编排工具的工作依赖于容器及容器镜像技术，所以用户在使用编排工具时， 同样会面临容器及容器镜像的安全风险。在针对编排工具的攻击一节，我们重点 介绍编排工具本身存在的安全风险。目前，常见的开源编排工具包括 k8s[10]、 OpenShift[11]等，其中 k8s 在功能性、通用性以及扩展性方便表现良好，同时 具有较强的社区支持，使其得到广泛的应用。图 8 以 k8s 为例展示了编排工具 的架构，以及攻击者可能对编排工具进行攻击的方式 3：在容器内部创建一个新的容器，并将宿主机目录挂载到新的容器 docker run -it --name container_in_container -v /:/host ubuntu /bin/bash 操作结果如图 13 所示，可以看出，新启动的容器 container_in_container 可以越权查看到主机相关目录信息。 云原生安全威胁分析与能力建设白皮书 40 图 13 容器逃逸结果展示 Protection Platform 云原生应用程序保护平台 CNCF Cloud Native Computing Foundation 云原生计算基金会 COW Copy-on-Write 写时拷贝 CPU Central Processing Unit 中央处理器 CSA Cloud Security Alliance 云安全联盟 CSPM Cloud Security Platform Management

sum( irate(container_cpu_usage_seconds_total[3m]) ) by (pod,id,namespace,container,ident,image) / sum( container_spec_cpu_quota/container_spec_cpu_period ) by (pod,id,namespace,container,ident,image) 内存使用量除以内存限制量，就是使用率，但 是后面跟了 and container_spec_memory_limit_bytes != 0 是因为有些容器没有配置 limit 的内存大小 container_memory_usage_bytes / container_spec_memory_limit_bytes and container_spec_memory_limit_bytes != 0 increase(container_cpu_cfs_throttled_periods_tota l[1m]) / increase(container_cpu_cfs_periods_total[1m]) * 100 Pod网络出入向流量 irate(container_network_transmit_bytes_total[1m]) * 8 irate(container_network_

SKILLS 1. Autonomy Autonomy Containerization 1. Single Operations per Container Containerization 1. Single Operations per Container 2. Use Parameterize Data Flow • Data Inputs • Data Outputs Distributing of Rights: http://www.pachyderm.io/dsbor.html Azure Container Registry Build: https://docs.microsoft.com/en-us/azure/container-registry/container- registry-tasks-overview Azure Kubernetes Service: https://azure

迁移风险高：一次变更引入的改动越多，引发故障的几率也越多。在Hadoop领域，大数据应用的资源，由 Hadoop Yarn负责管理和调度，具体来说，大数据应用运行在Yarn提供的Container之中，这里的Container，是Yarn中资源的抽 象，并非Linux Container，将其迁移至以容器为技术的云原生架构，跨越了底层基础架构，改动面比较大，风险相 对也更高。 组织架构造成额外的成本：企业里负责开发和运维Hadoo

（3）版本可回滚 （4）业务⾼观测性 ⾯向交付的应⽤模型 第三部分 K8S资源的模型定义 03. ⾯向交付的应⽤模型 Deployment Pod Container ⾯向交付的应⽤模型 03. ⾯向交付的应⽤模型 Container Network Volume Device Pod Template Ingress ServiceMonitor Logger Workload

DeepFlow的典型客户环境中，两个微服务通信涉及到的标签多达上百个 Namespace Service Service Deployment Pod Container Node Cluster Ingress Deployment Pod Container 服务 app version env group owner stage commitId deployId ... app=trident

Function Build ⽤ Tekton 管理镜像制作流⽔线 1. 获取源代码 2. 制作镜像 3. 上传镜像 如何管理 Build pipeline？ K8s 弃⽤ Docker 作为 Container Runtime 不能再以 Docker in docker 的⽅式以 Docker build 构建镜像 还有什么选择？ Function Build 如何在这些⼯具直接进⾏选择和切换？ ��namespace kourier�system edit service kourier # externalIP vim config/samples/function�sample.yaml # container image registery kubectl apply �f config/samples/function�sample.yaml $ kubectl get function NAMESPACE

best, for the lowest cost. qLegacy Apps You can avoid the pain of migrating legacy apps to a new platform. qDesire to Diversify You can avoid vendor lock-in and latency while creating redundancy. IBM Next Generation Middleware, Data, Integration & Analytics IBM MQ IBM Cloud private Platform Kubernetes-based Platform Multiple open compute models IaaS Automation, Containers, PaaS & Functions Stateful

● 执行 $ kubectl apply -f metrics.yaml 用户： ● 立刻就可以在 Application 中定义一个新的字段 metrics ● 无需系统更新或重启 Platform Builder 模型层能力注册 KubeVela 为什么能对不同 Workload 做统一发布？ 工作负载类型 ① 统一 类型注册和识别 健康检查 ② 统一 状态检查和回流 发布模式 Alibaba Internal Infrastructure Other Clouds/Infrastructures 外部终端用户 多样化的业务场景 ... Product Teams Platform Team 欢迎广大 Gopher 加入到 KubeVela 社区！ • 丰富的抽象模板能力（组合、转换、拆分、 状态回流、数据传递等等）。 • 应用云资源绑定和管理。 • 使用 Helm

如何选择混沌测试工具 混沌工具 混沌工具 为什么是 Chaos Mesh 为什么是 Chaos Mesh ● PodChaos: kill / fail / container/... ● NetworkChaos: delay / lose / dup / partition / … ● IOChaos: latency / fault / … ● TimeChaos: