來建立和控制相對應的 Pod，或者先 定義 RC 來建立 Pod，然後定義與其關聯的 Service，這兩種方式最終的結果都一 樣，這裡我們採用後面這種方式。 首 先 為 redis-master 服 務 建 立 一 個 名 為 redis-master 的 RC 定 義 檔：redis-master- controller.yaml。下面提供該檔的完整內容： apiVersion: v1 kind: HTTPS 通訊雙方的伺服器端向 CA 機構申請憑證，CA 機構是可信任的協力廠 商機構，它可以是一個公認的權威企業，也可以是企業本身。企業內部系統一 般都用企業本身的認證系統。CA 機構下發根憑證、服務端憑證及私密金鑰給 申請者。 (2) HTTPS 通訊雙方的客戶器端向 CA 機構申請憑證，CA 機構下發根憑證、用戶 端憑證及私密金鑰給申請者。 (3) 用戶端向伺服器端發起請求，服 加密方案，加密這隨機金鑰，並發送隨機金鑰到伺服器端。 伺服器端接收這 個金鑰後，雙方通訊的所有內容都透過隨機金鑰加密。 通訊（隨機私鑰） 身分認證（憑證） 客戶端 伺服器端 身分認證（憑證） CA 機構 申請憑證 申請憑證 發放憑證 發放憑證 圖 2.12 CA 認證流程 2-56 Kubernetes 核心原理 2 (4) 添加一個“volume＂給 Pod，在該“volume＂中設定一個能存取

過MicroK8及K3支援單節點叢集。撰 寫本文時，Red Hat並未正式支援任何單節點OpenShift解決方案。 MicroK8及K3均允許將叢集延伸至多個節點。MicroK8提供方法讓使用者建構具自 我修復能力的高可用度叢集，只需要使用幾個指令，無需進行設定；K3如果要達到 相同成果，就需要進行更多手動作業。 8. 託管Kubernetes方案 為企業工作負載提供無可比擬的自動化程度及 務使用。廠商負責 運作叢集，使用者則將重心放在提供核心業務價值。 Canonical Kubernetes可讓企業選擇在裸機、OpenStack或任何公有雲使用完 全受管叢集。Canonical將建構及運作叢集，並由24小時全年無休的內部專家支 援及調整部署規模。此外使用者可隨時選擇完全接手控制運作，甚至使用完全相 同的工具重新部署或複製部署。Red Hat OpenShift Managed Services的運作 Hat專為Kubernetes設計的容器執行階段，可搭配使用任何其他開放 容器計畫(Open Container Initiative，OCI)相容的執行階段，因此具備相當高的彈 性。 容器登錄檔是另一項建構成功Kubernetes策略的基礎。登錄檔是儲存容器映像的地 方，這些映像對應用程式開發及擴充能力至為關鍵。容器登錄檔以多種類型提供， Canonical Kubernetes、Red Hat Openshift及Rancher

等云原生能力，对接算力、Kubernetes 等差异化基础设施，屏蔽其复杂性，使开发者可以专注于业务需求。 技术架构方面，实施平台工程的关键技术包括对业务应用、中间件 服务、外部服务等统一管理、统一建模；对平台能力进行标准化建 模、使其跟随需求和技术的变化和发展灵活扩展升级；对 PaaS 服务、 算力资源、Kubernetes 资源等基础设施进行统一抽象封装；面对多 样化平台能力需求，平台 UI 交互层可按需启用、模块化管理，提供 生态兼容，搭建云计算可信生态。安全是政务、金融、电信行业云 云计算白皮书（2023 年） 23 平台建设的重中之重，随着上云程度不断加深，越来越多的企业基 于安全性等因素将更加关注云平台的生态兼容程度。二是从建云用 云向持续云优化治理过渡。随着政务、金融、电信等行业业务上云 的快速发展，企业云资源、架构越发复杂、冗余，云成本浪费、资 源效益低下等问题开始显现，第一梯队企业开始探索云的优化和治 理，从 架实现了 超大规模量级的并行计算，这对部署模型的云计算平台提出新的需 求。云计算的焦点不仅仅在提升单点应用的研运效能，更要发挥出 面向大规模分布式应用协调、分发、部署的中枢管控能力。模型构 建的复杂性限制了技术的普惠发展，基于云计算构建开箱即用的大 模型服务也成为刚需。 （二）云计算管理方式不断革新，向下定义算力资源使 用新方式 云计算技术的出现和成熟，如今已经不局限于算力资源的云化，

共有、私有、混合、多云 可扩展: 模块化、可插拔、提供Hook、可组合 ⾃愈: ⾃动放置、⾃动重启、⾃动复制、⾃动缩放 Google于2014年启动了Kubernetes项⽬。Kubernetes建⽴在Google在⼤规模运⾏⽣产⼯作负载⽅⾯ ⼗⼏年的经验之 上，并结合了社区中最佳的创意和实践。 为什么使⽤容器 寻找你为啥要使⽤容器 的原因？ 01-什么是Kubernetes 4 部 –y 在ansible-client机器上配置免密登录 ⽣成ssh公钥和私钥 在ansible-cilent机器上执⾏： ~]# ssh-keygen 然后三次回⻋，⽣成ssh公钥和私钥。 建⽴ssh单向通道 在ansible-cilent机器上执⾏： ~]# ssh-copy-id root@172.20.0.88 #将公钥分发给88机器 ~]# ssh-copy-id 的Label。在Kubernetes 1.8之 前， spec.selector 字段被默认为省略。 在1.8及更⾼版本中，如未指定匹配的Pod Selector将会导致在StatefulSet创 建过程中验证错误。 Pod Identity（Pod身份） StatefulSet Pod有唯⼀的身份，包括序数（ordinal）、稳定的⽹络标识和稳定的存储。 身份会绑定到Pod（具有粘 性），不管Pod被调度到哪个Node上。

