文档章节

云原生生态周报 Vol. 14 | K8s CVE 修复指南

阿里巴巴云原生
 阿里巴巴云原生
发布于 08/13 10:17
字数 1970
阅读 2
收藏 0

业界要闻

  1. Mesosphere 公司正式更名为 D2IQ, 关注云原生。

Mesosophere 公司日前发布官方声明正式更名为:D2iQ(Day-Two-I-Q),称关注点转向 Kubernetes 与云原生领域, 并会继续将“Mesosphere”作为产品技术和品牌的一部分。

  1. Kubernetes 两个安全漏洞修复指南。

2.1  Kubernetes API server 曝出安全漏洞(CVE-2019-11247),该漏洞使得指定了命名空间权限的请求可以访问到集群级别权限的自定义资源(CR),漏洞产生的主要原因在于 CRD 的服务 API 没有检查请求的命名空间范围(namespaceScope)。

  • 漏洞涉及的版本包括:  Kubernetes 1.7.x-1.12.x; Kubernetes 1.13.0-1.13.8; Kubernetes 1.14.0-1.14.4; Kubernetes 1.15.0-1.15.1;
  • 漏洞的具体影响:对于只被授权某个具体 namespace 自定义资源的用户,他将可以访问集群级别的自定义资源;
  • 处理漏洞的方案:根治的方案是升级到修复了该漏洞的版本,如 1.14.51.15.2 等,除了升级 Kubernetes 版本,还可以把一些在 namespace 里授权了集群级别资源的规则先清理掉,比如一个 namespace 下的 RBCA roles,不要用这种方式授权 resources:[*] , apiGroups:[*] ,也不要授权集群级别的CRD。

2.2  kubectl cp  第三次曝出安全漏洞 (CVE-2019-11249),这次的漏洞是可能有潜在攻击者构造恶意容器,导致使用者在使用 kubectl cp 命令式本地文件被影响,是一个影响客户端侧的漏洞。

  • 漏洞涉及的版本包括: Kubernetes 1.0.x-1.12.x ; Kubernetes 1.13.0-1.13.8 ; Kubernetes 1.14.0-1.14.4 ; Kubernetes 1.15.0-1.15.1;
  • 漏洞的具体影响:攻击者使用 kubectl cp 可能覆盖指定路径以外的文件;
  • 处理漏洞的临时方案:升级客户端工具 kubectl 到最新版本,或者对不可信的 workloads 先不使用 kubectl cp 命令。
  1. 思科容器平台支持微软 AKS、google 开始引导客户迁移到 anthos、CloudBees 正式推出 Jenkins X 发行版。

相关资料 思科容器平台支持微软 AKSgoogle 开始引导客户迁移到 anthosCloudBees 正式推出 Jenkins X 发行版

  1. CNCF 宣布 Kubernetes 峰会首尔和悉尼:向全世界传播 Kubernetes 和云计算。

CNCF 宣布将于今年 12 月 9 日至 10 日在韩国首尔、 12 月 12 日至 13 日在澳大利亚悉尼,首次举办Kubernetes峰会,以便更好的向全世界传播 Kubernetes 和云计算。现在在每年三场 KubeCon + CloudNativeCon 的基础上,开发者、用户、厂商有更多的机会可以在一起面对面的交流合作、学习进步。两个城市在一个星期连续举办的两个活动,有助于国际演讲者和赞助商的影响力提高。 https://mp.weixin.qq.com/s/Xo2BKXfDD36qk3l0VrGEAQ

上游重要进展

Kubernetes 项目

  1. admission webhook 的 admissionreview 类型包从 v1beta 变为 v1  ;

 https://github.com/kubernetes/kubernetes/pull/80231

  1. 修复 kubectl cp 的 CVE PR:
  1. 修复越过 namespace 权限访问 cluster 级别 CRD 的 CVE PR:

Knative 项目

8 月 6 日,knative 发布了 0.8 版本,主要聚焦在功能完善方面,目前 Knative Eventing/Servering 的功能日渐成熟。Knative Serving 0.8 主要增加了以下功能:

