{"id":39016,"date":"2019-10-31T22:27:21","date_gmt":"2019-10-31T19:27:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google\/"},"modified":"2019-10-31T22:27:21","modified_gmt":"2019-10-31T19:27:21","slug":"7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","title":{"rendered":"7 parimat konteinerite haldamise praktikat Google'i versioonis","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

M\u00e4rk. t\u00f5lge.<\/b>: Originaali artikli autor on Th\u00e9o Chamley, Google'i pilvetehnoloogiate arhitekt. Selles Google Cloud'i blogi postituses tutvustas ta l\u00fchikest \u00fclevaadet oma ettev\u00f5tte p\u00f5hjalikumast juhendist, mille pealkiri on \u00abParimad praktikad konteinerite haldamiseks<\/a><\/noindex>\u00bb. Selles on Google'i spetsialistid kogunud parimaid praktikaid konteinerite haldamiseks Google Kubernetes Engine'i kasutamise kontekstis ja mujal, k\u00e4sitledes erinevaid teemasid alates turvalisusest kuni j\u00e4lgimise ja logimisega. Nii et millised praktikad konteineritega t\u00f6\u00f6tamisel on Google'i arvates k\u00f5ige olulisemad?<\/i><\/p>\n

\"7<\/a><\/noindex><\/p>\n

Kubernetes Engine<\/a><\/noindex> (Kubernetes'i p\u00f5hjal loodud teenus konteineriseeritud rakenduste k\u00e4itamiseks Google Cloud'is \u2014 kommentaar t\u00f5lkijalt.<\/b>)<\/i> \u2014 \u00fcks parimaid viise skaleeritavate t\u00f6\u00f6koormuste k\u00e4itamiseks. Kubernetes<\/a><\/noindex> tagab probleemideta toimimise enamus rakendustest, kui need on konteineriseeritud. Kuid kui soovite, et rakendus oleks h\u00f5lpsasti hallatav ja tahaksite saada k\u00f5iki Kubernetes'e eeliseid, peate j\u00e4rgima parimaid praktikaid. Need lihtsustavad rakenduse haldamist, j\u00e4lgimist ja t\u00f5rkeotsingut ning suurendavad ka turvalisust.<\/p>\n

Selles artiklis vaatame \u00fcle, mida on oluline teada ja teha, et konteinerid Kuberneteses korralikult toimiksid. Neile, kes soovivad s\u00fcgavamale sukelduda, tasub lugeda meie Parimad praktikad konteinerite haldamiseks<\/a><\/noindex>ning p\u00f6\u00f6rata t\u00e4helepanu meie varasemale postitusele<\/a><\/noindex> konteinerite koostamisest.<\/p>\n

1. Kasutage konteinerite logimise natiivmehhanisme<\/h2>\n

\nKui rakendus t\u00f6\u00f6tab Kubernetes klastris, ei vaja logid ei ole liiga palju. Tsentraliseeritud logimiss\u00fcsteem on t\u00f5en\u00e4oliselt juba olemas kasutatavas klastris. Kubernetes Engine'i kasutamisel vastutab selle eest Stackdriver Logging<\/a><\/noindex>. (M\u00e4rk. t\u00f5lge.<\/b>: Kui kasutate oma Kubernetes'i installatsiooni, soovitame vaadata meie Open Source lahendust \u2014 loghouse<\/a><\/noindex>.)<\/i> \u00c4rge keerake endale elu raskeks ja kasutage konteinerite logimise natiivmehhanisme. Kirjutage logid stdout ja stderr \u2014 need saavad automaatselt k\u00e4tte, salvestatakse ja indekseeritakse.<\/p>\n

Soovi korral saate logisid kirjutada ka JSON formaadis<\/a><\/noindex>. Selline l\u00e4henemine v\u00f5imaldab h\u00f5lpsasti lisada neile metaanoteeringuid. Koos nendega ilmub Stackdriver Loggingisse logide otsimise v\u00f5imalus, kasutades neid metaanoteeringuid.<\/p>\n

