本次訪談中，CNCF 生態(tài)系統(tǒng)負責人 Taylor Dolezal 為架構師提供了十條關于如何駕馭 Kubernetes 及其生態(tài)系統(tǒng)的建議。
譯自10 Tips for Kubernetes Architects on K8s' 10th Birthday，作者 Raghavan Srinivas。
我們與云原生計算基金會（CNCF）生態(tài)系統(tǒng)負責人Taylor Dolezal交談，討論了正在慶祝其十周年的 Kubernetes。
他曾在 HashiCorp 擔任高級開發(fā)者布道師，并在華特迪士尼工作室擔任站點可靠性工程師。他實際上是通過創(chuàng)立自己的軟件解決方案公司 Pixelmachinist 開始自己的 IT 職業(yè)生涯的，該公司專注于克利夫蘭地區(qū)的企業(yè)。
在猶他州鹽湖城舉行的北美 KubeCon + CloudNativeCon 2024 大會之前，我采訪了他。此次活動將于 11 月 12 日至 14 日舉行。從在舊金山舉行的第一次 Kubecon 大會上的不起眼開端，到 2018 年在西雅圖舉行的爆滿活動，此次活動仍然在平臺維護者、開發(fā)人員和架構師中很受歡迎。
與會者可以從 1937 篇提交的論文中選擇 218 個會議、主題演講、閃電演講和小組討論，其中有 87 個由 CNCF 項目維護者主持的會議，面向各行各業(yè)和各種技能水平的技術人員。與會者還可以在周二參加 40 多個 CNCF 項目閃電演講。
在本次采訪中，Dolezal談到了 Kubernetes，并為架構師提供了十大技巧，以幫助他們駕馭該平臺和生態(tài)系統(tǒng)。他談到了 Kubernetes 社區(qū)的成功，該社區(qū)成功地統(tǒng)一了基礎設施，以及如何利用這些“經驗教訓”來幫助開發(fā)人員和架構師。
在深入探討十大技巧之前，您能否先介紹一下自己，并簡要介紹一下您最初接觸 Kubernetes 的經歷？
我與 Kubernetes 的旅程始于 2016 年，當時我在華特迪士尼工作室工作。當時我們正在進行大規(guī)模的云遷移，Kubernetes 成為管理我們不斷增長的容器化工作負載的有前景的解決方案。
當時，Kubernetes 仍處于早期階段，采用它感覺就像踏入未知領域。我們面臨著許多挑戰(zhàn)，從理解核心概念到弄清楚如何將云原生原則集成到我們現(xiàn)有的系統(tǒng)中。這種在大型企業(yè)環(huán)境中實施 Kubernetes 的實踐經驗非常寶貴。它加深了我對技術的理解，并讓我了解了成功采用所需的有組織和文化轉變。
隨著我更多地參與 Kubernetes 社區(qū)，為各種項目做出貢獻并參與 KubeCon 活動，我看到了更廣泛的云原生生態(tài)系統(tǒng)的巨大潛力。我對社區(qū)的關注使我擔任了我在 CNCF 的當前職位，在那里我致力于促進最終用戶、供應商和 CNCF 項目之間的合作。
我的背景涵蓋了 Kubernetes 的實踐實施方面和社區(qū)建設方面。這種雙重視角對于理解企業(yè)的不斷變化的需求以及生態(tài)系統(tǒng)如何適應這些需求至關重要。見證并促成 Kubernetes 從一項有前景的技術發(fā)展到容器編排標準的過程，令人著迷。
Kubernetes 架構師應關注哪些關鍵安全注意事項，以確保安全合規(guī)的集群環(huán)境？
Kubernetes 安全需要一種全面主動的方法。根據(jù)我與眾多組織的經驗，一些關鍵領域需要關注：
- 身份和訪問管理是基礎。組織應實施比基本 RBAC 更精細的訪問控制，可能采用零信任模型。最小權限原則應指導所有訪問決策。
