{"id":39016,"date":"2019-10-31T22:27:21","date_gmt":"2019-10-31T19:27:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google\/"},"modified":"2019-10-31T22:27:21","modified_gmt":"2019-10-31T19:27:21","slug":"7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","title":{"rendered":"Google'i versiooni j\u00e4rgi 7 parimat praktikat konteinerite kasutamiseks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

M\u00e4rkus t\u00f5lke kohta.<\/b>: Originaali artikli autor on Th\u00e9o Chamley, Google'i pilveehitusarhitekt. Selles Google Cloud'i blogipostituses esitleb ta l\u00fchikokkuv\u00f5tte oma ettev\u00f5tte pikemast juhendist, pealkirjaga \"Parimad praktikud konteinerite haldamiseks<\/a><\/noindex>\u00bb. Selles on Google'i ekspertide poolt kokku kogutud parimad praktikud konteinerite kasutamiseks Google Kubernetes Engine'i kontekstis ja mitte ainult, k\u00e4sitledes laia teemade spektrit: alates turvalisusest kuni j\u00e4lgimise ja logimise. Nii et millised konteinerite haldamise praktikud on Google'i arvates k\u00f5ige olulisemad?<\/i><\/p>\n

\"Google'i<\/a><\/noindex><\/p>\n

Kubernetes Engine<\/a><\/noindex> (Kubernetesil p\u00f5hinev teenus konteineriseeritud rakenduste k\u00e4itamiseks Google Cloud'is \u2014 m\u00e4rkus t\u00f5lke kohta.<\/b>)<\/i> on \u00fcks parimaid viise skaleerimist vajavate t\u00f6\u00f6koormuste k\u00e4itamiseks. Kubernetes<\/a><\/noindex> tagab enamikku rakendustest probleemivaba toimimise, kui need on konteineriseeritud. Kuid kui soovite, et rakenduse haldamine oleks lihtne ja soovite kasutada k\u00f5iki Kubernetes'e eeliseid, tuleb j\u00e4rgida parimaid praktikaid. Need lihtsustavad rakenduse haldamist, selle j\u00e4lgimist ja t\u00f5rkeotsingut ning suurendavad ka turvalisust.<\/p>\n

Selles artiklis vaatame \u00fcle, mida on oluline teada ja teha, et tagada konteinerite t\u00f5hus toimimine Kuberneteses. Kes soovib s\u00fcvitsi minna, peaks lugema materjali Parimad praktikud konteinerite haldamiseks<\/a><\/noindex>, samuti p\u00f6\u00f6rama t\u00e4helepanu meie varasemale postitusele<\/a><\/noindex> konteinerite ehitamisest.<\/p>\n

1. Kasutage konteinerite logimise natiivmehhanisme<\/h2>\n

\nKui rakendus k\u00e4ib Kubernetes'e klastris, siis logide jaoks ei ole vajalik palju. Tsentraliseeritud logimise s\u00fcsteem on t\u00f5en\u00e4oliselt juba sisse ehitatud kasutatavasse klastrisse. Kui kasutate Kubernetes Engine'i, vastutab selle eest Stackdriver Logging<\/a><\/noindex>. (M\u00e4rkus t\u00f5lke kohta.<\/b>: Kui kasutate oma Kubernetes'e installatsiooni, soovitame tutvuda meie avatud l\u00e4htekoodiga lahendusega \u2014 loghouse<\/a><\/noindex>.)<\/i> \u00c4rge keerake endale elu raskeks ja kasutage konteinerite logimise natiivmehhanisme. Kirjutage logid stdout ja stderr \u2014 need saadetakse automaatselt, salvestatakse ja indekseerivad.<\/p>\n

Soovi korral saate logisid kirjutada ka JSON formaadis<\/a><\/noindex>. Selline l\u00e4henemine v\u00f5imaldab h\u00f5lpsasti lisada neile metaandmeid. Koos nendega ilmub Stackdriver Logging'is v\u00f5imalus otsida logisid nende metaandmete abil.<\/p>\n

2. Veenduge, et konteinerid oleksid stateful ja immutable<\/h2>\n

\nKubernetesi klastris t\u00f6\u00f6tavate konteinerite korrektseks funktsioneerimiseks peavad need olema stateless ja immutable. Kui need tingimused on t\u00e4idetud, saab Kubernetes oma \u00fclesandeid t\u00e4ita, luues ja h\u00e4vitades rakenduse \u00fcksusi, kui ja kus see on vajalik.<\/p>\n

