在于大部分企业组织或者文化问题在落 实上的顾虑，因为“机器人”比人是否可靠 仍然在争论中，可参考或者背书的实例 少，导致落地缓慢。 • 组织结构升级 • 企业IT文化、工作流程、知识体系、工具集的总合升级 • 应用架构升级 • re-platform • re-build • re-host • 运维模式升级 • 从传统面向操作规则的运维转变为面向观测数据的自动化运维 • 重新定义软件交付模式 2009-2016 应用架构互联网化 2017-2019 核心系统全面云原生化 2020- 云原生技术全面升级 • 以业务场景为驱 动，以时代趋势 为助推，阿里超 前的实现云原生 的落地。 • 企业应该结合自 己的组织、业务、 市场特点来规划 实施云原生。 攘外必先安内 项目 说明 全托管K8S 全托管K8S服务带来了发布和扩容效率的提升、更稳定的容器运行时、节点自愈能力，结合发

企业从信息化到数字化的转型带来大量的应用需求 软件组件 运行环境 部署平台 …… …… 应用丰富及架构演进带来的开发和运维复杂性 本地IDC 虚拟化 超融合 公有云 …… 测试环境 生产环境 复杂的应用软件架构，在开发、测试、运维 团队之间建成了认知的“墙”，团队间配合效 率低，故障排查慢，阻碍了软件价值的流动 7EB，实时计算峰值每秒30亿条记录； 云原生PolarDB读写性能提高50%+，计算资源利用率提高60%+。 • 云原生中间件首次实现自研、商用、开源的“三位一体”，通过阿里云服务全球客户。云原生中间件服务框架峰值调用量超百亿 QPS。 • 核心业务规模实践Serverless，弹性伸缩能力会提升10倍，大幅提升压测支撑效率和稳定性。 • 云原生技术不仅在阿里内部大规模普及，也正通过阿里云服务全社会的双11。大促期间，阿里云原生还支撑了中国邮政、申通 政、申通 快递、完美日记、世纪联华等客户，稳定高效应对双11大促的流量。以物流行业为例，申通快递将核心系统搬到云上，采用阿 里云容器服务，亿级包裹过境，系统稳如泰山，IT成本还降低了30%；以大型商超为例，世纪联华基于阿里云函数计算(FC)弹性 扩容，业务峰值 QPS超过2019 年双11的230%，研发效率交付提效超过 30%，弹性资源成本减少 40% 以上。 总体趋势分析 在多种新旧应用承

2021年12月，Apache开源组件Log4j被发现两个 相关漏洞，分别为任意代码执行漏洞和拒绝服务攻 击漏洞，攻击者可以通过构造特殊的请求进行任意 代码执行，以达到控制服务器、影响服务器执行的 目的。该漏洞已影响超6万个开源软件，涉及相关 版本软件包32万余个,被认为是“2021年最重要的 安全威胁之一” Apache Log4j2 漏洞 2022年3 月 30 日，国家信息安全漏洞共享平台 （CNVD）收录

洞产生，就需要考虑它是否能够用于容器逃逸。 危险配置导致的容器逃逸：Docker 容器基于 Linux 内核中的 Capabilities 特性划分特权集，以便进程可以只分配“执行特定功能”的特权，例如通过使用 privileged 参数获得所有特权集，使用 cap-add 和 cap-drop 参数增减特权集。 然而，无论是细粒度权限控制还是其他安全机制，用户都可以通过修改容器环境 配置或在运行容器时指定参数来缩小或扩大约束。如果用户为不完全受控的容器 未授权访问、kubelet 未授权访问、 kube-proxy 不安全配置。除此之外，还有很多组件都存在着类似的安全问题， 比如 dashboard、Docker 等组件也存在未授权访问的隐患，这些都是 k8s 集 群的重要系统组件，一旦被攻击成功，都是可以直接获得相应集群、节点或容器 的权限。 2.4.2 服务对外暴露攻击 攻击点 5 表示 Node 节点对外暴露的服务。由于管理员的疏忽或为了方便 云原生安全威胁分析与能力建设白皮书 29 2.4.4 集群环境下的横向攻击 可能存在的横向攻击内容包括攻击 API Server 以及攻击其他服务，如攻击 路径 7、8 所示。 攻 击 API Server ： k8s 集 群 的 pod 和 API Server 通 信 是 通 过 ServiceAccount 的 token 验证身份的，这里存在一个攻击点就是如果 pod 的 ServiceAccount 权限过大，便可以以高权限和

TraceID 私 有 云 物 理 公 有 云 企业混合云 控制器 10W采集器 20+云平台 采集器 1% CPU 0.01% 带宽开销 ︹ 零 侵 入 ︺ 流 量 采 集 云平台API 容器编排API TKE ACK 知识图谱 变更事件 资源信息 全 景 图 基于应用代码和日志的可观测性 企业混合云 100x ES/InfluxDB性能 1000+台跨Region集群 TraceID 私 有 云 物 理 公 有 云 企业混合云 控制器 10W采集器 20+云平台 采集器 1% CPU 0.01% 带宽开销 ︹ 零 侵 入 ︺ 流 量 采 集 云平台API 容器编排API TKE ACK 知识图谱 变更事件 资源信息 全 景 图 基于应用代码和日志的可观测性 企业混合云 100x ES/InfluxDB性能 1000+台跨Region集群

n t 展 示 漏 洞 结 果 编 译 解 释 运 行 1 织 入 检 测 逻 辑 2 处 理 H T T P 请 求 ， 获 取 数 据 流 并 收 集 相 关 信 息 3 检 测 漏 洞 I A S T 控 制 台 4 收 集 请 求 （ 主 动 插 桩 补 充 测 试 ） 5 发 送 P a y l a o d , 执 行 检 测 6 展 示 漏 洞 低误报率 高检出率

应用日志（Logging） 应用链路 TraceID N F V 公 有 云 / 私 有 云 企业混合云 控制器 10W采集器 20+云平台 采集器 1% CPU 1% 带宽开销 原 始 数 据 采 集 云平台API 容器编排API TKE ACK 知识图谱 变更事件 资源信息 全 景 图 基于应用代码和日志的可观测性 企业混合云 100x ES/InfluxDB性能 kafka

Pod内的业务应用的监控 - 日志转metrics数据流向 • 如果实在没办法埋点，通过 mtail 解析日志从中提取 metrics 也是一种方案，categraf 后面计划把 mtail 直接集 成进来，这样就可以省去一个二进制 Pod-001 业务 容器 agent 监控服 务端 mtail Pod-002 业务 容器 agent mtail •

依赖软件安装、服务部署等一系列步骤，该过程通常比 较慢，对于集群负载的缓解，不够及时。 • 在离线分离部署及粗粒度调度无法提高资源的利用率：在传统Hadoop架构下，离线作业和在线作业往往分属不同的集 群，然而在线业务、流式作业具有明显的波峰波谷特性，在波谷时段，会有大量的资源处于闲置状态，造成资源的浪 费和成本的提升。在离线混部集群，通过动态调度削峰填谷，当在线集群的使用率处于波谷时段，将离线任务调度到