- 保護應用程序生命周期至關重要。此安全措施包括強化 CI/CD 管道、實施徹底的鏡像掃描和簽名流程以及維護安全的容器注冊表。目標是確保環(huán)境中每個組件的完整性，而不僅僅是檢測漏洞。
- 網絡安全需要仔細考慮。雖然 Kubernetes 網絡策略提供了基礎，但許多組織采用更高級的解決方案來對服務間通信和默認加密進行細粒度控制。 數(shù)據(jù)保護對于靜態(tài)數(shù)據(jù)和傳輸中數(shù)據(jù)都至關重要。此保護涉及加密以及對密鑰和敏感配置數(shù)據(jù)的仔細管理。
持續(xù)的安全監(jiān)控和審計至關重要。組織應實施全面的日志記錄和警報系統(tǒng)，定期進行安全審計，并做好事件響應準備。
Kubernetes安全是一個持續(xù)的過程，而不是一次性的設置。它需要將基礎設施視為代碼，并在整個開發(fā)生命周期中融入安全實踐。
社區(qū)參與在Kubernetes安全中發(fā)揮著至關重要的作用。Linux基金會的研究強調了社區(qū)主導的倡議如何應對安全挑戰(zhàn)。我們通過為項目貢獻力量、分享經驗和參與社區(qū)小組，共同增強整個生態(tài)系統(tǒng)的安全性。
成功的組織將安全集成到其流程中，并專注于構建彈性、自愈的環(huán)境，這些環(huán)境能夠實時檢測和響應威脅，而不是追求“不可攻破”的系統(tǒng)。
Kubernetes架構師如何優(yōu)化大型部署中的資源利用率并降低成本？
Kubernetes中的資源優(yōu)化是一個持續(xù)的過程，需要一種戰(zhàn)略性方法，尤其是在大型部署中。這關乎在性能、成本效率和可擴展性之間取得正確的平衡。
利用Kubernetes原生工具，如水平Pod自動縮放器和垂直Pod自動縮放器，是一個良好的起點。這些工具有助于根據(jù)實際使用模式動態(tài)調整資源。為所有容器實施適當?shù)馁Y源請求和限制對于防止爭用和確保公平分配至關重要。
在云環(huán)境中，利用節(jié)點自動縮放可以幫助使容量與需求相匹配，從而優(yōu)化成本?？紤]對非關鍵工作負載使用搶占式實例或搶占式虛擬機以進一步降低支出。實施Pod中斷預算可確保在這些擴展事件期間的高可用性。
可見性對于優(yōu)化至關重要。使用kube-state-metrics和Prometheus等工具進行詳細的資源監(jiān)控。定期審計以清理未使用的資源，例如孤立卷或未使用的負載均衡器，可以隨著時間的推移帶來可觀的成本節(jié)省。
采用FinOps原則可以幫助協(xié)調財務和運營目標，為持續(xù)優(yōu)化提供框架。OpenCost等工具提供了對Kubernetes支出的寶貴見解，幫助團隊做出有關資源分配的明智決策。
請記住，有效的資源優(yōu)化是一個迭代過程。它需要持續(xù)的監(jiān)控、分析和調整，以確保您的云原生環(huán)境在您的應用程序和基礎設施發(fā)展時保持高效和經濟有效。
在Kubernetes環(huán)境中實施和管理可觀測性（日志記錄、監(jiān)控和跟蹤）的最佳實踐是什么？
Kubernetes環(huán)境中的可觀測性對于維護系統(tǒng)健康、性能和安全至關重要。根據(jù)我與各個組織合作的經驗，我建議關注以下關鍵領域：
首先，采用結合日志記錄、監(jiān)控和跟蹤的綜合方法。這些組件中的每一個都提供了獨特的見解：
日志記錄捕獲詳細的事件數(shù)據(jù)，這對于調試和審計跟蹤至關重要。使用標準格式在所有應用程序和基礎設施組件中實施集中式日志記錄策略。這種方法有助于更容易地搜索和分析。
