从5.0版本开始（版本更迭时间和具体内容），Tungsten Fabric支持使用防火墙安全策略框架实现Kubernetes 1.9.2网络策略。虽然Kubernetes网络策略也可以使用TF中的其它安全对象（如安全组和TF网络策略）来实现，但TF防火墙安全策略对标签的支持，有助于简化和抽象Kubernetes的工作负载。
什么是Kubernetes网络策略? 有几家公司正在将他们的整个基础设施转移到Kubernetes。Kubernetes的目标是抽象通常在现代IT数据中心中找到的所有组件。因此，pods表示计算实例，
可以使用kubectl、客户端库方式对REST API的访问，Kubernetes的普通账户和Service帐户都可以实现授权访问API。API的请求会经过多个阶段的访问控制才会被接受处理，其中包含认证、授权以及准入控制（Admission Control）等。如下图所示：
随着容器技术成熟和敏捷开发的推广，微服务技术在业界越来越得到普遍的应用，但业务微服务化后又引入了一些新的安全挑战，特别是在访问控制层面。例如：
平滑关闭和服务摘流是保证部署了多节点的应用能够持续稳定对外提供服务的两个重要手段，平滑关闭保证了应用节点在关闭之前处理完已接收到的请求，以前在文章「学习用Go编写HTTP服务」里给大家介绍过怎么用net/http库提供的 http.ShutDown平滑关停HTTP 服务，今天再给大家介绍一下gRPC分布式服务的平滑关停方法。应用在进入平滑关闭阶段后拒绝为新进来的流量提供服务，如果此时继续有新流量访问而来，势必会让发送请求的客户端感知到服务的断开，所以在平滑关闭应用前我们还要对应用节点做摘流操作，保证网关不会再把新流量分发到要关闭的应用节点上才行。
Kubernetes 真正的超级功能之一是其开发者优先的网络模式，它提供了易于使用的功能，如 L3/L4 服务和 L7 入口，将流量引入集群，以及用于隔离多租户工作负载的网络策略。随着越来越多的企业采用 Kubernetes，围绕多云、安全、可视性和可扩展性的新要求，用例的范围也在扩大。此外，服务网格和 serverless 等新技术对 Kubernetes 底层的定制化提出了更多要求。这些新需求都有一些共同点：它们需要一个更加可编程的数据平面，能够在不牺牲性能的情况下执行 Kubernetes 感知的数据包操作。
网络策略（NetworkPolicy）是一种关于 Pod 间及与其他Network Endpoints间所允许的通信规则的规范。NetworkPolicy资源使用 标签 选择 Pod，并定义选定 Pod 所允许的通信规则。网络策略通过网络插件来实现。要使用网络策略，用户必须使用支持 NetworkPolicy 的网络解决方案。默认情况下，Pod间是非隔离的，它们接受任何来源的流量。Pod 可以通过相关的网络策略进行隔离。一旦命名空间中有网络策略选择了特定的 Pod，该 Pod 会拒绝网络策略所不允许的连接(命名空间下其他未被网络策略所选择的 Pod 会继续接收所有的流量)。网络策略不会冲突，它们是附加的。如果任何一个或多个策略选择了一个 Pod, 则该 Pod 受限于这些策略的 ingress/egress 规则的并集。因此策略的顺序并不会影响策略的结果。
在实际的业务场景中，我们往往会遇到如下场景：无论是基于不同业务之间的相互调度所需、或者是基于非法流量及边界业务管控，我们都需要建立我们自己的出口防火墙，以保障我们的业务能够正常运转。具体如下图所示：
在这份CKAD考试实操指南中，我将为你详细介绍如何利用CKAD-exercises项目和知十平台进行CKAD考试的准备和复习。通过CKAD-exercises提供的练习题，你可以在知十平台的云原生环境中进行实践和模拟。在这个过程中，你将熟悉Kubernetes的各种操作和场景，并在实践中加深对知识的理解。这种结合实践和理论的学习方式将为你在考试中取得优异成绩提供强有力的支持。
当kubernetes对服务滚动更新的期间，默认配置的情况下可能会让部分连接异常（比如连接被拒绝），我们来分析下原因并给出最佳实践
大家好，我是 roc，来自腾讯云容器服务(TKE)团队，之前发过一篇干货满满的爆火文章 Kubernetes 网络疑难杂症排查分享，包含多个疑难杂症的排查案例分享，信息量巨大。这次我又带来了续集，只讲
随着Kubernetes被广泛使用，成为业界公认的容器编排管理的标准框架，许多开发人员以及管理员对部署、弹性伸缩以及管理容器化应用程序等Kubernetes的关键概念都十分熟悉。而对于生产部署而言，Kubernetes的安全性至关重要。因此，了解平台如何管理用户和应用程序的身份认证和授权十分必要。
Kubernetes社区在1.28版本中默认开启了调度特性SchedulerQueueingHints，导致调度组件内存异常。为了临时解决内存等问题，社区在1.28.5中将该特性调整为默认关闭。因为问题并未完全修复，所以建议审慎开启该特性。
