Container周報第138期：德國鐵路公司擁抱GitOps關鍵大公開，OCI容器映像檔分散規格1.0出爐

4/16~5/16 精選容器新聞

#GitOps #德國鐵路
德國鐵路公司如何擁抱GitOps，靠單一K8s命名空間結合自動化工具來實現維運免手動

德國鐵路集團旗下DB Systel公司是德鐵集團的IT團隊，負責所有全集團數位轉型和IT戰略。最近在KubeCon歐洲場研討會中，DB Systel雲端首席架構師Schlomo Schapiro首度公開了德鐵集團擁抱GitOps，讓IT戰略更高度自動化的經驗。他強調，走向GitOps是DevOps實踐中自然演化的結果。

為了數位轉型，許多企業將流程自動化列入IT的重要戰略之一，例如想要建立更多標準化流程、減少不必要流程、減少維運和變動的成本、擁抱雲端運算，全面都自動化等。他坦言，但要做到這些目標，實務上有很多挑戰，因為IT需求暴增，所有流程都要整合API、IT複雜的成長超過IT人力的成長，更多IT人力投入業務部門的優化（BizDevOps）、但對IT法遵要求卻越來越多，又要求要善用雲端來創新。「不管IT團隊怎麼努力，似乎永遠都無法跟上需求。」他表示。

對IT部門來說，他指出，IT的期待是，聚焦在產品和服務，打造最好的服務，使用最好的工具，更容易實現法遵，和其他團隊沒有相依性而被拖累。「這不是無解難題，必須同時考量組織面和技術面，將所有的問題，都視為自動化挑戰。」他指出。

德鐵IT整合組織框架和技術框架，以人為核心來聚焦6大目標，簡化政策、法遵可接受的作法、工具標準化、法遵自動化預算、政策程式碼化（Policy as Code）以及免手動維運（Hands-Off Operations）。「這其中最關鍵的IT策略就是免手動維運，」他強調。這一項正是德鐵發展GitOps的核心原則。

為何不講維運自動化而要講免手動維運，他強調，因為這不只是技術議題，而且還是組織文化的議題，就像敏捷不只是工具，也要養成文化面的風氣。許多企業發展各種持續整合、派送自動化，「這只是CI維運，需要結合GitOps，進一步來建免手動維運的文化。」

他指出，免手動維運思維包括了正式環境禁止人工介入，不論開發或維運團隊都預設零產品權限（不能插手線上環境），全力發展自動化（法遵治理、更新升級、復原等都自動化）、測試驅動所有事、工具標準化，「GitOps工具就是為了實現免手動維運。」實務上，德鐵利用K8s來執行各種應用，透過單一K8s命名空間，來管理本地端K8s叢集和雲端基礎架構環境，再搭配ArgoCD、Flux第二版來落實GitOps。

#K8s開發 #除錯工具
K8s應用除錯工具Pixi宣布開源，可快速建立效能追蹤機制

知名美國雲端監控服務商New Relic最近宣布開源釋出了一款K8s應用除錯工具Pixi，採Apache 2.0授權。Pixi提供了一套建立應用程式效能追蹤，監測矩陣、網路層資料蒐集的儀表板工具，也定義了一套自動蒐集各種效能數據的基礎設計，可以完全透過腳本程式來存取所蒐集的各種資料。運作架構上，採取叢集內邊緣運算架構，可將遠端監測所需的各種資料儲存在K8s叢集內而不用回傳來避免遭攔截。主要元件包括了叢集內資料蒐集和查詢引擎Vizier，應用程式和用戶管理後臺Pixie Cloud平臺。

#Anthos #跨雲平臺
GCP混合雲平臺Anthos推出1.7版，終於支援Windows容器也可整合跨公雲日誌

日前GCP推出新版混合雲平臺Anthos 1.7版，主要增加了三大特性，第一是雲端日誌機制Cloud Logging可以支援Anthos on AWS，等於監測矩陣可以跨本地端、GCP環境和AWS環境來追蹤了。另一個新特色是終於支援Windows容器，可派送Windows容器到vSphere環境中。Anthos配置管理機制ACM也支援更多種叢集類型，包括EKS 1.19、AKS 1.19、OpenShift 4.5、KIND 0.10和Rancher 1.2.4的叢集。第三項新特色是工作量身分識別機制（Workload Identity）可以支援本地端部署或AWS環境的工作量識別管理了，可以用來確保在不同混合雲環境中執行服務時，能有適當的權限控管。

#GitOps #OpenShift
瞄準開發部署自動化風潮，紅帽OpenShift正式推出CI整合機制和GitOps功能

最近紅帽宣布旗下企業級K8s平臺OpenShift正式推出CI整合機制OpenShift Pipelines，以及用於應用程式部署與配置自動化的OpenShift GitOps功能。OpenShift Pipelines功能使用了開源的持續派送基礎專案Tekton，可自動派送雲端K8s原生應用，到K8s叢集上的POD環境上部署。因此也可以支援可使用Tekton CLI命令列的IDE開發工具，例如Visual Studio Code和IntelliJ的Tekton外掛。而OpenShift GitOps功能則源自另一個CNCF開源專案Argo CD，可建立一個以Git PR指令來驅動的自動化流程，可跨不同K8s叢集來部署和配置應用程式。

