作者 | 丁海洋  陳有坤 李鵬  孫健波

<a name="VK7ST" rel="nofollow"></a>
# 業界要聞

1. [阿里巴巴 Kubernetes 技術能力再獲 CNCF 認可](https://www.cncf.io/blog/2019/12/12/demystifying-kubernetes-as-a-service-how-does-alibaba-cloud-manage-10000s-of-kubernetes-clusters/)

CNCF 官網釋出博文《Demystifying Kubernetes as a Service – How Alibaba Cloud Manages 10,000s of Kubernetes Clusters》。這篇長文從為什麼需要超大數量的 K8s 叢集，以及如何高效的管理這些叢集出發，系統介紹了 Alibaba 在 Kubernetes 上取得的成績。

2. [GitHub 欲在中國設立子公司](https://www.infoq.cn/article/2CitSlQZ4kXPNlJ734Fw)

今年早些時候傳出多起 Github 封鎖伊朗、敘利亞、克里米亞等地區的 Github 賬號，加上目前中美貿易戰的大背景，Github 背後的微軟需要為很多可能性進行準備。一個問題是：中國子公司真的可以在貿易戰白熱化的時候幫助微軟和中國開發者嗎？無論如何，多年來開源運動對當前 IT 技術的貢獻大家有目共睹，而 Github（依然）是聚集開發者最好的平臺，我想每一個負責任的開發者，無論國籍，都應該好好思考未來可能會如何，做好應對。

<a name="7Bwgs" rel="nofollow"></a>
# 上游重要進展
<a name="PVvUE" rel="nofollow"></a>
### Kubernetes

- [Support external signing of service account keys](https://github.com/kubernetes/enhancements/blob/master/keps/sig-auth/20190116-service-account-external-signing.md)

目前 K8s apiserver 還是從硬碟讀取 service account 的 keys，並在執行時儲存在記憶體中。鑑於現在 apiserver 已經支援驗證和釋出 projected volume tokens，我們可以考慮開始透過 API 支援外部簽發和校驗 token。

- [Certificated API 改進](https://github.com/kubernetes/enhancements/pull/1400)

CSR（CertificateSigningRequest）支援多 signer。

<a name="Z0hUO" rel="nofollow"></a>
### Knative
Knative v0.11.0 版本已於 12 月 10 號正式釋出，下面兩篇文章將對新版本進行解讀，讓你快速對 v0.11.0 版本有所瞭解：

- [Knative Serving 0.11.0 版本變更](https://yq.aliyun.com/articles/739381/)
- [解讀 Knative Eventing v0.11.0 新特性](https://yq.aliyun.com/articles/739384)

<a name="XyC1d" rel="nofollow"></a>
### Istio
Istio1.5 開發中，計劃一月中 code freeze , 二月中釋出。

- 備受矚目的 Mixer v2 正在緊鑼密鼓地開發中：其中使用 V8 的 Telemetry v2 預計將在 1.5 版本中達到 alpha 狀態；
- 引入[更好的傳輸安全](https://docs.google.com/document/d/1ubUG78rNQbwwkqpvYcr7KgM14kEHwitSsuorCZjR6qY/edit#)：Istio 使用 mTLS 在網格內的工作負載之間提供傳輸安全性。但是目前 Istio 的某些架構選擇導致了相當大的實現複雜性、設計混亂和協議衝突。這個 Proposal 指出了一些現有的難題，並探討可能的解決方案。

其他內容更新：

- 社群新提出的 [Istio meta API](https://docs.google.com/document/d/1g3AJNYwbh04-BVajshmcWpeLyGUanbRnihIXU6uIiOY/edit#heading=h.xw1gqgyqs5b) ，用於支援 Envoy 協議路由：提供 Envoy 的 Extensions，其中 protocol filter 的作者僅解析 metadata（headers），並作為 attributes 公開給框架；而框架可以完全基於屬性來路由流量，無需瞭解協議。這個提案目前處於非常早期的討論中；

- [Istio Config API Versioning Design](https://docs.google.com/document/d/1js1x0vf9H7kqknGwTyHhzPe9L7gG-dNIhC6ypPsKm3g/edit#)：從 1.11 開始，Kubernetes 支援在 CustomResourceDefinition（CRD）中指定多個版本。 在 1.15 中，對 Conversion Webhook 的支援處於 beta 狀態，預計將在 1.16 中穩定。 Istio API 當前只具備單個版本，隨著 Istio 的 API 變得越來越成熟，需要為每個 Istio API 支援多個版本。這將使 Istio 在改進 API 的同時仍能支援可能正在使用舊版 API 的使用者。

