1.2 生产环境中，autoCreateTopicEnable 为什么不能设置为 true 18 1.3 实战：RocketMQ 学习环境搭建指南篇 28 1.4 RocketMQ HA 核心工作机制 39 1.5 踩坑记：rocketmq-console 消费 TPS 为 0，但消息积压数却在降低是个什么 “鬼” 49 1.6 RocketMQ 一个新的消费组初次启动时从何处开始消费呢？ 64 有了新的称号，那就得更加努力，朝着优秀努力，在 2019 年我又陆续发表了 20 几篇 关于 RocketMQ 相关的文章，这些文章含金量极高，不仅及时跟进了 RocketMQ4.3.0 之后的新特性：消息轨迹、ACL、主从切换等机制，更是发表了数篇实战类文章，详细指 出在生产环境下一些使用误区，更是输出了几篇生产环境真实故障与解决方案。最终于 20 19 年 RocketMQ 官方社区授予我优秀布道师荣誉称号。 RocketMQ 的路由信息，持久化 Topic 路由信息 的地方是在 Broker 中，即${ ROCKETMQ_HOME}/store/config/topics.json。 在 RocketMQ4.5.0 版本后引入了多副本机制，即一个复制组（m-s）可以演变为基 于 raft 协议的复制组，复制组内部使用 raft 协议保证 broker 节点数据的强一致性，该部署 架构在金融行业用的比较多。 二、消息订阅模型 在

应用的基本单元，其中包含打包的应用程序代码及其依赖项、库和 二进制文件。容器提供不同环境间的一致性和多个部署目标：物理服务器、虚拟机 (VM) 和私有或公有 云。 Linux 容器技术是隔离运行进程并仅限制对指定资源的访问的轻量机制。作为管理员，您可以在 Linux 容 器上执行各种任务，例如： 将文件复制到容器中或从容器中 复制。 允许容器使用 API 对象。 在容器中执行远程命令。 使用端口转发来访问容器中的应用。 对象在不以明文方式公开的前提下提供此 象在不以明文方式公开的前提下提供此类 类信息。 信息。 2.6.1. 了解 了解 secret Secret 对 对象 象类 类型提供了一种机制来保存敏感信息，如密 型提供了一种机制来保存敏感信息，如密码 码、 、OpenShift Container Platform 客 客户 户端配 端配 置文件和私有源存 置文件和私有源存储库 储库凭 凭证 证等。 等。secret 创建 建 secret 时 时： ： 1. 创 创建包含您要保留 建包含您要保留 secret 的数据的 的数据的 secret 对 对象。在以下部分中取消每个 象。在以下部分中取消每个 secret 类 类型所需的 型所需的 特定数据。 特定数据。 创 创建不透明 建不透明 secret 的 的 YAML 对 对象示例 象示例

应用程序的基本单元，它由应用程序代码与其依赖项、库和二进制 文件一起打包。容器提供不同环境间的一致性和多个部署目标：物理服务器、虚拟机 (VM) 和私有或公有 云。 Linux 容器技术是一种轻量型机制，用于隔离运行中的进程，仅限制对指定的资源的访问。作为管理员， 您可以在 Linux 容器上执行各种任务，例如： 将文件复制到一个容器中或从容器中复制。 允许容器消耗 API 对象。 在容器中执行远程命令。 有些应用程序需要密码和用户名等敏感信息，但您不希望开发人员持有这些信息。 作为管理员，您可以使用 Secret 对象在不以明文方式公开的前提下提供此类信息。 2.6.1. 了解 secret Secret 对象类型提供了一种机制来保存敏感信息，如密码、OpenShift Container Platform 客户端配置文 件和私有源存储库凭证等。secret 将敏感内容与 Pod 分离。您可以使用卷插件将 secret 挂载到容器中， 作为管理员，您必须先创建 secret，然后开发人员才能创建依赖于该 secret 的 pod。 在创建 secret 时： 1. 创建包含您要保留 secret 的数据的 secret 对象。在以下部分中取消每个 secret 类型所需的特定 数据。 创 创建不透明 建不透明 secret 的 的 YAML 对 对象示例 象示例 指定 secret 的类型。 指定编码的字符串和数据。 指定解码的字符串和数据。

