组，两个或多个物理适配器可用于分摊流量负载或在出现物理适配器硬件故障或网络故 障时提供被动故障切换。有关网卡成组的信息，请参见 《服务器配置指南》。 端口组是虚拟环境中的独特概念。端口组是一种策略设定机制，用于管理连接到它的网 络。 vSwitch 可以有多个端口组。虚拟机不是将其 vNIC 连接到 vSwitch 上的特定端 口，而是连接到端口组。连接到同一端口组的所有虚拟机均属于虚拟环境内的同一网 系统将释放每个虚拟机的磁盘锁定，以便虚拟机可在其他物理主机上重新启动。 VMFS 的功能还包括企业级崩溃一致性和恢复机制，例如分布式日志、崩溃一致的虚拟 机 I/O 路径和计算机状态快照。这些机制可帮助快速找到根本原因，并使虚拟机、物理 主机和存储子系统的故障恢复。 VMFS 还支持裸设备映射 (RDM)。RDM 为虚拟机提供了一种机制，使虚拟机能够直接 访问物理存储子系统 （仅限光纤通道或 iSCSI）上的 LUN。RDM LUN。RDM 对于支持以下两种典 型类型的应用程序非常有用： � 在虚拟机中运行的 SAN 快照或其他分层应用程序。 RDM 能够更好地启用使用 SAN 内在功能的可扩展备份卸载系统。 � 跨物理主机的任何 Microsoft 群集服务 (MSCS) 应用：虚拟到虚拟群集以及物理到 虚拟群集。群集数据和仲裁磁盘应配置为 RDM 而非共享 VMFS 上的文件。 VMware, Inc. 23 VMware

1.2 生产环境中，autoCreateTopicEnable 为什么不能设置为 true 18 1.3 实战：RocketMQ 学习环境搭建指南篇 28 1.4 RocketMQ HA 核心工作机制 39 1.5 踩坑记：rocketmq-console 消费 TPS 为 0，但消息积压数却在降低是个什么 “鬼” 49 1.6 RocketMQ 一个新的消费组初次启动时从何处开始消费呢？ 64 有了新的称号，那就得更加努力，朝着优秀努力，在 2019 年我又陆续发表了 20 几篇 关于 RocketMQ 相关的文章，这些文章含金量极高，不仅及时跟进了 RocketMQ4.3.0 之后的新特性：消息轨迹、ACL、主从切换等机制，更是发表了数篇实战类文章，详细指 出在生产环境下一些使用误区，更是输出了几篇生产环境真实故障与解决方案。最终于 20 19 年 RocketMQ 官方社区授予我优秀布道师荣誉称号。 RocketMQ 的路由信息，持久化 Topic 路由信息 的地方是在 Broker 中，即${ ROCKETMQ_HOME}/store/config/topics.json。 在 RocketMQ4.5.0 版本后引入了多副本机制，即一个复制组（m-s）可以演变为基 于 raft 协议的复制组，复制组内部使用 raft 协议保证 broker 节点数据的强一致性，该部署 架构在金融行业用的比较多。 二、消息订阅模型 在

tomcat/weblogic 集群 iii. 多台物理主机之间的容器互联 iv. 标准化开发测试和生产环境 12. 安全 i. 内核名字空间 ii. 控制组 iii. 服务端防护 iv. 内核能力机制 v. 其它安全特性 vi. 总结 13. Dockerfile i. 基本结构 ii. 指令 iii. 创建镜像 14. 底层实现 i. 基本架构 ii. 名字空间 iii. 控制组 例如：一个镜像可以包含一个完整的 ubuntu 操作系统环境，里面仅安装了 Apache 或用户需要的其它应用 程序。 镜像可以用来创建 Docker 容器。 Docker 提供了一个很简单的机制来创建镜像或者更新现有的镜像，用户甚至可以直接从其他人那里下载一 个已经做好的镜像来直接使用。 Docker 镜像 Docker —— 从入门到实践 12 镜像 Docker 利用容器来运行应用。 test $ sudo docker export 7691a814370e > ubuntu.tar 这样将导出容器快照到本地文件。 可以使用 docker import 从容器快照文件中再导入为镜像，例如 $ cat ubuntu.tar | sudo docker import - test/ubuntu:v1.0 $ sudo docker

