Kubernetes YAML বৈধতা সর্বোত্তম অনুশীলন এবং নীতির বিরুদ্ধে

বিঃদ্রঃ. অনুবাদ: K8s পরিবেশের জন্য YAML কনফিগারেশনের সংখ্যা বৃদ্ধির সাথে সাথে তাদের স্বয়ংক্রিয় যাচাইকরণের প্রয়োজনীয়তা আরও বেশি জরুরী হয়ে উঠেছে। এই পর্যালোচনার লেখক শুধুমাত্র এই টাস্কের জন্য বিদ্যমান সমাধানগুলিই বেছে নেননি, তবে তারা কীভাবে কাজ করে তা ডিপ্লয়মেন্টের উদাহরণ ব্যবহার করে দেখেছেন। যারা এই বিষয়ে আগ্রহী তাদের জন্য এটি খুব তথ্যপূর্ণ হয়ে উঠেছে।

TL; ডিআর: এই নিবন্ধটি সেরা অনুশীলন এবং প্রয়োজনীয়তার বিপরীতে Kubernetes YAML ফাইলগুলিকে যাচাই এবং মূল্যায়ন করার জন্য ছয়টি স্ট্যাটিক টুলের তুলনা করে।

Kubernetes ওয়ার্কলোডগুলি সাধারণত YAML নথির আকারে সংজ্ঞায়িত করা হয়। YAML এর সমস্যাগুলির মধ্যে একটি হল ম্যানিফেস্ট ফাইলগুলির মধ্যে সীমা বা সম্পর্ক সেট করার অসুবিধা।

যদি আমাদের নিশ্চিত করতে হয় যে ক্লাস্টারে স্থাপন করা সমস্ত ছবি একটি বিশ্বস্ত রেজিস্ট্রি থেকে আসে?

PodDisruptionBudgets সেট নেই এমন ক্লাস্টারে স্থাপনা পাঠানো কিভাবে প্রতিরোধ করা যায়?

স্ট্যাটিক টেস্টিং ইন্টিগ্রেশন আপনাকে উন্নয়ন পর্যায়ে ত্রুটি এবং নীতি লঙ্ঘন সনাক্ত করতে দেয়। এটি সম্পদের সংজ্ঞা সঠিক এবং সুরক্ষিত হওয়ার নিশ্চয়তা বাড়ায় এবং উৎপাদন কাজের চাপ সর্বোত্তম অনুশীলন অনুসরণ করবে এমন সম্ভাবনা বাড়ায়।

Kubernetes YAML স্ট্যাটিক ভ্যালিডেশন ইকোসিস্টেমকে নিম্নলিখিত শ্রেণীতে ভাগ করা যেতে পারে:

• এপিআই ভ্যালিডেটর. এই বিভাগের টুল কুবারনেটস এপিআই সার্ভারের প্রয়োজনীয়তার বিপরীতে YAML ম্যানিফেস্টকে যাচাই করে।
• প্রস্তুত পরীক্ষক. এই বিভাগের সরঞ্জামগুলি নিরাপত্তা, সর্বোত্তম অনুশীলনের সাথে সম্মতি ইত্যাদির জন্য তৈরি পরীক্ষার সাথে আসে।
• কাস্টম যাচাইকারী. এই বিভাগের সদস্যরা আপনাকে বিভিন্ন ভাষায় কাস্টম পরীক্ষা তৈরি করার অনুমতি দেয়, যেমন রেগো এবং জাভাস্ক্রিপ্ট।

এই প্রবন্ধে, আমরা ছয়টি ভিন্ন টুলের বর্ণনা ও তুলনা করব:

1. kubeval;
2. kube-স্কোর;
3. config-lint;
4. তামা;
5. প্রতিযোগিতা;
6. পোলারিস।

আচ্ছা, শুরু করা যাক!

স্থাপনা পরীক্ষা করা হচ্ছে

আমরা টুলগুলির তুলনা শুরু করার আগে, আসুন কিছু বেস তৈরি করি যার ভিত্তিতে সেগুলি পরীক্ষা করা যায়।

নীচের ম্যানিফেস্টে সেরা অনুশীলনের সাথে অনেকগুলি ত্রুটি এবং অসঙ্গতি রয়েছে: আপনি কতগুলি খুঁজে পেতে পারেন?

apiVersion: apps/v1
kind: Deployment
metadata:
  name: http-echo
spec:
  replicas: 2
  selector:
    matchLabels:
      app: http-echo
  template:
    metadata:
      labels:
        app: http-echo
    spec:
      containers:
      - name: http-echo
        image: hashicorp/http-echo
        args: ["-text", "hello-world"]
        ports:
        - containerPort: 5678
---
apiVersion: v1
kind: Service
metadata:
  name: http-echo
spec:
  ports:
  - port: 5678
    protocol: TCP
    targetPort: 5678
  selector:
    app: http-echo

(base-valid.yaml)

আমরা বিভিন্ন টুলের তুলনা করতে এই YAML ব্যবহার করব।

উপরোক্ত প্রকাশ base-valid.yaml এবং এই নিবন্ধ থেকে অন্যান্য প্রকাশ পাওয়া যাবে গিট ভান্ডার.

ম্যানিফেস্ট একটি ওয়েব অ্যাপ্লিকেশন বর্ণনা করে যার প্রধান কাজ হল পোর্ট 5678-এ একটি "হ্যালো ওয়ার্ল্ড" বার্তার সাথে প্রতিক্রিয়া জানানো। এটি নিম্নলিখিত কমান্ডের সাহায্যে স্থাপন করা যেতে পারে:

kubectl apply -f hello-world.yaml

এবং তাই - কাজ পরীক্ষা করতে:

kubectl port-forward svc/http-echo 8080:5678

এখন যান http://localhost:8080 এবং নিশ্চিত করুন যে অ্যাপ্লিকেশন চলছে। কিন্তু এটি কি সর্বোত্তম অনুশীলন অনুসরণ করে? এর চেক করা যাক.

1. কুবেবল

বেস এ কুবেবল ধারণাটি মিথ্যা যে কুবারনেটসের সাথে যে কোনও মিথস্ক্রিয়া তার REST API এর মাধ্যমে ঘটে। অন্য কথায়, প্রদত্ত YAML এর সাথে সামঞ্জস্যপূর্ণ কিনা তা পরীক্ষা করতে আপনি একটি API স্কিমা ব্যবহার করতে পারেন। এর একটি উদাহরণ তাকান.

সংস্থাপনের নির্দেশনা kubeval প্রকল্প ওয়েবসাইটে উপলব্ধ.

