Service Mesh 在蚂蚁金服生产级安全实践 彭泽文 蚂蚁金服高级开发工程师 2019.8.11 Service Mesh Meetup #6 广州站基于 Secret Discovery Service Sidecar 的证书管理方案 使用可信身份服务构建敏感数据下发通道 Service Mesh Sidecar 的 TLS 生产级落地实践 分享内容基于 Secret Discovery Agent 获取证书使用可信身份服务构建敏感数据下发通道 背景介绍 通过应用Pod 中增加一个安全 Sidecar，以API接口的形式为APP及其他Sidecar 提供基础的身 份颁发、身份验证功能  解耦应用的业务逻辑与认证授权逻辑，减少开发量；  提供密码学安全的认证授权逻辑，提高安全性；  全网统一的认证授权方式，去凭证，减少攻击面；  为每个应用建立唯一的全局应用身份标识，提供服务调用全链路溯源能力，及可问责能 通信的Grpc服务获取密钥等敏感信息Service Mesh Sidecar 的TLS 生产级落地实践 TLS 实践难点 证书管理 开关切换 灰度控制 SDS 证书管理方案 ISTIO Policy | Mesh Policy ScopeConfigService Mesh Sidecar 的TLS 生产级落地实践 开关切换 RPC 通信场景下，为保证平滑无损的TLS切换能力，需 要分别控制

尚硅谷大数据技术之 Hadoop（生产调优手册） ——————————————————————————————————————— 更多 Java –大数据 –前端 –python 人工智能资料下载，可百度访问：尚硅谷官网 尚硅谷大数据技术之 Hadoop（生产调优手 册） （作者：尚硅谷大数据研发部） 版本：V3.3 第 1 章 HDFS—核心参数 1.1 1 NameNode 内存生产配置 1）NameNode 内存计算 每个文件块大概占用 150byte，一台服务器 128G 内存为例，能存储多少文件块呢？ 128 * 1024 * 1024 * 1024 / 150Byte ≈ 9.1 亿 G MB KB Byte 2）Hadoop2.x 系列，配置 NameNode 内存 NameNode 内存默认 NodeManager 2611 NameNode 3271 JobHistoryServer 2744 DataNode 尚硅谷大数据技术之 Hadoop（生产调优手册） ——————————————————————————————————————— 更多 Java –大数据 –前端 –python 人工智能资料下载，可百度访问：尚硅谷官网 3579

0 Service Mesh 高可用在企业 级生产中的实践 罗广明 百度高级研发工程师1/总页数 讲师介绍 • 罗广明、百度高级工程师 • ServiceMesher 社区（servicemesher.com）治理委员会核心成员 • 云原生社区（cloudnative.to）联合创始成员 • 百度云智学院认证讲师 • 目前在「百度云云原生团队」负责微服务治理与相关中间件研发 • 对云 社区生态强大、活跃度高 Spring Cloud 的优缺点 缺点 • 仅适用于 JAVA 应用、Spring Boot 框架 • 侵入性强 • 升级成本高、版本碎片化严重 • 内容多、门槛高 • 治理功能仍然不全5/总页数 优点 • 微服务治理与业务逻辑解耦 • 异构系统的统一治理 • 三大技术优势： • 可观察性 • 流量控制 • 安全 Service Mesh 的优缺点 缺点 • 增加了复杂度 载保护，防止大量请求涌入击垮系统。 • 服务限流其实是指当系统资源不够，不足以应对大量请求，即系统资源与访问量 出现矛盾的时候，我们为了保证有限的资源能够正常服务，因此对系统按照预设 的规则进行流量限制或功能限制的一种方法。 • 限流的目的是通过对并发访问/请求进行限速或者一个时间窗口内的的请求进行 限速来保护系统，一旦达到限制速率则可以拒绝服务或进行流量整形。 • 限流无非就是针对超过预期的流量，通过预先设定的限流规则选择性的对某些请

状态的项目中的所有内容。项目处于 Terminating 状态时，您无法将新的内容添加 到这个项目中。可以从 CLI 或 Web 控制台删除项目。 流程 1. 运行： 2.2. 以其他用户身份创建项目 通过身份模拟功能，您可以其他用户的身份创建项目。 2.2.1. API 身份模拟（impersonation） 您可以配置对 OpenShift Container Platform API 的请求，使其表现为像是源自于另一用户。如需更多信 使用示例创建应用程序：使用现有代码示例开始在 OpenShift Container Platform 上创建应 用程序。 使用引导式练习文档构建：遵循指导文档构建应用并熟悉关键概念和术语。 探索开发人员新功能：探索 Developer 视角中的新功能和资源。 Developer Catalog：浏览 Developer Catalog 以选择所需的应用、服务或源到镜像构建器，然后 将它添加到项目中。 所有服务：浏览目录以在 选项。例如，如果您在 example.com 中 键入，则 Create 选项为 Create "example.com"。 健康检查 点击 Health Checks 链接为您的应用程序添加就绪（Readiness）、存活（Liveness）和启动 （Startup）探测。所有探测都预先填充默认数据; 您可以使用默认数据添加探测或根据需要进行自定 义。 自定义健康探测： 点 Add Readiness

