Книга «Kubernetes за DevOps»

Здравейте, Хаброжители! Kubernetes е един от ключовите елементи на съвременната облачна екосистема. Тази технология осигурява надеждност, мащабируемост и устойчивост на контейнерната виртуализация. Джон Арундел и Джъстин Домингус разказват за екосистемата Kubernetes и запознават с проверени решения на ежедневни проблеми. Стъпка по стъпка ще изградите собствено облачно приложение и ще създадете инфраструктура за неговата поддръжка, ще настроите среда за разработка и конвейер за непрекъснато разгръщане, който ще ви е полезен при работа върху следващите приложения.

• Ще започнете работа с контейнери и Kubernetes от нулата: не е нужно никакво специално опит за изучаване на темата. • Ще стартирате собствени клъстери или ще изберете управлявана услуга Kubernetes от Amazon, Google и др. • Ще приложите Kubernetes за управление на жизнения цикъл на контейнера и разхода на ресурси. • Ще оптимизирате клъстерите по показатели като цена, производителност, устойчивост, мощност и мащабируемост. • Ще проучите най-добрите инструменти за разработка, тестване и разгръщане на вашите приложения. • Ще се възползвате от актуални индустриални практики за осигуряване на безопасност и контрол. • Ще внедрите принципите на DevOps в компанията, за да накарате екипите на разработчиците да действат по-гъвкаво, бързо и ефективно.

За кого е предназначена книгата

Книгата е най-актуална за служителите на администраторските отдели, отговорни за сървърите, приложенията и услугите, а също така и за разработчиците, занимаващи се или с изграждане на нови облачни услуги, или с миграция на съществуващи приложения в Kubernetes и облака. Не се притеснявайте, не е нужно да умеете да работите с Kubernetes и контейнери — всичко ще ви научим.

Опитните потребители на Kubernetes също ще намерят много полезна информация: тук подробно се разглеждат теми като RBAC, непрекъснато разгръщане, управление на конфиденциални данни и наблюдаемост. Надяваме се, че на страниците на книгата ще намерите нещо интересно и за вас, независимо от вашите умения и опит.

На какви въпроси отговаря книгата

По време на планирането и писането на книгата обсъдихме облачни технологии и Kubernetes с hunds от хора, говорейки както с лидери и експерти в бранша, така и с абсолютни начинаещи. По-долу са изброени отделни въпроси, на които те биха искали да видят отговори в това издание.

• «Интересно ми е защо трябва да отделям време за тази технология. Какви проблеми ще ми помогне да реша на мен и екипа ми?»
• «Kubernetes изглежда интересно, но с доста висок праг за влизане. Лесно е да се приготви прост пример, но по-нататъшното администриране и отстраняване на проблеми плаши. Бихме искали надеждни съвети относно това как хората управляват Kubernetes клъстери в реални условия и с какви проблеми вероятно ще се сблъскаме.»
• «Полезен би бил субективен съвет. Екосистемата на Kubernetes предлага на начинаещите екипи твърде много опции за избор. Когато едно и също може да се направи по няколко начина, как да разбера кой от тях е най-добрият? Как да направим избора?»

И вероятно най-важният от всички въпроси:

• «Как да използвам Kubernetes, без да нарушавам работата на компанията ми?»

Извадка. Конфигурация и секретни обекти

Възможността да отделим логиката на приложението Kubernetes от неговата конфигурация (т.е. от всякакви стойности или настройки, които с времето могат да се променят) е много полезна. Към конфигурационните стойности обикновено се отнасят параметри, предназначени за определена среда, DNS адреси на трети страни и удостоверителни данни за автентикация.

Разбира се, всичко това може да бъде поставено директно в кода, но този подход не е достатъчно гъвкав. Например, за да промените конфигурационната стойност, ще трябва отново да компилирате и развернете кода си. Много по-добро решение би било да отделите конфигурацията от кода и да я четете от файл или променливи на средата.

Kubernetes предоставя няколко различни начина за управление на конфигурацията. Първо, можете да предавате стойности на приложението чрез променливи на средата, посочени в спецификацията на pod-обвивката (вж. подраздела „Променливи на средата“ на стр. 192). Второ, конфигурационни данни могат да се съхраняват директно в Kubernetes, използвайки обекти ConfigMap и Secret.

В тази глава подробно изследваме тези обекти и разглеждаме някои практически подходи за управление на конфигурацията и конфиденциални данни чрез демонстрационно приложение.

Актуализиране на pod-обвивки при промяна на конфигурацията

Представете си, че в клъстера ви има разгръщане и искате да промените някои стойности в неговия ConfigMap. Ако използвате Helm чарт (вижте раздела „Helm: мениджър на пакети за Kubernetes“ на стр. 102), можете автоматично да откриете промяната в конфигурацията и да презаредите вашите pod-обвивки с помощта на един елегантен трик. Добавете следната анотация в спецификацията на вашето разгръщане:

checksum/config: {{ include (print $.Template.BasePath "\/configmap.yaml") .
       | sha256sum }}

Сега шаблонът на разгръщането съдържа контролна сума на конфигурационните параметри: при промяна на параметрите сумата ще се актуализира. Ако изпълните командата helm upgrade, Helm ще открие, че спецификацията на разгръщането се е променила и ще рестартира всички pod-обвивки.

