作者 | 易立? 阿里云資深技術專家

本文整理自易立在 2019 攜程技術峰會上發表的題目為《拐點已至，云原生引領數字化轉型升級》的演講。

關注“阿里巴巴云原生”公眾號，回復關鍵詞“轉型”即可下載本文 PPT。

今天我跟大家分享的題目是“拐點已至，云原生引領數字化轉型升級”。先做個簡單的自我介紹，我叫易立，來自于阿里云容器平臺，從 2015 年開始負責阿里云容器產品，之前在 IBM 工作 14 年，主要負責企業中間件和云計算的產品研發。

今天會跟大家分享我們對云原生領域的簡單思考，以及我們對云原生發展四個趨勢大概的介紹：

• 擁抱 Serverless – 極致彈性，無需運維；
• 服務網格 – 將服務治理能力與應用解耦，并下沉到基礎設施層；
• 云原生應用管理標準化 – 構建高效、自動化和可信賴的應用交付體系；
• 計算無邊界 – 實現云-邊緣-IoT 設備的高效協同。

云原生基本概念

先簡單介紹云原生一些基本的概念。

我們接觸了很多的客戶，對于這些客戶而言，上不上云已經不是問題，他們關注的是該怎么上云？該如何充分利用云的能力、最大化云的價值？在 All in Cloud 的時代，企業的技術能力已經成為核心競爭力，他們非常愿意用云作為企業 IT 能力的增效器。

云原生計算是一組最佳實踐和方法論，在公共云、專有云環境中，構建可伸縮、健壯、松耦合的應用，可以更加快速地創新和低成本試錯；容器、服務網格、無服務計算等新的計算范型不斷涌現。

容器掀開了云原生技術的序幕：

• Docker 鏡像形成了應用分發和交付的標準，可以將應用與底層運行環境實現解耦；

• Kubernetes 技術成為了分布式資源調度和編排的標準，Kubernetes 屏蔽了底層基礎架構的差異，幫助應用運行在不同的基礎設施之中；

• 在此基礎之上，社區開始建立上層的應用抽象。比如服務治理層，Istio 成為了服務通信的網絡協議棧，將服務治理能力與應用層實現解耦。

在此之上，面向領域的云原生框架也在迅速出現，比如面向機器學習的云原生平臺?Kubeflow?和面向無服務器的?Knative?等等。通過這樣的架構分層，開發者只需關注自身的業務邏輯，而無需關注底層實現的復雜性。

我們可以看到一個云原生操作系統的雛形開始出現，這是開發者最好的時代，極大地提升了業務創新的速度。

在早期，Kubernetes上主要運行無狀態的 Web 應用，比如基于 Apache Dubbo/Spring Cloud 的微服務應用。而現在，越來越多的企業核心業務、數據智能業務以及創新業務也運行在 Kubernetes 之上。

以阿里云自身的云產品舉例，如企業級分布式應用服務 EDAS、實時計算平臺 Flink、彈性 AI 算法服務 EAS 以及區塊鏈平臺 BaaS 也部署在阿里云 Kubernetes 服務 ACK 之上。

K8s 已經成為云時代操作系統，成為應用使用云基礎設施能力的界面。阿里云 ACK 實現了對云基礎設施的優化集成，提供敏捷、彈性和可移植的云原生應用平臺；而且可以在公共云、專有云、邊緣云上實現一致的應用部署和管理。

從容器到無服務器

Serverless Kubernetes

下面我們來談一下，Kubernetes 的 Serverless 進化。

所有人都喜歡 K8s 提供的強大和靈活，但是運維一個 Kubernetes 生產集群極具挑戰。

阿里云的 Kubernetes 服務 ACK 簡化了 K8s 集群的生命周期管理，托管了集群的 master 節點被，但是用戶依然要保有 worker 節點資源池，還需要維護節點，比如進行升級安全補丁等，并根據自己的使用情況對資源層進行容量規劃。

針對 K8s 的運維復雜性挑戰，阿里云推出了 Serverless Kubernetes 容器服務? ASK，完全兼容現有 K8s 容器應用，但是所有容器基礎設施被阿里云托管，用戶可以專注于自己的應用。它具備幾個特點：

• 首先用戶沒有任何預留資源，按照容器應用實際消耗的資源付費；
• 對用戶而言沒有節點的概念，零維護；
• 所有資源按需創建，無需任何容量規劃。

Serverless Kubernetes 極大降低了運維復雜性，而且其自身設計非常適合突發類應用負載，如 CI/CD，批量計算等等。比如一個典型的在線教育客戶，根據教學需要按需部署教學應用，課程結束自動釋放資源，整體計算成本只有使用包月節點的 1/3。