মূল নিবন্ধটি লেখার সময়, সংস্করণ 0.15.0 উপলব্ধ ছিল।

একবার ইন্সটল করার পর, আসুন এটিকে উপরের ম্যানিফেস্টে ফিড করি:

$ kubeval base-valid.yaml
PASS - base-valid.yaml contains a valid Deployment (http-echo)
PASS - base-valid.yaml contains a valid Service (http-echo)

সফল হলে, কুবেভাল ০ এর প্রস্থান কোড সহ প্রস্থান করবে। আপনি এটিকে নিম্নরূপ চেক করতে পারেন:

$ echo $?
0

এখন একটি ভিন্ন ম্যানিফেস্টের সাথে কুবেবল চেষ্টা করা যাক:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: http-echo
spec:
  replicas: 2
  template:
    metadata:
      labels:
        app: http-echo
    spec:
      containers:
      - name: http-echo
        image: hashicorp/http-echo
        args: ["-text", "hello-world"]
        ports:
        - containerPort: 5678
---
apiVersion: v1
kind: Service
metadata:
  name: http-echo
spec:
  ports:
  - port: 5678
    protocol: TCP
    targetPort: 5678
  selector:
    app: http-echo

(kubeval-invalid.yaml)

আপনি সমস্যা চিহ্নিত করতে পারেন? আমরা চালু করি:

$ kubeval kubeval-invalid.yaml
WARN - kubeval-invalid.yaml contains an invalid Deployment (http-echo) - selector: selector is required
PASS - kubeval-invalid.yaml contains a valid Service (http-echo)

# проверим код возврата
$ echo $?
1

সম্পদ যাচাই করা হয় না.

এপিআই সংস্করণ ব্যবহার করে স্থাপনা apps/v1, পডের লেবেলের সাথে মেলে এমন একটি নির্বাচক অন্তর্ভুক্ত করা উচিত। উপরের ম্যানিফেস্টে একটি নির্বাচক অন্তর্ভুক্ত নেই, তাই কুবেভাল একটি ত্রুটি রিপোর্ট করেছে এবং একটি নন-জিরো কোড দিয়ে প্রস্থান করেছে৷

আমি ভাবছি আপনি যদি দৌড়ান তাহলে কি হবে kubectl apply -f এই প্রকাশ সঙ্গে?

আচ্ছা, আসুন চেষ্টা করি:

$ kubectl apply -f kubeval-invalid.yaml
error: error validating "kubeval-invalid.yaml": error validating data: ValidationError(Deployment.spec):
missing required field "selector" in io.k8s.api.apps.v1.DeploymentSpec; if you choose to ignore these errors,
turn validation off with --validate=false

ঠিক যে ত্রুটি সম্পর্কে কুবেবল সতর্ক করেছিলেন। আপনি একটি নির্বাচক যোগ করে এটি ঠিক করতে পারেন:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: http-echo
spec:
  replicas: 2
  selector:          # !!!
    matchLabels:     # !!!
      app: http-echo # !!!
  template:
    metadata:
      labels:
        app: http-echo
    spec:
      containers:
      - name: http-echo
        image: hashicorp/http-echo
        args: ["-text", "hello-world"]
        ports:
        - containerPort: 5678
---
apiVersion: v1
kind: Service
metadata:
  name: http-echo
spec:
  ports:
  - port: 5678
    protocol: TCP
    targetPort: 5678
  selector:
    app: http-echo

(base-valid.yaml)

কুবেভালের মতো সরঞ্জামগুলির সুবিধা হল যে এই ত্রুটিগুলি স্থাপনা চক্রের প্রথম দিকে ধরা যায়।

উপরন্তু, এই চেকগুলির ক্লাস্টারে অ্যাক্সেসের প্রয়োজন নেই: সেগুলি অফলাইনে সঞ্চালিত হতে পারে।

ডিফল্টরূপে, কুবেভাল সর্বশেষ Kubernetes API স্কিমার বিরুদ্ধে সম্পদ পরীক্ষা করে। যাইহোক, বেশিরভাগ ক্ষেত্রে, আপনাকে একটি নির্দিষ্ট Kubernetes রিলিজের বিরুদ্ধে যাচাই করতে হতে পারে। আপনি পতাকা দিয়ে এটি করতে পারেন --kubernetes-version:

$ kubeval --kubernetes-version 1.16.1 base-valid.yaml

নোট করুন যে সংস্করণটি বিন্যাসে হতে হবে Major.Minor.Patch.

যাচাইকরণ সমর্থিত সংস্করণগুলির একটি তালিকার জন্য, পড়ুন৷ GitHub-এ JSON স্কিমা, যা kubeval বৈধকরণের জন্য ব্যবহার করে। আপনি যদি কুবেভাল অফলাইনে চালাতে চান, স্কিমাগুলি ডাউনলোড করুন এবং পতাকা ব্যবহার করে তাদের স্থানীয় অবস্থান নির্দিষ্ট করুন --schema-location.

পৃথক YAML ফাইল ছাড়াও, kubeval ডিরেক্টরি এবং stdin এর সাথেও কাজ করতে পারে।

উপরন্তু, কুবেভাল সহজেই সিআই পাইপলাইনে একত্রিত হয়। যারা ক্লাস্টারে ম্যানিফেস্ট পুশ করার আগে পরীক্ষা চালাতে চান তারা জেনে খুশি হবেন যে কুবেভাল তিনটি আউটপুট ফর্ম্যাট সমর্থন করে:

1. সরল পাঠ্য;
2. JSON;
3. যেকোনো কিছু প্রোটোকল পরীক্ষা করুন (TAP)।

এবং পছন্দসই ধরণের ফলাফলের সারাংশ তৈরি করতে আউটপুটকে আরও পার্স করতে যে কোনও ফর্ম্যাট ব্যবহার করা যেতে পারে।

কুবেভালের একটি খারাপ দিক হল যে এটি বর্তমানে কাস্টম রিসোর্স ডেফিনিশন (সিআরডি) পরীক্ষা করে না। তবে, কুবেভাল কনফিগার করা যেতে পারে তাদের উপেক্ষা.

Kubeval একটি মহান সম্পদ যাচাইকরণ এবং মূল্যায়ন টুল; যাইহোক, এটা জোর দেওয়া উচিত যে পরীক্ষায় উত্তীর্ণ হওয়া গ্যারান্টি দেয় না যে সংস্থানটি সর্বোত্তম অনুশীলনগুলি মেনে চলে।

উদাহরণস্বরূপ, ট্যাগ ব্যবহার করে latest একটি পাত্রে সেরা অনুশীলন পূরণ করে না। যাইহোক, কুবেভাল এটিকে একটি বাগ বিবেচনা করে না এবং এটি রিপোর্ট করে না। অর্থাৎ, এই ধরনের YAML এর বৈধতা সতর্কতা ছাড়াই সম্পূর্ণ হবে।

কিন্তু যদি আপনাকে YAML মূল্যায়ন করতে হয় এবং ট্যাগের মতো লঙ্ঘন সনাক্ত করতে হয় latest? কিভাবে সেরা অনুশীলনের বিরুদ্ধে একটি YAML ফাইল যাচাই করবেন?

2. কুবের স্কোর

কুবের স্কোর YAML ম্যানিফেস্টকে পার্স করে এবং বিল্ট-ইন পরীক্ষার বিরুদ্ধে তাদের মূল্যায়ন করে। এই পরীক্ষাগুলি নিরাপত্তা সুপারিশ এবং সর্বোত্তম অনুশীলনের উপর ভিত্তি করে নির্বাচন করা হয়, যেমন:

• রুট হিসাবে না একটি ধারক চলমান.
• পড স্বাস্থ্য পরীক্ষার প্রাপ্যতা.
• সংস্থানগুলির জন্য অনুরোধ এবং সীমা নির্ধারণ করা।

পরীক্ষার ফলাফল তিনটি ফলাফল: OK, সতর্কতামূলক и গুরুতর.

