写点什么

重磅!Kubernetes 决定弃用 Docker

  • 2020-12-03
  • 本文字数:2135 字

    阅读完需:约 7 分钟

重磅!Kubernetes决定弃用Docker

Kubernetes 现已弃用 Docker。

参考链接:https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG/CHANGELOG-1.20.md#deprecation


目前,kubelet 中的 Docker 支持功能现已弃用,并将在之后的版本中被删除。Kubelet 之前使用的是一个名为 dockershim 的模块,用以实现对 Docker 的 CRI 支持。但 Kubernetes 社区发现了与之相关的维护问题,因此建议大家考虑使用包含 CR 现(兼容 v1alpha1 或 v1)的可用容器运行时。


简而言之,Docker 并不支持 CRI(容器运行时接口)这一 Kubernetes 运行时 API,而 Kubernetes 用户一直以来所使用的其实是名为“dockershim”的桥接服务。Dockershim 能够转换 Docker API 与 CRI,但在后续版本当中,Kubernetes 将不再提供这项桥接服务。


当然,Docker 本身也是一款非常强大的工具,可用于创建开发环境。但为了了解造成当前状况的原因,我们需要全面分析 Docker 在现有 Kubernetes 架构中的作用。


Kubernetes 是一款基础设施工具,可对多种不同计算资源(例如虚拟/物理机)进行分组,使其呈现为统一的巨量计算资源,从而供应用程序使用或与其他人共享。在这样的架构中,Docker(或者容器运行时)仅用于通过 Kubernetes 控制平面进行调度,从而在实际主机内运行应用程序。



通过以上架构图,可以看到每个 Kubernetes 节点都与控制平面彼此通信。各个节点上的 kubelet 获取元数据,并执行 CRI 以在该节点上创建/删除容器。


但 Docker 为什么会被弃用?


如前所述,Kubernetes 只能与 CRI 通信,因此要与 Docker 通信,就必须使用桥接服务。这就是弃用 Docker 的第一点原因。


要解释下一个原因,我们必须稍微聊聊 Docker 架构。首先参考以下示意图。



没错,Kubernetes 实际上需要保持在红框之内。Docker 网络与存储卷都被排除在外。


而这些用不到的功能本身就可能带来安全隐患。事实上,您拥有的功能越少,攻击面也就越小。


因此,我们需要考虑使用替代方案,即 CRI 运行时。


CRI 运行时


CRI 运行时的实现方案主要有两种。


containerd


如果大家只是想从 Docker 迁移出来,那么 containerd 就是最好的选择。因为它实际上就是在 Docker 之内起效,可以完成所有“运行时”工作,如上图所示。更重要的是,它提供的 CRI 其实 100%就是由 Docker 所提供。


containerd 还属于全开源软件,因此您可以在 GitHub 上查看说明文档甚至参与项目贡献。


https://github.com/containerd/containerd/


CRI-O


CRI-O 是主要由 Red Hat 员工开发的 CRI 运行时。它的最大区别在于并不依赖于 Docker,而且目前已经在 Red Hat OpenShift 中得到使用。


有趣的是,RHEL 7 同样不官方支持 Docker。相反,其只为容器环境提供 Podman、Buildah 以及 CRI-O。


https://github.com/cri-o/cri-o


CRI-O 的优势在于其采用极简风格,或者说它的设计本身就是作为“纯 CRI”运行时存在。不同于作为 Docker 组成部分的 containerd,CRI-O 在本质上属于纯 CRI 运行时、因此不包含除 CRI 之外的任何其他内容。


从 Docker 迁移至 CRI-O 往往更为困难,但无论如何,CRI-O 至少可以支持 Docker 容器在 Kubernetes 上的正常运行。


还有一点……


当我们谈论容器运行时时,请注意我们到底是在谈论哪种类型的运行时。运行时分为两种:CRI 运行时与 OCI 运行时。


CRI 运行时


正如之前所提到,CRI 是 Kubernetes 提供的 API,用于同容器运行时进行通信以创建/删除容器化应用程序。


各容器化应用程序作为 kubelet 通过 IPC 在 gRPC 内通信,而且运行时也运行在同一主机之上;CRI 运行时负责从 kubelet 获取请求并执行 OCI 容器运行时以运行容器。稍微有点复杂,接下来我们会用图表来解释。



因此,CRI 运行时将执行以下操作:


  1. 从 kubelet 获取 gRPC 请求。

  2. 根据规范创建 OCIjson 配置。


OCI 运行时


OCI 运行时负责使用 Linux 内核系统调用(例如 cgroups 与命名空间)生成容器。您可能听说过 runc 或者 gVisor,这就是了。


附录 1:runC 的工作原理



CRI 会通过 Linux 系统调用以执行二进制文件,而后 runC 生成容器。这表明 runC 依赖于 Linux 计算机上运行的内核。


这也意味着,如果您发现 runC 中的漏洞会使您获得主机 root 权限,那么容器化应用程序同样会造成 root 权限外泄。很明显,恶意黑客会抓住机会入侵主机,引发灾难性的后果。正因为如此,大家才需要不断更新 Docker(或者其他容器运行时),而不仅仅是更新容器化应用程序本身。


附录 2:gVisor 工作原理



gVisor 是最初由谷歌员工创建的 OCI 运行时。它实际上运行在承载各类谷歌云服务(包括 Google Cloud Run、Google App Engine 以及 Google Cloud Functions)的同一套基础设施之上。


有趣的是,gVisor 中包含一个“访客内核”层,意味着容器化应用程序无法直接接触到主机内核层。即使是应用程序“认为”自己接触到了,实际接触到的也只是 gVisor 的访客内核。


gVisor 的安全模式非常有趣,这里建议大家参阅官方说明文档


gVisor 与 runC 的显著差别如下:



总结


1.Docker 确被弃用,大家应该开始考虑使用 CRI 运行时,例如 containerd 与 CRI-O。


a.containerd 与 Docker 相兼容,二者共享相同的核心组件。

b. 如果您主要使用 Kubernetes 的最低功能选项,CRI-O 可能更为适合。


2.明确理解 CRI 运行时与 OCI 运行时之间的功能与作用范围差异。


根据您的实际工作负载与业务需求,runC 可能并不总是最好的选择,请酌情做出考量!


