效果与 NodeSelector 相同。您可以定义多条硬约束规则，但只需满⾜其中⼀条。 尽量满⾜，即软约束，不⼀定满⾜，对应 preferredDuringSchedulingIgnoredDuringExecution。 您可为软约束规则设定权重，具体调度时，若存在多个符合条件的节点，权重最⼤的节点会被优先 调度。您可定义多条软约束规则，但必须满⾜全部约束，才会进⾏调度。 约束条件（操作符）：包括 节点的标签来实现的。 选择器：单击选择器右侧的添加按钮，可添加多条硬约束规则。 尽量满⾜，即软约束，不⼀定满⾜，对应 preferredDuringSchedulingIgnoredDuringExecution。 Pod 的亲和性调度会尽量满⾜后续定义的约束条件。对于软约束规则，您可配置每条规则的权重， 其他配置规则与硬约束规则相同。 约束条件（操作符）：包括 In, NotIn, Exists ⼀个节点的独占访问权限来保证资源隔离，保证不会有其它 Pod 来分享节点资源。 把可能会相互影响的服务的 Pod 分散在不同的主机上。 说明：应⽤⾮亲和性调度的设置⽅式与亲和性调度相同，但相同的调度规则代表的意思不同，请按需进 ⾏选择。 设置调度容忍（Toleration）。与节点设置的污点（Taints）配套使⽤，且Pod的 Toleration声明中的key和effect需要与Taint的设置保持⼀致。详情参⻅节点管理，

Terraform 创建监控和告警 9. ReAct 提示工程 10. 检索增强生成 11. 基于风险的故障建模 12. 大语言模型半结构化自然语言输入 13. 追踪健康债务状况 14. 对告警规则的单元测试 15. CI/CD 的零信任保护 评估 16. 通过依赖健康检查化解包幻觉风险 17. 设计系统决策记录 18. GitOps 19. 大语言模型驱动的自主代理 20. 平台编排 21 Terraform 创建监控和告警 9. ReAct 提示工程 10. 检索增强生成 11. 基于风险的故障建模 12. 大语言模型半结构化自然语言输入 13. 追踪健康债务状况 14. 对告警规则的单元测试 15. CI/CD 的零信任保护 评估 16. 通过依赖健康检查化解包幻觉风险 17. 设计系统决策记录 18. GitOps 19. 大语言模型驱动的自主代理 20. 平台编排 21 14. 对告警规则的单元测试 试验 可观测性和监控对于软件团队至关重要。鉴于特定事件的不可预测性，创建具有复杂规则的准确告警机制至关 重要。然而，只有当事件真实出现时，这些规则才能得到真正的验证。对告警规则的单元测试让团队通过预先、 主动地测试和完善规则，来更好地定义规则，从而增加对规则的信心。这有助于减少误报，并确保报告真正的 事件。Prometheus 等工具支持对规则进行单元测试。

probes）。 在必要时创建mirror pod ，从⽽将pod的状态报告回系统的其余部分。 将节点的状态报告回系统的其余部分。 kube-proxy kube-proxy 在主机上维护⽹络规则并执⾏连接转发，从⽽来实现Kubernetes服务抽象。 docker 04-K8s组件 16 docker ⽤于运⾏容器。 rkt rkt 是⼀个Docker的替代品，⽀持在实验中运⾏容器 /api/v1/pods/some-name 。按照惯例，Kubernetes资源的名称最多可达253个字符，由⼩写字⺟、数字、 - 和 . 组 成，但某些资源有更具体的限制。有关名称的精确语法规则，详⻅： identifiers design doc 。 UID UID由Kubernetes⽣成。 在Kubernetes集群的整个⽣命周期中创建的每个对象都有不同的UID（即：它们在空间和时间 document 中所 述，⼀旦绑定到⼀个Node，Pod将永远不会重新绑定到另⼀个Node。 Pod的寿命 ⼀般来说，Pod不会消失，直到有⼈销毁它们——可能是⼈⼯或Controller去销毁Pod。 这个规则的唯⼀例外是Pod 的 phase 成功或失败超过⼀段时间（由Master确定）的Pod将过期并被⾃动销毁。 有三种类型的Controller可⽤： Job ，Pod预期会终⽌，例如批量计算。Job仅适⽤于

bridge.bridge-nf-call-arptables = 1 net.ipv4.ip_forward = 1 EOF #前3行表示bridge设备在二层转发时也去调用iptables配置的三层规则（包含 conntrack） # sysctl -p #加载配置 ⑧防火墙放行端口 TCP: 6443，2379，2380，10250~10252，30000~32767 cgroupdriver=systemd" ] } # mkdir -p /etc/systemd/system/docker.service.d # docker info ★docker会修改防火墙规则，导致pod网络不通 # vi /usr/lib/systemd/system/docker.service #在[Service]下的ExecStart=/usr/bin/dockerd -H fd:// ★默认还加了DOCKER-USER这个forward链，默认全部return，导致不通，也得 放开，具体得看下iptables规则），以下操作目的为 在系统启动后等待60秒待 k8s把iptables规则设置完毕再在以下几个chain里放通所有流量，如果对防火墙 有自定义规则或对安全性要求较高场景无需配置以下这段，防火墙相关操作自 行按需处理！ # cat >> /etc/rc.d/rc.local

