Container周报第57期：CNCF七大容器应用设计原则出炉，IBM将推裸机K8s服务

重点新闻：03/17~03/23

IBM宣布推出第一个裸机Kubernetes服务

就在IBM年度Think大会前，IBM云端平台技术长Jason McGeey在官网上宣布，旗下云端容器服务增加了裸机Kubernetes服务（bare metal Kubernetes ），这也是业界第一个Kubernetes裸机服务。
Jason McGeey解释，直接在硬件裸机上部署Kubernetes的好处，除了可以提供更高的效能来执行容器之外，还可以确保容器只在单一机器上执行，而不是在与他人共享的环境中执行，可以有更高的安全性。
此外，裸机部署Kubernetes，Jason McGeey补充，需要使用GPU来执行大量运算的容器应用程序，可以直接存取GPU硬件，来获得更高的效能。更多内容

CNCF基金会发布容器化应用设计准则

近日CNCF基金会在官网上揭露了7个容器应用的设计准则，涵盖了部建阶段和runtime上的设计准则。CNCF建议，在部建阶段（Build time），要以“单一考虑点”（Single Concern）、“自我容器化”（Self-Containment）和“映像档永久持续性”(Image Immutability)来设计。

而在Runtime阶段中，CNCF则建议，要考虑“高度可视化”（High Observability）、“生命周期一致性”（Lifecycle Conformance）、“执行可取代性”（Process Disposability）、“Runtime管制”（Runtime Confinement）来限制容器资源的使用。
红帽也免费释出了这个云端原生应用程序的设计白皮书，进一步说明这些容器化应用设计准则的细节。更多内容

快速复制Kubernetes部署有新工具，Google释出Skaffold

开发者经常要建立不同或类似的执行环境副本，以供测试与开发之用。为了方便开发者重制Kubernetes上的执行环境配置，Google近日在官网上，宣布释出了Skaffold工具。这是一个命令列的工具，可以用来提供Kubernetes应用的持续部署（Continuous Development）之用。
开发者可以利用Skaffold来搭配本地端程式码的迭代开发流程，来进行本地端或远地端Kubernetes丛集的测试与验证。
因为Skaffold不需要在服务器端增加新的元件，因此可以减少对Kubernetes的负担。另外也可以自动侦测程式码的变动，并自动进行建置、发布或延后发布。另外，也具备了映像档标签管理机制，可以不用担心Kubernetes设定档的标签更新。另外也支援现有的工具和工作流程，支援多种工作流程，也可支援多重应用程序的元件，来进行持续部署。更多内容

K8s出现两个重大资安漏洞，免授权能存取或删除任意档案或目录

Kubernetes产品资安团队近日发现了两个Kubernetes漏洞，分别列为CVE-2017-1002101和CVE-2017-1002102。目前已经释出修补。
第一个漏洞1002101会让容器在使用子路径的挂载时，可以存取到任何路径的权限，甚至是不应开放存取的系统核心目录。
第二个漏洞1002102则让容器可以透过加密、配置对应、保护或空间DownwardAPI来删除任意档案或目录，甚至是执行中节点的档案也能删除。这两个漏洞都恐造成Kubernetes很高的风险。CNCF基金会成员包括Google、红帽也紧急抢修这两个漏洞，已经释出三个更新版本。影响版本包括Kubernetes 1.7.14, 1.8.9和1.9.4。红帽也为了修补这两个漏洞，预告OpenShift服务将会暂时停机一小段时间。更多内容

微软开源释出微服务平台Service Fabric

微软近日于官方开发者部落格上公布即将开源释出微服务平台Service Fabric的消息，将会在Github上，透过MIT软件授权条款开源释出，微软更预计在接下来几个月内，将该微服务平台转为开源专案，让开发社群共同参与开发。
微软表示，该微服务平台是Azure的核心基础架构，已经在微软内部使用多年，协助管理上百台服务器，也支援了多个服务的底层技术，像是商用版Skype、Azure Event Hubs、Azure Data Factory、Azure Cosmos DB、Azure SQL Database等，甚至是Dynamics 365和Cortana。
未来，微软的Service Fabric团队目标是将该微服务平台的开发流程，转移到Github上，制定出明确的管理和贡献引导，让开发社群一同参与开发。另外一个目标则是要完成Windows和Linux版本的CI工作，完善环境建置、测试、部署等功能。更多内容

Vagrant释出2.0.3版，终于可侦测既有Hyper-V来避免冲突当机

容器开发者常用的本机端VM模拟工具Vagrant最近释出了2.0.3版，除了多项错误修补和效能强化之外，最重要的是提高与Hyper-V的相容性。
透过Vagrant，开发者可于本机端模拟其他的操作系统、组态及网络环境，甚至也可以实验云端主机的运作，但过去Vagrant要来开启Hyper-V虚拟机器时，有时会和已经启用的Hyper-V虚拟机器发生冲突而当机，现在2.0.3新增加了Hyper-V启用状态的侦测机制，可以减少发生资源冲突而让容器化应用当机的情况。另外新版也强化了对Debian作业系上网络管理机制上对用户配置的支援。更多内容

受NPM启发，.NET Core 2.1预览版新增Global Tools全域工具

微软在.NET Core 2.1中释出全域工具（Global Tools）预览版，这个不少开发者引颈期盼的功能。全域工具可以让开发者将.NET Core控制台应用程序打包成NuGet套件，发布到Nuget.org或是任何NuGet套件服务器，并供其他开发者安装使用，其作用就和NPM全域工具相似。
只要可以安装.NET Core的地方，就能使用全域工具，目前支援Windows、macOS与Linux。全域工具因为是控制台应用程序，因此其打包与取用的方式就像是NuGet套件，而在预设的情况下，这些工具是相依于框架，包括所有NuGet的依赖项目，因此全域工具能在任何操作系统及芯片上执行。更多内容

责任编辑／王宏仁

更多Container产品动态

• 红帽旗下开源网站推荐3个K8s安全部署
• 小心配置错误酿大货，资安专家示范靠kubelet入侵K8s丛集
• Jenkins X释出Kubernetes的CI/CD工具
• 快速部署新工具gitkube登场，一次git push就能快速部署Docker映像档
• CNCF宣布接手代管GO语言开发的NATS讯息发布平台专案