一、源起
最早在大学时代使用VMware安装Ubuntu学习Linux,12年实习使用kvm虚拟机搭建测试环境,14-15年那会儿docker有点火,开始基于docker搭建测试环境。使用体验是VMware安装挺复杂的,启动Ubuntu也很慢,操作很卡(可能那会儿电脑也差)。而docker使用体验非常好,mysql,redis,zookeeper,memcahce等这些开发环境能够快速搭建,使用docker desktop管理很方便。
二、初探
1、虚拟机 VS Docker
虚拟机:在硬件层面实现虚拟化, 需要有额外的虚拟机管理应用和虚拟机操作系统层。
![v2-4d97cfd9842507ad3c58e26190093c19_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/ca9b4c3e2b1252cd82c8b2e74778da3e.png)
docker:在操作系统层面上实现虚拟化, 直接复用本地主机的操作系统,更加轻量级。
![v2-4a6e46e8fe17dd59c6bea0be16d1cff3_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/f0233a5186eaeebd735bfc4ebe9ef4a4.png)
以上是自己使用时简单体验,引用网上规范对比(请自行了解鉴别):
- Docker启动快速属于秒级别。虚拟机通常需要几分钟去启动。
- Docker需要的资源更少,Docker在操作系统级别进行虚拟化,Docker容器和内核交互,几乎没有性能损耗,性能优于通过Hypervisor层与内核层的虚拟化。
- Docker更轻量,Docker的架构可以共用一个内核与共享应用程序库,所占内存极小。同样的硬件环境,Docker运行的镜像数远多于虚拟机数量。对系统的利用率非常高。
- 与虚拟机相比,Docker隔离性更弱,Docker属于进程之间的隔离,虚拟机可实现系统级别隔离。
- 安全性:Docker的安全性也更弱。Docker的租户root和宿主机root等同,一旦容器内的用户从普通用户权限提升为root权限,它就直接具备了宿主机的root权限,进而可进行无限制的操作。虚拟机租户root权限和宿主机的root虚拟机权限是分离的,并且虚拟机利用如Intel的VT-d和VT-x的ring-1硬件隔离技术,这种隔离技术可以防止虚拟机突破和彼此交互,而容器至今还没有任何形式的硬件隔离,这使得容器容易受到攻击。
- 可管理性:Docker的集中化管理工具还不算成熟。各种虚拟化技术都有成熟的管理工具,例如VMware vCenter提供完备的虚拟机管理能力。
- 高可用和可恢复性:Docker对业务的高可用支持是通过快速重新部署实现的。虚拟化具备负载均衡、高可用、容错、迁移和数据保护等经过生产实践检验的成熟保障机制,VMware可承诺虚拟机99.999%高可用,保证业务连续性。
- 快速创建、删除:虚拟化创建是分钟级别的,Docker容器创建是秒级别的,Docker的快速迭代性,决定了无论是开发、测试、部署都可以节约大量时间。
- 交付、部署:虚拟机可以通过镜像实现环境交付的一致性,但镜像分发无法体系化;Docker在Dockerfile中记录了容器构建过程,可在集群中实现快速分发和快速部署。
PS:如果对隔离性、安全性要求较高,依然会首选虚拟机。
2、Docker 和 K8S
概念
- Docker是最早的成熟的一种容器运行时(一种虚拟化隔离形式)
- kubernetes是做容器编排的,pod是它调度最小单位,表示"容器集"
k8s出现背景
docker用于测试时简单方便,但运用到线上时,编排、管理、调度、安全等各个方面,尤其容器非常多时,非常困难。
k8s对多种容器运行时提供基本的部署,维护以及应用伸缩等能力。docker作为容器运行时鼻祖,一开始k8s主动提供dockershim来兼容docker,不过维护成本比较高,需要不断兼容docker。近年来在CNCF基金会大力支持下,k8s发展迅猛,有了定义容器运行时标准的需求和资格,新版本已经废弃dockershim,将docker和其他容器运行时一视同仁。目前主流容器运行时有:
- docker
- CRI-O:Container Runtime Interface(容器运行时接口)+OCI open container initiative(开放容器倡议)
- rkt
- kata containerd
k8s主要功能简介
1. 数据卷
pod中容器之间共享数据,可以使用数据卷
2. 应用程序健康检查
容器内服务可能进程阻塞无法处理请求,可以设置监控检查策略保证应用健壮性
3. 复制应用程序实例
控制器维护着pod副本数量,保证一个pod或一组同类的pod数量始终可用
4. 弹性伸缩
根据设定的指标(cpu利用率)自动缩放pod副本数
5. 服务发现
使用环境变量或者DNS插件保证容器中程序发现pod入口访问地址
6. 负载均衡
一组pod副本分配一个私有的集群IP地址,负载均衡转发请求到后端容器。在集群内部其他pod可通过这个clusterIP访问应用
7. 滚动更新
更新服务不中断,一次更新一个pod,而不是同时删除整个服务
8. 服务编排
通过文件描述部署服务,使得应用程序部署变得更高效
9. 资源监控
node节点组件集成cAdvisor资源收集工具,可通过Heapster汇总整个集群节点资源数据,然后存储到InfluxDb时序数据库,再由Grafana展示
10.提供认证和授权
支持角色访问控制(RBAC)认证授权等策略
3、OpenStack VS Kubernetes
两者都是目前主流云计算平台框架,在摩尔定律逐渐失效的情况下,发展必然越来越好。简单对比两者如下:
OpenStack(KVM)
虚拟化优点:隔离性强,所有的虚拟机都有自己的协议栈,各个虚拟机底层相互隔离。
虚拟化缺点:资源占用多,虚拟化技术本身占用资源,宿主机性能有10%左右的消耗。
Kubernetes(Docker)
容器优点:启动快,资源占用小,移植性好。
容器缺点:隔离性不好,共用宿主机的内核,底层能够访问。依赖宿主机内核所以容器的系统选择有限制。
OpenStack VS Kubernetes 谁是云计算平台王者?
4、云原生和云原生应用
概念
- 云原生:基于“云”的架构设计和开发模式理念。
- 云原生应用:天然适合云特点的应用,不依赖操作系统等基础设施或某个云平台。应用从开始就设计为运行在云中,无论私有云或公有云(云中互相迁移);其次,该应用必须满足水平扩展(多节点部署)
- 传统云三层概念:
![v2-8e5db80b9ffb61a478c37b41bad0f61d_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/d4b0513db615115536ccc58d8f8d9c46.jpeg)
IaaS:比如服务器,AWS的EC2,S3,阿里云的ECS。(使用CPU、内存、显存、网络等)
PaaS:比如Tomcat加MySQL。(使用操作系统、中间件、数据库、运行库、软件应用)
SaaS:比如三千块一套的加个Logo就能开业的电商网站。(登录即可使用)
5、实践现状
目前公司有3个产品,但都不是天然的云原生应用(不可以跨云部署)
- 基于docker的测试环境(逐渐废弃)
- 基于k8s+docker的devOps流水线产品(CI/CD测试环境)
- 基于k8s+docker的线上发布平台
运维掌握k8s技术,业务部门想要k8s能力,需和k8s团队配合。我们推荐部门的机器学习平台,希望在海外架设(aws),如果把它改造成天然的云原生应用(它依赖的组件也云原生化,比如mysql,zookeeper),那么就可以实现天然跨云部署,那是最完美的,也是后续优化方向。