云原生爱好者周刊：服务网格的困境与破局

云原生一周动态要闻：

KEDA 从 CNCF 沙箱项目迁移到孵化项目
Harbor Operator 1.1.0 发布
Litmus 2.0.0 发布
Grafana 8.1.2 发布
OpenSSH 8.7 发布
开源项目推荐
文章推荐

云原生动态

KEDA 从 CNCF 沙箱项目迁移到孵化项目

CNCF 技术监督委员会（TOC）已经投票决定接受 KEDA 成为 CNCF 的孵化项目。

Kubernetes Event-Driven Autoscaling（KEDA）是一个用于 Kubernetes 的单一用途的事件驱动自动调节器，可以很轻松地添加到 Kubernetes 集群中来扩展应用。它的目的是简化应用程序的自动缩放，并通过支持扩展到零来优化成本。

KEDA 创建于 2019 年 5 月，是微软和红帽的合作项目，并于 2020 年 3 月加入 CNCF 沙盒。自加入沙盒以来，该项目的终端用户有了很大的增长，包括阿里巴巴、CastAI、KPMG、Meltwater、微软等。该项目团队由来自微软、红帽和 Codit 三个组织的 4 名维护者组成。

详情见^[1]

Harbor Operator 1.1.0 发布

Harbor Operator 1.1.0 已经发布。值得注意的功能包括：

支持部署 Harbor v2.3
支持 Kubernetes 1.21 版本
将入口版本升级为 v1
完善 CRD 定义，提供一致的数据库、存储和缓存配置规范（引入新的 CRD 版本 v1beta1）
支持用基于 CRD 的声明方式应用 day2 配置
支持用负载均衡器公开 Harbor 服务
为 S3 存储提供额外的配置选项
以一致的格式进行日志记录
扩展底层运算符（PostgreSQL、Redis 和 Minio）的支持版本

了解更多细节，请查看 v1.1.0 发布页面^[2]。

Litmus 2.0.0 发布

Litmus 2.0.0 为 LitmusChaos 平台带来了更新的功能，使混沌工程的实践更加高效。以下是新版本的显要特征：

混沌中心
- 一个混沌控制平面或门户，提供对跨数据中心/云的多个集群的混沌操作的集中管理。控制平面通过安装在注册集群上的代理进行实验。
- 包括记录在案的 API，可用于以编程方式调用混沌。
- 围绕混沌执行提供可视化能力和分析。
- 支持项目-团队-用户的结构，以便在团队内协作进行混沌操作。
Litmus 工作流
- 引入混沌工作流--(a)自动设置依赖关系(b)帮助创建有多个故障的复杂混沌场景(c)支持定义负载/验证工作和混沌注入。
- 提供了以不同方式创建/运行工作流的灵活性--通过模板，从集成中心，以及自定义上传。
多租户
- 支持设置（控制平面和代理）和执行混沌实验：集群范围和命名空间范围模式，以帮助在共享集群中以自助服务模式进行操作
可观测性和稳态假设的验证
- 提供更多带有额外过滤器的 Prometheus 指标集--可用于应用仪表盘的仪表，以观察混沌影响。
- 提供多样化的探针集，自动验证稳态假设--从而提高运行自动混沌实验的效率
用于混沌状态的 GitOps
- 与基于 Git 的 SCM 集成，为混沌工件（工作流）提供一个单一的真实来源，这样的变化在 Git 源和混沌中心之间是双向同步的，从而拉出最新的工件来执行。
- 提供一个事件追踪的微服务，在 GitOps 工具（如 ArgoCD、Flux）升级时自动启动 "订阅的 "混沌工作流。
非 Kubernetes 混沌
- 增加了在基础设施（云）资源上注入混沌的实验，如 VMs/instances 和磁盘（AWS、GCP、Azure、VMWare）--无论它们是否承载 Kubernetes 集群。

详情见^[3]

Grafana 8.1.2 发布

Grafana 8.1.2 现已发布。Grafana 是一个功能丰富的指标标准仪表板和图形编辑器，用于分析和监控 Graphite、Elasticsearch、OpenTSDB、Prometheus 和 InfluxDB。

功能和增强：

AzureMonitor：添加对 PostgreSQL 和 MySQL 灵活服务器的支持。
Datasource：将 datasource health check 失败的 HTTP 状态代码更改为 400。
Explore：将 span duration 添加到 trace viewer 的左侧面板。
Plugins：在提供插件资产时使用文件扩展名 allowlist，而不是检查 UNIX 可执行文件。
Profiling：支持将 pprof 服务器绑定到自定义网络接口。
Search：使搜索图标键盘可导航。
Template variables：键盘导航改进。
Tooltip：在分钟时间范围内显示毫秒 (ms)。

详情见^[4]

OpenSSH 8.7 发布，实验性 SFTP 支持 SCP

OpenSSH 8.7 发布了，作为这个广泛使用的 SSH 服务器/客户端软件的最新功能版本。

在 OpenSSH 8.7 中，突出的变化主要围绕 SCP 工作和为未来的变化做准备。OpenSSH 8.7 的亮点包括：

准备在下一个 OpenSSH 版本中默认停用 ssh-rsa 签名方案。我们鼓励用户现在就转移到更好、更安全的替代方案。
用于远程到远程拷贝的 SCP 现在默认通过本地主机传输，以避免在源跳上暴露凭证和其他改进。
SCP 增加了对使用 SFTP 协议传输的实验性支持，作为 SCP/RCP 协议的最终替代。SFTP 的使用导致了更可预测的文件名处理和其他改进。scp -s 标志将启用 SFTP 的使用，并计划在不久的将来成为默认使用。
SSH 和 SSHD 现在采用了一个更严格的配置文件解析器。
许多错误修复和其他小的改进。