云規模的 Nodeless 架構 —— Viking

它是怎么實現的呢？?在 2017 年底，我們啟動 Serverless Kubernetes 項目的時候，就一直在思考：如果 Kubernetes 天生長在云上，它的架構應該如何設計？我們為它內部的產品代號為 Viking，因為古代維京戰船以迅捷和便于操作而著稱。

首先，我們希望兼容 Kubernetes。用戶可以直接使用 Kubernetes 的聲明式 API，兼容 Kubernetes 的應用定義，Deployment, StatefulSet, Job, Service 等無需修改。

其次 Kubernetes 底層盡可能充分利用云基礎設施服務的能力和云服務來實現，比如計算、存儲、網絡、資源的調度等；根本性簡化容器平臺的設計，提升規模，降低用戶運維復雜性。我們遵從 Kubernetes 控制器設計模式，驅動整個 IaaS 資源狀態不斷地向用戶應用聲明的狀態逼近。

我們在資源層提供了彈性容器實例 - ECI。與 Azure Container Instance ACI, AWS Fargate 不同，ECI 提供 Kubernetes Pod 的原生支持而不是提供單獨 container 實例。ECI 基于輕量虛擬機提供了沙箱環境實現安全隔離，完全兼容 Pod 的語義、支持多容器進程、健康檢查、啟動順序等能力。這樣使得上層構建 K8s 兼容層，變得非常簡單直接。

在編排調度層，我們使用了微軟的 Virtual-Kubelet，并對其進行了深度擴展。Virtual-Kubelet 提供了一個抽象的控制器模型來模擬一個 Kubernetes 節點。當一個 Pod 被調度到虛擬節點上，控制器會利用 ECI 服務創建一個 ECI 實例來運行 Pod。同時控制器支持雙向狀態同步，如果一個運行中的 ECI 實例被刪除，控制器會根據應用目標狀態重新恢復一個新的 ECI 實例。

同時我們基于阿里云的云服務實現了 Kube-Proxy、Kube-DNS、Ingress Controller 的行為，提供了完整的 Kubernetes Service 能力支持：

• 比如利用阿里云的 DNS 服務 PrivateZone，為 ECI 實例動態配置 DNS 地址解析，支持了 Headless Service；
• 通過內網 SLB 提供了 Cluster IP，提供負載均衡能力；
• 通過 SLB 提供的 7 層路由來實現 Ingress 的路由規則。

我們也為 ECI 提供了端到端可觀測性能力，并與阿里云日志服務，云監控等服務進行了深度集成，也可以輕松支持 HPA 水平擴容。

容器啟動加速——“零秒”鏡像下載

對于 Serverless 容器技術而言，應用啟動速度是一個核心指標。容器對應用啟動速度的影響主要在于：

• 資源的準備：通過端到端管控鏈路的優化和針對容器場景虛擬化和操作系統的剪裁和優化，ECI 可以將資源準備時間優化到秒級；

• 鏡像下載時間：從 Docker 鏡像倉庫下載鏡像并在本地解壓縮是一個非常耗時的操作。下載時間取決于鏡像大小，通常在 30 秒到數分鐘不等。

在傳統?Kubernetes 中， worker 節點會在本地緩存已下載過的鏡像，這樣下次啟動不會重復下載和解壓。為了實現極致彈性成本效率，ECI 和 ECS 采用并池的策略，計算存儲分離的架構，這也意味著我們不可能通過傳統方式利用本地盤來做容器鏡像的緩存。

為此我們實現了一個創新的方案：可以將容器鏡像制作成一個數據盤快照。

當 ECI 啟動時，如果鏡像快照存在，可以直接基于快照創建一個只讀數據盤，并隨著實例啟動自動掛載，容器應用直接利用掛載數據盤作為 rootfs 進行啟動。基于盤古 2.0 架構和阿里云 ESSD 云盤的極致 I/O 性能，我們可以將鏡像加載的時間縮小到 1 秒以內。

為了簡化用戶操作，我們在 K8s 中提供了 CRD 可以讓用戶指明哪些鏡像需要構建鏡像快照。同時，在 ACR 鏡像倉庫服務的軟件交付流水線上，我們可以聲明哪些鏡像需要進行加速，這樣當用戶推送一個新鏡像時，就會自動構建相應的快照緩存。

