户的容器间通信效率较低，缺少多租户下的有效管理机制。

发明内容

本发明的发明人发现了上述现有技术中存在问题，并因此针对上述问题中的至少一个问题提出了一种新的技术方案。

根据本发明的一个方面，公开了一种用于多租户容器资源管理的方法，包括：

资源接口代理模块接收租户发送的资源访问请求；

资源接口代理模块从资源访问请求中提取租户标识和容器资源标识；

资源接口代理模块根据租户标识和容器资源标识进行鉴权，将鉴权结果和资源访问请求发送至资源接口模块；

资源接口模块根据资源访问请求对租户的容器资源进行相应的操作。

在一个实施例中，资源接口模块根据资源访问请求对租户的容器资源进行相应的操作的步骤包括：

资源接口模块对租户主命名空间下的资源采用进程间的通信IPC机制通信，对不同租户之间的资源采用远程进程调用RPC机制通信。