状态的项目中的所有内容。项目处于 Terminating 状态时，您无法将新的内容添加 到这个项目中。可以从 CLI 或 Web 控制台删除项目。 流程 流程 1. 运行： 2.2. 以其他用户身份创建项目 通过身份模拟功能，您可以其他用户的身份创建项目。 2.2.1. API 身份模拟（impersonation） 您可以配置对 OpenShift Container Platform API 的请求，使其表现为像是源自于另一用户。如需更多信 Platform 上创建应 用程序。 使用引 使用引导 导式 式练习 练习文档 文档构 构建 建：遵循指导文档构建应用并熟悉关键概念和术语。 探索开 探索开发 发人 人员 员新功能 新功能：探索 Developer 视角中的新功能和资源。 Developer Catalog：浏览 Developer Catalog 以选择所需的应用、服务或源到镜像构建器，然后 将它添加到项目中。 所有服 所有服务 选项。例如，如果您在 example.com 中 中 键入，则 Create 选项为 Create "example.com"。 健康 健康检查 检查 点击 Health Checks 链接为您的应用程序添加就绪（Readiness）、存活（Liveness）和启动 （Startup）探测。所有探测都预先填充默认数据; 您可以使用默认数据添加探测或根据需要进行自定 义。 自定义健康探测： 点 Add Readiness

VIRTUALIZATION 发 发行注 行注记 记 5.1. 使开源包含更多 5.2. 关于 RED HAT OPENSHIFT VIRTUALIZATION 5.3. 新增和改变的功能 5.4. 弃用和删除的功能 5.5. 技术预览功能 5.6. 程序错误修复 5.7. 已知问题 第 第 6 章 章 安装 安装 6.1. 为 OPENSHIFT VIRTUALIZATION 准备集群 6.2. 为 OPENSHIFT 安全策略 8.1. 关于工作负载安全性 8.2. KUBEVIRT-CONTROLLER 服务帐户的其他 OPENSHIFT CONTAINER PLATFORM 安全性上下文约束和 LINUX 功能 8.3. 授权 8.4. 其他资源 第 第 9 章 章 使用 使用 VIRTCTL 和 和 LIBGUESTFS CLI 工具 工具 9.1. 安装 VIRTCTL 9.2. VIRTCTL Container Platform 4.13 虚 虚拟 拟化 化 4 第 1 章 关于 OPENSHIFT VIRTUALIZATION OpenShift Virtualization 的功能与支持范围。 1.1. OPENSHIFT VIRTUALIZATION 的作用 OpenShift 虚拟化（OpenShift virtualization）是 OpenShift Container

11. 升级 SERVICE MESH 1.12. 管理用户和配置集 1.13. 安全性 1.14. 管理服务网格中的流量 1.15. 指标、日志和追踪 1.16. 性能和可扩展性 1.17. 为生产环境配置 SERVICE MESH 1.18. 连接服务网格 1.19. 扩展 1.20. 使用 3SCALE WEBASSEMBLY 模块 1.21. 使用 3SCALE ISTIO 适配器 1 Service Mesh Operator 支持部署多个版本的 ServiceMeshControlPlane，所以 Service Mesh 没有为产品的次版本维护单独的文档。 除非在一个特定主题或特定功能中明确指定了特定的版本，当前的文档集适用于所有当前 支持的 Service Mesh 版本。 如需有关 Red Hat OpenShift Service Mesh 生命周期和支持的平台的更多信息，请参阅平 、服务对服务身份验证、故障 恢复、指标和监控的服务网络提供了便捷的方法。服务网格还提供更复杂的操作功能，其中包括 A/B 测 试、canary 发行版本、访问控制以及端到端验证。 1.1.2. 核心功能 Red Hat OpenShift Service Mesh 在服务网络间提供了实现关键功能的统一方式： 流量管理 - 控制服务间的流量和 API 调用，提高调用的可靠性，并使网络在条件不好的情况保持