实现网络策略是构建基于kubernetes的安全平台的关键部分，但是从简单的示例到更复杂的现实策略的学习曲线是陡峭的。不仅要使YAML语法和格式正确，而且更重要的是，在网络策略规范的行为中有许多微妙之处(例如默认允许/拒绝、名称空间、通配符、规则组合等)。即使是经验丰富的Kubernetes YAML-wrangler也可以轻松地通过高级网络策略用例进行思考。
在 Kubernetes 中，将 pod 调度到集群中特定节点的任务由 kube-scheduler 完成. 该组件的默认行为是根据创建的 pod 中每个容器的资源请求和限制来过滤节点。然后对可用节点进行评分，以找到最适合放置 pod 的节点。
流行的成语“除了变化之外，没有什么是不变的”来自一位名叫赫拉克利特的希腊哲学家。尽管赫拉克利特生活在公元前 500 年左右，但这句话仍然有效。多亏了像 Kubernetes 这样超高效的编排工具，对我们的应用程序进行更改变得更加无缝。
人活着就是为了忍受摧残，一直到死，想明了这一点，一切事情都能泰然处之 —— 王小波《黄金时代》
最近的工作内容中涉及到了 NUMA 感知相关的功能，之前没有特意去看过 kubelet 相关部分的实现，也是趁此机会把落下的补补。在看代码的过程中，NUMA 感知部分的逻辑尤其涉及到一些位操作的部分，看的让人头疼，于是从网上搜了搜有关原理的介绍，恰好在官网找到一篇 blog，看完之后再去看代码就会豁然开朗。此篇是对原文的翻译，想阅读原文的可以直接到这里。
安全策略可以通过限制端口、网络协议等方式控制任意pod之间的访问，以及pod与service之间的访问。在K8s集群中安全策略对应的是Network Policy，在Tungsten Fabric中安全策略对应的Firewall Rule，两者是会实时同步的。
配置 readiness、liveness 和 startup 探针可以处理不健康的 Pod，本文介绍了三种类型的探针、最佳实践和有关工具，以检测可能存在的配置问题。
Kubernetes 准入控制器在安全性方面具有明显优势。为了增进各位读者对它的了解，今天 K8sMeetup 中国社区翻译了工程师 Malte Isberner 的技术博客，以两个生动的演示和相关代码引导更多人使用这些强大功能。
namespace设计解读 namespace是Kubernetes进行多租户资源隔离的主要手段，那么它在系统中的表现形式是什么样的?实现原理和使用方法又是怎样的呢? 什么是namespace nam
Istio 在 1.1 版本之前有个问题: Pod 销毁时，如果进程在退出过程中继续调用其它服务 (比如通知另外的服务进行清理)，会调用失败。
随着微服务架构的日渐盛行，Serverless框架的逐步落地，应用上云后带来了模块间网络调用需求的大规模增长，Kubernetes 自 1.3 引入了 Network Policy，其提供以应用为中心， 基于策略的网络控制，用于隔离应用以减少攻击面。
Linkerd 的新服务器授权策略(server authorization policy)功能使您可以细粒度控制允许哪些服务相互通信。这些策略直接建立在 Linkerd 的自动 mTLS 功能提供的安全服务身份上。与 Linkerd 的设计原则保持一致，授权策略以可组合的 Kubernetes 原生方式表达，这种方式只需最少的配置，就可表达广泛的行为。
这是实现「 Kubernetes 集群零停机时间更新」系列文章的第三部分。在本系列的第二部分中，我们通过利用 Pod 生命周期钩子实现了应用程序Pod的正常终止，从而减轻了由于 Pod 未处理完已存请求而直接关机而导致的停机时间。但是，我们还了解到，在启动关闭序列后，Pod 会拒绝为新到来的流量提供服务，但实际情况是 Pod 仍然可能会继续接收到新流量。这意味着最终客户端可能会收到错误消息，因为它们的请求被路由到了不再能为流量提供服务的Pod。理想情况下，我们希望 Pod 在启动关闭后立即停止接收流量。为了减轻这种情况，我们必须首先了解为什么会发生Pod开始关闭时仍然会接收到新流量这个问题。
Antrea项目是一个基于Open vSwitch（OVS）的开源Kubernetes CNI网络解决方案，旨在为Kubernetes集群提供更高效、更安全的跨平台网络和安全策略。2021年4月，Antrea正式成为CNCF沙箱级项目（Sandbox Project）。
在进行 poc 测试过程中，随手使用ping了下 svc 的名字，但是发现奇怪的错误
SIGTERM（信号 15）在基于 Unix 的操作系统（如 Linux）中用于终止进程。SIGTERM 信号提供了一种优雅的方式来终止程序，使其有机会准备关闭并执行清理任务，或者在某些情况下拒绝关闭。Unix/Linux 进程可以以多种方式处理 SIGTERM，包括阻塞和忽略。
Server 和 ServerAuthorization 是 Linkerd 中的两种策略资源， 用于控制对 mesh 应用程序的入站访问。
