(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111394831.8 (22)申请日 2021.11.23 (71)申请人 北京天融信网络安全技 术有限公司 地址 100000 北京市海淀区上地 东路1号院 3号楼四层 申请人 北京天融信科技有限公司 　 北京天融信软件 有限公司 (72)发明人 李玮　王林　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 代理人 蒋姗 (51)Int.Cl. H04L 9/40(2022.01) H04L 67/141(2022.01) G06F 21/60(2013.01) (54)发明名称 基于属性标签的访问控制方法、 系统、 电子 设备及存 储介质 (57)摘要 本申请实施例提供一种基于属性标签的访 问控制方法、 系统、 电子设备及存储介质， 涉及网 络安全技术领域。 该方法包括： 获取第一容器计 算节点发送的与第二容器计算节点建立连接请 求的数据包信息， 所述数据包信息包括与所述第 一容器计算节点的pod对应的第一属性标签； 通 过NFQ重定向规则将所述数据包信息发送至对应 的代理端； 根据所述数据包信息提取所述第一属 性标签； 通过所述第一属性标签匹配所述第二容 器计算节 点的入站策略； 根据所述入站策略建立 所述第一容器计算节点的pod与所述第二容器计 算节点的pod之间的访问连接。 该方法可以实现 任何两个pod之间引入端到端的身份识别， 简化 访问控制配置流程， 提高用户配置访问控制的效 率。 权利要求书2页 说明书10页 附图5页 CN 114070637 A 2022.02.18 CN 114070637 A 1.一种基于属性标签的访问控制方法， 其特 征在于， 包括： 获取第一容器计算节点发送的与第 二容器计算节点建立连接请求的数据包信 息， 所述 数据包信息包括与所述第一 容器计算节点的pod对应的第一属性标签； 通过NFQ重 定向规则将所述数据包信息发送至对应的代理端； 根据所述数据包信息提取 所述第一属性标签； 通过所述第一属性标签匹配所述第二 容器计算节点的入站策略； 根据所述入站策略建立所述第一容器计算节点的pod与所述第二容器计算节点的pod 之间的访问连接 。 2.根据权利要求1所述的基于属性标签的访问控制方法， 其特征在于， 所述根据 所述入 站策略建立所述第一容器计算节点的pod与所述第二容器计算节点的pod之间的访问连接 的步骤， 包括： 获取所述第 二容器计算节点返回的应答数据包信 息， 所述应答数据包信 息包括与 所述 第二容器计算节点的pod对应的第二属性标签； 通过所述NFQ重定向规则将所述应答数据包信息发送至对应的代理端； 根据所述应答数据包信息提取 所述第二属性标签； 根据所述入站策略和所述第 二属性标签建立所述第 一容器计算节点的pod与所述第二 容器计算节点的pod之间的访问连接 。 3.根据权利要求2所述的基于属性标签的访问控制方法， 其特征在于， 所述根据 所述数 据包信息提取 所述第一属性标签的步骤， 包括： 通过代理的形式提取所述第 一属性标签， 所述第 一属性标签与 所述第一容器计算节点 的进程pid、 用户标签、 进程名字相互匹配。 4.根据权利要求2所述的基于属性标签的访问控制方法， 其特征在于， 所述根据 所述应 答数据包信息提取 所述第二属性标签的步骤， 包括： 通过代理的形式提取所述第 二属性标签， 所述第 二属性标签与 所述第二容器计算节点 的进程pid、 用户标签、 进程名字相互匹配。 5.根据权利要求2所述的基于属性标签的访问控制方法， 其特征在于， 在所述获取所述 第二容器计算节点返回的应答数据包信息的步骤之前， 还 包括： 分配所述第二属性标签至所述第二 容器计算节点的pod。 6.根据权利要求1所述的基于属性标签的访问控制方法， 其特征在于， 在所述获取第 一 容器计算节点发送的与第二容器计算节点建立连接请求的数据包信息的步骤之前， 还包 括： 分配所述第一属性标签至所述第一 容器计算节点的pod。 7.根据权利要求1所述的基于属性标签的访问控制方法， 其特征在于， 在所述获取第 一 容器计算节点发送的与第二容器计算节点建立连接请求的数据包信息的步骤之后， 还包 括： 所述数据包信息经过NFQ重定向时， 通过 内核Cgroup添加Cgroup  mark值至所述数据包 信息。 8.一种基于属性标签的访问控制系统， 其特 征在于， 包括： 第一获取模块， 用于获取第 一容器计算节点发送的与第 二容器计算节点建立连接请求权　利　要　求　书 1/2 页 2 CN 114070637 A 2的数据包信息， 所述数据包信息包括与所述第一 容器计算节点的pod对应的第一属性标签； 第一重定向模块， 用于通过NFQ重 定向规则将所述数据包信息发送至对应的代理端； 第一提取模块， 用于根据所述数据包信息提取 所述第一属性标签； 匹配模块， 用于通过 所述第一属性标签匹配所述第二 容器计算节点的入站策略； 连接建立模块， 用于根据所述入站策略建立所述第一容器计算节点的pod与所述第二 容器计算节点的pod之间的访问连接 。 9.一种电子设备， 其特征在于， 包括： 存储器、 处理器以及存储在所述存储器中并可在 所述处理器上运行的计算机程序， 所述处理器执行所述计算机程序时实现如权利要求 1至7 任一项所述的基于属性标签的访问控制方法的步骤。 10.一种计算机可读存储介质， 其特征在于， 所述计算机可读存储介质上存储有指令， 当所述指 令在计算机上运行时， 使得所述计算机执行如权利要求 1至7任一项 所述的基于属 性标签的访问控制方法。权　利　要　求　书 2/2 页 3 CN 114070637 A 3