पुस्तक "कुबेरनेट्स फॉर डेवऑप्स"

नमस्कार, खाब्रो निवासियों! कुबेरनेट्स आधुनिक क्लाउड पारिस्थितिकी तंत्र के प्रमुख तत्वों में से एक है। यह तकनीक कंटेनर वर्चुअलाइजेशन को विश्वसनीयता, मापनीयता और लचीलापन प्रदान करती है। जॉन अरुंडेल और जस्टिन डोमिंगस कुबेरनेट्स पारिस्थितिकी तंत्र के बारे में बात करते हैं और रोजमर्रा की समस्याओं के सिद्ध समाधान पेश करते हैं। कदम दर कदम, आप अपना खुद का क्लाउड-नेटिव एप्लिकेशन बनाएंगे और इसका समर्थन करने के लिए बुनियादी ढांचा तैयार करेंगे, एक विकास वातावरण और एक निरंतर तैनाती पाइपलाइन स्थापित करेंगे जो आपके अगले एप्लिकेशन पर काम करने में आपकी मदद करेगी।

• कंटेनर और कुबेरनेट्स के साथ बुनियादी बातों से शुरुआत करें: विषय को सीखने के लिए किसी विशेष अनुभव की आवश्यकता नहीं है। • अपने स्वयं के क्लस्टर चलाएं या अमेज़ॅन, Google आदि से प्रबंधित कुबेरनेट्स सेवा चुनें। • कंटेनर जीवनचक्र और संसाधन खपत को प्रबंधित करने के लिए कुबेरनेट्स का उपयोग करें। • लागत, प्रदर्शन, लचीलापन, शक्ति और स्केलेबिलिटी के आधार पर क्लस्टर का अनुकूलन करें। • अपने एप्लिकेशन को विकसित करने, परीक्षण करने और तैनात करने के लिए सर्वोत्तम टूल सीखें। • सुरक्षा और नियंत्रण सुनिश्चित करने के लिए वर्तमान उद्योग प्रथाओं का लाभ उठाएं। • अपनी कंपनी में DevOps सिद्धांतों को लागू करें ताकि विकास टीमें अधिक लचीले ढंग से, तेज़ी से और कुशलता से कार्य कर सकें।

किताब किसके लिए है?

यह पुस्तक सर्वर, एप्लिकेशन और सेवाओं के लिए जिम्मेदार प्रशासन विभागों के कर्मचारियों के साथ-साथ नई क्लाउड सेवाओं के निर्माण या मौजूदा एप्लिकेशन को कुबेरनेट्स और क्लाउड में स्थानांतरित करने वाले डेवलपर्स के लिए सबसे अधिक प्रासंगिक है। चिंता न करें, आपको यह जानने की ज़रूरत नहीं है कि कुबेरनेट्स या कंटेनरों के साथ कैसे काम करना है - हम आपको सब कुछ सिखा देंगे।

आरबीएसी, निरंतर तैनाती, संवेदनशील डेटा प्रबंधन और अवलोकन जैसे विषयों की गहन कवरेज के साथ, अनुभवी कुबेरनेट्स उपयोगकर्ताओं को भी बहुत अधिक मूल्य मिलेगा। हम आशा करते हैं कि आपके कौशल और अनुभव की परवाह किए बिना, पुस्तक के पन्नों में निश्चित रूप से आपके लिए कुछ दिलचस्प होगा।

पुस्तक किन प्रश्नों का उत्तर देती है?

पुस्तक की योजना बनाते और लिखते समय, हमने सैकड़ों लोगों के साथ क्लाउड टेक्नोलॉजी और कुबेरनेट्स पर चर्चा की, उद्योग के नेताओं और विशेषज्ञों के साथ-साथ पूरे नौसिखियों के साथ बात की। नीचे चयनित प्रश्न दिए गए हैं जिनका उत्तर वे इस प्रकाशन में देखना चाहेंगे।