Stateless<\/i> t\u00e4hendab, et k\u00f5ik olekud (k\u00f5ikv\u00f5imalikud p\u00fcsivad andmed) talletatakse konteinerist v\u00e4ljaspool. Selleks, s\u00f5ltuvalt vajadustest, v\u00f5ivad olla kaasatud erinevad v\u00e4lised ladustamisv\u00f5imalused: Pilvelaadimise teenus<\/a><\/noindex>, P\u00fcsivad kettad<\/a><\/noindex>, Redis<\/a><\/noindex>, Cloud SQL<\/a><\/noindex> v\u00f5i muud haldatud andmebaasid. (M\u00e4rkus t\u00f5lke kohta.<\/b>: Lisainformatsiooni selle kohta lugege ka meie artiklist \u201eKubernetes'i operaatorid: kuidas k\u00e4ivitada stateful-rakendusi<\/a><\/noindex>\u00bb.)<\/i><\/p>\n

Immutable<\/i> t\u00e4hendab, et konteinerit ei muudetaks elu jooksul: ei mingit uuendamist, plaastrite rakendamist ega konfiguratsiooni muutmist. Kui peate rakenduse koodi uuendama v\u00f5i plaastri rakendama, looge uus pilt ja juurutage see. Soovitav on konteineri konfiguratsioon (kuulamisport, k\u00e4ituskeskkonna valikud jne) asetada v\u00e4ljapoole \u2014 Saladused<\/a><\/noindex> ja ConfigMaps<\/a><\/noindex>. Neid saab uuendada, ilma et oleks vajalik uut konteineripilti luua. Pilti kogumispipeline'ide lihtsaks loomiseks saab kasutada Cloud Build<\/a><\/noindex>. (M\u00e4rkus t\u00f5lke kohta.<\/b>: Me kasutame nende jaoks avatud l\u00e4htekoodiga t\u00f6\u00f6riista dapp<\/a><\/noindex>.)<\/i><\/p>\n

\"Google'i
\nN\u00e4ide Deployment konfiguratsiooni uuendamisest Kubernetesis ConfigMap'i kaudu, mis on monteeritud podidesse konfiguraatorina<\/i><\/p>\n

3. V\u00e4listage privileege sisaldavad konteinerid<\/h2>\n

\nTe ei k\u00e4ivita rakendusi root-\u00f5igustes oma serverites, eks? Kui sissetungija p\u00e4\u00e4seb rakendusse, saab ta root-\u00f5igused. Samad kaalutlused kehtivad ka selle kohta, et \u00e4ra k\u00e4ivita privileegitud konteinerit. Kui hosti seadistusi on vaja muuta, saab konteinerile anda konkreetsed capabilities<\/i> kasutades valikut securityContext<\/code><\/a><\/noindex> Kubernetesis. Kui on vaja muuta sysctls<\/i>, siis Kubernetesil on erinev annotatsioon<\/a><\/noindex> selle jaoks. \u00dcldiselt p\u00fc\u00fcdke teha maksimaalselt kasutust init-<\/a><\/noindex> ja sidecar-konteineritele sarnaste privileegide toimingute jaoks. Need ei vaja k\u00e4ttesaadavust ei sisetu trafikus, ega v\u00e4lises.<\/p>\n

Kui haldate klastrit, v\u00f5ite kasutada Pod Security Policy<\/a><\/noindex> privilegeeritud konteinerite rakendamise piirangute jaoks.<\/p>\n

4. V\u00e4ltige k\u00e4ivitamist root'al<\/h2>\n

\nPrivileegitud konteerimise kohta on juba r\u00e4\u00e4gitud, kuid veel parem on, kui te ei k\u00e4ivita rakendusi konteineris root-\u00f5igustes. Kui sissetungija leiab rakenduses root-\u00f5igustes kaugjuhtimise haavatavuse, mis v\u00f5imaldab koodi k\u00e4ivitamist, ja suudab seej\u00e4rel konteinergi piiridest v\u00e4lja p\u00e4\u00e4seda seni tundmatu haavatavuse kaudu, saab ta hostil root-\u00f5igused.<\/p>\n

Parim viis selle v\u00e4ltimiseks on k\u00f5igepealt mitte k\u00e4ivitada midagi root-\u00f5igustes. Selleks saab kasutada direktiivi KASUTAJA<\/code> ja Dockerfile<\/code> v\u00f5i runAsUser<\/code> Kuberneteses. Klastri administraator saab samuti seadistada sundimist, kasutades Pod Security Policy<\/a><\/noindex>.<\/p>\n

