存储（EVS/OBS/SFS） 网络（VPC/EIP） 开源原生 商业增强：控制面HA、跨AZ高可用、滚动升级、裸金属容器 云容器引擎 CCE 微服务引擎 CSE 开源原生 企业级 中间件 分布式 缓存 DCS 分布式 消息 DMS 分布式 数据库 DDM 应用编排引擎 AOS App/PaaS/IaaS 资源一键式创建 应用运维 AOM 应用性能管理 APM 应用拓扑 容器在业界的默认标准是Docker，定义容器标 准的组织是OCI。 容器技术是一种轻量级的操作系统虚拟化方案， 可以基于操作系统虚拟出更加细粒度的资源单位。 5 什么是容器编排调度引擎？ • 容器编排引擎提供资源的管理和容器的调度技术，提供容器应用生命周期管理、弹性伸缩、监控运维的基本机制，决定容器 之间如何进行交互。 • Kubernetes（简称K8S）是主流的容器编排部署管理平台。它基于Google 编排调度引擎市场 2017年10月，Docker公司宣布支持Kubernetes 2017年10月17 日，在 DockerCon 欧洲大会上，容器供应商 Docker 宣布重磅消息，将拥抱容器编排对手Kubernetes。 在全球3大容器调度编排引擎中，Kubernetes占据近70%的市场份额， 已成为行业事实标准。 Kubernetes已成为业界最主流的容器调度编排引擎 7

全规则会定期更新，以跟上不断演进的合规标准和威胁向量。由于 Orca 无需代理，因此提供了良好的开发者 体验，并且易于设置。另一个显著的特点是它促进了安全的左移。我们的团队使用 Orca CLI 来扫描容器镜像 和 IaC 模板，以检测漏洞和配置错误，作为预提交钩子或 CI/CD 工作流的一部分。它还持续监控和扫描容器仓 库（如 AWS ECR），以查找已发布镜像中易受攻击的基础镜像或脆弱的操作系统依赖项。根据我们团队的经验， 提供了从开发到生产的安全状态的统一视图，因此我们将其放入试验阶段。 31. Trino 试验 Trino 以前被称之为 PrestoSQL，是一个专为面向大数据交互式分析查询而设计的开源分布式 SQL 查询引擎。经 过优化后，它可以在本地或者云上环境运行，并支持对 Hive、Cassandra、关系型数据库、甚至专有数据存储 等多种不同的数据源进行查询。它支持基于密码的认证、LDAP 和 OAuth 的身份验证机制，同时具备在 的开源向量相似性搜索插件。我们非常喜欢它，因为它能够让我们在 PostgreSQL 中搜索 embeddings，而无需仅为了相似性搜索而将数据转移到另一个存储中。尽管目前已有几个 专门的向量搜索引擎，但我们还是希望你能评估一下 pgvector。 平台 © Thoughtworks, Inc. All Rights Reserved. 24 40. Pinecone 评估 Pinecone

比如一个服务可能会运行多个副本（Pod），由他来控制具体由哪个Pod提供服务。为Service提供cluster内部的服务发 现和负载均衡。 Docker Engine（docker）：docker引擎，负责本机的容器创建和管理工作。 12 www.h3c.com Confidential 秘密 12 12 K8s基本概念和术语介绍（Pod） Pod： Pod是一组紧密关联的容器集合，它们 意时刻都符合某个预期值。RC包含如下几部分： Pod期待的副本数（replicas） 用于筛选目标Pod的Label Selector 当Pod的副本数量小于预期数量的时候，用于创建新Pod的Pod模板（template） 当定义一个rc之后，master节点的controller manager组件就得到通知，定期巡检系统中存活的目标pod，并确保目 标pod实例的数量刚好等于此rc的期望值， Set的一些作用和特性： 1. 大多数情况下，我们通过定义一个RC实现Pod的创建过程及副本数量的自动控制 2. RC里面包含完整的Pod定义模板 3.RC通过标签选择器机制实现对Pod的自动控制 4.通过改变Rc中的Pod副本数量，可以实现Pod的扩容和缩容功能 5.通过改变RC中的Pod模板中的镜像版本，可以实现Pod的滚动升级功能。 18 www.h3c.com Confidential 秘密 18 18

JSON • 简单直观：schema 和 value 语法一致 完整的 k8s YAML 抽象数据 PaaS 层 UI (e.g. dashboard, cli) 用户 CUE schema/模板 “客户端”抽象 标准化的“服务端”抽象 – 应用模型 Open Application Model (OAM) • 通过 OAM spec 定义“以应用为中心”的原语 • 打破“谷仓”! webservice, route and rollout etc. - Capability Management 云原生应用管理 千人钉钉交流群 一个既用户友好，又高可扩展，标准化 的应用管理引擎即将发布，敬请期待！ https://github.com/oam-dev/kubevela 参考资料 25 OAM spec: https://oam.dev/ KubeVela: https://github

如上所示，⼀个RC的定义⼀般包含了如下三部分： 11-K8s架构及基本概念 32 Pod所期待的副本数 筛选Pod的标签选择器：RC通过Label来关联对应的Pod Pod模板：当集群中Pod的副本数量⼩于（⼤于）期望值时，K8s就会使⽤该模板去创建（删除）新的Pod。 Service Service可以简单理解成⼀组提供相同服务的Pod的对外访问⼊⼝。Service与Pod之间通过Selector来绑定。下图简单说 包括由kubelet启动的所有容器，但不包括由Docker直接启动的容器，也不包含那些不运⾏在容器中的进程。 如果要明确保留⾮Pod进程的资源，可创建⼀个“placeholder pod（占位Pod）”。使⽤以下模板： apiVersion: v1 kind: Pod metadata: name: resource-reserver spec: containers: - name: .spec section 。 Pod模板 .spec.template 是 .spec 唯⼀必需的字段。 .spec.template 是⼀个 pod template 。 它与 pod 有完全相同的模式—— 除了是嵌套的，没有 apiVersion 以及 kind 以外。 除Pod必需的字段外，ReplicaSet中的Pod模板必须指定适当的标签和适当的重新启动策略。