কুবে-স্কোর অনলাইনে চেষ্টা করা যেতে পারে বা স্থানীয়ভাবে ইনস্টল করা যেতে পারে।

মূল নিবন্ধটি লেখার সময়, কুবে-স্কোরের সর্বশেষ সংস্করণ হল 1.7.0।

আমাদের ম্যানিফেস্টে এটি পরীক্ষা করা যাক base-valid.yaml:

$ kube-score score base-valid.yaml

apps/v1/Deployment http-echo
[CRITICAL] Container Image Tag
  · http-echo -> Image with latest tag
      Using a fixed tag is recommended to avoid accidental upgrades
[CRITICAL] Pod NetworkPolicy
  · The pod does not have a matching network policy
      Create a NetworkPolicy that targets this pod
[CRITICAL] Pod Probes
  · Container is missing a readinessProbe
      A readinessProbe should be used to indicate when the service is ready to receive traffic.
      Without it, the Pod is risking to receive traffic before it has booted. It is also used during
      rollouts, and can prevent downtime if a new version of the application is failing.
      More information: https://github.com/zegl/kube-score/blob/master/README_PROBES.md
[CRITICAL] Container Security Context
  · http-echo -> Container has no configured security context
      Set securityContext to run the container in a more secure context.
[CRITICAL] Container Resources
  · http-echo -> CPU limit is not set
      Resource limits are recommended to avoid resource DDOS. Set resources.limits.cpu
  · http-echo -> Memory limit is not set
      Resource limits are recommended to avoid resource DDOS. Set resources.limits.memory
  · http-echo -> CPU request is not set
      Resource requests are recommended to make sure that the application can start and run without
      crashing. Set resources.requests.cpu
  · http-echo -> Memory request is not set
      Resource requests are recommended to make sure that the application can start and run without crashing.
      Set resources.requests.memory
[CRITICAL] Deployment has PodDisruptionBudget
  · No matching PodDisruptionBudget was found
      It is recommended to define a PodDisruptionBudget to avoid unexpected downtime during Kubernetes
      maintenance operations, such as when draining a node.
[WARNING] Deployment has host PodAntiAffinity
  · Deployment does not have a host podAntiAffinity set
      It is recommended to set a podAntiAffinity that stops multiple pods from a deployment from
      being scheduled on the same node. This increases availability in case the node becomes unavailable.

YAML kubeval চেক পাস করে, যখন kube-স্কোর নিম্নলিখিত ত্রুটিগুলি নির্দেশ করে:

• প্রস্তুতি চেক কনফিগার করা হয় না.
• CPU এবং মেমরি সম্পদের জন্য কোন অনুরোধ এবং সীমা নেই।
• পড ব্যাহত বাজেট সেট করা হয়নি.
• পৃথক অস্তিত্বের জন্য কোন নিয়ম নেই (সম্পর্ক-বিরোধী) প্রাপ্যতা সর্বাধিক করতে।
• ধারকটি রুট হিসাবে সঞ্চালিত হয়।

এগুলি সমস্ত ত্রুটিগুলি সম্পর্কে যুক্তিসঙ্গত মন্তব্য যা মোতায়েনকে আরও দক্ষ এবং নির্ভরযোগ্য হওয়ার জন্য সমাধান করা উচিত।

টীম kube-score প্রকারের সমস্ত লঙ্ঘন সহ মানব-পাঠযোগ্য আকারে তথ্য আউটপুট করে সতর্কতামূলক и গুরুতরযা উন্নয়নের সময় অনেক সাহায্য করে।

যারা সিআই পাইপলাইনের অংশ হিসাবে এই টুলটি ব্যবহার করতে চান তারা পতাকা ব্যবহার করে আরও সংকুচিত আউটপুট সক্ষম করতে পারেন --output-format ci (এই ক্ষেত্রে, ফলাফল সহ পরীক্ষাগুলিও প্রদর্শিত হয় OK):

$ kube-score score base-valid.yaml --output-format ci

[OK] http-echo apps/v1/Deployment
[OK] http-echo apps/v1/Deployment
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) CPU limit is not set
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) Memory limit is not set
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) CPU request is not set
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) Memory request is not set
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) Image with latest tag
[OK] http-echo apps/v1/Deployment
[CRITICAL] http-echo apps/v1/Deployment: The pod does not have a matching network policy
[CRITICAL] http-echo apps/v1/Deployment: Container is missing a readinessProbe
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) Container has no configured security context
[CRITICAL] http-echo apps/v1/Deployment: No matching PodDisruptionBudget was found
[WARNING] http-echo apps/v1/Deployment: Deployment does not have a host podAntiAffinity set
[OK] http-echo v1/Service
[OK] http-echo v1/Service
[OK] http-echo v1/Service
[OK] http-echo v1/Service

কুবেভালের মতো, কুবে-স্কোর একটি নন-জিরো এক্সিট কোড প্রদান করে যখন একটি পরীক্ষা ব্যর্থ হয়। গুরুতর. আপনি এর জন্য অনুরূপ প্রক্রিয়াকরণ সক্ষম করতে পারেন সতর্কতামূলক.

উপরন্তু, বিভিন্ন API সংস্করণের (কুবেভালের অনুরূপ) বিরুদ্ধে সংস্থানগুলি পরীক্ষা করা সম্ভব। যাইহোক, এই তথ্যটি kube-স্কোরেই 'হার্ডকোডেড': আপনি Kubernetes-এর একটি ভিন্ন সংস্করণ নির্বাচন করতে পারবেন না। আপনি যদি আপনার ক্লাস্টার আপগ্রেড করতে চান বা আপনার K8 এর বিভিন্ন সংস্করণ সহ একাধিক ক্লাস্টার থাকে তবে এই সীমাবদ্ধতা একটি বড় সমস্যা হয়ে উঠতে পারে।

মনে রাখবেন যে ইতিমধ্যে একটি সমস্যা আছে এই সুযোগ বাস্তবায়নের জন্য একটি প্রস্তাব সঙ্গে.

কুবে-স্কোর সম্পর্কে আরও তথ্য এখানে পাওয়া যাবে অফিসিয়াল ওয়েবসাইট.

