Книга «Kubernetes за DevOps»

Здравейте, Хаброатели! Kubernetes е един от ключовите елементи на съвременната облачна екосистема. Тази технология осигурява надеждност, мащабируемост и устойчивост на контейнерната виртуализация. Джон Арундел и Джъстин Домингус представят екосистемата на Kubernetes и се запознават с проверени решения за ежедневни проблеми. Стъпка по стъпка ще изградите собствено облачно ориентирано приложение и ще създадете инфраструктура за неговата поддръжка, ще настроите среда за разработка и конвейер за непрекъснато разгръщане, който ще ви бъде полезен в работата над следващите приложения.

• Ще започнете работа с контейнери и Kubernetes от нулата: не е нужен специален опит за изучаване на темата. • Ще стартирате собствени клъстери или ще изберете управляемата услуга на Kubernetes от Amazon, Google и др. • Ще приложите Kubernetes за управление на жизнения цикъл на контейнера и потреблението на ресурси. • Ще оптимизирате клъстерите по показатели за разходи, производителност, устойчивост, мощност и мащабируемост. • Ще научите най-добрите инструменти за разработка, тестване и разгръщане на вашите приложения. • Ще се възползвате от актуалните индустриални практики за осигуряване на сигурност и контрол. • Ще внедрите принципите на DevOps в компаниите, за да станат екипите на разработчиците по-гъвкави, бързи и ефективни.

За кого е предназначена книгата

Книгата е най-подходяща за служители на администрацията, отговорни за сървъри, приложения и услуги, а също така и за разработчици, които изграждат нови облачни услуги или мигрират съществуващи приложения в Kubernetes и облака. Не се притеснявайте, не е необходимо да умеете да работите с Kubernetes и контейнери - ние ще ви научим на всичко.

Опитни потребители на Kubernetes също ще намерят много полезно съдържание: тук се разглеждат задълбочено теми като RBAC, непрекъснато разгръщане, управление на конфиденциални данни и наблюдаемост. Надяваме се, че на страниците на книгата ще намерите нещо интересно и за вас, независимо от вашите умения и опит.

На какви въпроси отговаря книгата

По време на планирането и написването на книгата обсъдихме облачните технологии и Kubernetes с хиляди хора, говорихме както с лидери и експерти в индустрията, така и с абсолютно новаци. По-долу са посочени отделни въпроси, на които те биха искали да видят отговори в това издание.

• "Интересува ме защо е необходимо да отделям време за тази технология. Какви проблеми ще реши тя за мен и моя екип?"
• "Kubernetes изглежда интересен, но има доста висок праг на влизане. Подготовката на прост пример не е трудна, но по-нататъшното администриране и отстраняване на проблеми ни плаши. Ще се радваме да получим надеждни съвети за това как хората управляват Kubernetes клъстери в реални условия и с какви проблеми най-вероятно ще се сблъскаме."
• "Би било полезно да получим субективни съвети. Екосистемата на Kubernetes предлага твърде много опции за начинаещи екипи. Когато едно и също нещо може да се направи по различни начини, как да разберем кой от тях е най-добрият? Как да направим избора?"

И, вероятно, най-важният от всички въпроси:

• "Как да използвам Kubernetes, без да наруша работата на компанията ми?"

Изрезка. Конфигурация и обекти Secret

Възможността да се отдели логиката на приложението Kubernetes от неговата конфигурация (т.е. от всякакви стойности или настройки, които с времето могат да се променят) е изключително полезна. Към конфигурационните стойности обикновено се отнасят параметри, предназначени за конкретна среда, DNS адреси на външни услуги и удостоверения за автентикация.

Разбира се, всичко това може да бъде поставено директно в кода, но този подход не е достатъчно гъвкав. Например, за да промените конфигурационната стойност, ще трябва отново да компилирате и разгръщате кода си. Много по-добро решение би било да се отдели конфигурацията от кода и да се извлече от файл или променливи на средата.

Kubernetes предоставя няколко различни начина за управление на конфигурацията. Първо, можете да предавате стойности в приложението чрез променливи на средата, указани в спецификацията на pod черупката (вижте подзаглавието "Променливи на средата" на стр. 192). Второ, конфигурационните данни могат да се съхраняват директно в Kubernetes, използвайки обекти ConfigMap и Secret.

В тази глава подробно ще разгледаме тези обекти и ще обсъдим някои практически подходи за управление на конфигурацията и конфиденциалните данни, използвайки демонстрационно приложение.

Актуализиране на pod-обвивки при промяна на конфигурацията

Представете си, че във вашия клъстер има разгръщане и искате да промените някои стойности в неговия ConfigMap. Ако използвате Helm чарт (вж. раздела „Helm: пакетен мениджър за Kubernetes“ на стр. 102), можете автоматично да откриете промяната в конфигурацията и да рестартирате вашите pod-обвивки с помощта на един изящен трик. Добавете следната анотация в спецификацията на вашето разгръщане:

checksum/config: {{ include (print $.Template.BasePath "/configmap.yaml") .
       | sha256sum }}

Сега шаблонът за разгръщане съдържа контролна сума на конфигурационните параметри: при промяна на параметрите сумата ще се актуализира. Ако изпълните командата helm upgrade, Helm ще открие, че спецификацията на разгръщането е променена и ще рестартира всички pod-обвивки.

