搜索

[14723] 2019-10-20_关于容器、微服务、docker的十大问题

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-10-20_关于容器、微服务、docker的十大问题 关 于 容 器 、 微 服 务 、 d o c k e r 的 十 大 问 题 青 藤 云 安 全   F r e e B u f   2 0 1 9 - 1 0 - 2 0 容 器 的 运 行 无 法 简 单 参 考 虚 拟 机 的 实 践 经 验 。 例 如 ， 几 乎 任 何 工 作 负 载 都 可 以 立 即 虚 拟 化 ， 但 是 有 些 工 作 负 载 容 器 的 运 行 无 法 简 单 参 考 虚 拟 机 的 实 践 经 验 。 例 如 ， 几 乎 任 何 工 作 负 载 都 可 以 立 即 虚 拟 化 ， 但 是 有 些 工 作 负 载 适 合 容 器 化 部 署 ， 有 的 则 不 适 合 。 适 合 容 器 化 部 署 ， 有 的 则 不 适 合 。 本 文 回 答 企 业 在 使 用 容 器 时 最 常 见 的 1 0 个 问 题 ， 帮 助 大 家 更 好 地 理 解 容 器 部 署 、 工 作 负 载 容 器 化 等 问 题 。 1 . 最 适 合 容 器 的 使 用 场 景 是 什 么 最 适 合 容 器 的 使 用 场 景 是 什 么 ? 在 生 产 环 境 中 ， 最 适 合 容 器 化 部 署 的 理 想 应 用 类 型 应 该 是 微 服 务 。 微 服 务 是 一 个 聚 焦 的 任 务 ， 它 只 代 表 整 个 应 用 程 序 中 很 小 部 分 。 因 为 微 服 务 专 注 于 单 个 任 务 ， 所 以 它 可 以 独 立 于 应 用 程 序 的 其 它 部 分 进 行 伸 缩 扩 展 。 此 外 ， 由 于 微 服 务 是 高 内 聚 和 松 散 耦 合 的 ， 因 此 可 以 彼 此 独 立 部 署 和 发 布 。 此 外 ， 使 用 容 器 基 础 设 施 构 建 微 服 务 可 以 更 快 、 更 好 地 实 现 其 优 势 。 只 要 面 向 外 部 的 A P I 不 破 坏 应 用 兼 容 性 ， 软 件 开 发 人 员 就 可 以 快 速 迭 代 并 改 进 整 个 微 服 务 ， 且 不 会 影 响 其 它 开 发 人 员 的 微 服 务 。 但 是 ， 大 多 数 传 统 的 企 业 应 用 程 序 并 不 符 合 微 服 务 体 系 结 构 ， 所 以 也 不 是 所 有 企 业 都 适 合 使 用 微 服 务 。 2 . 容 器 部 署 时 需 要 考 虑 的 关 键 因 素 都 有 哪 些 容 器 部 署 时 需 要 考 虑 的 关 键 因 素 都 有 哪 些 ? （ 1 ） U I 界 面 管 理 和 A P I 管 理 用 户 界 面 U I ， 包 括 那 些 基 于 A P I 的 图 形 化 U I （ 即 外 部 系 统 直 接 使 用 A P I 访 问 系 统 ） 。 （ 2 ） 镜 像 仓 库 公 共 镜 像 仓 库 ， 例 如 D o c k e r   H u b 提 供 公 共 管 理 的 容 器 镜 像 仓 库 。 许 多 容 器 管 理 系 统 都 提 供 私 有 镜 像 仓 库 ， 企 业 组 织 可 以 在 其 中 管 理 自 己 的 镜 像 。 （ 3 ） 编 排 和 调 度 编 排 层 能 够 使 容 器 以 所 需 的 状 态 运 行 ， 并 提 供 滚 动 更 新 和 回 滚 的 功 能 。 当 然 ， K u b e r n e t e s 已 经 成 为 容 器 编 排 的 实 际 标 准 。 （ 4 ） 容 器 运 行 时 容 器 运 行 时 ， 可 以 让 集 群 节 点 在 镜 像 仓 库 中 获 取 容 器 镜 像 ， 还 可 生 成 正 确 的 文 件 结 构 在 主 机 上 运 行 容 器 ， 也 可 与 网 络