কুবে-স্কোর পরীক্ষাগুলি সর্বোত্তম অনুশীলনগুলি বাস্তবায়নের জন্য একটি দুর্দান্ত সরঞ্জাম, তবে আপনার যদি পরীক্ষায় পরিবর্তন করতে বা কাস্টম নিয়মগুলি যোগ করতে হয় তবে কী হবে? হায়রে, এটা করা যাবে না।

কুবে-স্কোর এক্সটেনসিবল নয়: আপনি এতে নীতি যোগ করতে পারবেন না বা তাদের পরিবর্তন করতে পারবেন না।

আপনি যদি কোম্পানির নীতিগুলির বিরুদ্ধে পরীক্ষা করার জন্য কাস্টম পরীক্ষা লিখতে চান, তাহলে আপনি নিম্নলিখিত চারটি টুলগুলির মধ্যে একটি ব্যবহার করতে পারেন: কনফিগার-লিন্ট, কপার, কনফেস্ট বা পোলারিস।

3.Config-lint

Config-lint হল YAML, JSON, Terraform, CSV কনফিগারেশন ফাইল এবং Kubernetes ম্যানিফেস্ট যাচাই করার জন্য একটি টুল।

আপনি এটি ব্যবহার করে ইনস্টল করতে পারেন নির্দেশাবলী প্রকল্পের ওয়েবসাইটে।

মূল নিবন্ধটি লেখার সময় হিসাবে বর্তমান প্রকাশ হল 1.5.0।

Config-lint-এ Kubernetes ম্যানিফেস্ট যাচাই করার জন্য অন্তর্নির্মিত পরীক্ষা অন্তর্ভুক্ত করা হয় না।

কোনো পরীক্ষা পরিচালনা করতে, আপনাকে অবশ্যই উপযুক্ত নিয়ম তৈরি করতে হবে। এগুলি "রুল সেট" নামে YAML ফাইলগুলিতে লেখা হয় (নিয়মপত্র), এবং নিম্নলিখিত গঠন আছে:

version: 1
description: Rules for Kubernetes spec files
type: Kubernetes
files:
  - "*.yaml"
rules:
   # список правил

(rule.yaml)

আসুন এটি আরও ঘনিষ্ঠভাবে অধ্যয়ন করি:

• ক্ষেত্র type কোন ধরনের কনফিগারেশন config-lint ব্যবহার করবে তা নির্দিষ্ট করে। K8s জন্য এটি হল সর্বদা Kubernetes.
• ক্ষেত্রে files ফাইলগুলি ছাড়াও, আপনি একটি ডিরেক্টরি নির্দিষ্ট করতে পারেন।
• ক্ষেত্র rules ব্যবহারকারী পরীক্ষা সেট করার উদ্দেশ্যে করা হয়.

ধরা যাক আপনি নিশ্চিত করতে চান যে একটি স্থাপনার চিত্রগুলি সর্বদা একটি বিশ্বস্ত সংগ্রহস্থল থেকে ডাউনলোড করা হয় my-company.com/myapp:1.0. একটি কনফিগার-লিন্ট নিয়ম যা এই চেকটি করে তা দেখতে এইরকম হবে:

- id: MY_DEPLOYMENT_IMAGE_TAG
  severity: FAILURE
  message: Deployment must use a valid image tag
  resource: Deployment
  assertions:
    - every:
        key: spec.template.spec.containers
        expressions:
          - key: image
            op: starts-with
            value: "my-company.com/"

(rule-trusted-repo.yaml)

নিম্নলিখিত গুণাবলী প্রতিটি নিয়মের জন্য নির্দিষ্ট করা আবশ্যক:

• id - নিয়মের অনন্য শনাক্তকারী;
• severity - হতে পারে ব্যর্থতা, সতর্কতামূলক и NON_COMPLIANT;
• message - যদি নিয়ম লঙ্ঘন করা হয়, এই লাইনের বিষয়বস্তু প্রদর্শিত হয়;
• resource — এই নিয়ম প্রযোজ্য সম্পদের ধরন;
• assertions - শর্তগুলির একটি তালিকা যা এই সম্পদের সাথে সম্পর্কিত মূল্যায়ন করা হবে।

উপরের নিয়মে assertion নাম অধীনে every Deployment'e-তে থাকা সমস্ত কন্টেইনার চেক করে (key: spec.templates.spec.containers) বিশ্বস্ত ছবি ব্যবহার করুন (যেমন যেগুলি দিয়ে শুরু হয় my-company.com/).

সম্পূর্ণ নিয়ম সেট এই মত দেখায়:

version: 1
description: Rules for Kubernetes spec files
type: Kubernetes
files:
  - "*.yaml"
rules:

 - id: DEPLOYMENT_IMAGE_REPOSITORY # !!!
    severity: FAILURE
    message: Deployment must use a valid image repository
    resource: Deployment
    assertions:
      - every:
          key: spec.template.spec.containers
          expressions:
            - key: image
              op: starts-with
              value: "my-company.com/"

(ruleset.yaml)

পরীক্ষাটি পরীক্ষা করার জন্য, আসুন এটিকে হিসাবে সংরক্ষণ করি check_image_repo.yaml. ফাইল চেক করা যাক base-valid.yaml:

$ config-lint -rules check_image_repo.yaml base-valid.yaml

[
  {
  "AssertionMessage": "Every expression fails: And expression fails: image does not start with my-company.com/",
  "Category": "",
  "CreatedAt": "2020-06-04T01:29:25Z",
  "Filename": "test-data/base-valid.yaml",
  "LineNumber": 0,
  "ResourceID": "http-echo",
  "ResourceType": "Deployment",
  "RuleID": "DEPLOYMENT_IMAGE_REPOSITORY",
  "RuleMessage": "Deployment must use a valid image repository",
  "Status": "FAILURE"
  }
]

চেক ব্যর্থ হয়েছে. এখন সঠিক চিত্র সংগ্রহস্থলের সাথে নিম্নলিখিত ম্যানিফেস্টটি পরীক্ষা করা যাক:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: http-echo
spec:
  replicas: 2
  selector:
    matchLabels:
      app: http-echo
  template:
    metadata:
      labels:
        app: http-echo
    spec:
      containers:
      - name: http-echo
         image: my-company.com/http-echo:1.0 # !!!
         args: ["-text", "hello-world"]
         ports:
         - containerPort: 5678

(image-valid-mycompany.yaml)

আমরা উপরের ম্যানিফেস্টের সাথে একই পরীক্ষা চালাই। কোন সমস্যা পাওয়া যায়নি:

$ config-lint -rules check_image_repo.yaml image-valid-mycompany.yaml
[]

Config-lint হল একটি অগ্রগামী কাঠামো যা আপনাকে YAML DSL ব্যবহার করে Kubernetes YAML ম্যানিফেস্টগুলি যাচাই করার জন্য কাস্টম পরীক্ষা তৈরি করতে দেয়।

কিন্তু যদি আরো জটিল যুক্তি এবং পরীক্ষা প্রয়োজন হয়? এর জন্য YAML ক্ষমতাগুলি কি খুব ছোট নয়? যদি আপনি একটি পূর্ণাঙ্গ প্রোগ্রামিং ভাষায় পরীক্ষা তৈরি করতে পারেন?

4. তামা

তামা V2 কাস্টম পরীক্ষা (কনফিগ-লিন্টের অনুরূপ) ব্যবহার করে ম্যানিফেস্ট যাচাই করার জন্য একটি কাঠামো।

যাইহোক, এটি পরেরটির থেকে আলাদা যে এটি পরীক্ষার বর্ণনা করতে YAML ব্যবহার করে না। পরিবর্তে, পরীক্ষাগুলি জাভাস্ক্রিপ্টে লেখা যেতে পারে। কপার বিভিন্ন মৌলিক সরঞ্জাম সহ একটি লাইব্রেরি প্রদান করেKubernetes অবজেক্ট সম্পর্কে তথ্য পড়তে এবং ত্রুটি রিপোর্ট করতে সাহায্য করতে।

কপার ইনস্টল করার পদক্ষেপের ক্রমটি পাওয়া যাবে অফিসিয়াল ডকুমেন্টেশন.