STORAGE INTERFACE (CSI) 5.1. 配置 CSI 卷 5.2. CSI INLINE 临时卷 5.3. 共享资源 CSI DRIVER OPERATOR 5.4. CSI 卷快照 5.5. CSI 卷克隆 5.6. 管理默认存储类 5.7. CSI 自动迁移 5.8. 在非正常节点关闭后分离 CSI 卷 5.9. ALICLOUD DISK CSI DRIVER OPERATOR 例如，NFS 提供 ReadWriteOnce 访问模式。如果要使用卷的 ROX 功能，请将声明标记 为 ReadOnlyMany。 iSCSI 和 Fibre Channel（光纤通道）卷目前没有隔离机制。您必须保证在同一时间点上只 在一个节点使用这些卷。在某些情况下，比如对节点进行 drain 操作时，卷可以被两个节点 同时使用。在排空节点前，删除使用卷的 pod。 下表列出了访问模式： 表 表 Interface（CSI）卷及其相应的存 储类，但不得同时使用这两个卷类型。对于 in-tree 和 CSI 卷，最大附加的 EBS 卷数量会 单独计算，因此每种类型您都最多可以有 39 个 EBS 卷。 有关访问额外存储选项（如卷快照）的详情，请参考 AWS Elastic Block Store CSI Driver Operator 。 4.1.5. 使用 KMS 密钥在 AWS 上加密容器持久性卷 在部署到 AWS 时，定义在

Swarm Swarm mode 基本概念 创建 Swarm 集群 部署服务 使用 compose 文件 管理敏感数据 管理配置信息 安全 内核命名空间 控制组 服务端防护 内核能力机制 其它安全特性 总结 底层实现 基本架构 4 1.18.2 1.18.3 1.18.4 1.18.5 1.18.6 1.19 1.19.1 1.19.2 1.19.3 1 可以使用，如 aufs 或者 overlay2 ，而 CentOS 和 RHEL 的内核中没有相关驱动。因此对于这类系统，一般使用 devicemapper 驱动利用 LVM 的一些 机制来模拟分层存储。这样的做法除了性能比较差外，稳定性一般也不好，而且配置相对复 杂。Docker 安装在 CentOS/RHEL 上后，会默认选择 devicemapper ，但是为了简化配置， test $ docker export 7691a814370e > ubuntu.tar 这样将导出容器快照到本地文件。 导入容器快照 可以使用 docker import 从容器快照文件中再导入为镜像，例如 $ cat ubuntu.tar | docker import - test/ubuntu:v1.0 $ docker image

卷的持久性存储 第 第 5 章 章 使用 使用 CONTAINER STORAGE INTERFACE (CSI) 5.1. 配置 CSI 卷 5.2. CSI INLINE 临时卷 5.3. CSI 卷快照 5.4. CSI 卷克隆 5.5. CSI 自动迁移 5.6. AWS ELASTIC BLOCK STORE CSI DRIVER OPERATOR 5.7. AZURE DISK CSI DRIVER 访问模式。如果您需要卷的访问模式为 ROX，则需要在 声明中指定 read-only 。供应商中的错误会在运行时作为挂载错误显示。 iSCSI 和 Fibre Channel（光纤通道）卷目前没有隔离机制。您必须保证在同一时间点上只 在一个节点使用这些卷。在某些情况下，比如对节点进行 drain 操作时，卷可以被两个节点 同时使用。在对节点进行 drain 操作前，需要首先确定使用这些卷的 pod 已被删除。 储类，但不得同时使用这两个卷类型。附加的最大 EBS 卷数将单独计算为 in-tree 和 CSI 卷。 4.1.5. 其他资源 第 第 4 章 章 配置持久性存 配置持久性存储 储 23 有关访问额外存储选项的信息，如卷快照，请参阅 AWS Elastic Block Store CSI Driver Operator，这些内容无法在树状卷插件中使用。 4.2. 使用 AZURE 持久性存储 OpenShift Container

Bryant • 背景介绍 • 设计思路 • 性能优化 • 落地效果 • 未来演进 K8s 元信息存储的需求 (1)  读 • 单 Key 读，提供线性一致性 • Range 扫描读，支持快照读，支持分页  写 • K8s 乐观锁 resource version • 单 Key CAS  Watch • Kubernetes list-watch 的底层依赖 K8s 元信息存储的需求 主负责写和事件分发 • 从负责读 • 底层对接分布式强一致性存储 • CAS 事务写 • 快照读 实现架构图 存储层 存储层 – 分布式 KV Store ByteKV • Multi Raft Goup • 全局有序 Range 分区 • 强一致性 • 支持多 key 事务 • 支持 CAS • 支持快照读 • 高性能 存储层 - 数据格式 etcd KubeBrain 能否使用类似的格式？ Key 内存 Btree 索引维护 key 和 revision 的映射关系 存储层 - 数据格式 KubeBrain 逻辑层 逻辑层 – 写 逻辑层 – Watch（1） Watch 机制本质上是一个消息队列系统 1. 可靠性 - 不重复、不丢失 2. 顺序性 - 保证最终状态的一致性 3. 实时性 - 高性能 一定有一个单点对消息进行排序 采用主从架构 逻辑层 – Watch（2）