• “मुझे इस बात में दिलचस्पी है कि आपको इस तकनीक पर समय क्यों बिताना चाहिए। इससे मुझे और मेरी टीम को किन समस्याओं का समाधान करने में मदद मिलेगी?”
• “कुबेरनेट्स दिलचस्प लगता है, लेकिन इसमें प्रवेश के लिए काफी ऊंची बाधाएं हैं। एक सरल उदाहरण तैयार करना कठिन नहीं है, लेकिन आगे प्रशासन और डिबगिंग कठिन है। हम इस बारे में विश्वसनीय सलाह प्राप्त करना चाहेंगे कि लोग वास्तविक दुनिया में कुबेरनेट्स समूहों का प्रबंधन कैसे करते हैं और हमें किन समस्याओं का सामना करना पड़ सकता है।"
• “व्यक्तिपरक सलाह मददगार होगी। कुबेरनेट्स पारिस्थितिकी तंत्र नई टीमों को चुनने के लिए बहुत सारे विकल्प देता है। जब एक ही चीज़ को करने के कई तरीके हों, तो आप कैसे जानेंगे कि कौन सा सबसे अच्छा है? चुनाव कैसे करें?

और शायद सभी प्रश्नों में सबसे महत्वपूर्ण:

• "मैं अपनी कंपनी को बाधित किए बिना कुबेरनेट्स का उपयोग कैसे कर सकता हूं?"

अंश. कॉन्फ़िगरेशन और गुप्त वस्तुएं

कुबेरनेट्स एप्लिकेशन के तर्क को उसके कॉन्फ़िगरेशन से अलग करने की क्षमता (अर्थात, समय के साथ बदल सकने वाले किसी भी मान या सेटिंग्स से) बहुत उपयोगी है। कॉन्फ़िगरेशन मानों में आमतौर पर पर्यावरण-विशिष्ट सेटिंग्स, तृतीय-पक्ष सेवा DNS पते और प्रमाणीकरण क्रेडेंशियल शामिल होते हैं।

बेशक, यह सब सीधे कोड में डाला जा सकता है, लेकिन यह दृष्टिकोण पर्याप्त लचीला नहीं है। उदाहरण के लिए, कॉन्फ़िगरेशन मान बदलने के लिए आपको अपना कोड दोबारा बनाने और तैनात करने की आवश्यकता होगी। एक बेहतर समाधान यह होगा कि कॉन्फ़िगरेशन को कोड से अलग किया जाए और इसे फ़ाइल या पर्यावरण चर से पढ़ा जाए।

कुबेरनेट्स कॉन्फ़िगरेशन को प्रबंधित करने के लिए कई अलग-अलग तरीके प्रदान करता है। सबसे पहले, आप पॉड रैपर विनिर्देश में निर्दिष्ट पर्यावरण चर के माध्यम से एप्लिकेशन में मान पास कर सकते हैं (पृष्ठ 192 पर "पर्यावरण चर" देखें)। दूसरा, कॉन्फिगरेशन डेटा को कॉन्फिग मैप और सीक्रेट ऑब्जेक्ट का उपयोग करके सीधे कुबेरनेट्स में संग्रहीत किया जा सकता है।

इस अध्याय में, हम इन वस्तुओं का विस्तार से पता लगाते हैं और डेमो एप्लिकेशन का उपयोग करके कॉन्फ़िगरेशन और संवेदनशील डेटा को प्रबंधित करने के लिए कुछ व्यावहारिक दृष्टिकोण देखते हैं।

कॉन्फ़िगरेशन बदलने पर पॉड शेल को अपडेट करना

कल्पना कीजिए कि आपके क्लस्टर में एक तैनाती है और आप इसके कॉन्फ़िगरेशन मैप में कुछ मान बदलना चाहते हैं। यदि आप हेल्म चार्ट का उपयोग करते हैं (पृष्ठ 102 पर "हेल्म: कुबेरनेट्स के लिए पैकेज मैनेजर" देखें), तो आप स्वचालित रूप से एक कॉन्फ़िगरेशन परिवर्तन का पता लगा सकते हैं और एक साफ चाल में अपने पॉड शेल को पुनः लोड कर सकते हैं। अपने परिनियोजन विनिर्देश में निम्नलिखित एनोटेशन जोड़ें:

checksum/config: {{ include (print $.Template.BasePath "/configmap.yaml") .
       | sha256sum }}

परिनियोजन टेम्पलेट में अब कॉन्फ़िगरेशन पैरामीटर का चेकसम शामिल है: यदि पैरामीटर बदले जाते हैं, तो योग अपडेट किया जाएगा। यदि आप हेल्म अपग्रेड चलाते हैं, तो हेल्म पता लगाएगा कि परिनियोजन विनिर्देश बदल गया है और सभी पॉड शेल को पुनरारंभ करेगा।

