[发明专利]一种基于微服务架构的网络访问控制系统

说明书

本发明公开了一种基于微服务架构的网络访问控制系统，属于网络访问控制领域，针对现有技术中由于网络对象和网络关系的复杂度增加，网络访问控制策略的配置和维护工作量会呈指数级增长，同时管理人员也难以分析和审计各个控制策略的业务合理性与必要性的问题，本发明通过嵌入微服务的设计流程，对微服务角色和通信端口进行预定义；再在具体的部署和实施过程中，结合管理或技术手段，实现网络控制策略的快速配置；充分利用了微服务的特性，对各应用系统间的网络访问需求进行整合。本发明应用于微服务架构的网络访问。

技术领域

发明涉及网络访问控制领域，具体涉及一种基于微服务架构的网络访问控制系统。

背景技术

微服务可以实现特定的业务范围内的一个完全独立、细粒度、自包含的服务，微服务需要运行在一套独立的环境下，该环境不能对外部有依赖性。微服务的目的是有效拆分应用，从而实现敏捷开发和部署。

当前计算机网络因其具有开放性、多样性、脆弱性和匿名性而面临日益严重的安全威胁。通过网络访问控制能够减小暴露面、阻断针对非授权端口或服务的网络攻击，因而被作为构建纵深防御体系的底层技术手段。网络访问控制一般通过专用设备配置源地址至目的地址的明细策略来实现。

随着互联网的发展和用户群体的快速增加，越来越多的在线服务应用系统面临客户端连接并发高、用户流量变化剧烈、业务组合逻辑复杂、服务可靠性要求高等技术难题。微服务架构很好地缓释了上述挑战带来的风险，但同时也大幅度增加了应用系统内网络对象和网络访问关系的数量。传统的网络访问控制方法和网络访问控制设备均不关心上层应用的业务逻辑和网络对象内部各IP的内在关联，仅按照从源地址至目的地址的明细需求来配置访问控制列表。在微服务架构下，由于网络对象和网络关系的复杂度增加，网络访问控制策略的配置和维护工作量会呈指数级增长，同时管理人员也难以分析和审计各个控制策略的业务合理性与必要性。

发明内容

针对现有技术中由于网络对象和网络关系的复杂度增加，网络访问控制策略的配置和维护工作量会呈指数级增长，同时管理人员也难以分析和审计各个控制策略的业务合理性与必要性的问题，本发明提供一种基于微服务架构的网络访问控制系统，其目的在于：充分利用微服务的特性，对各应用系统间的网络访问需求进行整合，在满足最小权限原则的基础上缩减网络安全策略的数量，保证网络安全策略的有效性，提升网络安全策略的可维护性。

本发明采用的技术方案如下：

数个微服务系统、数个网络端口和数个网络访问控制设备，所述网络访问控制设备设置在所述网络端口与所述微服务系统的访问路径上；

在应用系统的构建和设计时，将各个所述微服务系统进行分析，得出微服务系统的种类和功能，根据微服务系统的种类和基本功能将微服务系统分割为不同的访问类型；

网络访问控制设备根据不同的访问类型对微服务系统进行数据配置，包括IP地址池和网络端口，配置完成后形成不同的“微服务角色”，并预定义不同“微服务角色”的网络端口；

部署或更新微服务系统时，主机通过接入预定义的网络端口，关联对应的“微服务角色”。

进一步的，每一个“微服务角色”设置为一个IP地址池和一个或数个网络端口的组合，不同的“微服务角色”通过预定义不同的网络端口进行区分。

进一步的，能够对多个“微服务角色”配置同一个IP地址，但是“一个IP地址+网络端口”的组合对象只能配置给某一个特定的“微服务角色”。

进一步的，“微服务角色”根据人机交互功能和系统间交互功能将微服务系统划分为不同的类型，若一个“微服务角色”同时提供人机交互功能和系统间交互功能，则该“微服务角色”归类于提供系统间交互功能的类型。

进一步的，若“微服务角色”的网络端口是对外功能接口，则将该“微服务角色”为对外访问类型，若“微服务角色”的网络接口是对内功能接口，则将该“微服务角色”为对内访问类型。