  • Target Burst Capacity (TBC) 支持,用于避免突发流量在 queue-proxy 里排队;
  • 减少 Readiness 健康检查需要的时间;
  • Route/Service 的 ready 状态能代表可以访问了。

Knative Eventing 0.8 主要增加了以下功能:

  • 新增 Choice CRD 资源,用来定义 function 执行流程。通过 Choice, 可以根据条件来选择 function 进行事件处理,具备 func 的编排能力。

更详细的解读请阅读文章 "Knative Serving 0.8 变更" 和 "全面解读 Knative Eventing 0.8 版本新特性"。

开源项目推荐

  1. flux 基于 gitops 的持续发布(CD)项目

以 Kubernetes 为底座,主打无状态应用的发布,提供丰富的发布策略。

  1. [gubernator] (https://github.com/mailgun/gubernator)

高性能分布式限速微服务项目,类似的这种项目之前都是加一个 redis 之类的缓存实现的,而该项目主打没有外部软件依赖。 https://www.infoq.cn/article/jgZzDBD4IQ*6wHHrpZhv

  1. [TiDB operator 1.0 GA]( https://github.com/pingcap/tidb-operator

该项目是数据库类型的 workload 如何做 operator 的一个参考,文章指出目前已经可以在阿里的 ACK 等云厂商服务上快速体验。 https://pingcap.com/blog/database-cluster-deployment-and-management-made-easy-with-kubernetes/

本周阅读推荐

  1. 《云原生时代, Kubernetes 多集群架构初探》

该文章从早几年的多集群技术开始,描述了其架构存在的问题,讲到如今云原生时代多集群的架构,以及如何面向多集群做应用管理,多集群技术演变史娓娓道来。

  1. 《复杂性会成为 Kubernetes 的“致命伤”吗?》 (https://www.infoq.cn/article/ZK6i*P9ye0NCGHSZQpNO)

近日,外媒 InfoWorld 发表了一篇题为“ Will complexity kill Kubernetes? (复杂性会杀死 Kubernetes 吗?)”的文章,指出了 Kubernetes 本身过于复杂的事实,并分析了这种复杂性与 Hadoop 是否雷同,以及 Kubernetes 最终会不会重蹈 Hadoop 的覆辙。针对上述问题,InfoQ 第一时间对阿里巴巴高级技术专家张磊进行了独家采访,共同探讨 Kubernetes 背后的复杂性问题。

  1. 《Helm deployments》 (https://kubedex.com/helm-deployments/)

关于应用部署,文章对各种利用 helm charts 或者类似工具进行了对比,描述了 helm 2 存在的问题,以及其他一系列工具围绕云原生应用管理做了哪些工作,很有借鉴意义。

  1. 《CNCF 开源了 k8s 核心组件的[安全审计报告] 》(https://thenewstack.io/cncf-open-sources-security-audit-of-core-kubernetes-components)

方便用户查看 k8s 核心组件的安全审计情况,重要的漏洞基本都以 CVE 的形式呈现,该审计报告主要在各种用户不合理的使用姿势上给出安全警示。

  1. Serverless 系列一:基本概念入门

探讨 Serverless 定义、场景及对云原生时代的应用架构的思考。

  1. 运行在 Istio 之上的 Apache Kafka——基准测试 》—— by Balint Molnar,马若飞 译

本文是一篇 Kafka 的基准测试分析报告,作者详细介绍了测试的环境和配置选择,并在单集群、多集群、多云、混合云等各种场景下进行了 A/B 测试和性能分析,评估了 Istio 的引入对性能的影响情况。

  1. 构建云原生微服务网关-篇一:Ambassador 》—— by 陆培尔

在微服务架构中,API 网关是一个十分重要的存在。一方面它为外部的流量访问提供了统一的入口,使得可以方便的进行防火墙的策略实施;另一方面,可以在网关处进行流量控制、认证、授权、灰度发布、日志收集、性能分析等各种高级功能,使得业务功能与非业务功能有效解耦,给予了系统架构更大的灵活性。本系列文章尝试分析目前主流的云原生微服务网关,并比较它们各自的优劣。

