摘要：微服务改造是政企客户云原生演进的重头戏，但如何做到成本低、安全性高、性能不变、方便调用等，却是一门学问。本文讲述华为云Stack的解决之道。
本文分享自华为云社区《【华为云Stack】【大架光临】第17期：更安全、更低耗的微服务架构改造之道》，作者：杨奕 华为云技术规划专家。
在以往的文章《云原生时代，政企混合云场景IT监控和诊断的难点和应对之道》中，我们介绍了几种微服务架构模式，如下图所示：
注：图片来源 https://twitter.com/bibryam/status/1026429379587567616
今天主要是介绍，第一种 SOA/ESB架构，在Java语言场景下，如何朝第三种 云原生ServiceMesh架构 演进的问题。
首先我们来看看 SOA/ESB 架构 在目前云上架构的典型架构模式。
如下图所示，以华为云为例，以该模式部署应用时，其使用到的典型云服务为 弹性负载均衡 (ELB) + 弹性伸缩 (AS，包含ECS) 。在这种场景下：
• 需要发起调用客户端的程序，通过配置好的域名或地址，直接调用到ELB上，通过ELB去调用到后端的ECS服务器。
• ELB上需要配置后端服务器的多个IP地址。当然，一般这类操作可以简化为添加某类弹性伸缩组。这样，当ECS发生弹性伸缩时管理员无需处理ELB配置，ELB即可自动刷新ECS的IP列表的变化。 (配置操作可参见：https://support.huaweicloud.com/usermanual-as/as_01_0102.html )
值得注意的是，以上的模式可能存在几种变种。
• 对于ELB，可能会采用API网关替代，或者用户自建的KONG、APISIX、Envoy等，具体取决各个企业的自身业务场景。例如，某些互联网公司倾向于采用企业自建的KONG，其主要原因是除了基本的服务发现和负载均衡能力以外，网关还需要处理面向内部跨域调用的一些鉴权情况处理。
• 对于弹性伸缩，可能也会直接采用Kubernetes的Deployment + HorizontalPodAutoscaler替代。这当然取决于企业内部的基础架构采用情况，看是更倾向于使用虚拟机架构还是容器架构。
以上架构虽然在隔离性、安全性上存在一定优点，但是短板也非常明显。
• 性能和资源开销。这个比较好理解，相对微服务架构，SOA/ESB架构上网络增加了额外一跳，而且ELB的引入也会导致资源的额外消耗增多。
• 运维成本。毕竟额外引入了一个ELB的组件，因此在微服务之间调用时，瓶颈在哪里，ELB是否需要扩缩容，都是问题。
对于如何改造 SOA/ESB 架构，朝微服务架构或云原生架构演进，业界也有很多方法。主要是以下两类：
• 通过修改代码，将应用改造为微服务架构。例如直接在代码中引入比如SpringCloud的服务注册发现和负载均衡等组件。当然，这种改造往往并不简单，主要取决于现有应用已采用的开发框架等。比如应用本身没有采用spring来进行开发，那么直接采用SpringCloud可能会为应用带来海量的改造成本。
• 采用istio方案，通过有限改造应用，将架构升级为ServiceMesh架构。之所以该方案是有限改造，是因为在服务调用方式上，istio方案对应用并不是完全无限制。其至少需要在客户端将调用的http调用地址改造成为k8s原生的服务地址，调用的服务治理才能被envoy有效接管。当然，改造完毕后，用户在接下来面向边车的性能衰减，以及更复杂的调用运维问题上，恐怕一个也不会少。
综上所述，两种方案都存在比较明显的短板。接下来分析下采用Sermant方式进行架构改造，如何弥补上述两种方案的短板。
Sermant对SOA/ESB架构升级的一些思路
采用Sermant (https://sermant.io/zh/ ) 对SOA/ESB架构升级，本质上的最后的架构终态是Service-Mesh。因为采用的方法稍有不同，方案在性能和运维问题上都不存在短板。主要是以下两点：
• 首先，Sermant采用JavaAgent来动态注入增强的服务逻辑治理，因此应用侧理论可以做到完全不用改代码。
• 其次，由于Sermant的核心逻辑是以AOP (面向切面编程) 方式，JavaAgent和业务属于同一进程，因此在性能方面不存在sidecar形态的特别大的损耗。