2. Veenduge, et konteinerid oleksid state'less ja immutable<\/h2>\n

\nKubernetesi klastris t\u00f6\u00f6tamiseks peavad konteinerid olema stateless ja immutable. Kui need tingimused on t\u00e4idetud, saab Kubernetes oma t\u00f6\u00f6d teha, luues ja h\u00e4vitades rakendusolendeid siis ja seal, kus see vajalik on.<\/p>\n

Stateless<\/i> t\u00e4hendab, et k\u00f5ik olekud (p\u00fcsivad andmed igas vormis) salvestatakse konteinerist v\u00e4ljapoole. Selleks v\u00f5ivad erinevad t\u00fc\u00fcpi v\u00e4lised salvestuss\u00fcsteemid vastavalt vajadustele olla kaasatud: Cloud Storage<\/a><\/noindex>, Persistent Disks<\/a><\/noindex>, Redis<\/a><\/noindex>, Cloud SQL<\/a><\/noindex> v\u00f5i teised hallatavad andmebaasid. (M\u00e4rk. t\u00f5lge.<\/b>: Lisainfot leiate ka meie artiklist \u201eOperaatorid Kubernetes'e jaoks: kuidas k\u00e4ivitada stateful-rakendusi<\/a><\/noindex>\u00bb.)<\/i><\/p>\n

Immutable<\/i> t\u00e4hendab, et konteinerit ei muudeta selle eluea jooksul: pole v\u00e4rskendusi, parandusi, konfiguratsiooni muudatusi. Kui peate rakenduskoodi v\u00e4rskendama v\u00f5i plaastrit rakendama, looge uus pilt ja paigaldage see. Soovitav on viia konteineri konfiguratsioon (kuulamisport, t\u00e4itev keskkonna valikud jne) v\u00e4lja \u2014 Secrets<\/a><\/noindex> ja ConfigMaps<\/a><\/noindex>. Neid on v\u00f5imalik uuendada ilma, et oleks vajalik uut konteinerit kokku panna. Lihtsaks piltide koostamise voogude loomiseks v\u00f5ib kasutada Cloud Build<\/a><\/noindex>. (M\u00e4rk. t\u00f5lge.<\/b>: Me kasutame nende eesm\u00e4rkide jaoks Open Source t\u00f6\u00f6riista dapp<\/a><\/noindex>.)<\/i><\/p>\n

\"7
\nKubernetesi deployementi konfiguratsiooni uuendamise n\u00e4ide ConfigMap'i abil, mis on seotud pod'idega konfiguratsioonina<\/i><\/p>\n

3. V\u00e4ltige privileegitud konteinerite kasutamist<\/h2>\n

\n\u0412\u044b \u0432\u0435\u0434\u044c \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043f\u043e\u0434 root’\u043e\u043c \u043d\u0430 \u0441\u0432\u043e\u0438\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445, \u0432\u0435\u0440\u043d\u043e? \u0415\u0441\u043b\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u0435\u0442 \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u043e\u043d \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 root. \u0422\u0435 \u0436\u0435 \u0441\u043e\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0441\u043f\u0440\u0430\u0432\u0435\u0434\u043b\u0438\u0432\u044b \u0438 \u0434\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u044b. \u0415\u0441\u043b\u0438 \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0438\u0437\u043c\u0435\u043d\u044f\u0442\u044c \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043d\u0430 \u0445\u043e\u0441\u0442\u0435, \u043c\u043e\u0436\u043d\u043e \u0432\u044b\u0434\u0430\u0442\u044c \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0443 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0435 v\u00f5imed<\/i> kasutades valikut securityContext<\/code><\/a><\/noindex> Kubernetesis. Kui on vaja muuta sysctls<\/i>, Kubernetesel on eriline annotatsioon<\/a><\/noindex> selle jaoks. \u00dcldiselt proovige v\u00f5imalikult palju kasutada init-<\/a><\/noindex> ja sidecar-konteinereid sarnaste privileegitud toimingute tegemiseks. Need ei vaja juurdep\u00e4\u00e4su ei sise- ega v\u00e4list liiklust.<\/p>\n

