Container周報第64期：容器監控有視覺化監控地圖新幫手，Google則開源了沙盒容器Runtime gVisor能像VM那樣安全又輕巧

05/06~05/12精選Container新聞

容器監控新幫手，Datadog推視覺化容器監控地圖

在正式環境導入容器的企業，如果想要監控容器基礎架構狀況，除公有雲廠商提供的原廠服務，或自用開源解決方案搭建，都是常見的做法。不過，過去就耕耘雲端應用程式監控的Datadog，近日也釋出了新的監控工具容器地圖（Container Map），讓開發者可以對容器應用程式即時進行監控、除錯。 Datadog表示，這款容器監控地圖以過去的Autodiscovery為基礎，搭配新的視覺化呈現方式，企業可觀察容器基礎架構的整體運作狀況，根據需求，進行分組、過濾，或是進一步檢個別容器。另外也提供相當高彈性、互動式的操作，根據不同的中介資料，使用者可以對基礎架構的容器進行分類，像是服務的類別、提供服務的區域、容器任務角色，「或是任何企業所想要的觀察面向，都可以做為分類的標準。」Datadog舉例，利用每個容器中的標籤，系統可以將基礎架構執行特定Docker映像檔的容器，進行標色。

容器儲存新創StorageOS推出企業級容器持久儲存，Docker、Kubernetes及OpenShift都支援

容器儲存新創StorageOS近日正式推出企業級容器持久儲存解決方案，而儲存方案也原生支援Kubernetes、Docker及OpenShift等環境。目前該平臺所支援的調度工具，共為Docker Swarm及Kubernetes，相容的作業系統則是Ubuntu及RedHat Linux。使用者除了能利用命令程式介面操作外，StorageOS也提供視覺化介面的操作模式。StorageOS主打的就是能支援任何基礎架構，無論企業內部資料中心、VM環境、裸機或是其他公有雲中，都可以讓容器應用、Kubernetes應用建立持久儲存。

OpenFaaS也推出雲端版，結合Git流程自建無伺服器應用更容易了

可用來自建無伺服器平臺的開源OpenFaaS專案作者Jock Reed宣布，進一步推出OpenFaaS Cloud，這是一套利用Docker結合Git工作流程來建立無伺服器雲端服務平臺的軟體。可以將GitHub上的開發專案，透過JSON資料拋轉，就能快速建立和部署一個雲端Function as a Services服務平臺。這套OpenFaaS雲可以支援Docker的Swarm或Kubernetes調度平臺。也可串接到常見CI/CD工具或程式碼代管服務，如GitLab, Travis CI, CircleCI, Flux。目前支援 Go、Node.js、Python、Ruby和C#語言。

Windows Server容器套件有遠端執行漏洞，Windows容器用戶快更新

使用Windows環境執行容器的企業用戶要小心了，近日微軟公開了編號CVE-2018-8115的漏洞。在Windows Server容器套件hcsshim（Host Compute Service Shim）的函式庫中，隱含了遠端程式碼執行漏洞。微軟表示，該漏洞會讓系統無法正確認證使用者上傳的容器映像檔，因此，攻擊者可事先準備特殊設計的容器映像檔，裡頭打包著惡意程式碼。一旦握有系統權限的管理員，不慎將此映像檔上傳至Windows主機，該惡意容器映像檔便可透過此漏洞，對主機發動攻擊。
早在2月時，資安研究員Michael Hanselmann就已經發現該漏洞，並且主動回報至微軟安全性回應中心（MSRC）及Docker。微軟也在5月2日釋出的hcsshim 0.6.10版中修補了漏洞。

從源頭映像檔確保安全，Aqua推免費容器映像檔掃描工具MicroScanner

容器資安新創Aqua在近日釋出了一款免費的映像檔掃描工具MicroScanner。該公司強調，免費版所用漏洞資料庫，與付費商用版相同，「也讓開發者可以得到不錯的掃描成效。」不過相比付費版本，MicroScanner的應用情境較為陽春，僅能在Dockerfile執行建置階段時進行掃描工作。一旦MicroScanner發現映像檔內有高風險漏洞，系統會自動回傳安裝映像檔安裝失敗的訊息，同時，也會將相關資訊，使用JSON格式紀錄，回傳給使用者。藉此，從最初期的建置階段進行把關，企業就能確保映像檔安全無虞。

Google開源沙盒容器Runtime gVisor，與VM一樣安全但更輕巧

為解決容器的安全性問題，Google開源了用Go開發的沙盒容器Runtime gVisor，提供類似虛擬機器般的隔離安全性，但是更為輕巧，不過gVisor只實作Linux系統部分API，因此並非所有應用程式都能夠在gVisor執行，不過常用的Node.js、Java 8、MySQL以及Jenkins等應用程式都不是問題。

Google表示，容器的發明徹底改變了開發、封裝以及部署應用程式的方法，但是其曝露廣泛的系統表面，對於執行一些不受信任或是潛在惡意應用程式存在疑慮。而傳統的Linux容器並非沙盒環境，因為應用程式存取系統資源與非容器化的系統相同，都是直接呼叫主機核心，並以特殊權限執行，與硬體交互執行後將結果回傳給應用程式。

＠上標：甲骨文、GPU
@標題：甲骨文容器引擎再升級，讓Kubernetes可用GPU進行高速運算
＠內文：過去雖不及其他軟體大廠的步調快，但是甲骨文在近年擁抱容器技術、Kubernetes的速度也急起直追。在今年度歐洲舉辦的KubeCon及雲端原生年會中，甲骨文有了重大發布，宣布加強自家的甲骨文容器引擎（Oracle Container Engine），除了整併幾項重要的Kubernetes功能外，也讓該容器引擎能相容自家開源釋出的無伺服器專案Fn。
針對高效能應用，現在甲骨文也支援Kubernetes在Nvidia Tesla GPU上運作，甲骨文表示，在單一裸機實例中，搭配兩個Nvidia Tesla P100執行CUDA程式，運算力可達21 TFLOPS。

阿里雲也推純Kubernetes容器服務上線

阿里雲在去年11月進軍Kubernetes代管服務後，近日再加碼推出新的容器服務無伺服器Kubernetes叢集服務。
目前阿里雲所提供的Kubernetes服務，總共有兩種模式。首先是基本的代管Kubernetes叢集服務。第二種是這次新推的無伺服器Kubernetes服務，強調企業可以快速建立Kubernetes應用，阿里雲表示，在無伺服器Kubernetes的應用情境下，只需要5秒，就能完成Kubernetes叢集建置，再花額外30秒，就能搞定應用程式部署。而新收費制度也更為彈性，根據使用者所使用的CPU、記憶體量，隨需計價。而開發者可以逕行著手開發應用，不需要花費額外成本執行伺服器維運工作。

責任編輯／王宏仁

Azure容器監控服務預覽版釋出，可用來監控Azure Kubernetes服務

Azure Kubernetes服務再升級，靠滑鼠點擊就能建置Kubernetes叢集

＠資料來源：iThome整理，2018年5月