Den 24. november afsluttedes Slørm Mega, et avanceret intensivkursus i Kubernetes. finder sted i Moskva den 18.-20. maj.
Ideen bag Slørm Mega: vi ser ind under motorhjelmen på klyngen, gennemgår i teori og praksis detaljerne ved installation og konfiguration af en production-ready klynge («the-not-so-easy-way»), samt overvejer mekanismerne for sikkerhed og fejltolerance i applikationer.
Bonus ved Mega: dem der deltager i Slørm Basic og Slørm Mega, får alle de nødvendige viden til at bestå eksamen på og 50% rabat på eksamen.
En særlig tak til Selectel for at have stillet cloud til rådighed til praksis, hvilket gjorde det muligt for hver deltager at arbejde i deres egen fuldgyldige klynge, så vi ikke behøvede at tilføje yderligere 5000 til billetprisen.
Hvem er Bondarev og Selivanov, behøver jeg ikke at forklare, dem der er interesserede, .
Slørm Mega. Første dag.
På den første dag af Slørm Mega udfordrede vi deltagerne med 4 emner. Pavel Selivanov fortalte om processen bag oprettelsen af en fejltolerant klynge indefra, om arbejdet med Kubeadm, samt om testning og fejlfinding i klyngen.
Første kaffepause. Normalt et "klokkeslæt for læreren", men ved Slørm, mens eleverne drikker kaffe, fortsætter lærerne med at besvare spørgsmål.
Og selvom der hænger en sky over Pavel Selivanov som siger "Pause II", er det ikke meningen, at han skal tage en pause.
Sergey Bondarev og Marcel Ibraev venter på deres tur til at gå til podiet.
I pausen gik jeg hen til Sergey Bondarev og spurgte: "Hvad ville du anbefale alle Kubernetes-ingeniører baseret på din erfaring med klyngerne hos vores kunder?"
Sergey gav et enkelt råd: "Luk adgangen fra internettet til API-serveren. Fordi der jævnligt opdages sikkerhedstrusler, der giver adgang til klyngen for uautoriserede brugere.»
Efter et par minutter og en flaske mineralvand kastede Pavel Selivanov sig ind i kampen med emnet "Autorisation i klyngen ved hjælp af ekstern udbyder", nemlig LDAP (Nginx + Python) og OIDC (Dex + Gangway).
I den næste pause gav Marcel Ibraev, taler ved Slørm, Certified Kubernetes Administrator, sit råd til Kubernetes-ingeniører: "Jeg vil sige noget, der måske virker banalt, men eftersom jeg ofte støder på det, har jeg en mistanke om, at ikke alle tager det i betragtning. Man skal ikke blindt stole på forskellige How-To artikler fra internettet, som fortæller hvor fantastisk en løsning fungerer. I konteksten af Kubernetes får det en særlig betydning. Kubernetes er en kompleks system, og at tilføje en løsning, der ikke er blevet testet i dit specifikke projekt og din installationsklynge, kan føre til tragiske konsekvenser, på trods af hvad der er blevet skrevet om dens fantastiske egenskaber på internettet. Selvom bare Kubernetes uden en gennemtænkt tilgang kan skade dit projekt, findes der et ordsprog: "hvad der er godt for russerne, kan være fatal for tyskerne". Derfor tester vi, kontrollerer og afprøver enhver løsning, før vi implementerer den hos os. Kun på den måde kan du tage højde for alle de nuancer, der kan opstå.».
Efter frokost gik Sergey Bondarev i gang. Hans emne er Network policy, særligt introduktion til CNI og Network Security Policy.
Internettet er fyldt med artikler om Network Policy. Blandt administratorer er der en holdning om, at man kan klare sig uden Network Policies, men sikkerhedseksperter elsker dette værktøj og kræver, at Network Policies aktiveres.
