-for-global-co 企業Kubernetes的關鍵考量因素 1. CNCF符合性 CNCF認證是一項符合性計畫，確保每家廠商的Kubernetes發行版本，都支援所需 的API並提供及時更新。選擇通過CNCF認證的Kubernetes安裝，可協助企業保證 產品的適應性、可預測性及互通性，此外也能避免受到廠商限制，並可提供彈性， 依據功能和需求的演進發展改用替代解決方案。 Canonical 必要確保解決方案具有可靠的升級策 略，跟隨上游保持最新狀態，並且無需犧牲穩定性或中斷持續營運。就此而言， Canonical Kubernetes、OpenShift及Rancher均提供無需停機的自動化升級。 其中Canonical Kubernetes居於領先的部分，就是能夠讓企業對升級流程進行精細 控制。使用者可精確排序及交錯進行各項元件的更新作業，因此能夠完全升級叢集， 同時確保不會影響在叢集執行的工作負載。 同時確保不會影響在叢集執行的工作負載。 2 5. 支援生命週期 有時候企業無法跟上最新的上游Kubernetes版本，未能完全保持最新狀態。為了 確保Kubernetes部署維持安全，必須瞭解廠商支援各個版本的時間長度。 OpenShift支援最新的3個次要Kubernetes版本，支援各個版本的時間總計9個月。 在前3個月期間，特定版本會獲得「完整支援」，緊急修復一旦可用就會發行提供， 其他修復則是以

cpl.thalesgroup.com 挑戰：保護 Kubernetes 環境的應用 程式安全 容器是為服務架構套件配置和軟體相依性的必要元素。 Kubernetes 是用於部署和管理這些容器的開源軟體。 使 用 Kubernetes 可以更快地交付、部署和管理容器化應用 程式，透過可重複使用的模組化元件提高效率、優化資源利 用和降低授權費用以節省成本。 然而還是存在各種風險： • 特權用戶濫用 提供用於加密、存取控制和資料存取日誌記錄的容器內核 功能，使企業能夠對Kubernetes 環境中的資料建立堅實 穩固的防護。 透過 CipherTrust Transparent Encrypton 的擴展，資料保護可以在每個容器的基礎上應用，兼具保 護容器的內部資料，以及經過容器存取的外部儲存資料， 都統一經由 CipherTrust Manager 集中管理。 優勢 CipherTrust Transparent Transparent Encryption for Kubernetes 效益有 : • 合規性 - CipherTrust Transparent Encryption 的這 項擴充，解決了保護機敏資料的合規要求與法規命令， 例如支付卡、健康照護紀錄或者其他機敏資產。 • 防止受到特權用戶的威脅 - 該解決方案提供資料存取控 制的加密，讓特權用戶如 Docker 或 OpenShift等群組 管理

No.202303 中国信息通信研究院 2023年7月 云计算白皮书 (2023 年) 版权声明 本白皮书版权属于中国信息通信研究院，并受法律保 护。转载、摘编或利用其它方式使用本白皮书文字或者观 点的，应注明“来源：中国信息通信研究院”。违反上述声 明者，本院将追究其相关法律责任。 前 言 党的二十大报告提出，要构建新一代信息技术等一批新的增长 引擎，打造具有国际竞争力的数字产业集群。云计算是信息技术发 沙 盒大赛十强中，近两年涌现出多家云原生安全初创厂商，引起了业 界的广泛关注。 生态建设方面，合作伙伴成为云服务商扩大市场的新方式。合 作伙伴作为连接云厂商与企业的桥梁，是云厂商长期稳定发展的保 障。过去一年，全球主流云服务商积极汇聚伙伴生态、变革伙伴合 作模式、坚持伙伴优先战略，合作伙伴生态被提升到新高度。一是 云服务商关注到上云企业对 ISV 等合作伙伴依赖突出，通过“赢得 伙伴 等先进架构升级应用范式；二是数据架构现代化，以云原生为底座 优化数据摄取、数据存储、数据分析、数据消费、数据治理等能力， 云计算白皮书（2023 年） 16 充分挖掘数据价值等；三是技术架构现代化，从资源管理、运维保 障、研发测试、应用服务等方面构建通用的对上赋能的技术底座； 四是组织流程现代化，通过工作思维、管理方式、协作模式的革新， 从组织、人员层面适配现代化发展思路；五是用户体验现代化，重 视用户诉

Kubernetes Day 2 • 速度和敏捷性的顯著提高，從每月部 署轉變為每日部署。 • 但是應用程序的生命週期不會在部署 時結束。任何應用程序最長的生命週 期階段是需要對其進行監控、升級和 保護的生產階段。 • Kubernetes Day 2 Operation 對於 Kubernetes 的持續成功至關重要， 但在急於部署時可能會被忽略。 7 Click to edit Master 應用程序開發人員應該能夠盡可能地 自助服務，依靠一小群平台工程師來 管理底層操作系統。 • Centralized policy controls • 運營團隊需要一種集中控制集群和工 作負載策略的方法，以確保根據組織 圍繞安全性、合規性和其他最佳實踐 的策略配置 Kubernetes 和容器。 • Kubernetes-native monitoring and logging for security

Trust Boundary Trust Boundary Trust Boundary ©2019 VMware, Inc. PKS把原生K8s欠缺的帳號/存取權限/API呼叫/密碼保護補好補滿 解決方案 • 對VMware PKS CLI控制平面提供認 證與角色權限控管(RBAC) • 對原生Kubernetes API提供認證與角 色權限控管(RBAC)

Service为这些有编号的 Pod，在 DNS 服务器器中 ⽣生成带有同样编号的 DNS 记录 • StatefulSet 还为每⼀一个 Pod 分配并创建⼀一个同样编号的 PVC， 保 证了了每⼀一个 Pod 都拥有⼀一个独⽴立的 Volume Operator • ⾸首先在k8s中注册CRD • Operator 于 API server 交互，Watch 全部的 Namespace