腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

伪架构师

专栏作者

247

文章

331828

阅读量

52

订阅数

在 SPIRE 中用 SSH 证实节点身份

数据分析 https ssh

前面关于 SPIRE 的内容中，介绍了使用 JOIN Token 证实节点身份的方法。这种方法比较简易，但是完全依赖 SPIRE Server/Agent 的“内循环”，并不利于外部管理，同时每次节点更新，都要照本宣科的重来一遍。对于动态集群来说，这种方式并不理想，SPIRE 包含了面向 OpenStack、几大公有云以及 TPM 等的花钱证实节点身份的方案；除了这些之外，还有个经济型的证实方法——使用 SSH。

2023-02-27

2930

用 Ghostunnel 和 SPIRE 为 NGINX 提供 SPIFFE 认证

命令行工具 nginx https

之前对 SPIFFE 和 SPIRE 进行了一个相对全面/啰嗦的介绍，这一篇就反过来，用一个简单的例子来展示 SPIRE 的基本用法，本文中会以 NGINX 作为服务生产方，使用 Ghostunnel 当做 NGINX 的反向代理，把原有的 HTTP 通信升级为支持定期正顺轮转的双向 TLS 认证协议，并且用 CURL 使用客户端证书来通过 Ghostunnel 安全地访问背后的 NGINX。这里为 CURL 和 NGINX 提供证书以及轮转的，就是 SPIRE 的 Server 和 Agent。

2022-11-23

5140

（译）Kubernetes 中的用户和工作负载身份

kubernetes api 访问管理 https

本文中我们会试着解释，在 Kubernetes API Server 上如何对用户和工作负载进行认证的问题。

2022-11-23

2K0

Volcano：在离线作业混部管理平台，实现智能资源管理和作业调度

https 网络安全

现代互联网数据中心的规模随着应用服务需求的快速增长而不断扩大，但服务器资源利用率却一直很低，导致企业基础设施成本不断上涨。随着云原生技术的发展，混合部署成为了降低成本的一大手段。本文结合华为云云原生团队在混合部署方面的研究和实战，介绍了混合部署的背景、概念、混部技术的设计方案和实际落地情况，以及对未来的计划和展望。

2022-04-15

1.1K0

Release 自动更新 Krew Index

https 网络安全 github git 开源

前面介绍过创建 Krew 插件的方法，其中生成插件描述文件的部分，可以说是又直接又麻烦，而且每次发布的时候，都要重新生成并刷新 Krew Index，于是我写了个脚本，可以根据既有信息和已经发布的二进制文件生成 YAML 文件。这个脚本的功能，简单说就是写一个 YAML 模板，然后下载二进制文件，计算哈希，生成最终的插件描述文件，把描述文件覆盖旧版本，然后发布 PR 即可。有了脚本之后其实还是挺麻烦的，不过在浏览 Krew 文档时发现有一节 Automating plugin updates ，其中提到了可以使用 Krew Release Bot 来自动地完成这个过程，官方强烈推荐使用这个 Bot 进行更新，理由是该 Bot 生成清单文件后自动提交的 PR，如果其中包含的变更内容只是简单的版本升级，能够被 Krew Index 的 Bot 自动处理，免除人工环节之后，整个更新过程可以在几分钟之内完成，避免了新版本二进制无法及时更新的尴尬。下面就介绍一下这个 Bot 的用法。

2021-11-30

8270

（译）Kubernetes Semaphore：模块化、无侵入的跨集群通信框架

github https git 开源 kubernetes

我们有一个环境，其中包含分属三个不同供应商（AWS、GCP 和私有云）的三个集群，我们希望不同集群中运行的应用能够互相通信，以及：

2021-10-19

1.4K0

用 Volcano 填补私有集群的空闲时间

kubernetes 大数据 https 网络安全区块链

在私有 Kubernetes 场景下，因为硬件规模是一定的，不太会随着业务高峰低谷进行裁撤，因此缩减下来的服务资源并不能带来成本上的优势，如果在闲时~挖挖矿~跑跑 AI 大数据什么的是不是可以贴补一下家用呢？Volcano 值得一试。

2021-09-29

1.1K0

Rego 不好用？用 Pipy 实现 OPA

SSL 证书网络安全 https 容器 kubernetes

•初探可编程网关 Pipy•可编程网关 Pipy 第二弹：编程实现 Metrics 及源码解读•可编程网关 Pipy 第三弹：事件模型设计

2021-08-12

7280

在 Kubernetes 中检查镜像签名

shell jenkins 对象存储 https

之前连续写了几篇 Shell Operator 的东西，后来又写了一篇 cosign 的介绍，细心的读者可能会猜到，最终我的目的就是会用 Shell Operator 结合 cosign 来检查镜像的签名，以此保障镜像的完整性——是的，这个过程相当容易。

