Kubernetes 简介

微服务框架的流行，使得服务越来越精细化，服务也变的越来越多，对于发布和管理而言产生了巨大的挑战，而 Docker 的诞生，给与微服务的资源治理和控制提供了很好的基础。容器化可以解决各个不同语言环境部署、移植性高、跨平台部署等。但是 Docker 对于容器服务的编排没有那么方便，因为 Docker 这方面不足，而诞生 Kubernetes，Kubernetes 是一个可移植的、可扩展的开源平台，用于管理容器化的工作负载和服务，可促进声明式配置和自动化。

使用 Kubernetes 带来那些方便

• 快速部署应用
• 很容易实现 水平伸缩 或 垂直伸缩
• 无缝发布新的应用版本
• 资源使用最大化
• 应用停止自动重启

背景

程序开发时，避免不了使用https加密通信，可以通过 openssl 工具来生成 ssl 证书，对于不懂的开发来说，openssl 工具是太难使用。有没有一个好用又简单的工具，可以试一试这个用Go语言写的命令行工具：mkcert，非常简单易用。

mkcert 简介

mkcert 是一个使用go语言编写的生成本地自签证书的小工具，具有跨平台，使用简单，支持多域名，自动信任CA等一系列方便的特性，可供本地开发时快速创建 https 环境使用。

Pod 概念

• Pod是kubernetes集群中最小的部署和管理的基本单元，协同寻址，协同调度。
• Pod是一个或多个容器的集合，是一个或一组服务（进程）的抽象集合。
• Pod中可以共享网络和存储（可以简单理解为一个逻辑上的虚拟机，但并不是虚拟机）。
• Pod被创建后用一个UID来唯一标识，当Pod生命周期结束，被一个等价Pod替代，UID将重新生成。

Docker 是 Kubernetes Pod 中最常用的容器运行时，但 Pod 也能支持其他的容器运行，比如 rkt、podman等。

Kubernetes 集群中的 Pod 可被用于以下两个主要用途：

• 运行单个容器的 Pod。“每个 Pod 一个容器”模型是最常见的 Kubernetes 用例；在这种情况下，可以将 Pod 看作单个容器的包装器，并且 Kubernetes 直接管理 Pod，而不是容器。
• 运行多个协同工作的容器的 Pod。 Pod 可能封装由多个紧密耦合且需要共享资源的共处容器组成的应用程序。 这些位于同一位置的容器可能形成单个内聚的服务单元，一个容器将文件从共享卷提供给公众，而另一个单独的“挂斗”容器则刷新或更新这些文件。 Pod 将这些容器和存储资源打包为一个可管理的实体。

Deployment 简述

Deployment 为 Pod 和 ReplicaSet 提供了一个声明式定义 (declarative) 方法，用来替代以前的 ReplicationController 更方便的管理应用。

作为最常用的 Kubernetes 对象，Deployment 经常会用来创建 ReplicaSet 和 Pod，我们往往不会直接在集群中使用 ReplicaSet 部署一个新的微服务，一方面是因为 ReplicaSet 的功能其实不够强大，一些常见的更新、扩容和缩容运维操作都不支持，Deployment 的引入就是为了支持这些复杂的操作。

Deployment API 版本对照表

RDR 简介

RDR 是解析 redis rdbfile 工具。与redis-rdb-tools相比，RDR 是由golang 实现的，速度更快（5GB rdbfile 在我的PC上大约需要2分钟）。

例子

1

$ ./rdr show -p 8080 *.rdb

前提

当你在 Linux 服务器上运行 dmesg -T 命令，看到下面输出，可能会猜测遭受到 SYN 洪水攻击。

上图只是可能遭受到 SYN 洪水攻击，但不一定是被攻击了。后面讲述如何判定这个问题？

Trivy 简介

Trivy 是一个用于容器简单而全面的漏洞扫描程序。软件漏洞是软件或操作系统中存在的故障，缺陷或弱点。 Trivy 检测OS软件包（Alpine，RHEL，CentOS等）的漏洞和应用程序依赖项（捆绑程序，Composer，npm，yarn等）。 Trivy易于使用。只需安装二进制文件即可开始扫描。扫描所需要做的就是指定容器 Image 名称。

也可以用于CI，在推送到容器仓库之前，可以轻松扫描本地容器镜像。

GoAccess 是什么？

GoAccess 是一个开源的实时Web日志分析器和交互式查看器，可在*nix系统上的终端或通过浏览器运行。它为系统管理员提供了实时而有价值的HTTP统计信息。

GoAccess 输出展示

• 终端输出

  

• HTML Dashboard

  

背景

我们在使用 Kubernetes 过程中，偶尔会遇到如下所示的一段配置：

1
2
3
4
5
6

securityContext:
  capabilities:
    drop:
    - ALL
    add:
    - NET_BIND_SERVICE

实际上这是配置对应的容器的 Capabilities，在我们使用 docker run 的时候可以通过 --cap-add 和 --cap-drop 命令来给容器添加 Linux Capabilities。对于大部分同学可能又要疑问 Linux Capabilities 是什么呢？

Cronjob 简介

Cronjob 是一个计划任务，与 Linux 系统 Crontab 一样，格式也是基本一样。

格式如下：

1
2
3
4
5
6
7
8
9

# ┌───────────── minute (0 - 59)
# │ ┌───────────── hour (0 - 23)
# │ │ ┌───────────── day of the month (1 - 31)
# │ │ │ ┌───────────── month (1 - 12)
# │ │ │ │ ┌───────────── day of the week (0 - 6) (Sunday to Saturday;
# │ │ │ │ │                                   7 is also Sunday on some systems)
# │ │ │ │ │
# │ │ │ │ │
# * * * * * command to execute

具体见 https://en.wikipedia.org/wiki/Cron#Overview