Container周報第57期：CNCF七大容器應用設計原則出爐，IBM將推裸機K8s服務

重點新聞：03/17~03/23

IBM宣布推出第一個裸機Kubernetes服務

就在IBM年度Think大會前，IBM雲端平臺技術長Jason McGeey在官網上宣布，旗下雲端容器服務增加了裸機Kubernetes服務（bare metal Kubernetes ），這也是業界第一個Kubernetes裸機服務。
Jason McGeey解釋，直接在硬體裸機上部署Kubernetes的好處，除了可以提供更高的效能來執行容器之外，還可以確保容器只在單一機器上執行，而不是在與他人共享的環境中執行，可以有更高的安全性。
此外，裸機部署Kubernetes，Jason McGeey補充，需要使用GPU來執行大量運算的容器應用程式，可以直接存取GPU硬體，來獲得更高的效能。更多內容

CNCF基金會發布容器化應用設計準則

近日CNCF基金會在官網上揭露了7個容器應用的設計準則，涵蓋了部建階段和runtime上的設計準則。CNCF建議，在部建階段（Build time），要以「單一考慮點」（Single Concern）、「自我容器化」（Self-Containment）和「映像檔永久持續性」(Image Immutability)來設計。

而在Runtime階段中，CNCF則建議，要考慮「高度可視化」（High Observability）、「生命周期一致性」（Lifecycle Conformance）、「執行可取代性」（Process Disposability）、「Runtime管制」（Runtime Confinement）來限制容器資源的使用。
紅帽也免費釋出了這個雲端原生應用程式的設計白皮書，進一步說明這些容器化應用設計準則的細節。更多內容

快速複製Kubernetes部署有新工具，Google釋出Skaffold

開發者經常要建立不同或類似的執行環境副本，以供測試與開發之用。為了方便開發者重製Kubernetes上的執行環境配置，Google近日在官網上，宣布釋出了Skaffold工具。這是一個命令列的工具，可以用來提供Kubernetes應用的持續部署（Continuous Development）之用。
開發者可以利用Skaffold來搭配本地端程式碼的迭代開發流程，來進行本地端或遠地端Kubernetes叢集的測試與驗證。
因為Skaffold不需要在伺服器端增加新的元件，因此可以減少對Kubernetes的負擔。另外也可以自動偵測程式碼的變動，並自動進行建置、發布或延後發布。另外，也具備了映像檔標籤管理機制，可以不用擔心Kubernetes設定檔的標籤更新。另外也支援現有的工具和工作流程，支援多種工作流程，也可支援多重應用程式的元件，來進行持續部署。更多內容

K8s出現兩個重大資安漏洞，免授權能存取或刪除任意檔案或目錄

Kubernetes產品資安團隊近日發現了兩個Kubernetes漏洞，分別列為CVE-2017-1002101和CVE-2017-1002102。目前已經釋出修補。
第一個漏洞1002101會讓容器在使用子路徑的掛載時，可以存取到任何路徑的權限，甚至是不應開放存取的系統核心目錄。
第二個漏洞1002102則讓容器可以透過加密、配置對應、保護或空間DownwardAPI來刪除任意檔案或目錄，甚至是執行中節點的檔案也能刪除。這兩個漏洞都恐造成Kubernetes很高的風險。CNCF基金會成員包括Google、紅帽也緊急搶修這兩個漏洞，已經釋出三個更新版本。影響版本包括Kubernetes 1.7.14, 1.8.9和1.9.4。紅帽也為了修補這兩個漏洞，預告OpenShift服務將會暫時停機一小段時間。更多內容

微軟開源釋出微服務平臺Service Fabric

微軟近日於官方開發者部落格上公布即將開源釋出微服務平臺Service Fabric的消息，將會在Github上，透過MIT軟體授權條款開源釋出，微軟更預計在接下來幾個月內，將該微服務平臺轉為開源專案，讓開發社群共同參與開發。
微軟表示，該微服務平臺是Azure的核心基礎架構，已經在微軟內部使用多年，協助管理上百臺伺服器，也支援了多個服務的底層技術，像是商用版Skype、Azure Event Hubs、Azure Data Factory、Azure Cosmos DB、Azure SQL Database等，甚至是Dynamics 365和Cortana。
未來，微軟的Service Fabric團隊目標是將該微服務平臺的開發流程，轉移到Github上，制定出明確的管理和貢獻引導，讓開發社群一同參與開發。另外一個目標則是要完成Windows和Linux版本的CI工作，完善環境建置、測試、部署等功能。更多內容

Vagrant釋出2.0.3版，終於可偵測既有Hyper-V來避免衝突當機

容器開發者常用的本機端VM模擬工具Vagrant最近釋出了2.0.3版，除了多項錯誤修補和效能強化之外，最重要的是提高與Hyper-V的相容性。
透過Vagrant，開發者可於本機端模擬其他的作業系統、組態及網路環境，甚至也可以實驗雲端主機的運作，但過去Vagrant要來開啟Hyper-V虛擬機器時，有時會和已經啟用的Hyper-V虛擬機器發生衝突而當機，現在2.0.3新增加了Hyper-V啟用狀態的偵測機制，可以減少發生資源衝突而讓容器化應用當機的情況。另外新版也強化了對Debian作業系上網路管理機制上對用戶配置的支援。更多內容

受NPM啟發，.NET Core 2.1預覽版新增Global Tools全域工具

微軟在.NET Core 2.1中釋出全域工具（Global Tools）預覽版，這個不少開發者引頸期盼的功能。全域工具可以讓開發者將.NET Core控制臺應用程式打包成NuGet套件，發布到Nuget.org或是任何NuGet套件伺服器，並供其他開發者安裝使用，其作用就和NPM全域工具相似。
只要可以安裝.NET Core的地方，就能使用全域工具，目前支援Windows、macOS與Linux。全域工具因為是控制臺應用程式，因此其打包與取用的方式就像是NuGet套件，而在預設的情況下，這些工具是相依於框架，包括所有NuGet的依賴項目，因此全域工具能在任何作業系統及晶片上執行。更多內容

責任編輯／王宏仁