監(jiān)控跟蹤系統(tǒng)的健康狀況和性能。專注于收集基礎設施和特定于應用程序的指標（如CPU和內存使用率）。根據(jù)這些指標設置警報以主動解決問題。
分布式跟蹤有助于了解請求在微服務中的流程。此功能對于處理大型環(huán)境中的復雜分布式系統(tǒng)至關重要。
其次，擁抱“可觀測性即代碼”的概念。使用聲明性清單定義您的可觀測性配置，并與您的應用程序代碼一起管理它們。此做法確保一致性并允許對您的可觀測性設置進行版本控制。
第三，考慮Kubernetes環(huán)境的獨特挑戰(zhàn)。容器編排的動態(tài)特性意味著傳統(tǒng)靜態(tài)監(jiān)控方法通常需要修改。實施能夠自動發(fā)現(xiàn)和監(jiān)控新服務的解決方案，因為它們會啟動。 第四，關注有意義的可執(zhí)行指標。在復雜的系統(tǒng)中，很容易被數(shù)據(jù)淹沒。與開發(fā)和運維團隊緊密合作，確定最關鍵的系統(tǒng)健康和性能指標。
最后，培養(yǎng)一種重視可觀測性的文化。鼓勵開發(fā)人員正確地為其代碼添加監(jiān)控工具，并在設計階段考慮可觀測性。這種主動的方法從長遠來看會帶來更易于管理和更具彈性的系統(tǒng)。
記住，有效的可觀測性不是收集更多數(shù)據(jù)，而是獲得可執(zhí)行的見解。目標是快速理解和解決問題，預測潛在問題，并持續(xù)改進系統(tǒng)性能和可靠性。
架構師可以遵循哪些技巧來確保 Kubernetes 集群的高可用性 (HA) 和災難恢復 (DR)？
關于 Kubernetes 的高可用性和災難恢復，超越基礎設施本身的思考至關重要。雖然強大的集群設置很重要，但真正的彈性來自于一個整體的方法，它考慮了您的應用程序、數(shù)據(jù)和團隊流程。
故障通常以意想不到的方式出現(xiàn)。我見過這種情況，一個配置完美的混合云設置由于關鍵應用程序組件不可用而無法提供幫助。從基礎設施到應用程序層，查看您的整個堆棧至關重要。
一個經常被忽視的方面是數(shù)據(jù)。在災難情況下，只有當您的數(shù)據(jù)可用或一致時，您的應用程序才能正常運行，這對有狀態(tài)應用程序來說可能具有挑戰(zhàn)性。考慮您的數(shù)據(jù)如何移動以及它存儲在哪里。
另一個關鍵因素是您團隊的準備情況。我發(fā)現(xiàn)定期進行災難模擬非常寶貴。它們可以幫助您發(fā)現(xiàn)技術設置和團隊響應流程中的差距。令人驚訝的是，這些練習經常會發(fā)現(xiàn)您團隊只需幾個沖刺就能解決的意想不到的問題。
在 HA/DR 場景中，自動化是您的朋友，但它是一把雙刃劍。雖然它可以加快恢復速度，但實施不當?shù)淖詣踊部赡芗觿栴}。平衡是關鍵。
最后，請記住 HA/DR 策略中的人為因素。清晰的溝通渠道和明確定義的角色在響應事件時可以產生巨大的影響?；靵y和缺乏清晰度會給您的響應團隊帶來巨大的問題，因為他們試圖使服務或平臺恢復到穩(wěn)定狀態(tài)。
Kubernetes 架構師如何簡化持續(xù)集成和持續(xù)交付 (CI/CD) 管道以提高交付效率？
簡化 Kubernetes 部署的 CI/CD 管道可以實現(xiàn)高效、可靠的軟件交付。我與各個組織的經驗揭示了幾種非常有效的策略。
GitOps 原則在 Kubernetes 環(huán)境中產生了顯著的好處。Git 倉庫是應用程序代碼和基礎設施配置的單一事實來源，從而實現(xiàn)一致、可審計和可重復的部署。這種方法與 Kubernetes 的聲明式特性相符，簡化了回滾和環(huán)境一致性。
