{"id":39016,"date":"2019-10-31T22:27:21","date_gmt":"2019-10-31T19:27:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google\/"},"modified":"2019-10-31T22:27:21","modified_gmt":"2019-10-31T19:27:21","slug":"7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","title":{"rendered":"7 nejlep\u0161\u00edch praktik pro provoz kontejner\u016f podle Google","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Pozn. p\u0159ek.<\/b>: Autor p\u016fvodn\u00edho \u010dl\u00e1nku \u2014 Th\u00e9o Chamley, architekt cloudov\u00fdch \u0159e\u0161en\u00ed Google. V tomto p\u0159\u00edsp\u011bvku pro blog Google Cloud p\u0159edstavil kr\u00e1tk\u00e9 shrnut\u00ed detailn\u00edho pr\u016fvodce jeho spole\u010dnosti, nazvan\u00e9ho \u201eBest Practices for Operating Containers<\/a><\/noindex>\u00bb. V n\u011bm odborn\u00edci Google shrom\u00e1\u017edili osv\u011bd\u010den\u00e9 postupy pro provozov\u00e1n\u00ed kontejner\u016f v kontextu vyu\u017e\u00edv\u00e1n\u00ed Google Kubernetes Engine a nejen to, pokr\u00fdvaj\u00ed \u0161irok\u00e9 spektrum t\u00e9mat: od bezpe\u010dnosti a\u017e po monitorov\u00e1n\u00ed a protokolov\u00e1n\u00ed. Jak\u00e9 praktiky v pr\u00e1ci s kontejnery jsou podle Google nejd\u016fle\u017eit\u011bj\u0161\u00ed?<\/i><\/p>\n

\"7<\/a><\/noindex><\/p>\n

Kubernetes Engine<\/a><\/noindex> (slu\u017eba zalo\u017een\u00e1 na Kubernetes pro spou\u0161t\u011bn\u00ed kontejnerizovan\u00fdch aplikac\u00ed v Google Cloud \u2014 pozn. p\u0159ek.<\/b>)<\/i> \u2014 jeden z nejlep\u0161\u00edch zp\u016fsob\u016f, jak spou\u0161t\u011bt pracovn\u00ed z\u00e1t\u011b\u017ee, kter\u00e9 pot\u0159ebuj\u00ed \u0161k\u00e1lov\u00e1n\u00ed. Kubernetes<\/a><\/noindex> zajist\u00ed bezprobl\u00e9mov\u00e9 fungov\u00e1n\u00ed v\u011bt\u0161iny aplikac\u00ed, pokud jsou kontejnerizov\u00e1ny. Ale pokud chcete, aby bylo mo\u017en\u00e9 aplikaci snadno spravovat a chcete vyu\u017e\u00edt v\u0161echny v\u00fdhody Kubernetes, je nutn\u00e9 dodr\u017eovat nejlep\u0161\u00ed postupy. Tyto postupy usnadn\u00ed provoz aplikace, jej\u00ed monitorov\u00e1n\u00ed a lad\u011bn\u00ed a tak\u00e9 zv\u00fd\u0161\u00ed bezpe\u010dnost.<\/p>\n

V tomto \u010dl\u00e1nku projdeme seznam toho, co byste m\u011bli zn\u00e1t a d\u011blat pro efektivn\u00ed fungov\u00e1n\u00ed kontejner\u016f v Kubernetes. Ti, kdo cht\u011bj\u00ed j\u00edt do hloubky, by m\u011bli p\u0159e\u010d\u00edst materi\u00e1l Best Practices for Operating Containers<\/a><\/noindex>, a tak\u00e9 si v\u0161\u00edmat na\u0161eho star\u0161\u00edho p\u0159\u00edsp\u011bvku<\/a><\/noindex> o sestavov\u00e1n\u00ed kontejner\u016f.<\/p>\n

1. Pou\u017e\u00edvejte nativn\u00ed mechanismy kontejner\u016f pro protokolov\u00e1n\u00ed<\/h2>\n

\nPokud je aplikace spu\u0161t\u011bn\u00e1 v klastru Kubernetes, pro protokoly nen\u00ed pot\u0159eba tolik. Centralizovan\u00fd syst\u00e9m protokolov\u00e1n\u00ed je pravd\u011bpodobn\u011b ji\u017e integrov\u00e1n do pou\u017eit\u00fdch cluster\u016f. V p\u0159\u00edpad\u011b vyu\u017e\u00edv\u00e1n\u00ed Kubernetes Engine se o to star\u00e1 Stackdriver Logging<\/a><\/noindex>. (Pozn. p\u0159ek.<\/b>: A v p\u0159\u00edpad\u011b pou\u017eit\u00ed vlastn\u00ed instalace Kubernetes doporu\u010dujeme pod\u00edvat se na na\u0161e Open Source \u0159e\u0161en\u00ed \u2014 loghouse<\/a><\/noindex>.)<\/i> Nezjednodu\u0161ujte si \u017eivot a pou\u017e\u00edvejte nativn\u00ed mechanismy protokolov\u00e1n\u00ed kontejner\u016f. Pi\u0161te protokoly do stdout a stderr \u2014 ty budou automaticky zaznamen\u00e1ny, ulo\u017eeny a indexov\u00e1ny.<\/p>\n