Kui te haldate klastrit, saate kasutada Pod Security Policy<\/a><\/noindex> piirangute seadmiseks privileegitud konteinerite kasutamisele.<\/p>\n

4. V\u00e4ltige k\u00e4itamist root'i all<\/h2>\n

\n\u041e \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430\u0445 \u0443\u0436\u0435 \u0441\u043a\u0430\u0437\u0430\u043d\u043e, \u043d\u043e \u0431\u0443\u0434\u0435\u0442 \u0435\u0449\u0451 \u043b\u0443\u0447\u0448\u0435, \u0435\u0441\u043b\u0438 \u0432 \u0434\u043e\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a \u044d\u0442\u043e\u043c\u0443 \u0432\u044b \u043d\u0435 \u0431\u0443\u0434\u0435\u0442\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u043f\u043e\u0434 root’\u043e\u043c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0432\u043d\u0443\u0442\u0440\u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430. \u0415\u0441\u043b\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043d\u0430\u0439\u0434\u0451\u0442 \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 root \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u0434\u0430, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0441\u043c\u043e\u0436\u0435\u0442 \u0432\u044b\u0439\u0442\u0438 \u0438\u0437 \u043f\u0440\u0435\u0434\u0435\u043b\u043e\u0432 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u043a\u0430 \u0435\u0449\u0451 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442 root’\u0430 \u043d\u0430 \u0445\u043e\u0441\u0442\u0435.<\/p>\n

\u041b\u0443\u0447\u0448\u0438\u0439 \u043f\u0443\u0442\u044c \u0438\u0437\u0431\u0435\u0436\u0430\u0442\u044c \u044d\u0442\u043e\u0433\u043e \u2014 \u0432 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u043d\u0438\u0447\u0435\u0433\u043e \u043f\u043e\u0434 root’\u043e\u043c. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0434\u0438\u0440\u0435\u043a\u0442\u0438\u0432\u043e\u0439 USER<\/code> \u00fches Dockerfile<\/code> v\u00f5i runAsUser<\/code> Kuberneteses. Klastri administraator v\u00f5ib samuti seadistada sundk\u00e4itumise kaudu Pod Security Policy<\/a><\/noindex>.<\/p>\n

5. Tee rakendus j\u00e4lgimiseks lihtsaks<\/h2>\n

\nNagu logimine, on ka j\u00e4lgimine lahutamatu osa rakenduse haldamisest. Populaarne lahendus Kubernetes kogukonnas j\u00e4lgimiseks on Prometheus<\/a><\/noindex> \u2014 s\u00fcsteem, mis tuvastab automaatselt podid ja teenused, mis vajavad j\u00e4lgimist. (M\u00e4rk. t\u00f5lge.<\/b>: Vaata ka meie \u00e4ratarkust<\/a><\/noindex> monitoorimise teemal Prometheuse ja Kubernetesega.)<\/i> Stackdriver<\/a><\/noindex> suudab j\u00e4lgida Kubernetes klastreid ja sisaldab oma versiooni Prometheusest rakenduste j\u00e4lgimiseks.<\/p>\n

\"7
\nKubernetesi juhtpaneel Stackdriveris<\/i><\/p>\n

Prometheus eeldab, et rakendus edastab m\u00f5\u00f5dikud HTTP l\u00f5pp-punkti. Selleks on saadaval Prometheuse klienditeegid<\/a><\/noindex>. Sarnast formaati kasutavad ka teised t\u00f6\u00f6riistad, nagu OpenCensus<\/a><\/noindex> ja Istio<\/a><\/noindex>.<\/p>\n

6. Tehke rakenduse terviseseisund kergesti k\u00e4ttesaadavaks<\/h2>\n

\nRakenduse juhtimiseks tootmisre\u017eiimis on abiks selle v\u00f5ime teavitada kogu s\u00fcsteemi oma seisundist. Kas rakendus on t\u00f6\u00f6s? Kas see on korras? Kas see on valmis liiklust vastu v\u00f5tma? Kuidas see k\u00e4itub? \u00dcks levinumaid viise selle probleemiga tegelemiseks on tervisekontrollide rakendamine (health checks)<\/i>. Kubernetesel on nende kahe t\u00fc\u00fcbi kontrollid: elulisuse ja valmisoleku kontrollid<\/a><\/noindex>.<\/p>\n

