随着软件供应链攻击的增加，保护我们的软件供应链变得更加重要。此外，在过去几年中，容器的采用也有所增加。有鉴于此，对容器镜像进行签名以帮助防止供应链攻击的需求日益增长。此外，我们今天使用的大多数容器，即使我们在生产环境中使用它们，也容易受到供应链攻击。在传统的 CI/CD 工作流中，我们构建镜像并将其推入注册中心。供应链安全的一个重要部分是我们构建的镜像的完整性，这意味着我们必须确保我们构建的镜像没有被篡改，这意味着保证我们从注册中心中提取的镜像与我们将要部署到生产系统中的镜像相同。证明镜像没有被篡改的最简单和最好的方法之一（多亏了 Sigstore）是在构建之后立即签名，并在允许它们部署到生产系统之前验证它。这就是 Cosign 和 Kyverno 发挥作用的地方。
毛艳清，富士康工业互联网科技服务事业群运维中心主管，现负责公有云和私有云的运维工作，聚焦在云计算和云原生领域，主要关注企业迁云的策略与业务价值、云计算解决方案、云计算实施与运维管理，以及云原生技术的布道和落地实践。
Kubernetes 是容器编排市场的主导者，经常被用来托管微服务。微服务的每个实例都会生成大量的日志事件，并且这些事件很快就会变得难以管理。但是，更糟糕的是，当问题发生时，由于服务之间的复杂的交互以及几乎无穷无尽的可能故障模式，很难找到问题根源。这种潜在的问题推动了 Kubernetes 日志管理工具的流行。
嗨，在当今动态的环境中，在 450 多家经过 Kubernetes 认证的服务提供商和众多经过 Kubernetes 认证的发行版中进行导航可能是一项艰巨的挑战。本博客旨在通过展示精心整理的2023 年最常用和最流行的 Kubernetes 工具列表来简化此过程。
自Google Anthos推出以来在混合云领域受到极大关注，作为Google进入ToB混合云市场的战略级产品，Anthos集成了如GKE （Google Kubernetes Engine）、GKE On-Prem、Istio on GKE等……引起业界的关注。可以说这又是Google又一大利器。那么混合云作为企业数字化转型的重要基础设施建设，既留了核心数据，降低了迁移风险，又能在原来资源的基础上增加公共云的弹性，一举多得，成为当前云计算发展的热门话题。而作为数字化转型的另外一个风向标DevOps如何与当前的混合云发展进行协作，带向企业进入云原生时代，将会成日今后数字化建设的一个重要主题。
Kubernetes 1.7已经发布，该版本聚焦于安全、存储和扩展性等交付特性，其中包括Network Policy API、StatefulSets自动升级策略以及可扩展的API聚合层。Kubernetes的上一个发布版1.6版侧重于解决规模化和自动化上的问题，显然最新的1.7发布版力图为Kubernetes在企业组织中的进一步采用夯实基础。需注意的是，虽然1.7版的核心集群编排功能是以稳定版提供，但是其中给出的一些头条发布特性在文档中被标为Alpha版或Beta版。
数字化时代下，企业的发展与数据库的建设息息相关。如果搭建云下数据库，不仅要通过大量的运维投入保证数据库稳定运行，随着企业规模与数据量的发展，还要应对数据库扩容、弹性、运维、备份等各种各样的问题，云下数据库对企业提出的要求日益增长。此时有两种应对之法，一是凭借扩充技术团队解决问题，但这无疑将会带来不菲的运维与人员成本，二则是把一切交给云服务。
Kubernetes在容器编排市场中占主导地位，通常用于托管微服务。但是，微服务的每个实例都会生成大量日志事件，这些日志事件很快就会变得难以管理。更糟糕的是，当出现问题时，由于服务间的复杂交互以及不可预知的故障模式，很难找到根本原因。
最近，有人问我 NodePort，LoadBalancer 和 Ingress 之间的区别是什么。 它们是将外部流量引入群集的不同方式，并且实现方式不一样。 我们来看看它们是如何工作的，以及什么时候该用哪种。
Kubernetes是当前最为流行的开源容器编排平台，成为众多企业构建基础架构的首选。在本文中，我们将探讨针对你的用例构建基础设施的最佳方式，以及你可能要根据各种限制条件做出的各种决定。
最近，很多人问我 NodePorts，LoadBalancer和 Ingress 之间的区别是什么？它们是将外部流量引入集群的不同方式，而且它们的运行形式各不相同。接下来，请你跟我一起，来看看他们是如何工作的，以及它们各自的适用情况。
Apache Spark是一个流行的执行框架，用于执行数据工程和机器学习方面的工作负载。他提供 Databricks 平台的支持，可用于内部部署的或者公有云的 Hadoop 服务，例如 Azure HDInsight、Amazon EMR、以及 Google Cloud Dataproc，也可以在 Mesos 集群上运行。
