Container快報第158期：K8s年四月釋出今年第一更，OpenShift也推新4.15版，微軟和GitLab表態繼續支援Flux

2024/2/15～3/25 精選容器新聞：

許多款K8s產品釋出新版或準備推出新版。像是K8s預告今年4月將會釋出第一個更新版本，也就1.30版，有多項重要更新，像是容器自動擴充機制，使用者命名空間等。紅帽容器管理平臺OpenShift也釋出4.15新版，Rancher Prime也將在4月釋出3.0，將強化對AI/ML工作負載的調度能力。新版Linker則可以用來調度非K8s環境中的微服務，Grafana Labs也繼續強化可觀察性能力。

#k8s新版 #使用者命名空間 #容器自動擴充
K8s今年第一更4月登場！1.30版新功能搶先透露

K8s專案即將在四月中釋出今年的第一個K8s新版本1.30版，最近，K8s部落格也搶先揭露了多項新版功能，例如動態資源調度的結構化參數功能、Linux節點記憶體交換功能、使用者命名空間功能、結構化授權配置檔、Pod容器自動擴充機制都有增強。

動態資源調度的結構化參數功能提高了資源調，動態資源調度是用來調度跨Pod叢集或單一Pod叢集內部容器資源的API。新增的結構化參數功能，可以讓開發人員預先定義一套資源分配的結構化參數，讓kube-scheduler和Cluster Autoscaler來處理需要的資源分配，而不用像過去得靠第三方動態調度驅動程式。另外，1.30新版也新支援Linux節點記憶體交換功能，可以大幅提高系統的穩定性。

使用者命名空間功能的功能在1.30版進入了Beta版本，這個功能可以讓開發者提供更好的Pod叢集隔離性，也能支援客製化的UID和GID範圍的隔離。結構化授權配置檔的功能也在1.30版進入Beta階段，並且成為K8s預設啟用的功能。這項功能可以建立一個更細緻的權限控制要求，來驗證多個呼叫請求的授權。HorizontalPodAutoscaler容器自動擴充機制，現在可以更細緻的依據每一個容器的資源使用量，來決定配置自動擴充或縮小的配置規則，而不用像過去只能依據單一Pod叢集的用量來設定自動擴充的配置規則。這個自動化擴充功能正式在1.30版成為穩定的正式功能。 

#容器管理平臺 #紅帽
OpenShift推出4.15新版，可以部署到AWS Outposts地端設備

紅帽最近釋出了OpenShift容器管理平臺的4.15新版，在核心功能、邊緣支援和虛擬化支援都有多項強化。新版正式部署到AWS Outposts地端設備上和AWS的5G 邊緣運算基礎架構Wavelength區域上，也能從Outposts上來部署在AWS上的OpenShift叢集。

在虛擬化功能上，新版則強化了更多災難復原和韌性功能，像是增加網路熱插拔來動態重新配置虛擬機器所用的網路卡，還簡化了多種常用虛擬機器類型的快速安裝體驗，提供類似公雲快速安裝的實例選單，也新支援宣告式GitOps流程來復原虛擬機器。新版也能支援OpenShift叢集與外部第三方供應商間的OVN IPsec加密傳輸。去年底推出的可觀察性平臺Red Hat build of OpenTelemetry也正式在OpenShift 4.15版中提供，包括了Log、矩陣、追蹤機制等，新版的可觀察性儀表板也有更新，網路基礎設施、Linux核心和K8s流量儀表板都有強化。OpenShift這個新版本可以支援到K8s的1.28版和CRI-o 1.28版。

#AI工作負載優化 #容器管理
SUSE容器管理平臺Rancher Prime新版4月登場，特別強化對AI/ML工作量的部署支援

隨著生成式AI浪潮爆發，如何強化對AI運算的支援，成了K8s平臺的新課題。SUSE將在4月正式推出容器管理平臺Rancher Prime的3.0新版和Edge 3.0版，強化了多項安全軟體開發能力，像是強化對軟體物料表SBOM的支援來提供安全軟體交付流程，也新增對K8s叢集API的支援，可以讓企業更容易打造一個自助式的內部PaaS平臺。另外，這個新版本可以自動偵測Nvidia所用的容器runtime配置，自動產生出要將AI模型部署到K8s環境時所需的GPU配置。Edge 3.0版則提供了更多在邊緣運算環境中部署K8s的建置範本和安全映像檔版本，讓企業更容易建置邊緣容器環境。