Sermant方案架构如下图所示：
在核心技术点上，Sermant改造方案的功能主要有以下几个方面：
• 内置的服务注册发现机制。(上图中的第一点和第三点)
• 域名到应用名的转换。(上图中的第二点)
• 增强的客户端侧负载均衡、重试、隔离、降级机制。(上图中的第四点)
以上便是Sermant改造方案的主要功能点。另外，在实操中如何针对现有环境进行升级还需要一定方法，避免对现有环境进行太大冲击。以下详细叙述。
应用改造在具体局点上不可能一蹴而就，因此在具体上实施上肯定是一个慢慢灰度的过程。以Kubernetes容器场景为例，介绍下在上百个微服务应用上千实例的情况下，如何采用Sermant对SOA/ESB基于灰度进行安全可控的云原生架构升级。
以下为准备工作：
• 准备步骤一：自身应用是否支持。当前Sermant支持的微服务升级的Java框架可以在该文档中查询。如未支持，可以考虑给社区提Issue解决。
• 准备步骤二：在Kubernetes中安装Injector，方便以非侵入方式让Java应用自动挂载Sermant JavaAgent.
以下介绍详细实施过程。假设初始架构如下。一共三个App，其中App1通过ELB连接到App2和App3。为简化表述，图中为应用均为单实例，实际生产中的实例可能会有多个。
接下来，在Kubernetes中对新版本的App1, App2进行发布(图中为V2版本)，并在发布时携带Sermant Javaagent，以及激活SpringBoot注册插件。但是此时可以先不配置Provider白名单规则，因此发布后，应用流量应该还是走ELB，未发生任何变化。
接着在配置中心，将App2加入到白名单中。此时，对识别到App2的应用，挂有Sermant Javaagent的App1实例 (图中的V2实例) 会对App2的实例以负载均衡方式直接发起调用。与此同时，App1访问App3的流量没有变化。
验证成功后，删除App1、 App2的V1版本，App1到App2的流量通过注册中心的注册发现，完全实现直连。同时，App1访问App3的流量维持不变。
至此，使用Sermant对App1、App2的云原生架构升级结束。后续其他App应用，可以按照类似方案，进行灰度升级，直至所有应用全部挂载上Sermant，完成微服务直连改造。
Sermant 作为专注于服务治理领域的字节码增强框架，致力于提供高性能、可扩展、易接入、功能丰富的服务治理体验，并会在每个版本中做好性能、功能、体验的看护。
当前Sermant已在Huawei Cloud Stack (HCS)中的ROMA Factory被集成，用户可以在华为云Stack ROMA Factory中使用相关功能。
https://www.huaweicloud.com/zhishi/solution-ROMA-Factory-jiagou.html
开发者也可以加入到Sermant社区，参与相关功能的讨论和共建。
• Sermant 官网：https://sermant.io
• GitHub 仓库地址：https://github.com/huaweicloud/Sermant
我正在编写一个小脚本来定位aws存储桶中的特定文件，并创建一个临时验证的url以发送给同事。(理想情况下，这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针，它似乎不符合这个标准，但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A
在Ruby中是否有Gem或安全删除文件的方法？我想避免系统上可能不存在的外部程序。“安全删除”指的是覆盖文件内容。 最佳答案 如果您使用的是*nix，一个很好的方法是使用exec/open3/open4调用shred:`shred-fxuz#{filename}`http://www.gnu.org/s/coreutils/manual/html_node/shred-invocation.html检查这个类似的帖子:Writingafileshredderinpythonorruby?
