Am 24. November endete der Slurm Mega, ein intensives Seminar zu Kubernetes. findet vom 18. bis 20. Mai in Moskau statt.
Die Idee von Slurm Mega: wir werfen einen Blick unter die Haube des Clusters, analysieren in Theorie und Praxis die Feinheiten der Installation und Konfiguration eines produktionsbereiten Clusters („the-not-so-easy-way“), betrachten Sicherheitsmechanismen und die Ausfallsicherheit von Anwendungen.
Bonus von Mega: Diejenigen, die Slurm Basic und Slurm Mega absolvieren, erhalten alle Kenntnisse, die für die Prüfung zum und einen Rabatt von 50 % auf die Prüfung.
Ein besonderer Dank geht an Selectel, dass sie die Cloud für die Praxis bereitgestellt haben, sodass jeder Teilnehmer in seinem eigenen vollständigen Cluster arbeiten konnte und wir den Ticketpreis nicht um zusätzliche 5.000 erhöhen mussten.
Wer Bondarev und Selivanov sind, möchte ich nicht erzählen, wer interessiert ist, .
Slurm Mega. Erster Tag.
Am ersten Tag von Slurm Mega haben wir die Teilnehmer mit 4 Themen belastet. Pavel Selivanov sprach über den Prozess des Aufbaus eines ausfallsicheren Clusters von innen, über die Funktionsweise von Kubeadm sowie über das Testen und Troubleshooting des Clusters.
Die erste Kaffeepause. Normalerweise ein „Signal für den Lehrer“, aber bei Slurm, während die Schüler Kaffee trinken, beantworten die Dozenten weiterhin Fragen.
Und obwohl über Pavel Selivanov eine Wolke mit dem Aufschrift „Pause II“ schwebt, hat er keine Chance, in die Pause zu gehen.
Sergiy Bondarev und Marcel Ibraev warten darauf, zur Podium zu kommen.
Während der Pause ging ich zu Sergiy Bondarev und fragte: „Was würdest du allen Kubernetes-Ingenieuren basierend auf deiner Erfahrung mit den Clustern unserer Kunden empfehlen?“
Sergiy gab einen einfachen Rat: „Schließt den Zugang zum API-Server aus dem Internet. Denn gelegentlich gibt es Sicherheitsbedrohungen, die es unautorisierten Benutzern ermöglichen, auf den Cluster zuzugreifen.»
Nach ein paar Minuten und einer Flasche Mineralwasser stürzte sich Pavel Selivanov in das Thema „Autorisierung im Cluster mit Hilfe eines externen Anbieters“, konkret mit LDAP (Nginx + Python) und OIDC (Dex + Gangway).
In der nächsten Pause gab Marcel Ibraev, Sprecher von Slurm und Certified Kubernetes Administrator, seinen Rat an die Kubernetes-Ingenieure: „Ich werde etwas sagen, das vielleicht banal klingt, aber da ich oft damit konfrontiert werde, habe ich den Verdacht, dass nicht jeder das berücksichtigt. Man sollte nicht blind den verschiedenen How-To-Anleitungen aus dem Internet glauben, in denen erklärt wird, wie toll die jeweilige Lösung funktioniert. Im Kontext von Kubernetes hat das eine besondere Bedeutung. Kubernetes ist ein komplexes System, und das Hinzufügen einer Lösung, die nicht in Ihrem spezifischen Projekt und Ihrer Cluster-Installation getestet wurde, kann zu traurigen Konsequenzen führen, egal wie cool das im Internet beschrieben wird. Sogar einfach nur Kubernetes kann, ohne einen durchdachten Ansatz, Ihrem Projekt schaden, „was für den Russen gut ist, ist für den Deutschen der Tod“. Daher testen, prüfen und erproben wir jede Lösung, bevor wir sie implementieren. Nur so berücksichtigen Sie alle Nuancen, die auftauchen können.».
Nach dem Mittagessen trat Sergey Bondarev in den Ring. Sein Thema ist die Netzwerk-Policy, speziell die Einführung in CNI und Network Security Policy.
Im Internet gibt es viele Artikel über Netzwerk-Policies. Unter Administratoren herrscht die Meinung, dass man ohne Netzwerk-Policies auskommen kann, aber Sicherheitsfachleute lieben dieses Werkzeug sehr und verlangen, dass Netzwerk-Policies aktiviert sind.
Den Steuer des Kubernetes übernahm Pavel Selivanov mit dem Thema „Sichere und hochverfügbare Anwendungen im Cluster“. Er hat seine Lieblingsthemen: PodSecurityPolicy, PodDisruptionBudget, LimitRange/ResourceQuota.
