ByteCoding

Serverless概述 Serverless 是一种架构设计理念，并非一个具体的编程框架、类库或者工具 Serverless = FaaS + BaaS 构建和运行不需要服务器管理的应用程序 描述一种更细粒度的部署模型 将应用程序打包上传到 Serverless 平台，然后根据实际需求，执行、扩展和计费 Serverless 能够实现业务和基础设施的分离 通过多种服务器无感知技术，将基础设施抽象成各种开箱即用的服务 以 API 接口的方式提供给用户按需调用，真正做到按需伸缩、按量收费 场景 形成了以函数计算、弹性应用、容器服务为核心的产品形态 函数计算 - 面向函数 用户只需关注函数层级的代码，用于解决轻量型、无状态、有时效的任务 Serverless 应用托管 - 面向应用 应用只需要关注应用本身 与微服务结合，融合应用治理、可观测 降低了新应用的构建成本，老应用的适配改造成本 Serverless 应用服务 - 面向容器 在不改变当前 kubernetes 的前提下，由于不再需要关注 Node，降低了维护成本 FaaS Life Cycle用户视角 开发...

IaC概述 使用代码定义基础设施（声明式：云资源、配置、工具安装） 借助 Git 实现对基础设施的版本控制 有状态 - Diff + Patch 优势 幂等 版本控制 使用 Git 进行变更管理（批准、安全检查、自动化测试） 清晰的变更行为 快速配置基础设施 能力 提供以编码工作流来创建基础设施 更改或者更新现有的基础设施 安全地更改基础设施 与 CICD 工具集成，形成 DevOps 工作流 提供可复用的模块，方便协作和共享 实施安全策略和生产标准 实现基础设施的团队协作 工具 Terraform Pulumi Crossplane Terraform核心架构 全新的配置语言 HCL - HashiCorp configuration language 可执行的文档 人类和机器可读 学习成本低 测试、共享、重用、自动化 适用于几乎所有云厂商 HCL 最终转换为 JSON 对象，再与云厂商交互 JSON 123456789101112131415161718{ "io_mode": "async", "service...

基本原理核心原理 隔离机制 运行 Nginx 镜像 1234567891011121314151617$ docker run -d nginx:latestUnable to find image 'nginx:latest' locallylatest: Pulling from library/nginx25d3892798f8: Pull complete42de7275c085: Pull completec459a9332e03: Pull complete48882f13d668: Pull complete49180167b771: Pull completeda4abc2b066c: Pull complete20dc44ab57ab: Pull completeDigest: sha256:5f44022eab9198d75939d9eaa5341bc077eca16fa51d4ef32d33f1bd4c8cbe7dStatus: Downloaded newer image for nginx:latestd821171713e9b805c4180c122...

演进过程精益 诞生于工业领域：用最少的时间和资源消耗，生产出高质量的产品 瀑布模式 线性的开发流程、将软件开发划分为一系列阶段 敏捷模式 误区：敏捷 = 管理 敏捷是基于精益的思想 将开发过程拆分成 N 个敏捷开发周期，小步快跑 生命周期 基于迭代的敏捷（固定的迭代周期） 基于流程的敏捷（不固定的迭代周期） 运维不堪重负，建立部门墙，敏捷模式只关注开发，不关注运维 DevOps 核心阶段 版本控制 持续集成 - 代码提交 持续交付 - 测试环境 持续部署 - 生产环境 持续监控 源码管理 SVN / Git Git Flow git pull = git fetch + git merge Git 高级用法rebase 将一个分支的提交移动到另一个分支的末尾，使得提交历史更加线性和整洁 主要场景： 更新本地分支以匹配远程分支，避免产生多余的 merge commit 合并提交 重新排列提交 12$ git checkout feature$ git rebase master 从两个分支的共同祖先开始提取待变基分支（fe...

层次模型 开发 分发 部署 运行时 容器运行时Non-root 在 Dockerfile 中通过 USER 命令切换成非 root 用户 防止某些镜像窃取宿主的 root 权限并造成危害 在某些容器运行时，容器内部的 root 用户与宿主上的 root 用户是同一个用户 宿主上的重要文件被 mount 到容器内，并被容器修改配置 即使在容器内部也应该权限隔离 123FROM ubuntuRUN user add AUSER A User namespace 依赖 User namespace，任何容器内部的用户都会映射为宿主上的非 root 用户 默认关闭，因为会引入配置复杂性 系统不知道宿主用户与容器用户的映射关系，在 mount 文件时无法设置适当的权限 Rootless container 容器运行时以非 root 身份启动 即使容器被攻破，在宿主层面获得的用户权限也是非 root 用户 Docker 和其它容器运行时本身的后台 Daemon 需要以 root 身份运行，其它的用户容器才能以 rootless 身份运行 某些运行时，如 Podman，没有 Daemon 进程，...