#200m表示0.2个vcpu，1vcpu==1000m memory: "256Mi" defaultRequest: # 定 义 默 认 的 资 源 需 求 ， 同 创 建 pod 时 指 定 的 resources/requests cpu: 200m memory: "256Mi" min: #定义最小的资源用量 limitRange-testxx.yaml ★ResourceQuota LimitRange只能限制单个容器/Pod/PVC的资源使用量，无法限制创建的容器个 数 ， 用 户 可 能 会 创 建 数 量 众 多 的 pod 而 消 耗 完 所 有 资 源 ， 可 以 使 用 ResourceQuota资源限制每个命名空间的对象数量及资源限额 ResourceQuota支持限制每种资源类型的对象总数，以及所有对象消耗的资源问 resourceQuota-testxx.yaml ★第7章、pod控制器 pod控制器是由kube-controller-manager组件提供的一些资源，负责控制pod的创 建、删除、重新调度、运行时间等。常用的pod控制器有ReplicaSet, Deployment, DaemonSet, Job, CronJob等，如果pod被删除，则可以重新拉起一个 ★通过kind:

CipherTrust Transparent Encryption for Kubernetes 擴展了 CipherTrust Transparent Encryption，讓資安團隊得以在容器內建 立資安控制。憑藉這項擴充，您能按照每個容器的狀態 一一施行加密、存取控制以及資料存取紀錄。加密可以 應用在容器端本地產生並儲存的資料，以及藉由網路檔 案系統搭載在容器內的資料。 • 可擴充的透明加密 的主金鑰。這些設備可以被部署在企業內部，也可 以部署在私有或公有雲端基礎架構。 關於 Thales 雲端保護與授權 任何企業都信賴 Thales 來保護他們資料的隱私權。在資料 安全方面，企業面臨著越來越多的決定性時刻。 無論是建 置加密策略，移轉到雲端還是滿足合規性要求，在邁向數 位化轉型時，您可以信賴 Thales 來保護您的有價資料。 關鍵時刻 關鍵技術 Pod 容器集 Pod 容器集 應用程式 使用者 PV

Independent Google Red Hat Huawei ZTE Corp FathomDB IBM Microsoft HP others 在地高可靠度資料中心 內建Redundancy 客製化高擴展性硬體設計 Live migration背景更新 全球機房備援設計 台灣區已經備有三個容錯區域 高效能代管式服務 涵蓋Web/App/DB皆有多 樣化代管服務可以組合出 event driven functions web apps & APIs orchestrate containers infrastructure 使用多層次的架構重塑雲端佈署 應用佈建於 IaaS / PaaS 的思考方向 高 應用 模組化程度 低 低 自動化成熟度 高 VMs (GCE) Kubernetes (GKE) PaaS (GAE) Serverless

全局管理是以用户为中心的综合性服务板块，包含用户与访问控制、企业空 间、审计日志、平台设置等基础服务模块。 ➢ 用户与访问控制：帮助用户安全管理资源的访问权限。您可以通过用户与访问控制创 建、管理、删除用户/用户组，并灵活配置用户/用户组权限，来完成用户职能权限的 划分。 ➢ 企业空间：具有层级结构和访问权限控制的资源隔离单元。您可以按照企业开发环 境、部门结构等设置层级结构，并控制哪些人对哪些资源具有访问权限。 提供邮箱、企业微信、钉钉、Webhook 等多种通知方式 ➢ 持久化存储指标、日志、链路数据 应用工作台 应用工作台是基于容器的 DevOps 云原生应用平台，提供了 DCE 5.0 应用创 建的统一入口，通过界面化表单创建多种流水线、GitOps、金丝雀、蓝绿、AB 等渐进式发布策略、项目管理、工具链集成等多种功能。 应用工作台着重企业应用自动化交付和基础设施变更的过程，提供业务应用从

不健康阈值：探测成功后，最少连续探测失败多少次才被认定为失败。默认是 3，最⼩值是 1。 TCP 即向容器发送⼀个 TCP Socket，kubelet 将尝试在指定端⼝上打开容器的套接字。 如果可以建 ⽴连接，容器被认为是健康的，如果不能就认为是失败的。⽀持的参数包括： 端⼝：容器暴露的访问端⼝或端⼝名，端⼝号必须介于 1~65535。 25 ⽣命周期：为容器的⽣命周期配置容器启动执⾏、启动后处理和停⽌前处理。具体参⻅ 不健康阈值：探测成功后，最少连续探测失败多少次才被认定为失败。默认是 3，最⼩值是 1。 TCP 即向容器发送⼀个 TCP Socket，kubelet 将尝试在指定端⼝上打开容器的套接字。 如果可以建 ⽴连接，容器被认为是健康的，如果不能就认为是失败的。⽀持的参数包括： 端⼝：容器暴露的访问端⼝或端⼝名，端⼝号必须介于 1~65535。 36 ⽣命周期：为容器的⽣命周期配置容器启动执⾏、启动后处理和停⽌前处理。具体参⻅