利用云原生概念可以提高 CI/CD 效率。用于環(huán)境隔離的命名空間、用于資源管理的標簽和注釋以及用于零停機部署的滾動更新功能有助于簡化 Kubernetes 原生工作流程。
基礎設施測試通常被低估，但至關重要。在部署前驗證 Kubernetes 清單和策略可以盡早發(fā)現(xiàn)潛在問題，從而節(jié)省大量時間和資源。這種實踐補充了傳統(tǒng)的單元和集成測試，提供了一種更全面的質量保證方法。
金絲雀部署或特性標志等漸進式交付技術支持受控的推出。這些方法允許團隊密切監(jiān)控更改的影響，并在出現(xiàn)問題時快速回滾，從而降低生產環(huán)境中的風險。
自動化超越了基本的構建和部署流程。將安全掃描、依賴項更新和合規(guī)性檢查集成到管道中，可以確保一致性，并使團隊能夠專注于更高價值的活動。
Kubernetes 中的密鑰管理需要仔細考慮。實施安全、動態(tài)的解決方案來存儲和輪換敏感信息（如 API 密鑰和密碼）對于維護強大的安全態(tài)勢至關重要。
當為其 CI/CD 管道實施可觀測性時，團隊會受益。捕獲管道的全面日志、監(jiān)控和跟蹤有助于提供關鍵的可見性，從而能夠快速識別和解決管道問題。 高性能組織將其 CI/CD 管道視為值得持續(xù)改進和投資的對象。這種思維方式推動了部署速度、可靠性和安全性方面的持續(xù)改進，從而跟上不斷變化的業(yè)務需求和功能添加。
Kubernetes 架構師在跨集群擴展服務時應牢記哪些高級網絡注意事項？
隨著組織跨集群擴展服務，Kubernetes 中的網絡可能會變得越來越復雜。多集群服務發(fā)現(xiàn)帶來了巨大的挑戰(zhàn)。強大的服務網格可以在跨集群提供統(tǒng)一的服務發(fā)現(xiàn)機制，從而實現(xiàn)無縫通信和負載均衡。這種方法需要仔細設計以管理增加的延遲和潛在的故障點。
跨集群邊界的網絡策略實施需要復雜的解決方案。雖然 Kubernetes 網絡策略在集群內部運行良好，但將這些策略擴展到跨集群通常需要額外的工具或自定義模式。解決這一挑戰(zhàn)對于維護整個基礎設施中一致的安全態(tài)勢至關重要。
邊緣路由和流量管理在多集群設置中也變得越來越復雜。實施智能邊緣路由以根據(jù)延遲、負載或數(shù)據(jù)駐留要求等因素將流量定向到最合適的集群變得至關重要，這通常涉及將 Kubernetes 網絡與更廣泛的網絡基礎設施和 CDN 集成。
跨地理分布式集群的性能優(yōu)化帶來了獨特的挑戰(zhàn)。拓撲感知路由和智能客戶端負載均衡等技術可以通過減少集群間流量和延遲來顯著提高應用程序性能。
跨集群的 DNS 管理需要仔細考慮。實施了解多集群拓撲的全局 DNS 解決方案可以顯著簡化服務發(fā)現(xiàn)并提高可靠性。為網絡流量實施分布式跟蹤和集中式日志記錄有助于對跨集群通信進行故障排除和優(yōu)化。
這些考慮強調了 Kubernetes 架構師需要超越單集群網絡范例進行思考的必要性。成功的實施通常需要與網絡工程團隊密切合作，并深入了解 Kubernetes 網絡原理和更廣泛的企業(yè)網絡概念。
Kubernetes 架構師如何有效地管理 Kubernetes 生態(tài)系統(tǒng)中的有狀態(tài)應用程序和持久性存儲？
我看到出現(xiàn)的一種模式是使用自定義控制器來處理特定的數(shù)據(jù)庫或有狀態(tài)應用程序。這些控制器可以自動化許多以前需要手動干預的復雜操作，例如擴展、備份，甚至某些災難恢復方面。
持久性存儲解決方案也取得了長足的進步。容器存儲接口(CSI) 是一項至關重要的發(fā)展，它提供了一種標準化的方法來將存儲系統(tǒng)與 Kubernetes 集成。這為組織使用最適合其需求的存儲解決方案（無論是在本地還是在云中）開辟了無限可能。
