企业容器云管理平台选型指南

—— 数字期间下的容器云管理平台 ——

数字期间，市场竞争加剧，业务需求日新月异，敏态 IT 建立被越来越多的企业纳入重点发展规划，以容器、Kubernetes 为核心的云原生是如今敏态 IT 中最热门的技能架构。

CNCF 把云原生分别为多个范畴，包罗底子办法、应用开发与摆设、服务发布与管理、运行时、网络、存储、观测与分析、安全与合规等，每个范畴中都有非常丰富的开源项目。从技能视角来看，云原生建立就是在各范畴中找到可以或许满意自身需求的技能，并组合起来，为我们所用。在这个过程中，我们直面的标题包罗：怎样选择符合的技能？怎样对这一技能组合举行同一管理？怎样调解和优化这些技能以实现高效、稳固的运行？

对此，容器云管理平台的概念应运而生，简朴地说就是提供一系列开箱即用的功能，并围绕 Kubernetes 提供更多的扩展和创新。容器云管理平台是一个中心态的产物，对下可以或许实现集群的生命周期管理，对上可以或许实现对 Kubernetes 上运行的应用的生命周期管理，同时还需具备企业所需的功能，如租户管理、安全管理、用户认证以及权限管理等。

如今，国内有不少厂商专注于这个范畴，提供了很多良好的办理方案，面临琳琅满目标产物，我们该怎样选择？

—— 平台选型 ——

在一样平常与企业客户的互换中我不难们发现，各人在建立云原一生台过程中，讨论最多的就是规划和选型标题。假如把选型过程比作通关游戏，那么我们会碰到性子思索、模式思索和本领思索三个关卡。

性子思索从企业现实应用场景来看，容器云管理平台是一个跨部分平台，至少会涉及底子办法部分、研发部分、安全部分；固然，差别企业对部分的分别大概会更过细。而且，容器云管理平台和业务应用又有着精密的关联性，会影响业务应用的构建发布流程和运行运维方式，以是从团体看来容器云管理平台具备了 2 个特点：技能上简直定性和本领上的特异性。

• 技能上简直定性：在建立容器云管理平台时，相干的技能栈根本是确定的，比方容器编排调治引擎利用 Kubernetes，监控利用 Prometheus，日记利用 ELK 大概 Loki，模板市肆利用 Helm 等，另有像容器运行时、网络、存储等也都有很清晰的选择范围。
  
• 本领上的特异性：每个企业 IT 部分都有本身的工作方式、流程、构造架构和内部环境，对容器云管理平台建立都有本身的见解。有些企业的容器云管理平台相对独立；有些大概必要与内部的其他体系做集成和联动，如与内部监控集成形成同一环境监控，与内部日记平台集成形成同一认证，与内部用户认证平台集成实现 sso 单点登录，必要与构造架构相对应的多租户本领等，这就必要差别的本领支持。从这个角度来讲，完全按照自身需求，自研一套容器云管理平台是企业的最优选择。
  

但是自研的门槛比力高，必要肯定的团队和技能气力，大多数企业都不具备如许的本领。商用是更务实的选择，有很多厂商提供了相应的平台产物，但也有不少挑衅。固然平台都基于 Kubernetes 搭建，但是差别的产物理念，大概作育了差别的功能偏重点，以及未来差别的发展和延伸蹊径；另有一些产物存在差别程度的捆绑，一旦选错大概将深陷泥淖。

综合来看，选择开源的、兼容性好的商用产物可以或许在肯定程度上实现自研和商用的平衡。一方面，企业可以通过标准化的产物本领和厂商的专业技能支持及赋能，快速作育和提拔自身团队对云原生的认知和技能程度。另一方面，在团队本领达标，且标准化的本领已经无法满意内部需求时，企业可以基于开源产物更便捷地举行二次开发。

现实上，在团队气力达标的环境下，我们也不太发起一开始就完全自研平台，由于从 0-1 的建立大概会踩很多坑，碰到很多标题，一些功能直接复用开源产物造好的轮子会事半功倍。同时，利用开源产物确保了技能的连续性，在购买商业支持后，可以大幅镌汰人力本钱付出，提拔工作服从，有更多的时间专注于自身的主业务务。

模式思索在明白了性子选择后，我们转角就碰到了第二个选型标题：应该选择全功能模式还是组合功能模式？

当前，各种容器云管理平台产物丰富，大抵可以分为两类：功能全面型和开放兼容型。

• 功能全面型：平台中功能根本覆盖了云原生全部元素，如包罗了 Kubernetes 集群管理、应用管理、DevOps、微服务管理、中心件等各大板块本领，而且高度封装。
  
