容器技術讓應用封裝變得非常簡單，容器將會成為未來最主流的部署方式。據(jù)權威咨詢機構Gartner預測，到2022年全球超過75%的企業(yè)組織將在容器中運行應用程序，這與目前不到30%的比例相比有了顯著的增長。
單從數(shù)據(jù)來看，近年來容器和Kubernetes在傳統(tǒng)數(shù)據(jù)中心和云原生應用中得到很好運用，但是當前容器的生態(tài)系統(tǒng)并不完善，缺乏足夠成熟的操作實踐案例。容器集成、網(wǎng)絡以及自動化部署仍然是非常棘手的問題。此外，由于云原生應用需要一個高度自動化基礎設施環(huán)境以及專業(yè)的運維技能，導致容器在企業(yè)中應用仍然受到一定限制。如果你想和更多容器技術專家交流，可以加我微信liyingjiese，備注『加群』。群里每周都有全球各大公司的最佳實踐以及行業(yè)最新動態(tài)。
在生產(chǎn)環(huán)境部署容器的注意事項
因此，在具體生產(chǎn)環(huán)境中運行容器仍然需要一個長期的學習過程。企業(yè)在生產(chǎn)環(huán)境中部署容器之前，一定要認真思考以下六個問題：
- DevOps：是否擁有DevOps團隊來做開發(fā)運維，能夠啟用敏捷開發(fā)和部署模型?
- 工作負載：是否確定了專人來負責容器化的工作負載?
- 快速集成：是否了解如何集成IT基礎架構，以及擁有跨平臺的集成能力?
- 付費模型：是否了解使用哪種運行和編排引擎，以及他們的付費模式?
- 培訓技能：是否了解應學習哪種新技能以及采用哪種規(guī)則能確保容器部署成功?
- ROI：投資回報率如何?
但是，很多企業(yè)組織經(jīng)常會低估在生產(chǎn)環(huán)境中運行容器所需的工作量，想要讓容器在企業(yè)中正常運作，要盡量避免下述六個錯誤的行為。
- 在沒有成熟DevOps實踐經(jīng)驗的情況下就開始部署容器。
- 選擇了那些帶有專有組件的容器導致被鎖定。
- 沒有在企業(yè)組織中實施通用的工具和合規(guī)要求。
- 沒有為開發(fā)和運維人員提供前沿的技術培訓服務。
- 在選擇工具的時候沒有考慮開發(fā)者和運維者的需求。
- 選擇了依賴性、相關性非常大的復雜工作負載。
容器實踐需要重點管理六個方面
企業(yè)在生產(chǎn)環(huán)境部署容器后，就應該格外重視容器本身的安全。例如Docker宿主機安全、Docker鏡像安全、運行環(huán)境安全、編排安全等問題，這都意味著保護容器安全將是一項持續(xù)的挑戰(zhàn)。在生產(chǎn)環(huán)境中部署容器，需要重點考慮安全合規(guī)、持續(xù)監(jiān)控、數(shù)據(jù)持久性、網(wǎng)絡安全問題、全生命周期管理、容器編排等問題。
安全合規(guī)
安全不能總是事后諸葛亮。它需要嵌入到DevOps過程中。企業(yè)組織需要考慮跨容器全生命周期安全問題，包括應用程序的構建、開發(fā)、部署和運行等不同階段。
持續(xù)監(jiān)控
開發(fā)人員主要關注容器在功能方面的應用，而不會去監(jiān)控它們的運行情況。傳統(tǒng)監(jiān)控工具主要關注主機級指標，如CPU利用率、內(nèi)存利用率、I/O、延遲和網(wǎng)絡帶寬。但這遠遠不夠，還缺少容器或工作負載級別指標數(shù)據(jù)。
容器存儲
隨著對有狀態(tài)工作負載容器使用的增加，客戶需要考慮物理主機之外數(shù)據(jù)的持久性，保護這些數(shù)據(jù)安全。即便容器不在了，數(shù)據(jù)必須還在。如果企業(yè)對容器的主要使用場景，是轉移老舊應用程序或無狀態(tài)用例，對存儲的安全需求不會發(fā)生大變化。但是，如果要對應用程序進行重構，或提供一個新的、面向微服務的有狀態(tài)應用程序，那么安全人員就需要一個存儲平臺，能夠最大限度地提高工作負載的可用性、靈活性和性能。例如，為了更好的支持容器遷移和數(shù)據(jù)共享，Docker推出了Volume plugin接口機制，讓第三方的存儲廠商來支持Docker Volume并且在此基礎上進行功能拓展。
容器網(wǎng)絡