Конфиденциални данни в Kubernetes

Вече знаем, че обектът ConfigMap предоставя гъвкав механизъм за съхранение и достъп до конфигурационни данни в клъстера. Въпреки това много приложения имат информация, която е секретна и конфиденциална: например пароли или API ключове. Може да се съхранява и в ConfigMap, но такова решение не е идеално.

Вместо това Kubernetes предлага обект от специален тип, предназначен за съхранение на конфиденциални данни: Secret. В следващата част ще разгледаме как може да се прилага този обект в нашето демонстрационно приложение.

Първо, разгледайте манифеста на Kubernetes за обекта Secret (вж. hello-secret-env/k8s/secret.yaml):

apiVersion: v1
kind: Secret
metadata:
    name: demo-secret
stringData:
    magicWord: xyzzy

В този пример конфиденциалният ключ magicWord има стойност xyzzy (en.wikipedia.org/wiki/Xyzzy_(computing)). Думата xyzzy е изключително полезна в света на компютрите. По аналогия с ConfigMap, в обекта Secret може да се съхраняват множество ключове и стойности. За опростяване тук използваме само една двойка „ключ – стойност“.

Използване на обекти Secret като променливи на средата

Както и ConfigMap, обектът Secret може да бъде достъпен в контейнера под формата на променливи на средата или файл на неговия диск. В следващия пример ще присвоим на променливата на средата стойност от Secret:

спецификации:
   контейнери:
       - име: демон
          изображение: cloudnatived/demo:hello-secret-env
          портове:
             - контейнеренПорт: 8888
          среда:
             - име: ПРИВЕТСТВИЕ
               стойностОт:
               secretKeyRef:
                  име: demo-secret
                  ключ: magicWord

Изпълнете следната команда в репозитория demo, за да приложите манифестите:

kubectl apply -f hello-secret-env/k8s/
разгръщане.расширения "демон" конфигурирано
секрет "demo-secret" създаден

Както преди, пренасочете локалния порт към разгръщането, за да видите резултата в браузъра си:

kubectl port-forward deploy/demo 9999:8888
Пренасочване от 127.0.0.1:9999 -> 8888
Пренасочване от [::1]:9999 -> 8888

При отваряне на адреса localhost:9999/ трябва да видите следното:

Тайната дума е "xyzzy"

Записване на обекти Secret в файлове

В този пример ще свържем обект Secret с контейнера под формата на файл. Кодът се намира в папката hello-secret-file на репозитория demo.

За да свържем Secret под формата на файл, ще използваме следното разгръщане:

спецификации:
   контейнери:
       - име: демон
          изображение: cloudnatived/demo:hello-secret-file
          портове:
              - контейнеренПорт: 8888
          volumeMounts:
              - име: demo-secret-volume
                mountPath: "/secrets/"
                самоЗаЧетене: true
   обеми:
      - име: demo-secret-volume
        secret:
           secretName: demo-secret

Както в подраздела «Създаване на конфигурационни файлове от обекти ConfigMap» на с. 240, създаваме том (в този случай demo-secret-volume) и го свързваме с контейнера в секцията за спецификации volumeMounts. В полето mountPath е посочено /secrets, така че Kubernetes ще създаде в тази папка по един файл за всяка двойка „ключ — стойност“, определена в обекта Secret.

В нашия пример сме определили само една двойка „ключ — стойност“ с име magicWord, така че манифестът ще създаде в контейнера един файл /secrets/magicWord с конфиденциални данни, достъпен единствено за четене.

Ако приложите този манифест по същия начин, както и в предишния пример, резултатът трябва да е същият:

Тайната дума е "xyzzy"

Четене на обекти Secret

В предишния раздел използвахме командата kubectl describe, за да извлечем съдържанието на ConfigMap. Може ли същото да се направи и с Secret?

kubectl describe secret/demo-secret
Име:          demo-secret

Namespace:      default
Етикети:             
Анотации:
Тип:               Opaque

Данни
====
magicWord: 5 бита

Обърнете внимание, че самите данни не се показват. Обектите Secret в Kubernetes имат тип Opaque: това означава, че тяхното съдържание не се показва в извода на kubectl describe, в журналите и в терминала, предотвратявайки случайно разкриване на конфиденциална информация.

За да видите кодираната версия на конфиденциални данни във формат YAML, използвайте командата kubectl get:

kubectl get secret/demo-secret -o yaml
apiVersion: v1
data:
   magicWord: eHl6enk=
kind: Secret
metadata:
...
type: Opaque

base64

Какво е eHl6enk=, съвсем не изглежда като оригиналната стойност? Всъщност, това е обект Secret, представен в base64 кодировка. Base64 е схема за кодиране на произволни бинарни данни под формата на низ от символи.