客座撰稿人：Karen Bruner，StackRox技术专员。原文可以在这里找到。
原文：http://mp.weixin.qq.com/s/dHaiX3H421jBhnzgCCsktg 当我们使用k8s集群部署好应用的Service时，默认的Service类型是ClusterIP，这种类型只有 Cluster 内的节点和 Pod 可以访问。如何将应用的Service暴露给Cluster外部访问呢，Kubernetes 提供了多种类型的 Service，如下： ClusterIP ---- ClusterIP服务是Kuberntets的默认服务。它在集群内部生成一个服务，供集群内的其他应用
本文档介绍了一些用于创建具有弹性和可扩展性的应用程序的模式和实践，这是许多现代架构练习的两个基本目标。设计良好的应用程序会随着需求的增加和减少而上下扩展，并且具有足够的弹性以承受服务中断。构建和运行满足这些要求的应用程序需要仔细规划和设计。
1 GCP 渗透测试笔记（译文） 本文对GCP渗透测试中应用到的基础知识与渗透测试技术点进行介绍。 https://zone.huoxian.cn/d/2661-gcp 2 2023年高级威胁攻击趋势预测 本文介绍了巴斯基公司的安全研究与分析团队GReAT对2023年高级威胁（APT）攻击的发展趋势进行的展望和预测。 https://www.aqniu.com/hometop/91104.html 3 使用 Cloud Shell 在 Google Cloud Platform (GCP) 中权限维持 IB
Kubernetes 的稳健性、可靠性使它成为现阶段最流行的云原生技术之一，但也有不少用户反映， Kubernetes 技术学习起来十分复杂，只适用于大集群且成本较高。这篇文章将打破你的观念，教你在小型项目中部署 Kubernetes 集群。
Serverless 平台的主要优点是，它们使您可以专注于编写代码，而不必关心管理基础结构，自动扩容或为所用资源支付更多费用。
Top Google Cloud tools for web application development. Google gives a wide scope of instruments and administrations for its clients. As one of the top cloud suppliers, Google must stay aware of the aggressive idea of the cloud and discharge administrations to address the issues of its clients. Like AWS and Azure, there is a scope of Google Cloud apparatuses for clients to look over to help facilitate a portion of the pressure that accompanies the open cloud.
CDP Public Cloud现在可以在Google Cloud上使用。对Google Cloud的额外支持使Cloudera能够兑现其在全球范围内提供其企业数据平台的承诺。CDP公共云已在Amazon Web Services和Microsoft Azure上提供。通过添加Google Cloud，我们实现了提供混合和多云架构的愿景，无论如何部署平台，都能满足客户的分析需求。
在谷歌发明 Kubernetes 后的几年中，它彻底改变了 IT 运维的方式，并逐渐成为了事实标准，可以帮助组织寻求高级容器编排。那些需要为其应用程序提供 最高级别可靠性、安全性和可扩展性 的组织选择了谷歌 Kubernetes 引擎（Google Kubernetes Engine, GKE）。光是 2020 年二季度，就有 10 多万家公司使用谷歌的应用现代化平台和服务（包括 GKE）来开发和运行他们的应用。到目前为止， Kubernetes 还需要手工装配和修补程序来优化它才能满足用户需求。如今，谷歌推出了 GKE Autopilot，这是一个管理 Kubernetes 的革命性运营模式，让用户专注于软件开发，而 GKE Autopilot 则负责基础架构。
GitLab发布了其同名平台的最新版本，该版本利用Kubernetes来自动化代码处理。在微软以75亿美元收购GitHub之后，在线Git存储库管理器受到了人们的关注。
