我们的使命，Thoughtworks 技术雷达就是为了 完成这一使命。它由 Thoughtworks 中一群资深 技术领导组成的技术顾问委员会，通过定期讨论 Thoughtworks 的全球技术战略以及对行业有重 大影响的技术趋势而创建。 技术雷达以独特的形式记录技术顾问委员会的讨 论结果，从首席技术官到开发人员，雷达将会为各 路利益相关方提供价值。这些内容只是简要的总结。 我们建议您探索雷达中提到的内容以了解更多细 for GitHub Actions 试验 推荐实现 CI/CD 的零信任安全的技术之一是通过使用 OpenID Connect（OIDC）等联合身份机制对流水线进行 身份验证，以访问云服务。这一重要的技术仍未被充分利用在 GitHub Actions 中，因此推荐 OIDC for GitHub Actions。通过这种方式，可以避免存储长期的访问令牌来访问云资源，同时确保流水线无法直接访问机密信息。 建模和攻击路径分析的有益补充。 12. 大语言模型半结构化自然语言输入 试验 在使用大语言模型的各种应用中，我们在半结构化自然语言输入方面取得了成功。结构化输入，如 JSON 文档， 清晰而精确，为模型提供了所寻求响应类型的指示。以这种方式限制响应有助于缩小问题空间，并且可以产生 更准确的响应，特别是当结构符合领域特定语言（DSL）的语法或模式情况下。我们还发现，将结构化输入与 自然语

二、我国云计算发展概述 （一）国家政策指引云计算创新发展，地方积极推进企 业上云用云 随着数字化转型进程的深入，数字经济已逐渐发展成为国民经 济增长的重要驱动力，数字中国建设上升为国家重要战略目标。过 去一年，国家及地方政府陆续出台了一系列数字产业相关政策，云 计算作为新兴数字产业之一，为数字经济发展提供强有力的基础支 撑，成为“十四五”期间重点发展产业之一。 国家层面，政策指引云计算应用创新，全面推动信息产业融合 景下 构建现代化应用的最典型技术方案，但应用现代化并非单纯依靠技 术手段达成，需要完整的建设方法论，具体包含五个方面，如图 7 所示：一是应用架构现代化，依据分而治之、开放设计、统一风格 三重设计原则，通过微服务、Serverless、事件驱动和命令职权分离 等先进架构升级应用范式；二是数据架构现代化，以云原生为底座 优化数据摄取、数据存储、数据分析、数据消费、数据治理等能力， 云计算白皮书（2023 管理、运维保 障、研发测试、应用服务等方面构建通用的对上赋能的技术底座； 四是组织流程现代化，通过工作思维、管理方式、协作模式的革新， 从组织、人员层面适配现代化发展思路；五是用户体验现代化，重 视用户诉求，打通需求与供给之间的最后一公里，提升技术对应用 的直接价值。目前，华为云、道客等企业已初步形成应用现代化方 法体系。 来源：中国信息通信研究院 图 7 应用现代化架构图 架构

部署应⽤程序的旧⽅法是使⽤操作系统的软件包管理器在主机上安装应⽤程序。这种⽅式，存在可执⾏⽂件、配置、库 和⽣命周期与操作系统相互纠缠的缺点。⼈们可构建不可变的虚拟机映像，从⽽实现可预测的升级和回滚，但VM是重 量级、不可移植的。 新⽅法是部署容器，容器基于操作系统级别的虚拟化⽽不是硬件虚拟化。这些容器彼此隔离并且与宿主机隔离：它们有 ⾃⼰的⽂件系统，看不到对⽅的进程，并且它们的计算资源使⽤可以被界定。它们⽐VM更容易构建，并且由于它们与 如 /api/v1/pods/some-name 。按照惯例，Kubernetes资源的名称最多可达253个字符，由⼩写字⺟、数字、 - 和 . 组 成，但某些资源有更具体的限制。有关名称的精确语法规则，详⻅： identifiers design doc 。 UID UID由Kubernetes⽣成。 在Kubernetes集群的整个⽣命周期中创建的每个对象都有不同的UID（即：它们在空间和时间 11-K8s架构及基本概念 32 Pod所期待的副本数 筛选Pod的标签选择器：RC通过Label来关联对应的Pod Pod模板：当集群中Pod的副本数量⼩于（⼤于）期望值时，K8s就会使⽤该模板去创建（删除）新的Pod。 Service Service可以简单理解成⼀组提供相同服务的Pod的对外访问⼊⼝。Service与Pod之间通过Selector来绑定。下图简单说 明了Service与Pod之间的关系

bridge-nf-call-iptables = 1 net.bridge.bridge-nf-call-arptables = 1 net.ipv4.ip_forward = 1 EOF #前3行表示bridge设备在二层转发时也去调用iptables配置的三层规则（包含 conntrack） # sysctl -p #加载配置 ⑧防火墙放行端口 TCP: 6443，2379 daemon.json文件 里配置信任此镜像仓库地址！ # cat >> /etc/hosts <去初始化集群（和上面命令行方式二选一） # kubeadm config print init-defaults > /etc/kubeadm-init.yaml #输出初始化配 ntainerd的配置文件里配 置信任此镜像仓库地址！ # cat >> /etc/hosts <去初始化集群（和上面命令行方式二选一） # kubeadm config print init-defaults > /etc/kubeadm-init.yaml #输出初始化配