工具验证 OPERATOR 5.12. 验证 OPERATOR 捆绑包 5.13. 高可用性或单节点集群检测和支持 5.14. 使用 PROMETHEUS 配置内置监控 5.15. 配置领导选举机制 5.16. 为多平台支持配置 OPERATOR 项目 5.17. 基于 GO 的 OPERATOR 的对象修剪工具 4 4 4 5 6 6 7 23 25 64 66 68 70 79 kubectl 工具来管理您的 工具来管理您的应用程序？ 用程序？ 这些 API 功能丰富，所有平台均有对应的客户端，并可插入到集群的访问控制/审核中。Operator 会 使用 Kubernetes 的扩展机制“自定义资源定义 (CRD)”支持您的自定义对象，如 MongoDB，它类似于 内置的原生 Kubernetes 对象。 Operator 与 与 Service Broker 的比 的比较？ ？ 有关红帽技术预览功能支持范围的更多信息，请参阅技术预览功能支持范围。 OpenShift Container Platform 4.12 引入了 平台 Operator 类型作为技术预览功能。平台 Operator 机制依 赖于 RukPak 组件，也包含在 OpenShift Container Platform 4.12 中，及其用于管理内容的资源。 OpenShift Container Platform 4

Swarm Swarm mode 基本概念 创建 Swarm 集群 部署服务 使用 compose 文件 管理敏感数据 管理配置信息 安全 内核命名空间 控制组 服务端防护 内核能力机制 其它安全特性 总结 底层实现 基本架构 4 1.18.2 1.18.3 1.18.4 1.18.5 1.18.6 1.19 1.19.1 1.19.2 1.19.3 1 mongo:3.2 ，随着官方镜像维护，发布了新版本 后，重新 docker pull mongo:3.2 时， mongo:3.2 这个镜像名被转移到了新下载的镜像身 上，而旧的镜像上的这个名称则被取消，从而成为了 。除了 docker pull 可能导致 这种情况， docker build 也同样可以导致这种现象。由于新旧镜像同名，旧镜像名称被取 消，从而出现仓库名、标签均为 需要做的是将满足我们要求的所有镜像标签都取消，这就是我们看到的 Untagged 的信息。 因为一个镜像可以对应多个标签，因此当我们删除了所指定的标签后，可能还有别的标签指 向了这个镜像，如果是这种情况，那么 Delete 行为就不会发生。所以并非所有的 docker rmi 都会产生删除镜像的行为，有可能仅仅是取消了某个标签而已。 当该镜像所有的标签都被取消了，该镜像很可能会失去了存在的意义，因此会触发删除行

先决条件 6.2. 创建自定义构建工件 6.3. 构建自定义构建器镜像 6.4. 使用自定义构建器镜像 第 第 7 章 章 执 执行基本 行基本构 构建 建 7.1. 启动构建 7.2. 取消构建 7.3. 删除 BUILDCONFIG 7.4. 查看构建详情 7.5. 访问构建日志 第 第 8 章 章 触 触发 发和修改 和修改构 构建 建 8.1. 构建触发器 8.2. 构建 BuildConfig metadata: 第 第 3 章 章 创 创建 建构 构建 建输 输入 入 25 1 2 3 4 5 3.10. 什么是 SECRET？ Secret 对象类型提供了一种机制来保存敏感信息，如密码、OpenShift Container Platform 客户端配置文 件、dockercfg 文件和私有源存储库凭证等。secret 将敏感内容与 Pod 分离。您可以使用卷插件将 secret。可以通过三种方式将 secret 用于 Pod： 为容器产生环境变量。 作为挂载到一个或多个容器上的卷中的文件。 在拉取 Pod 的镜像时通过 kubelet 使用。 卷类型 secret 使用卷机制将数据作为文件写入到容器中。imagePullSecrets 使用服务帐户将 secret 自动 注入到命名空间中的所有 Pod。 当模板包含 secret 定义时，模板使用提供的 secret 的唯一方法是确保验证

机器集 第 第 6 章 章 调 调度 度 WINDOWS 容器工作 容器工作负载 负载 先决条件 6.1. WINDOWS POD 放置 6.2. 创建 RUNTIMECLASS 对象来封装调度机制 6.3. WINDOWS 容器工作负载部署示例 6.4. 手动扩展机器集 第 第 7 章 章 WINDOWS 节 节点升 点升级 级 7.1. WINDOWS MACHINE CONFIG OPERATOR 2019。 2.4.1. 程序错误修复 在以前的版本中，当节点的外部 IP 没有指针记录 (PTR) 时，无法取消配置 Windows 实例。因 此，会使用节点的外部 IP 地址而无需反向查询记录来关联 Windows 实例。在这个版本中，当节 点的外部 IP 地址没有 PTR 时，可以取消配置 Windows 实例。(BZ#2070892) 2.4.2. 已知问题 Windows 节点不支持从安全的私有 conf 文件存在，并带有以下条目： 第 第 5 章 章 创 创建 建 WINDOWS 机器集 机器集 29 1 如果 tools.conf 文件不存在，则使用 exclude-nics 选项取消注释并设置为空值创建该文 件。 此条目确保通过混合覆盖在 Windows 虚拟机上生成的克隆 vNIC 不被忽略。 b. Windows 虚拟机在 vCenter 中有一个有效的 IP 地址：

