整理 | 唐小引

頭圖 | CSDN 下載自 VCG

出品 | CSDN（ID：CSDNnews）

7 月 15 日，由中國(guó)開(kāi)源軟件推進(jìn)聯(lián)盟（COPU）主辦，賽迪傳媒、《軟件和集成電路》雜志社聯(lián)合承辦，CSDN 獨(dú)家直播的 2020 第十五屆“開(kāi)源中國(guó)開(kāi)源世界”高峰論壇在線上盛大召開(kāi)。

在開(kāi)源軟件技術(shù)及應(yīng)用上擁有近 30 年經(jīng)驗(yàn)的微軟 Azure CTO 辦公室首席項(xiàng)目總監(jiān) Stephen R. Walli 深入談起了微軟開(kāi)源文化的演進(jìn)，并分享了 GitHub 這兩年來(lái)的巨大成長(zhǎng)。今天，開(kāi)發(fā)者們生活在一個(gè)開(kāi)源的世界里，一直都在使用、喜愛(ài)開(kāi)源。而微軟為開(kāi)發(fā)者所有，由其治理并為其服務(wù)，這是創(chuàng)始人（比爾·蓋茨和 Paul Allen）的初衷。

在被微軟收購(gòu)后，GitHub 的使命依然是為開(kāi)發(fā)者構(gòu)建全球協(xié)作的平臺(tái)，微軟只是為一家活躍的成長(zhǎng)中的硅谷獨(dú)角獸公司提供穩(wěn)定性。在 2020 年，GitHub 上的開(kāi)發(fā)者總數(shù)增長(zhǎng)至 5000 萬(wàn)，80% 的用戶及貢獻(xiàn)者來(lái)自于美國(guó)之外，其中以中國(guó)最多。中國(guó)在 GitHub 上是一個(gè)令人難以置信的充滿活力的成長(zhǎng)社區(qū)，在中國(guó)的注冊(cè)數(shù)量正在持續(xù)快速增長(zhǎng)，在過(guò)去一年里增長(zhǎng)了 37%。

以下為 Stephen R. Walli 的演講實(shí)錄：

大家好，我是微軟 Azure CTO 辦公室首席項(xiàng)目總監(jiān) Stephen R. Walli，很高興也很榮幸能夠再次和大家交流，兩年前我就曾與大家一起交流過(guò)微軟開(kāi)源文化的演變，當(dāng)時(shí)還剛剛發(fā)布微軟收購(gòu) GitHub 的信息。

我努力把重點(diǎn)放在是文化而非策略這個(gè)觀點(diǎn)上。我曾想回到這樣一種觀點(diǎn)，即微軟由開(kāi)發(fā)者所有，由其治理并為其服務(wù)，這是創(chuàng)始人（比爾·蓋茨和 Paul Allen）的初衷。當(dāng)然，我們的第一任 CEO 本身就是開(kāi)發(fā)者，現(xiàn)任 CEO 也是一位開(kāi)發(fā)者。

我想通過(guò)這個(gè)故事來(lái)幫助大家理解，在這個(gè)歷史節(jié)點(diǎn)上，開(kāi)發(fā)者一直都在使用開(kāi)源，所有的工具、工具鏈，開(kāi)發(fā)者就是生活在一個(gè)開(kāi)源的世界里。

開(kāi)發(fā)者喜歡開(kāi)源，而微軟由開(kāi)發(fā)者所有，由其治理并為其服務(wù)，在我們變得更好之前，我們明白如何參與到開(kāi)源的世界之前，這只是時(shí)間問(wèn)題。在我們明白如何參與到開(kāi)源的世界之后不久，也就是兩年前，微軟加入了開(kāi)放創(chuàng)新網(wǎng)絡(luò) OIN，也加入了 LOT Network，這是兩個(gè)專利持有組織，旨在保護(hù)其關(guān)心的開(kāi)源社區(qū)。

最近的一些事情再次證明了微軟支持開(kāi)源軟件的文化態(tài)度，Brad Smith 是我們的總顧問(wèn)，也是我們微軟的總裁，而且在過(guò)去 20 年里，他一直擔(dān)任法律總顧問(wèn)，Brad 承認(rèn)了 20 年前公司在開(kāi)源軟件方面站在了歷史潮流的對(duì)立面。不過(guò)，正如他所說(shuō)，好消息是生命足夠長(zhǎng)，你可以學(xué)習(xí)，你也需要改變，我非常喜歡這句話。

The good news is that life is long enough, you can learn...that you need to change.

