KubeCon 2019 北美会议完美落幕| 云原生生态周报 Vol. 29

原创

GrumpyAmber 2019-11-28 17:28:44 ©著作权

文章标签 云原生 Kubernetes 文章分类 Docker 云计算

©著作权归作者所有：来自51CTO博客作者GrumpyAmber的原创作品，请联系作者获取转载授权，否则将追究法律责任

作者 | 陈俊、张晓宇、徐迪

业界要闻

KubeCon 2019 北美会议召开

业界最隆重的盛会 KubeCon+CloudNativeCon 今年在圣地亚哥举办，超过 12000 名参会者以及 100 多个云原生供应商出席了这次大会。本次大会中阿里巴巴经济体共有 8 个 Topic 亮相。

上游重要进展

1.Kubernetes 拟加入对 Cgroup v2 的支持

Kubernetes 的 Kubelet 和 Scheduler 拟加入对 Cgroup v2 的支持。 Cgroup v2 的一个大的特性是可以用非 root 用户操作做资源限制。该 KEP 的实现和下文的《使用非 root 权限模式运行 Kubernetes 组件》KEP 息息相关。

2.使用非 root 权限模式运行 Kubernetes 组件

目前有众多的厂商尝试使用非 root 的模式去运行 kubelet 组件和 CRI/OCI/CNI，但是因为一些接口需要使用 root 的权限不能实现。此 KEP 着重去改善 kubelet、kube-proxy 对于这方面的限制，同时 CRI/OCI/CNI 也有相关的工作去推进可以使用非 root 模式运行。

3.提供 Immutable 模式的 ConfigMap/Secret(s)

建议使用 Immutable 的 ConfigMap/Secret 有两个原因：

一是 Pod 使用 ConfigMap/Secret 的模式一般是通过 Volume Mounts 的方式，而 Kubelet 会通过 Watch/Poll 的方式去获取 ConfigMap/Secret 更新，同时同步更新到 Pod 的挂载文件，这种 Pod 能够快速、无感地获取到 ConfigMap/Secret 更新。但这种更新是一把双刃剑，一次错误的更新 ConfigMap/Secret 可能会导致 Pod 加载错误配置从而导致所有 Pod 异常。我们更推荐使用 Rolling Update 的方式，创建一个新的 ConfigMap/Secret 同时创建新的 Pod 去引用新的 ConfigMap/Secret。
第二个是在大规模集群内，Kubelet 过多的 Watch/Poll 大量的 ConfigMap/Secret 会给 API Server 造成巨大的压力（尽管我们在这个 PR 中为每个 Watch 请求降低了一个 Goruntine 的消耗）。而使用了 Immutable 的 ConfigMap/Secret，Kubelet 就不会为他们建立 Watch/Poll 请求。