。但是，在某些情况下，可能存在无法绑定的可路由地址。此标志允许闲聊不同的地址以支持此功能 如果此地址不可路由，则该节点将处于恒定的振荡状态，因为其他节点将不可路由性视为故障。在Co sul 1.0及更高版本中，可以将其设置为 go-sockaddr 模板。 ● -advertise-wan：广告WAN地址用于将我们通告的地址更改为通过WAN加入的服务器节点。当与t anslate_wan_addrs 使 专用VLAN互相闲聊及其客户端代理，并且如果远程数据中心是远程数据中心，则允许从远程数据中 访问此地址时访问客户端代理。配置了translate_wan_addrs。在Consul 1.0及更高版本中，这可以 置为 go-sockaddr 模板 ● -bootstrap： 此标志用于控制服务器是否处于“引导”模式。重要的是，在此模式下，每个数据中 只能运行一台服务器。从技术上讲，允许自举模式 同时允许这两种协议。在Consul 1.0及更高版本中，可以将其设置为需要解析为单个地址的go-socka dr模板。 ● -serf-wan-bind ：应该绑定到Serf WAN八卦通信的地址。默认情况下，该值遵循与-bind命令行 志相同的规则，如果未指定，-bind则使用该选项。这可以在Consul 0.7.1及更高版本中找到。在Con ul 1.0及更高版本中，可以将其设置为 go-sockaddr

⾯向交付的应⽤模型 03 2B交付版本的DevOps 04 2B软件交付的困局 第⼀部分 SaaS 服务模式⾼速发展，但⽬前⼤多数2B领域的软件 交付，依然以传统交付模式为主。 产业互联⽹升级使得2B软件服务市场需求旺盛 什么是2B软件交付 01. 2B软件交付的困局 ⾯向企业⽤户交付软件价值的过程 （1）产品研发流程管理 （2）产品版本管理 （3）概念验证，POC 管理 （1）完全的模版化定义 （2）模版⾃动实例化 （3）数据⾃动初始化 （4）业务⾼容错性 （5）业务⾼可⽤性 L3: 具备持续升级能⼒ （1）⾼容错化数据升级 （2）⾼容错化版本升级 （3）版本可回滚 （4）业务⾼观测性 ⾯向交付的应⽤模型 第三部分 K8S资源的模型定义 03. ⾯向交付的应⽤模型 Deployment Pod Container ⾯向交付的应⽤模型 map_list"` } 定义业务组件运⾏、运维等需求 应⽤模型定义的UI化 04. 2B交付版本的DevOps 应⽤模型定义的UI化 04. 2B交付版本的DevOps 2B交付版本的DevOps 第四部分 2B交付版本的DevOps全景图 04. 2B交付版本的DevOps 应⽤研发阶段 应⽤测试阶段 应⽤交付阶段 源码持续集成 业务组件组装 应⽤组件库 运维能⼒组装

需要大量 K8s 经验才能开发 某游戏公司自定义workload Pinterest 构建一个渐进式发布能力需要解决哪些 问题？ • 版本化 • 分批发布 • 滚动发布/原地发布 • 发布暂停 • 发布回滚 • 日志监控 • 健康检查 • 多版本部署 • 多版本流量灰度 • 多集群/多环境灰度 • … KubeVela 具备全部发布能力 的标准化应用管理引擎 KubeVela 简介 第二部分 发布状 态机 发布单模式下 Application 的更新不 再实际操作资源，只生成版本快照 AppRollout-1 开始 暂停 继续 成功 AppRollout-2 新的发布使用新的发布单对象 K8s Resource v1 -> v2 cluster2 cluster1 面向终态的多版本共存 --渐进式发布 Application AppRevision v1 AppRevision 第二次更新 多版本模式下 Application 的更新不 再实际操作资源，只生成版本快照 控制器 循环 Application Deployment K8s Resource v1 K8s Resource v2 K8s Resource v3 指定不同版本的流量配比 多集群部署 ENV 2 ENV 3 ENV 1 更大Scope： 多环境/多集群/多版本 --渐进式发布

web服务 Gray 基线版本 用户中心 Dubbo Gray Dubbo 基线版本 RPC RPC 订单中心 Dubbo Gray Dubbo 基线版本 RPC RPC 设备中心 Dubbo 基线版本 RPC 支付中心 Dubbo 基线版本 RPC RPC 数据中心 Dubbo Gray Dubbo 基线版本 RPC RPC 微服务中心

如果业务系统要升级，如何平滑升级？万一升级失败是 否能够自动回滚？整个过程线上业务持续运行不中断。 传统稳态业务环境难以高效承载敏态应用 发现故障 （假死） 创建 新实例 配置 运行环境 部署当前 应用版本 添加 监控 配置 日志采集 测试确认 服务正常运行 实例 加入集群 恢复正常 场景 1 如果生产中一台Web应用服务器故障，恢复这台服务器需要 做哪些事情？ 场景 2 如果业务系统要升级，如何平滑升级？万一升级失败是 否能够自动回滚？整个过程线上业务持续运行不中断。 传统稳态业务环境难以高效承载敏态应用 发现故障 （假死） 创建 新实例 配置 运行环境 部署当前 应用版本 添加 监控 配置 日志采集 测试确认 服务正常运行 实例 加入集群 恢复正常 工作量 成本 新一代架构（微服务）应用的对承载平台提出新要求 传统实践中，主要采用虚机/物理机 可以作为研发人员的唯一工作台，将底层技术收敛到统一平台上，减少企业研发管理成本。 运行态 任何微小的变化都可能引发故障，如何避免？ 任何变更都需要提交到git中，并经过版本管理后 重新持续集成，变更有痕迹可查，随时可以找到对 应版本的变更进行回滚。 微服务PAAS-应用架构治理-总论 Applications Data Runtime Middleware OS Virtualization

