[发明专利]一种容器云平台安全通信系统

说明书

本申请公开了一种容器云平台安全通信系统，包括：证书管理模块，用于生成并存储第一服务证书，下发第一服务证书至第一反向代理模块；第一反向代理模块，包括证书获取子模块、流量加密子模块、流量验证子模块、解密子模块和拒收子模块；本申请容器云平台中每个服务都对应的设置有反向代理模块，通过证书管理模块管理每个反向代理模块的服务证书，每个反向代理模块劫持任何需要出入服务的流量，并进行相应的加密和验证，确保流入流量和流出流量在通信期间的安全性，并且实现了统一的安全管理，且对服务本身的运行过程无影响，实现了无感知的安全控制。

技术领域

本发明涉及通信安全领域，特别涉及一种容器云平台安全通信系统。

背景技术

在当前国产化容器云平台中，存在大量需要相互通信的服务，这些服务相互调用从而形成一种服务网络。

但由于国产化容器生态环境限制，大部分服务均由第三方厂商提供，不同厂商的服务所应用的安全策略不尽相同，更有甚者完全未考虑安全因素。

因此，需要一种统一有效的容器云平台安全通信系统，确保容器云平台内的通信安全。

发明内容

有鉴于此，本发明的目的在于提供一种容器云平台安全通信系统，提高容器云平台内的通信安全。其具体方案如下：

一种容器云平台安全通信方法，应用于与第一服务对应的第一反向代理模块，包括：

接收证书管理模块生成并存储的第一服务证书，或从所述证书管理模块获取所述第一服务证书；

劫持对应的所述第一服务流出的流出流量；

利用所述第一服务证书为所述流出流量加密，得到第一加密流量，转发所述第一加密流量至相应的第二服务；

劫持与所述第二服务对应的第二反向代理模块发送的第二加密流量；

利用所述第一服务证书验证所述第二加密流量的第二服务证书是否合法；

若所述第二加密流量的所述第二服务证书合法，则解密所述第二加密流量，得到流入流量，并转发所述流入流量至所述第一服务；

若所述第二加密流量的所述第二服务证书不合法，则拒收所述第二加密流量。

可选的，还包括：

从安全认证模块获取认证名单；

根据所述认证名单判断所述第二加密流量对应的所述第二服务是否满足要求，若满足则利用所述第一服务证书验证所述第二加密流量的第二服务证书是否合法，若不满足，则拒收所述第二加密流量。

可选的，所述从所述证书管理模块获取所述第一服务证书的过程，包括：

定时从所述证书管理模块获取最新的所述第一服务证书。

可选的，所述从所述安全认证模块获取认证名单的过程，包括：

定时从所述安全认证模块获取最新的所述认证名单。

可选的，所述拒收所述第二加密流量之后，还包括：

发送拒收信息至所述第二反向代理模块。

可选的，所述利用所述第一服务证书为所述流出流量加密，得到第一加密流量，转发所述第一加密流量至相应的第二服务的过程，包括：

利用所述第一服务证书为所述流出流量进行TLS加密，得到所述第一加密流量，转发所述第一加密流量至相应的第二服务；

所述若所述第二加密流量的所述第二服务证书合法，则解密所述第二加密流量，得到流入流量，并转发所述流入流量至所述第一服务的过程，包括：