#容器交換 #OCI
OCI容器映像檔分散規格1.0正式出爐，跨平臺交換容器映像檔也有標準作法

容器標準推動組織OCI最近正式宣布，容器分散規格OCI Distribution Specification正式釋出1.0版。這是一個源自Docker Registry HTTP API V2的容器映像檔交換協定，用來規範不同容器儲存庫上推和下拉映象檔的方式。
OCI技術監督委員會主席Phil Estes指出，先前定義的runtime規格界定了容器的定義和執行方式，容器映像檔規格定義了封裝的方式，而現在這個分散規格的訂定，有助於建立一個在各種儲存庫和runtimePhil Estes工具間傳遞容器的標準作法。Docker技術長Justin Cormack更直言這是另一個里程碑的重大進展。

#IaaS #Pulumi
基礎設施即程式碼工具Pulumi大改版，3.0也能原生支援Azure和GCP

基礎設施即程式碼工具Pulumi 3.0帶來非常多的功能更新，包括了正式加入Pulumi自動化API，讓開發者可以在應用程式中嵌入Pulumi功能，而且除了AWS，Pulumi也開始原生支援Azure和Google雲端平臺，在語言的支援上，Pulumi試圖整合多語言元件，讓各種語言的套件能夠互通。開發者可透過自動化API將Pulumi功能，嵌入到自己的應用程式中，因此可以不使用命令列工具或是撰寫腳本來操作CI/CD，改用Pulumi部署引擎，更多元的方式控制工作流程。Pulumi自動化API支援多種語言，包括TypeScript/JavaScript、Python、Go以及C#。

#K8s開發 #OpenShift
為簡化K8s開發，紅帽發布OpenShift開發者沙盒

紅帽推出了一款新開發工具稱為OpenShift開發者沙盒，可以在有預配置開發者工具的多租戶叢集中，提供私密的OpenShift環境，由於基礎設施和工具緊密整合，因此能讓開發人員安全地設計和建構新應用程式、添加新服務，還能從程式碼創建容器或Dockerfiles等。沙盒中的預設工具，包括了一組Helm Chart以及紅帽建置映像檔、s2i建置工具以及CodeReady Workspaces。紅帽也更新了一系列工具，這些更新建立在OpenShift GitOps和OpenShift Pipelines之上，因此IT團隊可以利用GitOps工作流程，來配置叢集和交付應用程式，並完全控制開發團隊的交付工作管線、套件和存取控制。

#生命週期管理 #雲端原生應用
雲端生命周期管理系統Airship大進展，2.0新推更方便的命令列新工具

新版Airship 2.0提供了宣告式的命令列工具Airshipctl，讓用戶組合和調度雲端原生建置模組，來供應或是管理Kubernetes，以及其衍生的軟體堆疊。透過直覺且簡單易用的介面，方便地操作其他開源專案，包括Cluster API、Metal Kubed、Kustomize和kubeadm等。Airshipctl可以從版本化的Git存儲庫，以Kubernetes資源檔案的形式，擷取宣告式意圖，並且透過與Kustomize的整合，Airshipctl能將行動（Action）的任意部分，轉出為文件包。新版能支援各種基礎設施後端和作業系統，從Azure、Google等公有雲，到虛擬機器Openstack，甚至是裸機環境。

#GCP #Azure #AWS
GCP容器相關服務的競爭產品是甚麼？一張表快速比較三大雲端容器服務

GCP、AWS和Azure大比對公有雲的容器相關服務越來越多，種類也很雜，不只是純容器服務，有些列在資安服務，有的則屬於無伺服器服務，不同業者對於類似功能的服務，也各有不同的命名，更難比較同樣功能的服務有何差異，最近Google更新了一份與其他兩家公有雲服務競爭對手的產品對照表，雖然這是Google觀點的產品表，意味著會完整列出GCP自家功能，但不一定會列出對手的服務，對手可能也不見得同意GCP的分類，不過，這倒是一份可以一窺GCP自家產品有哪些競爭服務，可供有意採用的企業產品評估之用，Azure也有類似的產品比較表可參考。整體來看，Google與容器應用相關的服務，近來以容器資安和無伺服器應用類型上的新增服務較多，這也是GCP近來的產品發展重點。

#GPU #GKE
GKE現讓多執行個體共享單一GPU

Google更新其Kubernetes服務GKE，提供多執行個體可共用單一Nvidia GPU的功能。Nvidia A100 GPU最多可以劃分成7個執行個體，每個執行個體都有獨立的高頻寬記憶體、快取和運算核心，每個執行個體可以分配給1個容器，每個A100 GPU最多可以分配7個容器，另外，多執行個體GPU間由於採用硬體隔離來增加了安全性，也替所有GPU上執行的容器提供一致且可預測的QoS。

責任編輯：王宏仁

更多容器新聞 

●VMware的Tanzu SQL服務正式新增MySQL，可在K8s環境上大規模部署MySQL
●GKE推出Dataplane第二版新版，可即時顯示GKE或Anthos叢集的網路活動情況
●紅帽執行長Paul Cormier宣布新混合雲戰略，要將OpenShift延伸到邊緣
●HashiCorp成Codecov供應鏈攻擊受災戶，導致加密金鑰外流
●Google函式即服務Cloud Functions開始支援PHP