张燕子

（西安邮电大学，陕西 西安 710121）

0 前 言

随着高校数字化建设的不断发展，为了节约硬件成本、加强网络安全管控，虚拟化技术已经成为绝大多数高校数据中心的基础配置。通过构建私有云管理平台[1]，可以将硬件基础设施以IaaS（Infrastructureas a Service）的方式为全校各单位提供虚拟化计算和存储资源[2]。然而，这种通过分配虚拟服务器共享硬件资源的方式存在着人工参与工作量大、部署速度慢、资源管理粒度过大等问题，尤其是虚拟服务器管理权限分配到用户后，很难满足操作系统安全管理、业务应用快速变更、资源弹性扩展等需求。

目前，高校数据中心的建设方向正在朝着云原生标准应用的架构发展。容器技术作为云原生应用中最重要的核心技术[3]，相比传统的虚拟机更加轻便快捷，采用容器技术的数字化底层计算环境，既能够增强其系统整体的安全性，也能让系统具有更佳的可扩展性和移植性，为以后系统功能的添加和数据库的迁移打下良好的基础。容器可以将数字校园内部系统模块的环境变量和配置隐藏起来，也可以把运行在一个机器上众多隔离的软件联系起来，目前在高校智慧校园建设中得到日益广泛的应用，但容器本身设计上存在的安全问题也越发突出。本文提出通过对容器整体进行隔离的设计思路，使容器无法访问主机内核和宿主机文件系统，从而解决容器本身组件存在安全漏洞的问题。

1 容器技术概述

1.1 云原生技术

云原生（Cloud Native）是近年来高校数字化建设应用与研究的热点。……