कुबेरनेट्स में संवेदनशील डेटा

हम पहले से ही जानते हैं कि कॉन्फिगमैप ऑब्जेक्ट क्लस्टर में कॉन्फ़िगरेशन डेटा को संग्रहीत और एक्सेस करने के लिए एक लचीला तंत्र प्रदान करता है। हालाँकि, अधिकांश एप्लिकेशन में ऐसी जानकारी होती है जो संवेदनशील और संवेदनशील होती है, जैसे पासवर्ड या एपीआई कुंजी। इसे कॉन्फ़िगमैप में भी संग्रहीत किया जा सकता है, लेकिन यह समाधान आदर्श नहीं है।

इसके बजाय, कुबेरनेट्स संवेदनशील डेटा संग्रहीत करने के लिए डिज़ाइन की गई एक विशेष प्रकार की वस्तु प्रदान करता है: गुप्त। आगे, आइए एक उदाहरण देखें कि इस ऑब्जेक्ट का उपयोग हमारे डेमो एप्लिकेशन में कैसे किया जा सकता है।

आरंभ करने के लिए, गुप्त ऑब्जेक्ट के लिए कुबेरनेट्स मेनिफेस्ट पर एक नज़र डालें (हैलो-सीक्रेट-एनवी/k8s/secret.yaml देखें):

apiVersion: v1
kind: Secret
metadata:
    name: demo-secret
stringData:
    magicWord: xyzzy

इस उदाहरण में, मैजिकवर्ड निजी कुंजी xyzzy (en.wikipedia.org/wiki/Xyzzy_(computing)) है। xyzzy शब्द आमतौर पर कंप्यूटर की दुनिया में बहुत उपयोगी है। कॉन्फ़िगमैप के समान, आप एक गुप्त ऑब्जेक्ट में एकाधिक कुंजियाँ और मान संग्रहीत कर सकते हैं। यहां, सरलता के लिए, हम केवल एक कुंजी-मूल्य जोड़ी का उपयोग करते हैं।

गुप्त वस्तुओं को पर्यावरण चर के रूप में उपयोग करना

कॉन्फिग मैप की तरह, सीक्रेट ऑब्जेक्ट को कंटेनर में पर्यावरण चर के रूप में या उसकी डिस्क पर एक फ़ाइल के रूप में उपलब्ध कराया जा सकता है। निम्नलिखित उदाहरण में, हम सीक्रेट से मान के लिए एक पर्यावरण चर निर्दिष्ट करेंगे:

spec:
   containers:
       - name: demo
          image: cloudnatived/demo:hello-secret-env
          ports:
             - containerPort: 8888
          env:
             - name: GREETING
               valueFrom:
               secretKeyRef:
                  name: demo-secret
                  key: magicWord

मेनिफेस्टों को लागू करने के लिए डेमो रिपॉजिटरी में निम्नलिखित कमांड चलाएँ:

kubectl apply -f hello-secret-env/k8s/
deployment.extensions "demo" configured
secret "demo-secret" created

पहले की तरह, अपने ब्राउज़र में परिणाम देखने के लिए स्थानीय पोर्ट को परिनियोजन पर अग्रेषित करें:

kubectl port-forward deploy/demo 9999:8888
Forwarding from 127.0.0.1:9999 -> 8888
Forwarding from [::1]:9999 -> 8888

कोई पता खोलते समय स्थानीय होस्ट:9999/ आपको निम्नलिखित देखना चाहिए:

The magic word is "xyzzy"

फाइलों में गुप्त वस्तुएँ लिखना

इस उदाहरण में, हम सीक्रेट ऑब्जेक्ट को एक फ़ाइल के रूप में कंटेनर में संलग्न करेंगे। कोड डेमो रिपॉजिटरी के हैलो-सीक्रेट-फ़ाइल फ़ोल्डर में स्थित है।

सीक्रेट को फ़ाइल के रूप में कनेक्ट करने के लिए, हम निम्नलिखित परिनियोजन का उपयोग करेंगे:

spec:
   containers:
       - name: demo
          image: cloudnatived/demo:hello-secret-file
          ports:
              - containerPort: 8888
          volumeMounts:
              - name: demo-secret-volume
                mountPath: "/secrets/"
                readOnly: true
   volumes:
      - name: demo-secret-volume
        secret:
           secretName: demo-secret

