Tencent internal Kubernetes platform for Tencent’s services • https://cloud.tencent.com/developer/column/2436 Introduction Challenges with Kubernetes Ø How to provide a fast & reliable way to release

Availability guarantee • KMS • API server & kms-plugin • Cron job backup for KEKs (from KMS) • Static key configuration support in kms-plugin • One click decryption • Key force update • Liveness probe

etcd state or etcd backup. ● Need to start a temporary replacement api-server ○ Could be binary, static pod, new tool, bootkube, etc. ● Recovery once etcd+api is available can be done via kubectl (as

Inc. 20 Kubernetes.平台只是最後一站，前面各站也都要安全管控才不會前功盡棄 在整個CI/CD管線的各個環節都需要各種控制措施涵蓋 靜態應用安全測試 (白箱測試): Static Application Security Test (SAST) 靜態應用安全測試 : Interactive Application Security Test (IAST) 動態應用安全測試

• source available? • gotchas: big surface, many languages { } } • sanitizing user input • static code analysis • gotchas: log-leaking} • sensitive config (passwords, API keys, etc.) • gotchas:

的pod 容器能够直接通信。 13 www.h3c.com Confidential 秘密 13 13 K8s基本概念和术语介绍（Pod） Pod： pod分两种：普通pod和静态pod（static pod） 普通pod：一旦被创建，会被放到etcd中存储，随后被k8s master调度到某个具体的node上并进行绑定，随后该pod被 对应的node上的kubelet进程实例化成一组相关的

k8s-master 设置网络： cd /etc/sysconfig/network-scripts vi ifcfg-ens160 TYPE=Ethernet BOOTPROTO=static DEFROUTE=yes PEERDNS=yes PEERROUTES=yes IPV4_FAILURE_FATAL=no NAME=Internet UUID=b23

od， 例如在Node故障或Node被中断维护（例如内核升级）的情况下。因此，您应该使⽤DaemonSet⽽⾮单独创建Pod。 Static Pods（静态Pod） 可通过将⽂件写⼊由Kubelet监视的某个⽬录来的⽅式来创建Pods。 这些被称为 static pods 。 与DaemonSet不同，静 态Pod⽆法使⽤kubectl或其他Kubernetes API客户端进⾏管理。静态