一种基于SaaS云原生架构的多租户智能运维系统的制作方法

本发明涉及云计算与网络信息安全，尤其涉及一种基于saas云原生架构的多租户智能运维系统。

背景技术：

1、随着云原生技术的普及，大型企业通常采用多租户saas架构对分散在各业务隔离域内的底层核心数据库进行统一的运维管控。传统的运维安全管控系统（如云堡垒机）在处理跨域数据库访问时，主要依赖网络层的静态访问控制列表以及应用层的正则表达式进行黑白名单匹配，操作完成后将运维人员的执行记录以明文形式或常规哈希方式集中存储于后台关系型数据库中。

2、然而，传统的堡垒机大多采用浅层规则匹配与明文日志，由于缺乏深度语法风控与密码学固化，从而造成高危嵌套指令越权执行且操作痕迹易被篡改的问题。

技术实现思路

1、为了弥补以上不足，本发明提供了一种基于saas云原生架构的多租户智能运维系统，旨在改善了传统的堡垒机大多采用浅层规则匹配与明文日志，由于缺乏深度语法风控与密码学固化，从而造成高危嵌套指令越权执行且操作痕迹易被篡改的问题。

2、本发明提供了如下技术方案，一种基于saas云原生架构的多租户智能运维系统，包括以下模块：

3、轻量级反向接入模块，部署于租户侧，用于向云端发起加密长连接以建立反向代理隧道并采集终端环境特征参数；

4、云端接入鉴权模块，用于终结所述反向代理隧道，基于所述终端环境特征参数执行身份认证并生成初始信任评价指标；

5、websql语义解析模块，用于截获操作指令流并将所述操作指令流转化为抽象语法树，提取所述抽象语法树的五维特征节点集合，结合所述初始信任评价指标计算风险能量标量，并在判定风险溢出时挂起所述操作指令流并联动审批接口生成审批凭证；

6、国密审计固化模块，用于获取所述抽象语法树的拓扑结构参数生成拓扑盐值，将身份认证凭证、所述操作指令流、所述操作指令流对应的执行结果以及所述审批凭证打包为全要素证据载荷，利用所述拓扑盐值派生动态私钥并对所述全要素证据载荷执行数字签名；

7、多租户隔离服务模块，用于根据租户标识分配微服务代理容器资源以执行指令流；

8、隔离对象存储模块，用于依据所述租户标识将签名后的全要素证据载荷写入物理隔离的存储路径。

9、通过采用上述技术方案，语法树解析与拓扑加盐国密签名，进而构建语义级动态拦截与不可逆审计闭环，从而改善了传统的堡垒机大多采用浅层规则匹配与明文日志，由于缺乏深度语法风控与密码学固化，从而造成高危嵌套指令越权执行且操作痕迹易被篡改的问题。

10、可选地，所述轻量级反向接入模块，用于执行：

11、探测租户侧网络边界防火墙配置，在不开放租户侧入站网络端口的状态下，采用长轮询机制向所述云端接入鉴权模块单向发起加密长连接请求，建立所述反向代理隧道；

12、提取租户侧终端的硬件设备序列号、操作系统版本信息以及网络物理地址生成设备指纹，并在时间维度上比对所述设备指纹的变更状态，提取所述设备指纹的漂移衰减系数作为所述终端环境特征参数输出。

13、可选地，所述云端接入鉴权模块，用于执行：

14、接收所述终端环境特征参数，唤醒多因素身份认证矩阵向访问发起终端下发包含动态令牌校验与国密证书验签的混合认证请求，获取运维访问发起方的身份核验结果；

15、提取所述身份核验结果对应的认证置信度，将所述认证置信度与所述终端环境特征参数输入信息熵计算函数中进行加权融合运算，输出具有连续变量属性的所述初始信任评价指标。

16、可选地，所述websql语义解析模块，用于执行：

17、在网络代理协议栈层面截获通过所述反向代理隧道透传的所述操作指令流，启动词法分析器与语法分析器对所述操作指令流执行词元拆解与语法匹配，将线性的所述操作指令流映射重构为具有层级依赖关系的所述抽象语法树；

18、遍历扫描所述抽象语法树的全部节点，依据预设的数据库语法规则库进行属性标注，分别定位并提取出代表操作客体的目标数据库节点、数据表节点、操作字段节点，代表操作动作的操作类型节点，以及代表操作影响范围的查询行数节点，组合形成所述五维特征节点集合。

