验证2：部署⼀个NGINX # 启动⼀个单节点nginx ]# kubectl run nginx --image=nginx:1.7.9 --port=80 # 为“nginx”服务暴露端⼝ ]# kubectl expose deployment nginx --type=NodePort # 查看nginx服务详情 03-使⽤Kubespray部署⽣产可⽤的Kubernetes集群（1 机制负责将容器的⽇志存储到具有搜索/浏览界⾯的中央⽇志存储中去。 Node组件 Node组件在每个Node上运⾏，维护运⾏的Pod并提供Kubernetes运⾏时环境。 kubelet kubelet 是主要的Node代理。它监视已分配到其Node上的Pod（通过apiserver或本地配置⽂件）和： 装载Pod所需的Volume。 下载Pod的secret。 通过Docker（或实验时使⽤rkt）运⾏Pod的容器。 API更改 根据我们的经验，任何成功的系统都需要随着新⽤例的出现或现有的变化⽽发展和变化。因此，我们预计Kubernetes API将会不断变化和发展。但是，在很⻓⼀段时间内并不会破坏与现有客户端的兼容性。⼀般来说，新的API资源和新的 资源字段通常可被频繁添加。消除资源或字段将需遵循 API deprecation policy 。 API change document 详细介绍了兼容更改以及如何更改API的内容。

制和管控。随着大语言模型日益复杂，我们正在深思如何在 小型设备上运行大语言模型，特别是在边缘设备和资源受限的环境中。我们还提到有望提高性能的 ReAct 提示 工程，以及利用大语言模型驱动的自主代理开发远超简单的问答交互的动态应用。我们也提到一些向量数据库 （包括 Pinecone）由于大语言模型而重新流行起来。大语言模型的底层能力，包括更专业化和自行托管的能力， 将继续呈爆发性增长。 远程交付解决方案日臻成熟 的零信任保护 评估 16. 通过依赖健康检查化解包幻觉风险 17. 设计系统决策记录 18. GitOps 19. 大语言模型驱动的自主代理 20. 平台编排 21. 自托管式大语言模型 暂缓 22. 忽略 OWASP 十大安全风险榜单 23. 用于服务端渲染（SSR）web 应用的 web 组件 采纳 24. Colima 试验 25. CloudEvents 26. DataOps 云服务的碳足迹 53. 容器结构测试 54. Devbox 55. DX DevEx 360 56. GitHub Copilot 57. Insomnia 58. IntelliJ HTTP 客户端插件 59. KEDA 60. Kubeconform 61. mob 62. MobSF 63. Mocks Server 64. Prisma 运行时防护 65. Terratest 66. Thanos

的管控中心，負責對叢集中所有資源進行調度和協作。在每個 Node 上 執行 Kubelet、Proxy 和 Docker Daemon 三個元件，負責對本節點上的 Pod 的生命 週期進行管理，以及實現服務代理的功能。另外在所有節點上都可以執行 Kubectl 命令列工具，它提供了 Kubernetes 的叢集管理工具集。圖 1.14 描述了 Kubernetes 的系統架構。 圖 1.14 Kubernetes 通訊雙方的伺服器端向 CA 機構申請憑證，CA 機構是可信任的協力廠 商機構，它可以是一個公認的權威企業，也可以是企業本身。企業內部系統一 般都用企業本身的認證系統。CA 機構下發根憑證、服務端憑證及私密金鑰給 申請者。 (2) HTTPS 通訊雙方的客戶器端向 CA 機構申請憑證，CA 機構下發根憑證、用戶 端憑證及私密金鑰給申請者。 (3) 用戶端向伺服器端發起請求，服務端下發服務端憑證給用戶端。用戶端接收到 戶端。用戶端接收到 憑證後，透過私密金鑰解密憑證，並利用伺服器端憑證中的公開金鑰認證憑證 資訊比較憑證裡的消息，例如功能變數名稱和公開金鑰與伺服器剛剛發送的相 關消息是否一致，如果一致，則用戶端認可這個伺服器的合法身份。 (4) 用戶端發送用戶端憑證給伺服器端，服務端接收到憑證後，透過私密金鑰解密 憑證，獲得用戶端憑證公開金鑰，並用該公開金鑰認證憑證資訊，並確認用戶 端是否合法。 (5)

