读书笔记-云原生应用初探

一、源起

最早在大学时代使用VMware安装Ubuntu学习Linux，12年实习使用kvm虚拟机搭建测试环境，14-15年那会儿docker有点火，开始基于docker搭建测试环境。使用体验是VMware安装挺复杂的，启动Ubuntu也很慢，操作很卡(可能那会儿电脑也差)。而docker使用体验非常好，mysql,redis,zookeeper,memcahce等这些开发环境能够快速搭建，使用docker desktop管理很方便。

二、初探

1、虚拟机 VS Docker

虚拟机：在硬件层面实现虚拟化， 需要有额外的虚拟机管理应用和虚拟机操作系统层。

虚拟机简易原理图

docker：在操作系统层面上实现虚拟化， 直接复用本地主机的操作系统，更加轻量级。

docker简易原理图

以上是自己使用时简单体验，引用网上规范对比(请自行了解鉴别)：

1. Docker启动快速属于秒级别。虚拟机通常需要几分钟去启动。
2. Docker需要的资源更少，Docker在操作系统级别进行虚拟化，Docker容器和内核交互，几乎没有性能损耗，性能优于通过Hypervisor层与内核层的虚拟化。
3. Docker更轻量，Docker的架构可以共用一个内核与共享应用程序库，所占内存极小。同样的硬件环境，Docker运行的镜像数远多于虚拟机数量。对系统的利用率非常高。
4. 与虚拟机相比，Docker隔离性更弱，Docker属于进程之间的隔离，虚拟机可实现系统级别隔离。
5. 安全性：Docker的安全性也更弱。Docker的租户root和宿主机root等同，一旦容器内的用户从普通用户权限提升为root权限，它就直接具备了宿主机的root权限，进而可进行无限制的操作。虚拟机租户root权限和宿主机的root虚拟机权限是分离的，并且虚拟机利用如Intel的VT-d和VT-x的ring-1硬件隔离技术，这种隔离技术可以防止虚拟机突破和彼此交互，而容器至今还没有任何形式的硬件隔离，这使得容器容易受到攻击。
6. 可管理性：Docker的集中化管理工具还不算成熟。各种虚拟化技术都有成熟的管理工具，例如VMware vCenter提供完备的虚拟机管理能力。
7. 高可用和可恢复性：Docker对业务的高可用支持是通过快速重新部署实现的。虚拟化具备负载均衡、高可用、容错、迁移和数据保护等经过生产实践检验的成熟保障机制，VMware可承诺虚拟机99.999%高可用，保证业务连续性。
8. 快速创建、删除：虚拟化创建是分钟级别的，Docker容器创建是秒级别的，Docker的快速迭代性，决定了无论是开发、测试、部署都可以节约大量时间。
9. 交付、部署：虚拟机可以通过镜像实现环境交付的一致性，但镜像分发无法体系化；Docker在Dockerfile中记录了容器构建过程，可在集群中实现快速分发和快速部署。

PS:如果对隔离性、安全性要求较高，依然会首选虚拟机。

2、Docker 和 K8S

概念

1. Docker是最早的成熟的一种容器运行时(一种虚拟化隔离形式)
2. kubernetes是做容器编排的，pod是它调度最小单位，表示"容器集"

k8s出现背景

docker用于测试时简单方便，但运用到线上时，编排、管理、调度、安全等各个方面，尤其容器非常多时，非常困难。

k8s对多种容器运行时提供基本的部署，维护以及应用伸缩等能力。docker作为容器运行时鼻祖，一开始k8s主动提供dockershim来兼容docker，不过维护成本比较高，需要不断兼容docker。近年来在CNCF基金会大力支持下，k8s发展迅猛，有了定义容器运行时标准的需求和资格，新版本已经废弃dockershim，将docker和其他容器运行时一视同仁。目前主流容器运行时有：

• docker
• CRI-O：Container Runtime Interface(容器运行时接口)+OCI open container initiative(开放容器倡议)
• rkt
• kata containerd

k8s主要功能简介

1. 数据卷

pod中容器之间共享数据，可以使用数据卷

2. 应用程序健康检查

容器内服务可能进程阻塞无法处理请求，可以设置监控检查策略保证应用健壮性

3. 复制应用程序实例

控制器维护着pod副本数量，保证一个pod或一组同类的pod数量始终可用

4. 弹性伸缩

根据设定的指标(cpu利用率)自动缩放pod副本数

5. 服务发现

使用环境变量或者DNS插件保证容器中程序发现pod入口访问地址

6. 负载均衡

一组pod副本分配一个私有的集群IP地址，负载均衡转发请求到后端容器。在集群内部其他pod可通过这个clusterIP访问应用

7. 滚动更新

更新服务不中断，一次更新一个pod，而不是同时删除整个服务

8. 服务编排

通过文件描述部署服务，使得应用程序部署变得更高效

9. 资源监控

node节点组件集成cAdvisor资源收集工具，可通过Heapster汇总整个集群节点资源数据，然后存储到InfluxDb时序数据库，再由Grafana展示

10.提供认证和授权

支持角色访问控制(RBAC)认证授权等策略

k8s入门

k8s中文社区

3、OpenStack VS Kubernetes

两者都是目前主流云计算平台框架，在摩尔定律逐渐失效的情况下，发展必然越来越好。简单对比两者如下：

OpenStack(KVM)
虚拟化优点:隔离性强，所有的虚拟机都有自己的协议栈，各个虚拟机底层相互隔离。
虚拟化缺点：资源占用多，虚拟化技术本身占用资源，宿主机性能有10%左右的消耗。

Kubernetes(Docker)
容器优点：启动快，资源占用小，移植性好。
容器缺点：隔离性不好，共用宿主机的内核，底层能够访问。依赖宿主机内核所以容器的系统选择有限制。

OpenStack VS Kubernetes 谁是云计算平台王者？

4、云原生和云原生应用

概念

• 云原生：基于“云”的架构设计和开发模式理念。
• 云原生应用：天然适合云特点的应用，不依赖操作系统等基础设施或某个云平台。应用从开始就设计为运行在云中，无论私有云或公有云(云中互相迁移)；其次，该应用必须满足水平扩展(多节点部署)
• 传统云三层概念：

三层云架构

IaaS：比如服务器，AWS的EC2,S3，阿里云的ECS。(使用CPU、内存、显存、网络等)

PaaS：比如Tomcat加MySQL。(使用操作系统、中间件、数据库、运行库、软件应用)

SaaS：比如三千块一套的加个Logo就能开业的电商网站。(登录即可使用)

5、实践现状

目前公司有3个产品，但都不是天然的云原生应用(不可以跨云部署)

1. 基于docker的测试环境(逐渐废弃)
2. 基于k8s+docker的devOps流水线产品(CI/CD测试环境)
3. 基于k8s+docker的线上发布平台

运维掌握k8s技术，业务部门想要k8s能力，需和k8s团队配合。我们推荐部门的机器学习平台，希望在海外架设(aws)，如果把它改造成天然的云原生应用(它依赖的组件也云原生化，比如mysql,zookeeper)，那么就可以实现天然跨云部署，那是最完美的，也是后续优化方向。