例行查看 krew index 的时候，发现有个新插件 gadgit，翻翻来历，居然是 Kinvolk 的作品，公司不太出名，印象里最早做服务网格 Benchmark 的就是他。插件功能介绍很简单：Collection of gadgets for Kubernetes developers，但是用法就很了不得了，非常有字数越小事越大的感觉：
Kubernetes 真正的超级功能之一是其开发者优先的网络模式，它提供了易于使用的功能，如 L3/L4 服务和 L7 入口，将流量引入集群，以及用于隔离多租户工作负载的网络策略。随着越来越多的企业采用 Kubernetes，围绕多云、安全、可视性和可扩展性的新要求，用例的范围也在扩大。此外，服务网格和 serverless 等新技术对 Kubernetes 底层的定制化提出了更多要求。这些新需求都有一些共同点：它们需要一个更加可编程的数据平面，能够在不牺牲性能的情况下执行 Kubernetes 感知的数据包操作。
在本节中，我们将介绍 Google Cloud Platform（GCP）上的无服务器计算基础。 我们还将概述 GCP 上可用的 AI 组件，并向您介绍 GCP 上的各种计算和处理选项。
纸质老照片记录下了当时的珍贵时刻，其中的历史意义也更为重要，但纸质极容易损坏，人类该怎么保存它们，让它们恒久远永流传？
关注容器圈的朋友一定会注意到最近一年的高频词：Service Mesh。这么绕口的词，到底是什么意思？引用一篇文章里对其的解释：
作者 | John Considine 译者 | 平川 策划 | 刘燕 我们已经在 Firebase 上发布了 10 几款应用程序，几乎用到了该平台每个方面的特性，并设计了一个可以实现优雅扩展的手册。可以说，事实已经证明，Firebase 对 K-Optional Software 而言是非常宝贵的工具。 就在 2022 年 3 月，我们的开发人员还在为 Firebase Extensions 等创新欢呼。遗憾的是，过去几个月的三个主要变化破坏了开发体验，因此，在新项目中，K-Optional 将
近期，Unit 42的研究人员在Google Workspace的全域委派功能中发现了一个关键安全问题，攻击者将能够利用该安全问题从Google Cloud Platform（GCP）中获取Google Workspace域数据的访问权。
在云原生安全方面，Kubernetes 在不同维度提供了很多的不同内容，例如 RBAC、Networkpolicy、SecurityContext 等等，种种措施中，像我这样基础不牢的 YAML 工程师最头大的可能就要数 SecurityContext 里面的 SELinux、Seccomp 和 AppArmor 三大块了。Security Profiles Operator 项目为此而来，希望能够降低在 Kubernetes 集群中使用这些安全技术的难度。在项目网页上转了转，发现他所说的简化，除了定义几个 CRD 封装这样的 Operator 传统技能之外；还有一个使用 CRD 在节点间传输 Security Profile 的能力；最后也是最重要的，提供了很方便的录制功能，这倒是真的戳中了痛点——手写 Profile 固然酷炫，录制生成才是生产力啊。目前支持的功能矩阵如下：
最初于2018年11月17日在Medium发布。自此以来，该帖子已更新，可以使用最新版本的JHipster（6.3.0）和Istio（1.3.0）。
翻译自 A Walkthrough of Adopting Infrastructure as Code 。
你可能已经听过很多遍这个不算秘密的秘密了--Kubernetes Secrets 不是加密的！Secret 的值是存储在 etcd 中的 base64 encoded（编码）[1] 字符串。这意味着，任何可以访问你的集群的人，都可以轻松解码你的敏感数据。任何人？是的，几乎任何人都可以，尤其是在集群的 RBAC 设置不正确的情况下。任何人都可以访问 API 或访问 etcd。也可能是任何被授权在 Namespace 中创建 pod 或 Deploy，然后使用该权限检索该 Namespace 中所有 Secrets 的人。 如何确保集群上的 Secrets 和其他敏感信息（如 token）不被泄露？在本篇博文中，我们将讨论在 K8s 上构建、部署和运行应用程序时加密应用程序 Secrets 的几种方法。
Jenkins X 在 kubernetes 上自动执行 CI/CD，这将帮助你提升:
容器技术所提供的解耦能力，让应用程序及其依赖程序不用再和操作系统耦合在一起。和处理虚拟机镜像方式不同，容器技术并不会将操作系统同应用程序打包在一起，这给我们节约了相当多的硬件资源，不管是cpu、内存，还是磁盘空间。同时，容器的下载，更新，部署和迭代的速度，也远比虚拟机镜像要快。因此，容器技术已经在技术圈中引起不小的变革。类似谷歌、微软和亚马逊这样子的公司都已经开始使用这项技术。
