Proto的管理 • 错误码管理 • 调试gRPC • 调试信息 • 错误定位 问题：每种开源组件的配置、调用方式、debug方式、记录日志方式都不一样 微服务的开发阶段 问题：gRPC未设置连接错误，阻塞模式报错不正确 Redis、MySQL连接数配置未设置？超时未设置？ 配置 对接 Debug • 配置驱动 • 配置补齐 • 配置工具 • Proto的管理 • 错误码管理 • • 调试gRPC • 调试信息 • 错误定位 // FailOnNonTempDialError only affects the initial dial, and does not do // anything useful unless you are also using WithBlock(). 默认补齐配置，给出最佳实践 微服务的开发阶段 IDE的体验，右键插入资源引用，悬停查看资源信息 IDE的体验，右键插入资源引用，悬停查看资源信息 配置 对接 Debug • 配置驱动 • 配置补齐 • 配置工具 • Proto的管理 • 错误码管理 • 调试gRPC • 调试信息 • 错误定位 配置版本，发布，回滚，可以更加方便 微服务的开发阶段 统一采用gRPC协议和protobuf编解码 CI check 阶段 • 主要做 pb 的 format、lint、breaking 检查。 CI build

Kubernetes旨在⽀持各种各样的⼯作负 载，包括⽆状态、有状态以及数据处理⼯作负载。 如果应⽤程序可在容器中运⾏，那么它应该能够很好地在 Kubernetes上运⾏。 不提供中间件（例如消息总线）、数据处理框架（例如Spark）、数据库（例如MySQL），也不提供分布式存储系 统（例如Ceph）作为内置服务。 这些应⽤可在Kubernetes上运⾏。 没有点击部署的服务市场。 01-什么是Kubernetes 详细描述了每个级别的标准。概括如 下： Alpha级别: 版本名称包含 alpha （例如 v1alpha1 ） 05-Kubernetes API 18 可能有⼀些bug，启⽤该功能可能会显示错误。 默认禁⽤ ⼀些功能可能随时会被废弃，恕不另⾏通知 API可能会以不兼容的⽅式更改，恕不另⾏通知 建议仅在短期测试集群中使⽤，因为增加了bug带来的⻛险，⽽且缺乏⻓期⽀持 Beta级别: Failed：Pod中的所有容器都已终⽌，并且⾄少有⼀个容器已终⽌失败。也就是说，容器以⾮零状态退出或被系统 终⽌。 Unknown：由于某种原因，⽆法获得Pod状态，通常是由于与Pod所在主机通信时出现错误。 Pod Condition Pod有⼀个PodStatus，它有⼀个PodConditions 数组。 PodCondition数组的每个元素都有⼀个 type 字段和⼀ 个 status

涉及的模块：全局管理、容器管理、云原生网络、云原生存储、信创异构 中间件服务 专为有状态应用设计的云原生本地存储能力，满足中间件高 I/O 的存储需求，提升运 维管理效率。精选各类数据库、分布式消息和日志检索等中间件，提供多租户、部 署、观测、备份、运维操作等全生命周期的中 间件管理能力，实现数据服务的自助化 申请、弹性扩展、高并发处理和稳定高可用。 涉及的模块：全局管理、容器管理、云原生网络、云原生存储、精选中间件 支持集群工作负载日志，系统日志和 Kubernetes 事件的采集和查询 ➢ 支持单条日志的上下文查询 ➢ 以集群为维度生成服务拓扑，查看服务间调用关系 ➢ 侵入式链路采集，支持查询服务的实时 RPS、错误率、时延等关键指标 ➢ 提供开源的聚合链路查询 ➢ 提供开箱即用的告警规则 ➢ 支持自定义指标、日志等告警 ➢ 支持灵活的配置告警级别、阈值、通知对象等 ➢ 提供邮箱、企业微信、钉钉、Webhook 即用： ➢ Elasticsearch 搜索服务：目前首选的全文搜索引擎 ➢ Kafka 消息队列：常用于消息传输的数据管道 ➢ MinIO 对象存储：非常热门的轻量对象存储方案 ➢ MySQL 数据库：简单易用、性能更高的开源关系型数据库 ➢ RabbitMQ 消息队列：常用于交易数据的传输管道 ➢ Redis 缓存服务：高性能的开源内存数据库 ➢ PostgreSQL

攻击路径分析 试验 攻击路径分析是一种分析和评估潜在攻击路径的安全分析方式，黑客可能按照这些来自组织内系统网络的潜在 攻击路径进行攻击。此前的多数安全分析策略或工具主要聚焦在特定分线领域，例如错误的配置，脆弱的容器， 和常见漏洞上。这些孤立的方法意味着团队们不能看到这些风险与技术栈上其他层的弱点组合产生的危险攻击 路径。尽管这一技术已提出一段时间，但是近期安全分析工具的进展能使安全团队更易使用这项技术。Orca 试验 Orca 是一个专有的云安全平台，用于识别、优先级排序和修复安全风险和合规问题。它支持主流的云提供商和 混合设置。Orca 拥有广泛的安全查询和规则，以持续监控已部署的工作负载，检测配置错误、漏洞和合规性问 题。它支持云虚拟机、无服务器函数、容器以及已部署工作负载的 Kubernetes 上部署的应用。这些内置的安 全规则会定期更新，以跟上不断演进的合规标准和威胁向量。由于 Orca Orca 无需代理，因此提供了良好的开发者 体验，并且易于设置。另一个显著的特点是它促进了安全的左移。我们的团队使用 Orca CLI 来扫描容器镜像 和 IaC 模板，以检测漏洞和配置错误，作为预提交钩子或 CI/CD 工作流的一部分。它还持续监控和扫描容器仓 库（如 AWS ECR），以查找已发布镜像中易受攻击的基础镜像或脆弱的操作系统依赖项。根据我们团队的经验， Orca 提供了从开发

