Slurm Mega. Production-ready klastri seadistamine, 3 kasulikku nõu spikritele ja Slurm koos Luke Skywalkeri ja R2D2-ga.

24. novemberil lõppes Sljorm Mega, edasijõudnud intensiivkursus Kubernetesest. Järgmine Mega toimub Moskvas 18.-20. mail.

Sljorm Mega idee: vaatame klastrite töötükki, käsitleme teooriat ja praktilisi küsimusi production-ready klastrite seadistamisel ja konfigureerimisel («the-not-so-easy-way»), uurime rakenduste turvalisuse ja töökindluse tagamise mehhanisme.

Mega boonus: need, kes läbivad Sljorm Basic ja Sljorm Mega, saavad kõik vajalikud teadmised CKA eksami sooritamiseks CNCF-is ja 50% soodustust eksamilt.

Eriline tänu Selectelile, et nad pakkusid pilve praktiseerimiseks, tänu millele sai iga osaleja töötada oma täisfunktsionaalses klastris, ilma et pidime pileti hinnale lisama veel 5000.

Kes on Bondarev ja Selivanov, ei hakka rääkimisega vaeva nägema, kellel on huvi, loetlege siit.

Sljorm Mega. Esimene päev.

Esimese päeva Sljorm Mega raames koormasime osalejaid 4 teemaga. Pavel Selivanov rääkis tööprotsessist, kuidas luua töökindlat klastrit seestpoolt, Kubeadm'i funktsioneerimisest ning klastrite testimisest ja tõrkeotsingust.

Esimene kohvipaus. Tavaliselt on see „õpetaja helisev kell“, kuid Sljormil, samal ajal kui õpilased joovad kohvi, jätkavad õpetajad küsimustele vastamist.

Ja hoolimata sellest, et Pavel Selivanovi kohal on pilv „Paus II“, ei ole tal võimalik pausile minna.

Sergei Bondarev ja Marsel Ibraev ootavad oma korda astuda õppepulti.

Pausi ajal läksin Sergei Bondarevi juurde ja küsisin: „Mida sa soovitaksid kõigile Kubernetes inseneridele oma kogemuste põhjal klientide klastrite puhul?“

Sergei andis lihtsa soovituse: „Blokeeri API-serverile juurdepääs internetist. Sest perioodiliselt leitakse turvaohte, mis võimaldavad volitamata kasutajatel klastrisse pääseda.»

Mõni minut hiljem ja pudeli mineraalveega viskas Pavel Selivanov end lahingusse teema „Klasteri autoriseerimine välise teenusepakkuja abil“, nimelt LDAP (Nginx + Python) ja OIDC (Dex + Gangway) teemasse.

Järgmisel pausil andis oma nõu Kubernetes inseneridele Marsel Ibraev, Sljormi esineja, Certified Kubernetes Administrator: „Ma ütlen ilmselt iseenesest mõistetava asja, kuid arvestades, kui tihti ma sellega kokku puutun, on mul tunne, et see ei jõua kõigini. Ei tohiks pimesi uskuda igasuguseid How-To artikleid internetis, kus räägitakse, kui hästi see või teine lahendus töötab. Kubernetes kontekstis omandab see erilise tähenduse. Kuna Kubernetes on keeruline süsteem ja lahenduse lisamine, mis ei ole teie projektis ja klastris konkreetselt testitud, võib tuua kaasa kurbad tagajärjed, hoolimata sellest, mida internetis selle ägeduse kohta kirjutatakse. Isegi lihtsalt Kubernetes ilma läbi mõeldud lähenemiseta võib teie projekti kahjustada, „mis on venelasele hea, on saksasele surm“. Seetõttu testime, kontrollime ja katsetame igat lahendust enne, kui hakkame seda rakendama. Ainult nii arvestate kõiki nüansse, mis võivad esineda.».

Pärast lõunat astus lahingusse Sergei Bondarev. Tema teema on võrgu poliitika, nimelt CNI ja võrgu turvapoliitika tutvustus.

Internetis on palju artikleid võrgu poliitika kohta. Administraatorite seas on arvamus, et võrgu poliitikat võib vältida, kuid turbetöötajad armastavad seda tööriista ja nõuavad, et võrgu poliitika oleks sisse lülitatud.