Конфиденциални данни в Kubernetes

Вече знаем, че обектът ConfigMap предоставя гъвкав механизъм за съхранение и достъп до конфигурационни данни в клъстера. Но повечето приложения имат информация, която е секретна и конфиденциална: например, пароли или API-ключове. Тя може да бъде съхранена и в ConfigMap, но това решение не е идеално.

Вместо това Kubernetes предлага обект от специален тип, предназначен за съхранение на конфиденциални данни: Secret. По-долу ще разгледаме пример как този обект може да се приложи в нашето демонстрационно приложение.

Първо, погледнете манифеста на Kubernetes за обекта Secret (вижте hello-secret-env/k8s/secret.yaml):

apiVersion: v1
kind: Secret
metadata:
    name: demo-secret
stringData:
    magicWord: xyzzy

В този пример тайният ключ magicWord има стойност xyzzy (en.wikipedia.org/wiki/Xyzzy_(computing)). Думата xyzzy е изключително полезна в света на компютрите. Подобно на ConfigMap, в обекта Secret могат да бъдат разположени множество ключове и стойности. Тук за простота използваме само една двойка „ключ — стойност“.

Използване на обектите Secret като променливи на средата

Както и ConfigMap, обектът Secret може да бъде достъпен в контейнера под формата на променливи на средата или файл на неговия диск. В следващия пример ще присвоим стойността от Secret на променлива на средата:

spec:
   containers:
       - name: demo
          image: cloudnatived/demo:hello-secret-env
          ports:
             - containerPort: 8888
          env:
             - name: GREETING
               valueFrom:
               secretKeyRef:
                  name: demo-secret
                  key: magicWord

Изпълнете следната команда в репозитория demo, за да приложите манифестите:

kubectl apply -f hello-secret-env/k8s/
deployment.extensions "demo" configured
secret "demo-secret" created

Както преди, пренасочете локалния порт към разгръщането, за да видите резултата в браузъра си:

kubectl port-forward deploy/demo 9999:8888
Forwarding from 127.0.0.1:9999 -> 8888
Forwarding from [::1]:9999 -> 8888

При отваряне на адреса localhost:9999/ трябва да видите следното:

Вълшебната дума е "xyzzy"

Записване на обекти Secret в файлове

В този пример ще свържем обект Secret с контейнера като файл. Кодът се намира в папката hello-secret-file на репозитория demo.

За да свържем Secret като файл, ще използваме следното разгръщане:

spec:
   containers:
       - name: demo
          image: cloudnatived/demo:hello-secret-file
          ports:
              - containerPort: 8888
          volumeMounts:
              - name: demo-secret-volume
                mountPath: "/secrets/"
                readOnly: true
   volumes:
      - name: demo-secret-volume
        secret:
           secretName: demo-secret

Както в подраздела "Създаване на конфигурационни файлове от обекти ConfigMap" на стр. 240, създаваме том (в този случай това е demo-secret-volume) и го свързваме с контейнера в раздела за спецификации volumeMounts. В полето mountPath е зададено /secrets, така че Kubernetes ще създаде в тази папка по един файл за всяка двойка "ключ - стойност", определена в обекта Secret.

В нашия пример определихме само една двойка "ключ - стойност" с името magicWord, така че манифестът ще създаде в контейнера един файл /secrets/magicWord със защитени данни, достъпен изключително за четене.

Ако приложите този манифест по същия начин, както в предишния пример, трябва да получите същия резултат:

Вълшебната дума е "xyzzy"

Четене на обекти Secret

В предишния раздел използвахме командата kubectl describe, за да изведем съдържанието на ConfigMap. Може ли да се направи същото с Secret?

kubectl describe secret/demo-secret
Name:          demo-secret

Namespace:      default
Labels:             
Annotations:
Type:               Opaque

Data
====
magicWord: 5   bytes

Обърнете внимание, че самите данни не се показват. Обектите Secret в Kubernetes имат тип Opaque: това означава, че съдържанието им не се показва в изхода на kubectl describe, журналите и терминала, за да се предотврати случайно разкриване на конфиденциална информация.

За да видите кодирана версия на конфиденциални данни във формат YAML, използвайте командата kubectl get:

kubectl get secret/demo-secret -o yaml
apiVersion: v1
data:
   magicWord: eHl6enk=
kind: Secret
metadata:
...
type: Opaque

base64

Какво е eHl6enk=, абсолютно не прилича на нашата оригинална стойност? Всъщност, това е обект Secret, представен в кодировка base64. Base64 е схема за кодиране на произволни бинарни данни под формата на низ от символи.

