Kata Containers——通過虛擬化保護應用程序
Kata Containers是一個新的開源項目，是輕量級虛擬機的一種新穎實現，可以無縫集成到容器生態(tài)系統(tǒng)中。 Kata Containers與容器一樣輕巧快速，并與容器管理層集成（包括流行的編排工具，如Docker和Kubernetes），同時還提供了VM的安全優(yōu)勢。Kata Containers遵循Open Container Initiative（OCI）標準——OpenStack Foundation是該標準的積極分子。Kata Containers托管于OpenStack Foundation，但與OpenStack項目分開，擁有自己的治理和社區(qū)。
行業(yè)向容器的轉變帶來了獨特的挑戰(zhàn)，即在多租戶環(huán)境中保護用戶工作負載，同時兼顧可信和不可信工作負載。Kata Containers使用硬件支持的隔離作為pod中每個容器或容器集合的邊界。此方法解決了傳統(tǒng)容器架構構中共享內核的安全問題。
Kata Containers非常適合按需、基于事件的部署，例如持續(xù)集成/持續(xù)交付，以及運行時間更長的Web服務器應用程序。Kata還支持從傳統(tǒng)虛擬化環(huán)境輕松過渡到容器，因為它支持傳統(tǒng)訪客內核和設備傳遞功能。Kata Containers提供增強的安全性、可擴展性和更高的資源利用率，同時簡化整體堆棧的實現。
OpenStack和Kubernetes集成
選擇開源平臺的主要好處之一是跨這些平臺的標準部署的接口的穩(wěn)定性。 OpenStack Foundation和Cloud Native Computing Foundation（CNCF）都為OpenStack云和Kubernetes集群維護互操作性標準，保證庫、應用程序和驅動程序可以在所有平臺上運行，無論它們在何處部署。這為“肩并肩”集成創(chuàng)造了機會，允許OpenStack和Kubernetes利用另一方提供的資源。
Kubernetes社區(qū)中的OpenStack Special Interest Group（SIG-OpenStack）維護著Cloud Provider OpenStack插件。除了在OpenStack上運行Kubernetes的云provider接口外，它還維護了幾個允許Kubernetes利用各個OpenStack服務的驅動程序。這些驅動包括：
- 兩個獨立的Cinder驅動程序。Flex Volume驅動程序使用基于exec的模型與驅動程序接口，以及容器存儲接口（CSI）驅動程序（該驅動程序使用容器編排系統(tǒng)的標準接口將任意存儲系統(tǒng)暴露給其容器工作負載）。這些驅動程序支持70多種存儲驅動程序，可通過單個Cinder API連接大量經過實戰(zhàn)考驗的專有和開源存儲設備。
- Keystone的基于webhook的身份驗證和授權接口。每種模式、身份驗證和授權都可以彼此獨立配置。雖然正在進一步開發(fā)中，但該接口支持軟多租戶（支持Kubernetes RBAC）。
OpenStack和Kubernetes都支持由各種驅動程序支持的高動態(tài)網絡模型。由于這些標準網絡接口，可以輕松構建具有強大網絡集成的獨立OpenStack和Kubernetes集群。在OpenStack中，Kuryr項目生成一個通用網絡接口（CNI）驅動程序，為Docker和Kubernetes提供Neutron網絡。另一方面，像Calico這樣的項目提供Neutron驅動程序，通過標準的Neutron API直接訪問流行的Kubernetes網絡覆蓋。
III 案例研究
OpenStack社區(qū)的許多成員正在為與容器相關的各種OpenStack項目提供新代碼，評估容器的含義和好處，并在生產中使用容器來解決挑戰(zhàn)并解鎖新功能。本節(jié)重點介紹一些最有趣的案例研究。
AT＆T
AT＆T是全球最大的電信公司之一，它利用容器技術來部署和管理OpenStack本身，依靠基礎設施容器來實現簡單性和效率，目的是在容器化的OpenStack上構建5G基礎設施。