和 存 储 插 件 交 互 ， 也 能 创 建 、 启 停 容 器 。 （ 5 ） 安 全 管 控 通 过 安 全 组 件 执 行 安 全 策 略 ， 包 括 秘 钥 管 理 、 安 全 扫 描 、 图 像 签 名 、 网 络 隔 离 和 加 密 、 以 及 基 于 角 色 的 访 问 控 制 ( R B A C ) 等 。 （ 6 ） 持 续 监 控 监 控 程 序 能 够 提 供 集 群 节 点 、 容 器 和 微 服 务 级 别 的 可 视 化 能 力 。 （ 7 ） D e v O p s 工 作 流 D e v O p s 对 于 容 器 部 署 并 不 重 要 ， 但 是 它 们 通 常 一 起 使 用 ， 例 如 ， D e v O p s 工 具 、 C I / C D 管 道 工 具 和 容 器 镜 像 生 成 器 等 工 具 需 要 协 同 工 作 。 3 . 是 否 可 以 在 是 否 可 以 在 W i n d o w s 、 、 V M w a r e 环 境 运 行 容 器 环 境 运 行 容 器 ? W i n d o w s 容 器 生 态 系 统 还 不 够 成 熟 ， 无 法 广 泛 应 用 于 生 产 环 境 中 。 W i n d o w s 容 器 缺 乏 容 器 编 排 工 具 的 支 持 。 例 如 ， 最 新 的 K u b e r n e t e s 软 件 版 本 只 提 供 了 对 W i n d o w s 容 器 的 b e t a 支 持 。 此 外 ， 容 器 支 持 的 W i n d o w s 应 用 程 序 非 常 少 。 W i n d o w s 服 务 器 对 身 份 验 证 、 安 全 和 网 络 的 支 持 也 非 常 有 限 的 。 现 有 的 几 个 组 件 要 么 处 于 “ b e t a ” 版 本 ， 要 么 处 于 “ 预 览 ” 版 本 。 当 然 ， 尽 管 有 这 些 限 制 ， 针 对 特 定 场 景 也 是 可 以 使 用 W i n d o w s 容 器 ， 例 如 内 部 开 发 等 场 景 ， 通 过 容 器 可 以 获 得 敏 捷 性 、 可 移 植 性 和 成 本 优 势 。 V M w a r e 的 v S p h e r e 可 将 D o c k e r 引 擎 与 v S p h e r e 集 成 ， 为 容 器 在 轻 量 级 V M 中 运 行 提 供 了 途 径 。 此 外 V M w a r e 还 提 供 了 用 于 安 全 存 储 镜 像 的 容 器 管 理 门 户 和 私 有 仓 库 。 4 . 应 该 选 择 应 该 选 择 C a a S 、 、 K u b e r n e t e s 还 是 还 是 B Y O 容 器 管 理 解 决 方 案 容 器 管 理 解 决 方 案 市 场 上 有 多 种 产 品 允 许 企 业 大 规 模 部 署 容 器 。 这 些 产 品 为 应 用 程 序 开 发 人 员 提 供 的 抽 象 程 度 不 同 。 最 抽 象 的 产 品 是 容 器 即 服 务 产 品 （ C a a S ） ， 这 类 产 品 以 前 大 多 是 P a a S 产 品 ， 比 如 C l o u d   F o u n d r y 和 O p e n S h i f t 。 这 些 C a a S 产 品 从 开 发 人 员 那 里 抽 象 出 基 础 设 施 的 细 节 ， 并 以 结 构 化 方 式 提 供 应 用 程 序 工 具 。 而 B Y O 容 器 管 理 方 案 ， 则 提 供 了 最 少 的 抽 象 和 最 大 的 灵 活 性 ， 但 是 增 加 了 复 杂 性 。 B Y O ： 尽 量 避 免 使 用 B Y O ， 除 非 在 极 少 数 情 况 下 。 因 为 很 少 有 组 织 有 能 力 实 现 它 。 对 于 想 要 B Y O 的 组 织 ， 可 以 选 择 集 成 一 些 快 速 移 动 的 开 源 产 品 。 K u b e r n e t e s ： 至 少 在 概 念 上 了 解 基 础 设 施 并 且 能 够 动 手 实 践 ， 那 么 选 择 一 个 相 对 灵 活 K 8 S 发 行 版 是 一 个 可 行 方 案 。 