同城/异地容灾，业务多活 • 微服务需要更安全、更可信 成本 稳定 效率 • 白天流量高峰期发布 • 云边端一体化开发部署联调 • 服务治理体系强依赖SDK升级 • K8s下应用IP的不确定、导致服务治理规则的失效 • 应用迁移上云成本很高 • 极致、灵活的弹性 微服务在云原生下的挑战 后端服务BaaS化 DB，MQ, Redis, 注册中心、配置中心、服务治理中心 服务治理下沉、透明化 Java 限流降级 • 同AZ优先路由 • 就近容灾路由 高可用 • 服务鉴权 • 漏洞防护 服务治理的区分 服务治理中心 提供者 消费者 Agent Agent 用户 配置中心 治理规则 Dev-Sec-Ops 无损下线 离群实例摘除 标签路由 服务鉴权 链路跟踪 金丝雀发布 API管理 服务测试 限流降级 故障注入 • 业务无侵入、无感知 • 0升级成本 • 全面兼容开源 交易服务 4. 发起调用 3. 获取token 5. 校验签名和规则 6. 审计日志 7. 返回结果 Agent • 规则优先级: 方法级别 > 应用 • 鉴权方式：白名单（允许调用），黑名单（拒绝调用） • 签名校验 • 审计日志 Agent 用户 1. 配置访问控制规则 配置中心 2. 写入token和规则 购物车服务 服务鉴权: 保护你的敏感业务 AZ 标 Region

Manager 部署在 K8s 集群之外，跨AZ部署，互相监控 • 通过微信和听云从外部对 Monitor Manager 进⾏行行监控； • Prometheus 配置 DeadMansSwitch 规则，实现⼀一个永远触发的告警，Monitor Manager 对其进⾏行行检测，当较⻓长时间没有收到报 警时，说明监控告警系统不不⼯工作了了，发出告警； • Grafana 使⽤用 PVC 进⾏行行配置⽂文件的存储； Pod⽹网络可与物理理云 托管云直接互通 Think in Cloud . 北北京 • 根据Pod1内的路路由规则将IP包通过Pod1 eth0发 送到云主机对应vethpair设备 • 根据云主机Node1的路路由规则将IP包通过云主机 eth0送出 • 根据Node2的路路由规则，将⽬目的地址为Pod2的IP 包发送到Pod2 对于Veth设备 • Pod2内eth0成功接收来⾃自Pod1的IP包 • 通过在k8s集群中定义LoadBalance类型的service，业 务流量量可以先通过ULB转发到公有云Node节点上，再 通过公有云节点上kube-proxy配置的iptables规则转 发到整个集群中实际⼯工作的pod。 • 集群内部通信通过kubeproxy完成。 Client ULB(LoadBalancer Service) ⽹网关 Kubeproxy Node

策略管理 支持以命名空间或集群粒度制定网络策略、配额策略、资源限制策略、灾备策 略、安全策略。 ➢ 网络策略，支持以命名空间或集群粒度制定网络策略，限定容器组与网络平上网络” 实体“通信规则。 ➢ 配额策略，支持以命名空间或集群粒度设定配额策略，限制集群内的命名空间的资源 使用。 ➢ 资源限制策略，支持以命名空间或集群粒度设定资源限制策略，约束对应命名空间内 应用对资源的使用。 支持单条日志的上下文查询 ➢ 以集群为维度生成服务拓扑，查看服务间调用关系 ➢ 侵入式链路采集，支持查询服务的实时 RPS、错误率、时延等关键指标 ➢ 提供开源的聚合链路查询 ➢ 提供开箱即用的告警规则 ➢ 支持自定义指标、日志等告警 ➢ 支持灵活的配置告警级别、阈值、通知对象等 ➢ 提供邮箱、企业微信、钉钉、Webhook 等多种通知方式 ➢ 持久化存储指标、日志、链路数据 Sentinel 和 Mesh 解决不同生产情况下的痛点。 ➢ 支持通过 Sentinel 使用流控、熔断降级、热点、系统、授权、集群流控等规则治理传 统微服务的东西向流量。 ➢ 支持通过 Service Mesh 通过虚拟服务、目标规则、网关规则在网格中治理微服务流 量。 微服务配置中心 Nacos 托管注册中心可作为微服务的配置管理器，可以从不同项目中抽取通用 配置事先统一管理

管理理镜像仓库 • Cargo （内部项⽬目）- ⽣生产级镜像仓库解决⽅方案，基于 • ⼀一键⾼高可⽤用部署和维护 • 为多租户和复杂权限集成⽽而增强 『token service』 • 管理理基于规则的镜像仓库 • 其他企业需要的优化功能 企业典型的多租户模型 租户 Tenant User User group Namespace Deployment Registry 
 project

agent Container Container Kernel Containerd 创建/删除Pod 上报Pod状态 Pod状态逼近 创建/删除SLB 节点绑定、路由规则变更 创建/删除DNS Entry 与云平台深度集成 ECI Viking agent Pod Container Container Containerd 用户VPC

集群内 Controller 无法正常工作 YUM 安装自动运维工具 自动安装依赖 firewalld 网络未知原因导致异常 Node Pod eth0 调用 iptables 增加阻断规则 FORWARD_IN_ZONES_SOURCE FORWARD_OUT_ZONES 容器网络不通 异常 VS 异常检测 ？ 云原生操作系统 自检 安全模式 检测工具 … 操作系统