部署应⽤用 使⽤用 kubectl 部署简单的服务 1 kubectl apply -f app.yaml 上⾯面的命令会启动全部的3个服务，其中也包括了了 addedvalues 服务的版本v1. 定义 Ingress gateway 1 kubectl apply -f gateway.yaml 确认所有的服务和 Pod 都已经正确的定义和启动 确认所有的服务已经正确的定义和启动 1 kubectl apply -f virtualservice-v2.yaml 完成灰度发布，切换到v2。 请求路路由 接下来会把特定⽤用户(登录名称以yunqi开头的)的请求发送给 v3 版本，其他⽤用户则不不受影响。 运⾏行行以下命令部署v2： 1 kubectl apply -f addedvalues-v3.yaml 部署DestionationRule： 1 kubectl 不不论刷新多少次⻚页⾯面，如果没有登录或者登录名不不是以yunqi开头的，始终得到如下的显示内容，也就是上述提到的 第2 个版本的 addedvalues微服务。 当使⽤用以yunqi开头的⽤用户名登录时，就会看到如下⻚页⾯面内容， 也就是上述提到的 第3 个版本的addedvalues微服务。 Clean 1 kubectl delete -f . About This theme

OwnerReference AliCloud OpenAPI AWS OpenAPI How to make it happen 张健川(聪言) 我需要一个MySQL数据库服务 MySQL 5.7版本 硬件规格4c8g 存储20G 交付不同客户依赖的数据库Provider不同 读写IOPS能力达到1W+ 面向用户友好的声明服务 Service Spec Component-oriented 插件生态与运行时扩展 服务插件扩展体系 服务 组件 规格 运行时 mysql redis alilcoud kubedb aws 云资源规格 OpenAPI 组件版本配置 Terraform 通用服务schema定义 服务版本管理 面向组件Vendor Schema定义 组件注册 CNBaaS 统一服务目录 Helm CNBaaS Engine根据组件 支持的运行时动态调度

软件物料清单 • 软件物料清单（SBOM, Software Bill Of Material）是代码库中所有开放源代码和第三方组件的清单。 • SBOM能够列出管理这些组件的许可证，代码库中使用的组件的版本及其补丁程序状态。 云原生应用安全风险面 第三方组件 开源组件 应用安全 风险面 Web通用漏洞 SQL注入、命令执行、XXE、XSS等OWASP TOP10 业务逻辑漏洞 水平/垂直越权、短信轰炸、批量注册、验 目的。该漏洞已影响超6万个开源软件，涉及相关 版本软件包32万余个,被认为是“2021年最重要的 安全威胁之一” Apache Log4j2 漏洞 2022年3 月 30 日，国家信息安全漏洞共享平台 （CNVD）收录 Spring 框架远程命令执行漏洞 （CNVD-2022-23942）。攻击者利用该漏洞，可 在未授权的情况下远程执行命令，该漏洞被称为 “核弹级”漏洞。使用 JDK9 及以上版本皆有可能 受到影响。

Log4j2-RCE 漏洞 （CVE-2021-44228）[12]以及 Spring-RCE 漏洞（CVE-2022-22965）[13]， 其危害非常之大，且其利用也很简单。Log4j2 漏洞，虽然在高版本和低版本的 JDK 环境下利用方法不同，但网上都已经分别有非常多的现成 EXP 可用，一旦 成功利用即可以完全接管整个业务 pod。尽管进入 pod 后的权限仍然是受限的， 但接下来可以通过尝试更 源组件及风险进行统一管理。 开源组件信息统一管理：在现今开源组件大量使用情况下，需对所有的开源 组件库的信息进行统一管理，用于有效追踪、监视和管理应用程序中使用的各种 开源组件。包括记录组件的版本、许可证等信息以及与组件相关的其他元数据。 这有助于组织在应用程序中使用的开源组件的清晰性，以便更好地管理潜在的风 险、合规性和漏洞修复。 开源组件的软件许可检测：软件许可的滥用可能会引发法律风险，需针对应

务报警进而干扰测试，同时由于污点跟踪测试模 式，IAST可以像SAST一样精准的发现问题点 SCA（软件成分分析） 有大量的重复组件或者三方库的依赖，导致安全漏洞被传递或者扩散， SCA就是解决此类问题的办法，通过自动化分析组件版本并与漏洞库相 比较，快速发现问题组件，借助积累的供应链资产，可以在快速定位的 同时，推动业务快速修复。 安全左移的一种，在上线前发现依赖组件的安全 问题，快速借助供应链资产库，帮助业务修复问 题。 据离线任务和在线任务的周期性，削峰填谷，从而充分利用系统闲置资源）。 • 在应用改造成本、迁移风险和组织架构方面：通过渐进式的迁移，大数据应用团队无需改造既有架构，只需制作 当前所用的Hadoop版本的镜像，即可完成在Kubernetes上创建容器资源补充算力，这种方式，可以最低程度的减少 变更，从而尽可能的降低迁移风险，与此同时，大数据团队保证Yarn资源调度和使用，容器团队保证Yarn pod的