為了實現目標，AT＆T正在使用OpenStack-Helm項目在Kubernetes集群中編排基于LOCI的OpenStack鏡像，同時利用Kubernetes、Docker和核心OpenStack服務。AT&T還使用Bandit、Tempest、Patrole和許多其他OpenStack項目。AT＆T還在社區(qū)中合作推出了一系列名為Airship的云服務項目——該項目提供從裸機到運行OpenStack工作負載的生產級Kubernetes的云。
AT＆T發(fā)現容器化允許其將傳統(tǒng)的部署類型活動轉移到左側，并使用CI / CD進行驗證。Kubernetes還提供了巨大的可擴展性和彈性，以及允許OpenStack-Helm以聲明方式配置操作行為，注入配置，完成滾動升級和更新而不影響租戶工作負載的鉤子。
利用容器技術來部署和管理OpenStack不應該對租戶產生明顯的影響——除了為它們提供具有更高彈性的平臺，能夠更頻繁地獲得云功能并且中斷最少。AT＆T的運維團隊的新經驗將更多的努力轉移到定義站點的聲明性配置，并讓面向Kubernetes的自動化自行進行部署。
AT＆T旨在利用這種架構為虛擬網絡功能提供支持——這些功能構成了其以消費者和業(yè)務為中心的產品和服務的支柱。AT＆T的容器化Network Cloud的初始使用案例將是新興5G網絡的VNF的初始部署。OpenStack過去、現在和將來都非常適合AT＆T的聚焦于VNF的云用例。容器化只是一種演變，允許AT＆T以更可靠、快速、零接觸的方式部署、管理和擴展其OpenStack基礎設施。
在運維方面，AT＆T仍在測試這種方法，但已承諾很快將5G服務投入生產。OpenStack和容器技術將成為這項服務的支柱，這對AT＆T的數百萬用戶來說具有很強的戰(zhàn)略性。部署5G服務將證明OpenStack和容器在大規(guī)模分布式生產環(huán)境中的相關性。
CERN
CERN使物理學家和工程師能夠利用世界上最大和最復雜的科學儀器探索宇宙的基本結構，研究物質的基本成分——基本粒子。CERN云為物理學家提供科學計算的計算資源，分析來自大型強子對撞機和其他實驗的數據。
自2013年以來，CERN一直在運行OpenStack，目前正在單個云中為虛擬機、裸機和容器提供服務。容器可以在虛擬機或裸機上運行，具體取決于用例，所有這些都通過OpenStack Magnum進行配置。CERN提供各種不同的容器技術，包括Kubernetes、Docker Swarm和DC / OS。
CERN目前在OpenStack之上運行通過Magnum配置的250個容器集群。
CERN的OpenStack云為用戶提供自助服務訪問權，可通過一些命令或Web GUI請求配置好的容器引擎。這允許快速利用這些技術，并且如果需要可以擴展到1000個節(jié)點�？商峁⿴в袃戎帽O(jiān)控并集成到CERN存儲和身份驗證服務的最佳實踐配置。
有效地運行此資源池，在不需要額外操作人力的情況下擴展它需要一致的管理流程和工具。通過Magnum在OpenStack之上添加容器使服務能夠使用先前開發(fā)的自動化，例如硬件修復過程和一致的授權模型，同時根據用戶需求快速重新分配資源。
CERN是一個公共資助的實驗室，Kubernetes和OpenStack等開源解決方案提供了一個框架，使其可以與其他組織協(xié)作并回饋社區(qū)。CERN通過CERN openlab框架與眾多供應商合作，提供帶有多種功能的大規(guī)模云。這些經驗也通過OpenStack特殊興趣小組與其他科學如Square Kilometer Array（SKA）、公共演示文稿（如Kubecon Europe）和博客（如OpenStack in Production）共享。
在CERN，幾個工作負載在Magnum提供的容器內運行，包括：
Reana /Recast
這些工具為在高能物理中執(zhí)行可重復使用的工作流程提供了框架。容器能夠將分析軟件和數據打包在一個易于共享的單元中，并且可以輕松擴展內部部署和使用外部資源。接下來的工作為基于Yadage Workflows的Kubernetes作業(yè)，支持分析和數據保存活動。
Spark即服務
