[发明专利]用于在容器中执行服务的计算装置、系统及方法

权利要求书

1.一种用于在容器中执行服务的计算装置，包括处理器和利用所述处理器可执行的指令编码的非暂时性机器可读存储介质，所述非暂时性存储介质包括用于以下操作的指令：

在内核空间的内部区域中加载操作系统内核的内部部分；

在所述内核空间的外部区域中加载所述操作系统内核的外部部分；以及

在用户空间内的所述容器中执行服务，其中所述容器与所述操作系统内核的所述外部部分通信地耦接，并且其中所述容器与所述操作系统内核的所述内部部分分开。

2.如权利要求1所述的计算装置，其中所述非暂时性存储介质进一步包括用于以下操作的指令：

在所述内核空间的所述外部区域中加载所述操作系统内核的第二外部部分；以及

在所述用户空间内的第二容器中执行第二服务，其中所述第二容器与所述操作系统内核的所述第二外部部分通信地耦接，并且其中所述第二容器与所述操作系统内核的所述内部部分分开。

3.如权利要求2所述的计算装置，其中所述容器与所述第二容器分离。

4.如权利要求1所述的计算装置，其中所述操作系统内核的所述内部部分包括存储器管理单元、进程管理单元和特定于体系结构的代码。

5.如权利要求2所述的计算装置，其中所述容器和所述第二容器均包括独立的地址空间。

6.如权利要求2所述的计算装置，其中所述操作系统内核的所述外部部分和所述操作系统内核的所述第二外部部分均包括文件系统单元和装置驱动器单元。

7.如权利要求1所述的计算装置，其中所述内核空间的所述外部区域和所述内核空间的所述内部区域通过嵌套的页表分开。

8.如权利要求2所述的计算装置，其中所述非暂时性存储介质进一步包括用于以下操作的指令：响应于检测到对所述容器、所述服务或所述操作系统内核的所述外部部分的攻击，对受攻击的容器、服务或所述操作系统内核的外部部分采取补救行为，其中所述第二容器、第二服务和所述操作系统内核的第二外部部分不受影响。

9.一种用于在容器中执行服务的系统，包括处理器，所述处理器用于：

在内核空间的内部区域中加载操作系统内核的内部部分；

在所述内核空间的外部区域中加载所述操作系统内核的一组外部部分；

在用户空间内的一组容器中的所述容器中执行服务，其中每个容器与所述操作系统内核的所述一组外部部分中的外部部分通信地耦接，并且其中每个容器与所述操作系统内核的所述内部部分分离，并且每个容器与所述一组容器中的所有其他容器分开。

10.如权利要求9所述的系统，其中所述内核空间的所述外部区域和所述内核空间的所述内部区域通过嵌套的页表分开。

11.如权利要求9所述的系统，其中：

所述操作系统内核的所述内部部分包括存储器管理单元、进程管理单元和特定于体系结构的代码；并且

所述操作系统内核的所述一组外部部分中的每个外部部分包括文件系统单元和装置驱动器单元。

12.如权利要求9所述的系统，其中处理器用于：响应于检测到对容器、对应的服务或所述操作系统内核的对应的外部部分的攻击，对受攻击的容器、服务或所述操作系统内核的外部部分采取补救行为，其中其他的容器、服务和所述操作系统内核的外部部分不受影响。