5. Tehke rakendus j\u00e4lgimiseks lihtsaks<\/h2>\n

\nNagu logimine, on j\u00e4lgimine rakenduse haldamise lahutamatu osa. Populaarne lahendus Kubernetese kogukonnas j\u00e4lgimiseks on Prometheus<\/a><\/noindex> \u2014 s\u00fcsteem, mis avastab automaatselt podid ja teenused, mis vajavad j\u00e4lgimist. (M\u00e4rkus t\u00f5lke kohta.<\/b>: Vaadake ka meie \u00fcldist aruannet<\/a><\/noindex> teemal j\u00e4lgimine Prometheuse ja Kubernetese abil.)<\/i> Stackdriver<\/a><\/noindex> on suuteline j\u00e4lgima Kubernetese klastreid ja sisaldab oma versiooni Prometheusest rakenduste j\u00e4lgimiseks.<\/p>\n

\"Google'i
\nKubernetese j\u00e4lgimise paneel Stackdriveris<\/i><\/p>\n

Tavaline ootus Prometheuse jaoks on, et rakendus edastab m\u00f5\u00f5dikud HTTP l\u00f5pp-punkti. Selleks on saadaval Prometheuse klienditeegid<\/a><\/noindex>. Sama formaati kasutavad ka teised t\u00f6\u00f6riistad, nagu OpenCensus<\/a><\/noindex> ja Istio<\/a><\/noindex>.<\/p>\n

6. Tehke rakenduse tervislik olek kergesti k\u00e4ttesaadavaks<\/h2>\n

\nRakenduse haldamisel tootmises aitab selle suutlikkus teatada oma olekust kogu s\u00fcsteemile. Kas rakendus on k\u00e4ivitatud? Kas see on korras? Kas see on valmis liiklust vastu v\u00f5tma? Kuidas see k\u00e4itub? K\u00f5ige levinum viis selle probleemi lahendamiseks on eluj\u00f5udude kontrollide rakendamine (health checks)<\/i>. Kubernetese jaoks on nende kahe t\u00fc\u00fcpi kontrollid: eluj\u00f5ud ja valmisoleku kontrollid<\/a><\/noindex>.<\/p>\n

Eluj\u00f5u kontrolli jaoks (liveness probe)<\/i> peab rakendusel olema HTTP l\u00f5pp-punkt, mis tagastab '200 OK' vastuse, kui see t\u00f6\u00f6tab ja selle p\u00f5h s\u00f5ltuvused on rahuldatud. Valmiduse kontrolli jaoks (readiness probe)<\/i> rakendusel peaks olema teine HTTP endpoint, mis tagastab vastuse \"200 OK\", kui rakendus on heas seisundis, initsialiseerimise sammud on t\u00e4idetud ja iga korrektne p\u00e4ring ei p\u00f5hjusta viga. Kubernetes suunab liikluse konteinerisse ainult siis, kui rakendus on nende kontrollide kohaselt valmis. Kaks endpoint'i v\u00f5ivad olla \u00fchendatud, kui eluj\u00f5ulisuse (liveness) ja valmisoleku (readiness) seisundite vahel ei ole erinevust.<\/p>\n

Lisateavet selle kohta leiate vastavast artiklist Sandeep Dineshilt, Google'i arendajate kaitsjalt: \u201eKubernetesi parimad praktikad: tervisekontrollide seadistamine valmisoleku ja eluj\u00f5udmise kontrollidega<\/a><\/noindex>\u00bb.<\/p>\n

7. Valige hoolikalt pildi versioon<\/h2>\n

\nEnamik avalikke ja privaatsed pilte kasutavad sildistamise s\u00fcsteemi, mis on sarnane kirjeldatud s\u00fcsteemiga Parimad praktikad konteinerite ehitamiseks<\/a><\/noindex>. Kui pilt rakendab s\u00fcsteemi, mis on l\u00e4hedane semantilisele versioonimisel<\/a><\/noindex>, tuleb arvesse v\u00f5tta sildistamise spetsiifikat. N\u00e4iteks v\u00f5ib silt latest<\/code> tavaliselt liikuda pildilt pildile - sellele ei saa toetuda, kui vajate ettearvatavaid ja korduvaid ehitusi ja installatsioone.<\/p>\n

Saate kasutada silti X.Y.Z<\/code> (need on peaaegu alati muutumatud), kuid sel juhul j\u00e4lgige k\u00f5iki patche ja v\u00e4rskendusi pildi kohta. Kui kasutatava pildi silt on X.Y<\/code>, on see hea keskmine variant. Valides selle, saate automaatselt k\u00f5ik patchid ja toetute samal ajal rakenduse stabiilsele versioonile.<\/p>\n

P.S. t\u00f5lkijalt<\/h2>\n

\nLugege ka meie blogist:<\/p>\n