最近，Kubernetes被添加為Spark的資源管理器。Spark可以生成驅動程序和執(zhí)行程序，而pod和Kubernetes負責調度和生命周期。CERN IT部門的一個團隊正在開發(fā)一項服務，讓用戶可以使用OpenStack Magnum按需創(chuàng)建Kubernetes集群，并在Kubernetes上部署Spark，以安全的方式提供與CERN專用文件系統(tǒng)和數據源的所有必需集成。通過少量命令，用戶可以有效地創(chuàng)建具有所需大小的Spark部署，僅在需要的時候創(chuàng)建，并且可以選擇在運行的時候擴展或縮小部署。
用于LHC升級的LHC實驗檢測器觸發(fā)模擬
大型強子對撞機將在2020年左右升級到更高的發(fā)光度。CERN已經創(chuàng)建了大規(guī)模Kubernetes集群來模擬ATLAS實驗的不同方法并驗證設計，從而對Kubernetes和OpenStack組件進行了一些微調。
Gitlab持續(xù)集成運行器
Gitlab使用戶能夠構建CI / CD作業(yè)并在共享或項目特定的運行器上執(zhí)行它們。CERN用戶可以利用CERN Container Service來測試和構建軟件，構建和發(fā)布容器鏡像和文檔，或設置管理整個應用程序生命周期的復雜管道，包括自動部署到不同的環(huán)境中。
多個外部云的Federated Kubernetes compute farm
CERN使用Kubernetes集群聯(lián)合來支持多云操作。多個集群可以無縫集成在使用不同技術的云中，包括AWS、GCE和OpenStack云（如CERN和T-Systems Open Telekom Cloud）。
在單個框架下集成虛擬機、容器引擎和裸機，讓用戶可以輕松查看使用情況、所有權和配額。Kubernetes的Manila存儲驅動程序允許透明地配置文件共享。這支持IT部門進行容量規(guī)劃，支持實驗資源協(xié)調員確定其工作組的優(yōu)先級。資源管理策略，如在工作人員離開時重新分配資源或使資源到期，將在一致的工作流程中處理。
SK Telecom
SK Telecom（SKT）是韓國最大的電信運營商，一直在探索在Kubernetes上部署OpenStack的最優(yōu)方法，目的是將核心業(yè)務功能應用于容器化OpenStack。
SKT利用Kolla和Openstack-Helm， 部署由Kubespray自動完成。SKT將近100％的開發(fā)工作投入OpenStack-Helm，并與AT＆T密切合作，推動OpenStack-Helm的成功。
SKT還在其關于Kubernetes上的OpenStack的工作中加入了其他工具。對于日志記錄、監(jiān)控和警報，SKT使用Prometheus和Elasticsearch、Fluent-bit和Kibana——所有這些都是OpenStack-Helm社區(qū)中的默認參考工具。SKT將所有這些組合成一個名為TACO：SKT All Container OpenStack的封閉式集成解決方案。
SKT將重點放在圍繞容器化的Kubernetes上的Openstack的自動化持續(xù)集成/持續(xù)交付（CI / CD）管道。SKT的CI系統(tǒng)包括Jenkins、Rally、Tempest、Docker Registry，以及Jira和Bitbucket。SKT還開發(fā)了一個名為Cookiemonster的開源工具——這是一種用于Kubernetes部署的彈性測試工具，可為其CI管道執(zhí)行彈性測試。
每次更改，SKT都會自動構建和測試OpenStack容器和Helm圖表。每天，他們會自動安裝一個高度可用的OpenStack部署，包含三個控制節(jié)點和兩個計算節(jié)點，從Tempest運行400個測試用例來驗證服務，最后使用Cookiemonster和Rally運行彈性測試。完整的CI系統(tǒng)如下圖所示：
SKT通過Airship的子項目Armada實現自動化部署——該項目由AT＆T作為一個新的開放式基礎設施項目在社區(qū)推出。SKT正在社區(qū)中進行合作，根據其生產用途為項目提供增強功能。