所以今天，在這個(gè)簡(jiǎn)短的介紹之后，我想接著和大家談?wù)?，微軟正在持續(xù)發(fā)展自己的開(kāi)源文化。我想從以下三個(gè)方面進(jìn)行討論：

• 微軟對(duì) Kubernetes 項(xiàng)目的參與，以及我們?nèi)绾卧?Azure 上的 AKS 服務(wù)中使用它；

• GitHub 的最新情況，尤其是在中國(guó)的進(jìn)展；

• 還有一些新舉措，是微軟和其他一些供應(yīng)商開(kāi)始合作，以確保開(kāi)源軟件供應(yīng)鏈安全的新舉措。

風(fēng)靡的 Kubernetes

首先，我們來(lái)說(shuō)說(shuō) Kubernetes 和 AKS。今天，所有人都在運(yùn)行容器化應(yīng)用程序。據(jù) Gartner 預(yù)測(cè)，到 2022 年，全球超過(guò) 75% 的組織將運(yùn)行容器化應(yīng)用和生產(chǎn)。

Kubernetes 是容器編排（Container Orchestration）的核心，它是一個(gè)非常成功的開(kāi)源軟件項(xiàng)目社區(qū)，無(wú)論衡量方式如何，Kubernetes 都是 GitHub 頭號(hào)項(xiàng)目。

Kubernetes 已經(jīng)發(fā)展幾年，微軟也成為該社區(qū)一部分好幾年了，我們是云原生計(jì)算機(jī)基金會(huì)的鉑金會(huì)員，Kubernetes 是 linux 基金會(huì)的一部分，圍繞著支持 Kubernetes 及其相關(guān)開(kāi)源項(xiàng)目。我們是技術(shù)監(jiān)督委員會(huì)、管理委員會(huì)的一部分，也是項(xiàng)目?jī)?nèi) Kubernetes 指導(dǎo)委員會(huì)的一部分、Linux 基金會(huì)的董事會(huì)成員。

多年來(lái)，我們一直是這個(gè)社區(qū)的一部分，也是這個(gè)社區(qū)中不斷成長(zhǎng)的一部分。

Kubernetes 的成長(zhǎng)令人欣喜，因?yàn)樗玫搅藦V泛的使用，并且獨(dú)立于供應(yīng)商，得到了社區(qū)支持，這個(gè)項(xiàng)目很順利，有眾多來(lái)自不同公司和行業(yè)的貢獻(xiàn)者。不僅僅是供應(yīng)商在做貢獻(xiàn)，你可以看到許多不同的貢獻(xiàn)者，來(lái)自世界各地。其中一些是客戶和專家，而用戶其中一些是學(xué)者，你會(huì)發(fā)現(xiàn)這是一個(gè)非常活躍的社區(qū)。

同時(shí)，微軟不僅參與了 Kubernetes 開(kāi)源社區(qū)項(xiàng)目，還繼續(xù)圍繞 Kubernetes 項(xiàng)目創(chuàng)建和參與不少其他項(xiàng)目，它們都與云原生部署、云原生應(yīng)用程序打包、如何思考在 Kubernetes 上運(yùn)營(yíng)和管理大規(guī)模部署有關(guān)。

這些項(xiàng)目都是我們自己繼續(xù)發(fā)布開(kāi)源許可證并圍繞這些項(xiàng)目建立社區(qū)的。

Kubernetes 本身仍然只是容器編排的核心項(xiàng)目，不能單獨(dú)使用 Kubernetes，需要向 Kubernetes 添加一些東西，才能真正為應(yīng)用程序部署創(chuàng)建完整的平臺(tái)。