vSphere 卷 OpenShift Container Platform 将新卷作为独立持久性磁盘置备，以便在集群中的任何节点上自由附加和 分离卷。因此，无法备份使用快照的卷，也无法从快照中恢复卷。如需更多信息，请参阅 快照限制。 流程 流程 要创建持久性卷的备份： 1. 停止使用持久性卷的应用程序。 2. 克隆持久性卷。 3. 重启应用程序。 4. 创建克隆的卷的备份。 5. 删除克隆的卷。 vSphere 卷 OpenShift Container Platform 将新卷作为独立持久性磁盘置备，以便在集群中的任何节点上自由附加和 分离卷。因此，无法备份使用快照的卷，也无法从快照中恢复卷。如需更多信息，请参阅 快照限制。 流程 流程 要创建持久性卷的备份： 1. 停止使用持久性卷的应用程序。 2. 克隆持久性卷。 3. 重启应用程序。 4. 创建克隆的卷的备份。 5. 删除克隆的卷。 vSphere 卷 OpenShift Container Platform 将新卷作为独立持久性磁盘置备，以便在集群中的任何节点上自由附加和 分离卷。因此，无法备份使用快照的卷，也无法从快照中恢复卷。如需更多信息，请参阅 快照限制。 流程 流程 要创建持久性卷的备份： kind: PersistentVolumeClaim apiVersion: v1 metadata: name:

Reserved. 14 7. OIDC for GitHub Actions 试验 推荐实现 CI/CD 的零信任安全的技术之一是通过使用 OpenID Connect（OIDC）等联合身份机制对流水线进行 身份验证，以访问云服务。这一重要的技术仍未被充分利用在 GitHub Actions 中，因此推荐 OIDC for GitHub Actions。通过这种方式，可以避免存储长期 系统 的健康状况与债务，可为维护和增强系统提供结构化的循证战略。 14. 对告警规则的单元测试 试验 可观测性和监控对于软件团队至关重要。鉴于特定事件的不可预测性，创建具有复杂规则的准确告警机制至关 重要。然而，只有当事件真实出现时，这些规则才能得到真正的验证。对告警规则的单元测试让团队通过预先、 主动地测试和完善规则，来更好地定义规则，从而增加对规则的信心。这有助于减少误报，并确保报告真正的 问关键数据和系统，如源代码、凭据和机密数据，去构建和部署软件。这让这些系统对恶意攻击者充满了吸引 力。因此，我们强烈推荐为 CI/CD 流水线和基础设施引入零信任安全机制——尽可能少地信赖它们。这项机制 包含一系列技术：如果可行，使用云供应商提供的联合身份校验机制，如 OIDC，来验证流水线，而不是赋予它 们直接访问机密数据的权限。实行最小权限原则去最小化个人用户和执行器账户的权限，而不是使用具有无限 访问

本章讨论了以下主题： n 第 7 页，“备份虚拟机” n 第 8 页，“卷影复制服务” n 第 8 页，“删除重复存储的优点” 备份虚拟机 备份期间，Data Recovery 会创建虚拟机的静止快照。每个备份操作中都会自动执行删除重复功能。 Data Recovery 可同时备份最多 8 个虚拟机。要开始多个备份，CPU 使用率必须小于 90%。由于内存限制， Data Recover 不支 不支持同时使用两个以上的备份目标。如果必须使用两个以上的备份目标，请将它们配置为在不 同时间使用。 对于在 vSphere 4.0 中创建的虚拟机，Data Recovery 设备会在备份期间创建虚拟机的静止快照。备份在 ESX 主机上使用更改块跟踪功能。对于每个正在备份的虚拟磁盘，它会检查该虚拟磁盘的前一个备份，然后在 ESX 主机上使用更改跟踪功能获取自上次备份以来的更改。删除重复后的存储会基于最新备份映像创建一个虚拟的 (VSS)，该服务可为特定 Windows 操作系统 提供备份基础架构，并提供一种机制，以便为数据创建一致时间点副本，该副本称为卷影副本。 VSS 通过与商用应用程序、文件系统服务、备份设备、快速恢复解决方案和存储硬件协调生成一致的卷影副本。 客户机操作系统中运行的 VMware Tools 提供 VSS 支持。VMware 提供 VSS 请求程序和 VSS 快照提供程序 (VSP)。请求程序组件可用于支持的客户机内，并