極致彈性

下面談彈性，對于絕大多數的企業來講，彈性是上云最重要的一個訴求，雙 11 就是一個典型的脈沖式計算，峰值計算資源會是平時的很多倍。也有不可預期的峰值發生，比如一個爆款游戲大熱之后，就需要迅速地在云上擴容。Kubernetes 可以將云的彈性能力發揮到極致。

ACK 在資源層和應用層提供了豐富的彈性策略，在資源層目前主流的方案是通過 cluster-autoscaler 進行節點的水平伸縮。當出現 Pod 由于資源不足造成無法調度時，cluster-autoscaler 會選擇一個伸縮組中，并自動向組內加入實例。

在彈性伸縮組中，我們可以根據應用負載需求選擇 ECS 虛擬機，神龍裸金屬和 GPU 實例進行擴容。值得一提的是 Spot instance，競價實例可以利用阿里云的空閑計算資源，成本折扣可以低至按量付費實例的 90%。

競價實例非常適合無狀態和容錯性好的應用，比如批量數據處理或者視頻渲染等，可以大大降低計算成本。基于阿里云強大的彈性計算能力，我們可以在分鐘級實現千節點伸縮。

進一步結合上文提到的 ECI，我們可以在 ACK 中基于虛擬節點實現彈性伸縮。virtual-kubelet 可以注冊為一個虛擬節點，理論上擁有無限大的容量。當 Pod 調度到虛擬節點上時，會利用 ECI 動態創建 Pod，這非常適合大數據離線任務、CI/CD 作業、突發型在線負載等。在一個大型客戶的生產環境中，彈性容器實例可以在 30 秒內啟動 500 Pod，輕松應對突發的請求峰值。

在應用層，Kubernetes 提供了 HPA 的方式進行 Pod 的水平伸縮，和 VPA 進行 Pod 的垂直伸縮。阿里云提供了 alibaba-cloud-metrics-adapter，可以提供更加豐富的彈性指標，比如可以根據 Ingress Gateway 的 QPS 指標、云監控的指標，動態調整應用 Pod 數量。

另外對很多行業客戶而言，應用負載的資源畫像是具有周期性的。比如，我們一個證券行業的客戶，每周一到周五，股市開盤時間是交易時間，而其他的時間，只能查詢不提供交易，峰谷資源需求量高達 20 倍以上的差異。

為了解決這個場景，阿里云容器服務提供了定時伸縮組件，專門應對資源畫像存在周期性的場景 ，開發者可以定義 time schedule，提前擴容好資源，而在波谷到來后定時回收資源；結合底層 cluster-autoscaler 的節點伸縮能力，很好平衡了系統的穩定性和資源成本的節約。

未來我們會發布一些基于機器學習的彈性伸縮策略，可以根據歷史資源畫像，實現更好地資源預測，提升彈性的 SLA。

賦能下一代無服務器應用

[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片保存下來直接上傳(img-KhrmWrn4-1574234542123)(https://yqfile.alicdn.com/4b7a620e7328fd95049c0f98b8ea90cd32da0b28.jpeg)]

上文說到了為什么 Serverless 受到越來越多開發者的歡迎，因為大家更關注自己的業務，而不是基礎設施的維護。Serverless 化是云服務發展的必然趨勢，我們需要將資源調度，系統運維等能力下沉到基礎設施。Google, IBM，CloudFoundry 等共同推出了 Knative 作為 Serverless 編排框架，可以非常簡潔、高效地實現無服務器化應用。它提供了幾個核心能力：

• Eventing - 提供了事件驅動的處理模型，我們針對阿里云，擴展了豐富的事件源，比如當 OSS 接收到用戶上傳的一個視頻片段，觸發容器中的應用進行視頻轉碼；

• Serving- 提供了靈活的服務響應能力，可以根據業務的請求量自動彈性伸縮，甚至支持縮容到零，利用阿里云彈性基礎設施，可以大大降低資源成本；

• Tekton - 可以輕松實現從代碼到應用部署的自動化流水線。

結合應用管理能力和應用性能監控服務, 我們可以基于 Knative 快速搭建具備領域特色的應用托管服務 (Micro PaaS)，大大降低直接操作 Kubernetes 資源的復雜度，讓開發者更加專注于應用迭代和服務交付效率提升。

安全沙箱容器技術進化

剛才談完了編程模型，看一下底層實現，所有的 Serverless下面核心實現就是安全容器沙箱。傳統的 Docker RunC 容器與宿主機 Linux 共享內核，通過 CGroup 和 namespace 實現資源隔離。這種方式非常高效，但是由于操作系統內核的攻擊面比較大，一旦惡意容器利用內核漏洞，可以影響整個宿主機上所有的容器。

