基于Device Mapper的容器镜像分层加密存储方法

摘要

本发明的基于Device Mapper的容器镜像分层加密存储方法，主要采用dm‑crypt对具体的快照设备进行加密。一个镜像层对应Device Mapper下的一个逻辑设备，使用当前镜像层的密钥通过dm‑crypt模块对该逻辑设备加密。需要使用镜像层时，使用镜像层密钥通过dm‑crypt模块解密打开之前加密过的设备，解密打开的设备就是一个可访问的设备，通过绑定到文件系统后提供给用户使用。本发明改进了现有的容器镜像存储机制，提出了镜像分层加密存储的安全机制，实现了容器镜像层数据安全隔离，既实现了容器的存储安全，也可以通过分层加密实现对容器的访问控制。方便安全管理人员根据不同的需要向不同权限的用户提供应用服务，使得容器的应用安全得到显著提升。