#可觀察性 #叢集管理
Grafana Labs強化多項K8s可觀察性能力，提供更完整的叢集健康分析

最近Grafana Labs宣布更新了K8s監控功能，IT團隊不用手動配置監控K8s用的代理程式，而可以改用新推出的K8s監控Helm chart應用來部署，自動將客製化的矩陣、Log紀錄、事件資訊、追蹤和成本矩陣的資訊，傳送到Grafana雲上。K8s叢集除錯功能也有簡化，在Grafana通報功能網頁上，新增了「出錯Pod叢集」的單元，可以讓IT團隊快速看到每一個出錯叢集所發生的狀況來快速回應。另外，針對K8s叢集健康和效能分析，可以提供一個整體性的全貌分析以及更細節的分析內容，在歷史資料分析上也提供了時間選取機制，可以快速檢視不同時間的狀態數據。

#WebAssembly應用 #毫秒級冷啟動
Fermyon捐出自家Wasm應用平臺給CNCF，可用來開發和部署K8s上的大量WebAssembly應用

最近Fermyon科技宣布將自家的Wasm on K8s平臺SpinKube捐給CNCF組織。這是一個可以在K8s中開發、部署和維運WebAssembly應用的平臺。根據Fermyon宣稱，採用Wasm技術，可以讓單一Pod叢集部署的應用數量增加50倍，也因此需要一個特別的Wasm應用管理平臺。SpinKube可以用來將無伺服器的WebAssembly應用部署到K8s環境中，也可以用來打造一個自家的無伺服器環境，官方宣稱還能達到1毫秒內的快速冷啟動速度。

＃eBPF #可觀測性 #雲原生應用
K8s工作負載視覺化有新選擇，微軟開源了跨雲容器網路觀測平臺Retina

日前，微軟Azure容器網路團隊發布雲端原生容器網路觀測平臺Retina，讓Kubernetes用戶、管理者和開發者，能夠以視覺化的方式，觀測、除錯並且分析Kubernetes的工作負載流量。Retina支援各種容器網路介面（CNI）、作業系統和雲端平臺，還能夠與產業標準Prometheus和網路流量日誌搭配使用，具有適應不同用例和環境的靈活性。Retina利用eBPF（extended Berkley Packet Filter）的功能，在不需更改現有應用程式的情況下，以非侵入的方式對Kubernetes網路進行深入分析和監控。

#容器能耗追蹤 #永續IT管理 #紅帽
每一個Pod叢集的耗電都能追蹤，OpenShift釋出容器層級能耗監控工具預覽版

紅帽在年初釋出了OpenShift平臺的新能耗追蹤工具預覽版，可以提供到容器層級的用電追蹤，監控顆粒度可以達到Pod叢集或是每一個命名空間，讓企業可以更細緻地追蹤雲原生應用的能耗，來計算碳排。在OpenShift 4.14上現已提供這款工具，供用戶進行試用。不過， 現階段僅是技術預覽版，尚未推出正式版。
這項工具可以用來追蹤每日使用CPU的整體能耗情況，還能夠細緻地檢視每個命名空間的能耗和功耗在不同時段的變化情形，提供每小時的更新頻率。這項功能來自開源能耗追蹤工具 Kepler專案，利用eBPF來取得能源相關系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。可以用來追蹤過去24小的叢集整體能耗，即時蒐集到多種功耗資訊，如RAPL（用於監控與管理CPU及記憶體的用電量）、NVML（GPU資源利用率管理函式庫）、ACPI（系統電源效能管理介面）、IPMI（伺服器電源監測介面）等。還能展開檢視不同命名空間的能耗排名，可以列出最耗能的容器和Pod叢集等。也結合了機器學習模型來進行測量和預估，以提高測量模型準確性，以便根據實際的資源利用率準確地估計其功耗。