但是，需要注意的是，在 Kubernetes 中管理有狀態(tài)應用程序仍然是一項復雜的任務。它需要仔細的規(guī)劃，并且通常需要專門的知識。我看到團隊通過將其有狀態(tài)服務視為 Kubernetes 戰(zhàn)略中的一等公民而取得成功，他們投入時間了解每個應用程序的具體要求，并相應地設計其基礎設施。
我學到的關鍵教訓是，Kubernetes 中的有狀態(tài)應用程序沒有一刀切的解決方案。成功來自于對應用程序需求和所選存儲解決方案功能的深入了解。這是在利用 Kubernetes 的編排能力和尊重有狀態(tài)工作負載的獨特特性之間取得正確平衡的問題。
Kubernetes 架構師應該使用哪些策略來管理跨不同云提供商或本地環(huán)境的多個集群？
管理跨不同環(huán)境的多個 Kubernetes 集群讓我想起了我在迪士尼工作室工作的那段時間，當時我們面臨著在 350 多個應用程序之間協(xié)調工作負載的挑戰(zhàn)。這段經歷讓我學習到了關于多集群管理復雜性的寶貴經驗。
關鍵的見解在于，成功不在于將每個集群視為一個孤立的實體，而在于制定一個統(tǒng)一的策略，承認它們的獨特特性。在管理跨不同環(huán)境的集群時，標準化變得至關重要——不僅是在您部署工作負載的方式上，而且是在您處理治理、安全性和操作的方式上。
通過我與CNCF最終用戶項目的合作，我觀察到組織如何應對這一挑戰(zhàn)。最成功的組織首先建立明確的界限。他們根據(jù)數(shù)據(jù)主權、延遲要求和成本優(yōu)化等因素確定哪些工作負載屬于哪個位置。
一種特別有效的模式是將您的多集群策略視為一種產品。清晰的路線圖、對開發(fā)和運維團隊需求的深入了解以及基于反饋的持續(xù)迭代，共同創(chuàng)建了一個平臺，使團隊能夠部署和管理應用程序，無論其位置如何。
多集群環(huán)境中的安全性和合規(guī)性需要特別注意。每個云或本地環(huán)境都有安全考慮和合規(guī)性要求。挑戰(zhàn)在于在尊重這些差異的同時保持一致的安全策略。
我看到的最有趣的進展來自那些擁抱自動化部署及其整個集群生命周期的組織。他們自動化從初始集群配置到持續(xù)維護和最終退役的所有工作。這種方法有助于保持一致性并減少管理多個集群的運營負擔。
多集群管理需要平臺、安全和應用程序團隊之間的緊密協(xié)作。當組織的技術選擇與運營能力和業(yè)務目標相符時，它們就會表現(xiàn)出色。
Kubernetes架構師應該如何解決與集群生命周期管理和版本升級相關的問題？
集群生命周期管理代表了Kubernetes生態(tài)系統(tǒng)中更細致的挑戰(zhàn)之一。跟上Kubernetes版本的發(fā)布以及企業(yè)環(huán)境的復雜性，需要仔細考慮升級策略。
發(fā)布周期影響堆棧的每一層——從核心基礎設施到應用程序工作負載。成功的升級策略考慮到了這種連鎖反應。開發(fā)團隊調整他們的應用程序，運營人員學習新的功能和棄用功能，安全團隊評估對安全模型的更改。
Kubernetes增強提案(KEPs) 體現(xiàn)了這種管理變更的結構化方法。Kubernetes中的每個重要功能添加或修改都遵循此過程，為架構師提供對即將發(fā)生的更改的清晰可見性。KEPs詳細說明了技術規(guī)范、動機、設計約束以及對整個生態(tài)系統(tǒng)的潛在影響。這種透明度允許架構師主動規(guī)劃未來的升級并了解特定更改背后的原因。 發(fā)布規(guī)劃需要在進度和穩(wěn)定性之間取得平衡。跳過太多版本會導致技術債務和安全漏洞，而過于頻繁地升級可能會使團隊不堪重負并帶來不必要的風險。了解這種動態(tài)有助于架構師設計可持續(xù)的升級策略。