在實際應用中，SKT已經看到了在Kubernetes上部署OpenStack的大量好處，包括：簡單易用的安裝；集群自動修復；能夠升級和更新OpenStack并對運行的服務影響最小；快速采用高級發(fā)布方法；通過容器隔離完成Python依賴關系的自動化管理；安全的秘密和配置管理；快速靈活地推出集群更新。
SKT仍在測試這種方法，但正在積極地在生產中運行OpenStack-Helm部署。很快，SKT將至少擁有三個生產集群，后續(xù)還有第四個和最大的生產集群將上線。這些用例包括：大數據平臺、桌面基礎設施架構平臺、通用內部私有云、基于虛擬網絡功能構建的電信網絡基礎設施。
SKT還試圖通過利用容器化的VNF并利用容器的自動修復和快速擴展功能來改善電信基礎設施運維的自動化。為了允許基于虛擬機的VNF和容器化VNF之間的交互，Simplified Overlay Network（SONA）——OpenStack的虛擬網絡解決方案，將支持VM和容器之間的通信。 SONA使用Kuryr項目集成OpenStack和Kubernetes，并使用軟件定義的網絡技術優(yōu)化網絡性能。
總的來說，SKT發(fā)現Kubernetes有助于解決部署和運維OpenStack的許多復雜問題。簡化OpenStack為他們提供了一種強大的方法，可以為5G時代提供先進的基礎設施創(chuàng)新。Kubernetes上的Openstack，大大提高了他們應對容器中微服務不斷演變的能力，成為提供人工智能、物聯(lián)網和機器學習的關鍵基礎設施。
Superfluidity
Superfluidity項目由來自12個歐洲國家的18個合作伙伴組成。它旨在增強實時實例化服務的能力，在網絡中的任何位置運行它們，并將它們透明地轉移到不同的位置。SUPERFLUIDITY是一個歐洲研究項目（Horizon 2020），旨在通過利用和擴展知名的開源項目，為5G網絡構建基礎設施模塊。SUPERFLUIDITY將提供融合的基于云的5G概念，可在移動邊緣實現創(chuàng)新用例，增強新業(yè)務模式，并降低投資和運維成本。
為了實現這些目標，項目聯(lián)盟正在從傳統(tǒng)的基于VM的應用程序轉移到Cloud Native容器化應用程序。 Kuryr是OpenStack虛擬機、Kubernetes和OpenShift容器化服務之間的橋梁。
該項目利用ManageIQ作為中央網絡功能虛擬編排器（NFVO），Ansible來進行Application部署和生命周期管理，OpenStack服務（包括Heat，Neutron和Octavia，以及Kubernetes）通過OpenShift實現虛擬機和容器的集成。
通過利用從ManageIQ設備執(zhí)行的Ansible playbooks，SUPERFLUIDITY提供了一種部署應用程序的常用方法。這些應用程序反過來使用OpenStack Heat模板和OpenShift模板提供的云編排功能。
該聯(lián)盟在容器內部署5G云無線接入網絡（CRAN）和移動邊緣計算（MEC）組件。它還在分布式基礎架構之上部署高吞吐量應用程序，如視頻流。
轉向應用程序交付的云原生方法可實現快速、靈活的SUPERFLUIDITY安裝。它可以實現從基于VM的應用程序和組件到容器的平穩(wěn)過渡，同時保留為某些特定應用程序啟用VM的多功能性。例子是單路輸入/輸出虛擬化（SRIOV）所需的特殊安全保護或網絡加速。
在大規(guī)模性能測試中，SUPERFLUIDITY能夠以22個pod/秒的速度啟動大約1000個容器。通過在OpenStack管理的VM上運行OpenShift實現了這一卓越的性能，其中Kuryr充當pod網絡驅動程序。
IV 結論
在過去幾年中，隨著容器成為開發(fā)人員和組織的重要工具，OpenStack利用其模塊化設計和廣泛的社區(qū)將容器技術集成到多個層面。 這體現在，各種組織將容器和OpenStack投入生產，以及與容器一起工作以提供新功能的項目數量越來越多上。OpenStack基金會致力于確�？梢栽贠penStack中整合和使用新興技術，而容器則是該承諾的重要例子。
原文鏈接：
https://www.openstack.org/containers/leveraging-containers-and-openstack/
獲取更多開源云技術資訊&大咖交流&免費活動，歡迎添加開源云中文社區(qū)小助手，備注開源云！