大家知道所有大型云服務(wù)提供商都把 Kubernetes 作為一個(gè)社區(qū)中的認(rèn)證平臺(tái)，然后將其引入自己的平臺(tái)，開(kāi)始創(chuàng)造豐富的客戶體驗(yàn)。它們以多種不同的方式進(jìn)行，因?yàn)橐黾影踩院蛻?yīng)用程序治理，數(shù)據(jù)集治理以及身份管理平臺(tái)，大家會(huì)一直在自己的服務(wù)中的所有不同集成中看到這一點(diǎn)。

微軟集成 Kubernetes 的方式不同于亞馬遜將 Kubernetes 或 google 與其 Kubernetes 產(chǎn)品集成的方式。

Azure 上的 Kubernetes 是第一方 Azure 服務(wù)，我們通過(guò) AKS 來(lái)進(jìn)行所有的東西，都具有面向客戶的托管服務(wù)，這些實(shí)踐為它提供了支持。涉及到圍繞它的全面企業(yè)支持的這些安全的多層次也提供了支持，并且具有完整的統(tǒng)一管理經(jīng)驗(yàn)。

開(kāi)源項(xiàng)目是組件，公司會(huì)采用這些組件，和面向客戶的舊產(chǎn)品和服務(wù)，這就是企業(yè)使用開(kāi)源的方式。他們希望以這種方式使用開(kāi)源，回饋這些項(xiàng)目，以及所有為了保持項(xiàng)目健康活力，以供大家使用而做的改變。

GitHub 與中國(guó)

現(xiàn)在我想和大家談?wù)?GitHub。

當(dāng)我在兩年前發(fā)言的時(shí)候，微軟剛剛宣布一項(xiàng) GitHub 交易已經(jīng)完成。根據(jù)美國(guó)商業(yè)法，除了非常簡(jiǎn)單的公開(kāi)聲明，我不能再多說(shuō)，聲明稱我們期待合作，這是很好的。我想和大家聊一聊這兩年來(lái) GitHub 巨大的成長(zhǎng)。

GitHub 的使命仍然是為開(kāi)發(fā)者協(xié)作構(gòu)建全球平臺(tái)，我們將 GitHub 作為其自己的組織運(yùn)行。事實(shí)上，微軟只是為一家活躍的成長(zhǎng)中硅谷獨(dú)角獸公司提供穩(wěn)定性，它現(xiàn)已穩(wěn)定下來(lái)，成為面向開(kāi)發(fā)者和客戶的微軟公司的一部分。

因此，盡管我們?nèi)栽诶^續(xù)運(yùn)行它，GitHub 也在自行運(yùn)行，它自己的部門在不斷發(fā)展壯大。

這只是一些瘋狂的數(shù)字，我不會(huì)一個(gè)一個(gè)地講，但是確實(shí)存在這種豐富的環(huán)境，在 2020 年，GitHub 上的開(kāi)發(fā)者總數(shù)增長(zhǎng)到 5000 萬(wàn)，我們 80% 的用戶位于美國(guó)以外，而在排名前十的國(guó)家和地區(qū)中，美國(guó)依然是最大的市場(chǎng)，不過(guò)中國(guó)緊隨其后，其次是印度、英國(guó)、巴西、俄羅斯和加拿大等。

中國(guó)是 GitHub 上一個(gè)令人難以置信的充滿活力的成長(zhǎng)社區(qū)。我們已經(jīng)有超過(guò) 200 萬(wàn)學(xué)生在 GitHub 上查閱和學(xué)習(xí)代碼，這對(duì)人們來(lái)說(shuō)，是很好的學(xué)習(xí)體驗(yàn)。我們繼續(xù)幫助滿足世界上更多開(kāi)發(fā)者的需求，并向他們傳授開(kāi)源知識(shí)。

我們繼續(xù)提供企業(yè)平臺(tái)，目前全球財(cái)富 50 強(qiáng)企業(yè)中，有 32 家企業(yè)正在 GitHub 上構(gòu)建軟件，這是一個(gè)非常穩(wěn)定的合作企業(yè)質(zhì)量環(huán)境。

