[发明专利]容器集群系统的运维安全审计方法和装置

说明书

本申请公开了一种容器集群系统的运维安全审计方法和装置，其中方法包括：当堡垒机接收到用户的容器集群系统登录请求时，根据本地预存的所述用户具有授权的集群管理配置信息，在本地为用户创建用于管理所述容器集群系统的工作环境，并显示相应的命令行操作界面；其中，集群管理配置信息包括所述容器集群系统的集群地址信息、所述容器集群系统的系统用户信息和经过加密封装的登录口令；当所述用户通过所述命令行操作界面输入对容器集群系统的运维操作指令时，所述堡垒机利用所述工作环境连接所述容器集群系统并执行所述运维操作指令，并根据所述运维操作指令和相应的输出结果，进行运维安全审计。采用本发明，可以对容器集群系统进行运维安全审计。

技术领域

本发明涉及计算机应用技术，特别是涉及一种容器集群系统的运维安全审计方法和装置。

背景技术

kubernetes集群系统是一个开源的容器集群管理系统，可以实现容器集群的自动化部署、自动化扩缩容、维护等功能。kubernetes集群系统是通过部署容器方式实现应用部署，每个容器之间互相隔离，每个容器有自己的文件系统，容器之间进程不会相互影响，能区分计算资源。相对于虚拟机，容器能快速部署，由于容器与底层设施、机器文件系统解耦的，所以它能在不同云、不同版本操作系统间进行迁移。

容器占用资源少、部署快，每个应用可以被打包成一个容器镜像，每个应用与容器间成一对一关系也使容器有更大优势，使用容器可以在build或release的阶段，为应用创建容器镜像，因为每个应用不需要与其余的应用堆栈组合，也不依赖于生产环境基础结构，这使得从研发到测试、生产能提供一致环境。类似地，容器比虚拟机轻量、更“透明”，更便于监控和管理。

目前，越来越多的运维用户使用kubernetes集群系统，以利用容器的上述优势，来满足扩容、故障转移、自动化部署等需求。随着kubernetes集群系统的网络规模和用户规模的扩大，系统的日趋复杂和不同背景运维人员的行为将会给kubernetes集群系统安全带来较大风险。为此，需要对kubernetes集群系统的运维进行统一管理，以确保kubernetes集群系统的安全性。

目前，很多企事业单位用户，通常采用堡垒机来保障其信息系统的运维安全。堡垒机是在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为，以便集中报警、及时处理及审计定责。从功能上讲，堡垒机综合了核心系统运维和安全审计管控两大主干功能，从技术实现上讲，通过切断终端计算机对网络和服务器资源的直接访问，而采用协议代理的方式，接管了终端计算机对网络和服务器的访问。运维安全审计能够拦截非法访问和恶意攻击，对不合法命令进行命令阻断，过滤掉所有对目标设备的非法访问行为，并对内部人员误操作和非法操作进行审计监控，以便事后责任追踪。

发明人在实现本发明的过程中发现：现有的堡垒机无法用于对kubernetes集群系统进行运维安全审计，具体原因如下：

现有的堡垒机仅支持一般的访问协议，如ssh、rdp、vnc、telnet等。利用这些协议可以与访问的目标服务器之间建立长连接。即堡垒机利用上述访问协议与目标服务器之间成功建立连接后，便可根据需求与目标服务器之间进行多次交互。

而对于kubernetes集群系统，用户仅能通过系统提供的服务接口，对其进行访问，而不能利用上述协议与kubernetes集群系统建立长连接。这样，现有的堡垒机就无法利用其所支持的上述访问协议，对kubernetes集群系统进行访问。因此，利用现有的堡垒机，无法对kubernetes集群系统进行运维安全审计。

发明内容

有鉴于此，本发明的主要目的在于提供一种容器集群系统的运维安全审计方法和装置，可以对容器集群系统进行运维安全审计。

为了达到上述目的，本发明提出的技术方案为：