年 4 月，傳聞許久的 Borg 論文伴 隨著 Kubernetes 的發布宣傳被 Google 首度公開，大家才得以瞭解它的更多內幕。 正因站在 Borg 這個前輩的肩膀上，吸取了 Borg 過去十年間的經驗與教訓，所以 Kubernetes 一經開源就一鳴驚人，並迅速席捲了容器技術領域。 1-9 1.3 從一個不簡單的 Hello World 範例說起 瀏覽器訪問 讀 寫 虛擬機 的負載平衡轉發規則 存取 Service 的請求，不論是用 Cluster IP + TargetPort 的方式，還是用節點主機 IP+ NodePort 的方式，都會被節點主機的 Iptables 規則重導向到 kube-proxy 監聽 Service 服務代理連接埠。kube-proxy 接收到 Service 的存取請求後，會如何選擇後 端的 Pod 呢？ 首 先， 目 前 kube-proxy yaml 啟動成功後，透過 Kubernetes Master 的 IP 位址來存取 kube-ui： https://:/ui 該 URL 將會被重導向到： https://:/api/v1/proxy/namespaces/kube-system/services/ kube-ui/#/dashboard/

有能力記錄叢集環境上的一切變化 • 使用宣告式(Declarative)的文件格式 來描述或是設定環境上要用到的所有 資源 • 所有的環境變化都可支援審核機制， 要通過審核才會往下運作 • 權限控管，控制誰有能力去對環境資 源進行更改 • 有辦法針對期望的狀態與運行的狀態 進行比對 13 Click to edit Master title style 14 GitOps 與資安合規守門員一拍即合 的見解 20 Click to edit Master title style 21 什麼是 Runbook? • Runbook 是詳細的“how-to”指 南，用於完成運營流程中經常 重複的任務或程序。 • 創建 Runbook 的目的是為團 隊中的每個人（無論是新人還 是經驗豐富的人）提供快速準 確地解決特定問題的知識和步 驟。 21 每一個 alert 都應該要有 一個 runbook！

•现状妥协导致服务发现链路变长 集群失败了 •没有办法操作K8S？ •基于假事件的重新调度 •灾难场景可迁移至备份集群 部署平台 •研发平台支持混合部署 •研发直接容器扩容完成迁移 •研发精确控制发版速度 •支持容器回滚到物理机 容器平台 •平台化的多集群管理 •清晰简单的运维操作 •灾难场景一健迁移 研发最关心的问题 •上容器性能有多大损失？ •容器集群稳定性多高？

性及可攜性。Containerd可視為業界標準的容器執行階段，也是上游Kubernetes 的預設選項。Canonical Kubernetes及Rancher均支援Containerd。 Kata Containers以安全性為重，將容器置於輕量級VM之中，在容器之間提供更深 度的隔離。Canonical Kubernetes及Red Hat Openshift均支援Kata Containers。 4 CRI-O是Red 不同的雲端供 應商及執行個體。Juju模型可讓低階儲存、運算、網路及軟體元件合理作為單一實 體，並於適當時在全模型套用共同設定。Charm能夠有效隨元件寄送自動化規則， 將第0天至第2天的作業變為可重複及可靠的程式碼。 其他廠商並未採用模型導向作業以隔離模型與平台，而是仰賴範本系統用於多雲部 署，針對不同雲端提供不同的最佳化設定。OpenShift可讓Ansible用於簡化多雲 Kubernete Kubernetes部署。同樣地，多雲搭配Rancher可運用Helm圖表，並搭配使用雲端 專屬版本的Kubernetes，例如Amazon EKS及Google GKE。這類範本系統通常缺 乏彈性，以及程式碼化應用程式管理的重複性，因此可能增加維護成本。 14.原生AWS/GCP/Azure整合 如果Kubernetes發行版本無法在目標基礎架構執行，那麼簡易的多雲部署就沒有什 麼用處。Canonical Kubern

调度出现了问题。 Pod 的这些状态信息，是我们判断应用运行情况的重要标准，尤其是 Pod 进入了非“Running”状态后，你一定要能迅速 做出反应，根据它所代表的异常情况开始跟踪和定位，而不是去手忙脚乱地查阅文档。 16 www.h3c.com Confidential 秘密 16 16 K8s基本概念和术语介绍（Label） Label（标签）： Lable是一个key-value name= （删除所有包含某个标签的pod和service） kubectl delete pods –all （删除所有的Pod） 注意：如果不先删除RC，直接删除Pod，删除之后，RC又自动去创建这个Pod，就相当于重启这个Pod 33 www.h3c.com Confidential 秘密 33 33 Kubernetes常见命令介绍 5. 执行容器的命令 kubectl exec

Lee 雲端解決方案架構師 合作夥伴暨商務事業群 台灣微軟 Policy Routing Telemetry 智慧端點卻連接著笨管線 Smart endpoints, dumb pipes 過去 25 年都是如此運作 服務數量越來越多，端點越來越多，該如何管理 ? 服務網格 Service Mesh 更聰明的管線 … 眾多服務網格方案 Service Mesh Interface (SMI)