常见的银行容器云平台架构实践.pptVIP

银行容器云平台架构实践 技术创新，变革未来 分享内容 容器平台（PaaS）建设 应用推广 为云原生应用开发和运维提供最佳技术实践 持续集成、镜像分层和打包 持续交付、镜像仓库分发、自 动化部署 配置管理 服务编排 服务注册发现、负载均衡 服务网关、服务限流、服务降级 服务追踪 断路器 提高资源使用效率 快速启动和扩缩容 容器调度 故障检测恢复 屏蔽环境差异 开发人员友好 为微服务运行提供实用框架工具 为开发人员提供快速构建、运 行分布式应用的实用工具（配 置中心，服务注册发现，服务 网关，断路器，智能路由，分 布式事件追踪等） PaaS不仅提供轻量的容器基础 设施，更为微服务运行而提供 专业支持的Spring Cloud框架， 应用无需再集成微服务框架 DevOps流水线工具集 1 源代码 开发团队 构建报告 源代码构建 静态代码分析 版本库 代码覆盖率 分析 构建完成 2 3 4 5 9 自动化 流水线 自动化单元 测试 Junit Jenkins 6 7 8 8 自动部署 Bitbucket GIT Jenkins 6 容器扁平化网络方案 Web容器 172.17.0.2 Web容器 172.17.0.3 MySQL容器 172.17.0.2 容器宿主机1 docker0 bridge 192.168.1.2 容器宿主机2 docker0 bridge 192.168.1.3 192.168.1.3:3306172.17.0.2:3306 (Port Mapping) docker0 bridge docker0 bridge Web容器 10.1.1.10 MySQL容器 10.1.1.12 Web容器 10.1.1.11 55.0.1.2 55.0.1.3 Docker ov-000100 Docker ov-000100 Web1容器 10.0.0.2 MySQL2容器 10.0.1.3 Web2容器 10.0.1.2 MySQL1容器 10.0.0.3 Docker ov-000101 192.168.1.2 Docker ov-000101 192.168.1.3 Overlay Overlay 扁平网 络方案 原生网 桥+NAT 方案 Overlay 网络方 案 原生网桥+NAT方案技术特点： 同一主机容器间通过网桥，管理简单清晰 不同主机容器间需要做MAP，性能损失大，端口竞争严重 传统网络架构中防火墙、安全漏扫等服务不能为容器服务 扁平网络方案技术特点： 扁平网络，每个容器IP路由可达，无 Overlay，性能达到最优，但消耗IP多 容器网络充分发挥传统网络架构中防火墙、 负载均衡器、安全漏扫、APM等服务 Overlay网络方案技术特点： Docker engine间通信创建Overlay网络 主机间容器通过VXLAN互联 传统网络架构中防火墙、安全漏扫等服务不能为容器服务 应用统一建模和自动部署 应用建模 微服务编排 应用目录 部署运行 金融云服务门户 金融云PAAS 部署应用 上架应用 以TOSCA 标准保存 租户容器 集群 应用 模型 根据应用等级信息 和宿主机节点信息 部署微服务 通过PaaS接口， 向PaaS传递应用 建模数据 弹性扩缩 微服务调度 故障恢复 负载均衡 翻译成 YML为 微服务 运行管 理策略 应用监控 动态调整运行策略 获取监控数据用于展现 微服务运 行框架 容器调度 满足金融业务的更高要求 符合监管合规的安全性  租户隔离/权限分级  应用安全分级、防火墙、WAF、漏洞扫描、事件审计、日志分析等 更高的可用性和连续性  双活部署、两地三中心、同城备份/切换、异地备份/切换  应用高可用和连续性分级 租户A应用容 器 租户B应用容 器 等保2级 应用容器 等保3级 应用容器 安全隔离方案支持多租户隔离及不同安全等级应用的隔离 vFW 容器宿 主机 租户A等保2 级应用容器 租户A容器集群 租户A等保3 级应用容器 vFW 容器宿 主机 租户B等保2 级应用容器 租户B容器集群 租户B等保3 级应用容器 DC Core 根据应用类型和等保级别设置网络 安全区 跨越网络区域时需要经过防火墙。 防火墙策略根据应用等保级别和应 用间必要的访问关系而设置 等保2区 隔离网 等保3区 隔离网 等保2区 隔离网 等保3区 隔离网 业务网 业务网 业务网 业务网 支持的安全与合规策略 漏洞扫描 系统（操作系统，中间件，数据库） 应用（开放的服务端口，弱密码，跨站脚本，SQL注入） 4A纳管 Root账户上收 App账户有限赋权 WAF 应用流量分析 SSL 通信链路加密 应用审计 应用日志，客户行为登记 从多个层级保障高可用和连续性 微服务 平台 应用 微服务容器实例的放