Kubernetes 要弃用docker了，我们该怎么办？-低调大师

Kubernetes 要弃用docker了，我们该怎么办？

2020-12-04 619

对于开发人员

不用过度惊慌，Docker容器和映像仍然存在。不是说世界末日来了，实际上它不会改变一切。

但是值得一读背后的原因：

https://kubernetes.io/blog/2020/12/02/dont-panic-kubernetes-and-docker/

https://kubernetes.io/blog/2020/12/02/dockershim-faq/

对于K8s管理员

仔细阅读并开始考虑Docker替代方案

是标题党吗

不，这是真的发生了。Docker现在在Kubernetes中已弃用。

参考

https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG/CHANGELOG-1.20.md#deprecation

kubelet中的Docker支持现已弃用，并将在以后的版本中删除。Kubelet使用一个名为“ dockershim”的模块，该模块实现了对Docker的CRI支持，并且在Kubernetes社区中看到了维护问题。我们鼓励您评估在可用的容器运行时，它是CRI的完整实现（兼容v1alpha1或v1）。

简而言之，这意味着Docker不支持称为CRI（容器运行时接口）的Kubernetes运行时API，并且Kubernetes人们一直在使用名为“ dockershim”的桥接服务。它转换了Docker API和CRI，但在一些次要版本中将不再从Kubernetes方面提供它。

当然，本地Docker是一个非常强大的工具，可以用来创建开发环境，但是为了了解造成这种情况的原因，您需要了解Docker在当前Kubernetes体系结构中的作用。

Kubernetes是一种基础架构工具，可对许多不同的计算资源（例如虚拟/物理机）进行分组，使它看起来像是巨大的计算资源，可让您的应用程序运行并与他人共享。在这种架构中，Docker（或容器运行时）仅用于通过Kubernetes控制平面进行调度，从而在实际主机中运行这些应用程序。

看一下架构图。您可以看到每个Kubernetes节点都与控制平面通信。kubelet在每个节点上获取元数据，并执行CRI以在该节点上运行创建/删除容器。

但是为什么不再使用Docker？

同样，Kubernetes仅使用CRI进行内部通信，而与Docker通信则需要桥接服务。这就是原因一。

为了解释下一个原因，我们必须稍微了解一下Docker架构。这是Docker的架构图。

是的，Kubernetes实际上需要在红色区域内运行，但是Kubernetes不使用Docker Network和Volume。

如果一个东西拥有很多用户不用的功能，这本身可能会带来安全隐患。您拥有的功能越少，攻击面就越小。

因此，这是后面社区提出来考虑替代方案的地方，称为CRI运行时。

CRI运行时

有两种主要的CRI运行时实现。

containerd

如果您只想从Docker迁移，这是最好的选择，因为容器实际上是在Docker内部使用的，可以完成所有“运行时”工作，如上图所示。他们提供了CRI，这也是Docker提供的100％。

containerd是100％开放源代码，因此您可以在GitHub上查看文档，甚至也可以为此做出贡献。

https://github.com/containerd/containerd/

CRI-O

CRI-O是主要由Red Hat员工开发的CRI运行时。实际上，此运行时现在已在Red Hat OpenShift中使用。是的，他们不再依赖Docker。

有趣的是，RHEL 7也开始不正式支持Docker。相反，它们为容器环境提供Podman，Buildah和CRI-O。

https://github.com/cri-o/cri-o

我认为CRI-O的优势在于它的极简风格，因为它被创建为“ CRI”运行时。尽管容器化作为Docker的一部分试图变得更加开源，但它们是纯CRI运行时，因此CRI-O没有CRI不需要的任何内容。

从Docker迁移到CRI-O可能会更具挑战性，因为它仍然可以提供在Kubernetes上运行应用程序所需的功能。

还有一件事...

当我们谈论容器运行时时，我们需要注意您在谈论哪种类型的运行时。我们确实有两种类型的运行时；CRI运行时和OCI运行时。

CRI运行时

正如我所描述的，CRI是Kubernetes提供的API，用于与容器运行时进行对话，以创建/删除容器化的应用程序。

它们通过IPC在gRPC中作为kubelet进行通信，并且运行时在同一主机上运行，并且CRI运行时负责从kubelet获取请求并执行OCI容器运行时以运行容器。等一下也许我应该用一张图表来解释。

因此，CRI运行时将执行以下操作

从kubelet获取gRPC请求
按照规范创建OCI json配置

OCI运行时

OCI运行时负责使用Linux内核系统调用（例如cgroups和命名空间）生成容器。您可能听说过runc或gVisor。

附录1：runC如何工作

CRI通过调用Linux系统调用执行二进制文件后，runC生成容器。这表明runC依赖Linux计算机上运行的内核。

这也意味着，如果您发现runC的漏洞获得了主机的root特权，那么容器化的应用程序也可以这样做。一个厉害的黑客可能会使您的主机彻底报废！事情肯定会变糟。这就是为什么您也应该不断更新Docker（或任何其他容器运行时）的原因之一，而不仅仅是容器化的应用程序。