जैसा कि पी पर उपधारा "कॉन्फ़िगरेशन ऑब्जेक्ट से कॉन्फ़िगरेशन फ़ाइलें बनाना" में है। 240, हम एक वॉल्यूम बनाते हैं (इस मामले में डेमो-सीक्रेट-वॉल्यूम) और इसे विनिर्देश के वॉल्यूममाउंट अनुभाग में कंटेनर में माउंट करते हैं। माउंटपाथ फ़ील्ड /सीक्रेट है, इसलिए कुबेरनेट्स सीक्रेट ऑब्जेक्ट में परिभाषित प्रत्येक कुंजी/वैल्यू जोड़ी के लिए इस फ़ोल्डर में एक फ़ाइल बनाएगा।

हमारे उदाहरण में, हमने केवल एक कुंजी-मूल्य जोड़ी को परिभाषित किया है जिसे मैजिकवर्ड कहा जाता है, इसलिए मेनिफेस्ट कंटेनर में संवेदनशील डेटा के साथ एक एकल-पढ़ने योग्य फ़ाइल /सीक्रेट्स/मैजिकवर्ड बनाएगा।

यदि आप इस मेनिफेस्ट को पिछले उदाहरण की तरह ही लागू करते हैं, तो आपको वही परिणाम मिलना चाहिए:

The magic word is "xyzzy"

गुप्त वस्तुएँ पढ़ना

पिछले अनुभाग में, हमने कॉन्फ़िगमैप की सामग्री को प्रदर्शित करने के लिए कुबेक्टल डिस्क्रिप्शन कमांड का उपयोग किया था। क्या सीक्रेट के साथ भी ऐसा ही किया जा सकता है?

kubectl describe secret/demo-secret
Name:          demo-secret

Namespace:      default
Labels:             <none>
Annotations:
Type:               Opaque

Data
====
magicWord: 5   bytes

कृपया ध्यान दें कि डेटा स्वयं प्रदर्शित नहीं होता है। कुबेरनेट्स में गुप्त वस्तुएं अपारदर्शी प्रकार की होती हैं, जिसका अर्थ है कि उनकी सामग्री क्यूबेक्टल विवरण आउटपुट, लॉग प्रविष्टियों या टर्मिनल में नहीं दिखाई जाती है, जिससे संवेदनशील जानकारी को गलती से प्रकट करना असंभव हो जाता है।

संवेदनशील डेटा के एन्कोडेड YAML संस्करण को देखने के लिए, kubectl get कमांड का उपयोग करें:

kubectl get secret/demo-secret -o yaml
apiVersion: v1
data:
   magicWord: eHl6enk=
kind: Secret
metadata:
...
type: Opaque

base64

eHl6enk= क्या है, जो हमारे मूल मूल्य से बिल्कुल अलग है? यह वास्तव में एक गुप्त वस्तु है, जिसे बेस64 एन्कोडिंग में दर्शाया गया है। बेस64 मनमाने बाइनरी डेटा को वर्णों की एक स्ट्रिंग के रूप में एन्कोड करने की एक योजना है।

क्योंकि संवेदनशील जानकारी बाइनरी हो सकती है और आउटपुट नहीं (जैसा कि टीएलएस एन्क्रिप्शन कुंजी के मामले में है), गुप्त वस्तुओं को हमेशा बेस 64 प्रारूप में संग्रहीत किया जाता है।

पाठ beHl6enk= हमारे गुप्त शब्द xyzzy का बेस64 एन्कोडेड संस्करण है। आप टर्मिनल में बेस64—डीकोड कमांड चलाकर इसे सत्यापित कर सकते हैं:

echo "eHl6enk=" | base64 --decode
xyzzy

इसलिए, जबकि कुबेरनेट्स आपको टर्मिनल या लॉग फ़ाइलों में गलती से संवेदनशील डेटा आउटपुट करने से बचाता है, यदि आपने किसी विशिष्ट नेमस्पेस में गुप्त ऑब्जेक्ट्स पर अनुमतियां पढ़ी हैं, तो उस डेटा को बेस 64 किया जा सकता है और बाद में डीकोड किया जा सकता है।