有 些 C a a S 产 品 提 供 了 一 些 开 发 人 员 工 具 的 选 项 ， 同 时 也 为 开 发 人 员 提 供 了 更 直 接 地 使 用 容 器 编 排 、 调 度 组 件 的 选 项 。 P a a S ： 如 果 刚 刚 进 入 微 服 务 开 发 ， 那 么 就 使 用 P a a S 提 供 的 服 务 。 5 . 容 器 技 术 会 比 虚 拟 机 技 术 （ 容 器 技 术 会 比 虚 拟 机 技 术 （ V M ） 更 不 安 全 吗 ） 更 不 安 全 吗 ? 容 器 技 术 本 身 并 非 不 安 全 。 事 实 上 ， 以 防 止 由 于 其 它 容 器 的 破 坏 而 遭 受 攻 击 ,   容 器 中 每 个 应 用 程 序 和 用 户 是 相 互 隔 离 的 。 所 以 确 保 共 享 主 机 O S 内 核 的 完 整 性 是 至 关 重 要 的 ， 并 确 保 在 主 机 上 容 器 的 相 互 隔 离 。 此 外 ， 需 要 监 控 和 保 护 容 器 间 通 信 ， 而 传 统 的 安 全 工 具 在 这 方 面 大 多 是 无 效 的 。 采 用 容 器 技 术 时 候 ， 建 议 考 虑 以 下 3 点 ： （ 1 ） 使 用 一 个 经 过 加 固 的 操 作 系 统 ， 通 常 是 一 个 “ 瘦 客 户 机 操 作 系 统 ” ， 它 可 以 限 制 攻 击 面 ， 并 通 过 一 个 严 格 的 和 自 动 化 的 补 丁 管 理 系 统 对 其 进 行 补 充 。 （ 2 ） 在 容 器 的 构 建 和 运 行 阶 段 采 取 控 制 手 段 ， 例 如 在 软 件 开 发 生 命 周 期 过 程 中 对 软 件 进 行 扫 描 ， 及 早 发 现 漏 洞 。 （ 3 ） 通 过 使 用 细 粒 度 容 器 安 全 工 具 主 动 检 测 和 监 控 异 常 行 为 ， 例 如 青 藤 蜂 巢 等 容 器 安 全 产 品 可 以 提 供 容 器 和 服 务 器 级
别 的 安 全 可 视 化 图 ， 并 有 助 于 防 止 恶 意 应 用 程 序 流 量 。 6 . 容 器 是 否 可 以 处 理 敏 感 数 据 和 应 用 程 序 容 器 是 否 可 以 处 理 敏 感 数 据 和 应 用 程 序 ? 通 过 聚 焦 于 容 器 安 全 的 方 法 进 行 容 器 部 署 ， 同 时 结 合 现 有 加 密 等 安 全 工 具 ， 那 么 容 器 就 可 用 于 处 理 敏 感 数 据 和 应 用 程 序 。 此 外 ， 还 可 以 使 用 一 些 容 器 安 全 厂 商 的 方 案 确 保 容 器 的 安 全 ， 例 如 青 藤 云 安 全 的 容 器 解 决 方 案 等 。 当 然 ， 要 使 此 方 法 成 功 ， 安 全 团 队 必 须 尽 早 参 与 为 敏 感 数 据 部 署 容 器 的 过 程 。 7 . 容 器 是 否 适 合 容 器 是 否 适 合 C O T S 应 用 应 用 ? 现 在 越 来 越 多 的 软 件 供 应 商 将 容 器 化 部 署 作 为 产 品 一 个 选 项 。 有 的 供 应 商 采 用 敏 捷 开 发 模 式 满 足 容 器 化 部 署 方 式 ， 将 其 纳 入 他 们 编 写 、 测 试 和 交 付 软 件 的 一 部 分 。 这 些 应 用 都 被 重 构 为 天 然 适 配 容 器 的 微 服 务 。 但 也 有 供 应 商 ， 是 因 为 害 怕 不 提 供 容 器 化 部 署 功 能 将 失 去 市 场 ， 故 而 勉 强 提 供 容 器 部 署 ， 这 种 情 况 下 C O T S 多 数 不 适 合 容 器 ， 因 为 这 些 应 用 程 序 本 质 上 可 能 仍 然 是 整 体 的 ， 或 者 应 用 程 序 没 有 独 立 可 扩 展 属 性 。 此 外 ， 如 果 企 业 本 身 没 有 现 有 的 容 器 基 础 设 施 来 管 理 ， 那 么 C O T S 应 用 程 序 的 容 器 部 署 可 能 不 适 合 企 业 。 在 绝 大 多 数 情 况 下 ， 应 该 避 免 在 没 有 供 应 商 明 确 支 持 的 情 况 下 封 装 C O T S 应 用 程 序 ， 避 免 出 差 错 。 