存储层 - 数据格式 KubeBrain 逻辑层 逻辑层 – 写 逻辑层 – Watch（1） Watch 机制本质上是一个消息队列系统 1. 可靠性 - 不重复、不丢失 2. 顺序性 - 保证最终状态的一致性 3. 实时性 - 高性能 一定有一个单点对消息进行排序 采用主从架构 逻辑层 – Watch（2） 一主多从 1. 仅主节点负责写入和事件生成 2. 从节点只读 逻辑层 已经开源，以 TiKV 作为存储引擎 持续优化和完善系统 架构演进 • 目前所有消息严格要求有序 • 消息不重不丢、严格有序，所以写必须单点 • Kubernetes 本质是一个最终一致性的系统 • 关注单个对象的最终状态 • 分片多点写，避免写单点 • 分片内部消息严格有序 • 分片间消息可以乱序 • 读、写、watch 能力均可以水平扩展 欢迎交流 联系邮箱:

容错性 Broker Broker Broker Producer Consumer Topic Topic Topic Producer Consumer 平台承载知乎业务⽇日志、数据传输和消息队列列服务 平台线上稳定运⾏行行 基于 Kubernetes 的 Kafka 集群 13 个， 1000+ Topic 知乎技术平台重要的组件 Kafka 在知乎的应⽤用 平台概览 Kubernetes 客户端与服务器器注册联动 指标维度 举例例 Kubernetes 3 容器器内存、CPU、运⾏行行状态 Broker 14 消息量量，JVM, Leader分布，磁盘消耗 Topic 13 消息量量，消费延迟 主机 4 内存、⽹网络、CPU、磁盘 客户端 2 ⽣生产或消费 Topic 消息量量 监控 业务解耦 容器器⽇日志通过本地代理理收集 • 输出重定向 未来 谢谢

⽇日志 权限 分析 集群管理理 版本管理理 配置管理理 链路路跟踪 负载均衡 ⾃自动容灾 持续集成 持续部署 灰度发布 服务注册/发现 关系数据库 KV存储 对象存储 块存储 DNS 消息队列列 API- Gateway 镜像仓库 统⼀一代码管理理 统⼀一编程框架 统⼀一通讯协议 统⼀一部署环境 计算平台/KUN 公共服务 存储平台 Think in Cloud . Prometheus，各个 Prometheus 独⽴立运⾏行行，采集同样的数据； B. 每个 AZ 下运⾏行行⼀一个 Alert Manager，每个 Alert Manager 接受两个 Prometheus 的消息，他们之间互为 peer，去除冗余报警； C. 每个 Prometheus 同时监控其他的 Prometheus，以及所有的 Alert Manager • Monitor Manager 部署在 线上服务健康检查复杂度⾼高 • 服务之间的调⽤用和发现配置⼯工作多 • 单个服务完全消耗云主机资源 商户管理理 购物商城 管理理后台 对接端 Ingress 订单系统 API 搜索服务 商品同步 消息队列列 Kafka集群 供应电商A 供应电商B 供应商 … 商城端 --巨⽯石架构 商城服务端 --微服务架构 商品系统 API …… Think in Cloud . 北北京

可观察性 内置 Prometheus，⽀支持对集群、节点、Pod、Container 的全⽅方位监控和告警；内置 EFK、Loki ⽇日志⽅方案；内置 Grafana 作为监控和⽇日志展示； ⽀支持消息中⼼心，通过钉钉、微信通知各种集群异常事件（X-Pack）； 升级 ⽀支持集群升级； 伸缩 ⽀支持增加或者减少 Worker 节点； 备份 ⽀支持 etcd 定期备份和⽴立即备份； 恢复 ⽀支持 并下载相关资料料，及时掌握最新的软件特性、维护经验、使⽤用技 巧等相关知识。 KubeOperator X-Pack 增强包功能 增强功能持续增加中 对接 LDAP/AD 界⾯面⾃自定义 消息中⼼心， 通过钉钉、微信通知各种 集群异常事件 集群健康评分 通过 F5 Big IP 对外暴暴露露服务 多集群配置管理理 多云时代技术领先的企业级软件提供商 www.fit2cloud

驱动层实现资源抽象 自由切换，到处运行 Sealos API Sealos CLI Desktop 裸金属 AWS 阿里云 更多······ boot 集群镜像 租户管理 应用管理 函数计算 消息队列 数据库 缓存 计算驱动 网络驱动 存储驱动 自由组装 内聚解耦 化整为零 大道至简 sealos 的能力 • 10 秒上线一个自带域名和 https 的 nginx 应用 不同版本liux发行版 裸金属 AMD ARM ······ 数月 数十人 依赖中间数十款软件 SaaS 机房1 机房2 机房n ·· ·· ·· 打包 监控 系统 日至 系统 数据库 消息队列 对象存储 计算 储存 网络 kubernetes SaaS服务 30min 1人 一键打包 整体交付 一次建构 到处运行 使用sealos 技术实现 行业 痛点 在公网不可信的环境中提供多

(3) 用戶端向伺服器端發起請求，服務端下發服務端憑證給用戶端。用戶端接收到 憑證後，透過私密金鑰解密憑證，並利用伺服器端憑證中的公開金鑰認證憑證 資訊比較憑證裡的消息，例如功能變數名稱和公開金鑰與伺服器剛剛發送的相 關消息是否一致，如果一致，則用戶端認可這個伺服器的合法身份。 (4) 用戶端發送用戶端憑證給伺服器端，服務端接收到憑證後，透過私密金鑰解密 憑證，獲得用戶端憑證公開金鑰，並用該公開金鑰認證憑證資訊，並確認用戶