集群服务画像

概述

CCE 的服务画像可以查看集群内所有资源的特征和规范性，如镜像检查、应用检查、网络检查、安全检查，并给出对应的评分和详细内容，帮助用户更好的了解集群内服务状况。

注意：服务画像的结果基于前一天的集群数据，且检查规则是一般判定标准，不一定适用于所有业务场景。

检查对象

检查的对象包括：

• 集群内的所有命名空间。
• 资源对象包括：Deployment、DaemonSet、StatefulSet、Service、CronJob、Job。

检查规则

一. 镜像检查

解释：

• tagNotSpecified: 如果不声明镜像的版本(tag)，则默认为 latest。不指定 tag 可能会导致各种各样的问题，如同一时刻不同 pod 可能运行了不同的程序，尽管他们看起来镜像版本是相同的。另外，没有版本标识的镜像在发布时无法区分版本号，无法进行回滚操作。
• pullPolicyNotAlways: 依赖缓存的镜像可能会成为一个问题，尤其是配置了 latest 的 tag 时会直接使用本地缓存的镜像，不去拉取最新镜像。建议配置为 Always，不配置时默认就是 Always。

参考文档：https://vsupalov.com/docker-latest-tag/

错误示例：

1containers:
2  - name: nginx
3    image: hub.baidubce.com/cce/nginx-alpine-go:latest
4    imagePullPolicy: Never

正确示例：

1containers:
2  - name: nginx
3    image: hub.baidubce.com/cce/nginx-alpine-go:v1
4    imagePullPolicy: Always

二. 应用检查

解释：

• 为运行在 Kubernetes 中的容器配置资源请求(request)和限制(limit)是一个典型实践。设置适当的 request 将确保所有应用程序都有足够的计算资源，设置适当的 limit 将确保应用程序不会占用太多资源。
• readinessProbe 和 livenessProbe 可以帮助维护运行在 Kubernetes 中应用程序的健康状态。默认情况下 Kubernetes 只知道进程是否正在运行，而不知道它是否正常。正确配置 readiness 和 liveness 探针还可以确保应用程序的运行状况。

参考文档：

• https://kubernetes.io/docs/concepts/configuration/manage-resources-containers/
• https://cloud.google.com/blog/products/gcp/kubernetes-best-practices-resource-requests-and-limits
• https://kubernetes.io/docs/tasks/configure-pod-container/configure-liveness-readiness-startup-probes/

错误示例：

1没有配置 resources、livenessProbe、readinessProbe

正确示例：

1  resources: # 资源限制
2    limits:
3      cpu: 250m
4      memory: 512Mi
5    requests:
6      cpu: 250m
7      memory: 512Mi
8  livenessProbe: # 健康检查：存活探针
9    httpGet:
10      path: /
11      port: 80
12    initialDelaySeconds: 20
13    timeoutSeconds: 5
14    periodSeconds: 5
15  readinessProbe: # 健康检查：就绪探针
16    httpGet:
17      path: /
18      port: 80
19    initialDelaySeconds: 5
20    timeoutSeconds: 1
21    periodSeconds: 5

三. 网络检查

解释：

• hostNetworkSet: 尽管 Kubernetes 允许部署一个可以访问主机网络名称空间的 pod，但这并不是一个好的实践。在启用 hostNetwork 属性的情况下运行的 pod 将可以访问环回设备、监听本地主机的服务，并可用于窥探同一节点上其他 pod 的网络活动。一些特殊的系统组件可以将 hostNetwork 设置为 true，如 node-exporter 。
• hostPortSet: 在容器上设置 hostPort 属性将确保它可以在部署到的每个节点上的特定端口上访问。但如果指定了 hostPort 将限制在集群中调度 pod 的能力。

参考文档：https://kubernetes.io/docs/concepts/configuration/overview/#services

错误示例：

1spec:
2  hostNetwork: true
3
4  containers:
5    - name: nginx
6      ports:
7        - containerPort: 80
8          hostPort: 80

正确示例：

1spec:
2  hostNetwork: false
3
4  containers:
5    - name: nginx
6      ports:
7        - containerPort: 80

四. 安全检查

解释：

在 Kubernetes 中保护工作负载是整个集群安全的一个重要部分，总体目标应该是确保容器以尽可能少的特权运行。这包括避免权限提升、不使用 root 用户运行容器以及尽可能使用只读文件系统。

参考文档：https://kubernetes.io/docs/tasks/configure-pod-container/security-context/

错误示例：

1spec:
2  hostPID: true
3  hostIPC: true
4  containers:
5    - name: nginx
6      securityContext:
7        capabilities:
8          add: ["SYS_ADMIN"]

正确示例：

1spec:
2  hostPID: false
3  hostIPC: false
4  containers:
5    - name: nginx

计分规则

结果评分的计算方式为：检测通过数/检测总数 * 100

示例页面：