[发明专利]一种应用隔离方法、系统、设备及计算机可读存储介质

权利要求书

1.一种应用隔离方法，其特征在于，包括：

确定出Kubernetes中待隔离的目标应用；

获取所述目标应用中各个组件的隔离策略；

创建与所述目标应用对应的初始网络安全策略；

基于所述隔离策略修改所述初始网络安全策略的入栈规则、出栈规则和匹配标签，得到目标网络安全策略；

将所述目标网络安全策略转换为与所述Kubernetes匹配的Iptables规则；

基于所述Iptables规则对所述目标应用进行隔离；

其中，所述创建与所述目标应用对应的初始网络安全策略，包括：

创建所述初始网络安全策略；

将所述初始网络安全策略的pod选择器字段设置为匹配表达式的形式；

将所述初始网络安全策略的operator值设为条件运算符In；

将所述初始网络安全策略的所述匹配标签设置为所述目标应用中所有组件的标识的集合；

其中，所述基于所述隔离策略修改所述初始网络安全策略的入栈规则、出栈规则和匹配标签，包括：

基于所述隔离策略中的被访问策略修改所述入栈规则；

基于所述隔离策略中的主动访问策略修改所述出栈规则；

将所述匹配标签的值设置为所述隔离策略中被隔离的组件的标识；

其中，所述被访问策略表征其他组件访问所述目标应用的组件的策略；所述主动访问策略表征所述目标应用的组件访问其他组件的策略。

2.根据权利要求1所述的方法，其特征在于，所述基于所述隔离策略中的被访问策略修改所述入栈规则，包括：

确定出与所述被访问策略对应的第一组件；

将所述入栈规则中所述第一组件对应的端口号修改为所述被访问策略中的对应端口号；

将所述入栈规则中所述第一组件对应的网络数据交换规则修改为所述被访问策略中的对应网络数据交换规则；

将所述入栈规则中所述第一组件对应的pod选择器字段修改为matchlabel，将所述matchlabel的值设置为所述被访问策略中对应的其他组件的标识。

3.根据权利要求2所述的方法，其特征在于，所述基于所述隔离策略中的主动访问策略修改所述出栈规则，包括：

确定出与所述主动访问策略对应的第二组件；

将所述出栈规则中所述第二组件对应的端口号修改为所述主动访问策略中的对应端口号；

将所述出栈规则中所述第二组件对应的网络数据交换规则修改为所述主动访问策略中的对应网络数据交换规则；

将所述出栈规则中所述第二组件对应的pod选择器字段修改为matchlabel，将所述matchlabel的值设置为所述主动访问策略中对应的其他组件的标识。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述确定出Kubernetes中待隔离的目标应用之前，还包括：

在所述Kubernetes中部署calico网络插件；

将所述calico网络插件中的calico node设置为以demonest方式运行；

将所述calico网络插件中的calicocontroller设置为以无状态负载方式运行。

5.根据权利要求4所述的方法，其特征在于，所述组件的标识包括所述组件的标签。