技术方向
Terraform、Ansible、Pulumi 的编排、状态管理与配置漂移治理。
22 条精选近 30 天 16 条共收录 30 条
KubeRay 团队宣布将 KubeRay 捐赠给 CNCF，使其成为 CNCF Sandbox 项目，从而将 PyTorch、AI models、Ray 和 Kubernetes 组成的 PARK 技术栈完全纳入 Linux Foundation 治理体系。
推荐理由：原文说明了 KubeRay 加入 CNCF 的背景及其在 PARK 技术栈中的定位，读者可据此理解该组件如何通过标准化治理促进分布式 AI 工作负载在 Kubernetes 上的规模化部署。
CNCF技术委员会投票通过，将Open Cluster Management (OCM) 接纳为CNCF孵化项目。OCM最初由IBM和Red Hat开发，提供基于Hub-and-Spoke架构的多集群管理能力，支持跨云、本地和边缘环境的集群注册、应用部署及工作负载放置。
推荐理由：CNCF官方宣布OCM进入孵化阶段，梳理了其多集群管理架构演进及在eBay等大规模生产环境的落地情况。
Red Hat 官方博客介绍了由 NVIDIA 贡献、现属 CNCF Sandbox 项目的开源工具 OpenShell，旨在通过策略治理的沙箱解决企业级 AI Agent 的安全边界问题。
推荐理由：原文详细拆解了 OpenShell 的三大核心组件及其在 Kubernetes 环境下的隔离机制，为开发者提供了构建安全 AI Agent 沙箱的具体架构参考。
Red Hat 正式发布 Red Hat OpenShift 5，推出智能运维、主权安全和长期可预测性三大核心支柱。新版本引入可选的 AI 驱动体验（如动态仪表盘和自动升级计划），支持后量子密码学控制平面通信及基于 SPIFFE/SPIRE 的零信任工作负载身份管理。OpenShift 5 将标准支持延长至 2 年，并实现从 OpenShift 4 的原地无缝升级，无需复杂迁移或强制安装新组件。
推荐理由：原文详述了 OpenShift 5 在智能运维、量子安全及平滑升级方面的核心变化，为评估混合云平台演进提供了直接依据。
Grafana Labs 宣布其 Grafana Assistant 中的持续监控代理 Watchers 正式 GA。该功能采用“一次校准、多次运行”的架构，仅在初始阶段使用大模型定义监控范围与基线，后续运行由代码执行数据比对并仅调用一次小模型进行异常判定，从而将单个代理的月均成本控制在 5 美元以下。
推荐理由：原文详细拆解了通过校准与代码预处理降低 LLM 调用成本的工程实现，为构建低成本自动化监控代理提供了可复用的架构参考。
Red Hat OpenShift 5 现已正式可用（GA），基于 Kubernetes 1.36 和 CRI-O 1.36，提供跨裸金属、虚拟化和混合云环境的统一应用平台。
推荐理由：Red Hat OpenShift 5 正式 GA，引入 Agentic 工作流、3 年大版本周期及增强虚拟化能力，基于 Kubernetes 1.36。
Docker 官方博客发布文章，深入解析 Docker Sandboxes 与传统 Containers 在隔离机制上的核心差异。Containers 共享主机内核，适合打包应用和 CI 任务；而 Docker Sandboxes 是拥有独立 Linux 内核、文件系统和私有 Docker Engine 的 microVM，专为需要长时间状态积累和高权限操作的自主编码代理设计。
推荐理由：原文详细对比了容器与沙箱在内核隔离、权限控制及适用场景上的差异，为开发者选择 AI Agent 运行环境提供了具体依据。
Docker 宣布与 ActiveState 合作，将可信内容标准从容器基础镜像延伸至开发者安装的开源依赖包。该集成允许团队继续使用 pip、npm 等熟悉的工作流，但通过受治理的私有仓库获取经审批的依赖项，而非直接从公共注册表拉取。
推荐理由：原文说明了 Docker Hardened Images 与 ActiveState Curated Catalog 的集成方式，开发者可在保留原有包管理流程的前提下获得经过治理的依赖源。
Grafana Cloud 的 Database Observability 应用正式推出 Generally Available 的 Trace Linkage 功能，允许用户从应用追踪中的数据库 Span 直接跳转至对应的查询详情。
推荐理由：原文介绍了 Grafana Cloud 中连接应用追踪与数据库查询的新功能，提供了基于 OpenTelemetry 语义约定和 sqlcommenter 的具体实现路径。
Cloudflare 通过引入定向构建规划器和统一调度器，将 DNS 构建峰值内存降低 85%，中位完成延迟减半至约 3.3 秒。该方案使 92.95% 的构建避免全量重建，并通过镜像环境验证确保数据一致性。