Тъй като конфиденциалната информация може да бъде бинарна и недостъпна за извеждане (например в случая с ключа за криптиране TLS), обектите Secret винаги се съхраняват в base64 формат.

Текстът beHl6enk= представлява версия на нашата тайна дума xyzzy, закодирана в base64. Можете да се уверите в това, ако изпълните в терминала командата base64 —decode:

echo "eHl6enk=" | base64 --decode
xyzzy

Така, въпреки че Kubernetes ви предпазва от случайно извеждане на конфиденциални данни в терминала или лог файловете, при наличие на права за четене на обектите Secret в определено пространство на имената, тези данни могат да бъдат извлечени в base64 формат и впоследствие декодирани.

Ако трябва да кодиране в base64 някакъв текст (например, за да го поставите в Secret), използвайте командата base64 без аргументи:

echo xyzzy | base64
eHl6enkK

Достъп до обектите Secret

Кой може да чита и редактира обектите Secret? Това се определя от RBAC — механизъм за контрол на достъпа (подробно ще обсъдим в подраздела „Въведение в управлението на достъпа на базата на роли“ на с. 258). Ако използвате клъстър, в който системата RBAC е отсъстваща или не е активирана, всичките ви обекти Secret са достъпни за всички потребители и контейнери (по-късно ще обясним, че не трябва да имате нито един производствен клъстър без RBAC).

Пасивно криптиране на данни

А какво става с тези, които имат достъп до базата данни etcd, в която Kubernetes съхранява цялата си информация? Могат ли да прочетат конфиденциални данни, без да имат права за четене на обектите Secret през API?

С началото на версия 1.7, Kubernetes поддържа пасивно шифроване на данни. Това означава, че конфиденциалната информация вътре в etcd се съхранява на диска в зашифровано състояние и не може да бъде прочетена дори от тези, които имат директен достъп до базата данни. За нейното разшифроване е необходим ключ, който притежава само сървърът API на Kubernetes. В правилно конфигуриран клъстер пасивното шифроване трябва да е активирано.

Можете да проверите дали пасивното шифроване работи във вашия клъстер по следния начин:

kubectl describe pod -n kube-system -l component=kube-apiserver | grep encryption
        --experimental-encryption-provider-config=...

Ако не виждате флага experimental-encryption-provider-config, пасивното шифроване не е активирано. При използване на Google Kubernetes Engine или други услуги за управление на Kubernetes вашите данни се шифроват с помощта на различен механизъм, поради което флагът ще липсва. Разберете от вашия доставчик на Kubernetes дали съдържанието на etcd е шифровано.

Съхранение на конфиденциални данни

Има определени ресурси на Kubernetes, които никога не бива да бъдат изтривани от клъстера: например, особено важни обекти Secret. Можете да защитите ресурса от изтриване с помощта на анотация, предоставена от мениджъра Helm:

kind: Secret
metadata:
    annotations:
        "helm.sh/resource-policy": keep

Стратегии за управление на обекти Secret

В примера от предходния раздел конфиденциалните данни бяха защитени от несанкциониран достъп веднага след запазването си в клъстера. Но в манифест файловете те бяха съхранявани в обикновен текст.

Никога не бива да поставяте конфиденциална информация в файлове, които се намират в система за контрол на версиите. Как да администрирате и съхранявате безопасно такава информация преди да я приложите към клъстера Kubernetes?

Можете да изберете всякакви инструменти или стратегии за работа с конфиденциални данни в приложенията си, но все пак ще ви е необходимо да отговорите поне на следните въпроси.

• Къде да съхранявате конфиденциалните данни, така че да бъдат с висока наличност?
• Как да направите конфиденциалните данни достъпни за вашите активни приложения?
• Какво трябва да се случи с вашите приложения, когато заменяте или редактирате конфиденциалните данни?

За авторите

Джон Арундел е консултант с 30-годишен опит в компютърната индустрия. Написал е няколко книги и работи с много компании от различни страни, консултирайки ги в областта на облачно-ориентираната инфраструктура и Kubernetes. В свободното си време обича сърфинг, стреля с пистолет и любителски свири на пиано. Живее в приказна къща в Корнуол, Англия.

Джъстин Домингуес — инженер по системно администриране, работещ в среда DevOps с Kubernetes и облачни технологии. Харесва да прекарва времето си на открито, да пие кафе, да лови раци и да седи пред компютъра. Живее в Сиатъл, щат Вашингтон, заедно с прекрасен котка и още по-прекрасна съпруга, която е и най-добрият му приятел Едриън.

» Можете да се запознаете по-подробно с книгата на сайта на издателството
» Съдържание
» Извадка

За Хаброжителите отстъпка 25% с купона — Kubernetes

След извършване на плащането за хартиената версия на книгата, електронната книга ще бъде изпратена на e-mail.

Източник: habr.com