Pokud chcete, m\u016f\u017eete tak\u00e9 ps\u00e1t protokoly do form\u00e1tu JSON.<\/a><\/noindex>. Tento p\u0159\u00edstup umo\u017en\u00ed snadno p\u0159id\u00e1vat metadata. A spolu s nimi se ve Stackdriver Logging objev\u00ed mo\u017enost vyhled\u00e1v\u00e1n\u00ed v protokolech pomoc\u00ed t\u011bchto metadat.<\/p>\n

2. Ujist\u011bte se, \u017ee kontejnery jsou stateless a immutable<\/h2>\n

\nAby kontejnery w klastrze Kubernetes dzia\u0142a\u0142y poprawnie, musz\u0105 by\u0107 stateless i immutable. Gdy te warunki s\u0105 spe\u0142nione, Kubernetes b\u0119dzie w stanie wykona\u0107 swoj\u0105 prac\u0119, tworz\u0105c i niszcz\u0105c jednostki aplikacji, kiedy i gdzie to jest potrzebne.<\/p>\n

Stateless<\/i> oznacza, \u017ce wszelkie stany (trwa\u0142e dane wszelkiego rodzaju) s\u0105 przechowywane poza kontenerem. W tym celu, w zale\u017cno\u015bci od potrzeb, mog\u0105 by\u0107 wykorzystywane r\u00f3\u017cne rodzaje zewn\u0119trznych magazyn\u00f3w: Cloud Storage<\/a><\/noindex>, Persistent Disks<\/a><\/noindex>, Redis<\/a><\/noindex>, Cloud SQL<\/a><\/noindex> lub inne zarz\u0105dzane bazy danych. (Pozn. p\u0159ek.<\/b>: Wi\u0119cej na ten temat przeczytasz r\u00f3wnie\u017c w naszym artykule \u201eOper\u00e1tory pro Kubernetes: jak spou\u0161t\u011bt stateful aplikace<\/a><\/noindex>\u00bb.)<\/i><\/p>\n

Immutable<\/i> oznacza, \u017ce kontener nie b\u0119dzie modyfikowany w czasie swojego \u017cycia: \u017cadnych aktualizacji, poprawek, zmian w konfiguracji. Je\u015bli potrzebujesz zaktualizowa\u0107 kod aplikacji lub zastosowa\u0107 poprawk\u0119, stw\u00f3rz nowy obraz i wdro\u017c go. Zaleca si\u0119 wynoszenie konfiguracji kontenera (port do nas\u0142uchiwania, opcje \u015brodowiska wykonawczego itp.) na zewn\u0105trz \u2014 do Secrets<\/a><\/noindex> a ConfigMaps<\/a><\/noindex>. Mo\u017cna je aktualizowa\u0107 bez konieczno\u015bci budowania nowego obrazu kontenera. Do \u0142atwego tworzenia pipeline'\u00f3w do budowy obraz\u00f3w mo\u017cna u\u017cywa\u0107 Cloud Build<\/a><\/noindex>. (Pozn. p\u0159ek.<\/b>: W tym celu u\u017cywamy narz\u0119dzia typu open source dapp<\/a><\/noindex>.)<\/i><\/p>\n

\"7
\nPrzyk\u0142ad aktualizacji konfiguracji Deployment w Kubernetes za pomoc\u0105 ConfigMap, zamontowanego w podach jako konfiguracja<\/i><\/p>\n

