銀行容器云平臺架構實踐

分享內容容器平臺（PaaS）建設應用推廣第一頁，共13頁。為云原生應用開發(fā)和運維提供最佳技術實踐持續(xù)集成、鏡像分層和打包持續(xù)交付、鏡像倉庫分發(fā)、自動化部署配置管理服務編排服務注冊發(fā)現、負載均衡服務網關、服務限流、服務降級服務追蹤斷路器提高資源使用效率快速啟動和擴縮容容器調度故障檢測恢復屏蔽環(huán)境差異開發(fā)人員友好第二頁，共13頁。為微服務運行提供實用框架工具為開發(fā)人員提供快速構建、運行分布式應用的實用工具（配置中心，服務注冊發(fā)現，服務網關，斷路器，智能路由，分布式事件追蹤等）PaaS不僅提供輕量的容器基礎設施，更為微服務運行而提供專業(yè)支持的Spring

Cloud框架，應用無需再集成微服務框架第三頁，共13頁。DevOps流水線工具集1源代碼開發(fā)團隊構建報告源代碼構建靜態(tài)代碼分析版本庫代碼覆蓋率分析構建完成23459自動化流水線自動化單元測試JunitJenkins6788自動部署B(yǎng)itbucketGITJenkins第四頁，共13頁。6容器扁平化網絡方案Web容器Web容器MySQL容器容器宿主機1docker0

bridge容器宿主機2docker0

bridge192.168.1.3:3306172.17.0.2:3306(PortMapping)docker0bridgedocker0bridgeWeb容器10.1.1.10MySQL容器Web容器10Docker

ov-000100Docker

ov-000100Web1容器MySQL2容器Web2容器MySQL1容器Docker

ov-000101Docker

ov-000101OverlayOverlay扁平網絡方案原生網橋+NAT方案Overlay網絡方案原生網橋+NAT方案技術特點：同一主機容器間通過網橋，管理簡單清晰不同主機容器間需要做MAP，性能損失大，端口競爭嚴重傳統(tǒng)網絡架構中防火墻、安全漏掃等服務不能為容器服務扁平網絡方案技術特點：扁平網絡，每個容器IP路由可達，無Overlay，性能達到最優(yōu)，但消耗IP多容器網絡充分發(fā)揮傳統(tǒng)網絡架構中防火墻、負載均衡器、安全漏掃、APM等服務Overlay網絡方案技術特點：Docker

engine間通信創(chuàng)建Overlay網絡主機間容器通過VXLAN互聯傳統(tǒng)網絡架構中防火墻、安全漏掃等服務不能為容器服務第五頁，共13頁。應用統(tǒng)一建模和自動部署應用建模微服務編排應用目錄部署運行金融云服務門戶金融云PAAS部署應用上架應用以TOSCA標準保存租戶容器集群應用模型根據應用等級信息和宿主機節(jié)點信息部署微服務通過PaaS接口，向PaaS傳遞應用建模數據彈性擴縮微服務調度故障恢復負載均衡翻譯成YML為微服務運行管理策略應用監(jiān)控動態(tài)調整運行策略獲取監(jiān)控數據用于展現微服務運行框架容器調度第六頁，共13頁。滿足金融業(yè)務的更高要求符合監(jiān)管合規(guī)的安全性

租戶隔離/權限分級

應用安全分級、防火墻、WAF、漏洞掃描、事件審計、日志分析等更高的可用性和連續(xù)性

雙活部署、兩地三中心、同城備份/切換、異地備份/切換

應用高可用和連續(xù)性分級第七頁，共13頁。租戶A應用容器租戶B應用容器等保2級應用容器等保3級應用容器安全隔離方案支持多租戶隔離及不同安全等級應用的隔離vFW容器宿主機租戶A等保2級應用容器租戶A容器集群租戶A等保3級應用容器vFW容器宿主機租戶B等保2級應用容器租戶B容器集群租戶B等保3級應用容器DC

Core根據應用類型和等保級別設置網絡安全區(qū)跨越網絡區(qū)域時需要經過防火墻。防火墻策略根據應用等保級別和應用間必要的訪問關系而設置等保2區(qū)隔離網等保3區(qū)隔離網等保2區(qū)隔離網等保3區(qū)隔離網業(yè)務網業(yè)務網業(yè)務網業(yè)務網第八頁，共13頁。支持的安全與合規(guī)策略漏洞掃描系統(tǒng)（操作系統(tǒng)，中間件，數據庫）應用（開放的服務端口，弱密碼，跨站腳本，SQL注入）4A納管Root賬戶上收App賬戶有限賦權WAF應用流量分析SSL通信鏈路加密應用審計應用日志，客戶行為登記第九頁，共13頁。從多個層級保障高可用和連續(xù)性微服務平臺應用微服務容器實例的放置策略（不同實例運行于不同可用區(qū)）微服務容器實例的故障檢測、遷移恢復控制節(jié)點多活

+

數據庫集群及一致性同步鏡像倉庫高可用及數據備份計算節(jié)點來自數據中心的不同高可用模塊不中斷服務的平臺升級方式適應應用高可用等級的同城雙中心雙活部署適應應用高可用等級的同城災備切換適應應用連續(xù)性等級的持久化數據備份方案適應應用連續(xù)性等級的RTO/RPO第十