跨地域 使用单一集群，可以管控多个地域的机器，底层网络需要打通 Service 优先级：zone > region > other 集群联邦必要性 单一集群的管理规模有上限 数据库存储 etcd 作为 Kubernetes 集群的后端存储数据库，对空间大小（8G）的要求比较苛刻 内存占用 Kubernetes 的 API Server 作为 API 网关，会缓存该集群的所有对象 其它的 Kubernetes Controller 也需要对监听的对象构建客户端缓存 控制器复杂度 Kubernetes 的一个业务流程由多个对象和控制器联动完成 随着对象数量的增长，控制器的处理耗时也会增长 单一计算节点的资源有上限 可量化资源：CPU、Memory 等 不可量化资源：端口数量（限制 Service NodePort）、进程数量等 故障域控制 集群规模越大，控制面组件出现故障时的影响范围越大 方案：将大规模的数据中心切成多个规模相对较小的集群，每个集群控制在一定规模 应用 HA 多数据中心部署来保障跨地域高可用 混合云 私有云 + 公有云 职责 跨集群同...

CRD 核心为 networking 12345678910111213141516171819202122$ istioctl versionclient version: 1.19.3control plane version: 1.19.3data plane version: 1.19.3 (2 proxies)$ k get crdNAME CREATED ATauthorizationpolicies.security.istio.io 2022-12-27T02:58:37Zdestinationrules.networking.istio.io 2022-12-27T02:58:37Zenvoyfilters.networking.istio.io 2022-12-27T02:58:37Zgateways.networking.istio.io 2022-12-27T02:58:37Zistiooperators.install.istio.io...

Kubernetes Kubernetes 主要基于 Kernel 技术栈，缺少精细化的高级流量治理 Kubernetes 已有的流量治理能力：Service + Ingress Service 在 L4，基于 Kernel 技术栈，无法实现精细化的高级流量管理 Ingress 在 L7，主要针对入站流量 架构演进单体 访问服务 微服务 业务代码一般会集成统一的 SDK，耦合了很多平台侧的能力 Service MeshSidecar Service Instance 与 Sidecar Proxy 在同一个 Network Namespace，相当于一个 loopback，可以明文传输 能力下沉 通过 Sidecar 来实现微服务治理，业务部门更聚焦于业务逻辑 Istio特性 HTTP、gRPC、WebSocket、TCP 的自动负载均衡 通过丰富的路由规则实现重试、故障转移、故障注入，可以对流量行为进行细粒度控制 可插入的策略层和配置 API，支持访问控制、速率限制和配额 对出入集群入口和出口中的所有流量的自动度量指标、日志记录和跟踪 通过强大的基于身份的验证和授权，...

Aggregated APIServer 123456789101112131415161718192021222324$ k get apiservices.apiregistration.k8s.ioNAME SERVICE AVAILABLE AGEv1. Local True 36dv1.admissionregistration.k8s.io Local True 36dv1.apiextensions.k8s.io Local True 36dv1.apps Local True ...

特性 Helm Chart 是创建一个应用实例的必要的配置组，即 Spec 集合 配置信息被归类为模板和值，经过渲染后生成最终的对象 所有配置可以被打包进一个可以发布的对象中 Release 为一个特定配置的 Chart 的实例 组件 只有客户端，没有服务端 Client 本地 Chart 开发 管理 Repository 管理 Release 与 Library 交互 发送需要安装的 Chart 请求升级或者卸载存在的 Release Library 负责与 API Server 交互 基于 Chart 和 Configuration 创建一个 Release 把 Chart 安装到 Kubernetes，并提供相应的 Release 对象 升级 + 卸载 采用 Kubernetes 存储所有配置信息 - 无需服务端 实践 开发 123456789101112131415161718$ h create myappCreating myapp$ tree myappmyapp├── Chart.yaml├── charts├── templates│   ├── NOTES.tx...