3. Unikaj uruchamiania kontener\u00f3w z uprawnieniami<\/h2>\n

\nUr\u010dit\u011b nespou\u0161t\u00edte aplikace pod rootem na sv\u00fdch serverech, \u017ee? Pokud se \u00fato\u010dn\u00edk dostane do aplikace, z\u00edsk\u00e1 p\u0159\u00edstup s pr\u00e1vy root. Stejn\u00e9 \u00favahy plat\u00ed i pro nespou\u0161t\u011bn\u00ed privilegovan\u00fdch kontejner\u016f. Pokud je pot\u0159eba m\u011bnit nastaven\u00ed na hostiteli, m\u016f\u017eete kontejneru d\u00e1t specifick\u00e9 capabilities<\/i> za pomoc\u0105 opcji securityContext<\/code><\/a><\/noindex> w Kubernetes. Je\u015bli potrzebujesz zmienia\u0107 sysctls<\/i>, Kubernetes ma oddzieln\u0105 adnotacj\u0119<\/a><\/noindex> do tego. W og\u00f3le, staraj si\u0119 maksymalnie wykorzystywa\u0107 init-<\/a><\/noindex> i sidecar-kontenery do wykonywania podobnych operacji z uprawnieniami. Nie potrzebuj\u0105 one dost\u0119pu ani do ruchu wewn\u0119trznego, ani zewn\u0119trznego.<\/p>\n

Je\u015bli zarz\u0105dzasz klastrem, mo\u017cesz skorzysta\u0107 z Politika zabezpe\u010den\u00ed pod\u016f<\/a><\/noindex> do ogranicze\u0144 w zastosowaniu kontener\u00f3w z uprawnieniami.<\/p>\n

4. Unikaj uruchamiania jako root<\/h2>\n

\nO privilegovan\u00fdch kontejnerech u\u017e bylo \u0159e\u010deno, ale je\u0161t\u011b lep\u0161\u00ed by bylo, kdybyste nav\u00edc nespou\u0161t\u011bli aplikace uvnit\u0159 kontejneru pod rootem. Pokud \u00fato\u010dn\u00edk najde v aplikaci pod pr\u00e1vy root vzd\u00e1lenou zranitelnost s mo\u017enost\u00ed spu\u0161t\u011bn\u00ed k\u00f3du a pot\u00e9 se skrze zat\u00edm nezn\u00e1mou zranitelnost dostane ven z kontejneru, z\u00edsk\u00e1 root na hostiteli.<\/p>\n

Nejlep\u0161\u00ed zp\u016fsob, jak tomu p\u0159edej\u00edt, je p\u0159edev\u0161\u00edm nespou\u0161t\u011bt nic pod rootem. K tomu m\u016f\u017eete pou\u017e\u00edt direktivu U\u017dIVATEL<\/code> v Dockerfile<\/code> nebo runAsUser<\/code> v Kubernetes. Spr\u00e1vce clustera m\u016f\u017ee tak\u00e9 nastavit donucovac\u00ed chov\u00e1n\u00ed pomoc\u00ed Politika zabezpe\u010den\u00ed pod\u016f<\/a><\/noindex>.<\/p>\n

5. U\u010di\u0148te aplikaci snadno monitorovatelnou<\/h2>\n

\nStejn\u011b jako logov\u00e1n\u00ed, monitoring je nezbytnou sou\u010d\u00e1st\u00ed spr\u00e1vy aplikace. Popul\u00e1rn\u00edm \u0159e\u0161en\u00edm pro monitoring v komunit\u011b Kubernetes je Prometheus<\/a><\/noindex> \u2014 syst\u00e9m, kter\u00fd automaticky detekuje pody a slu\u017eby vy\u017eaduj\u00edc\u00ed monitorov\u00e1n\u00ed. (Pozn. p\u0159ek.<\/b>: Viz tak\u00e9 na\u0161i podrobnou zpr\u00e1vu<\/a><\/noindex> na t\u00e9ma monitorov\u00e1n\u00ed pomoc\u00ed Prometheus a Kubernetes.)<\/i> Stackdriver<\/a><\/noindex> je schopen monitorovat clustery Kubernetes a zahrnuje svou verzi Prometheus pro monitorov\u00e1n\u00ed aplikac\u00ed.<\/p>\n

\"7
\nPanel monitorov\u00e1n\u00ed Kubernetes ve Stackdriveru<\/i><\/p>\n

Prometheus o\u010dek\u00e1v\u00e1, \u017ee aplikace poskytne metriky na HTTP endpoint. K tomu jsou k dispozici klientsk\u00e9 knihovny Prometheus<\/a><\/noindex>. Stejn\u00fd form\u00e1t pou\u017e\u00edvaj\u00ed i dal\u0161\u00ed n\u00e1stroje, jako nap\u0159\u00edklad OpenCensus<\/a><\/noindex> a Istio<\/a><\/noindex>.<\/p>\n