19、可选地，所述websql语义解析模块，还用于执行：

20、遍历提取所述五维特征节点集合中所述目标数据库节点、所述数据表节点、所述操作字段节点、所述操作类型节点及所述查询行数节点在所述抽象语法树中距离根节点的拓扑深度层级；

21、获取所述初始信任评价指标，将所述五维特征节点集合中各节点的预设敏感度权重与其对应的所述拓扑深度层级进行指数运算求和，并将求和结果除以所述初始信任评价指标，求解得到所述风险能量标量。

22、可选地，所述websql语义解析模块，进一步用于执行：

23、实时对比所述风险能量标量与预设的安全基线阈值，在判定所述风险能量标量发生溢出时，所述websql语义解析模块在应用层网关协议栈中挂起代理转发进程，并通过改写底层传输控制协议的滑动窗口参数，向访问发起终端回传零窗口通告以物理阻塞底层套接字的发送缓冲，同时封装所述五维特征节点集合的明文信息调用外部应用程序接口向审批终端发送工单推送请求；

24、维持所述操作指令流的挂起等待状态，直至接收到外部应用程序接口回调的包含签名授权的审批通过回执，触发内部审批状态算子的参数值发生预设翻转突变，强制收敛所述风险能量标量至安全基线阈值以下，解除所述应用层网关协议栈的代理转发限制，并恢复底层传输控制协议的非零滑动窗口通告以释放被挂起的所述操作指令流。

25、可选地，所述国密审计固化模块，用于执行：

26、遍历所述抽象语法树，统计处于所述抽象语法树最末端的叶子节点总数量，并向下探测计算出所述抽象语法树从根节点至最深叶子节点的最大拓扑深度数值；

27、采集所述操作指令流执行完成时刻的绝对时间戳，将所述叶子节点总数量、所述最大拓扑深度数值与所述绝对时间戳进行字符串序列拼接，将拼接后的序列数据作为输入参数注入国密杂凑运算逻辑中，生成与当前指令语法结构唯一绑定的哈希字符串作为所述拓扑盐值。

28、可选地，所述国密审计固化模块，还用于执行：

29、提取系统平台主私钥，将所述拓扑盐值作为密码学扰动参数通过密钥派生函数与所述系统平台主私钥进行异或混淆计算，派生出仅对当前运维会话有效的会话级动态私钥；

30、将所述操作指令流的指令文本、所述操作指令流对应的执行结果、前序步骤核验生成的所述身份认证凭证及前序步骤联动接口生成的所述审批凭证进行序列拼接，组合打包为所述全要素证据载荷，调用国密非对称加密算法框架，利用所述会话级动态私钥对所述全要素证据载荷计算生成数字签名。

31、可选地，所述多租户隔离服务模块，用于执行：

32、拦截运维访问握手报文并解析出对应的所述租户标识，根据所述租户标识在云原生容器编排集群中检索匹配对应的逻辑租户名称空间；

33、在所述逻辑租户名称空间内动态分配并启动独立的所述微服务代理容器资源，将所述操作指令流的物理执行动作限定于所述微服务代理容器资源内部，并在执行结束后立即触发容器资源销毁指令以对齐生命周期。

34、可选地，所述隔离对象存储模块，用于执行：

35、接收带有数字签名的所述全要素证据载荷，读取提取所述全要素证据载荷元数据头部中封装的所述租户标识；

36、将所述租户标识映射为分布式存储集群中的物理隔离桶路径，对带有数字签名的所述全要素证据载荷执行数据分片与加密封装操作，将加密封装后的数据块分布写入对应的所述物理隔离桶路径中完成持久化存储。

37、本发明具有如下有益效果：

38、1、本发明中，通过语法树解析与拓扑加盐国密签名，进而构建语义级动态拦截与不可逆审计闭环，从而改善了传统的堡垒机大多采用浅层规则匹配与明文日志，由于缺乏深度语法风控与密码学固化，从而造成高危嵌套指令越权执行且操作痕迹易被篡改的问题。

39、2、本发明中，通过依据租户标识动态分配容器执行指令并将数据写入物理隔离路径，进而实现计算与存储的边界隔离，从而改善了传统的平台大多采用统一架构运行，由于缺乏容器级强制隔离机制，从而造成敏感业务数据极易发生跨租户越权读取的问题。

40、3、本发明中，通过无入站端口建立反向隧道并提取设备特征生成信任指标，进而实现隐蔽接入与动态环境验证，从而改善了传统的平台大多采用开放公网监听端口接收请求，由于直接暴露内网通信边界，从而造成底层核心资产极易遭受外部渗透探测的问题。