Elulisuse kontrolli puhul rakendus peab olema varustatud HTTP l\u00f5pp-punktiga, mis tagastab vastuse \"200 OK\", kui see toimib ja selle p\u00f5h s\u00f5ltuvused on rahuldatud. Valmisoleku kontrolli puhul<\/i> rakendus peab omama HTTP l\u00f5ppu, mis tagastab vastuse \u201e200 OK\u201c, kui see t\u00f6\u00f6tab ja selle peamised s\u00f5ltuvused on rahuldatud. Valmiduse kontrollimiseks (valmiduse kontrollimine)<\/i> \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u0438\u043c\u0435\u0442\u044c \u0434\u0440\u0443\u0433\u043e\u0439 HTTP endpoint, \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u044e\u0449\u0438\u0439 \u043e\u0442\u0432\u0435\u0442 \u00ab200 OK\u00bb, \u0435\u0441\u043b\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0437\u0434\u043e\u0440\u043e\u0432\u043e\u043c \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438, \u0448\u0430\u0433\u0438 \u043f\u043e \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u044b \u0438 \u043b\u044e\u0431\u043e\u0439 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0435 \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u043e\u0448\u0438\u0431\u043a\u0435. Kubernetes \u0431\u0443\u0434\u0435\u0442 \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u043d\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0433\u043e\u0442\u043e\u0432\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0438 \u0441 \u044d\u0442\u0438\u043c\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430\u043c\u0438. \u0414\u0432\u0430 endpoint’\u0430 \u043c\u043e\u0433\u0443\u0442 \u043e\u0431\u044a\u0435\u0434\u0438\u043d\u0435\u043d\u044b, \u0435\u0441\u043b\u0438 \u0440\u0430\u0437\u043d\u0438\u0446\u0430 \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f\u043c\u0438 \u0436\u0438\u0437\u043d\u0435\u0441\u043f\u043e\u0441\u043e\u0431\u043d\u043e\u0441\u0442\u0438 (liveness) \u0438 \u0433\u043e\u0442\u043e\u0432\u043d\u043e\u0441\u0442\u0438 (readiness) \u043d\u0435\u0442.<\/p>\n

Lisaks sellele saab lugeda vastavast artiklist, mille on kirjutanud Sandeep Dinesh, Google'i arendaja esindaja: \u201eKubernetesi parimad tavad: tervisekontrollide seadistamine valmiduse ja eluj\u00f5udluse uuringutega<\/a><\/noindex>\u00bb.<\/p>\n

7. Valige hoolikalt pildi versioon<\/h2>\n

\nEnamik avalikke ja privaate pilte kasutavad sildistamiss\u00fcsteemi, mis sarnaneb kirjeldatule Parimad tavad konteinerite loomisel<\/a><\/noindex>. Kui pilt rakendab s\u00fcsteemi, mis on l\u00e4hedane semantilisest versioonimisest<\/a><\/noindex>, tuleb arvesse v\u00f5tta sildistamise erip\u00e4ra. N\u00e4iteks v\u00f5ib silt latest<\/code> tihti \u00fcle liikuda \u00fchest pildist teise \u2014 sellele ei saa toetuda, kui vajate prognoositavaid ja korduvaid kogusid ja installatsioone.<\/p>\n

V\u00f5ite kasutada silti X.Y.Z<\/code> (need on peaaegu alati muutumatud), kuid sellisel juhul j\u00e4lgige k\u00f5iki plaastrite ja uuenduste jaoks, mis on seotud pildiga. Kui kasutataval pildil on silt X.Y<\/code>, on see hea kullas\u00fcstem. Selle valimisel saad automaatselt plaastrid ja toetud samas rakenduse stabiilsele versioonile.<\/p>\n

P.S. t\u00f5lkija m\u00e4rkused<\/h2>\n

\nLugege ka meie blogist:<\/p>\n