6. U\u010di\u0148te stav zdrav\u00ed aplikace dostupn\u00fdm<\/h2>\n

\nSpr\u00e1v\u011b aplikace v produkci pom\u00e1h\u00e1 jej\u00ed schopnost informovat o sv\u00e9m stavu celou syst\u00e9m. Je aplikace spu\u0161t\u011bna? Je v po\u0159\u00e1dku? Je p\u0159ipravena p\u0159ij\u00edmat provoz? Jak se chov\u00e1? Nejroz\u0161\u00ed\u0159en\u011bj\u0161\u00edm zp\u016fsobem, jak tuto ot\u00e1zku \u0159e\u0161it, je implementace kontrol zdrav\u00ed (health checks)<\/i>. V Kubernetes existuj\u00ed dva jejich typy: liveness a readiness probes<\/a><\/noindex>.<\/p>\n

Pro liveness probe (kontroly \u017eivotaschopnosti)<\/i> mus\u00ed aplikace m\u00edt HTTP endpoint vracej\u00edc\u00ed odpov\u011b\u010f \u201e200 OK\u201c, pokud funguje a jej\u00ed z\u00e1kladn\u00ed z\u00e1vislosti jsou spln\u011bny. Pro readiness probe (kontroly p\u0159ipravenosti na obsluhu)<\/i> aplikace by m\u011bla m\u00edt jin\u00fd HTTP endpoint, kter\u00fd vrac\u00ed odpov\u011b\u010f \"200 OK\", pokud je aplikace v dobr\u00e9m stavu, v\u0161echny inicializa\u010dn\u00ed kroky byly spln\u011bny a \u017e\u00e1dn\u00fd platn\u00fd po\u017eadavek nezp\u016fsobuje chybu. Kubernetes bude p\u0159esm\u011brov\u00e1vat provoz na kontejner pouze v p\u0159\u00edpad\u011b, \u017ee je aplikace p\u0159ipravena v souladu s t\u011bmito kontrolami. Dva endpointy mohou b\u00fdt slou\u010deny, pokud mezi stavy \u017eivotaschopnosti (liveness) a p\u0159ipravenosti (readiness) nen\u00ed \u017e\u00e1dn\u00fd rozd\u00edl.<\/p>\n

V\u00edce o tom se m\u016f\u017eete do\u010d\u00edst v odpov\u00eddaj\u00edc\u00edm \u010dl\u00e1nku od Sandeepa Dineshe, v\u00fdvojov\u00e9ho advok\u00e1ta z Googlu: \u201eKubernetes nejlep\u0161\u00ed postupy: Nastaven\u00ed zdravotn\u00edch kontrol pomoc\u00ed sond readiness a liveness<\/a><\/noindex>\u00bb.<\/p>\n

7. Pe\u010dliv\u011b vyb\u00edrejte verzi obrazu<\/h2>\n

\nV\u011bt\u0161ina ve\u0159ejn\u00fdch a soukrom\u00fdch obraz\u016f pou\u017e\u00edv\u00e1 syst\u00e9m tagov\u00e1n\u00ed podobn\u00fd tomu, co je pops\u00e1no v Best Practices for Building Containers<\/a><\/noindex>. Pokud obraz pou\u017e\u00edv\u00e1 syst\u00e9m bl\u00edzk\u00fd semantick\u00e9mu verzionov\u00e1n\u00ed<\/a><\/noindex>, je t\u0159eba vz\u00edt v \u00favahu specifika tagov\u00e1n\u00ed. Nap\u0159\u00edklad tag latest<\/code> se m\u016f\u017ee \u010dasto p\u0159em\u00edstit z obrazu na obraz \u2014 nelze se na n\u011bj spol\u00e9hat, pokud pot\u0159ebujete p\u0159edv\u00eddateln\u00e9 a reprodukovateln\u00e9 sestavy a instalace.<\/p>\n

M\u016f\u017eete pou\u017e\u00edvat tag X.Y.Z<\/code> (ty jsou t\u00e9m\u011b\u0159 v\u017edy nem\u011bnn\u00e9), ale v takov\u00e9m p\u0159\u00edpad\u011b sledujte v\u0161echny opravy a aktualizace obrazu. Pokud m\u00e1 pou\u017e\u00edvan\u00fd obraz tag X.Y<\/code>, je to dobr\u00e1 volba ze zlat\u00e9ho st\u0159edu. Jeho v\u00fdb\u011brem automatiky z\u00edsk\u00e1te opravy a z\u00e1rove\u0148 se op\u00edr\u00e1te o stabiln\u00ed verzi aplikace.<\/p>\n

P.S. od p\u0159ekladatele<\/h2>\n

\nP\u0159e\u010dt\u011bte si tak\u00e9 n\u00e1\u0161 blog:<\/p>\n