• 开放兼容型：平台中功能以保有核心本领为主，如 Kubernetes 集群管理、应用管理，其他本领以开箱即用的插件方式提供，具备高度的可更换性。
  

功能全面的容器云管理平台可以或许屏蔽掉很多技能细节，企业可以拿来即用；开放兼容型产物可以提供更机动的组合方式。

在早期，容器和 Kubernetes 技能还不是那么遍及，功能全面型的产物是比力好的选择，企业可以借助其全面的本领快速构建，屏蔽掉一些技能门槛，预研云原生技能和带来的代价；当今，容器和 Kubernetes 技能已经比力遍及，整个 CNCF 生态也进入了繁荣时期，云原生的建立更多是积木式、集成式的组合。

“专业的变乱交给专业的人去做”，大而全平台的标题在于团体功能都是内聚的、相互依赖的、标准化的。用户通常在利用时发现，很多地方并不能很好方单合自身需求，还必要更换功能模块。然而在高内聚的布局下，模块的剥离和更换通常难以实现，大概本钱很高。以是，越来越多的用户会选择开放兼容性好的产物，在必要更换平台中的某些功能模块时，只必要关闭相应模块，直接举行更换大概集成即可。

同时我们也看到，越来越多功能全面的平台也开始化整为零，固化必备的底子本领，周边本领则以模块插件方式提供，方便用户举行更换。

本领思索走到这一步，选型的思绪就比力清晰了。我们碰到的末了一个标题是：除了性子和模式，还必要思量哪些因素呢？

基于与浩繁客户的打仗，我们提炼出两点：

• 沉淀包罗很多方面，比如产物的迭代汗青、利用人数、行业落地案例等。这些沉淀可以很好地反映产物的成熟度和稳固性，毕竟各人都不想在生产环境中做第一个吃螃蟹的人，更盼望有一个乐成的参照物可以鉴戒。
  
• 创新是一个企业的魂魄，云原生就像是一列飞驰的高铁，好的产物提供者应该能紧跟技能发展，并不绝推陈出新。企业在利用容器云管理平台的同时，在差别的阶段总会出现差别的需求场景和标题，能不能走在用户前面引领用户，并伴随用户发展，也是选型思量的一个紧张因素。
  

通过以上三个关卡，想必各人已经有了选型的开端想法。下面让我们从应用场景出发，再对产物选型本领指标做一些考量。

—— 场 景 ——
多集群及环境同一管理企业中差别范例的 Kubernetes 集群越来越多，肴杂管理的需求与日俱增。我们在与客户聊集群规划的时间常常听到：

• 我们必要在差别的环境建立 Kubernetes 集群，包罗开发、测试、UAT、生产。
  
• 这些应用比力紧张，必要单独的集群支持，方便重点运维。
  
• 我们 X 应用是外采的，它的底座也是 Kubernetes 集群，要把平台管理起来。
  
• 我们之前 X 部分走的比力靠前，当时用开源工具摆设了一个 Kubernetes，如今必要临时管理起来，后续再思量新建集群并迁移。
  
• 我们除了私有云以外，某公有云上也利用了 Kubernetes 集群（也想在公有云上利用 Kubernetes 集群），可否方便地实现肴杂云管理。
  
• 我们如今容器和 VM 是共存的状态，团体应用包罗了容器运行部分和 VM 运行部分，有没有能同一管理容器和 VM 的方式……
  

在云原生期间，随着企业的不绝发展，多云肴杂云的场景变得越来越广泛。以某零售企业为例，其 APP 商城平常运行在私有数据中心，在早期业务量不大的时间，纵然在大促时也完全可以承载和支持。但随着企业的不绝发展，大促带来的访问压力已经到了当地无法支持的程度，但是为了应对大促而去扩大私有数据中心规模的做法又不敷经济，这会造成平常大量的资源闲置。

终极，该企业采取了肴杂云方案，在公有云上利用 Kubernetes 集群，通过同一入口管理私有云集群和公有云集群。当大促到临时，通过公有云临时扩充集群节点，应对压力。

由此可以看出，多集群以及环境的同一管理是考量容器云管理平台的紧张本领指标。Kubernetes 作为通用底子架构，可以很好地应对多云带来的差别性，满意企业的多云计谋需求。从 ROI 的角度看，容器云管理平台覆盖的公有云范例越多，就越能加强 FinOps 和多云议价本领。