附录2：gVisor的工作方式

gVisor最初由Google员工创建的OCI运行时。它实际上在其基础结构上运行，以运行其云服务，例如Google Cloud Run，Google App Engine（第二代）和Google Cloud Functions（甚至更多！）。

这里有趣的是gVisor具有“guest 内核”层，这意味着容器化的应用程序无法直接接触主机内核层。即使他们认为这样做，也只能接触gVisor的guest内核。

gVisor的安全模型实际上非常有趣，值得阅读官方文档，与runC的显着区别如下。

性能较差
Linux内核层不是100％兼容的

查看官方文档的兼容性部分

默认不支持

总结

Docker 确被弃用，大家应该开始考虑使用 CRI 运行时，例如 containerd 与 CRI-O。

containerd 与 Docker 相兼容，二者共享相同的核心组件。
如果您主要使用 Kubernetes 的最低功能选项，CRI-O 可能更为适合。

明确理解 CRI 运行时与 OCI 运行时之间的功能与作用范围差异。

根据您的实际工作负载与业务需求，runC 可能并不总是最好的选择，请酌情做出考量！

原文链接：

https://dev.to/inductor/wait-docker-is-deprecated-in-kubernetes-now-what-do-i-do-e4m

最后，大家如果想加群和各路大拿交流，可以识别下面的二维码加入：

后台回复“加群”，带你进入高手如云交流群

推荐阅读：

60,000毫秒内对Linux进行性能诊断

阿里云深入浅出K8s与CDN排坑指南免费领取

8 个问题彻底搞透 DNS 协议

三张图彻底搞懂iptables和netfilter

▼

喜欢，就给我一个“在看”

10T 技术资源大放送！包括但不限于：云计算、虚拟化、微服务、大数据、网络、Linux、Docker、Kubernetes、Python、Go、C/C++、Shell、PPT 等。在公众号内回复「1024」，即可免费获取！！

本文分享自微信公众号 - Linux云计算网络（cloud_dev）。
如有侵权，请联系 support@oschina.cn 删除。
本文参与“OSC源创计划”，欢迎正在阅读的你也加入，一起分享。

微信关注我们

原文链接：https://my.oschina.net/u/3872630/blog/4774307

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

写代码效率不高？放过 Ctrl C 和 V，让 AI 来能帮你写代码吧

做为程序员，不知道你有没有想像过，如果某天，不再需要面向Google、Stackoverflow编程，不再需要Ctrl + C 和 Ctrl + V，你在IDE里敲出某个编程语言的关键词时，像导航一样，下一步的代码就已经展现出来；做为程序员，不知道你有没有想像过，如果某天，简单说几句话，或者简短写几句，就能够实现你的需求，完成代码开发。谈笑间，bug 灰飞烟灭。一切尽在弹指一挥间；做为程序员，不知道你有没有想像过，如果某天，写程序也能有个智能的助手，像出行、购物一样，告诉你哪个API调用的人更多，他们是怎么用的。那样就会空出大量的时间，去做代码之外，其它你想做的事情。当然，你也可以接更多的需求，写更多的代码嘛 :-) 这样的情况你有没有想过？关于程序员，有个调侃的笑话，大意是这样的：一个程序员，技术水平一般，经常写代码到很晚，bug 还多。他的女朋友很是心疼。后来一段时间，这哥们发现，前一天晚上遗留bug的代码，第二天在公司运行一切正常。太惊讶了。某天半夜醒来忽然发现，他女朋友在电脑上帮他改bug... 看到能写代码改bug的女朋友，是不是让前面的想法更强烈了？梦想还是要有...

2020-12-04

568

为了提高文件的规整程度并让用户可以更好地控制他们的文件，Android 10 为应用引入了名为 "分区存储"的新范式。分区存储改变了应用在外置存储中保存和访问文件的方式，为了帮您迁移应用并支持分区存储，我们概括了常见用例的最佳实践并分享给大家。本文分为上下两篇，分别为您介绍处理媒体文件和非媒体文件的用例和最佳实践，供您参考。处理媒体文件这部分内容描述了处理媒体文件 (如视频、图片、音频文件) 的一些常见用例，并概要说明了应用可以使用的方法。我们制作了一个简单的图片，列出了每种用例以及其在不同系统版本的实践总结: 展示多个文件夹中的图片和视频文件使用query()API查询媒体集合。您可以通过调整projection、selection、selectionArgs与sortOrder参数来对媒体文件进行过滤和排序。展示特定文件夹内的文件和视频使用以下方法: 使用 "请求应用权限"一文中描述的最佳实践来请求READ_EXTERNAL_STORAGE权限。使用MediaColumns.DATA中的值来检索媒体文件，其中包含了磁盘中媒体文件的绝对文件系统路径。访问照片内的位置信息...

2020-12-04

528

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。