Google के अनुसार कंटेनरों का उपयोग करने की 7 सर्वोत्तम प्रथाएँ

टिप्पणी। अनुवाद।: मूल लेख के लेखक थियो चामली, Google क्लाउड सॉल्यूशंस आर्किटेक्ट हैं। Google क्लाउड ब्लॉग के लिए इस पोस्ट में, वह अपनी कंपनी के अधिक विस्तृत गाइड का सारांश प्रदान करता है, जिसे "कंटेनरों के संचालन के लिए सर्वोत्तम अभ्यास" इसमें, Google विशेषज्ञों ने सुरक्षा से लेकर निगरानी और लॉगिंग तक विषयों की एक विस्तृत श्रृंखला को छूते हुए, Google Kubernetes इंजन और अधिक के उपयोग के संदर्भ में कंटेनरों के संचालन के लिए सर्वोत्तम प्रथाओं को एकत्र किया। तो Google के अनुसार सबसे महत्वपूर्ण कंटेनर प्रथाएँ क्या हैं?

कुबेरनेट्स इंजन (Google क्लाउड पर कंटेनरीकृत एप्लिकेशन चलाने के लिए कुबेरनेट्स-आधारित सेवा - लगभग। अनुवाद) यह उन कार्यभारों को चलाने के सर्वोत्तम तरीकों में से एक है जिन्हें बढ़ाने की आवश्यकता है। Kubernetes यदि अधिकांश अनुप्रयोगों को कंटेनरीकृत किया जाता है तो यह उनका सुचारू संचालन सुनिश्चित करेगा। लेकिन यदि आप चाहते हैं कि आपके एप्लिकेशन को प्रबंधित करना आसान हो और आप कुबेरनेट्स का पूरा लाभ उठाना चाहते हैं, तो आपको सर्वोत्तम प्रथाओं का पालन करना होगा। वे एप्लिकेशन के संचालन, इसकी निगरानी और डिबगिंग को सरल बनाएंगे और सुरक्षा भी बढ़ाएंगे।

इस लेख में, हम उन चीजों की एक सूची देखेंगे जो आपको कुबेरनेट्स पर कंटेनरों को प्रभावी ढंग से चलाने के लिए जानना और करना चाहिए। विवरण में गहराई से जाने के इच्छुक लोगों को सामग्री पढ़नी चाहिए कंटेनरों के संचालन के लिए सर्वोत्तम अभ्यास, और हमारे पर भी ध्यान दें पिछली पोस्ट कंटेनरों को असेंबल करने के बारे में.

1. देशी कंटेनर लॉगिंग तंत्र का उपयोग करें

यदि एप्लिकेशन कुबेरनेट्स क्लस्टर पर चल रहा है, तो लॉग के लिए बहुत अधिक आवश्यकता नहीं है। आपके द्वारा उपयोग किए जा रहे क्लस्टर में एक केंद्रीकृत लॉगिंग सिस्टम पहले से ही निर्मित होने की संभावना है। कुबेरनेट्स इंजन का उपयोग करने के मामले में, यह जिम्मेदार है स्टैकड्राइवर लॉगिंग. (टिप्पणी। अनुवाद।: और यदि आप अपने स्वयं के कुबेरनेट्स इंस्टॉलेशन का उपयोग करते हैं, तो हम अनुशंसा करते हैं कि आप हमारे ओपन सोर्स समाधान पर करीब से नज़र डालें - लॉग हाउस.) अपने जीवन को सरल रखें और देशी कंटेनर लॉगिंग तंत्र का उपयोग करें। stdout और stderr में लॉग लिखें - वे स्वचालित रूप से प्राप्त, सहेजे और अनुक्रमित किए जाएंगे।

अगर चाहें तो आप लॉग भी लिख सकते हैं JSON प्रारूप. इस दृष्टिकोण से उनमें मेटाडेटा जोड़ना आसान हो जाएगा। और उनके साथ, स्टैकड्राइवर लॉगिंग में इस मेटाडेटा का उपयोग करके लॉग के माध्यम से खोज करने की क्षमता होगी।

2. सुनिश्चित करें कि कंटेनर स्टेटलेस और अपरिवर्तनीय हैं

कुबेरनेट्स क्लस्टर में कंटेनरों के सही ढंग से काम करने के लिए, उन्हें स्टेटलेस और अपरिवर्तनीय होना चाहिए। एक बार ये शर्तें पूरी हो जाने के बाद, कुबेरनेट्स अपना काम कर सकता है, जब और जहां जरूरत हो, एप्लिकेशन इकाइयां बना और नष्ट कर सकता है।

राज्यविहीन इसका मतलब है कि कोई भी स्थिति (किसी भी प्रकार का लगातार डेटा) कंटेनर के बाहर संग्रहीत की जाती है। इसके लिए आवश्यकताओं के आधार पर विभिन्न प्रकार के बाह्य भंडारण का उपयोग किया जा सकता है: बादल भंडारण, निरंतर डिस्क, Redis, क्लाउड एसक्यूएल या अन्य प्रबंधित डेटाबेस। (टिप्पणी। अनुवाद।: इसके बारे में हमारे लेख में और पढ़ें "कुबेरनेट्स के लिए ऑपरेटर: स्टेटफुल एप्लिकेशन कैसे चलाएं"।)