Kubernetes juhtimispult, mille jagas Sergei Bondarev, võttis üle Pavel Selivanov teemaga „Ohutud ja kõrgelt kättesaadavad rakendused klastri sees“. Tal on mõned lemmikteemad: PodSecurityPolicy, PodDisruptionBudget, LimitRange/ResourceQuota.

Tema teema, mille Pavel tõi esitluses DevOpsConf: kuidas on lihtne ja kiire purustada Kubernetes klaster ja saada kõik õigused viie minutiga.

Pärast juttu sellest, kui kergesti saab Kubernetes klastrit häkkida, ütlevad skeptilised administraatorid: „Ahjaa, ma ju ütlesin, teie Kubernetes on auklik jama“. Pavel selgitab, et klastris saab turvalisust seadistada ja see pole keeruline, lihtsalt vaike seaded on turvalisuse osas välja lülitatud. Üksikasjad on protokollis. aruandes.

— Kes purustas klastrit? Just tema purustas klastrit! Mulle on siit suurepäraselt näha!

Slyrmides ei ole kunagi lihtne ja kerge, et ei hakkaks igav. Aga sel korral otsustas Telegram näidata kõigile oma viiendat punkti:

Marcel Ibraev, [22 nov. 2019, 16:52:52]: 
Kolleegid, hetkel on probleeme Telegrami tööga, pidage seda meeles.

Sellel säraval ja praktiliste teadmistega esimesel päeval pannakse punkt. Teisel päeval on veelgi rohkem praktikat, andmebaasi klastri käivitamine PostgreSQL näitel, RabbitMQ klastri käivitamine, Kubernetesis saladuste haldamine.

Sleurm Mega. Teine päev.

Juhendaja alustas teist päeva energilise kuulutusega: "Hommikul, nagu eile Paul ütles, ootab meid tõeline kõva töö. Arstide keeles öeldes, sukeldume Kubernetes'e sisemusse!"

Massivaatlus — see on eraldi lugu. Üks Sleurm'i probleeme on see, et inimesed infoküllusest välja lülituvad ja magama jäävad. Oleme alati otsinud võimalust sellega midagi ette võtta, ja eelmisel Sleurm'il jõudsid hästi esitada väiksed mängud publikuga. Seekord palkasime spetsiaalselt koolitatud inimese. Vestluses naljatleti palju "huvitavate konkursside" üle, kuid fakt jääb faktiks — selliseid energilisi osalejaid pole me varem näinud.

Marsel Ibraev sai abi — ja ta hakkas uurima Stateful rakendusi klastris. Nimelt andmebaasi klastri käivitamine PostgreSQL näitel ja RabbitMQ klastri käivitamine.

Peale lõunat liitus K8S-ga Sergei Bondarev. Tema teema oli "Saladuste hoidmine". Teda varjasid Mulder ja Scully. Uuriti saladuste haldamist Kubernetes'is ja Vault'is. Samuti "Tõde on seal väljas".

See jätkus hilja õhtuni, kui Paul Selivanov rääkis Horizontal Pod Autoscaler'ist.

Sleurm Mega. Kolmas päev.

Vigurselt ja energiliselt hommikust alustanud Sergei Bondarev virutas publikut varundamise ja tõrgete taastamisega. Backupi ja klastri taastamist Heptio Velero ja etcd abil proovisime isiklikult.

Sergei jätkas teemat sertifikaatide igaaastast vahetust klastris: control-plane'i sertifikaatide pikendamine kubeadm'i abil. Enne lõunat, et osalejatele isu peale ajada või see täielikult ära ajada, tõstatas Paul Selivanov rakenduste deployimise teema.

Arutati templaatimis- ja deployimisvahendeid, samuti deployimise strateegiaid.

Paul Selivanov tutvustas uut teemat: Service Mesh, Istio paigaldamine. Teema osutus nii rikkalikuks, et sellest võiks teha eraldi intensiivkursuse. Arutame plaane, hoidke silmad lahti teadaandeid jälgides.

Peamine on, et kõik töötaks õigesti. Sest on käes praktika aeg:
CI/CD ehitamine, et samaaegselt rakenduse juurutamist ja klastrivärskendust käivitada. Õppimisprojektides töötab kõik hästi. Ent elus on vahel palju ootamatuid olukordi.

Las Slurm oleks sinuga!

Allikas: habr.com