Container周报第126期：新版Rancer可支援10万节点K8s开始测试API优先权控管

3月中释出的K8s 1.18版中，一口气多了38项新功能，其中只有15项是正式功能，其他大多是测试功能，甚至有12项是实验性高的Alpha版初测功能。三位来自Google、蚂蚁金服和IBM的工程师，最近特别在K8s官网揭露一个1.18版中新加入的重要功能：API优先权和公平性（API Priority And Fairness）设计，这就是Alpha功能中，少人注意到但影响深远的改变。这个功能主要用途是让丛集管理员设计不同的优先权重等级，负责管理K8s所有API的伺服器，每收到任何API呼叫请求时，就会依据这次呼叫所属的等级，来分配所能得到的流通量。

API伺服器可以用来控制变动或读取量的上限，来避免主机CPU或记忆体超载的把关者，但是，目前K8s的设计上，只能区分异动用请求和唯读用的请求这两大类，而无法进行更细緻的调控，所以，常会出现某一种使用情境的请求特别高的情况。简单来说，若某一个K8s服务的请求大增，一旦塞爆了这个控制所有API的API伺服器，就会连带地影响了其他K8s内部服务的呼叫，例如影响到系统控制器的运作，或是一两个故障节点连续狂送请求，可能就会导致整座丛集大塞车，其实塞住的是那个扮演交流道功能，负责指挥的API伺服器。

这个新增的API优先权和公平性设计，可以建立一个流量架构（Flow Schema），来定义不同的流量指标所能拥有的优先权等级。API伺服器再依据不同的等级来安排API呼叫的执行顺序，另外，执行完一次请求要挑选下一次要执行的请求时，也会使用一个公平性演算法来检查，避免某些重要的请求一直被塞在后面而无法执行，进而影响了整体丛集的运作。

目前，这样的API优先权设计还有一些不足的机制有待开发，例如对于还必须修改系统监控机制的支援，让这样的API优先等级的影响，也能反映到是视觉化监控报表上呈现，这也是下一版要先改良的地方。

K8s管理平台Rancher最近释出2.4新版，再次提高扩充能力，这次改版后可支援到2千个丛集，最多共10万个节点，目前架构设计上，也以百万丛集为目标来考量。另外也增加了远端升级功能，可由本地端K3s丛集来决定是否自动升级。另外，新版也开始支援不关机维护机制，可以在不影响应用程式的情况下，来升级K8s丛集。另外一个新特色是，引进了CIS资安扫描，利用公开的100项CIS资安指标，来检查RKE丛集的资安问题。新版也提供了一个AWS实例的安装部署套件，方便企业快速建议一个全功能的Rancher伺服器，可达99.9%的服务水準，但若部署在其他云端平台则无法保证SLA，如GKE和AKS。

一家AIOps云端优化业者Opsani宣布，因应疫情推出3个月免费服务，可用AI技术来优化企业部署在云端的K8s，自动调度到效能够用但更便宜的部署环境，来降低企业租用云端服务的成本。这项服务主要利用AI来追蹤不同K8s应用的执行效能，再依据应用所需的CPU和记忆体用量，将工作量动态调度到成本较低的执行环境，也可协助优化JVM等中介软体的配置。这个AIOps工具也可整合到常见的DevOps工具链的服务或监控服务，例如GitHub、Terraform、Jenkins、Prometheus等。

不少云端PaaS业者採用Cloud Foundry的PaaS作为应用层平台软体，例如IBM、SAP，当然还有VMware的云端平台都使用了Cloud Foundry PaaS来建置。最近，Cloud Foundry基金会宣布，将开始认证K8s可以作为CF PaaS的内建容器管理平台，可以用来取代他们原本的Diego容器管理平台。原本就已经採用Digo的企业，仍旧可以继续使用，但新的K8s认证措施，也意味着Cloud Foundry PaaS也开始大举向K8s靠拢了。

最近AWS云端容器服务ECS有项小幅更新，强化对云端档案储存服务EFS的支援，让静态容器应用，更容易透过EFS来跨区域部署。另外，AWS也同步更新Fargate容器代管服务对EFS的支援，并且改用Containerd来取代相对较複杂的Docker Engine，来提高容器核心引擎的执行效率。不过，目前这两项更新都仍是预览版本。

最近CNCF同意持续派送平台Argo专案的加入，成为孵化专案之一。Argo是一组Kubernetes原生工具，可用来执行和管理在Kubernetes上运作的应用程式与工作，Argo专案是由一间名为Applatix的企业，在2017年时创建，Applatix在2018年的时候被Intuit收购，之后BlackRock也加入贡献Argo专案的行列，并且与Applatix共同积极发展专案以及经营社群。

开发者将应用程式编译成WebAssembly后，可以利用一个新兴的部署工具Krustlet工具来部署。Krustlet的设计类似Virtual Kubelet，可以从Kubernetes API事件串流中监听新的Pod；Virtual Kubelet是一个开源Kubelet实作，而Kubelet则是Kubernetes丛集的必要元件，丛集中每个节点都会启动Kubelet，来处理主节点派送的任务，以及管理节点上的Pod。

由阿里巴巴集团贡献的Dragonfly专案，正式进入CNCF孵化器阶段。这是一个K8s专用的云端原生映像档和档案发布系统，也是阿里巴巴容器平台中的骨干技术，每年支援数十亿次的应用程式交付。Dragonfly在2018年的时候被CNCF沙盒接收，并被中国移动、滴滴和蚂蚁金服等企业採用。透过P2P映像档和档案发布协定，Dragonfly能有效减轻映像档注册表和网路的负载，以提升使用者体验，由于P2P技术可以充分利用每个同侪的频宽资源提升下载速率，能节省大量的跨IDC频宽以及昂贵的跨境频宽。最新版本Dragonfly 1.0，已经用程式语言Go全部重写，来提高云端扩充性。

Grafana Lab释出了Cortex 1.0，这是一款以Prometheus来打造的开源时间序列资料库与监控系统，具有水平扩展架构，以及几乎无限的留存资料能力，目前为CNCF沙盒专案。1.0增加了多个让用户更容易用于生产的改进，像是提供详细的部署步骤，以及简单入门模式。Grafana Lab自己在内部生产环境中用Cortex长达三年，如Grafana Cloud的託管日誌和指标平台的后端都是Cortex。

从「按私密性付费」（Pay by Privacy)，全球最大的开源专案代管平台GitHub开始转为按功能付费（Pay by Feature)的模式。最近GitHub执行长Nat Friedman宣布，核心功能将永久免费，尤其是原本私有专案的3名协作者上限，也取消，不再限制人数，现在改为以专案所用的储存量来计算，免费版只能储存500MB，超过得使用付费版，另外，免费版的Actions数量也只提供每月每分钟2千次呼叫。原本付费使用开源Team版本的用户，现在全部免费。不过，免费版只会提供社群支援，企业级支援得付费才有。

责任编辑／王宏仁 

更多Container相关动态

-VMware修补vCenter Server高风险漏洞
-Canonical推出应用託管服务，可代管10款应用上云端