Sleurm Mega. Production-ready klastrite seadistamine, 3 kasulikku nõuannet esinejatelt ja Sleurm koos Luke Skywalkeriga ja R2D2-ga.

24. november lõppes Slärm Mega, edasijõudnud intensiivkursus Kubernetesest. Järgmine Mega toimub Moskvas 18-20.mail.

Slärm Mega idee: vaatame, mis toimub klastris, arutame teoorias ja praktikas tootmisvalmis klastrite ("the-not-so-easy-way") paigaldamise ja konfigureerimise nüansse, käsitleme rakenduste turvamehhanisme ja talitlushäirete taluvust.

Mega boonus: need, kes läbivad Slärm Aluse ja Slärm Mega, saavad kõik teadmised, mis on vajalikud CKA eksami sooritamiseks CNCF-is ja 50% allahindlust eksamilt.

Suur tänu Selectelile, et pakkusid pilvepraktikat, tänu millele töötas iga osaleja oma täisfunktsionaalses klastris ja me ei pidanud piletihinnale lisama veel 5000.

Kes on Bondarev ja Selivanov, rääkida ei hakka, huvitatutele, loete siit.

Slärm Mega. Esimene päev.

Esimesel päeval Slärm Megas koormasime osalejaid nelja teemaga. Pavel Selivanov rääkis talitlushäirete taluvate klastrite loomise protsessist seestpoolt, Kubeadm-i toimimisest, samuti klastrite testimisest ja tõrkeotsingust.

Esimene kohvipaus. Tavaline „õpetaja kell”, kuid Sljormis, samal ajal kui õpilased juua kohvi, õpetajad jätkavad küsimustele vastamist.

Ja vaatamata sellele, et Pavel Selivanovi pea kohal hõljub pilv „Pauli II”, ei ole tal saatus minna pausile.

Sergei Bondarev ja Marsel Ibraev ootavad oma korda õpetlaukile minemist.

Pausi ajal lähenesin Sergei Bondarevile ja küsisin: „Mida sa soovitaksid kõigile Kubernetes inseneridele, tuginedes oma kogemustele meie klientide klastritega?”

Sergei andis lihtsa soovituse: „Sulgege API-serverile juurdepääs internetist. Sest perioodiliselt leitakse turvaprobleeme, mis võimaldavad volitamata kasutajatel klastrisse pääseda.»

Mõni minut hiljem ja pudel mineraalvetikaga, Pavel Selivanov sukeldus lahingusse teema „Autoriseerimine klastris välise pakkuja kaudu”, nimelt LDAP (Nginx + Python) ja OIDC (Dex + Gangway).

Järgmise pausiga andis oma nõu Kubernetes inseneridele Marcel Ibraev, Sljormi esineja, Certified Kubernetes Administrator: „Ütlen midagi, mis võib tunduda lihtne, aga arvestades, kui tihti ma sellega kokku puutun, on mul tunne, et mitte kõik ei pruugi seda mõista. Ära usu pimesi kõiki neid How-To artikleid, mis Internetis räägivad, kui hästi mingi lahendus töötab. Kubernetes kontekstis on see eriti oluline. Kubernetes on keeruline süsteem ja lahenduse lisamine, mida ei ole konkreetse projekti ja klastrite installatsiooni jaoks testitud, võib tuua kaasa kurvad tagajärjed, hoolimata sellest, et Internetis on räägitud selle hämmastavusest. Isegi lihtsalt Kubernetes ilma tasakaalustatud lähenemiseta võib teie projekti kahjustada, „mis on venelase jaoks hea, see on saksa jaoks surm“. Seega testime, kontrollime ja katsetame igasuguseid lahendusi enne nende rakendamist. Ainult nii saate arvestada kõigi nüanssidega, mis võivad tekkida.».

Pärast lõunat astus võitlusse Sergei Bondarev. Tema teema on Network policy, täpsemalt CNI ja Network Security Policy tutvustamine.

Internetis on palju artikleid Network Policy kohta. Adminnide seas on levinud arvamus, et Network Policies on võimalik ka ilma hakkama saada, kuid turbeeksperdid armastavad seda tööriista ja nõuavad, et Network Policies oleksid sisse lülitatud.