加强式安全防护从前，各人更关注应用怎样容器化、怎样上 Kubernetes；而当下，各人越来越关注安全标题。容器安全处于早期发展阶段，还存在一些标题。从技能角度看，Kubernetes 自身的安全本领较低，之前版本内置了 PSP 功能，但也范围在一些与权限相干的防护上；而且，高版本已经废弃了这一功能。CIS 固然提供了 Kubernetes 基线扫描，但紧张用于检测 Kubernetes 的设置是否有安全隐患，防护面很有限。从知识储备角度看，在多数企业内，懂云原生的工程师不太懂安全，懂安全的又不太相识云原生，这导致容器安全防护建立工作无从动手。

近几年，云原生相干安全变乱层出不穷，当事企业遭受了不少丧失，安全建立已成为当下亟需办理的标题。一个及格的云原生安全防护平台至少应具备以下本领：

• CICD 嵌入本领：可以在流水线中启用防护，比如镜像打包完成后的扫描，实现肯定程度的安全左移。
  
• 准入控制本领：可以在应用摆设时举行相应防护，只管低落不安全因素进入集群，如可信堆栈和镜像白名单、有安全隐患的摆设设置阻断等。
  
• 运行时防护本领：可以在容器运行态上举行相应防护，如网络防护、历程防护、文件防护。
  
• 以零信托为核心的安全防照顾护士念：可以实现零日攻击防护以及一些未知的攻击举动。
  

如今有不少厂商专注这一范畴，提供的产物也各有特色，可以有效资助我们补强 Kubernetes 安全本领不敷的标题。综合思量利用体验、易用性以及同一管理等方面，假如容器云管理平台能提供富足的安全防护本领，那将是最佳的选择。

数据中心到边沿边沿盘算是近两年的热门范畴，很多企业都在积极布局，利用容器和 Kubernetes 技能充实发挥云边协同的效能。业界对边沿的界说至今没有同一，差别的企业由于差别的业态对边沿的界说也不尽雷同，对于银行来说边沿可以是网点也可以是各种金融终端装备，对于制造业来说边沿可以是工厂侧也可以是产线侧。

对于有边沿应用场景的企业来说，选型时起紧张思量平台是否具备实现云边协同的本领，还要思量云边协同的方案是否有延展性，大能顺应各类服务器，小能覆盖各类小型盘算资源装备，别的还要思量可否实现高度的主动化交付从而提拔服从。

比如如今边端有海量的装备，一样平常的摆设流程大抵是：
安装利用体系 ➞ 安装相应的 Kubernetes 发行版 ➞ 摆设边端集群并注册到云端管理平台 ➞ 摆设各类应用

如今热门的边沿盘算交付方式分为两个步调：
Day1: 装备通过定制镜像主动摆设利用体系及集群，并实现主动注册

Day2: 按照编排需求，GitOps 主动同步各类应用到差别边沿集群

可以看出，后者通过主动化极大简化了交付过程，从而提拔了团体服从。假如平台可以或许提供富足弹性的云边协同方案以及高度主动化交付，将为企业带来强劲的边沿盘算建立助力。

如今，在实验大多数边沿盘算方案的时间，还必要在边沿端投入不少的人力举行前期工作，如利用体系安装，半主动化的 Kubernetes 发行版安装以及云端注册等，主动化程度越高就越能低落人力本钱。

—— 写在末了 ——

本文站在行业大视角，为各人提供了一些广泛实用的容器云管理平台考量要素。云原生范畴可选择的平台很多，有开源也有闭源，固然外貌上看产物功能有同质化趋势，但其秘闻和理念是差别的。

以 Rancher 为例，作为最早的一款全开源的容器管理平台，其 1.x 版本伴随用户走过了 docker swarm、mesos 和 Kubernetes 的三国鼎立时期；2.x 版本则紧跟社区和技能发展，专注于 Kubernetes 管理。一起走来，Rancher 积累了大量用户，不绝是环球利用人数最多的容器云管理平台，它将始终致力于资助用户管理恣意位置的 Kubernetes 集群，实现无处不在的盘算。

在此过程中，我们也在不绝总结用户的需求和痛点，围绕 Kubernetes 推出了很多开源产物，如存储产物 Longhorn，边沿盘算产物 K3s 和 Elemental，连续交付产物 Fleet，超融合产物 Harvester，个人利用产物 Rancher Desktop，安全产物 NeuVector。别的，我们仍在不绝孵化新产物，如 CICD 产物 EPINIO，AiOps 产物 OPNI，旨在资助用户办理更多标题，通过 Rancher 更轻松地筹划和构建本身的云原一生台。