Servers Storage NetWorking PaaS BpmPaas iPaas MFT Paas Baas Container Service RDS Service Cache|MQ Service Big Data Service aPaas 专业PaaS(2B) 技术Paas(2D) IaaS+ • Paas可以看做是从应用角度管理资源的平台 • Paas可以看做是应用运行态稳定性保障的平台 熔断限流 Service A Service B Service C Nacos Config 熔断监控 Turbine Zipkin EFK prometheus • 适合大部分客户希望原封不动的低成本迁移上云。 • 大部分周边依赖无法做到平台化，导致管理碎片化严重，并与 微服务框架直接关联，成本较高。 Ingress Service A Service B Service 前面所分析的缺点。 SM 控 制 面 Service A Service B Enovoy Enovoy Token Zuul 网关 Hystrix 熔断限流 Nacos Config 熔断监控 Turbine Zipkin EFK prometheus SM 控 制 面 Service A Service B Enovoy Enovoy k8s-ETCD

权限过大，便可以以高权限和 API Server 通信，则有可 能查看集群的一些敏感信息或者执行高权限操作，甚至进一步控制集群。 攻击其他服务：集群中往往会有一些通过 ClusterIP 暴露在内部的 Service，这些服务在集群外部是扫描不到的，但是在内部 pod 中通过前文提到 的信息搜集方法就有可能发现一些敏感服务，比如通过扫描端口或查看环境变量 等。 2.4.5k8s 管理平台攻击 除了官方推出的 （2）流量隔离能力 在传统基于 IP 的安全策略不适用云原生环境背景下，组织需建立新的技术 手段，实现对东西向以及南北向流量的隔离，对常用资源对象的出入站流量进行 隔离，包括但不限于集群、命名空间、service、宿主机、Pod、容器等资源对 象。还应建立基于 Lable 标签的隔离策略下发，适应云原生动态变化的特性。 （3）流量预发布能力 由于网络隔离的特殊性，一旦策略下发将直接影响业务环境，组织在建立相 云原生安全态势管理（KSPM） 相关能力建设成为必要。 （1）资产管理 资产管理是一项关键任务，它涵盖了云基础设施、应用程序和服务的全面管 理。在云原生环境中，至少需对集群中 POD、Service、Namespace 等资产进 行统计，并进行关联性分析，形成多集群的统一可视化管理控制台。针对相关资 产还应清点出关联关系，以及容器运行过程中的行为等。 （2）合规基线 云原生安全威胁分析与能力建设白皮书

付？这个我还是第 ⼀次遇到，有谁可 以教教我？ 混合云？这个 ⽹络拓扑是？ ？？ 应用交付问题分析 服务依赖 Database Storage MessageQueue Micro Service ... 组件 • Specification：CPU、Mermory、StorageType （Local/SSD/…）、StorageSize、Network、QPS、… • Pro .. Service Lifecycle Multiple Cloud Vendor Service Catalog/Definition Service Provisioining/ Vendor adapter Service Binding/Consumer Service Runtime/Service Mesh & Dapr Service Reclaim Service Devops Devops IaC (hcl / cuelang) AutoOps Service Upgradle Service Monitoring … CNBaaS：我们致力于站在面向业务应用友好的角 度，在云厂商之上，统一定义和管理Backend Service。 云产品 规格自 动匹配 服务自 适配云 厂商 服务支 持多种 生产方 式 CNBaaS使命 One definition can

We can manage Istio and our services with Helm! values .yaml go- template > helm template my-service | kubectl apply -f - k8s yaml Istio yaml k8s yaml Istio yaml k8s yaml Istio yaml Sprig functions #IstioCon Demo - Bookinfo What did we see? ● Single entry point for each service’s configuration ● Install each service with a single command ● Single source of truth for auth and egress policy ● with how we think about Istio #IstioCon Demo - Bookinfo What didn’t we see? ● Deployment ● Service ● HorizontalPodAutoscaler ● PodDisruptionBudget ● ConfigMap ● ServiceAccount ● VirtualService

Copyright © 2019 HashiCorp Consul及Consul Connect介紹 Service Mesh Made Easy 劉宇雷-Hashicorp Solutions Engineer Agenda 1. 服務網格是什麼? 簡要歷史回顧 2. 什麼是Consul，它如何工作? 3. 演示: 如何在非容器化的環境下使用Consul的服 務網格 4. 問&答 Enlightenment? Service Oriented Architecture / Enterprise Services Buses The Renaissance Google Trends: ESB, SOA, Service Mesh 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018 enterprise service bus service service oriented architecture service mesh 單體式與微服務軟體架構對比 The Reformation 服務網格是一個輕量級的基礎架構組件，用來解決以下問題： ▪ 服務都在哪裡運行? ▪ 它們都健康嗎? ▪ 怎樣保證服務之間客戶無障礙安全互聯? ▪ 整個軟件的所有功能模塊是否都能夠容器化？ ▪ 是不是所有容器化了的微服務都能夠在同一個集群/數據中心/公有雲運帷？

