新しいセキュリティアプローチ、CalicoとIstio、Kubernetesによるゼロトラストネットワークとは
Linux Foundationと協調するプロジェクトとして2015年に設立されたCloud Native Computing Foundation（以下、CNCF）は、テキサス州オースチンにてKubeCon+CloudNativeConを2017年12月5日～8日の日程で開催した。これまでキーノートやコンテナランタイムに関して紹介してきたが、今回は数あるセッションの中からマイクロサービス内のセキュリティを高めるためのアプローチ「Zero Trust Network」について紹介しよう。まずサンフランシスコのベンチャーであるTigeraのエンジニアが行った5分間のプレゼンテーションについて紹介した後で、より詳細な解説としてZero Trust Networkを実現するためのIstio、Kubernetes、Calicoに関するセッションを紹介する。 5分という短い時間の中で紹介を行ったのは
Dockerホストのパフォーマンスを引き出すTCPカーネルパラメータチューニング
もう半年くらいフルDockerでmicroservicesなサービスを運用してるんですが、イマイチパフォーマンスを出し切れていないなという面がありまして、今回DockerホストのTCPカーネルパラメータを抜本的に見直しました。 そしたら劇的に症状が改善して、インスタンス数も削減できた上に安定してメシウマ状態になったので紹介します。実際効果があったのでチューニングポイントとしてはある程度正解であったと考えていますが、もちろん扱ってるアプリケーションの特性にもよるはずなので一つのケーススタディであることをご了承頂ければと。 前提 まずは今回のお話の前提を。こんな環境です。 EC2 c3.xlarge ホストはUbuntu（EC2 Optimized AMIは未使用） Docker 1.11.2 MySQL（HAProxy経由）やRedisへのデータストアの通信、各microservicesへの
Kubernetes クラスタの外からのアクセスに ClusterIP をロードバランサとして使う - Qiita
はじめに Kubernetes を触り始めて困惑したのは、クラスタの外からどうやってアクセスするのか？ということでした。 GKE なら提供されているロードバランサを使えば良いですが、GKE に頼れない環境でも良い方法が欲しいものです。 ClusterIP はクラスタ内部からアクセスする際に使用するもので、外部からアクセスすることは意図されていませんが、 これをそのまま利用できればとても楽ができそうです。 ClusterIP へのアクセスは複数の Pod に対して振り分けられるので、Ingress や Service Load Balancer が無くてもクラスタの外に対してロードバランサを提供することができます。 調べたところ Project Calico と kube-proxy を利用するとクラスタの外から ClusterIP にアクセスできたので、やり方をまとめておきます。 テスト環
GKE/Kubernetes でなぜ Pod と通信できるのか - Qiita
Google によるフルマネージドサービスである GKE では Kubernetes のマスタやノードのことは理解しなくとも Kubernetes の API を使って実現したいことに集中できる。 しかし、本番運用をはじめてから「なぜ動いているのかもなぜ動かないのかも分からない」というような状態ではいざという時に困る。 特に Service がどのようにクラスタの外から Pod へのアクセスを提供しているのかはブラックボックスになっていたため、今回は GKE での Service の L3(〜L4) の挙動について Kubernetes の内外を調査した。 (後で図や参照情報へのリンクを追加予定) 図解が出てきたので追加しなかった。 追記(2018年10月5日) Kubernetes Engine の Network Overview が良いのでこちらも読むと良いでしょう。この記事を書いた
Cluster Networking
Networking is a central part of Kubernetes, but it can be challenging to understand exactly how it is expected to work. There are 4 distinct networking problems to address: Highly-coupled container-to-container communications: this is solved by Pods and localhost communications.Pod-to-Pod communications: this is the primary focus of this document.Pod-to-Service communications: this is covered by S
Docker環境でstrace - Qiita
starceしようとしたらエラーになったので。 root:/# strace /bin/ls strace: ptrace(PTRACE_TRACEME, ...): Operation not permitted +++ exited with 1 +++ ぐぐれば何か出てきますよね。。。 » Running Strace in Docker 起動オプションを追加すればよいようです。 このオプションを追加したコンテナでstraceを実行すると root@aca47db0b5ff:/# strace /bin/ls execve("/bin/ls", ["/bin/ls"], [/* 9 vars */]) = 0 brk(NULL) = 0x72f000 access("/etc/ld.so.nohwcap", F_OK) = -1 ENOENT (No such file or dir
Docker の基本学習 ～ マルチホストでのコンテナ間通信 - Qiita
複数のホストに配置されたコンテナ間のネットワーク通信についてまとめてみる。 (更新： 2015/11/08) Docker 1.9 では、複数ホストにまたがる仮想ネットワーク機能が正式版としてリリースされました。今後は、この記事で書かれている方法より、そちらの機能を使うほうが主流になるかもしれません。 Docker : マルチホスト間での仮想ネットワーク マルチホストにおける Docker のネットワークの課題 以下の図で、ホスト１上のContainer1からホスト２上のContainer2(httpdが動作)に接続したいとする。 Container2 が次のように起動している場合、 Containe1 からは、「ホスト2のアドレス」を使って 10.0.0.2:80 にアクセスすれば Container2 の httpd と通信ができる。 これはとても単純な方法だがいつくか課題がある。 1
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Kubernetes: Flannel Docker IP issue
https://contiv.io/
Couldn't connect to Docker daemon · Issue #2495 · docker/compose
poor NAT & networking performance · Issue #7857 · moby/moby
Hack for Docker's Network
欧美亚洲色欲色一欲WWW - 欧美大片欧美激情免费看 - 欧美特黄特色三级视频在线观看