Das Thema von Megi, mit dem Pavel auf der DevOpsConf auftrat: .
Nach dem Vortrag, wie leicht man einen Kubernetes-Cluster hacken kann, sagen skeptisch eingestellte Administratoren: „Aha, ich habe doch gesagt, euer Kubernetes ist ein durchlöcherter Mist“. Pavel erklärt, dass man die Sicherheit im Cluster einstellen kann und dass das nicht schwer ist, sondern dass die Sicherheitseinstellungen standardmäßig deaktiviert sind. Details in der Transkription. .
– Wer hat den Cluster gehackt? Dieser hat den Cluster gehackt! Ich sehe es von hier aus perfekt!
Auf den Slärms ist nichts einfach und leicht, um keine Langeweile aufkommen zu lassen. Aber dieses Mal hat Telegram beschlossen, allen den fünften Punkt zu zeigen:
Marcel Ibraev, [22. Nov. 2019, 16:52:52]:
Kollegen, im Moment gibt es Störungen bei Telegram, bitte beachten Sie das.
An diesem lebhaften ersten Tag, der mit praktischen Kenntnissen gefüllt war, endete die Veranstaltung. Am zweiten Tag wird es noch mehr Praxis geben, einschließlich der Einrichtung eines DB-Clusters am Beispiel von PostgreSQL, der Einrichtung eines RabbitMQ-Clusters und der Verwaltung von Secrets in Kubernetes.
Slurm Mega. Zweiter Tag.
Der Moderator begann den zweiten Tag mit einer munteren Ankündigung: „Morgens, wie Pavel gestern sagte, erwartet uns der wahre Hardcore. Um es mit den Worten von Chirurgen zu sagen, wir werden in die Eingeweide von Kubernetes eintauchen!“
Der Massenspiele-Veranstalter – das ist eine eigene Geschichte. Eines der Probleme von Slurm ist, dass die Leute wegen der Informationsüberlastung abschalten und einschlafen. Wir haben immer nach Wegen gesucht, etwas dagegen zu unternehmen, und beim letzten Slurm haben sich kleine Spiele mit dem Publikum gut bewährt. Diesmal haben wir einen speziell geschulten Menschen engagiert. Im Chat wurde viel über die „interessanten Wettbewerbe“ gewitzelt, aber Fakt ist – so energized Teilnehmer hatten wir noch nie gesehen.
Marcel Ibrahim wurde zur Hilfe gerufen – und er begann, Stateful-Anwendungen im Cluster zu studieren. Insbesondere die Einrichtung eines DB-Clusters am Beispiel von PostgreSQL und die Einrichtung eines RabbitMQ-Clusters.
Nach dem Mittagessen übernahm Sergey Bondarev das Thema K8S. Sein Thema war „Storing Secrets“. Unterstützt wurde er von Mulder und Scully. Wir lernten die Verwaltung von Secrets in Kubernetes und Vault sowie „Die Wahrheit ist da draußen“.
Das ging bis spät in den Abend, als Pavel Selivanov über den Horizontal Pod Autoscaler sprach.
Slurm Mega. Dritter Tag.
Plötzlich und munter brachte Sergey Bondarev am frühen Morgen das Publikum mit Backup und Wiederherstellung nach Ausfällen in Schwung. Das Backup und die Wiederherstellung des Clusters mit Heptio Velero und etcd wurden persönlich getestet.
Sergey setzte das Thema der jährlichen Zertifikatsrotation im Cluster fort: Verlängerung der control-plane-Zertifikate mit kubeadm. Kurz vor dem Mittagessen, um den Teilnehmern den Appetit zu wecken oder ihn endgültig zu verlieren, sprach Pavel Selivanov über die Bereitstellung von Anwendungen.
Es wurden Werkzeuge für das Templateing und den Deployment-Prozess behandelt, und dabei auch Deployment-Strategien.
Pavel Selivanov stellte ein neues Thema vor: Service Mesh, Installation von Istio. Das Thema erwies sich als so reichhaltig, dass man dafür einen eigenen Intensivkurs anbieten könnte. Wir besprechen die Pläne, verfolgt die Ankündigungen.
Das Wichtigste ist, dass alles richtig funktioniert. Denn die Zeit für die Praxis ist gekommen:
Aufbau von CI/CD, um gleichzeitig die Bereitstellung der Anwendung und das Cluster-Update zu starten. In Schulprojekten funktioniert alles gut. Das Leben ist jedoch manchmal voller Überraschungen.
Möge der Slurm mit dir sein!
Quelle: habr.com