মূল নিবন্ধটি লেখার সময় 2.0.1 হল এই ইউটিলিটির সর্বশেষ প্রকাশ।

কনফিগার-লিন্টের মতো, কপারের কোনও অন্তর্নির্মিত পরীক্ষা নেই। এর একটি লিখুন. তাকে পরীক্ষা করতে দিন যে স্থাপনাগুলি একচেটিয়াভাবে বিশ্বস্ত সংগ্রহস্থল থেকে কনটেইনার চিত্রগুলি ব্যবহার করে my-company.com.

একটি ফাইল তৈরি করুন check_image_repo.js নিম্নলিখিত বিষয়বস্তু সহ:

$$.forEach(function($){
    if ($.kind === 'Deployment') {
        $.spec.template.spec.containers.forEach(function(container) {
            var image = new DockerImage(container.image);
            if (image.registry.lastIndexOf('my-company.com/') != 0) {
                errors.add_error('no_company_repo',"Image " + $.metadata.name + " is not from my-company.com repo", 1)
            }
        });
    }
});

এখন আমাদের ম্যানিফেস্ট পরীক্ষা করতে base-valid.yaml, কমান্ড ব্যবহার করুন copper validate:

$ copper validate --in=base-valid.yaml --validator=check_image_tag.js

Check no_company_repo failed with severity 1 due to Image http-echo is not from my-company.com repo
Validation failed

এটা স্পষ্ট যে কপার ব্যবহার করে আরও জটিল পরীক্ষা করা যেতে পারে - উদাহরণস্বরূপ, ইনগ্রেস ম্যানিফেস্টে ডোমেন নাম চেক করা বা সুবিধাপ্রাপ্ত মোডে চলমান পডগুলি প্রত্যাখ্যান করা।

বিভিন্ন ইউটিলিটি ফাংশন কপারে তৈরি করা হয়:

• DockerImage নির্দিষ্ট ইনপুট ফাইলটি পড়ে এবং নিম্নলিখিত বৈশিষ্ট্যগুলির সাথে একটি বস্তু তৈরি করে:
  • name - ছবির নাম,
  • tag - ইমেজ ট্যাগ,
  • registry - ইমেজ রেজিস্ট্রি
  • registry_url - প্রোটোকল (https://) এবং একটি চিত্র রেজিস্ট্রি,
  • fqin — ছবির সম্পূর্ণ অবস্থান।
• ক্রিয়া findByName একটি প্রদত্ত ধরনের দ্বারা একটি সম্পদ খুঁজে পেতে সাহায্য করে (kind) এবং নাম (name) ইনপুট ফাইল থেকে।
• ক্রিয়া findByLabels নির্দিষ্ট ধরনের দ্বারা একটি সম্পদ খুঁজে পেতে সাহায্য করে (kind) এবং লেবেল (labels).

সমস্ত উপলব্ধ ইউটিলিটি ফাংশন পাওয়া যাবে এখানে.

ডিফল্টরূপে, এটি একটি ভেরিয়েবলে সম্পূর্ণ YAML ইনপুট ফাইল লোড করে $$ এবং এটি স্ক্রিপ্টের জন্য উপলব্ধ করে (jQuery অভিজ্ঞতা আছে তাদের জন্য একটি পরিচিত কৌশল)।

কপারের প্রধান সুবিধা সুস্পষ্ট: আপনার কোনো বিশেষ ভাষা শেখার প্রয়োজন নেই এবং আপনি বিভিন্ন জাভাস্ক্রিপ্ট বৈশিষ্ট্য ব্যবহার করে আপনার নিজস্ব পরীক্ষা তৈরি করতে পারেন, যেমন স্ট্রিং ইন্টারপোলেশন, ফাংশন ইত্যাদি।

এটিও উল্লেখ করা উচিত যে কপারের বর্তমান সংস্করণটি জাভাস্ক্রিপ্ট ইঞ্জিনের ES5 সংস্করণের সাথে কাজ করে, ES6 নয়।

বিস্তারিত পাওয়া যায় প্রকল্পের অফিসিয়াল ওয়েবসাইট.

যাইহোক, আপনি যদি জাভাস্ক্রিপ্টের একজন বড় অনুরাগী না হন এবং বিশেষভাবে প্রশ্ন করার জন্য এবং নীতি বর্ণনা করার জন্য একটি ভাষা পছন্দ করেন, তাহলে আপনার কনফেস্টের দিকে নজর দেওয়া উচিত।

5. প্রতিযোগিতা

কনফেস্ট কনফিগারেশন ডেটা চেক করার জন্য একটি কাঠামো। এছাড়াও Kubernetes ম্যানিফেস্ট পরীক্ষা/যাচাই করার জন্য উপযুক্ত। পরীক্ষা একটি বিশেষ ক্যোয়ারী ভাষা ব্যবহার করে বর্ণনা করা হয় রেগো.

আপনি এর সাথে কনফেস্ট ইনস্টল করতে পারেন নির্দেশাবলীপ্রকল্পের ওয়েবসাইটে তালিকাভুক্ত।

মূল নিবন্ধটি লেখার সময়, সর্বশেষ সংস্করণটি 0.18.2 উপলব্ধ।

কনফিগার-লিন্ট এবং কপারের মতো, কনফ্টেস্ট কোনো বিল্ট-ইন পরীক্ষা ছাড়াই আসে। এর চেষ্টা করা যাক এবং আমাদের নিজস্ব নীতি লিখুন. পূর্ববর্তী উদাহরণগুলির মতো, আমরা পরীক্ষা করব যে কন্টেইনার ছবিগুলি একটি নির্ভরযোগ্য উত্স থেকে নেওয়া হয়েছে কিনা।

একটি ডিরেক্টরি তৈরি করুন conftest-checks, এবং এটিতে - নামের একটি ফাইল check_image_registry.rego নিম্নলিখিত বিষয়বস্তু সহ:

package main

deny[msg] {

  input.kind == "Deployment"
  image := input.spec.template.spec.containers[_].image
  not startswith(image, "my-company.com/")
  msg := sprintf("image '%v' doesn't come from my-company.com repository", [image])
}

এখন পরীক্ষা করা যাক base-valid.yaml দ্বারা conftest:

$ conftest test --policy ./conftest-checks base-valid.yaml

FAIL - base-valid.yaml - image 'hashicorp/http-echo' doesn't come from my-company.com repository
1 tests, 1 passed, 0 warnings, 1 failure

পরীক্ষাটি আশানুরূপ ব্যর্থ হয়েছে কারণ ছবিগুলি একটি অবিশ্বস্ত উৎস থেকে এসেছে৷

রেগো ফাইলে, আমরা একটি ব্লক সংজ্ঞায়িত করি deny. এর সত্যতা লঙ্ঘন হিসাবে বিবেচিত হয়। যদি ব্লক করে deny একাধিক, প্রতিদ্বন্দ্বিতা তাদের স্বাধীনভাবে পরীক্ষা করে, এবং যেকোনো ব্লকের সত্যতা লঙ্ঘন হিসাবে বিবেচিত হয়।

ডিফল্ট আউটপুট ছাড়াও, কনফটেস্ট JSON, TAP, এবং ট্যাবুলার ফর্ম্যাটকে সমর্থন করে - একটি খুব দরকারী বৈশিষ্ট্য যদি আপনি একটি বিদ্যমান CI পাইপলাইনে প্রতিবেদনগুলি এম্বেড করতে চান। আপনি পতাকা ব্যবহার করে পছন্দসই বিন্যাস সেট করতে পারেন --output.