越來越多企業客戶關注容器的安全性，為了提升安全隔離，阿里云和螞蟻金服團隊合作，引入安全沙箱容器技術。今年 9 月份我們發布了基于輕量虛擬化技術的 RunV 安全沙箱。相比于 RunC 容器，每個 RunV 容器具有獨立內核，即使容器所屬內核被攻破，也不會影響其他容器，非常適合運行來自第三方不可信應用或者在多租戶場景下進行更好的安全隔離。

經過性能優化，安全沙箱容器現在可以達到 90% 的原生 RunC 性能，并且 RunV 容器提供了和 RunC 容器完全一致的用戶體驗，包括日志、監控、彈性等。同時，ACK 可以在一臺神龍裸金屬實例上同時混布 RunC 和 RunV 容器，用戶可以根據自己的業務特性自主選擇。

在財年年底，我們會推出基于 Intel SGX 可信計算技術的可信容器沙箱 RunE。容器應用運行在 CPU 中被稱為 enclave 的安全可信執行環境中。一個比喻：我們把容器放進了保險箱，任何人，包括云服務供應商，都無法從外部篡改和截獲之中數據。客戶可以將高機密應用，比如秘鑰的加簽、驗簽，隱私數據處理等邏輯運行在 RunE 容器中。

從微服務到服務網格

下面談另外一個方面——微服務架構的演化。?互聯網應用架構催生了微服務架構的發展。它的核心思想是通過應用功能拆分，將復雜應用拆解為一組松耦合服務，每個服務遵守單一責任原則（Single Responsibility Principle）。每個服務可以獨立部署和交付，大大提升了業務敏捷性；每個服務可以獨立橫向擴展/收縮，應對互聯網規模的挑戰。

服務治理能力下沉

微服務框架，比如 HSF/Dubbo 或 Spring Cloud，都提供了強大的服務治理能力，比如服務發現、負載均衡、熔斷降級等。這些服務治理能力以 Fat SDK 的方式與應用程序構建在一起，隨著應用一起發布和維護，服務治理能力與業務邏輯的生命周期耦合在一起。

微服務框架的升級會導致整個應用的重新構建和部署。此外由于 Fat SDK 通常與特定語言所綁定，難以支持企業應用的多語言（polyglot）實現。

為了解決上述挑戰，社區提出了 Service Mesh（服務網格）架構。它將服務治理能力下沉到基礎設施，通過一個獨立的 Sidecar 進程來提供服務治理能力，而應用側只保留協議的編解碼即可。從而實現了服務治理與業務邏輯的解耦，二者可以獨立演進不相互干擾，提升了整體架構的靈活性；同時服務網格架構減少了對業務邏輯的侵入性，降低了多語言支持的復雜性。

服務網格

在阿里巴巴經濟體內部，我們已經開始大規模應用服務網格技術，來提供多語言支持，降低業務對接門檻；提供統一架構模式，提升技術迭代速度。以 Istio 為代表的服務網格技術具有光明的前途，但是大規模生產落地時仍然存在非常多的挑戰。

• 首先是 Istio 服務網格技術自身的復雜性；

• 其次是規模化帶來的穩定性和性能的挑戰：

  • 在海量服務的情況下，控制平面是否可以支持服務配置的高效分發？
  • 數據平面是否可以盡可能降低增加兩跳后的通信延遲？
  • 下沉可觀測性和策略管理能力到數據平面，避免集中化 Mixer 引入的性能瓶頸等。

• 最后是和現有的微服務架構兼容并存，支持現有微服務的統一配置管理服務和通信協議。

為了解決上述挑戰，阿里巴巴和螞蟻金服與 Istio 社區兼容的技術體系上，構建了服務網格能力。在今年 618，螞蟻金服已經完成核心系統上到 SOFAMosn 的驗證工作，剛剛結束的雙 11，阿里巴巴和螞蟻金服在核心系統大規模上線了 Service Mesh。

同時阿里巴巴經濟體會把自身技術演進的結果及時反饋到上游去，與社區共同推進 Service Mesh 發展。比如在阿里巴巴開源的服務發現與配置管理項目 Nacos 最新版本中，就提供了 Istio 對 MCP 協議支持。?晚些時候，阿里云會推出托管 Service Mesh 服務，幫助云上的開發者能夠便捷地使用服務網格技術。

聚焦應用生命周期

另外一個關注的焦點是應用生命周期的自動化、標準化。我們知道 Kubernetes 的定位是?Platform for Platform，幫助企業實現自動化應用運維、管理。

[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片保存下來直接上傳(img-aWGtrAos-1574234542125)(https://yqfile.alicdn.com/8cc9b27758bcb36b7856215e00479408212b4a3f.jpeg)]