这篇文章是继上一篇文章“Observability：从零开始创建Java微服务并监控它（一）”的续篇。在上一篇文章中，我们讲述了如何创建一个Javaweb应用，并使用Filebeat来收集应用所生成的日志。在今天的文章中，我来详述如何收集应用的指标，使用APM来监控应用并监督web服务的在线情况。源码可以在地址 https://github.com/liu-xiao-guo/java_observability 进行下载。摄入指标指标被视为可以随时更改的时间点值。当前请求的数量可以改变任何毫秒。你可能有1000个请求的峰值，然后一切都回到一个请求。这也意味着这些指标可能不准确，你还想提取最小/
我正在使用ruby2.1.0我有一个json文件。例如:test.json{"item":[{"apple":1},{"banana":2}]}用YAML.load加载这个文件安全吗？YAML.load(File.read('test.json'))我正在尝试加载一个json或yaml格式的文件。 最佳答案 YAML可以加载JSONYAML.load('{"something":"test","other":4}')=>{"something"=>"test","other"=>4}JSON将无法加载YAML。JSON.load("
默认情况下:回形针gem将所有附件存储在公共(public)目录中。出于安全原因，我不想将附件存储在公共(public)目录中，所以我将它们保存在应用程序根目录的uploads目录中:classPost我没有指定url选项，因为我不希望每个图像附件都有一个url。如果指定了url:那么拥有该url的任何人都可以访问该图像。这是不安全的。在user#show页面中:我想实际显示图像。如果我使用所有回形针默认设置，那么我可以这样做，因为图像将在公共(public)目录中并且图像将具有一个url:Someimage:看来，如果我将图像附件保存在公共(public)目录之外并且不指定url(同
我是一名决定学习Ruby和RubyonRails的ASP.NETMVC开发人员。我已经有所了解并在RoR上创建了一个网站。在ASP.NETMVC上开发，我一直使用三层架构:数据层、业务层和UI(或表示)层。尝试在RubyonRails应用程序中使用这种方法，我发现没有关于它的信息(或者也许我只是找不到它？)。也许有人可以建议我如何在RubyonRails上创建或使用三层架构？附言我使用ruby1.9.3和RubyonRails3.2.3。 最佳答案 我建议在制作RoR应用程序时遵循RubyonRails(RoR)风格。Rails
我在一个ruby文件中有一个函数可以像这样写入一个文件File.open("myfile",'a'){|f|f.puts("#{sometext}")}这个函数在不同的线程中被调用，使得像上面这样的文件写入不是线程安全的。有谁知道如何以最简单的方式使这个文件写入线程安全？更多信息:如果重要的话，我正在使用rspec框架。 最佳答案 您可以通过File#flock给锁File.open("myfile",'a'){|f|f.flock(File::LOCK_EX)f.puts("#{sometext}")}
关闭。这个问题不符合StackOverflowguidelines.它目前不接受答案。要求我们推荐或查找工具、库或最喜欢的场外资源的问题对于StackOverflow来说是偏离主题的，因为它们往往会吸引自以为是的答案和垃圾邮件。相反，describetheproblem以及迄今为止为解决该问题所做的工作。关闭8年前。Improvethisquestion我需要实现具有各种灵活需求的密码安全。这些要求基本上取自Sanspasswordpolicy:Strongpasswordshavethefollowingcharacteristics:Containatleastthreeofthe
安全产品安全网关类防火墙Firewall防火墙防火墙主要用于边界安全防护的权限控制和安全域的划分。防火墙•信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。防火墙是一个由软件和硬件设备组合而成，在内外网之间、专网与公网之间的界面上构成的保护屏障。下一代防火墙•下一代防火墙，NextGenerationFirewall，简称NGFirewall，是一款可以全面应对应用层威胁的高性能防火墙，提供网络层应用层一体化安全防护。生产厂家•联想网御、CheckPoint、深信服、网康、天融信、华为、H3C等防火墙部署部署于内、外网编辑额，用于权限访问控制和安全域划分。UTM统一威胁管理（Un
我尝试使用Net::HTTP向Twitter发送GET请求(出于隐私原因替换了用户ID):url=URI.parse("http://api.twitter.com/1/friends/ids.json?user_id=12345")resp=Net::HTTP.get_response(url)这会在Net::HTTP中引发异常:NoMethodError:undefinedmethodempty?'for#from/System/Library/Frameworks/Ruby.framework/Versions/1.8/usr/lib/ruby/1.8/net/http.rb:1