推荐理由：原文详细拆解了DNS构建从全量到定向的演进逻辑，提供了内存优化与延迟降低的具体数据及验证方法。
Docker 官方博客介绍了在 Docker Sandbox 中管理代码的三种主要方式：直接挂载主机目录、使用独立工作树（worktree）或克隆模式、以及完全在沙箱内部维护项目。
推荐理由：详细对比了三种代码挂载模式在协作效率与环境隔离上的权衡，提供了具体的 sbx 命令示例和 Git 工作流建议。
Kubernetes SIG Architecture 发布了对 Janet Kuo 和 Yuan Tang 的访谈，介绍了 AI Conformance 项目从临时工作组转为永久子项目的历程。
推荐理由：原文通过访谈形式梳理了 AI Conformance 从工作组到 SIG Architecture 子项目的演进路径，并解释了其应对快速变化的分层标准策略。
Kubernetes 社区宣布成立 Workload Conformance 工作组，将制定工作负载在集群上运行时的行为标准。该工作组由 SIG Architecture 和 SIG Apps 支持，计划在未来两到三个 Kubernetes 版本周期内发布首个稳定规范及测试工具，以替代目前集群操作员对应用进行的手工评估流程。
推荐理由：社区成立工作组制定运行时标准，旨在解决集群运维中重复手工评估工作负载的痛点。
Docker 官方博客介绍了针对 PHP2Shell（CVE-2026-109618/109619）和 eMudhra 证书私钥泄露漏洞的修复措施。Docker Hardened Images (dhi.io) 在 24 小时内发布了修补后的 PHP 镜像，并在 48 小时内完成了全目录 16,567 个包的构建以更新 CA 信任库。
推荐理由：Docker 官方演示了如何在 PHP2Shell 和 eMudhra 证书漏洞爆发后，通过重建镜像和验证 SBOM 来快速修复底层依赖风险。
AWS 正式推出 Amazon ECS Gateway，这是一项新的账户级资源，旨在通过动态预置和管理基础设施来简化容器化工作负载的入站网络配置。平台团队可集中定义子网、安全组、TLS 证书等标准，应用团队只需添加网关连接器参数即可自动获得 ACM 证书、DNS 主机名及监听规则等资源。
推荐理由：原文详细说明了 ECS Gateway 如何通过账户级资源简化入站流量配置，并给出了具体的 CLI 操作示例和计费模式。
Kubernetes 官方博客发布教程，指导用户利用 Headlamp 的 Kueue 插件（0.1.0-alpha）排查 Job 长期处于 Pending 状态的问题。
推荐理由：文章通过具体案例演示了如何在 Headlamp 中追踪 Kueue 准入状态，提供了从 Workload 到 ClusterQueue 的完整排查路径和对比命令行操作的清单。
Kubernetes 官方博客发布 cgroup v2 迁移指南，指出自 v1.35 起 kubelet 默认拒绝在 cgroup v1 节点启动。文章对比了 cgroup v2 在统一层级、内存 QoS 分层保护及容器感知 OOM 处理上的优势，并给出了内核版本要求、cgroup driver 配置方法及用于验证 Pod 资源限制是否生效的排查命令。
推荐理由：文章详细梳理了 Kubernetes 从 v1.35 开始强制弃用 cgroup v1 的迁移路径，并提供了配置检查与故障排查的具体命令。
Kubernetes 官方博客发布指南，介绍如何利用 v1.34 GA 的 Node Swap 功能结合 NVMe SSD 提升集群密度。基准测试显示，在 CI/CD、无头浏览器和 Python 沙箱等场景中，启用 Swap 可使 Pod 密度最高提升 3 倍且延迟影响较小。文章提供了 kubelet 配置示例及 Burstable QoS 设置建议，以平衡内存成本与性能。
推荐理由：文章通过三类负载实测数据，展示了利用本地 SSD Swap 提升节点 Pod 密度的具体配置方法与性能边界。
Kubernetes v1.37 将 PersistentVolumeClaimUnusedSinceTime 特性门控提升至 Beta 并默认启用，PVC 保护控制器会为每个 PVC 添加 Unused 条件以指示其是否被运行中的 Pod 引用。
推荐理由：v1.37 默认启用 PVC 闲置状态追踪，管理员可直接通过原生条件字段识别孤儿卷以优化存储成本。
Kubernetes v1.37 引入了 VolumeBindMountOptions 和 EmptyDirVolumeMode 两个 Alpha 特性，允许用户直接在 Pod 规范中配置 noexec、nosuid 等绑定挂载标志以及 emptyDir 的 Unix 权限模式（如 sticky bit）。
推荐理由：v1.37 引入 Alpha 特性以原生支持存储卷挂载选项和权限模式，解决了长期存在的安全审计缺口。