[发明专利]容器运行方法、装置、电子设备和存储介质

说明书

本申请实施例涉及计算机处理技术领域，特别涉及一种容器运行方法、装置、电子设备和存储介质。其中，容器运行方法，包括：获取容器运行所需的最小权限集；以非特权模式启动容器，并将最小权限集作为参数传递给容器；启动容器的原始进程，以最小权限集作为原始进程的权限集。本申请实施方式中，能够回收容器的多余权限，保障系统资源的安全性。

技术领域

本申请实施例涉及计算机处理技术领域，特别涉及一种容器运行方法、装置、电子设备和存储介质。

背景技术

容器技术是指，有效的将单个操作系统的资源划分到孤立的组中，以便更好的在孤立的组之间平衡有冲突的资源使用需求。也就是产生资源隔离，用于解决多操作系统/应用程序堆栈的问题。

而特权容器(特权模式的容器)几乎拥有系统全部权限，可以直接修改主机运行参数，不受限制的使用系统内存、CPU资源，访问、修改主机敏感数据，删除主机关键文件。特权容器拥有对系统全局资源的访问权限，也打破了容器技术的设计初衷：资源隔离，即容器只能访问容器命名空间内的局部资源。因此，运行异常的特权容器将对系统安全构成重大威胁。

发明内容

本申请实施例的主要目的在于提出一种容器运行方法，回收特权容器的多余权限，保障系统资源的安全性。

为实现上述目的，本申请实施例提供了一种容器运行方法，包括：获取容器运行所需的最小权限集；以非特权模式启动容器，并将最小权限集作为参数传递给容器；启动容器的原始进程，以最小权限集作为原始进程的权限集。

为实现上述目的，本申请实施例还提供一种容器运行系统，包括：获取模块，用于获取容器运行所需的最小权限集；传递模块，用于以非特权模式启动容器，并将最小权限集作为参数传递给容器；启动模块，用于启动容器的原始进程，以最小权限集作为原始进程的权限集。

为实现上述目的，本申请实施例还提供了一种电子设备，包括：至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述的容器运行方法。

为实现上述目的，本申请实施例还提供了一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时实现上述的容器运行方法。

本申请实施例中，提供了一种容器运行方法，对于特权容器，筛选出容器正常运行所需最小权限集，以非特权模式启动容器，将所述最小权限集作为参数传递给容器，在启动容器的原始进程后，容器仅具有最小权限集中的权限。从而删除了非必须权限，将特权容器转换为非特权容器，降低特权容器运行异常对系统安全的威胁。

附图说明

图1是根据本发明一个实施例中所提供的容器运行方法的流程图；

图2是根据本发明一个实施例中所提供的容器运行装置的流程图；

图3是根据本发明一个实施例中提供的一种电子设备的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合附图对本申请的各实施例进行详细的阐述。然而，本领域的普通技术人员可以理解，在本申请各实施例中，为了使读者更好地理解本申请而提出了许多技术细节。但是，即使没有这些技术细节和基于以下各实施例的种种变化和修改，也可以实现本申请所要求保护的技术方案。以下各个实施例的划分是为了描述方便，不应对本申请的具体实现方式构成任何限定，各个实施例在不矛盾的前提下可以相互结合相互引用。

本发明的一个实施例涉及一种容器运行方法，具体流程如图1所示，至少包括以下步骤：

步骤101，获取容器运行所需的最小权限集；

步骤102，以非特权模式启动容器，并将最小权限集作为参数传递给容器；