2B软件交付的愿景 01. 2B 软件交付的困局 像安装⼿机APP⼀样； 在任意环境之上； 实现快速、灵活地交付； 和智能的运维能⼒。 云原⽣与云原⽣应⽤ 第⼆部分 ⽬前云原⽣技术很⼴泛，All IN 云原⽣； 它是⼀个指导思想、实践思路和⾏为⽅式； 我们仅从2B软件交付领域来谈云原⽣技术； 云原⽣技术 云原⽣技术概要 02. 云原⽣与云原⽣应⽤ 云原⽣四要素 微服务 容器化

各种能力的同时，支持按照流量自动伸缩服务的实例数量，从 而融入了部分 Serverless 的特性。 对于 Serverless 和 Service Mesh 的结合，我们展望未来形态：应该会出现一种新 型服务模式，Serverless 和 Service Mesh 合二为一。只要将服务部署上来，就自 动可以得到 Service Mesh 的服务间通讯能力和 Serverless 的无服务器运维。 也有自己的网关组件（比如Istio的Istio Gateway Pod）， 对于用户需要维护两个网关，明显是感觉奇怪的，但 是问题往往没有那么简单。 REST TCP gRPC REST 专业型网关 通用型网关 API网关和ServiceMesh之间的关系 网关访问内部服务，算东西向还是南北向？意思是说网关在调用服务的方向上和ServiceMesh的功能几乎重叠了! GW API GW API

务。 计算型 DoS 攻击：Fork Bomb 是一类典型的针对计算资源的拒绝服务攻击 手段，其可通过递归方式无限循环调用 fork()系统函数，从而快速创建大量进程。 由于宿主机操作系统内核支持的进程总数有限，如果某个容器遭到了 Fork Bomb 攻击，那么就有可能存在由于短时间内在该容器内创建过多进程而耗尽宿 主机进程资源的情况，宿主机及其他容器就无法再创建新的进程。 存储型 DoS 提权的方式和场景有很多，比如 RBAC 提权，还有一些 用于 k8s 提权的 Nday，比如 CVE-2018-1002105、CVE-2020-8559 等。 拒绝服务：主要从 CPU、内存、存储、网络等方面进行资源耗尽型攻击。 云原生安全威胁分析与能力建设白皮书 29 2.4.4 集群环境下的横向攻击 可能存在的横向攻击内容包括攻击 API Server 以及攻击其他服务，如攻击 路径 7、8 所示。 攻 资产的授权类、认证类、数据暴露类、配置及设计不合理等各类逻辑漏 洞，通过外部情报和机器学习模型来感知针对 API 的低频慢速的攻击风险，使 用账号、IP、访问时间、访问 API、访问敏感数据等多重维度建设的 UEBA 模 型来感知账号共用、借用、盗用等行为导致数据泄露的攻击风险。 4.2.2 云原生运行时安全 云原生环境虽然在传统架构之上建立了新的网络及资源对象层级，但由于容 器运行机制，依托宿主机内核相关能力，基于此，运行时安全包括了传统主机的

容器环境镜像风险 软件漏洞、恶意程序、敏感信息泄漏、不安全配 置、仓库漏洞、不可信镜像 容器环境 开 发 模 式 ： 瀑 布 > 敏 捷 > D e v O p s 应 用 架 构 ： 大 型 系 统 > S O A > 微 服 务 代 码 实 现 ： 闭 源 > 开 源 > 混 源 服 务 器 ： 物 理 机 > 虚 拟 化 > 容 器 化 聚焦到应用系 统风险源头

可以带来的东西会更多。 将业务沉淀抽象化(比如 中台化),向上呈现。 • 低代码平台可以把不同 部门的系统、不同类型 的技术，如 RPA、BPM、 微流逻辑等串联在一起， 实现端到端的智能自动 化。是种生态型平台。 高级能力-混合云（资源角度） 控制力 服务、位置、规则可控 高安全 安全自主可控 高性能 硬件加速、配置优化 固定工作负载 私有云 混合云 SLB 工作负载可迁移 敏捷 标准化、自动化、快速响