容器服务

Longhorn，企业级云原生容器分布式存储 - 定制部署默认设置

前言 文本已收录至我的GitHub仓库，欢迎Star：github.com/bin39232820… 种一棵树最好的时间是十年前，其次是现在

云原生日益普及的现在，docker容器化成为现有很多服务的改进方向，docker凭借更高效的利用系统资源、更快速的启动时间、一致的运行环境、持续支付和部署、更轻松的迁移、更轻松的维护和拓展等优势，迅速走红。但是，很多容器部署后在回收时，都会遇到各种各样的问题，比如今天讨论的删除镜像的问题，有时候删除操作会莫名其妙的报错。

1. 前言  容器服务官网提供的分批发布基于 StatefulSet 开发，有状态副本集部署 POD 是按照顺序一台一台的发布重启，需要消耗很长的时间，并且控制台不尽人意，存在不少坑。 StatefulSet 分批发布不支持任意数目任意批数的发布，实际操作中往往需要先发布一台线上服务做灰度，然后逐步放大。

1.前言：  aliyun 上采用容器服务 kubernetes 部署某业务的所有应用，每个应用有不同的Owner, 开发人员, 运维，需要根据应用分配不同的人访问权限。 需求： 运维人员(集群管理人员)---> 所有应用配置读写； 应用owner与运维 --> 所属应用的配置读写； 应用开发测试等人员 --> 只读访问应用的配置，并可以进入 POD 维护； 所有人员通过堡垒机运维线上系统，堡垒机审计功能记录运维人员的操作过程。

按照这篇博文的介绍，可以在ACK集群上通过Helm的方式部署虚拟节点，提升集群的弹性能力。现在，通过虚拟节点部署的ECI弹性容器实例也支持将stdout输出、日志文件同步到阿里云日志服务（SLS）进行统一管理，所有日志能够被统一收集同一个日志服务project里面。

本文记录使用Velero Restic快速完成云原生应用迁移至ACK集群的实践过程。 0. 实践步骤概览 （1）创建GKE集群（或自建Kubernetes集群）（2）在GKE集群上部署示例应用Jenkins Application并执行一个构建任务（3）创建ACK集群（4）在ACK集群中部署Min.

作者| 张磊，阿里云容器平台高级技术专家，CNCF Ambassador （CNCF 官方大使），Kubernetes 项目资深成员与维护者，曾就职于 Hyper、微软研究院（MSR），现在负责 Kubernetes 技术及上下游相关工作。

概述 随着容器技术的发展和普及，以Kubernetes为标准的容器技术已经成为云计算事实标准。在业务形态和云灾备场景下，需要服务进行多地域部署，这就需要对k8s不同地域的集群进行管理。Federation（集群联邦）是k8s社区中重要的多云管理项目，实现了跨地区跨服务商管理多个k8s集群的功能。

在以 CentOS7.6 为基础镜像的 Docker 容器中通过 NFS 将内存挂载成高速硬盘使用 一 背景 这是最近项目中遇到的一个问题。在已知的部署在 docker 容器云上某个应用中，读写非常频繁，对磁盘的性能要求极高，但是又不能在同一个容器内进行高强度读写。

阿里云容器服务已正式发布Windows Container支持，用户可通过控制台或Open API创建Windows Kubernetes集群并部署Windows容器，目前已开放新加坡、吉隆坡等区域，近期计划在所有托管版中全域支持。

漏洞详情： https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5736 Docker、containerd或者其他基于runc的容器运行时存在安全漏洞，攻击者可以通过特定的容器镜像或者exec操作可以获取到宿主机的runc执行时的文件句柄并修改掉runc的二进制文件，从而获取到宿主机的root执行权限。

我们都知道，在istio中可以通过ingress gateway将服务暴露给外部使用，但是我们使用的ingress规则都是落在istio部署时默认创建的istio-ingressgateway上，如果我们希望创建自定义的ingressgateway该怎么操作呢，本文就带大家一步步操作，创建一个自定义的ingressgateway 环境准备 创建Kubernetes集群 阿里云容器服务Kubernetes 1.11.2目前已经上线，可以通过容器服务管理控制台非常方便地快速创建 Kubernetes 集群。

Queue用于模拟一种FIFO(first in first out)的队列结构。一般来说，典型的队列结构不允许随机访问队列中的元素。队列包含的方法为： 1. 入队 void add(Object o): 指定元素加入队列尾部 boolean offer(Object o)：同上，在有限容量队列中，此方法更好 2.