#核心系統容器化 #微服務 #企業實戰
凱基證將用容器技術和微服務打造新一代證券核心系統

凱基證券自2023年開始展開核心系統轉型推動計畫，規畫逐步拆分大型主機系統的功能，轉向容器化微服務架構，並優先完成帳務中臺的架構轉換。
凱基證券亞太區資訊長黃榮林期望透過系統核心的轉型，能夠大幅改善開發速度、縮短服務上市的推出時間，更訂下推出時間縮短50％的目標。
不過，凱基證券不會將核心大型主機多套系統全部轉為容器架構，有些系統分拆後會單獨存在，並改用模組化方式重組。交易模組會先轉換成新的雲原生架構，再轉換其他周邊的模組，所有系統都會使用的共用模組，例如監控、認證、訊息溝通等，也會獨立建立一套系統。需要低延遲的模組，特別是會影響下單的模組，不會納入微服務架構中，比如主機連線的模組。

#K8s效能監測 #可觀察性 #eBPF
Netflix開源自用的eBPF程式效能優化工具bpftop

可用來追蹤Linux核心效能的eBPF技術，是監控K8s叢集效能的重要手段，可以透過程式化方式來追蹤K8s叢集的運作。Netflix公開了一款內部的命令列工具bpftop，不只更容易監控eBPF程式的效能，還可以用來優化eBPF程式。Netflix提到，由於他們逐漸增加採用eBPF技術的比例，因此也就需要更嚴謹地看待相關系統，確保既能發揮eBPF的好處，又不會造成系統過度負載，進而保證營運效率。bpftop可提供動態即時檢視圖，顯示執行中的eBPF程式平均執行時間、每秒事件數，以及估計總CPU使用率。而bpftop的優勢是能夠在工具活動時才啟用效能統計，以最小化效能開銷，同時bpftop提供時間序列表使用戶能夠清楚檢視統計資料，進而發現異常模式和趨勢。Bpftop使eBPF程式的效能最佳化過程變得簡單，用戶可有效地進行基準測試、程式碼改進，並且建立起即時回饋循環。

#容器化整合測試 #Docker公司
紅帽宣布和Docker公司結盟，OpenShift平臺將整合Testcontainers容器化整合測試服務

最近在歐洲Kubecon大會上，紅帽宣布與Docker公司結盟，紅帽旗下容器管理平臺OpenShift將可以存取Docker公司的容器化整合測試雲Testcontainers，在OpenShift中使用後者完整的功能。Testcontainers雲是Docker公司的持續整合服務，可以用Docker容器來快速建立各種測試環境，可支援9種語言的測試任務管理，也提供了一套儀表板功能來追蹤各種整合測試的執行。紅帽與Docker公司合作後，OpenShift用戶可以將Testcontainers雲的後端，部署到OpenShift叢集上。

#超大規模叢集管理 #串流服務優化
字節跳動開源新一代K8s多叢集管理工具KubeAdmiral，可管理1千萬個Pod叢集

抖音母公司字節跳動最近釋出了一款K8s多叢集管理工具KubAdmirl ，可用來管理超過分散在數十個K8s叢集上超過1千萬個Pod。這款工具強化了多叢集的調度和排程能力，特別是針對大量串流服務場景的支援。字節跳動已將這款多叢集管理工具用於自家服務的擴充調度，管理超過1千萬個Pod來支援10萬支微服務的運作。KubeAdmiral每天處理到3萬次更新或叢集擴充的調度操作。
這款工具採用了新的調度框架，將調度分為四個階段，Filter、Score、Select和Replica，並由各自專門的外掛工具來處理調度邏輯，來降低整體複雜性，使用者也能增加自己的調度外掛機制。
因為完全使用K8s API功能來設計KubeAdmiral，而非開發專門的聯邦API來管理叢集，因此，可以將多叢集間視為一體來查看部署情況，而不用逐一檢視個別叢集的資訊。目前正在強化操作體驗，優化Log和矩陣功能等功能。

#服務網格 #網格擴充
服務網格工具Linkerd新版2.15大更新，新網格擴充功能可以調度非K8s環境上的微服務

在去年11月時，服務網格工具Linkderd就提出了一個新個作法是網格擴充功能Mesh Expansion，可以將微代理伺服器（Microproxy）部署到非K8s環境上，讓Linkerd控制平臺能夠調度在其他環境上的微服務。最近剛釋出的2.15版，也正式開始支援網格擴充功能，可以用來調度在其他非K8s環境的微服務，可以將實體伺服器、虛擬機器等沒有K8s環境上的微服務，也整合到同一個服務網格中來管理。為了支援非K8s環境的身分驗證，Linkerd也引入零信任通用身分驗證專案SPIFFE，來加密與虛擬機器工作負載之間的所有流量。