更多关于 OpenSSH 8.7 所有变化的细节和源代码下载请访问 OpenSSH.com^[5]。

开源项目推荐

Kubescape^[6]

还记得前段时间美国国家安全局 (NSA) 发布了《Kubernetes 安全加固指南》吗？现在连检查 K8s 集群安全配置是否符合 NSA 安全指南的项目都出来了。

Havener^[7]

Havener 是一个用于与 Kubernetes 交互的高级 CLI 工具，它的目的是提供更丰富的表现形式，并避免使用 kubectl 时使用参数很长的场景。下面是它的几个常用参数：

havener events^[8] - 展示 Kubernetes 集群的 Events 信息
havener logs^[9] - 检索所有 Pod 的日志文件
havener node-exec^[10] - 在 Kubernetes 节点上执行命令
havener pod-exec^[11] - 在 Pod 中执行命令
havener top^[12] - 显示 CPU 和内存信息
havener watch^[13] - 观察所有命名空间中的所有 Pod 的状态

Kubestriker^[14]

Kubestriker 是一个平台无关的工具，旨在解决 Kubernetes 集群由于配置错误而产生的安全问题，并将有助于加强任何组织的整体 IT 基础设施。它可以对不同服务和多个平台上的开放端口进行大量详细检查，包括自我托管的 Kubernetes 集群、Amazon EKS、Azure AKS 和 Google GKE。

此外，它还可以分析 Kubernetes 基础设施相关组件，并提供可视化的攻击路径，展示黑客可能的攻击路线。

Metacontroller^[15]

Metacontroller 是一个 Kubernetes 插件，它可以通过简单的脚本来编写和部署自定义控制器。

文章推荐

服务网格的困境与破局^[16]

这篇文章值得一读，文中花了大量的篇幅来探讨容器网络的细节，简而言之，容器使用 TCP 来进行通信时会有大量的开销，而 kube-proxy 又额外增加了更多的开销。如果能直接使用 UDS(UNIX Domain Sockets) 来通信，就可以免去很多不必要的开销，容器通信不需要 TCP，也不需要 IP，成千上万的容器都有自己的 UDS，例如 /path/mysocket.sock，每个 UDS 都有唯一的 Inode，而不用担心 IP 地址或端口冲突。

如何构建比 nginx:alpine 体积还小的镜像^[17]

本文介绍了如何构建体积最小的 Nginx 镜像，甚至比 nginx:alpine 体积还小。

如何加固 Kubernetes 控制平面组件^[18]

控制平面作为 Kubernetes 集群的神经中枢，管理着集群的状态和配置数据，极易被攻击者滥用，因此需要对其进行加固。

引用链接

[1]

详情见: https://www.cncf.io/blog/2021/08/18/keda-moves-from-the-cncf-sandbox-to-become-an-incubating-project/

[2]

发布页面: https://github.com/goharbor/harbor-operator/releases/tag/v1.1.0

[3]

详情见: https://github.com/litmuschaos/litmus/releases/tag/2.0.0

[4]

详情见: https://github.com/grafana/grafana/releases/tag/v8.1.2

[5]

OpenSSH.com: https://www.openssh.com/txt/release-8.7

[6]

Kubescape: https://github.com/armosec/kubescape

[7]

Havener: https://github.com/homeport/havener

[8]

havener events: https://github.com/homeport/havener/blob/main/.docs/commands/havener_events.md

[9]

havener logs: https://github.com/homeport/havener/blob/main/.docs/commands/havener_logs.md

[10]

havener node-exec: https://github.com/homeport/havener/blob/main/.docs/commands/havener_node-exec.md

[11]

havener pod-exec: https://github.com/homeport/havener/blob/main/.docs/commands/havener_pod-exec.md

[12]

havener top: https://github.com/homeport/havener/blob/main/.docs/commands/havener_top.md

[13]

havener watch: https://github.com/homeport/havener/blob/main/.docs/commands/havener_watch.md

[14]

Kubestriker: https://github.com/vchinnipilli/kubestriker

[15]

Metacontroller: https://github.com/metacontroller/metacontroller

[16]

服务网格的困境与破局: https://medium.com/hashicorp-engineering/the-trouble-with-service-mesh-6b0336964323

[17]

如何构建比 nginx:alpine 体积还小的镜像: https://medium.com/@rockmetoo/smallest-distroless-nginx-container-alpine-c08c3a9cac93

[18]

如何加固 Kubernetes 控制平面组件: https://www.cncf.io/blog/2021/08/20/how-to-secure-your-kubernetes-control-plane-and-node-components/

关于 KubeSphere

KubeSphere （https://kubesphere.io）是在 Kubernetes 之上构建的开源容器混合云，提供全栈的 IT 自动化运维的能力，简化企业的 DevOps 工作流。

KubeSphere 已被 Aqara 智能家居、杭州数跑科技、本来生活、新浪、华夏银行、四川航空、国药集团、微众银行、紫金保险、中通、中国人保寿险、中国太平保险、中移金科、Radore、ZaloPay 等海内外数千家企业采用。KubeSphere 提供了开发者友好的向导式操作界面和丰富的企业级功能，包括多云与多集群管理、Kubernetes 资源管理、DevOps (CI/CD)、应用生命周期管理、微服务治理 (Service Mesh)、多租户管理、监控日志、告警通知、审计事件、存储与网络管理、GPU support 等功能，帮助企业快速构建一个强大和功能丰富的容器云平台。

✨ GitHub：https://github.com/kubesphere

???? 官网（中国站）：https://kubesphere.com.cn

????‍????‍ 微信群：请搜索添加群助手微信号 kubesphere