Container周報第136期：這10個帳號映像檔藏挖礦程式千萬不能用，服務網格Linkerd終於推出擴充套件機制

2/26~3/31精選容器新聞

#容器安全 #挖礦軟體
暗藏挖礦軟體的Docker映像檔遭下載2千萬次，這10個帳號的映像檔千萬不能用

安全公司Palo Alto Networks研究人員Aviv Sasson，在Docker Hub上發現的30個惡意容器映像檔，這批問題映像檔主要來自10個帳號，刻意藏有挖礦程式的問題映像檔。總下載次數超過2000萬。其中內含的挖礦軟體九成以上是XMRig，其餘為Xmr-stak。以目標貨幣來看，九成為挖Monero（門羅幣），少部份是Grin（6.5%）及Arionum（3.2%）幣。Sasson檢視這些映像檔標籤，發現有些映像檔針對不同CPU架構或作業系統，使用不同的標籤，顯示攻擊者也企圖對不同受害者OS及CPU架構環境提供「客製化」的映像檔。還有些映像檔包含不同挖礦軟體的標籤，意謂攻擊者可根據用戶硬體，使用最適合的挖礦軟體。

#擴充套件 #服務網格
服務網格Linkerd終於推出擴充套件機制，非必要元件可以自訂安裝

服務網格專案Linkerd最近釋出了2.10新版，最大特色是終於增加了擴充套件系統，預設控制平面只留下必要元件，其他非必要元件改以擴充套件的形式提供，也大幅縮減了整體檔案大小，另外，Linkerd 2.10還強化了跨叢集連接安全性，以及對特定類型流量的處理能力。
新增擴充套件機制後，用戶可以準確選擇要在叢集中，安裝哪一部分的元件，對於已經設置叢集外指標工作管線的用戶特別有用，而對Linkerd開發社群而言，在建置特定的Linkerd運作程式和控制器時，不需要更動核心Linkerd CLI。2.10還新增了不透明連接埠（Opaque Ports），增加Linkerd處理特定類型流量的能力，用戶可以將這些連接標註為不透明連接埠，Linkerd就只會代理這些流量，但是不偵測流量協定。

#開放政策代理 #Kong
第一個整合開放政策代理的服務網格工具來了

Kong釋出最新版本的服務網格Kong Mesh 1.2，這是第一款整合開放政策代理（Open Policy Agent，OPA）的服務網格工具，用戶可以方便地使用高階宣告式語言，以程式碼編寫政策新版，不需要使用額外的OPA代理工具。Kong Mesh更是直接在資料平面流程中嵌入OPA支援，讓用戶能對Kubernetes和虛擬機器應用OPA政策引擎，進而極大程度簡化監控與管理工作。另外，新版也在全域和遠端控制平面提供身份驗證功能，強化多區域服務網格的安全性，並開始原生支援FIPS 140-2。

#K8s #機器學習
Azure Arc混合雲可以執行Azure機器學習服務了

微軟以K8s打造的Azure Arc混合雲產品，除了先前提供的Azure資料服務，現在進一步支援Azure機器學習，可以透過Azure Arc在各種K8s環境上建置、部署和管理Azure機器學習服務。企業使用Azure Arc來訓練AI時，現在不用將自家資料上傳到Azure雲上，現在可以將雲端機器學習服務的訓練放到本地端私有雲來執行。另外，微軟與多個熱門Kubernetes發布版本供應商合作，藉由測試與驗證這些Kubernetes版本，使其能順利支援Azure Arc。包括VMware Tanzu、Nutanix Karbon、紅帽OpenShift、Canonical Charmed Kubernetes和Rancher Kubernetes皆經過測試和驗證，可與Azure Arc穩定整合使用。

#DevOps #YAML
GitLab 13.9增加新的YAML函示，更容易重複使用CI/CD工作管線配置工作

最近GitLab改版，新版繼續增加更多自動化功能，除了強化強化大規模DevSecOps的功能，安全儀表板可以對高優先度警報進行分類，並加入維護模式讓執行個體只能被讀取，另一個好用的更新是新的YAML函示，可以用來加速用戶建置和測試時間。在GitLab 13.9中，用戶可以重用任何工作的CI/CD工作管線配置。過去用戶想要在多個工作中重用配置，需要加入YAML錨點，但這個方法無法跨不同的配置檔案使用，另一個方法則是使用extends，重用整個段落，而現在GitLab加入了新的YAML函式，用戶可以鎖定想要用在CI/CD工作管線的特定配置，即便該配置屬於另外的檔案也沒問題。

責任編輯：王宏仁