<a name="FV7kA" rel="nofollow"></a>
# 開源專案推薦

1. [ansible/awx](https://github.com/ansible/awx)

這是 Red Hat 釋出的對其內部的 Ansible Tower 系統的開源實現，有興趣的同學可以去看一下。

2. [oam/admission-controller](https://github.com/oam-dev/admission-controller)

一個 Go 語言開發的 K8s Admission Controller 為 OAM 標準 spec 提供轉換和校驗的功能，該開源專案不僅可以用於 OAM 的 spec 校驗，也可以用來學習如何編寫一個 K8s Admission Controller。

<a name="0skNE" rel="nofollow"></a>
# 本週閱讀推薦

1. [《Run Ansible Tower or AWX in Kubernetes or OpenShift with the Tower Operator》](https://www.jeffgeerling.com/blog/2019/run-ansible-tower-or-awx-kubernetes-or-openshift-tower-operator)

Ansible Tower是Red Hat內部的自動化Ansible平臺的核心元件，AWX是Ansible Tower的開源實現，兩者的關係類似Fedora和RHEL。這篇文章使用一個Operator來建立和管理試用版的Ansible Tower。

2. [《Develop a Kubernetes controller in Java》](https://kubernetes.io/blog/2019/11/26/develop-a-kubernetes-controller-in-java/)

一篇來自 K8s 官方的 Blog，介紹瞭如何使用 Kubernetes Java SDK 來開發 Kubernetes Controller。

3. [《Chaos Engineering: the history, principles and practice》](https://www.gremlin.com/community/tutorials/chaos-engineering-the-history-principles-and-practice/)

混沌工程是在大規模複雜系統中尋找問題的最佳實踐，這篇文章系統介紹了混沌工程的歷史、原則以及實踐中需要注意的問題。<br>[https://www.gremlin.com/chaos-engineering/](https://www.gremlin.com/chaos-engineering/)

4. [《What I learned from Reverse Engineering Windows Containers》](https://unit42.paloaltonetworks.com/what-i-learned-from-reverse-engineering-windows-containers/?utm_source=tuicool&utm_medium=referral)

在 Docker 開啟容器技術大潮的時候，Windows 是有一點落後的，但不出意外的，微軟很快釋出了支援 Windows 的容器技術。除了一些官方的文件，關於 Windows container 的技術細節是很少的，本文作者透過 reverse engineering 解析了 Windows 容器在程式、檔案呼叫、系統呼叫等方面的一些細節，對這方面感興趣的同事不要錯過。

5. [《Highlights from KubeCon US and Re:Invent 2019 + Live WKP Demo》](https://www.weave.works/blog/highlights-from-kubecon-us-and-re-invent-2019-live-wkp-demo?utm_source=tuicool&utm_medium=referral)

Weaveworks 自己總結了一篇 KubeCon US 和 ReInvent: 2019 的一些 highlight，當然也不忘 promote 自己一下，有興趣的同學可以看看。

6. [《虛擬化 Pod 效能比裸機還要好，原因竟然是這樣！》](https://mp.weixin.qq.com/s/7z5uSVE7rR5sfkKf-czXFw)

VMware 在 VMworld 上宣佈的太平洋專案 (Project Pacific)。根據其官博上釋出的資訊，太平洋專案中透過虛擬化實現的 Native Pods，比物理機（裸機）上 Kubernetes 的 pod 有 8％ 的效能提升！這個內容是十分搶眼的，因為不是很符合邏輯。這篇文章解釋了這個效能提升的原因，簡單的說，就是用好 NUMA。

7. [《Knative Serverless 之道：如何 0 運維、低成本實現應用託管？》](http://mp.weixin.qq.com/s?__biz=MzUzNzYxNjAzMg==&mid=2247488024&idx=1&sn=e536d0c81b53876b96ab48d91beeb210&chksm=fae519d7cd9290c19a85f74e9e82b98080ea1b96762fa1256591f34e4e71d1ea2b5747a1af2c&token=787276826&lang=zh_CN#rd)

Knative 作為最流行的應用 Severlesss 編排引擎，其中一個核心能力就是其簡潔、高效的應用託管服務。阿里雲的工程師在該分享中對此進行了詳細的講解。

> “[阿里巴巴雲原生](https://developer.aliyun.com/group/alisoftwaretech/)關注微服務、Serverless、容器、Service Mesh 等技術領域、聚焦雲原生流行技術趨勢、雲原生大規模的落地實踐，做最懂雲原生開發者的技術圈。”

阿里巴巴 Kubernetes 能力再獲 CNCF 認可 | 雲原生生態週報 Vol. 32

相關文章