নীতি ডিবাগিং সহজতর করার জন্য, কনফ্টেস্টের একটি পতাকা রয়েছে৷ --trace. এটি একটি ট্রেস প্রিন্ট করে যে কীভাবে কনফেস্ট নির্দিষ্ট নীতি ফাইলগুলিকে পার্স করে।

কন্টেস্ট নীতিগুলি আর্টিফ্যাক্ট হিসাবে OCI (ওপেন কন্টেইনার ইনিশিয়েটিভ) রেজিস্ট্রিতে প্রকাশ এবং ভাগ করা যেতে পারে।

কমান্ড push и pull আপনাকে একটি আর্টিফ্যাক্ট প্রকাশ করতে বা দূরবর্তী রেজিস্ট্রি থেকে একটি বিদ্যমান আর্টিফ্যাক্ট পুনরুদ্ধার করার অনুমতি দেয়। আসুন স্থানীয় ডকার রেজিস্ট্রিতে আমরা যে নীতি তৈরি করেছি তা প্রকাশ করার চেষ্টা করি conftest push.

স্থানীয় ডকার রেজিস্ট্রি শুরু করুন:

$ docker run -it --rm -p 5000:5000 registry

অন্য টার্মিনালে, আপনি আগে তৈরি করা ডিরেক্টরিতে যান conftest-checks এবং নিম্নলিখিত কমান্ড চালান:

$ conftest push 127.0.0.1:5000/amitsaha/opa-bundle-example:latest

কমান্ড সফল হলে, আপনি এই মত একটি বার্তা দেখতে পাবেন:

2020/06/10 14:25:43 pushed bundle with digest: sha256:e9765f201364c1a8a182ca637bc88201db3417bacc091e7ef8211f6c2fd2609c

এখন একটি অস্থায়ী ডিরেক্টরি তৈরি করুন এবং এতে কমান্ডটি চালান conftest pull. এটি পূর্ববর্তী কমান্ড দ্বারা তৈরি প্যাকেজ ডাউনলোড করবে:

$ cd $(mktemp -d)
$ conftest pull 127.0.0.1:5000/amitsaha/opa-bundle-example:latest

একটি সাবডিরেক্টরি অস্থায়ী ডিরেক্টরিতে উপস্থিত হবে policy, আমাদের নীতি ফাইল ধারণকারী:

$ tree
.
└── policy
  └── check_image_registry.rego

পরীক্ষাগুলি সরাসরি সংগ্রহস্থল থেকে চালানো যেতে পারে:

$ conftest test --update 127.0.0.1:5000/amitsaha/opa-bundle-example:latest base-valid.yaml
..
FAIL - base-valid.yaml - image 'hashicorp/http-echo' doesn't come from my-company.com repository
2 tests, 1 passed, 0 warnings, 1 failure

দুর্ভাগ্যবশত, ডকারহাব এখনও সমর্থিত নয়। তাই ব্যবহার করলে নিজেকে ভাগ্যবান মনে করুন আজুর কন্টেইনার রেজিস্ট্রি (ACR) বা আপনার নিজের রেজিস্ট্রি।

আর্টিফ্যাক্ট বিন্যাস হিসাবে একই পলিসি এজেন্ট প্যাকেজ খুলুন (OPA), যা আপনাকে বিদ্যমান OPA প্যাকেজগুলি থেকে পরীক্ষা চালানোর জন্য কনফেস্ট ব্যবহার করতে দেয়।

আপনি এখানে নীতি ভাগাভাগি এবং অন্যান্য প্রতিযোগিতার বৈশিষ্ট্য সম্পর্কে আরও জানতে পারেন প্রকল্পের অফিসিয়াল ওয়েবসাইট.

6। ধ্রুবতারা

এই নিবন্ধে আলোচনা করা হবে যে শেষ টুল ধ্রুবতারা. (তার গত বছরের ঘোষণা আমরা ইতিমধ্যে অনুবাদ করা হয়েছে - প্রায়. অনুবাদ)

পোলারিস একটি ক্লাস্টারে ইনস্টল করা যেতে পারে বা কমান্ড লাইন মোডে ব্যবহার করা যেতে পারে। আপনি যেমন অনুমান করেছেন, এটি আপনাকে কুবারনেটস ম্যানিফেস্টগুলিকে স্থিরভাবে পার্স করার অনুমতি দেয়।

কমান্ড লাইন মোডে চলাকালীন, অন্তর্নির্মিত পরীক্ষাগুলি সুরক্ষা এবং সর্বোত্তম অনুশীলনের মতো ক্ষেত্রগুলিকে কভার করে (কুবে-স্কোরের অনুরূপ) উপলব্ধ। উপরন্তু, আপনি আপনার নিজস্ব পরীক্ষা তৈরি করতে পারেন (যেমন কনফিগার-লিন্ট, কপার এবং কনফেস্টে)।

অন্য কথায়, পোলারিস উভয় শ্রেণীর টুলের সুবিধাগুলিকে একত্রিত করে: অন্তর্নির্মিত এবং কাস্টম পরীক্ষার সাথে।

কমান্ড লাইন মোডে পোলারিস ইনস্টল করতে, ব্যবহার করুন প্রকল্পের ওয়েবসাইটে নির্দেশাবলী.

মূল নিবন্ধটি লেখার সময়, সংস্করণ 1.0.3 উপলব্ধ।

ইনস্টলেশন সম্পূর্ণ হওয়ার পরে, আপনি ম্যানিফেস্টে পোলারিস চালাতে পারেন base-valid.yaml নিম্নলিখিত কমান্ড সহ:

$ polaris audit --audit-path base-valid.yaml

এটি একটি JSON স্ট্রিং আউটপুট করবে যে পরীক্ষাগুলি চালানো হয়েছিল এবং তাদের ফলাফলের বিবরণ। আউটপুট নিম্নলিখিত কাঠামো থাকবে:

{
  "PolarisOutputVersion": "1.0",
  "AuditTime": "0001-01-01T00:00:00Z",
  "SourceType": "Path",
  "SourceName": "test-data/base-valid.yaml",
  "DisplayName": "test-data/base-valid.yaml",
  "ClusterInfo": {
    "Version": "unknown",
    "Nodes": 0,
    "Pods": 2,
    "Namespaces": 0,
    "Controllers": 2
  },
  "Results": [
    /* длинный список */
  ]
}

সম্পূর্ণ প্রত্যাহার উপলব্ধ এখানে.