而 GitHub 在中國(guó)這兩年持續(xù)發(fā)展壯大，中國(guó)是 GitHub 在亞太地區(qū)最大的市場(chǎng)，也是全球第二大市場(chǎng)。在中國(guó)的注冊(cè)數(shù)量持續(xù)快速增長(zhǎng)，在過(guò)去一年中增長(zhǎng)了 37%，比美國(guó)的增長(zhǎng)速度還要快。比如說(shuō)，中國(guó)的企業(yè)云賬戶也在持續(xù)增長(zhǎng)。

在中國(guó)，開(kāi)源本身仍然是充滿活力的技術(shù)發(fā)展機(jī)會(huì)，隨著人們繼續(xù)合作，分享工作，相互學(xué)習(xí)，GitHub 平臺(tái)仍然是實(shí)現(xiàn)這一目標(biāo)的絕佳場(chǎng)所。

因此，很高興看到開(kāi)源在中國(guó)的發(fā)展，看到 GitHub 在中國(guó)的連鎖反應(yīng)。

來(lái)看看中國(guó)有多少人在學(xué)習(xí)開(kāi)發(fā)并成為開(kāi)發(fā)者，可以看到，在中國(guó)，GitHub 教育也在以 8% 的速度發(fā)展。

如何保護(hù)開(kāi)源軟件供應(yīng)鏈？

我想談的最后一個(gè)話題是，保護(hù)開(kāi)源軟件供應(yīng)鏈。全世界的人們都在關(guān)注這個(gè)領(lǐng)域，看到它的時(shí)候，我們都明白人們是如何考慮保護(hù)食品供應(yīng)鏈的，大家知道食物來(lái)自農(nóng)場(chǎng)，通過(guò)買家通過(guò)經(jīng)銷商再到客戶手中，如果有問(wèn)題，我們可以追溯回去，就像人們希望從軟件供應(yīng)鏈的角度來(lái)考慮這個(gè)問(wèn)題一樣。

從開(kāi)源開(kāi)發(fā)者把代碼放入 GitHub 存儲(chǔ)庫(kù)，然后，由應(yīng)用程序開(kāi)發(fā)者持有，用于支持公司中的終端用戶，或者用于構(gòu)建產(chǎn)品并將其銷售給終端用戶。

同樣是這種意義上的軟件供應(yīng)鏈，和我們?nèi)绾巫粉檰?wèn)題。不幸的是，軟件供應(yīng)鏈并不像食品供應(yīng)鏈那樣簡(jiǎn)單，這是因?yàn)橛刑嗟囊蕾囮P(guān)系開(kāi)始互相回滾，人們總是使用更多的組件來(lái)構(gòu)建更大的組件，這些都是軟件供應(yīng)鏈規(guī)則，因此當(dāng)我們開(kāi)始弄清楚它時(shí)，這是一個(gè)更為復(fù)雜的問(wèn)題。

而當(dāng)你踏入這個(gè)領(lǐng)域，真的就像我們一開(kāi)始說(shuō)的，開(kāi)發(fā)者喜歡開(kāi)源系統(tǒng)和開(kāi)源開(kāi)發(fā)者問(wèn)題，所有在這種環(huán)境下工作的開(kāi)發(fā)者都是這樣。

當(dāng)遇到一個(gè)已發(fā)現(xiàn)的關(guān)鍵漏洞，突然之間，一個(gè)漏洞可以接觸到人們所依賴的許多不同的關(guān)鍵軟件包，所以 Visual Studio Code Atom Slack 和 Discord 會(huì)使用 Electron。

Electron 中的 CVE 影響了全世界許多用戶，但問(wèn)題比這更嚴(yán)重，因?yàn)殡S著軟件變得越來(lái)越復(fù)雜，越來(lái)越多的人在開(kāi)源世界中工作、協(xié)作和共享，我們的依賴鏈越來(lái)越長(zhǎng)。VS Code 依賴于 Electron，Electron 依賴于 Chromium，而并非當(dāng)前版本的 Chromium，它依賴于舊版本的 Chromium，不能簡(jiǎn)單地重新平臺(tái)化，Chromium 則依賴于 FFmpeg，奇怪的是 FFmpeg 依賴于 FreeType，繼續(xù)這樣下去，F(xiàn)reeType 中的漏洞可能會(huì)通過(guò) Electron 迅速影響，然后就會(huì)看到它擴(kuò)展到很多其他方面。