冷链物流的复杂性、成本和风险使其成为物联网的理想使用案例。以下是我们如何构建一个完整的物联网解决方案，以应对这些挑战。
随着Google发布了其混合云服务：云服务平台（Cloud Service Platform，以下简称CSP）测试版，正式进军混合云领域，公有云三巨头全部拥有了混合云相关产品，云巨头角力混合云的时代正式开启。早在2015年，微软率先推出Auzre Stack混合云产品；2018年年底，AWS则跟进推出了其混合云产品OutPosts。
在上一篇文章中，我们讲到了DevOps和持续交付的关系。本篇将回顾最先改变运维工作的相关技术 —— 基础设施即代码和云计算，通过技术雷达上相关条目的变动来跟踪其趋势变化。
张量处理单元（TPU）是 Google Cloud Platform（GCP）上高性能 AI 应用的基本构建块。 在本节中，我们将重点介绍 GCP 上的 TensorFlow。 本节包含三章。 我们将深入介绍 Cloud TPU，以及如何利用它们来构建重要的 AI 应用。 我们还将通过利用 Cloud TPU 构建预测应用，使用 Cloud ML Engine 实现 TensorFlow 模型。
简介：本文讲述了我们在首款产品上市之前就差点破产、最后幸存下来并从中汲取教训的故事。
分析公司Gartner预测，到2023年，70%的组织将在生产中运行三个或更多容器化应用程序。容器、Kubernetes和微服务应用模式是企业IT创新和数字化转型的三大驱动力。很多公司已经采用这些技术，发挥其在应用程序开发和部署方面的优势。
在Kubernetes集群上运行多个服务和应用程序时，统一的日志收集不可或缺，Elasticsearch、Filebeat和Kibana（EFK）堆栈是目前较受欢迎的日志收集解决方案。在本教程中，我们将为部署在集群中的应用和集群本身设置生产级Kubernetes日志记录。将使用Elasticsearch作为日志后端，同时Elasticsearch的设置将具有极高的可扩展性和容错性。本教程一共有两篇，这是第一篇。
「K8S 生态周报」内容主要包含我所接触到的 K8S 生态相关的每周值得推荐的一些信息。欢迎订阅知乎专栏「k8s生态」。
作者 | 褚杏娟 近日，云原生应用网络公司 Solo.io 推出了集成产品 Gloo 平台——一个模块化的解决方案，将 API 网关、服务网格、安全性和云原生网络技术集成到了一个统一的应用网络平台中。 Gloo 平台由开源项目 Istio、Envoy 和 Cilium 提供支持，提供集成的 API 网关、Kubernetes 入口、多集群和多租户服务网格、Kubernetes 网络、安全性和可观察性。据官方数据，Gloo 平台框架可以将企业运营成本降低 30-40%。据悉，Gloo 平台的功能包括： 跨
Google 声明[2]将选择 Cilium[3] 作为 GKE 网络的数据面 V2 以便增加其容器安全性和可观测性。
how to deploy a TiDB cluster on GCP GKE with your laptop (Linux or macOS) for development or testing
正如我们在之前的博客中展示的那样，Elastic® 提供了一种从 Kubernetes 集群和运行在其上的应用程序中采集和管理遥测数据的方式。Elastic 提供了开箱即用的仪表板来帮助跟踪指标、提供日志管理和分析、APM （也支持原生 OpenTelemetry），以及使用 AIOps 功能和机器学习（ML）分析所有内容的能力。虽然您可以在 Elastic 中使用预置的 ML 模型、开箱即用的 AIOps 功能或自己的 ML 模型来主动发现和定位异常，但仍然需要深入挖掘问题的根本原因。Elastic 的解决方案有效降低了运维的操作工作并提升了高效运营，但用户仍然需要一种方式来调查和理解从特定错误消息的含义到问题的根本原因的所有内容。作为一个操作用户，如果您以前没有遇到过特定的错误或它是一些运行脚本的一部分，您可能会去google并开始搜索信息。
Envoy/Istio 1.1 中有个有趣的新特性：负载均衡提供了区域感知的能力。简单说来，就是在分区部署的较大规模的集群，或者公有云上，Istio 负载均衡可以根据节点的区域标签，对调用目标做出就近选择。在跨区部署的应用中，原始的 Kubernetes 负载均衡可能会把来自 A 区的请求发送给远在 B 区的服务，造成高成本的跨区调用。要缩减这种损耗，通常都需要实现更多的逻辑，Istio 的区域感知特性在某种程度上提供了一种解决办法。
领取专属 10元无门槛券
手把手带您无忧上云