#选择相应pod模板 matchLabels: podlable: nginx-deploy-pod template: #定义一个pod模板，具体要运行多少个实例由上面的replicas决定 metadata: labels: podlable: nginx-deploy-pod #pod模板标签 spec: #打标签 spec: selector: #选择相应pod模板 matchLabels: podlable: ds-pod template: metadata: labels: podlable: ds-pod #pod模板标签 spec: containers: selector: #选择相应pod模板 matchLabels: podlable: nginx-pod-sts serviceName: nginx-sts-svc #必须指定serviceName关联svc template: #定义一个pod模板，具体要运行多少个实例由上面的replicas决定 metadata:

更好的性能 • 使用Helm进行复杂容器编排 基于Kubernetes平台技术架构 基于Kubernetes的应用部署最佳实践 • 构建Docker镜像最佳实践 • 基于Helm的应用模板抽象 • 基于Kubernetes的 CI/CD� 构建Docker镜像最佳实践 预期 ������ ������ ������ 实践 ����� ������ �������� K8s服务编排唯一开源子项目，K8s包管理工具 • 用于部署复杂K8s应用，处理复杂的服务间依赖 • 查看发布历史与某一次发布的具体配置 • 基于Go模板语言，实现应用快速部署到K8s集群 基于Helm的应用模板抽象 • 模板+配置 • 参数化配置支持多个环境 • 管理应用的发布 • 复杂服务间依赖处理 基于Kubernetes的 CI/CD� 从持续集成到持续交付过程图示

信创异构 7 云边协同 7 云原生底座 8 模块化搭建 8 容器管理 9 全局管理 10 可观测性 10 应用工作台 11 多云编排 11 微服务引擎 12 服务网格 13 中间件 14 镜像仓库 14 云原生网络 15 存储 17 参考文档 18 版权 © 2023 DaoCloud 第 3 设置登录、访问权限、外观 可观测性 一站式图形化仪表盘 应用工作台 CI/CD 流水线实现 GitOps 和 DevOps 工作流 多云编排 基于 Karmada 构建多云实例/负载/策略管理 微服务引擎 基于 Nacos/Sentinel/Eureka 等微服务治理中心和网关 服务网格 基于 Istio 定制的增强版网格化治理 版权 © 2023 DaoCloud 第 9 页 力， 彻底解决多云应用灾备的问题。 微服务引擎 「DaoCloud 道客」微服务引擎是面向业界主流微服务生态的一站式微服务管 理平台，主要提供微服务治理中心和微服务网关两个维度的功能，具体包括服 务注册发现、配置管理、流量治理、服务级别的链路追踪、API 管理、域名管 理、监控告警等，覆盖了微服务生命周期中的各种管理场景。微服务引擎具有 很强的兼容性，不仅可以无缝对接 DCE 5.0

All rights reserved. 背景和挑战 • 内部系统演进 每个项目自维护 难以规范和升级 01 脚本化 多个工具集成 最佳搭配 合力作战 03 平台化 抽象成工具 模板化 一键化 零散，不成体系 02 工具化 6 2017 Lenovo Internal. All rights reserved. 背景和挑战 • 挑战 依然不够自动化 服务割裂，申请流程 容器云设计-- 企业权限设计 • 功能权限：允许或拒绝用户使用系统提供的某个功能 用户 user01 user02 角色 Admin OPS User 功能/资源 修改系统配置 增加服务模板 创建服务 * * * * 17 2017 Lenovo Internal. All rights reserved. 容器云设计-- 企业权限设计 • 业务权限/数据权限：允许或拒绝用户进行某个数据的增删改查操作 支持MySQL/Redis等常用组件服务市场 22 2017 Lenovo Internal. All rights reserved. Showcase • 部署示例：配置简单，自服务 选择应用类型/模板 配置应用 上传包 打包镜像并部署 完成部署上线 23 2017 Lenovo Internal. All rights reserved. Showcase • Scale Out横向扩展：简单，快速

• 强一致性 • 支持多 key 事务 • 支持 CAS • 支持快照读 • 高性能 存储层 - 数据格式 etcd KubeBrain 能否使用类似的格式？ 1. 否 2. 底层存储引擎全局有序，有写热点那问题 Etcd 以 Revision 为 Key 内存 Btree 索引维护 key 和 revision 的映射关系 存储层 - 数据格式 KubeBrain 逻辑层 接入层 接入层 客户端 客户端 K8s 元信息存储的需求 • 背景介绍 • 设计思路 • 性能优化 • 落地效果 • 未来演进 性能优化 写优化 - 1 降低锁粒度 存储引擎替换 表锁 -> 行锁，增大了写的并发 写优化 - 2 单点写 -> 多点写 multi raft range 分片，增大写并发 Brain 层无磁盘 io，只有网络 io 写优化 - 3 背景介绍 • 设计思路 • 性能优化 • 落地效果 • 未来演进 影响力构建 集成进入 Kubernetes 作为新型 Storage Backend 已经开源，以 TiKV 作为存储引擎 持续优化和完善系统 架构演进 • 目前所有消息严格要求有序 • 消息不重不丢、严格有序，所以写必须单点 • Kubernetes 本质是一个最终一致性的系统 • 关注单个对象的最终状态