MOSN 云原生演进历程 MOSN 简介 — 演进历程 MOSN 从 Service Mesh 技术调研，到产品孵化，历经重重困难，最终通过双 11 规模化验证。借力开源、反哺开 源，进行 Cloud Native 生态融合，在实践的道路上一步步的走向云原生。 2018年3月 MOSN 诞生 支持 Service Mesh 核心支付链路覆 盖 MOSN 宣布独立运营 CNCF landscape 背景介绍 — 什么是 MOE 处理性能高 （C++） 研发效能高 (GoLang、生态) 高性能、高研发效能、生态打通 MOE = MOSN + Envoy 相互融合，各取所长 在 Service Mesh 领域，Envoy 和 MOSN 作为 其数据面 Sidecar 之一 ，用于解决传统服务治 理体系下的痛点如：多语言中间件组件开发适配 成本高、SDK 升级困难、技术复用度差、治理体 服务相关元数据如何管理 MOSN 和 Envoy 的相关服务元 数据信息，是如何交互管理的? 通过扩展 Envoy 中的 Admin API 使其支持 xDS 同等功能的 API, MOSN 集成的 Service Discovery 组件通过该 API(rest http) 和 Envoy 交互 使其 MoE 的服务发现能力也 具备“双模”能力，可同时满足 大规模及云原生的服务发现通 道 MOE

Kubernetes模型 K8S控制器 其他资源资源模型 逐级封装，向上透明 Application ComponentDefinition WorkloadResource Deployment Service Ingress ServiceMonitor Component 模版化 逻辑化 应⽤模型定义⽤例 03. ⾯向交付的应⽤模型 type RainbondApplicationConfig AppImage ImageInfo `json:"service_image"` ComponentID string `json:"service_id"` DeployType DeployType `json:”extend_method"` ServicePluginConfigs []ComponentPluginConfig `json:"service_related_plugin_config,omitempty"` ComponentMonitor []ComponentMonitor `json:"component_monitors"`

== 监控入口 Datadog Universal Service Monitoring 要点： 1、Alerts and SLOs for every service 2、No code changes required 3、Faster troubleshooting with a unified platform 4、No service left behind 50亿$ 200亿$ 500亿$ ������� � �� ����� ����� ����� � �� ����� ������ ���� � 应用故障？ 网络故障？ 系统故障？ 当网络建连失败时，现有的APM能监控到异常吗？当容器Service导致高时延时，现有APM能知晓原因吗？ © 2021, YUNSHAN Networks Technology Co., Ltd. All rights reserved. 1. 可观测性的成熟度模型 Ltd. All rights reserved. 如果你的业务运行在公有云上 关联键值： TraceID、SpanID、 SegmentID、URL 关联键值： Pod、Node、 Service、VPC、 VM Metric WEBHOOK DataSource Plugin Tracing Logging 告警 面向各部门视图 与Grafana、Skywalking结合

Resources K8s Resources K8s Resources K8s Resources K8s Resources Database Service Cache Service Storage Service 构建高可用(HA)仓库服务 [4] 多数据中心HA部署 与Harbor集成 Restful API • 完善的API • 遵循OpenAPI规范 • 制品类型 • 遵循OCI规范 • annotation化的数据扩展 • UI自动渲染扩展数据 路线图 管理 分发 扩展性 Interrogation Service++(探针) Observability K8s Operator 1 2 3 来源: https://github.com/goharbor/harbor/blob/master/ROADMAP

A的实例在一段时间内做了多少次GC？ ① 看云网更清晰 Simplify the growing complexity. 数据打通并不简单 ② 应用、系统、网络的Metrics之间 例如：某个Service的Pod的QPS、IOPS、BPS分别是多少？ 例如：Pod所在的KVM宿主机的CPU、内存指标？ ② 看云网更清晰 Simplify the growing complexity. 数据打通并不简单 Ingress Deployment StatefulSet ReplicaSet POD DeepFlow的典型客户环境中，两个微服务通信涉及到的标签多达上百个 Namespace Service Service Deployment Pod Container Node Cluster Ingress Deployment Pod Container 服务 app version deployType=canary Version=1.4.0 group=iot owner=xiangyang cluster=devops deployId=287115 level=low layer=service taskEnv=prod 看云网更清晰 Simplify the growing complexity. AutoTagging：自动同步资源和服务属性 资源池 区域 可用区 云平台 租户