Kubernetes 1.6新增主要功能介绍

Kubernetes 1.6版已经发布一段时间了,在k8s1.6中新增包含Beta版本的RBAC机制,让集群管理员可以针对特定使用者、服务账号,进行更精确的资源访问控制。除此之外,新版本更让丛集规模从2,000个,扩大至5,000个节点,比前一版多了2.5倍

先前Kubernetes在新版规画中,就预告了1.6版将新增角色访问控制机制(Role-Based Access,RBAC),引起众人高度期待这个可以让容器丛集管理更进一步的功能。果不其然, Kubernetes 1.6版中,如期推出了RBAC机制Beta版本,让集群管理员可以针对特定使用者或服务账号的角色,进行更精确的资源访问控制。除此之外,新版本可支持的集群规模从2,000个节点,扩大至5,000个,可支持的Pod总数量也提高到15万个。

第一特色:扩大集群规模,加强集群联邦功能

在此版本中,Kubernets总共新增了5大特色。Kubernetes早在半年前就开始采用CoreOS的组态管理、服务探查工具etcd,这次改版更将Kubernetes底层架构预设改成etcd v3版本,因此可支持的集群规模也扩大至5,000个节点,可支持的Pod规模也增加到15万个(Pod是由多个容器组合的一个容器包)。

Google表示,若需要规模超过5,000个集群,或是服务靠跨多个数据中心或多云架构,新版本还加强了集群联邦(Federation)功能,用户得以组合不同区域的Kubernetes集群,而系统会确保跨区的集群的环境部署的一致性。

Kubernetes在1.5版中就推出的命令程序接口Kubefed仍处于Beta版,不过增加了更多本地端功能,例如开发者可以利用Kubefed指令,系统可自动完成丛集的DNS组态设定。

第二特色:靠角色访问控制机制加强安全

过去,Kubernetes是透过节点本地端的配置文件来设定权限,使用ABAC(Attribute-Based Access Control)模式,例如可透过配置设定不同账号所能存取的API权限。

但在新版中,则新增了角色访问控制机制,可以直接用API来取得不同账号的权限管理政策,来控制使用者账号或服务,可将系统资源指派给特定命名空间,让所属账号来存取。

对于想要将Kubernetes升级至1.6版本的企业,在系统权限控管转换时,Google提出了两种解法。第一种作是让ABAC、RBAC机制并行使用。Google举例,系统会先透过RBAC authorizer处理API请求。如果RBAC authorizer并未核准,接着ABAC authorizer则会接手。

第三特色:储存动态分配

1.6版现在内建了常用云端储存服务对象,包括 AWS、Azure、GCP、OpenStack和VMware vSphere的储存空间,都不需要在手动配置就能使用。这也意味着,当有对象删除释出储存空间时,就可以用程序自动闲置的外部储存资源指派给新的Pod,来实现动态储存分配的效果。

另外,Google表示,现在Kubernetes中的持久磁盘(Persistent Volume)子系统也提供两组API资源,让用户、系统管理员了解储存资源的使用现况。这两组API分别是PVC(PersistentVolumeClaim)以及PV(PersistentVolume)对象,让储存可以摆脱各异质环境所制定的相异规则,使Pod可以横跨不同的云端、本地端环境运作。此外,Google表示,结合StorageClass对象及动态建置磁盘(Dynamic Volume Provisioning)功能,企业不需要先前准备建置作业,就可随需建立、删除储存对象。

在新版本中,StorageClass也预设支持AWS、Azure、GCP、OpenStack以及VMware vSphere等环境,「使用者不需手动设置StorageClass对象。」Google表示。

第四特色:强化使用者对Pod的控制

新版本中,Kubernetes也加强使用者对Pod的控制程度,像是指定每个Pod一个节点标签(Node Label),藉此限制Pod只能在特定节点、丛集中运行,目前此功能也处于Beta阶段。

而节点标签所能完成的设定不仅只是如此,开发者也能自己调整,指定特定的主机名、硬件架构、操作系统版本等参数。

除了限制Pod在特定节点上运作,开发者也可以将Pod排除于特定节点上运作。Google举例,企业可藉此限制使用者只能存取部分节点,或是利用节点标签,让Pod在特殊规格的硬件上运作。

 第五特色:更新容器Runtime接口及背景常驻程序

「虽然使用者不见得会直接和容器Runtime、API Server直接互动,但它们是组成Kubernetes的基础组件。」Google表示,在1.6版中负责检查节点组态是否正确的Kubelet,现在已经支持Docker容器Runtime接口(Container Runtime Interface,CRI),不过此功能目前还处于Beta版。

此外,Kubernetes现阶段也有支持其他的容器Runtime,像是符合开放容器实作标准的Cri-O、以Hypervisor为基础的Frakit,以及CoreOS的rkt。

K8S中文社区微信公众号

评论 抢沙发

登录后评论

立即登录