अडिग इसका मतलब है कि कंटेनर को उसके जीवनकाल के दौरान संशोधित नहीं किया जाएगा: कोई अपडेट, पैच, कॉन्फ़िगरेशन परिवर्तन नहीं। यदि आपको अपना एप्लिकेशन कोड अपडेट करना है या पैच लागू करना है, तो एक नई छवि बनाएं और उसे तैनात करें। कंटेनर कॉन्फ़िगरेशन (सुनने का पोर्ट, रनटाइम पर्यावरण विकल्प, आदि) को बाहरी रूप से स्थानांतरित करने की अनुशंसा की जाती है राज и कॉन्फ़िगमैप्स. नई कंटेनर छवि बनाए बिना उन्हें अपडेट किया जा सकता है। इमेज असेंबली के साथ आसानी से पाइपलाइन बनाने के लिए, आप इसका उपयोग कर सकते हैं बादल का निर्माण. (टिप्पणी। अनुवाद।: हम इन उद्देश्यों के लिए एक ओपन सोर्स टूल का उपयोग करते हैं dapp.)

कॉन्फ़िगरेशन के रूप में पॉड्स में माउंट किए गए कॉन्फ़िगमैप का उपयोग करके कुबेरनेट्स में परिनियोजन कॉन्फ़िगरेशन को अपडेट करने का एक उदाहरण

3. विशेषाधिकार प्राप्त कंटेनरों से बचें

आप अपने सर्वर पर एप्लिकेशन को रूट के रूप में नहीं चलाते हैं, है ना? यदि कोई हमलावर एप्लिकेशन में प्रवेश करता है, तो उसे रूट एक्सेस प्राप्त हो जाएगा। विशेषाधिकार प्राप्त कंटेनरों को न चलाने पर भी यही विचार लागू होते हैं। यदि आपको होस्ट पर सेटिंग्स बदलने की आवश्यकता है, तो आप कंटेनर विशिष्ट दे सकते हैं क्षमताओं विकल्प का उपयोग करना securityContext कुबेरनेट्स में। अगर आपको बदलने की जरूरत है sysctls, कुबेरनेट्स के पास है अलग सार इसके लिए। सामान्य तौर पर, इसका अधिकतम लाभ उठाने का प्रयास करें इस में- और साइडकार कंटेनर समान विशेषाधिकार प्राप्त संचालन करने के लिए। उन्हें आंतरिक या बाह्य ट्रैफ़िक तक पहुंच योग्य होने की आवश्यकता नहीं है।

यदि आप किसी क्लस्टर का प्रबंधन करते हैं, तो आप इसका उपयोग कर सकते हैं पॉड सुरक्षा नीति विशेषाधिकार प्राप्त कंटेनरों के उपयोग पर प्रतिबंध के लिए।

4. रूट के रूप में चलने से बचें

विशेषाधिकार प्राप्त कंटेनरों पर पहले ही चर्चा की जा चुकी है, लेकिन यह और भी बेहतर होगा यदि, इसके अतिरिक्त, आप कंटेनर के अंदर रूट के रूप में एप्लिकेशन न चलाएँ। यदि किसी हमलावर को रूट अधिकारों वाले एप्लिकेशन में एक दूरस्थ भेद्यता मिलती है जो कोड निष्पादन की अनुमति देती है, जिसके बाद वह कंटेनर को अभी तक अज्ञात भेद्यता के माध्यम से छोड़ने में सक्षम होता है, तो वह होस्ट पर रूट हासिल कर लेगा।

इससे बचने का सबसे अच्छा तरीका यह है कि किसी भी चीज़ को पहले स्थान पर रूट के रूप में न चलाया जाए। ऐसा करने के लिए, आप निर्देश का उपयोग कर सकते हैं USER в Dockerfile या runAsUser कुबेरनेट्स में। क्लस्टर व्यवस्थापक प्रवर्तन व्यवहार का उपयोग करके भी कॉन्फ़िगर कर सकता है पॉड सुरक्षा नीति.

5. एप्लिकेशन की निगरानी करना आसान बनाएं

लॉगिंग की तरह, मॉनिटरिंग एप्लिकेशन प्रबंधन का एक अभिन्न अंग है। कुबेरनेट्स समुदाय में एक लोकप्रिय निगरानी समाधान है प्रोमिथेउस - एक प्रणाली जो स्वचालित रूप से उन पॉड्स और सेवाओं का पता लगाती है जिन्हें निगरानी की आवश्यकता होती है। (टिप्पणी। अनुवाद।: हमारा भी देखें चिट्ठा प्रोमेथियस और कुबेरनेट्स का उपयोग करके निगरानी के विषय पर।) स्टैकड्राइवर कुबेरनेट्स समूहों की निगरानी करने में सक्षम है और इसमें एप्लिकेशन मॉनिटरिंग के लिए प्रोमेथियस का अपना संस्करण शामिल है।

स्टैकड्राइवर पर कुबेरनेट्स डैशबोर्ड

प्रोमेथियस को उम्मीद है कि एप्लिकेशन मेट्रिक्स को HTTP एंडपॉइंट पर अग्रेषित करेगा। इसके लिए उपलब्ध है प्रोमेथियस क्लाइंट लाइब्रेरीज़. इसी प्रारूप का उपयोग अन्य टूल्स द्वारा किया जाता है जैसे खुली जनगणना и Istio.

