[发明专利]容器创建方法、相关设备及计算机存储介质

权利要求书

1.一种容器创建系统，其特征在于，包括容器核心引擎、容器执行引擎以及内核；

所述容器核心引擎用于接收配置信息，所述配置信息用于请求创建容器；

所述容器核心引擎还用于根据所述配置信息确定目标容器策略组并创建容器，所述目标容器策略组包括至少一个容器策略，所述容器策略用于限制创建的所述容器的操作权限；

所述容器执行引擎用于将所述目标容器策略组配置到所述内核中，以用于所述内核根据所述目标容器策略组限制创建的所述容器的操作权限。

2.根据权利要求1所述的容器创建系统，其特征在于，所述配置信息包括以下中的至少一项标识信息：租户的标识、创建的所述容器的标识、应用的标识以及角色的标识，其中，所述至少一项标识信息与所述目标容器策略组存在关联关系，所述应用的镜像用于创建所述容器，所述角色为预先配置给所述容器或者所述租户的属性。

3.根据权利要求2所述的容器创建系统，其特征在于，所述容器创建系统还包括容器策略数据库；

所述容器策略数据库用于存储多种容器策略组与多种标识信息之间的关联关系，其中，所述多种容器策略组中的每种容器策略组关联一种标识信息，多种标识信息中不同的标识信息关联的容器策略组不同，所述至少一项标识信息为所述多种标识信息中的任一种，所述目标容器策略组为所述多种容器策略组中的任一种，所述容器策略组包括至少一个容器策略。

4.根据权利要求3所述的容器创建系统，其特征在于，所述多种标识信息包括第一标识信息和第二标识信息，所述第一标识信息关联的容器策略组的安全等级为第一安全等级，所述第二标识信息关联的容器策略组的安全等级为第二安全等级；所述多种标识信息中的每种标识信息都预先配置了权限，若所述第一标识信息的权限大于所述第二标识信息的权限，则所述第一安全等级高于第二安全等级。

5.根据权利要求1-4中任一项权利要求所述的容器创建系统，其特征在于，所述至少一个容器策略中的任意两个容器策略互不冲突。

6.根据权利要求1-5中任一项权利要求所述的容器创建系统，其特征在于，所述容器策略包括以下中的任一项：系统安全增强SELinux策略、系统能力capability策略以及系统安全计算seccomp策略；其中，所述SELinux策略用于限制所述容器对系统文件的访问权限，所述capability策略用于限制所述容器对内核资源的检查以及授权权限，所述seccomp策略用于限制所述容器对内核应用编程接口API的调用权限。

7.一种终端设备，其特征在于，包括通信单元和处理单元；

所述通信单元用于接收配置信息，所述配置信息用于请求创建容器；

所述处理单元用于根据所述配置信息确定目标容器策略组并创建容器，所述目标容器策略组包括至少一个容器策略，所述容器策略用于限制创建的所述容器的操作权限；

所述处理单元还用于将所述目标容器策略组配置到内核中，以用于所述内核根据所述目标容器策略组限制创建的所述容器的操作权限。

8.根据权利要求7所述的终端设备，其特征在于，所述配置信息包括以下中的至少一项标识信息：租户的标识、创建的所述容器的标识、应用的标识以及角色的标识，其中，所述至少一项标识信息与所述目标容器策略组存在关联关系，所述应用的镜像用于创建所述容器，所述角色为预先配置给所述容器或者所述租户的属性。

9.根据权利要求8所述的终端设备，其特征在于，

所述处理单元还用于创建多种容器策略组与多种标识信息之间的关联关系，其中，所述多种容器策略组中的每种容器策略组关联一种标识信息，多种标识信息中不同的标识信息关联的容器策略组不同，所述至少一项标识信息为所述多种标识信息中的任一种，所述目标容器策略组为所述多种容器策略组中的任一种，所述容器策略组包括至少一个容器策略。

10.一种容器创建方法，其特征在于，所述方法包括：

终端设备接收配置信息，所述配置信息用于请求创建容器；

所述终端设备根据所述配置信息确定目标容器策略组并创建容器，所述目标容器策略组包括至少一个容器策略，所述容器策略用于限制创建的所述容器的操作权限；

所述终端设备将所述目标容器策略组配置到内核中，以用于所述内核根据所述目标容器策略组限制创建的所述容器的操作权限。