  1. Istio 庖丁解牛六:多集群网格应用场景》—— by 钟华

利用 Istio 多集群能力实现「异地容灾」和「地域感知负载均衡」。


了解 ACK 容器服务,请查看:https://www.aliyun.com/product/kubernetes

本周报由阿里巴巴容器平台联合蚂蚁金服共同发布

本文作者:天元、元毅、心水 、张磊、进超<br />责任编辑:木环

© 著作权归作者所有

阿里巴巴云原生
粉丝 4
博文 46
码字总数 115247
作品 0
杭州
私信 提问
数人云 Meetup | K8S GeekGathering 2017 上海站

重新定义PaaS市场?! 国际开源巨头畅谈K8S产品演进 打造金融云平台?! 亚洲商业银行讲述云原生迁移之旅 Kubernetes+Mesos生产案例?! 国内最具代表性企业解说容器集群管理 混合云下一个战...

数人云
2017/08/28
32
0
数人云 Meetup | K8S GeekGathering 2017 上海站

重新定义PaaS市场?! 国际开源巨头畅谈K8S产品演进 打造金融云平台?! 亚洲商业银行讲述云原生迁移之旅 Kubernetes+Mesos生产案例?! 国内最具代表性企业解说容器集群管理 混合云下一个战...

数人云
2017/08/28
63
0
Rancher 2.2.5 发布,支持 K8S 1.15

Rancher 2.2.5 发布了。Rancher 是一个开源的企业级 Kubernetes 平台,可以管理所有云上、所有发行版、所有 Kubernetes集群,解决了生产环境中企业用户可能面临的基础设施不同的困境,改善 ...

oschina
07/17
1K
2
云原生生态周报 Vol. 10 | 数据库能否运行在 K8s 当中?

业界要闻 IBM 以总价 340 亿美元完成里程碑意义的红帽收购:这是这家拥有107年历史的公司史上规模最大的一笔收购,该收购金额在整个科技行业的并购史上也能排到前三。在当天公布的声明中,I...

木环
07/15
0
0
Kubernetes峰会首日直击 | 软件基础设施支撑云原生应用

导读 奥斯汀时间12月6日9点,北京时间12月6日23点,KubeCon+CloudNativeCon在美国奥斯汀会展中心隆重召开。本次盛会吸引了4000余位技术从业者到场关注,国内外主流厂商包括阿里云、AWS、Azu...

lq1ns259ej3okyvk4jf
2017/12/07
0
0

没有更多内容

加载失败,请刷新页面

加载更多

计算机实现原理专题--二进制减法器(二)

在计算机实现原理专题--二进制减法器(一)中说明了基本原理,现准备说明如何来实现。 首先第一步255-b运算相当于对b进行按位取反,因此可将8个非门组成如下图的形式: 由于每次做减法时,我...

FAT_mt
今天
5
0
好程序员大数据学习路线分享函数+map映射+元祖

好程序员大数据学习路线分享函数+map映射+元祖,大数据各个平台上的语言实现 hadoop 由java实现,2003年至今,三大块:数据处理,数据存储,数据计算 存储: hbase --> 数据成表 处理: hive --> 数...

好程序员官方
今天
7
0
tabel 中含有复选框的列 数据理解

1、el-ui中实现某一列为复选框 实现多选非常简单: 手动添加一个el-table-column,设type属性为selction即可; 2、@selection-change事件:选项发生勾选状态变化时触发该事件 <el-table @sel...

everthing
今天
6
0
【技术分享】TestFlight测试的流程文档

上架基本需求资料 1、苹果开发者账号(如还没账号先申请-苹果开发者账号申请教程) 2、开发好的APP 通过本篇教程,可以学习到ios证书申请和打包ipa上传到appstoreconnect.apple.com进行TestF...

qtb999
今天
10
0
再见 Spring Boot 1.X,Spring Boot 2.X 走向舞台中心

2019年8月6日,Spring 官方在其博客宣布,Spring Boot 1.x 停止维护,Spring Boot 1.x 生命周期正式结束。 其实早在2018年7月30号,Spring 官方就已经在博客进行过预告,Spring Boot 1.X 将维...

Java技术剑
今天
18
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部