Falco 进入 CNCF Incubator 项目 | 云原生生态周报 Vol. 35

作者 |?王思宇、陈洁、敖小剑

业界要闻

Falco 进入 CNCF?Incubator 项目

原于?2018 年 8 月进入 sandbox，旨在 Kubernetes 运行时环境下支持配置规则来加强应用安全性、降低风险。

Kubernetes v1.17.1 发布

解决部分 cloud provider 和 kubelet 相关问题，比如：

CFP 2020 K8s Contributor Summit Amsterdam 开始征集 talk

将与 KubeCon 2020 EU 同期进行，欢迎 K8s contributor 参会。

Istio 1.14.3 发布

Istio 发布 1.4.3 版本，此版本修复看一些 bug 以提高系统鲁棒性和用户体验。

上游重要进展

Kubenetes

LoadBalancer Service 支持多种不同?protocol 类型的 port

目前一个 LoadBalancer Service 可以写多个 port，但是这些 port 的类型必须相同，比如都是 tcp 或 udp。这个 PR 允许在一个 LoadBalancer Service 中定义多种不同类型的 port，以支持不同云厂商提供的 service 服务。（对应的 PR）

解决组件特定 ComponentConfig 的配置问题

ComponentConfig 是支持编写?Kubernetes-style 的配置文件，来给各种 Kubernetes 核心组件作为启动配置，而不是直接通过命令行参数的方式配置，这个 KEP 是为了解决在编写?ComponentConfig 的时候不同组件的特定配置问题。

device manager 中增加 release api 接口

在 Kubelet devicemanager 中增加 release 接口，支持 device plugin 释放已经分配给 Pod 的设备。

type Manager interface {
    // ...

    // Release release devices allocated to pods.
    Release(pod *v1.Pod) error
}

PDB status 中新增 conditions

conditions 用于上报当前 PDB 的一些状态信息，比如?PodDisruptionBudgetFailure（Failure），用于 disruption controller 在?failSafe 阶段上报状态标识。

type PodDisruptionBudgetStatus struct {
    // ...

    // Conditions represents the latest available observations of a PDB's current state.
    // +patchMergeKey=type
    // +patchStrategy=merge
    Conditions []PodDisruptionBudgetCondition
}

Istio

为Telemetry V2 开启 TCP 元数据交换

Telemetry V2 依靠对等代理之间的元数据交换，以便它们可以在不依赖于 side lookup 的情况下产生丰富的遥测信息。 Istio 1.4 使用 "x-envoy-peer-metadata" http header 来支持 http 流量的元数据交换。Istio 1.5 将支持 TCP 流量的元数据交换，该提案目前已经得到批准。

在 AuthorizationPolicy 实现 deny 和 exclude

Istioi 社区提出更改 AuthorizationPolicy 的 API，以支持拒绝 (deny) 和排除 (exclude) 语义。目标包括支持通过使用 AuthorizationPolicy 来拒绝请求，并支持在 AuthorizationPolicy 中使用否定匹配 (not_XXX)。用户无需复制或修改其现有策略即可使用新功能。