-endpoint地址 为规划的vip，前端的vip可以使用任何负载工具软件，反向代理到后端的每台 master结点的6443/tcp端口即可。 高可用集群拓扑图： ★先配置HA高可用的反向代理 本例中vip为10.99.1.54（三台master ip为10.99.1.51~53）使用haproxy做反向代理 frontend k8s_api_tcp_6443 bind *:6443 fall 2 #如果vip设备就在这3台master结点上，则Haproxy监听的端口不能为6443，否则 与后端api监听的端口冲突了，可改为其他端口号 #本例使用单独的一台服务器来配置vip及反向代理，vip使用keepalived软件来生 成，配置省略。 ★先安装master1 ★使用命令行方式初始化集群 kubeadm init --kubernetes- version=v1 器占一个子网段，然后各pod子网之间是走路由转发的，路由下一跳为flannel.1 设备，它再进行vxlan封装。 ★veth-pair虚拟网络接口 veth pair是成对的虚拟网络设备，一端连接自己的namespace的tcp/ip协议栈， 另一端互相连接；所以veth-pair常用于充当桥梁，连通2个不同的NameSpace网 络 NameSpace是Linux 2.6.x之后的内核版本支持的特性，主要用于资源的隔离，有

集群 13 个， 1000+ Topic 知乎技术平台重要的组件 Kafka 在知乎的应⽤用 平台概览 Kubernetes 多 Kafka 集群 监控 服务 注册 Kafka 客户端 平台 API • 多集群 • ⾼高可⽤用 为什什么采⽤用 Kubernetes 问题驱动 • Kafka 资源规划不不合理理 • 单⼀一集群造成系统单点 • 不不区分集群和 Topic 优化磁盘调度算法 • 运⽤用 Kafka 机架感知特性 服务注册和客户端 注册 Topic 的集群信息 • Broker, Zookeeper • Status 是否启⽤用 客户端 • 业务易易⽤用 • 标准客户端，降低集群⻛风险 集群容错 • 灾备集群 • 保证重要 Topic ⾼高可⽤用 • 客户端与服务器器注册联动 指标维度 举例例 Kubernetes 3 容器器内存、CPU、运⾏行行状态 Broker 14 消息量量，JVM, Leader分布，磁盘消耗 Topic 13 消息量量，消费延迟 主机 4 内存、⽹网络、CPU、磁盘 客户端 2 ⽣生产或消费 Topic 消息量量 监控 业务解耦 容器器⽇日志通过本地代理理收集 • 输出重定向 未来 谢谢

Kubernetes支援最新的5個Kubernetes版本。其中最新的3個版本可獲 得完整功能、產品更新及安全性修補程式，比較舊的2個版本則僅獲得安全性更新。 這種更為廣泛的支援方式，可消除混合雲之中的問題，因為雲端供應商採用現行 Kubernetes修訂版的步調緩慢，並持續支援舊版本。 6. 邊緣支援 在邊緣運作對Kubernetes產生全新挑戰：資源的規模、大小及可存取性很快 將成為限制因素。Canoni Kubernetes再次領先群雄，能 夠支援最熱門的儲存技術，並在其中達到平衡點，不但擁有各種頂尖功能，也具備足 夠的成熟度，能夠用於正式作業。 • Canonical Kubernetes支援Ceph、NFS、雲端儲存、NetApp、vSphere、 FlexVolume及PureStorage. • Red Hat Openshift支援Ceph/Rook、Red Hat OpenShift Data Foundation、 Operations)的概念，協助部署及管理Kubernetes，涵蓋各種不同的雲端供 應商及執行個體。Juju模型可讓低階儲存、運算、網路及軟體元件合理作為單一實 體，並於適當時在全模型套用共同設定。Charm能夠有效隨元件寄送自動化規則， 將第0天至第2天的作業變為可重複及可靠的程式碼。 其他廠商並未採用模型導向作業以隔離模型與平台，而是仰賴範本系統用於多雲部 署，針對不同雲端提供不同的最佳化設定。OpenShift可讓Ansible用於簡化多雲