原文链接:


https://dev.to/inductor/wait-docker-is-deprecated-in-kubernetes-now-what-do-i-do-e4m

2020-12-03 13:3011274
用户头像

发布了 1162 篇内容, 共 905.0 次阅读, 收获喜欢 2343 次。

关注

评论 7 条评论

发布
用户头像
换成啥?说话不能说一般;
2020-12-11 15:51
回复
用户头像
弃用?可能么?
2020-12-09 11:34
回复
用户头像
this is the best option as containerd is actually used inside of Docker to do all the "runtime" jobs as you can see in the diagram above

「因为它实际上就是在 Docker 之内起效,可以完成所有“运行时”工作,如上图所示」这个翻译真的是。。。

2020-12-08 16:02
回复
用户头像
docker要成为历史了吗🐶
2020-12-08 10:38
回复
用户头像
docker感觉还是最成熟的,不好换
2020-12-05 11:49
回复
已经生产替换稳定运行近1年了。
2020-12-07 07:27
回复
用户头像
😐
2020-12-04 10:36
回复
没有更多了
发现更多内容

PLG SaaS 案例:如何实践外链自动增长策略?

程序员泥瓦匠

SaaS

bootstrap input框回车后重新刷新页面问题

六月的雨在InfoQ

bootstrap Input 9月月更 表单提交

云效DevOps--效能无极限

六月的雨在InfoQ

云效 Codeup 云效流水线 Flow 9月月更 Thoughts

软件开发正确打开方式:低代码+微服务

力软低代码开发平台

数据产品经理那点事儿二(合集)

松子(李博源)

大数据 深度思考 高效工作

5G网络行业切片SLA初探

鲸品堂

5G 网络切片

数据产品经理那点事儿三(合集)

松子(李博源)

大数据 深度思考 高效工作 数据产品经理

字节、美团、滴滴以及蚂蚁金服Java后端面试过程

收到请回复

Java 程序员 面试 项目 语言 & 开发

融云x白鲸《2022社交泛娱乐出海白皮书》

融云 RongCloud

互联网 白皮书 融云

Python语法之元组

芯动大师

Python 元组 9月月更

开发者测评:相比 Harbor,我选择 ACR 的三点原因

阿里巴巴云原生

阿里云 Kubernetes 容器 云原生 ACR

2022秋招最新整理上千道Java面试攻略,近500页PDF文档

收到请回复

程序员 Java 面试 跳槽 语言 & 开发 秋招

com.alibaba.fastjson 对象转json剔除字段

六月的雨在InfoQ

问题处理 Fastjson index Elastic Search 9月月更

Python语法之集合

芯动大师

集合 9月月更 Python语法

Python语法之函数

芯动大师

你用对了么?对象文件网关 VS 分布式文件存储

焱融科技

云计算 分布式系统 对象存储 高性能 文件存储

NFTScan 与 Banksea Finance 在 NFT 源数据层面达成战略合作

NFT Research

区块链 NFT 合作 web3

The Architecture of Wechat & SMS

David

架构实战营

龙湖千丁基于 ACK@Edge 的云原生智慧停车系统架构实践

阿里巴巴云原生

阿里云 Kubernetes 云原生

面试了一位4年Java的程序员,张口就要35K,还什么都不会...

收到请回复

Java 语言 & 开发 八股文

精品!阿里P7爆款《K8s+Jenkins》技术笔记,高质量干货必收藏

程序知音

ESP32-C3 应用 篇(实例一、通过MQTT协议连接ONENET上报传感器数据,云平台下发灯光调色)

矜辰所致

mqtt ESP32-C3 9月月更 项目应用 OneNet

【编程基础】利用Python实现阿姆斯特朗数的求解

迷彩

Python 9月月更 阿姆斯特朗数 水仙花数

信创升级 | 秒云与人大金仓完成兼容性互认证

MIAOYUN

数据库 信创 国产数据库 信创云 容器云平台

不会还有程序员不知道跳槽季靠这1700道java面试题就能平淌大厂吧

程序知音

Java java面试 后端技术 秋招 Java面试题

Fluid 助力阿里云 Serverless 容器极致提速

阿里巴巴云原生

阿里云 Serverless 云原生 Fluid ASK

开发者有话说|一名高中生的编程之路

Loken

个人成长

旷世巨作!20多位架构师携手打造的“Java 面试核心宝典”限时开源

Geek_0c76c3

Java 数据库 开源 程序员 架构

天猫精灵DIY--技能应用

六月的雨在InfoQ

天猫精灵 功能模型 9月月更 公共实体 语音交互

看大神如何用Maya再现神剧《绝命毒师》主角/场景

Renderbus瑞云渲染农场

Spring 注解 @Resource 与 @Autowired 的区别

六月的雨在InfoQ

注解 依赖注入 @Autowired @Resource 9月月更

重磅!Kubernetes决定弃用Docker_文化 & 方法_Kohei Ota_InfoQ精选文章