RAINBOND安装与运维
 ——原理理经验分享 好⾬雨交付⼯工程师-郭逊 RAINBOND 线上培训（第九期） 2019/8/8 1. Rainbond安装与运维原理理解读 1.1 安装原理理 1.2 集群运维原理理 2. Rainbond安装与运维经验分享 2.1 常⻅见安装问题的排查 2.2 集群运维问题的排查 真正掌控RAINBOND这款产品。 1. RAINBOND安装与运维原理理解读 1.1 安装原理理 Rainbond安装与运维原理理解读⽂文档 https://www.rainbond.com/docs/user-operations/install/install-d/
 
 这篇⽂文档详细说明了了Rainbond是如何安装起来的，各个节点都起到什什么作⽤用，
 不不同⻆角⾊色节点上 什么要留留意的地⽅方，脚本怎么运⾏行行的，都做
 了了什什么，安装流程是什什么样的等等安装原理理 以及 安装完成后，服务是怎么运⾏行行起来的，以什什么样的⽅方式，配置怎么修改能⽣生效
 健康检测的机制是什什么样的，失败了了会怎么样等等运维问题 RAINBOND 线上培训（第九期） 2019/8/8 1. RAINBOND安装与运维原理理解读 1.1 安装原理理 我除了会详细

供数据目录。这是所有代理商都需要的。该目录在重新启 后应该是持久的。这对于在服务器模式下运行的代理尤其重要，因为它们必须能够持久化群集状态。 外，该目录必须支持使用文件系统锁定，这意味着某些类型的已安装文件夹（例如VirtualBox共享文 夹）可能不适合。注意：服务器代理和非服务器代理都可以在此目录中的状态中存储ACL令牌，因此 访问可以授予对服务器上的任何令牌以及非服务器上的服务注册期间使用的任何令牌的访问权限。在 ，因此如果您选择使用基于主机的ID，那么Consul和Nomad将使用信 在主机上自动在两个系统中分配相同的ID。 ● disable-keyring-file：如果设置，密钥环将不会持久保存到文件中。关机时任何已安装的密钥都将 失，-encrypt启动时只有给定的 密钥可用。默认为false。 ● dns-port：要侦听的DNS端口。这将覆盖默认端口8600.这在Consul 0.7及更高版本中可用。 ● 域中的所有查询都由Consul处理，不会以递归方式解析。 ● enable-script-checks：这可以控制是否在此代理上启用了执行脚本的运行状况检查，默认为false 营商必须选择允许这些检查。如果启用，建议还启用ACL以控制允许哪些用户注册新检查以执行脚本 这是在Consul 0.9.0中添加的。 ● encrypt：指定用于加密Consul网络流量的密钥。该密钥必须是16字节的Base64编码。创建加密

应用 配置参数 应用 应用 软件环境 硬件环境 遗留系统 安装配置点 安装配置点 安装配置点 集成点 集成点 集成点 1. 交付人员学习手册文档，需要在客户 环境做“安装配置”和“与遗留系统集成” 两方面工作。 2. 安装配置：在硬件上安装软件，不乏 针对硬件特性的适配、还需要安装OS 等，最后还要在OS上安装应用，并且 还要保证应用软件依赖拓扑结构不会 出错。 3. 集成点：包括新环境的硬件、软件和 集成点：包括新环境的硬件、软件和 应用与遗留系统的集成，比如，监控、 服务注册中心、文件传输、消息集成、 ITSM等系统的部署集成。 4. 由于上层所依赖的底层环境在不同交 付环境中是不同的，而传统交付方式 缺乏脚本能“理解”的方式来表达这些 差异，此外由于事后更新OS、三方库 或者系统，这些变更又缺乏校验关系， 升级时很难给予企业信心，这种交付 方式很难被自动化。 标准化能力-微服务PAAS-OAM-万花筒PAAS-1-引子 付很好的适应了不同环境 的差异，所以ISV自动化交 付成为现实，进一步降低 了交付的成本。 标准化能力-微服务PAAS-OAM交付流程模式-场景流程 • SaaS化是一种新型的软件销售模 式，用户需要任何安装，就可以 付费使用。 • SaaS贴近业务化场景，所以具备 行业化特征，那么通过基于OAM 的整体化交付，很好的适应了行 业客户环境的差异，做到了自动 化交付 标准化能力-微服务PAAS-OAM交付流程模式-场景流程

docker run -itd --name with_Docker_sock -v /var/run/Docker.sock: /var/run/Docker.sock ubuntu 步骤 2：在容器安装 Docker 命令行客户端，内执行以下命令： apt-get update apt-get install curl curl -fsSL https://get.Docker.com/ | 所示，漏洞利用程序成功利用漏洞从 k8s API Server Pod 中窃取了高权限凭证。 图 15 利用 CVE-2018-1002105 窃取高权限凭证 由于攻击步骤代码过长，详细的攻击源码见 Exploit.py 脚本[27]，其中实现 构造越权请求的的代码如下： 云原生安全威胁分析与能力建设白皮书 43 def _try_to_get_privilege(ssock, namespace, pod): Virtual Local Area Network 虚拟局域网 WAF Web Application Firewalls 网站应用级入侵防御系统 XSS Cross Site Scripting 跨站脚本攻击 云原生安全威胁分析与能力建设白皮书 67 附 录 B 参考文献 [1] 云原生产业联盟. 云原生发展白皮书，2020 年 [2] 中国联通研究院. 中国联通云原生安全实践,2022 年