1、从容器里面拷文件到宿主机      答：在宿主机里面执行以下命令              docker cp 容器名：要拷贝的文件在容器里面的路径       要拷贝到宿主机的相应路径        示例： 假设容器名为testtomcat,要从容器里面拷贝的文件路为：/usr/local/tomcat/webapps/test/js/test.

本系列文章已经通过一个官方示例演示了如何部署应用到上述Istio环境中，并演示了如何设置智能路由、分布式追踪以及Istio 的遥测数据收集、查询及可视化等功能，也基于此示例演示了如何在Istio中使用故障诊断与检测工具Weave Scope。

大规模的容器技术运用从来不是一项独立工程，而是一个汇集虚拟化技术、容器编排、任务调度、操作系统、容器仓库、跨节点网络、分布式存储、动态扩缩、负载均衡、日志监控、故障自恢复等系统性难题的复杂有机体。随着Docker的诞生和Google等互联网公司的推波助澜，这个领域出现了一大批优秀的开源项目，它们在简化容器技术使用成本的同时，也经常使得刚刚接触容器时间不太长的开发者和企业用户感到不知所措。

自建K8S有哪些麻烦呢，容器服务的K8S能否解决这些麻烦呢？

本节我们将安装和部署 Helm 客户端和 Tiller 服务器。

我们可以看到Kubernetes集群是有足够理由作为应用服务的首选，但是Kubernetes集群没有足够的接入能力，特别在大型应用中，它是不能够直接对用户提供服务的，否则会有非常大的安全风险。而API网关作为成熟的云产品，已经集成了非常丰富的接入能力，把API网关放在Kubernetes集群前面作为应用集群的接入服务使用，将大大提高Kubernetes集群的服务能力，可以作为标准的大型互联网应用的标准架构。

在Kubernetes集群中，Ingress作为集群流量接入层，Ingress的高可靠性显得尤为重要，今天我们主要探讨如何部署一套高性能高可靠的Ingress接入层。

在容器服务的集群中，默认情况下的flannel会对POD访问到非POD的网段做SNAT，以确保POD到集群外部的资源访问，但在某些情况下，比如在容器服务的VPC集群中，POD到集群外部的资源是直接可以访问的，这时我们就可以自己定义节点上的SNAT规则，而达到直接用容器IP访问VPC内其他服务。

最近我在日志收集的功能中加入了对docker容器日志的支持。这篇文章简单谈谈策略选择和处理方式。 关于docker的容器日志 docker 我就不多说了，这两年火得发烫。最近我也正在把日志系统的一些组件往docker里部署。

高效的监控和日志管理对保持生产系统持续稳定地运行以及排查问题至关重要。 在微服务架构中，由于容器的数量众多以及快速变化的特性使得记录日志和监控变得越来越重要。考虑到容器短暂和不固定的生命周期，当我们需要 debug 问题时有些容器可能已经不存在了。

本文讲的是Docker上的MySQL：MySQL容器的单主机网络【编者的话】网络是Docker至关重要的一部分，本文以MySQL容器为例，详细介绍了Docker所支持的各种网络，值得一读。

本文讲的是容器时代的DevOps部署，企业应用，指的是那些部署在企业的服务器上，为企业的生产与运作提供支撑的核心系统。随着IT技术的发展，企业应用的部署环境不断地发生着变化。

我们知道Kubernetes的service只能实现基于4层的负载均衡，无法提供7层之上的许多特性，诸如基于URL的负载均衡，SSL支持，三方授权等等；Ingress可以实现七层负载均衡的许多功能，唯一的遗憾就是无法提供一个固定的接入IP。

UnionFS unionfs是一种为Linux，FreeBSD和NetBSD操作系统设计的把其他文件系统联合到一个联合挂载点的文件系统服务。它使用branch把不同文件系统的文件和目录“透明地”覆盖，形成一个单一一致的文件系统。

本篇文章是基于rust语言和rocket依赖实现网页JWT认证和鉴权，完成简单的JWT token的验证和鉴权处理,使用cargo做依赖的导入和测试。

本文档旨在为中小企业提供一份 实用、易懂 的 Dockerfile 实践指南。我们深知中小企业在技术标准化、快速迭代和资源有效利用方面的需求，因此本教程将涵盖从基础概念到进阶实战的多层次 Docker 镜像构建方法，重点关注如何在有限资源下，通过规范的 Dockerfile 来提升开发、测试和部署效率。无论您是初学者还是有一定经验的开发者、运维人员，都能从中获益，快速掌握不同场景下的镜像制作和优化技巧，最终构建出 安全、高效、轻量且易于维护 的容器镜像。