Тъй като конфиденциалната информация може да бъде бинарна и недостъпна за извеждане (както в случая с ключа за криптиране TLS), обектите Secret винаги се съхраняват в формат base64.

Текстът beHl6enk= е версия на нашето тайно слово xyzzy, кодирана в base64. Можете да се уверите в това, ако изпълните в терминала командата base64 —decode:

echo "eHl6enk=" | base64 --decode
xyzzy

Следователно, въпреки че Kubernetes ви предпазва от случайно извеждане на конфиденциални данни в терминала или журналите, при наличие на права за четене на обекти Secret в определено име на пространство, тези данни могат да бъдат получени в формат base64 и след това декодирани.

Ако трябва да кодирате текст в base64 (например, за да го поставите в Secret), използвайте командата base64 без аргументи:

echo xyzzy | base64
eHl6enkK

Достъп до обекти Secret

Кой може да чете и редактира обекти Secret? Това се определя от RBAC — механизъм за контрол на достъпа (подробно ще го обсъдим в подраздела 'Въведение в управлението на достъпа на базата на роли' на с. 258). Ако използвате клъстер, в който системата RBAC липсва или не е включена, всички ваши обекти Secret са достъпни за всички потребители и контейнери (по-късно ще обясним, че не би трябвало да имате нито един производствен клъстер без RBAC).

Пасивно криптиране на данни

А какво ще кажете за тези, които имат достъп до базата данни etcd, в която Kubernetes съхранява цялата си информация? Могат ли те да прочетат конфиденциални данни, без да имат разрешения за четене на обекти Secret чрез API?

С версия 1.7 Kubernetes поддържа пасивно криптиране на данни. Това означава, че конфиденциалната информация в etcd се съхранява на диска в криптиран вид и не може да бъде прочетена дори от тези, които имат пряк достъп до базата данни. За нейното декриптиране е необходим ключ, който се намира единствено на API сървъра на Kubernetes. В правилно конфигуриран клъстер пасивното криптиране трябва да бъде включено.

Можете да проверите дали пасивното криптиране работи във вашия клъстер по следния начин:

kubectl describe pod -n kube-system -l component=kube-apiserver |grep encryption
        --experimental-encryption-provider-config=...

Ако не виждате флага experimental-encryption-provider-config, пасивното криптиране не е включено. При използване на Google Kubernetes Engine или други услуги за управление на Kubernetes вашите данни се криптират с различен механизъм, затова флагът ще липсва. Попитайте вашия доставчик на Kubernetes дали съдържанието на etcd е криптирано.

Съхранение на конфиденциални данни

Има ресурси в Kubernetes, които никога не трябва да бъдат изтривани от клъстера: например, особено важни обекти Secret. Можете да защитите ресурса от изтриване с помощта на анотация, предоставена от Helm мениджъра:

kind: Secret
metadata:
    annotations:
        "helm.sh/resource-policy": keep

Стратегии за управление на обекти Secret

В примера от предишния раздел конфиденциалните данни бяха защитени от неупълномощен достъп веднага след като бяха съхранени в клъстера. Но в манифест файловете те бяха съхранявани в обикновен текст.

Никога не трябва да поставяте конфиденциална информация в файлове, които са в система за контрол на версиите. Как да администрирате и съхранявате такава информация безопасно, преди да я приложите в клъстера Kubernetes?

Можете да изберете каквито и да е инструменти или стратегии за работа с конфиденциални данни във вашите приложения, но все пак ще трябва да отговорите поне на следните въпроси.

• Къде да се съхраняват конфиденциалните данни така, че да бъдат с висока наличност?
• Как да направите конфиденциалните данни достъпни за вашите активни приложения?
• Какво трябва да се случи с вашите приложения, когато заменяте или редактирате конфиденциални данни?

За авторите

Джон Арундел е консултант с 30 години опит в компютърната индустрия. Той е написал няколко книги и работи с много компании от различни страни, консултирайте ги относно облачно-ориентирана инфраструктура и Kubernetes. В свободното си време обича да се сърфира, стреля добре с пистолет и свири на пиано като аматьор. Живее в приказна вила в Корнуол, Англия.

Джъстин Доминго е системен администратор, работещ в среда на DevOps с Kubernetes и облачни технологии. Харесва му да прекарва време на открито, да пие кафе, да ловува раци и да седи пред компютъра. Живее в Сиатъл, Вашингтон, заедно с прекрасен котарак и още по-прекрасна съпруга, която е и неговият най-добър приятел Адриен.

» По-подробно с книгата може да се запознаете на сайта на издателя
» Съдържание
» Извадка

За Хаброжителите отстъпка от 25% с ваучера — Kubernetes

След извършване на плащането за печатната версия на книгата, електронната книга ще бъде изпратена на имейла ви.

Източник: habr.com