系统级日志 搭建Harbor仓库服务 离线安装包 • 通过Docker-compose编 排运行 • 所需镜像皆打包在离线 包内 1 在线安装包 • 通过Docker-compose编 排运行 • 所需镜像从Dockerhub 来拉取 2 Helm Chart • 通过Helm来安装 • 目标为K8s集群 • 仅聚焦Harbor组件安装 • goharbor/harbor-helm 3 通过垃圾回收可以清理存储空间中的无用数据，V2.1之前为阻塞式GC，V2.1之后实 现非阻塞式 释放并回收空间/可能释放配额 1 2 3 构建高可用(HA)仓库服务 [1] 使用离线安装包搭建HA仓库服务：基于内容复制能力或者基于外部共享服务 IDP 构建高可用(HA)仓库服务 [2] 使用Helm Chart和外部高可用服务（数据库，缓存和存储）部署HA的仓库服务

Chart 是用来封装 Kubernetes 应用程序的一系列 YAML 文件 • 安装 Helm 在 https://github.com/helm/helm 上下载二进制文件 _ by QingCloud Helm 及其应用仓库简介 • 应用仓库: 管理和分发 Helm Charts. • 安装 Harbor 1. helm repo add harbor https://helm 提供应用安装时的默认参数 templates/: 包含应用部署所需要使用的YAML 文件，比如 Deployment 和 Service等 charts/: 当前 Chart 依赖的其它 Chart • helm template hello-chart: 渲染 Chart 并输出 • helm install hello hello-chart/ -n default: 安装 hello-chart

1.10.4⽬目前已经上线，可以通过容器器服务管理理控制台⾮非常⽅方便便地快速创建 Kubernetes 集群。具体过 程可以参考创建Kubernetes集群。 安装和设置kubectl客户端，请参考不不同的操作系统，如果已经安装完成请忽略略： macos 1 2 3 4 curl -LO https://kubectl.oss-cn-hangzhou.aliyuncs.com/macos/kubectl 2018-11-09 � 部署Istio 打开容器器服务控制台，在左侧导航栏中选中集群，右侧点击更更多，在弹出的菜单中选中 部署Istio。 在打开的⻚页⾯面中可以看到Istio默认安装的命名空间、发布名称； 通过勾选来确认是否安装相应的模块，注意勾选下Kiali Kiali； 点击 部署Istio 按钮，⼏几⼗十秒钟之后即可完成部署。 ⾃自动 Sidecar 注⼊入 查看namespace： 点击编辑，为

探针、HPA、应⽤⾃愈的能⼒，彻底解放了微服务应⽤的部署和运维环节。 但我们忽略了⼀个关键节点：开发阶段 微服务应⽤使⽤ Kubernetes ⼯作负载封装后，解决了开发过程应⽤的快速启动问题，开发⼈员只需要在本地 安装单节点的 Kubernetes 集群，例如 Minikube、Kind 等即可快速启动微服务应⽤。 但对于开发⼈员来说，原来单体应⽤的开发体验变得不复存在，由于应⽤很难在 Docker 容器之外运⾏，所以 Kubernetes 集群（1.16+），⽀持 TKE、Mnikube、Kind 等 已配置好 kubectl 且能访问 Kubernetes 集群 集群开启了 RBAC 安装 Visual Studio Code（1.52+） 和 Nocalhost 插件 安装 nhctl cli ⼯具（https://nocalhost.dev/installation/） 对于 TKE 等⽀持 LoadBalancer 的集群，运⾏以下命令来快速初始化：

API链路调用威胁阻断 • OWASP API安全 TOP 10（权限控制、注入等） RASP——应用出厂免疫 轻量级探针端 + 统一管控中心 + 积极防御插件 运营时威胁与攻击 注入攻击 URL黑名单 跨站脚本攻击 …… 恶意文件访问 反序列化攻击 扫描器攻击 OWASP Top 10 文件读写 数据库访问 表达式执行 本地命令执行 … 检测/响应 虚拟补丁 攻击分析 扫描拦截 威胁出厂免疫 攻击态势分析

MOE Envoy 和 GoLong 生态打通 维护成本高、可扩展性弱 MoE 背景介绍 — 方案调研 方案名称 优势 劣势 Lua Extension Lua 编写简单业务处理方便 Lua 脚本语言,开发复杂功能不 方便；支持的库（SDK）相对较 少 WASM Extension 跨语言语言支持 （C/C++/Rust）、隔离性、安 全性、敏捷性 处于试验阶段，性能损耗较大； WASM