從微軟角度看 Kubernetes 對公有雲所帶來的改變與挑戰 Tom Lee 雲端解決方案架構師 合作夥伴暨商務事業群 台灣微軟 Policy Routing Telemetry 智慧端點卻連接著笨管線 Smart endpoints, dumb pipes 過去 25 年都是如此運作 服務數量越來越多，端點越來越多，該如何管理 ? 服務網格 Service Mesh 更聰明的管線

Kubernetes的聯網是由容器網路介面(CNI)推動，讓Kubernetes元件和應用程式能夠 彼此通訊。目前有各式各樣的網路功能解決方案可供選擇，但並不是所有 Kubernetes發行版本都支援所有網路功能軟體。有鑑於此，組織應謹慎選擇 Kubernetes發行版本，不是選擇版本支援本身所需的特定網路功能解決方案，就是 要選擇提供最廣泛選項的版本。 • Canonical Kubernetes支援 Flannel、 Operators(以下簡稱「Charm」)利用模型導向作業(Model- Driven Operations)的概念，協助部署及管理Kubernetes，涵蓋各種不同的雲端供 應商及執行個體。Juju模型可讓低階儲存、運算、網路及軟體元件合理作為單一實 體，並於適當時在全模型套用共同設定。Charm能夠有效隨元件寄送自動化規則， 將第0天至第2天的作業變為可重複及可靠的程式碼。 其他廠商並未採用模型導向作業以隔離模型與平台，而是仰賴範本系統用於多雲部 Rancher支援x86及ARM。 7 20.價格 Canonical Kubernetes的價格效能，是這三種發行版本中最出色的，主要原因是能 夠以Juju自動化輕鬆部署及管理，以及零授權費的Canonical軟體；此外其中也以每 主機模式向企業提供具高度成本效益的支援服務。 OpenShift則是完全相反，收取高昂的授權費，採用每核心支援模式，因此 OpenShift的TCO一般比其他發行版本高出數倍之多。再者，OpenShift的長期運作

cpl.thalesgroup.com 挑戰：保護 Kubernetes 環境的應用 程式安全 容器是為服務架構套件配置和軟體相依性的必要元素。 Kubernetes 是用於部署和管理這些容器的開源軟體。 使 用 Kubernetes 可以更快地交付、部署和管理容器化應用 程式，透過可重複使用的模組化元件提高效率、優化資源利 用和降低授權費用以節省成本。 然而還是存在各種風險： • 特權用戶濫用

Application Security Test (DAST) 軟體元件分析: Software Component Analysis (SCA) 測試 提交 部署 生產 持續整合 持續交付與部署 預提交 提交 監控 滲透測試 紅隊測試 互動應用安全測試 動態應用安全測試 安全強化檢查 軟體元件分析 深度白箱測試 異動白箱測試

Click to edit Master title style 15 GitOps 的好朋友 – xxxOperator • Operator 的目標是將 operation 知識 放入軟件中 • Operator 運行在 Kubernetes 集群內 並根據宣告式 (Declarative) 的 CRD 文件來自動化常見的 Day 1和 Day2 的活動。 15 Click to

中国（北京）区域由光环新网运营 我们希望您喜欢今天的内容！ 也请帮助我们完成反馈问卷。 欲获取关于 AWS 的更多信息和技术内容，可以通过以下方式找到我们： 感谢参加 AWS 在线研讨会 微信订阅号：AWS 云计算（awschina） 新浪微博：https://www.weibo.com/amazonaws/ 领英：https://www.linkedin.com/company/aws-china/ 知乎：https://www / 视频中心：http://aws.amazon.bokecc.com/ 更多线上活动：https://aws.amazon.com/cn/about-aws/events/webinar/ 微信服务号：AWS Builder 俱乐部（amazonaws） 抖音：亚马逊云计算（抖音号：266052872）

APIServer cAdvisor Node-Exporter KUN-Agent Grafana Blackbox Exporter Prometheus Monitor Manager 微信/邮件 外部探测 Probe Exporter AZ 2 (Local File) Alert Manager gossip Kubernetes 互相监控 AZ 1 Kube-State-Metrics Monitor Manager 提供的 Web Hook； • ⾃自研 Monitor Manager： A. 提供 Web Hook 给 Alert Manager，实现告警信息的发送，发送渠道包括邮件和微信； B. 告警组管理理； C. 互相监控探测功能； • 使⽤用 Grafana 实现 Web 可视化； Think in Cloud . 北北京 监控系统⾼高可⽤用⽅方案 • 冗余部署 Prometheus 同时监控其他的 Prometheus，以及所有的 Alert Manager • Monitor Manager 部署在 K8s 集群之外，跨AZ部署，互相监控 • 通过微信和听云从外部对 Monitor Manager 进⾏行行监控； • Prometheus 配置 DeadMansSwitch 规则，实现⼀一个永远触发的告警，Monitor Manager 对其进⾏行行检测，当较⻓长时间没有收到报

Prometheus，⽀支持对集群、节点、Pod、Container 的全⽅方位监控和告警；内置 EFK、Loki ⽇日志⽅方案；内置 Grafana 作为监控和⽇日志展示； ⽀支持消息中⼼心，通过钉钉、微信通知各种集群异常事件（X-Pack）； 升级 ⽀支持集群升级； 伸缩 ⽀支持增加或者减少 Worker 节点； 备份 ⽀支持 etcd 定期备份和⽴立即备份； 恢复 ⽀支持 etcd 备份策略略⽂文件恢复和本地⽂文件恢复； 最新的软件特性、维护经验、使⽤用技 巧等相关知识。 KubeOperator X-Pack 增强包功能 增强功能持续增加中 对接 LDAP/AD 界⾯面⾃自定义 消息中⼼心， 通过钉钉、微信通知各种 集群异常事件 集群健康评分 通过 F5 Big IP 对外暴暴露露服务 多集群配置管理理 多云时代技术领先的企业级软件提供商 www.fit2cloud.com THANK

后，根据socket的owner process来确定cgroup ◼报文决策： 令牌桶 + 共享令牌池 + 显式借令牌 ◼限速方式： ECN标记 + TCP滑窗 + 丢包 可靠 短信 Email 微信 自定义渠道 4种告警方式——可随时修改 158项告警 87项指标采集 通用 • 不同的应用可以选择不同的网络模式 • 同一主机的不同容器可以选择不同的网络模式 自研容器网络解决方案Gala 共享云盘：云存储，多容器共享，同时读写 内置云盘：云存储，每容器独享，用户无感知 云存储 • 支持在线扩容、quota管理、权限管理 • 共享云盘基于cephFS • 内置云盘基于cephRBD • 腾讯内部ceph版本，微信同款 能力扩展：GPU支持 分布式存储Ceph 海量小数据读写优化 不同用户配额管理 任务带盘迁移 智能拓扑感知 GPU卡拓扑感知 资源访问代价树决策 资源调度算法解决碎片化 异构GPU统一管理