কুবে-স্কোরের মতো, পোলারিস এমন সমস্যাগুলি চিহ্নিত করে যেখানে ম্যানিফেস্ট সেরা অনুশীলনগুলি অনুসরণ করে না:

• পড স্বাস্থ্য পরীক্ষা অনুপস্থিত.
• কন্টেইনার ইমেজের জন্য কোনো ট্যাগ নির্দিষ্ট করা নেই।
• ধারকটি রুট হিসাবে সঞ্চালিত হয়।
• মেমরি এবং সিপিইউ-এর জন্য অনুরোধ এবং সীমা নির্দিষ্ট করা নেই।

প্রতিটি পরীক্ষা, তার ফলাফলের উপর নির্ভর করে, সমালোচনার একটি ডিগ্রী বরাদ্দ করা হয়: সতর্কবার্তা বা ঝুঁকি. উপলব্ধ বিল্ট-ইন পরীক্ষা সম্পর্কে আরও জানতে, পড়ুন ডকুমেন্টেশন.

বিশদ বিবরণ প্রয়োজন না হলে, আপনি একটি পতাকা নির্দিষ্ট করতে পারেন --format score. এই ক্ষেত্রে, পোলারিস 1 থেকে 100 − পর্যন্ত পরিসরে একটি সংখ্যা আউটপুট করবে স্কোর (অর্থাৎ মূল্যায়ন):

$ polaris audit --audit-path test-data/base-valid.yaml --format score
68

স্কোর 100 এর কাছাকাছি, সম্মতির ডিগ্রি তত বেশি। কমান্ডের এক্সিট কোড চেক করলে polaris audit, দেখা যাচ্ছে যে এটি 0 এর সমান।

করা polaris audit আপনি দুটি পতাকা ব্যবহার করে একটি অ-শূন্য কোড দিয়ে প্রস্থান করতে পারেন:

• পতাকা --set-exit-code-below-score একটি যুক্তি হিসাবে 1-100 পরিসরে একটি থ্রেশহোল্ড মান নেয়৷ এই ক্ষেত্রে, স্কোর থ্রেশহোল্ডের নীচে থাকলে কমান্ডটি 4-এর প্রস্থান কোড দিয়ে শেষ হবে। যখন আপনার কিছু থ্রেশহোল্ড মান থাকে (বলুন 75) এবং স্কোর নীচে নেমে গেলে আপনি সতর্ক হতে চান তখন এটি খুব সহজ।
• পতাকা --set-exit-code-on-danger বিপদ পরীক্ষাগুলির মধ্যে একটি ব্যর্থ হলে কোড 3 দিয়ে প্রস্থান করার জন্য কমান্ডের কারণ হবে।

এখন আসুন একটি কাস্টম পরীক্ষা তৈরি করার চেষ্টা করি যা পরীক্ষা করে যে ছবিটি একটি বিশ্বস্ত সংগ্রহস্থল থেকে নেওয়া হয়েছে কিনা। ব্যবহারকারীর পরীক্ষাগুলি YAML ফর্ম্যাটে নির্দিষ্ট করা হয় এবং পরীক্ষাটি নিজেই JSON স্কিমা ব্যবহার করে বর্ণনা করা হয়।

নিম্নলিখিত YAML স্নিপেট নামক একটি নতুন পরীক্ষা বর্ণনা করে checkImageRepo:

checkImageRepo:
  successMessage: Image registry is valid
  failureMessage: Image registry is not valid
  category: Images
  target: Container
  schema:
    '$schema': http://json-schema.org/draft-07/schema
    type: object
    properties:
      image:
        type: string
        pattern: ^my-company.com/.+$

আসুন এটি ঘনিষ্ঠভাবে দেখে নেওয়া যাক:

• successMessage - পরীক্ষা সফলভাবে সম্পন্ন হলে এই লাইনটি প্রদর্শিত হবে;
• failureMessage - ব্যর্থতার ক্ষেত্রে এই বার্তাটি দেখানো হবে;
• category - একটি বিভাগ নির্দেশ করে: Images, Health Checks, Security, Networking и Resources;
• target--- কোন ধরনের বস্তু নির্ধারণ করে (spec) পরীক্ষা প্রয়োগ করা হয়। সম্ভাব্য মান: Container, Pod বা Controller;
• পরীক্ষা নিজেই বস্তু নির্দিষ্ট করা হয় schema JSON স্কিমা ব্যবহার করে। এই পরীক্ষায়, কীওয়ার্ড pattern পছন্দসই একটির সাথে ছবির উৎস তুলনা করতে ব্যবহৃত হয়।

উপরের পরীক্ষা চালানোর জন্য, আপনাকে নিম্নলিখিত পোলারিস কনফিগারেশন তৈরি করতে হবে:

checks:
  checkImageRepo: danger
customChecks:
  checkImageRepo:
    successMessage: Image registry is valid
    failureMessage: Image registry is not valid
    category: Images
    target: Container
    schema:
      '$schema': http://json-schema.org/draft-07/schema
      type: object
      properties:
        image:
          type: string
          pattern: ^my-company.com/.+$

(polaris-conf.yaml)

চলুন ফাইল পার্স করা যাক:

• ক্ষেত্রে checks পরীক্ষা এবং তাদের সমালোচনার স্তর নির্ধারিত হয়। যেহেতু একটি অবিশ্বস্ত উৎস থেকে একটি ছবি তোলা হলে সতর্ক করা বাঞ্ছনীয়, তাই আমরা এখানে স্তরটি সেট করি danger.
• পরীক্ষা নিজেই checkImageRepo তারপর অবজেক্টে বরাদ্দ করা হয় customChecks.

ফাইলটি হিসাবে সংরক্ষণ করুন custom_check.yaml. এখন আপনি চালাতে পারেন polaris audit একটি YAML ম্যানিফেস্টের সাথে বৈধতা প্রয়োজন।

আমাদের ম্যানিফেস্ট পরীক্ষা করা হচ্ছে base-valid.yaml:

$ polaris audit --config custom_check.yaml --audit-path base-valid.yaml

টীম polaris audit শুধুমাত্র উপরে দেওয়া কাস্টম পরীক্ষা চালানো হয়েছে এবং এটি ব্যর্থ হয়েছে।

আপনি যদি ছবিটি ঠিক করেন my-company.com/http-echo:1.0, পোলারিস সফলভাবে সম্পন্ন হবে। পরিবর্তন সহ ইশতেহার ইতিমধ্যে আছে সংগ্রহস্থলতাই আপনি ম্যানিফেস্টে পূর্ববর্তী কমান্ডটি পরীক্ষা করতে পারেন image-valid-mycompany.yaml.

এখন প্রশ্ন উঠেছে: কাস্টমগুলির সাথে বিল্ট-ইন পরীক্ষাগুলি কীভাবে চালানো যায়? সহজে ! আপনাকে কনফিগার ফাইলে বিল্ট-ইন টেস্ট আইডি যোগ করতে হবে। ফলস্বরূপ, এটি নিম্নলিখিত ফর্ম গ্রহণ করবে:

checks:
  cpuRequestsMissing: warning
  cpuLimitsMissing: warning
  # Other inbuilt checks..
  # ..
  # custom checks
  checkImageRepo: danger # !!!
customChecks:
  checkImageRepo:        # !!!
    successMessage: Image registry is valid
    failureMessage: Image registry is not valid
    category: Images
    target: Container
    schema:
      '$schema': http://json-schema.org/draft-07/schema
      type: object
      properties:
        image:
          type: string
          pattern: ^my-company.com/.+$

(config_with_custom_check.yaml)

একটি সম্পূর্ণ কনফিগারেশন ফাইলের একটি উদাহরণ উপলব্ধ এখানে.