Kubernetes极大地提高了当今生产中后端群集的速度和可管理性。由于其灵活性、可扩展性和易用性，Kubernetes已成为容器编排器的事实标准。Kubernetes也提供一系列保护生产工作负载的功能。安全功能的最新引入是一组称为“准入控制器”的插件。必须启用准入控制器才能使用Kubernetes的一些更高级的安全功能，例如，在整个命名空间中强制实施安全配置基线的pod安全政策。以下必须知道的提示和技巧，将帮助你利用准入控制器，在Kubernetes中充分利用这些安全功能。
一般来说，智能系统和自动系统通常会通过一个“控制系统”来不断修正系统的工作状态。在Kubernetes集群中，每个Controller都是这样的一个“控制系统”，它们通过API Server提供的（List-Watch）接口实时监控集群中特定资源的状态变化，当发生各种故障导致某资源对象的状态发生变化时，Controller会尝试将其状态调整为期望的状态。
"你到底在说什么啊，我K8s的ecs节点要访问clb的地址不通和本地网卡有什么关系..." 气愤语气都从电话那头传了过来，这时电话两端都沉默了。过了好一会传来地铁小姐姐甜美的播报声打断了刚刚的沉寂「乘坐地铁必须全程佩戴口罩，下一站西湖文化广场...」。
这篇详细的博文探讨了 Kubernetes 网络的复杂性，提供了关于如何在容器化环境中确保高效和安全通信的见解。
污点taints是定义在节点之上的键值型属性数据，用于让节点拒绝将Pod调度运行于其上， 除非该Pod对象具有接纳节点污点的容忍度。而容忍度tolerations是定义在 Pod对象上的键值型属性数据，用于配置其可容忍的节点污点，而且调度器仅能将Pod对象调度至其能够容忍该节点污点的节点之上，如图所示
在项目中， Kubernetes 集群会对 Kubernetes APIServer 的每个请求都进行身份验证和授权管理。在此过程中，授权管理通常由 RBAC 授权模块来实现，但开发者也可以选择其他组件，如 Open Policy Agent（OPA）。
随着微服务的设计模式得到越来越多开发者的实践，容器和微服务已经在生产环境中开始了规模化的部署。在这一过程中，也面临着越来越多的挑战。比如说，很多的微服务之间是相互依赖的，我们需要有更多的手段和方式来进行微服务的计划，扩展和资源管理，另外微服务之间的隔离更少，它们通常会共享内核或者网络，也对安全性提出了更高的要求。
Cilium 是一个开源的云原生解决方案，用于提供、保护(安全功能)和观察(监控功能)工作负载之间的网络连接，由革命性的内核技术 eBPF 提供动力。Cilium 主要使用场景是在 Kubernetes中，但 Cilium 的优势并不仅限于 Kubernetes 环境。
毛艳清，富士康工业互联网科技服务事业群运维中心主管，现负责公有云和私有云的运维工作，聚焦在云计算和云原生领域，主要关注企业迁云的策略与业务价值、云计算解决方案、云计算实施与运维管理，以及云原生技术的布道和落地实践。
2021 年已经结束了，我们来对 Kubernetes 及相关生态做个回顾和总结。
客座撰稿人：Karen Bruner，StackRox技术专员。原文可以在这里找到。
Memory Manager(译为内存管理器)是 kubelet 内部的一个组件，旨在为 Guaranteed QoS 类型 pod 提供保证内存(和大页内存)分配功能，该特性提供了几种分配策略：
Hello folks，我是 Luga，接着上一篇博文，我们继续来解析 Kubectl 安全插件相关内容...
etcd 是 CoreOS 团队发起的开源项目，是一个管理配置信息和服务发现（service discovery）的项目，它的目标是构建一个高可用的分布式键值（key-value）数据库，基于 Go 语言实现。
Kubernetes 1.22 中加入了一个新的功能叫 PodSecurity admission，据称是一个 PSP 的替代方案，于是我就“抱着试一试的态度”，第一时间体验了一下。
为了解决上面说的问题，kubernetes并不需要自己想办法，毕竟是网络安全层面的问题，是每个服务都会遇到的问题，业内也有成熟的方案来解决。这里我们一起了解一下业内方案和相关的概念。
根据我的个人经验，大多数人似乎倾向于通过 Helm 或者手动方式将应用程序甩给 Kubernetes，之后就坐等每天轻松调用的美好生活。但在 GumGum 公司的实践当中，我们体会到 Kubernetes 应用的一系列“陷阱”，也希望把这些陷阱与大家分享，给您的 Kubernetes 探索之旅带来一点启发。
Kubernetes提供了一种基于角色的访问控制（RBAC）机制，它使用角色、角色绑定和授权规则来管理访问权限。下面是这三个概念的详细说明。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
云直播