Kubernetes-styringen blev overtaget af Pavel Selivanov med emnet "Sikre og højtilgængelige applikationer i klyngen". Han har nogle yndlingsemner: PodSecurityPolicy, PodDisruptionBudget, LimitRange/ResourceQuota.
Temaet for Megas indsats, som Pavel præsenterede på DevOpsConf: .
Efter at have forklaret, hvor let det er at hacke en Kubernetes-klynge, siger skeptiske administratorer: "Aha, jeg sagde jo, jeres Kubernetes er en hul skrammel." Pavel forklarer, at det er muligt at sikre sikkerheden i klyngen, og det er ikke svært, blot er sikkerhedsindstillingerne som standard deaktiveret. Flere detaljer i transkriptionen. .
— Hvem har ødelagt klyngen? Der, han ødelagde klyngen! Jeg kan se det tydeligt herfra!
På Sløermer er der aldrig noget, der er enkelt og nemt, for at undgå kedsomhed. Men denne gang besluttede Telegram at vise alle deres femte punkt:
Marcel Ibraev, [22. november 2019, 16:52:52]:
Kolleger, der er i øjeblikket problemer med Telegram, vær opmærksom på dette.
Denne første dag er nu slut, lysende og fyldt med praktisk viden. Den anden dag vil byde på endnu flere praktiske aktiviteter, herunder opsætning af en databaseklynge med PostgreSQL, opsætning af en RabbitMQ-klynge og håndtering af hemmeligheder i Kubernetes.
Slørm Mega. Anden dag.
Værten indledte den anden dag med en energisk erklæring: "I morgen, som Pavel sagde i går, vil vi få rigtig hardcore. Taler vi kirurgisk sprog, vil vi trænge ind i tarmen af Kubernetes!"
Underholdningsansvarlig - det er en anden historie. Et af problemerne med Slørm er, at folk falder ud på grund af informationsoverload og sover. Vi har altid ledt efter en måde at håndtere dette på, og på den sidste Slørm viste små spil for deltagerne sig at være effektive. Denne gang ansatte vi en specielt trænet person. Der blev lavet mange sjov med "interessante konkurrencer" i chatten, men faktum er, at vi aldrig har set så energiske deltagere før.
Marsel Ibraev fik hjælp - og han begyndte at studere Stateful applikationer i klyngen. Specifikt opsætningen af en databaseklynge med PostgreSQL og opsætningen af en RabbitMQ-klynge.
Efter frokost begyndte Sergey Bondarev med K8S. Hans emne var "Håndtering af hemmeligheder". Han blev assisteret af Mulder og Scully. De studerede håndtering af hemmeligheder i Kubernetes og Vault. Og også "The truth is out there".
Og det fortsatte hele vejen til den sene aften, da Pavel Selivanov talte om Horizontal Pod Autoscaler.
Slørm Mega. Tredje dag.
Tidligt og energisk fik Sergey Bondarev vækket publikum med emnet backup og gendannelse efter nedbrud. De gennemgik backup og gendannelse af klyngen med Heptio Velero og etcd personligt.
Sergey fortsatte med emnet den årlige rotation af certificater i klyngen: forlængelse af control-plane certificater med kubeadm. Lige før frokost, for at stimulere appetitten hos deltagerne eller dræbe den fuldstændig, rejste Pavel Selivanov emnet for deployment af applikationer.
Der blev set på værktøjer til templating og deployment, og samtidig strategier for deployment.
Pavel Selivanov præsenterede et nyt emne: Service Mesh, installation af Istio. Emnet viste sig at være så rigt, at det kunne indgå i et separat intensivkursus. Vi diskuterer planer, hold dig opdateret på nyhederne.
Det vigtigste er, at alt fungerer korrekt. For nu er tiden til praktiske øvelser:
opbygning af CI/CD for samtidigt at kunne køre deployment af applikationen og opdatering af klyngen. I undervisningsprojekter fungerer alt godt. Men livet er nogle gange fuld af overraskelser.
Må Slurm være med dig!
Kilde: habr.com