2021-04-25

1.1K0

介绍一个小工具：网络策略可视化编辑器

kubernetes https 网络安全

既然是牛年第一篇，总要写点废话起个头。另外写小工具系列经常面对的一个难题就是——怎样凑够 300 字的原创门槛。

2021-03-03

6450

Kubernetes 将弃用 PSP

网络安全 https kubernetes

Pod Security Policy 是 Kubernetes 的重要安全措施之一，它首先定义角色，其中规定了对 Pod 行为的限制，其中包括对特权容器、主机网络、Capability、加载卷类型等内容进行了限制，然后通过 RBAC 把 SA-Pod-PSP 三者结合起来，完成对 Pod 权限的限制。相对于 SecurytContext 来说，PSP 更具强制性和可管理性，CIS Kubernetes Benchmark（v1.6）中明确地把启用 PSP 设置为记分项目，很多 Kubernetes 安全相关软件也会据此进行检查。

2021-01-28

1.4K0

介绍一个小工具：SSL-exporter

https SSL 证书网络安全 github git

Kubeadm 安装时的证书有效期设置为 1 年，虽说有 sealos 这样的不知名安装器以及各种方案来更新证书，但是对于像我一样经常跟不知来源的 Kubernetes 集群打交道的人来说，这个有效期就是达摩什么的利剑，不一定什么时候会砍到脖子上。如果能用 Prometheus 对证书有效期进行监控或者告警，就能更好地保护好自己的脖子了，ssl-exporter 就是这么个有趣的项目。

2021-01-28

1.2K0

介绍一个小工具：Dyff

https 网络安全 github git 开源

YAML 工人经常需要对类似的 YAML 进行对比，查看其中的更新或者状态变化，通用的 diff 工具经常是能胜任的，例如：

2021-01-28

1.4K0

[译]eBPF 概念和基本原理

https 网络安全 linux java github

大约一年前，有个朋友想要用 Rust 开发一个 EVM Assembler。在他的一再要求之下，我开始帮忙编写单元测试。那时候我还不大了解操作系统的相关知识，只好开始学习一些语法和词法方面的东西。很快这个事情就无以为继了，然而我对操作系统有了一些整体了解。之后他对 eBPF 赞赏有加时，我觉得我的春天又来了。

2020-11-19

5.2K0

做个 openEuler 的容器镜像

容器镜像服务 https 容器网络安全

前几天突然想知道，操作系统镜像是怎么搞的。放狗搜了一下，发现官网提供了一些这方面的介绍，看来很轻松，结合以前翻译的镜像是怎样炼成的，一时手痒，就想用菊厂操作系统新秀 openEuler 练练手——恩是 openEuler 不是那啥。

2020-11-11

2.2K0

（译）kubectl 的奇技淫巧

http node.js tcp/ip https json

Kubectl 是 Kubernetes 最重要的命令行工具。在 Flant，我们会在 Wiki 和 Slack 上相互分享 Kubectl 的妙用（其实我们还有个搜索引擎，不过那就是另外一回事了）。多年以来，我们在 kubectl 方面积累了很多技巧，现在想要将其中的部分分享给社区。

2020-09-15

1.8K1

Kubernetes 的授权和审计

kubernetes https api

Kubernetes 中的账号和认证，除了基础的双向证书认证之外，还有 OIDC 等方式的第三方集成能力，这里暂且不提。这里主要想谈谈授权和审计方面的内容。

2020-05-27

6100

如何编写一个支持 Krew 的 kubectl 插件

https json github 网络安全 c++

Krew 是一个用来管理 Kubectl 插件的工具，名字大概来自于 OS X 下著名的软件包管理器 Homebrew，使用 Krew 能够方便的查找、安装和使用 Kubectl 插件，例如：

2020-04-07

6860

Kubernetes 集群规模杂谈

kubernetes http 容器 https 网络安全

早在 Kubernetes 1.2 时候，就已经宣布达到 1000 节点的规模了，在 1.6 版本更达到了 5000 节点的规模。各大厂也都有了各自的超大规模单一集群。然而普罗大众的情况是如何呢？Sysdig 在 2019 年度容器应用报告中得到的结果是，大于 50 节点规模的集群不足 10%，另外一个佐证是 Mohamed Ahmed 的一篇调查报告中也提供了类似的数据。这种情况的一种解释是，目前的应用阶段还比较早期，处于试探期间；然而从一个侧面来说，Sysdig 的调研对象针对的是生产应用，也就是说处于生产应用状态下的集群，绝大多数都是这种小规模集群。根据对 CNCF Landscape 中 Distribution 分类的产品的抽查，也可以看到随处可见的 Kubernetes As Service 类似功能的实现，这也证实了小集群协作方案的落地趋势。相对于少量大集群，多个小集群的差异在于：

2020-04-02

8960

Kubernetes 权威指南第二章校对（3）

SSL 证书数据分析 https kubernetes 网络安全

首先是觉得在 Service 文件里面引用环境变量的方式似乎没有什么特别的好处。因此丢弃了环境变量文件，直接把参数写入了 Service 文件。

2020-02-19

4870

点击加载更多

社区活动

RAG七天入门训练营

鹅厂大牛手把手带你上手实战

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态