Kubernetes 為分布式應用管理提供了很多基礎的元語抽象，比如面向無狀態應用的 Deployment 和面向有狀態應用的 StatefulSet。但是在企業生產環境中，面對應用的不同需求，現有能力還存在一些不足。參加技術分享我們經常會聽到每個企業都在談如何修改 K8s 來解決自己的問題，這里面很多問題都是相似的。

OpenKruise

作為云原生技術的引領者，阿里巴巴將我們在云原生計算技術上大規模生產的最佳實踐沉淀下來，以開源項目 OpenKruise 的方式與社區開放、共建。

• 一方面幫助企業客戶在云原生的探索的過程中，少走彎路，減少技術碎片；
  
• 一方面推動上游技術社區，逐漸完善和豐富 Kubernetes 的應用周期自動化能力。

以如下幾個新的控制器為例：

• Broadcast Job：可以讓一次性任務運行在機器上指定的節點，比如我們要在節點上安裝安全補丁，或者在節點上預先下載一個容器鏡像；

• Sidecar Set：越來越多的運維能力以 Sidecare 方式提供，比如日志、監控、和服務網格中的數據平面組件 Envoy。我們可以通過 Sidecar Set 以聲明式方法管理 Sidecar的生命周期；

• Advanced StatefulSet: 支持原地發布和批量升級，讓大家在更加簡單地支持有狀態服務。

這些控制器解決了很多客戶的真實痛點。

OAM-首個開放應用模型

在 11 月 16 日，微軟和阿里云共同發布了 Open Application Model（OAM），希望能夠建立起一個標準化的云原生應用模型，幫助開發者、應用運維和基礎設施運維團隊，進行更加高效的協同。

它采用的關注點設計標準包括不同的維度，開發者負責定義應用的組件、依賴與架構；應用運維人員負責定義應用運行時配置與運維需求，比如發布策略和監控指標，而基礎架構運維團隊可以針對應用部署環境的不同，配置定制化參數。

通過這種關注點分離（Separation of Concerns）的設計，可以將應用定義、運維能力與基礎設施實現解構。讓應用交付變得更加高效、可靠和自動化。

計算無邊界

最后一個方面，我們來講一下對未來無邊界云計算的思考。?隨著 5G 時代的臨近，低延遲網絡、AI 硬件算力提升和智能化應用快速發展，一個萬物智聯的時代必將到來，將計算能力從云延展到到邊緣側、設備側，并通過云進行統一應用交付、資源管控，將會是云計算發展的必然趨勢。

云邊端一體協同

基于容器，我們建立了云邊端一體協同平臺 —— ACK@Edge。這樣我們可以將一些需要低延遲處理的應用部署在邊緣節點實現就近訪問。比如，我們可以把 AI 模型預測和實時數據處理放置到邊緣，進行實時智能決策，而將模型訓練，大數據處理等需要海量算力應用放到云端。

ACK 邊緣版提供了統一管控能力，在 K8s 集群中可以同時支持云端 ECS、邊緣 ENS 節點以及 IoT 設備。并且針對邊緣的特殊性，提供了單元化隔離和斷連自治、自愈能力。我們已經在阿里云視頻云、優酷等場景中開始大規模應用。

優酷筋斗云

我們以優酷筋斗云為例介紹其計算架構演進。

優酷是國內最大的視頻平臺，隨著優酷業務的快速發展，需要將原來部署在若干 IDC 內的集中式架構，演進到云 邊緣計算的架構。這時候需要一種方式來統一管理阿里云十幾個 region 和眾多的邊緣節點。

優酷選擇了 ACK@Edge，可以統一管理云與邊緣的節點，并實現了統一的應用發布和彈性擴縮容。通過彈性能力，節省了機器成本?50%。采用新的架構之后，用戶終端可以就近訪問邊緣節點，讓端到端網絡延遲降低了?75%。

源于社區，回饋開源

最后，云原生技術源自于社區的共同的建設。阿里巴巴作為云原生的實踐者和引領者，全面擁抱云原生技術，并將我們在大規模生產最佳實踐回饋到社區，與社區共同建設更加美好的云原生技術生態。

“ 阿里巴巴云原生微信公眾號（ID：Alicloudnative）關注微服務、Serverless、容器、Service Mesh等技術領域、聚焦云原生流行技術趨勢、云原生大規模的落地實踐，做最懂云原生開發者的技術公眾號。”

總結

以上是生活随笔為你收集整理的拐点已至，云原生引领数字化转型升级的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。