6. ऐप की स्वास्थ्य स्थिति उपलब्ध कराएं

उत्पादन में अनुप्रयोग प्रबंधन को पूरे सिस्टम में अपनी स्थिति संप्रेषित करने की क्षमता से सहायता मिलती है। क्या एप्लिकेशन चल रहा है? यह ठीक है क्या? क्या आप ट्रैफ़िक प्राप्त करने के लिए तैयार हैं? वह कैसा व्यवहार कर रहा है? इस समस्या को हल करने का सबसे आम तरीका स्वास्थ्य जांच लागू करना है (स्वास्थ्य जांच). कुबेरनेट्स दो प्रकार के होते हैं: जीवंतता और तत्परता जांच.

जीवंतता जांच के लिए (जीवन शक्ति जांच) एप्लिकेशन में एक HTTP एंडपॉइंट होना चाहिए जो कार्यात्मक होने और इसकी बुनियादी निर्भरता संतुष्ट होने पर "200 ओके" प्रतिक्रिया देता है। तत्परता जांच के लिए (सेवा तत्परता जांच) यदि एप्लिकेशन स्वस्थ स्थिति में है, प्रारंभिक चरण पूरे हो चुके हैं और किसी भी वैध अनुरोध के परिणामस्वरूप कोई त्रुटि नहीं होती है, तो एप्लिकेशन में एक और HTTP एंडपॉइंट होना चाहिए जो "200 ओके" प्रतिक्रिया देता है। कुबेरनेट्स ट्रैफ़िक को कंटेनर तक केवल तभी रूट करेगा जब एप्लिकेशन इन जांचों के अनुसार तैयार हो। यदि जीवंतता और तत्परता की स्थिति के बीच कोई अंतर नहीं है तो दो समापन बिंदुओं को मर्ज किया जा सकता है।

आप इसके बारे में Google के डेवलपर एडवोकेट संदीप दिनेश के संबंधित लेख में अधिक पढ़ सकते हैं: "कुबेरनेट्स सर्वोत्तम अभ्यास: तत्परता और जीवंतता जांच के साथ स्वास्थ्य जांच स्थापित करना'.

7. अपना छवि संस्करण सावधानी से चुनें

अधिकांश सार्वजनिक और निजी छवियाँ वर्णित टैगिंग प्रणाली के समान ही उपयोग करती हैं कंटेनर बनाने के लिए सर्वोत्तम अभ्यास. यदि छवि किसी सिस्टम का उपयोग करती है अर्थपूर्ण संस्करण, टैगिंग की विशिष्टताओं को ध्यान में रखना आवश्यक है। उदाहरण के लिए, टैग latest बार-बार एक छवि से दूसरी छवि पर जा सकता है - यदि आपको पूर्वानुमानित और दोहराए जाने योग्य निर्माण और इंस्टॉलेशन की आवश्यकता है तो इस पर भरोसा नहीं किया जा सकता है।

आप टैग का उपयोग कर सकते हैं X.Y.Z (वे लगभग हमेशा अपरिवर्तित रहते हैं), लेकिन इस मामले में, छवि के सभी पैच और अपडेट पर नज़र रखें। यदि आप जिस छवि का उपयोग कर रहे हैं उसमें कोई टैग है X.Y, यह स्वर्णिम मध्य के लिए एक अच्छा विकल्प है। इसे चुनकर, आप स्वचालित रूप से पैच प्राप्त करते हैं और साथ ही एप्लिकेशन के स्थिर संस्करण पर भरोसा करते हैं।

अनुवादक से पी.एस

हमारे ब्लॉग पर भी पढ़ें:

• «कंटेनर, क्लाउड नेटिव और कुबेरनेट्स पर नए सीएनसीएफ आँकड़े";
• «कंटेनर-आधारित अनुप्रयोगों को डिज़ाइन करने के लिए 7 सिद्धांत";
• «कुबेरनेट्स हैक का शिकार बनने (नहीं) के 11 तरीके";
• «छोटी परियोजनाओं में कुबेरनेट्स के साथ हमारा अनुभव» (समीक्षा और वीडियो रिपोर्ट);
• «निगरानी और कुबेरनेट्स» (समीक्षा और वीडियो रिपोर्ट);
• «हम एक डैप के साथ सीआई/सीडी के लिए जल्दी और आसानी से डॉकर छवियां बनाते हैं» (समीक्षा और वीडियो रिपोर्ट);
• «डॉकर के साथ सतत वितरण अभ्यास» (समीक्षा और वीडियो रिपोर्ट);
• «2018 में माइक्रोसर्विस पागलपन की मौत'.

स्रोत: www.habr.com