CN114254399B 一种镜像安全检查方法、装置、电子设备和存储介质 （中国工商银行股份有限公司）

本公开提供了一种镜像安全检查方法、装2创建密钥对，将所述密钥对中的私钥存放在镜像创建第一检查策略，并将所述第一检查策略以Kubernetes所述第一检查策略包括：按预设维度对所述待检查镜像进行排序，若所述预设条件为存在至少一个镜像被启动，则所述待检查镜像为所述至少一个镜则所述利用保存在Kubernetes集群中的使所述Kubernetes集群调用所述第一检查策略并利用所述公钥按照所述第一检查策略对若所述待检查镜像中任一镜像签名检查不通过，则所述镜若所述预设条件为达到预设的时间周期，则所述利用保存在Kube所述Kubernetes集群调用所述第一检查策略并利用所述公钥按照所述第一检查策略若所述预设条件为达到预设的时间周期，则当达到预设的时间周期时若历史达到预设时间周期的次数为零，则对所述Kubernetes集群中的所有镜3一检查策略并利用所述公钥按照所述第一检查策略对被抽取的镜若历史达到预设时间周期的次数大于零，则获取上一次达对所述Kubernetes集群中的所有镜像按所述维度进行排序并编号，若所述Kubernetes集群中最后一个镜像被抽取后，被抽取若更换对所述Kubernetes集群中的所有镜像进行排序的维度，则对所述Kub若不更换对所述Kubernetes集群中的所有镜像进行排序的维度，排序后的第一个镜像开始连续抽取，直至被抽取的镜像的数量达到所述数量时停止抽取，调用所述第一检查策略并利用所述公钥按照所述第一检查策略对所述被抽取的镜像进行检查模块，用于当满足预设条件时，根据所述预设条件确定待检查镜像第三创建模块，用于创建第一检查策略，并将所述第一检查策略以Kubernetes其中，当所述一个或多个程序被所述一个或多个处理器执处理器执行根据执行如权利要求1~6中任一项所述的镜像安9.一种计算机可读存储介质，其上存储有可执行指令器执行根据权利要求1~6中任一项所述的4权利要求1~6中任一项所述的镜像安全检56[0019]上述Kubernetes集群调用上述第一检查策略并利用上述公钥按照上述第一检查述第一检查策略并利用上述公钥按照上述第一检查策略对上述被抽取的镜像进行签名检[0031]若更换对上述Kubernetes集群中的所有镜像进行排序的维度，则对上述述第一检查策略对被抽取的镜像进行签名检述第一检查策略并利用上述公钥按照上述第一检查策略对上述被抽取的镜像进行签名检上述密钥对中的公钥保存在Kuberne7在Kubernetes集群中的上述公钥对上述待检查[0041]本公开的第四方面还提供了一种计算机可读存储介质，用保存在Kubernetes集群中的上述公钥对上述待检查镜像进行签名检查。通过创建密钥[0047]图3示意性示出了本公开一实施例提供的另一种镜像安全检查方法的流程示意[0048]图4示意性示出了本公开一实施例提供的另一种镜像安全检查方法的流程示意[0049]图5示意性示出了本公开一实施例提供的又一种镜像安全检查方法的流程示意[0052]图8示意性示出了本公开一实施例提供的又一种镜像安全检查装置的结构框图；[0053]图9示意性示出了根据本公开实施例的适于实现一种镜像安全检查方法的电子设8[0056]在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、9[0062]图1示意性示出了根据本公开实施例的一种镜像安全检查方法的应用场景图。如器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获[0067]需要说明的是，本公开实施例所提供的一种镜像安全检查方法一般可以由服务或服务器/服务器集群105通信的服务器或服务[0069]以下将基于图1描述的场景，通过图2～图5对公开实施例的一种镜像安全检查方述密钥对中的公钥保存在KubernetesKubernetes集群中的上述公钥对上述待检查镜像行检查，现有的检查方式通常只会匹配镜像的名称和TAG标签，并不能解决上述的技术问[0077]图3示意性示出了本公开一实施例提供的另一种镜像安全检查方法的流程示意述密钥对中的公钥保存在Kubernetes[0081]在操作S330，创建第一检查策略，并将上述第一检查策略以KubernetesKubernetes集群中的上述公钥对上述待检查镜像上述Kubernetes集群中，便于当满足预设条件时，触发Kubernetes集群的Validating处理方法也与上述另一个关于第一检查策略的实施例相同或相似(按照重要程度等排序后[0088]图4示意性示出了本公开一实施例提供的另一种镜像安全检查方法的流程示意述密钥对中的公钥保存在Kubernetes[0092]在操作S430，创建第一检查策略，并将上述第一检查策略以Kubernetes检查策略并利用上述公钥按照上述第一检查策略对上述待检查镜像消息组成告警信息发送给与该镜像相关的应用，以便相关人员对该情况进行及时地处理。[0098]图5示意性示出了本公开一实施例提供的又一种镜像安全检查方法的流程示意[0099]如图5所示，在本实施例中，预设条件为达到预设的时间周期，该方法包括操作述密钥对中的公钥保存在Kubernetes[0102]在操作S530，创建第一检查策略，并将上述第一检查策略以Kubernetes用上述第一检查策略并利用上述公钥按照上述第一检查策略对上述待检查镜像进行签名述第一检查策略对被抽取的镜像进行签名检查；若历史达到预设时间周期的次数大于零，则获取上一次达到预设时间周期时，对上述Kubernetes集群中的所有镜像进行排序的维排序的维度；若更换对上述Kubernetes集群中的所有镜像进行排序的维度，则对上述按照上述第一检查策略对上述被抽取的镜像进行签则按更换后的维度排序后继续执行上述从第一个抽取一定数量的镜像进行签名检查的步次检查一共检查了5个镜像时结束检查。具体地按照什么维度对Kubernetes集群中所有镜利用保存在Kubernetes集群中的上述公钥对上述待检查镜像进行签名检查。在一实施例[0118]其中，第二创建模块710和第二签名模块720分别具有与第一创建模块610和第一用上述第一检查策略并利用上述公钥按照上述第一检查策略对至少一个上述镜像进行签[0122]启动模块760，用于若上述待检查镜像中任一镜像签名检查通过，则启动上述镜[0126]第三检查模块840，用于当达到预设的时间周期时，确定待检查镜像，上述Kubernetes集群调用上述第一检查策略并利用上述公钥按照上述第一检查策略对上述待检查镜像进行签名检查。在一实施例中，第三检查模块840可以用于执行前文描述的操作路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实块610、第一签名模块620和第一检查模块630中的至少一个可以至少被部分地实现为计算[0131]图9示意性示出了根据本公开实施例的适于实现一种镜像安全检查方法的电子设只读存储器(ROM)902中的程序或者从存储部分908加载到随机访问存储器(RAM)903中的程例的方法流程的不同动作的单一处理单元或[0133]在RAM903中，存储有电子设备900操作所需的各种程序和数据。处理器901、ROM902以及RAM903通过总线904彼此相连。处理器901通过执行ROM902和/或RAM903中的除ROM902和RAM903以外的一个或多个存储器中。处理器901也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限包含用于执行流程图所示的方法的程序代码。当计算机程序产品在计算机系统中运行时，该程序代码用于使计算机系统实现本公开实施例所提供[0138]在该计算机程序被处理器901执行时执行本公开实施例的系统/装置中限定的上[0143]本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可