24. listopadu skončil Slërm Mega, pokročilý intenzivní kurz o Kubernetes. se uskuteční v Moskvě ve dnech 18. - 20. května.
Cílem Slërmu Mega je nahlédnout pod kapotu clustera, rozebrat teoretické a praktické nuance instalace a konfigurace production-ready clustera („the-not-so-easy-way“), a prozkoumat mechanismy zabezpečení a vysoké dostupnosti aplikací.
Bonus Megy: ti, kteří absolvují Slërm Základní a Slërm Mega, získají veškeré znalosti potřebné k úspěšnému složení zkoušky na a 50% slevu na zkoušku.
Zvláštní poděkování Selectel za poskytnutí cloudu pro praktické cvičení, díky němuž mohl každý účastník pracovat ve vlastním plnohodnotném clusteru, a nám to umožnilo nezvyšovat cenu vstupenky o zbytečných 5000.
Kdo jsou Bondarev a Selivanov, nebudu popisovat, kdo má zájem, .
Slërm Mega. První den.
Během prvního dne Slërmu Mega jsme účastníky zatížili čtyřmi tématy. Pavel Selivanov hovořil o procesu vytváření vysokodostupného clustera zevnitř, o fungování Kubeadm, a také o testování a řešení problémů clustera.
První pauza na kávu. Obvykle „zvonek pro učitele“, ale na Slërmu, zatímco studenti pijí kávu, lektoři pokračují v odpovídání na otázky.
A přestože nad hlavou Pavla Selivanova visí obláček „Pauza II“, na pauzu mu není souzeno odejít.
Sergej Bondarev a Marsel Ibrajev čekají, až budou moci vystoupit k pultu.
Během přestávky jsem přistoupil k Sergeji Bondarevovi a zeptal se: „Co bys poradil všem inženýrům Kubernetes na základě svých zkušeností s clustery našich klientů?“
Sergej dal jednoduché doporučení: „Zavřete přístup z internetu k API serveru. Protože se občas zjistí bezpečnostní hrozby, které umožňují přístup k clusteru neautorizovaným uživatelům.»
Po několika minutách a lahvi minerálky se Pavel Selivanov vrhl do boje se stínem tématu „Autorizace v clusteru pomocí externího poskytovatele“, konkrétně LDAP (Nginx + Python) a OIDC (Dex + Gangway).
Během další přestávky dal svůj tip inženýrům Kubernetes Marsel Ibrajev, mluvčí Slërmu, Certified Kubernetes Administrator: „Řeknu něco, co možná vypadá jako banální, ale vzhledem k tomu, jak často se s tím setkávám, mám podezření, že to ne všichni zohledňují. Není dobré slepě věřit různým How-To z internetu, které vysvětlují, jak skvěle funguje to či ono řešení. V kontextu Kubernetes to nabývá zvláštního významu. Kubernetes je složitý systém a přidání řešení, které nebylo testováno konkrétně ve vašem projektu a vaší instalaci cloudu, může mít smutné následky, i když na internetu psali o jeho fantastických vlastnostech. I samotný Kubernetes bez uváženého přístupu může vašemu projektu uškodit; „co je pro jednoho dobré, to je pro jiného smrt“. Proto testujeme, ověřujeme a prověřujeme jakékoli řešení než ho implementujeme. Jen tak zohledníte všechny nuance, které mohou nastat.».
Po obědě se do akce pustil Sergej Bondarev. Jeho tématem byla síťová politika, konkrétně úvod do CNI a Network Security Policy.
Na internetu je spousta článků o síťové politice. Mezi administrátory panuje názor, že bez síťových politik se obejdeme, ale bezpečnostní specialisté tento nástroj velmi rádi používají a žádají, aby síťové politiky byly zapnuté.
Kormidlo Kubernetes převzal Pavel Selivanov s tématem „Bezpečné a vysoce dostupné aplikace v cloudu“. Mezi jeho oblíbená témata patří: PodSecurityPolicy, PodDisruptionBudget, LimitRange/ResourceQuota.
Téma Měgy, se kterou Pavel vystoupil na DevOpsConf: .
Po příběhu o tom, jak snadno lze prolomit cluster Kubernetes, skepticky naladění administrátoři říkají: „Aha, já říkal, váš Kubernetes je prošlý system“. Pavel vysvětluje, že nastavení bezpečnosti v clusterech je možné, a není to těžké, jen jsou výchozí bezpečnostní nastavení vypnutá. Podrobnosti v přepisu. .
— Kdo zničil cluster? Tady, on zničil cluster! Odtud mám krásný přehled!
Na Slěrmech není všechno jednoduché a snadné, aby to nebylo nudné. Ale tentokrát Telegram chtěl všem ukázat páté místo:
Marcel Ibraev, [22. listopadu 2019, 16:52:52]:
Kolegové, v současné době dochází k výpadkům v práci Telegramu, mějte to na paměti.
Tento první den, bohatý na praktické znalosti, byl uzavřen. Druhý den nás čeká ještě více praxe, spuštění databázového clusteru na příkladu PostgreSQL, spuštění clusteru RabbitMQ a správa tajemství v Kubernetes.
Slurm Mega. Druhý den.
Učitel zahájil druhý den energickým oznámením: „Ráno nás čeká, jak včera vyjádřil Pavel, skutečný hardcore. Jinými slovy, rozebíráme vnitřnosti Kubernetes!“
Organizátor je zvláštní příběh. Jeden z problémů Slurma - lidé se od informačního přehlcení odpojují a usínají. Vždy jsme hledali způsob, jak s tím něco udělat, a na minulém Slurmu se osvědčily malé hry s publikem. Tentokrát jsme najali speciálně vyškoleného člověka. V chatu se o 'zajímavých soutěžích' hodně žertovalo, ale fakt zůstává - tak energické účastníky jsme ještě neviděli.
Marselu Ibraevovi přišla na pomoc - a začal zkoumat Stateful aplikace v clusteru. A konkrétně spuštění databázového clusteru na příkladu PostgreSQL a spuštění clusteru RabbitMQ.
Po obědě se ujal K8S Sergej Bondarev. Jeho tématem bylo „Ukládání tajemství“. Kryli ho Mulder a Scully. Studovali správu tajemství v Kubernetes a Vault. A také „Pravda je tam venku“.
To trvalo až do pozdního večera, kdy Pavel Selivanov promluvil o Horizontal Pod Autoscaler.
Slurm Mega. Třetí den.
Sergej Bondarev ráno energicky rozproudil publikum tím, že se zaměřil na zálohování a obnovu po selhání. Zálohování a obnova clusteru pomocí Heptio Velero a etcd byly ověřeny osobně.
Sergej pokračoval v tématu každoroční rotace certifikátů v clusteru: prodloužení certifikátů control-plane pomocí kubeadm. Před samotným obědem, aby účastníkům vzbudil chuť k jídlu nebo ji navždy vzal, Pavel Selivanov přivedl na stůl téma nasazení aplikace.
Byly probrány nástroje pro templating a nasazení, a vedle toho i strategie nasazení.
Pavel Selivanov představil nové téma: Service Mesh, instalace Istio. Téma se ukázalo jako natolik bohaté, že by se o něm dalo udělat samostatné intenzivní školení. Diskutujeme plány, sledujte naše oznámení.
Hlavní je, aby vše správně fungovalo. Protože přišel čas na praktickou část:
Vytvoření CI/CD pro současné nasazení aplikace a aktualizaci clustera. V učebních projektech to funguje dobře. Ale život je občas plný překvapení.
Ať je s tebou Slurm!
Zdroj: habr.com