Kubernetesi rool Serhiy Bondarevi ajasain lõi Pavel Selivanov teemaga „Turvalised ja kõrge kättesaadavusega rakendused klastris“. Tal on mõned lemmikteemad: PodSecurityPolicy, PodDisruptionBudget, LimitRange/ResourceQuota.

Megi teema, millega Pavel esines DevOpsConfil: kuidas kergesti ja kiiresti hävitada Kubernetesi klaster ja saada kõik õigused 5 minutiga.

Pärast rääkimist, kui kergesti on võimalik Kubernetesi klastrit häkkida, ütlevad skeptilised administraatorid: „Aha, ma ütlesin ju, et teie Kubernetes on auklik jama“. Pavel selgitab, et klastris on võimalik turvalisust seadistada ja see pole keeruline, lihtsalt vaikimisi on turvaseaded keelatud. Üksikasjad on tõlgendis ettekandest.

— Kes klastrit purustas? See on ju tema, kes klastrit purustas! Ma näen seda siit suurepäraselt!

Slöörmis ei ole kunagi kõik lihtne ja kerge, et asi ei muutuks igavaks. Kuid seekord otsustas Telegram kõigile viienda punkti näidata:

Marcel Ibraev, [22 nov. 2019, 16:52:52]:
Kollegid, hetkel on Telegramis tõrked, pidage seda meeles

Sellel säraval ja praktiliste teadmistest kubiseval esimesel päeval oli lõpp. Teisel päeval on veelgi rohkem praktikat, sealhulgas andmebaasi klastrite käivitamine PostgreSQL näitel, RabbitMQ klastrite käivitamine ja saladuste haldamine Kuberneteses.

Sleorm Mega. Teine päev.

Juhendaja alustas teist päeva elava kuulutusega: "Hommikul, nagu eile Pavel ütles, ootab meid tõeline hardcore. Kui öelda kirurgide keeles, tungime me Kubernetes nende sisemusse!"

Massiivne peolõvi — see on täiesti eriline lugu. Üks Sleormi probleeme on see, et inimesed info ülekoormuse tõttu eemaldavad ja magavad. Oleme alati otsinud viisi, kuidas sellega tegeleda, ja eelmisel Sleormil toimisid hästi väiksed mängud publikuga. Seekord palkasime spetsiaalselt koolitatud inimese. Vestluses tehtud naljad "huvitavatest konkursitest" ei muuda fakti — me pole kunagi näinud nii elavaid osalejaid.

Marsel Ibraev sai abi — ja ta hakkas uurima Stateful rakendusi klastris. Nimelt andmebaasi klastrite käivitamine PostgreSQL näitel ja RabbitMQ klastrite käivitamine.

Pärast lõunat alustas K8S-ga Sergei Bondarev. Tema teema oli „Saladuste hoidmine“. Tema kõrval olid Mulder ja Scully. Uuriti saladuste haldamist Kuberneteses ja Vaultis. Samuti „Tõde on kuskil seal väljas“.

See kestis kuni hilise õhtuni, mil Pavel Selivanov rääkis Horizontal Pod Autoscalerist.

Slërm Mega. Kolmas päev.

Hommik algas energiliselt, kui Sergei Bondarev äratas auditooriumi varundamise ja tõrke taastamise teemaga. Klasteri varundamine ja taastamine Heptio Velero ja etcd kasutamisega kontrolliti isiklikult.

Sergei jätkas teemat sertifikaatide iga-aastasest rotatsioonist klastris: control-plane'i sertifikaatide pikendamine kubeadmiga. Just enne lõunat, et osalejatel isu tekitada või see täielikult hävitada, tõstis Pavel Selivanov esile rakenduse juurutamise teema.

Käsitleti mallide koostamise ja juurutamise tööriistu ning ühtlasi juurutamisstrateegiaid.

Pavel Selivanov tutvustas uut teemat: Service Mesh, Istio paigaldamine. Teema osutus nii rikkalikuks, et selle põhjal oleks võimalik teha eraldi intensiivkursus. Arutame plaane, jälgige teateid.

Peamine on, et kõik töötaks õigesti. Sest on kätte jõudnud praktika aeg:
CI/CD loomine, et samal ajal käivitada rakenduse juurutamine ja klastrivärskendus. Õppetegevustes töötab kõik hästi. Kuid elu on mõnikord täis üllatusi.

Las Slurm olla sinuga!

Allikas: habr.com