8 . F o u n d r y 、 、 O p e n S h i f t 等 产 品 和 容 器 之 间 有 什 么 关 系 等 产 品 和 容 器 之 间 有 什 么 关 系 C l o u d   F o u n d r y 是 一 个 应 用 程 序 P a a S 平 台 ， 它 支 持 多 种 框 架 、 语 言 、 运 行 时 环 境 、 云 平 台 及 应 用 服 务 ， 使 开 发 人 员 能 够 在 几 秒 钟 内 进 行 应 用 程 序 的 部 署 和 扩 展 ， 无 需 担 心 任 何 基 础 架 构 的 问 题 。 因 此 ， 也 是 一 个 相 对 固 定 的 容 器 框 架 。 之 所 以 这 样 描 述 ， 是 因 为 它 是 预 先 配 置 的 ， 以 便 于 安 装 和 维 护 。 O p e n S h i f t 是 红 帽 的 云 开 发 平 台 即 服 务 （ P a a S ） ， 能 使 开 发 人 员 创 建 、 测 试 和 运 行 他 们 的 应 用 程 序 ， 并 且 可 以 把 它 们 部 署 到 云 中 。 O p e n S h i f t 广 泛 支 持 多 种 编 程 语 言 和 框 架 ， 如 J a v a 、 R u b y 和 P H P 等 。 另 外 它 还 提 供 了 多 种 集 成 开 发 工 具 如 E c l i p s e   i n t e g r a t i o n ， J B o s s   D e v e l o p e r   S t u d i o 和   J e n k i n s 等 。 企 业 在 评 估 面 向 容 器 场 景 的 P a a S 产 品 时 ， 重 需 要 重 点 注 意 其 提 供 服 务 范 围 ， 区 分 它 们 自 身 是 否 支 持 容 器 场 景 ， 还 是 需 要 自 定 义 配 置 或 者 需 要 通 过 第 三 方 组 件 服 务 才 能 支 持 容 器 场 景 。 9 . 是 否 应 该 重 构 应 用 程 序 ， 以 更 好 地 支 持 容 器 是 否 应 该 重 构 应 用 程 序 ， 以 更 好 地 支 持 容 器 ? 在 生 产 中 ， 如 果 通 过 部 署 容 器 来 支 持 微 服 务 的 弹 性 工 作 负 载 时 ， 容 器 将 会 带 来 最 大 的 帮 助 。 因 此 是 否 要 重 构 应 用 程 序 以 支 持 容 器 化 部 署 ， 这 取 决 于 企 业 组 织 是 否 计 划 在 开 发 测 试 、 生 产 等 阶 段 中 使 用 容 器 。 另 外 ， 企 业 在 决 定 重 构 应 用 程 序 以 更 好 支 持 容 器 ， 应 该 首 先 重 构 无 状 态 部 分 应 用 程 序 ， 例 如 w e b 应 用 程 序 前 端 部 分 ， 将 其 重 构 为 微 服 务 ， 以 便 能 够 支 持 使 用 容 器 。 此 外 ， 企 业 可 以 通 过 微 服 务 体 系 结 构 来 构 建 新 的 应 用 程 序 ， 避 免 以 后 重 构 。 1 0 . 在 公 有 云 中 部 署 容 器 服 务 效 果 如 何 在 公 有 云 中 部 署 容 器 服 务 效 果 如 何 ? 云 I a a S 服 务 提 供 商 提 供 完 全 托 管 服 务 ， 而 不 需 要 处 理 虚 拟 机 或 底 层 基 础 设 施 ， 这 种 趋 势 现 在 也 被 应 用 到 容 器 中 ， 例 如 ， A W S   F a r g a t e 提 供 了 抽 象 底 层 基 础 设 施 的 托 管 容 器 服 务 ， 以 便 开 发 人 员 关 注 需 要 执 行 的 任 务 ， 而 不 是 K u b e r n e t e s 集 群 中 的 实 例 数 量 。 * 本 文 作 者 ： 本 文 作 者 ： 青 藤 云 安 全 ， 转 载 请 注 明 来 自 青 藤 云 安 全 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理