sum( irate(container_cpu_usage_seconds_total[3m]) ) by (pod,id,namespace,container,ident,image) / sum( container_spec_cpu_quota/container_spec_cpu_period ) by (pod,id,namespace,container,ident,image) 内存使用量除以内存限制量，就是使用率，但 是后面跟了 and container_spec_memory_limit_bytes != 0 是因为有些容器没有配置 limit 的内存大小 container_memory_usage_bytes / container_spec_memory_limit_bytes and container_spec_memory_limit_bytes != 0 increase(container_cpu_cfs_throttled_periods_tota l[1m]) / increase(container_cpu_cfs_periods_total[1m]) * 100 Pod网络出入向流量 irate(container_network_transmit_bytes_total[1m]) * 8 irate(container_network_rece

3：在容器内部创建一个新的容器，并将宿主机目录挂载到新的容器 docker run -it --name container_in_container -v /:/host ubuntu /bin/bash 操作结果如图 13 所示，可以看出，新启动的容器 container_in_container 可以越权查看到主机相关目录信息。 云原生安全威胁分析与能力建设白皮书 40 图 13 容器逃逸结果展示 云原生安全威胁分析与能力建设白皮书 64 附 录 A 缩略语 缩略语 英文全称 中文全称 0day Zero day vulnerability 零日漏洞 5GC 5G Core Network 5G 核心网络 API Application Programming Interface 应用程序编程接口 AUFS Advanced multi-layered Unification Analysis 软件成分分析 SQL Structured Query Language 结构化查询语言 SSH Secure Shell 安全外壳 VLAN Virtual Local Area Network 虚拟局域网 WAF Web Application Firewalls 网站应用级入侵防御系统 XSS Cross Site Scripting 跨站脚本攻击 云原生安全威胁分析与能力建设白皮书

（4）业务⾼观测性 ⾯向交付的应⽤模型 第三部分 K8S资源的模型定义 03. ⾯向交付的应⽤模型 Deployment Pod Container ⾯向交付的应⽤模型 03. ⾯向交付的应⽤模型 Container Network Volume Device Pod Template Ingress ServiceMonitor Logger Workload Type/

Apply using kubectl apiVersion: chaos-mesh.org/v1alpha1 kind: NetworkChaos metadata: name: network namespace: chaos-testing spec: action: partition mode: one selector: labelSelectors: "app.kubernetes mode: one duration: "10s" scheduler: cron: "@every 15s" ● kubectl apply -f ./network.yaml ● kubectl describe NetworkChaos network Apply using Dashboard architecture Chaos Mesh community

SKILLS 1. Autonomy Autonomy Containerization 1. Single Operations per Container Containerization 1. Single Operations per Container 2. Use Parameterize Data Flow • Data Inputs • Data Outputs Distributing of Rights: http://www.pachyderm.io/dsbor.html Azure Container Registry Build: https://docs.microsoft.com/en-us/azure/container-registry/container- registry-tasks-overview Azure Kubernetes Service: https://azure

configurable • Securing the applications which run in the cluster AKS Security Network Security Restricting network access • North-South Traffic Authorized IP range: Azure NSG Private cluster: Azure

Proxy Metrics Config MDiscovery Admin MOSN On High Performance Network Arch GoLang L7 extension SDK GoLang On High Performance Network Framework CGO Request Response proxy_golang API spec proxy_golang_request

迁移风险高：一次变更引入的改动越多，引发故障的几率也越多。在Hadoop领域，大数据应用的资源，由 Hadoop Yarn负责管理和调度，具体来说，大数据应用运行在Yarn提供的Container之中，这里的Container，是Yarn中资源的抽 象，并非Linux Container，将其迁移至以容器为技术的云原生架构，跨越了底层基础架构，改动面比较大，风险相 对也更高。 组织架构造成额外的成本：企业里负责开发和运维Hadoo

DeepFlow的典型客户环境中，两个微服务通信涉及到的标签多达上百个 Namespace Service Service Deployment Pod Container Node Cluster Ingress Deployment Pod Container 服务 app version env group owner stage commitId deployId ... app=trident

Function Build ⽤ Tekton 管理镜像制作流⽔线 1. 获取源代码 2. 制作镜像 3. 上传镜像 如何管理 Build pipeline？ K8s 弃⽤ Docker 作为 Container Runtime 不能再以 Docker in docker 的⽅式以 Docker build 构建镜像 还有什么选择？ Function Build 如何在这些⼯具直接进⾏选择和切换？ ��namespace kourier�system edit service kourier # externalIP vim config/samples/function�sample.yaml # container image registery kubectl apply �f config/samples/function�sample.yaml $ kubectl get function NAMESPACE