溝通成為成功升級的基石。技術團隊需要遷移路徑，管理層需要風險評估和時間表，應用程序團隊需要了解對其工作負載的潛在影響。清晰的溝通渠道和明確的流程有助于協(xié)調這些復雜的更改。
有效的集群生命周期管理將升級從戲劇性事件轉變?yōu)槌Ｒ?guī)操作。這種轉變是通過測試環(huán)境、務實的自動化以及對特定環(huán)境的要求和約束的透徹理解來實現(xiàn)的。
維護完善的文檔、一致且協(xié)作的Kubernetes基礎設施的最佳技巧是什么？
Kubernetes中的文檔不僅僅是捕獲技術規(guī)范。根據(jù)我與SIG Docs合作的經驗，我經歷了與他們描述的基礎設施一起發(fā)展的成功的文檔策略。
有效的文檔靠近代碼。架構決策、權衡和未來的考慮為團隊提供了維護和發(fā)展其基礎設施的關鍵上下文。這種實踐幫助團隊了解當前狀態(tài)和歷史背景。
團隊可能會低估標準化在文檔中的重要性。運行手冊、架構決策記錄和操作程序的一致結構可以加快入門速度，并在事件發(fā)生期間減少精神壓力。這種標準化在管理多個集群或跨云提供商工作時尤其有利。
基礎設施文檔應該講述一個故事。與其說是孤立的wiki頁面或分散的README，不如說是充分的文檔指導讀者了解系統(tǒng)的演變。當遇到基礎設施中不熟悉的部分時，團隊應該了解其工作原理、存在原因以及解決的問題。 跨團隊協(xié)作依賴于共享理解。定期的架構評審、事故回顧和技術討論會產生寶貴的見解。記錄這些討論和決策有助于團隊建立集體知識，避免重蹈覆轍。
特性標志、API 版本和棄用策略需要清晰的文檔記錄。這些元素直接影響應用程序團隊，需要仔細溝通。通過維護這些更改的全面記錄，架構師可以幫助團隊順利過渡并有效規(guī)劃未來的更新。
Kubernetes路線圖。CNCF的格局極其復雜。面向架構師和開發(fā)人員的未來1-2年的速查表？
云原生生態(tài)系統(tǒng)的優(yōu)勢在于其解決不同技術需求的有組織方法。架構師不必試圖理解每一個項目，而應關注與其特定挑戰(zhàn)相關的類別：
- 應用定義和開發(fā)包含用于構建云原生應用程序的工具和框架。這包括數(shù)據(jù)庫、流平臺、應用程序定義以及構成現(xiàn)代應用程序開發(fā)主干的持續(xù)集成/交付工具。
- 可觀測性和分析工具提供對系統(tǒng)行為的洞察，幫助團隊了解其生產環(huán)境中的應用程序。此類別包括監(jiān)控、日志記錄、跟蹤和混沌工程工具，這些工具支持可靠的運營。
- 編排和管理側重于調度、擴展和維護容器化工作負載。除了容器編排之外，這還包括服務網格、API 網關和服務發(fā)現(xiàn)——這些是管理分布式系統(tǒng)的關鍵組件。
- 資源供應涵蓋部署和維護云原生基礎設施所需的工具，包括自動化、安全、密鑰管理和鏡像構建。這些工具幫助團隊在不同的平臺上建立一致、安全的環(huán)境。
- 運行時代表基礎——容器運行時、存儲和網絡組件，這些組件使云原生基礎設施成為可能。了解您的運行時需求有助于為所有其他類別中的決策提供信息。
CNCF技術監(jiān)督委員會 (TOC) 和最終用戶技術咨詢委員會 (TAB) 分別通過技術咨詢小組 (TAG) 和用戶組提供指導。這些社區(qū)提供直接獲取專業(yè)知識和實際經驗的機會，幫助團隊在每個類別中瀏覽選項。
每個組織的云原生旅程都不同。了解這些類別有助于團隊更多地討論他們的需求和挑戰(zhàn)。參與相關的社區(qū)小組可以提供寶貴的見解和學習機會，讓您探索適合您環(huán)境的解決方案。