ম্যানিফেস্ট চেক করুন base-valid.yaml, অন্তর্নির্মিত এবং কাস্টম পরীক্ষা ব্যবহার করে, আপনি কমান্ডটি ব্যবহার করতে পারেন:

$ polaris audit --config config_with_custom_check.yaml --audit-path base-valid.yaml

পোলারিস কাস্টম পরীক্ষার সাথে অন্তর্নির্মিত পরীক্ষাগুলিকে পরিপূরক করে, যার ফলে উভয় জগতের সেরাটি একত্রিত হয়।

অন্যদিকে, রেগো বা জাভাস্ক্রিপ্টের মতো আরও শক্তিশালী ভাষা ব্যবহার করার অক্ষমতা একটি সীমাবদ্ধ কারণ হতে পারে যা আপনাকে আরও পরিশীলিত পরীক্ষা তৈরি করতে বাধা দেয়।

পোলারিস সম্পর্কে আরও তথ্য এখানে উপলব্ধ প্রকল্প সাইট.

সারাংশ

Kubernetes YAML ফাইলগুলিকে যাচাই এবং মূল্যায়ন করার জন্য অনেকগুলি সরঞ্জাম রয়েছে, পরীক্ষাগুলি কীভাবে ডিজাইন করা হবে এবং সম্পাদিত হবে সে সম্পর্কে স্পষ্ট ধারণা থাকা গুরুত্বপূর্ণ.

উদাহরণস্বরূপ, যদি আপনি একটি পাইপলাইনের মধ্য দিয়ে যাওয়া Kubernetes ম্যানিফেস্টগুলি নেন, তাহলে কুবেভাল এই ধরনের একটি পাইপলাইনের প্রথম ধাপ হতে পারে. এটি নিশ্চিত করবে যে বস্তুর সংজ্ঞাগুলি Kubernetes API স্কিমার সাথে মেলে।

একবার এই ধরনের পর্যালোচনা সম্পন্ন হলে, আরও পরিশীলিত পরীক্ষাগুলি করা যেতে পারে, যেমন আদর্শ সেরা অনুশীলন এবং নির্দিষ্ট নীতিগুলির সাথে সম্মতি। এখানেই কুবে-স্কোর এবং পোলারিস কাজে আসবে।

যাদের জটিল প্রয়োজনীয়তা রয়েছে এবং তাদের পরীক্ষাগুলিকে সূক্ষ্ম-টিউন করতে হবে তাদের জন্য, তামা, কনফিগ-লিন্ট এবং কনফটেস্ট দুর্দান্ত হবে।.

কনফটেস্ট এবং কনফিগার-লিন্ট কাস্টম পরীক্ষাগুলিকে সংজ্ঞায়িত করতে YAML ব্যবহার করে, যখন তামা আপনাকে একটি সম্পূর্ণ প্রোগ্রামিং ভাষাতে অ্যাক্সেস দেয়, এটি একটি সুন্দর আকর্ষণীয় পছন্দ করে তোলে।

অন্যদিকে, আপনার কি এই টুলগুলির মধ্যে একটি ব্যবহার করা উচিত এবং তাই, সমস্ত পরীক্ষাগুলি ম্যানুয়ালি তৈরি করা উচিত, বা পোলারিসকে পছন্দ করা উচিত এবং শুধুমাত্র যা প্রয়োজন তা যোগ করা উচিত? এই প্রশ্নের কোন একক উত্তর নেই.

নীচের টেবিলে প্রতিটি টুলের একটি সংক্ষিপ্ত বিবরণ রয়েছে:

টুল
নিয়তি
ভুলত্রুটি
ব্যবহারকারীর পরীক্ষা

কুবেবল
একটি নির্দিষ্ট API স্কিমা সংস্করণের বিরুদ্ধে YAML ম্যানিফেস্টকে যাচাই করে
CRD এর সাথে কিভাবে কাজ করতে হয় তা জানেন না
না

কুবে-স্কোর
পার্স YAML সেরা অনুশীলনের বিরুদ্ধে প্রকাশ করে
আপনি সম্পদ যাচাইকরণের জন্য Kubernetes API-এর আপনার সংস্করণ নির্বাচন করতে পারবেন না
না

তামা
YAML ম্যানিফেস্টের জন্য কাস্টম জাভাস্ক্রিপ্ট পরীক্ষা তৈরির জন্য জেনেরিক ফ্রেমওয়ার্ক
কোন অন্তর্নির্মিত পরীক্ষা আছে. স্বল্প ডকুমেন্টেশন
হাঁ

config-lint
YAML-এ এমবেড করা একটি ডোমেন-নির্দিষ্ট ভাষায় পরীক্ষা তৈরির জন্য সাধারণ কাঠামো। বিভিন্ন কনফিগারেশন ফরম্যাট সমর্থন করে (যেমন Terraform)
কোনো রেডিমেড পরীক্ষা নেই। অন্তর্নির্মিত দাবী এবং ফাংশন যথেষ্ট নাও হতে পারে
হাঁ

প্রতিযোগিতা
রেগোতে আপনার নিজস্ব পরীক্ষা তৈরি করার জন্য একটি কাঠামো (একটি বিশেষ ক্যোয়ারী ভাষা)। OCI বান্ডেলের মাধ্যমে পলিসি শেয়ার করার অনুমতি দেয়
কোন অন্তর্নির্মিত পরীক্ষা আছে. রেগো শিখতে হবে। নীতি প্রকাশ করার সময় ডকার হাব সমর্থিত নয়
হাঁ

ধ্রুবতারা
YAML পার্স করে স্ট্যান্ডার্ড সেরা অনুশীলনের বিরুদ্ধে প্রকাশ করে। আপনাকে JSON স্কিমা ব্যবহার করে আপনার নিজস্ব পরীক্ষা তৈরি করতে দেয়
JSON স্কিমা-ভিত্তিক পরীক্ষার ক্ষমতা যথেষ্ট নাও হতে পারে
হাঁ

যেহেতু এই টুলগুলি কুবারনেটস ক্লাস্টারে অ্যাক্সেসের উপর নির্ভর করে না, তাই এগুলি ইনস্টল করা সহজ। তারা আপনাকে উত্স ফাইলগুলি ফিল্টার করার অনুমতি দেয় এবং প্রকল্পগুলিতে লেখকদের অনুরোধ করার জন্য দ্রুত প্রতিক্রিয়া প্রদান করে।

অনুবাদক থেকে PS

আমাদের ব্লগেও পড়ুন:

• «পোলারিস কুবারনেটস ক্লাস্টারকে সুস্থ রাখার জন্য প্রবর্তন করেছে";
• «কুবারনেটসের জন্য YAML সমর্থন সহ Vim";
• «Google-এর 7টি কন্টেইনার সেরা অভ্যাস».

উত্স: www.habr.com