基于Kubernetes平台概览与架构 • 基于Kubernetes的应用部署最佳实践� • 服务在混合云上的部署架构与演示 • 基于Consul的混合云服务发现与演示 • 应用在混合云上的端到端测试方案 • 后续工作展望 公司与项目背景介绍 FreeWheel, A Comcast Company（以下简称FreeWheel）以全方位强化新型电视生态系 统为己任，为客户提供Fr 监控报警 • 日志收集 • 轻量级框架 Flask提供REST API • Celery实现任务分发与请求异步处理， 并通过RabbitMQ消息传输� • 通过uWSGI配合Nginx反向代理实现 更好的性能 • 使用Helm进行复杂容器编排 基于Kubernetes平台技术架构 基于Kubernetes的应用部署最佳实践 • 构建Docker镜像最佳实践 • 基于Helm的应用模板抽象 env: - name: "MYSQL_HOST" value: "env01_db.oltp.service.dc1.consul" 端到端集成流程 • 各个服务CI流水线通过后会 触发集成流水线� • 集成流水线拉取各服务稳定 版本� • 流水线自动触发实现集成测 试无感知� • 集成包括：� • 环境准备� • 数据准备�

路路由协议宣告给接⼊入交换机 P o d 返 回 的 包 ， 会 先 回 给 S e r v i c e Gateway，由于做了了SNAT，基于连接 追踪（conntrack），再返回给请求的 客户端。 每个接⼊入交换机下，选择两台节点作为Service Gateway，作为集群外部访问Service的⽹网关 Kube-proxy负责将发往 Service IP 的流量量转 发到对应的Pod。启动时将 购物商城 管理理后台 对接端 Ingress 订单系统 API 搜索服务 商品同步 消息队列列 Kafka集群 供应电商A 供应电商B 供应商 … 商城端 --巨⽯石架构 商城服务端 --微服务架构 商品系统 API …… Think in Cloud . 北北京 UK8S客户案例例 - B UHost UK8S 反向代理理 注册中⼼心 APP APP

的资源使用情况合理的进行调度。如果Node节点在 指定时间不上报，那么Master就会认为它“失联”，标记成“Not Ready”状态。 Node节点上运行一组关键进程： kubelet：主节点代理，负责Pod对应的容器的创建启停等任务，同时与Master节点密切协作，实现集群管理的基本功 能。 kube-proxy：它负责节点的网络，在主机上维护网络规则并执行连接转发。它还负责对正在服务的pods进行负载平衡。 IP+ContainerPort）能被客户 端访问，那么现在多个副本组成一个集群来提供服务，那么客户端是如何来访问它们呢？一般的做法是部署一个负载均衡 器（软件或者硬件），为这组Pod开启一个对外的服务端口如8080端口，并且将这些Pod的EndPoint列表加入到8080的 转发列表中，服务端就可以通过负载均衡器的对外IP+服务端口号访问此服务，而客户端的请求最后会转发到哪个Pod， 是由负载均衡器的算法所决定。 Kubernetes技术在H3Cloud OS中的应用介绍 Kubernetes常见命令介绍 31 www.h3c.com Confidential 秘密 31 31 Kubernetes常见命令介绍 kubectl是k8s客户端CLI工具，可以让用户通过命令行的方式对k8s集群进行操作。 kubectl命令行语法： kubectl [command] [TYPE] [NAME] {flags} command:子命令，

务都会动态更新LVS 配置，可重入 云厂商集群，多一层 HAProxy 日志服务  更轻量的客户端FileBeat  容器退出后延迟回收  日志目录规范+自发现  行检索的挑战 免密安全登录 基于服务树节点授权 每登录认证凭据 动态服务安全 仅需Server端嵌入SDK和配置 数据库，DB-Proxy简化接入 IP+JOBNAME共同生效，防 转向K8S 双引擎 Kubernetes API Server Marathon/ Mesos Adapter O  翻译为Marathon/Mesos API  代理Events 有效裁剪 可靠 性能 Service Ingress 部分机制适配  磁盘资源  CRD自定义资源  Flexvolume插件支持LVM  Node异步回收