[发明专利]一种基于容器化的密钥存储方法及系统

权利要求书

1.一种基于容器化的密钥存储方法，其特征在于，将需要使用密钥的应用程序隔离部署在容器内；启动容器，容器首次初始化生成密钥；初始化密钥，根据容器实例ID唯一的特性，初始化加密种子KEY；初始化生成密钥文件,将密钥文件通过加密种子KEY加密存储在数据库表中； 使用容器自身实例ID将密钥加密存储在数据库中；后续启动，在容器内部挂载内存文件系统；将密钥文件使用当前实例ID进行解密，并落地在容器内的内存文件系统中；使用Linuxnamespace技术，将虚拟化出的内存文件系统在容器内的mntnamespace中进行安全隔离，应用程序使用Linuxcgroup技术，将已经挂载并隔离的内存文件系统的读写访问权限限制在应用内访问，并限制虚拟内存文件系统的大小。

2.根据权利要求1所述的一种基于容器化的密钥存储方法，其特征在于，应用程序使用Linux内存文件系统技术，使用Linuxmountmemory技术虚拟化出一片内存作为内存文件系统使用；应用程序使用LinuxNamespace中mntnamespace技术，将虚拟化出的内存文件系统在容器内进行挂载；使用Linuxnamespace技术，将虚拟化出的内存文件系统在容器内的mntnamespace中进行安全隔离。

3.根据权利要求2所述的一种基于容器化的密钥存储方法，其特征在于，应用程序使用Linuxcgroup技术，将已经挂载并隔离的内存文件系统的读写访问权限限制在应用内访问，并限制虚拟内存文件系统的大小；后续启动应用程序根据容器实例ID生成种子KEY，并对数据库中的密钥文件进行解密，将解密后的密钥放入已经隔离的虚拟内存文件系统中，并配置应用程序密钥路径，让应用程序可以正常访问密钥文件。

4.根据权利要求1-3任一项所述的一种基于容器化的密钥存储方法，其特征在于，首先构建执行环境，主要包括以下步骤：

步骤S100：构建镜像：使用DockerFile构建应用程序基础rootfs，并将rootfs打成一个tar包文件；

步骤S200：导入镜像：使用docker命令，将rootfs.tar包导入容器，生成容器镜像；

步骤S300：启动实例：使用docker命令，启动容器实例，并在容器实例内初始化。

5.根据权利要求4所述的一种基于容器化的密钥存储方法，其特征在于，首次启动初始化：初始化密钥，根据容器实例ID唯一的特性，初始化加密种子KEY；初始化生成密钥文件，将密钥文件通过加密种子KEY加密存储在数据库表中。

6.一种基于容器化的密钥存储系统，其特征在于，包括容器镜像模块、容器实例模块、被隔离的虚拟内存文件模块；所述容器镜像用于打包整个应用程序环境，并生成一个与操作系统完全隔离的独立的应用运行环境；所述容器实例模块通过容器技术启动一个独立的运行环境，且运行环境在启动后整个rootfs与操作系统环境隔离；所述虚拟内存文件模块用于将内存虚拟化为内存文件系统，通过Linuxmntnamespace技术将内存文件系统进行域隔离，通过linuxcgroup技术将虚拟化的内存文件系统进行访问权限限制，以达到独立自主安全可控；将需要使用密钥的应用程序隔离部署在容器内；启动容器，容器首次初始化生成密钥；初始化密钥，根据容器实例ID唯一的特性，初始化加密种子KEY；初始化生成密钥文件，将密钥文件通过加密种子KEY加密存储在数据库表中；后续启动，在容器内部挂载内存文件系统；将密钥文件使用当前实例ID进行解密，并落地在容器内的内存文件系统中。