© 2017 Rancher Labs, Inc . Kubernetes 1.7 Expansibility Feature © 2017 Rancher Labs, Inc. Rancher Labs简介 • Rancher Labs成立于2014年，总部位于加州 的Cupertino，同时在亚利桑那州的Phoenix和 中国设立研发中心 • 核心团队曾创立Cloud.com，并推出了 Storage, DNS, Load Balancer, Security) master master api api © 2017 Rancher Labs, Inc. Kubernetes 1.7的扩展特性 • API aggregation(beta) • CustomResourceDefinitions(beta) • Support for extensible admission What it comes from • From ThirdPartyResource in Kubernetes 1.6 • Create CRD with spec in Kubernetes 1.7 © 2017 Rancher Labs, Inc. Example of CRD and Resource Item my-crontab.yaml © 2017 Rancher Labs

Operations with secrets are audit logged Master kube-apiserver etcd SECRET Kubernetes secrets: 1.7 EncryptionConfig ● Encrypt secrets with a locally managed key ● EncryptionConfig for secrets ● Multiple ○ aesgcm ○ aescbc ○ secretbox Master kube-apiserver etcd SECRETDEK DEK Kubernetes secrets: 1.7 EncryptionConfig kind: EncryptionConfig apiVersion: v1 resources: - resources: - secrets account Kubernetes secrets: requirements Kubernetes default Identity External secrets provider 1.7 EncryptionConfig 1.10 KMS plugin Auditing Encryption Rotation Isolation Node authorizer

1.1 1.2 1.3 1.4 1.5 1.6 1.7 1.8 1.9 1.10 1.11 1.12 1.13 1.14 1.15 1.16 1.17 1.18 1.19 1.20 1.21 1.22 1.23 1.24 1.25 1.26 1.27 1.28 1.29 1.30 Table of Contents Introduction web-1终⽌之前，web-1将不会终 ⽌，除⾮web-0已经Running and Ready。 Pod Management Policies（Pod管理策略） 在Kubernetes 1.7及更⾼版本中，StatefulSet允许您放松其排序保证，同时通过 .spec.podManagementPolicy 字段保留其 唯⼀性和身份保证。 OrderedReady Pod Man 并⾏启动或终⽌所有Pod，并且不要等待Pod在启动或终⽌另⼀个Pod之 前变为“Running”和“Ready”或完全终⽌。 Update Strategies（更新策略） 在Kubernetes 1.7及更⾼版本中，StatefulSet的 .spec.updateStrategy 字段允许您配置和禁⽤StatefulSet中Pod的容 器、标签、资源最⼩要求/最⼤限制、Annotation的滚动更新。

Pod 可具有独立的存储 4. 一切都是有序的 * 从 0 开始逐个创建（需等待 Ready） * 反向逐个删除（需等待 Terminated） 5. Update Strategy (*v1.7) * 反向逐个删除并重建 Pod Kubernetes 控制器 DaemonSet DaemonSet Pod 1. 可以在指定节点一个副本 * NodeSelector * Affinity

their security? • Default K8s setup • etcd contents not encrypted (only base64 encoded) • > K8s 1.7+ • at-rest encryption for etcd (local + remote) Local Encryption Provider KMS Encryption Provider

Port或node port，目标node上的ipvs规则是 直接将此node port/servce port转发到此node上的pod里） ExternalName 将服务映射到集群外部的某个资源，要求v1.7及以上版本 例： kind: Service spec: type: NodePort ports: - port: 443 # service