#Flux #GitOps流程
GitOps新創Weaveworks倒閉後，微軟和GitLab等數十家企業表態繼續支持Flux

提出GitOps持續交付自動化模式的雲原生新創公司Weaveworks在今年2月初宣布倒閉。成立於2014年的Weaveworks，因GitOps專案FluxCD而聲名大噪，更從Google創投獲得1,500萬美元投資，日前也才從AWS和多家電信業者取得3,660萬美元的資金。該公司執行長於在Linkedin部落格上坦言，雖然2023年營收有雙位數成長，超過了1,000萬美元，但仍因爲銷售業績趕不上現金支出而不堪負荷，原本正在洽談的大公司併購也宣告破局，因此，他決定結束公司，這個宣布引起開源社群熱烈討論。

但是，他們所開發的開源GitOps工具專案Flux，早在2019年就捐給CNCF組織，並在2022年成為畢業專案，也意味著專案社群具有足夠的發展能力。而在Weaveworks宣布關門同一周，原本在該公司任職的Flux核心維護者Stefan Prodan，也轉而加入另一家同樣重度使用Flux的跨雲管理平臺公司ControlPlane擔任首席顧問，他還迅速發布了一個小更新版本2.2.3，來凸顯這個專案的持續能力。
自家產品深度支援Flux建置的微軟、GitLab也相繼表態會繼續支持這個專案，更有十多家科技公司確定繼續支援Flux，思科和德國零售商Tchibo最近也加入了長期Flux採用者名單。GitLab更在3月5日，Weaveworks關門滿一個月時特別強調，經過一個月與FluxCD周邊工具商的討論，找不到更好的GitOps成熟替代方案，因此，他們會全力繼續支持，並更積極參與Flux社群。

#容器安全偵測 #雲端日誌分析
K8s威脅偵測引擎Falco專案宣布畢業，未來要擴大支援更多雲端日誌和GitHub

在2018年進入CNCF組織孵化沙盒的K8s威脅偵測引擎Falco專案，最近宣布正式畢業。這款由Sysdig打造的安全工具，可以用來追蹤容器行為，透過規則引擎檢測容器、應用程式、底層主機和容器平臺的異常狀態，一但有異常行為，就會發布警告。最近幾年，Falco維護者持續強化工程流程，甚至重構了Falco程式庫，推出了改良後的測試套件與新的核心測試框架，也結合了熱門的eBPF技術推出Linux核心的探針功能。包括AWS、IBM、紅帽都是主要使用者也是專案貢獻者。Falco預告，未來支援更多來源的資料來強化偵測能力，例如支援各種雲端日誌和GitHub上的開發者接觸點，新版也會持續簡化部署和管理功能。

#容器管理 #Apple虛擬機支援
開源容器平臺Podman大改版，不只Windows和Linux，還新支援Apple虛擬機器

開源容器平臺Podman推出重大更新版本5.0，在最新版本中，開發團隊重寫了Podman Machine指令，強化對Windows和Mac作業系統的支援，而清單（Manifests）也支援OCI構件，以支援不同類型的容器，另外，Podman現在預設使用Pasta來處理非Root網路。5.0也新增Apple虛擬機器管理程式（Apple ㄑ）支援，以大幅提高Podman在Mac上的穩定性、啟動時間和檔案共享效能。用戶還可以使用新的Podman Machine重置指令，刪除由Podman Machine管理的虛擬機器。

更多新聞

• New Relic宣布新功能可以讓K8s叢集一個步驟就具備OpenTelemetry能力
• 開源服務網格專案Istio維護者準備釋出服務網格專案的輕量級版本Ambient的Beta版本
• 微軟分散式應用程式Runtime專案Dapr釋出1.13版，新釋出SDK來簡化分散式運算流程的調度

資任編輯：王宏仁
圖片來源：紅帽、Fermyon、Netflix