所以，這項(xiàng)工作是為了驗(yàn)證，我們確實(shí)比較了解食品供應(yīng)鏈?zhǔn)侨绾芜\(yùn)作的，我們正設(shè)法把這個(gè)想法應(yīng)用到軟件供應(yīng)鏈上。

我們正努力通過(guò)軟件物料清單和策略來(lái)進(jìn)行，這可以讓我們考慮諸如開(kāi)發(fā)者、生產(chǎn)者身份、產(chǎn)品識(shí)別等因素。正是這個(gè)軟件集合，正逐步進(jìn)入構(gòu)建過(guò)程完整性，我們?cè)趺粗肋@來(lái)自于一個(gè)可靠的網(wǎng)站，但沒(méi)有經(jīng)過(guò)限制和許可，我們?cè)趺粗肋@個(gè)軟件包及其所有依賴關(guān)系都正確符合其許可要求。

同樣地，創(chuàng)造是否意味著我作為客戶的要求，如果我是航空飛機(jī)制造商，我可能對(duì)我正在使用的軟件有非常不同的要求。

最后是材料，我們對(duì)我們創(chuàng)造的軟件組件有信心嗎？這是開(kāi)始考慮構(gòu)建材料和軟件以及如何對(duì)其應(yīng)用策略的所有要素。

早期的項(xiàng)目之一為這里的一些思想提供了基礎(chǔ)，這個(gè)項(xiàng)目就是 SPDX（Software Package Data Exchange），即軟件包數(shù)據(jù)交換，這個(gè)項(xiàng)目是 Linux 基金會(huì)旗下的項(xiàng)目，用于許可證合規(guī)性工作，它基本上提供了 XML 格式標(biāo)記系統(tǒng)，可以幫助快速識(shí)別清單中軟件組件的關(guān)聯(lián)關(guān)系。

另外還有一個(gè)名為 in-toto 的開(kāi)源項(xiàng)目，正在進(jìn)行大量實(shí)驗(yàn)，它真正關(guān)注的是構(gòu)建完整性，以便在構(gòu)建，向最終成品軟件包開(kāi)放的組件時(shí)，可以在整個(gè)供應(yīng)鏈中進(jìn)行真正的策略追溯和證明，所以現(xiàn)在這個(gè)領(lǐng)域有很多工作要做。

我們的目的是，要在整個(gè)復(fù)雜的軟件供應(yīng)鏈中，能有大家都認(rèn)可的軟件物料清單，這些軟件供應(yīng)鏈的不同部分連接在一起，因此組件基于組件。當(dāng)有很長(zhǎng)的依賴關(guān)系鏈時(shí)，以及各個(gè)部分如何組合在一起，實(shí)際上可以跨所有這些網(wǎng)絡(luò)站點(diǎn)進(jìn)行驗(yàn)證，這就是目前正在進(jìn)行的工作。

這項(xiàng)工作引起了很多人的關(guān)注，微軟參與了這些討論，我想在不久的將來(lái)會(huì)有更多的討論，但這是一個(gè)挑戰(zhàn)，需要在全球范圍內(nèi)很多人一起努力，我認(rèn)為在接下來(lái)的幾年里，我們會(huì)不斷加以應(yīng)對(duì)，我們?cè)俅卧谏鐓^(qū)中集體合作，以確保開(kāi)源軟件供應(yīng)鏈的安全。

總結(jié)

最后，我想給大家分享一個(gè)觀點(diǎn)，兩年前我和大家交流時(shí)，我從 CEO 薩提亞·納德拉那里了解到這個(gè)觀點(diǎn)，通過(guò)我們的行動(dòng)，最近采取的行動(dòng)、以及今天和未來(lái)的行動(dòng)來(lái)判斷我們。我想請(qǐng)大家在 2020 年繼續(xù)以我們的行動(dòng)，以我們?cè)谶@個(gè)代表開(kāi)源世界的活躍全球軟件社區(qū)中的參與來(lái)做判斷，感謝大家抽出時(shí)間，很榮幸能在中國(guó)進(jìn)行演講，我非常非常期待在不久的將來(lái)再次訪問(wèn)北京。