開發(fā)人員最關心就是軟件開發(fā)的敏捷性和可移植性，希望應用程序能夠跨軟件開發(fā)生命周期進行移植。雖然在傳統(tǒng)的企業(yè)網(wǎng)絡模型中，IT人員為每個項目的開發(fā)、測試和生產(chǎn)等創(chuàng)建網(wǎng)絡環(huán)境，即便如此仍然不一定能夠與業(yè)務流保持很好一致性。在容器業(yè)務環(huán)境中，容器網(wǎng)絡問題就更加復雜。例如，容器網(wǎng)絡跨越多個層，如果直接在主機端口上開放服務雖然可行，但是部署多個應用的時會遇到端口沖突，加大擴展集群和更換主機的難度。
因此網(wǎng)絡解決方案需要與Kubernetes原語和策略引擎緊密集成。安全和運維人員需要努力實現(xiàn)高度的網(wǎng)絡自動化，并為開發(fā)人員提供適當?shù)墓ぞ吆妥銐虻撵`活性。
容器生命周期管理
對于高度自動化和無縫的應用交付管道，企業(yè)組織需要使用其他自動化工具來補充容器編排，例如Chef, Puppet, Ansible and Terraform等配置管理工具和應用發(fā)布自動化工具。盡管這些工具和CaaS產(chǎn)品之間有重疊之處，但是互補性遠大于重合部分。
容器編排
因為容器編排工具管理著承載各類服務的容器集群。無論是 Kubernetes 社區(qū)還是第三方安全機構均針對 Kubernetes 中組件和資源的安全進行了相應改善和安全加固，包括計算資源安全、集群安全及相關組件安全等。這塊需要重點考慮是隱私管理、授權管理、身份防控制、編排控制面、網(wǎng)絡證書等都需要全面考慮。
其中，容器部署的關鍵是提供編排和調(diào)度能力。編排層與應用程序進行接口，使容器保持在所需的狀態(tài)下運行。而容器調(diào)度系統(tǒng)按照編排層的要求將容器放在集群中最優(yōu)的主機上。例如通過Apache Mesos提供調(diào)度，Marathon提供編排或使用單個工具Kubernetes或Docker Swarm提供編排和調(diào)度?？蛻粼诰幣乓嬷g或跨Kubernetes發(fā)行版之間進行決策時，需要重點考慮以下幾個方面：
- 支持OS和容器運行時的深度和廣度;
- 整體產(chǎn)品的運行時穩(wěn)定性;
- 可擴展性;
- 對有狀態(tài)應用程序的支持程度;
- 操作的簡單性和供應商支持的質量;
- 對開源的支持和開發(fā);
- 部署難易度及License費用;
- 支持混合多云。
容器技術與DevOps
容器和DevOps的關系就像是咖啡伴侶。容器能夠快速發(fā)展，也得益于DevOps實踐經(jīng)驗。在傳統(tǒng)的開發(fā)環(huán)境，開發(fā)團隊編寫代碼，QA團隊測試軟件應用程序，并將它們移交給運維團隊進行日常管理。為了解決傳統(tǒng)開發(fā)模式中的問題，很多企業(yè)都采用了“DevOps流程+微服務理論+使用容器和容器編排工具”。事實上，DevOps前身就是CI/CD，現(xiàn)在只不過是再加上一些發(fā)布、部署等標準和管理就構成了DevOps。
在云原生環(huán)境中，不僅軟件開發(fā)和發(fā)布速度很快，而且平臺本身也需要被當作一個產(chǎn)品來對待，因為它是動態(tài)的，并且在功能和規(guī)模方面不斷發(fā)展。平臺運營團隊的目標是自動化、可伸縮和有彈性的標準化平臺。平臺運營團隊的職責包括CaaS、PaaS產(chǎn)品的部署、操作、定制，標準化中間件的開發(fā)、操作，以及IaaS供應的自動化、部署、安全的啟用等等。企業(yè)組織需要創(chuàng)建一個DevOps團隊來運營容器，而不是一個個孤立的IT運營團隊。
以容器安全為例，企業(yè)需要一個可集成至DevOps流程，又不會拖慢軟件開發(fā)的方案。目前國內(nèi)外有一些安全廠商已經(jīng)在這方面做出卓越成績，例如青藤容器安全解決方案，就可以提供對容器鏡像掃描、入侵檢測和合規(guī)基線實施情況等產(chǎn)品服務，化解容器所帶來的安全挑戰(zhàn)。這是一個以應用為中心、輕量級、保障容器靜態(tài)資源及運行時安全的分布式解決方案，能夠針對應用漏洞、不安全配置、入侵攻擊、網(wǎng)絡行為，并結合安全策略，提供覆蓋容器全生命周期的、持續(xù)性安全防護。
【責任編輯：未麗燕 TEL：（010）68476606】