以就更新做出明智的决定。 其他 其他资 资源 源 更新建议删除和升级 1.2.2. 发行镜像 发行镜像是特定 OpenShift Container Platform (OCP) 版本的交付机制。它包含发行版本元数据、与发行 版本匹配的 Cluster Version Operator (CVO) 二进制文件、部署单个 OpenShift 集群 Operator 所需的每 个清单，以及对组成此 OPENSHIFT 更新 更新 13 注意 注意 当节点被封锁时，工作负载无法调度到其中。 2. 更新节点的系统配置和操作系统 (OS) 3. 重新引导节点 4. 取消协调节点 一个节点无法处理这个过程，直到它被取消封锁，且工作负载可以再次调度到其中。MCO 开始更新节 点，直到不可用节点的数量等于 .spec.maxUnavailable 的值。 当节点完成其更新并变为可用时，机器配置池中不可用的节点数量会重新小于 0 22h OpenShift Container Platform 4.14 更新集群 更新集群 14 更新频道是一个升级机制，用户可以声明他们要更新集群的 OpenShift Container Platform 次版本。它们 还允许用户选择更新更新的时间和级别，并通过 fast、stable、candidate 和 eus

preemptible: true OpenShift Container Platform 4.6 发 发行注 行注记 记 18 左侧的复选框列出默认字段名称，同时在右侧列出附加字段名称。取消选择复选框将从表视图中删除该 列。选择一个复选框会将该列添加到表视图中。同时可以最多显示来自两端的 9 个字段。点 Save 可保存 您所做的更改。点 Restore Default Columns 版本和应用程序版本。您还可以在 表单和 YAML 编辑器间切换，同时保留输入的值。 Knative 事件工作流已进行了改进： 添加了对 Knative Eventing Channels 的支持，以构建可靠的事件交付机制。 现在，您可以使用相关的代理过滤器为频道和触发器创建订阅，并选择 Knative 服务作为订阅 者。 现在，在创建事件源时，可以从该命名空间中指定 sink 作为任何 Knative 资源，如 时，在部署自动扩展 器时不会注册。现在，在部署集群自动扩展器时这些值会被正确读取。(BZ#1854907) 很少可以部署重复的机器 API 控制器实例。因此，集群可能会泄漏无法访问的机器。现在，领导 选举机制添加到所有机器 API 组件中，以确保不会创建重复的实例。机器 API 控制器仅运行指定 数量的实例。(BZ#1861896) 在 Red Hat Virtualization（RHV）集群上，手动机器扩展可能会失败。从

Reserved. 14 7. OIDC for GitHub Actions 试验 推荐实现 CI/CD 的零信任安全的技术之一是通过使用 OpenID Connect（OIDC）等联合身份机制对流水线进行 身份验证，以访问云服务。这一重要的技术仍未被充分利用在 GitHub Actions 中，因此推荐 OIDC for GitHub Actions。通过这种方式，可以避免存储长期 系统 的健康状况与债务，可为维护和增强系统提供结构化的循证战略。 14. 对告警规则的单元测试 试验 可观测性和监控对于软件团队至关重要。鉴于特定事件的不可预测性，创建具有复杂规则的准确告警机制至关 重要。然而，只有当事件真实出现时，这些规则才能得到真正的验证。对告警规则的单元测试让团队通过预先、 主动地测试和完善规则，来更好地定义规则，从而增加对规则的信心。这有助于减少误报，并确保报告真正的 问关键数据和系统，如源代码、凭据和机密数据，去构建和部署软件。这让这些系统对恶意攻击者充满了吸引 力。因此，我们强烈推荐为 CI/CD 流水线和基础设施引入零信任安全机制——尽可能少地信赖它们。这项机制 包含一系列技术：如果可行，使用云供应商提供的联合身份校验机制，如 OIDC，来验证流水线，而不是赋予它 们直接访问机密数据的权限。实行最小权限原则去最小化个人用户和执行器账户的权限，而不是使用具有无限 访问