Container周报第105期：K8s专用OS释出测试版了，而kubectl老漏洞没修好又爆新风险

6/20~6/26精选Container新闻

＃Talos、#ARM
K8s丛集专用操作系统Talos释出测试版了，超级精简连SSH功能都移除

Talos操作系统不是一个通用型的操作系统，而是一款专门用来部署Kubernetes的操作系统，最近终于开源释出了测试版，带修正臭虫后就会释出1.0。Talos是一个API架构的Kubernetes专用操作系统，虽然也是Linux系列的操作系统，但是移除了大量执行K8s时不需要的功能来简化操作系统的执行负载，特别是从机器角度来考虑功能的精简，而不是人如何管理的角度，因此甚至还移除了Console功能、SSH、Telnet功能等维运人员惯用的机制。这个版本还可以支援ARM处理器，因此可用于边缘运算设备或低功耗环境。Talos类似CoreOS、RancherOS或Linuxkit都是容器操作系统，但Talos更为精简。

＃容器安全、#Kubernetes工具
kubectl工具老漏洞没修好，cp复制指令出包恐让骇客偷换恶意程式进系统

K8s管理者爱用的命令列工具kubectl又出包了，一年前曾发现了一个路径浏览漏洞（path traversal），编号CVE-2019-1002101，kubectl的复制机制也就是cp指令有漏洞，当从Pod复制档案到用户端机器时，可以趁机换掉用户端环境中其他目录中的档案，恐让骇客用来偷偷植入恶意程式。尽管当时Kubernetes和OpenShfit已经释出了修补程式，但最近K8s产品团队发现，这个修补程式却造成了另一个漏洞，但这次是发生在一种内有symlinks连结的tar压缩档案，同样会导致路径浏览漏洞的出现（CVE-2019-11246），目前也释出更新。

#Istio、#服务网格
SAP跨云整合工具Kyma释出1.2新版，整合新版Istio来强化串接外部服务网格的安全

Kyma是传统企业商软巨头SAP开源释出的跨云整合工具，可以让企业内部的K8s应用，更容易和云端服务串接。Kyma采取事件导向架构设计，三大元件包括了应用程序连结器，可提供安全连线，也可监控和追踪内部应用和外部服务的呼叫情况，第二个Serverless元件，可让外部系统也能透过API呼叫内部应用。第三项功能则是服务目录，可串接公有云业者的云端服务或部署在上面的应用。新释出的1.2版中，让应用程序连结器元件改用Istio来取原有的Ingress Gateway，可用来强化与外部服务网格（Service Mesh）的连线安全性。

#Istio、#服务网格
VMware买下云端容器应用派送平台，继续跨大混合云布局

今年VMware接连并购，尤其锁定混合云架构和容器应用市场的布局，最新一起并购是宣布买下了可提供跨云容器应用派送的新创公司Avi Networks，预计在VMware第二个财季也就是8月时完成并购案。Avi Networks主要产品是可以提供AP跨云自动化派送，可支援AWS、Azure和GCP三大公云，私有云则可支援VMware和OpenStack。特别的是，Avi Networks另一个主力产品是容器应用的管理功能Universal Service Mesh，透过开源的服务网格平台Istio，同时可管理微服务架构上的传统应用程序和容器化应用，也可调度和管理Kubernetes和红帽OpenShift上的容器应用。这两大特性都是VMware今年持续强化的重点，混合云和容器应用层管理。

#容器持续部署、#IoT部署
DevOps工具商JFrog企业版正式推出自家自动化部署引擎了

专攻IoT应用领域的DevOps工具商JFrog最近宣布自家企业版多了一项CI/CD自动化工具JFrog
JFrog今年2并购的Shippable，现在终于整合到自家产品线中，成为一个集中式的CI/CD部署服务，可用来调度从开发建置到正式上线的所有自动化部署任务。JFrog的DevOps工具不只可以部署原始程式码，可支援如Docker容器映像档、npm套件应用等，尤其可以透过互联网来部署远端IoT装置上的程式，甚至最近还推出了可远端持续部署自驾车系统的CI/CD工具。

#K8s App、#Prometheus
云端供应商Platform9推新型K8s托管服务，直接托管常用K8s应用

云端供应商Platform9推出不一样的K8s托管服务，不是提供Kubernetes代管平台，而是直接提供特定应用软件的K8s托管服务，称为Kubernetes Managed App服务（K8s应用托管服务）。目前可提供3种应用，包括Prometheus托管服务、EFK托管服务（也就是Elastic、Kibana和Fluentd三者一组的套装应用）和MySQL的K8s托管服务。Platform9表示，可以提供到99.9％的SLA服务水准。

#深度学习、#容器部署
Google推深度学习容器，用户能在本地和云端建立一致的开发环境

Google推出深度学习专用的容器测试版，这是一个预先打包的容器，经过效能最佳化以及相容性测试，供开发者开箱即用，深度学习容器内含资料科学常用的工具包含Python 3环境，以及GPU用的Nvidia堆叠。深度学习容器提供多种版本，Google也为硬件最佳化了内含的TensorFlow，能用户在GPU进行训练，也可以在CPU上部署。深度学习容器可以自由地部署在GKE、AI Platform、Cloud Run、Compute Engine，甚至是Docker Swarm上。目前在深度学习容器初始版本，提供了TensorFlow 1.13、TensorFlow 2.0、PyTorch和R语言容器，Google接下来会补齐所有深度学习虚拟机器有提供的类型。

#版本控管、#JupyterHub
GitLab 12.0大改版，强化审核体验以及相依项目管理

GitLab新版12.0有两大特色，分别是视觉审核（Visual Reviews）以及相依项目列表。视觉审核透过自动搜集元资料，可以让用户快速提供高品质合并请求回馈，而相依项目列表，则会统一列出所有专案元件的相依项目，以方便进行漏洞管理。GitLab使用Kubernetes部署JupyterHub，以提供Jupyter Notebooks功能，让用户可以创建并共享包含即时程式码以及视觉化图形的文件，12.0版强化了与JupyterHub整合，，JupyterHub安装到Kubernetes丛集的时候，会自动进行JupyterLab的Git扩充套件的配置，可以提供用户完整的Notebooks版本控制，并能发送Git命令。

#GKE、#授权验证
GKE应用程序存取其他云端服务的验证新方法

为了解决GKE应用程序连接到其他GCP服务，现行授权验证方法存在的安全问题，Google为GKE用户推出Workload Identity功能，透过建立Kubernetes服务账户和Cloud IAM服务账户之间的关联，用户能够定义工作负载的身份，不需要管理Kubernetes机密资讯或是IAM账户金钥，GKE应用程序就能自动地存取其他云端服务。Workload Identity除了可以实施最小权限原则，让所有工作负载仅具有需要的对低权限，当发生安全问题时，也能限制受到影响的范围。

责任编辑／王宏仁

更多Container动态

• Knative释出0.7.0版，释出序列API来强化事件功能
• K8s管理者认证CKA现在可以提供3年认证了
• 蚂蚁金服加入CNCF基金会成为金级会员

＠资料来源：iThome整理，2019年6月