यदि आपको कुछ टेक्स्ट को बेस64 एनकोड करने की आवश्यकता है (उदाहरण के लिए, इसे सीक्रेट में डालने के लिए), तो तर्कों के बिना बेस64 कमांड का उपयोग करें:

echo xyzzy | base64
eHl6enkK

गुप्त वस्तुओं तक पहुँचना

गुप्त वस्तुओं को कौन पढ़ और संपादित कर सकता है? यह आरबीएसी, एक एक्सेस कंट्रोल तंत्र द्वारा निर्धारित किया जाता है (हम पृष्ठ 258 पर "भूमिका-आधारित एक्सेस कंट्रोल का परिचय" उपधारा में इस पर विस्तार से चर्चा करेंगे)। यदि आप एक ऐसा क्लस्टर चला रहे हैं जिसमें आरबीएसी नहीं है या सक्षम नहीं है, तो आपके सभी गुप्त ऑब्जेक्ट किसी भी उपयोगकर्ता और कंटेनर के लिए उपलब्ध हैं (हम बाद में बताएंगे कि आपके पास आरबीएसी के बिना कोई उत्पादन क्लस्टर नहीं होना चाहिए)।

निष्क्रिय डेटा एन्क्रिप्शन

उन लोगों के बारे में क्या जिनके पास आदि डेटाबेस तक पहुंच है जहां कुबेरनेट्स अपनी सारी जानकारी संग्रहीत करता है? क्या वे एपीआई के माध्यम से गुप्त वस्तुओं को पढ़ने की अनुमति के बिना संवेदनशील डेटा पढ़ सकते हैं?

संस्करण 1.7 के बाद से, कुबेरनेट्स निष्क्रिय डेटा एन्क्रिप्शन का समर्थन करता है। इसका मतलब यह है कि आदि के अंदर की संवेदनशील जानकारी डिस्क पर एन्क्रिप्टेड रूप में संग्रहीत की जाती है और इसे डेटाबेस तक सीधी पहुंच वाले लोग भी नहीं पढ़ सकते हैं। इसे डिक्रिप्ट करने के लिए, आपको एक कुंजी की आवश्यकता है जो केवल कुबेरनेट्स एपीआई सर्वर के पास है। ठीक से कॉन्फ़िगर किए गए क्लस्टर में, निष्क्रिय एन्क्रिप्शन सक्षम होना चाहिए।

आप जांच सकते हैं कि निष्क्रिय एन्क्रिप्शन आपके क्लस्टर में इस तरह काम करता है या नहीं:

kubectl describe pod -n kube-system -l component=kube-apiserver |grep encryption
        --experimental-encryption-provider-config=...

यदि आपको प्रयोगात्मक-एन्क्रिप्शन-प्रदाता-कॉन्फिग ध्वज नहीं दिखता है, तो निष्क्रिय एन्क्रिप्शन सक्षम नहीं है। Google Kubernetes इंजन या अन्य Kubernetes प्रबंधन सेवाओं का उपयोग करते समय, आपका डेटा एक अलग तंत्र का उपयोग करके एन्क्रिप्ट किया जाता है, इसलिए ध्वज मौजूद नहीं होगा। यह देखने के लिए कि क्या आदि सामग्री एन्क्रिप्ट की गई है, अपने कुबेरनेट्स विक्रेता से जांचें।

गोपनीय डेटा संग्रहीत करना

कुछ कुबेरनेट्स संसाधन हैं जिन्हें क्लस्टर से कभी नहीं हटाया जाना चाहिए, जैसे अत्यधिक संवेदनशील गुप्त वस्तुएं। आप हेल्म प्रबंधक द्वारा प्रदान किए गए एनोटेशन का उपयोग करके किसी संसाधन को हटाए जाने से बचा सकते हैं:

kind: Secret
metadata:
    annotations:
        "helm.sh/resource-policy": keep

गुप्त वस्तु प्रबंधन रणनीतियाँ

पिछले अनुभाग के उदाहरण में, संवेदनशील डेटा को क्लस्टर में संग्रहीत होने के तुरंत बाद अनधिकृत पहुंच से सुरक्षित किया गया था। लेकिन मेनिफ़ेस्ट फ़ाइलों में उन्हें सादे पाठ के रूप में संग्रहीत किया गया था।

आपको कभी भी उन फ़ाइलों में गोपनीय जानकारी नहीं रखनी चाहिए जो संस्करण नियंत्रण में हैं। आप इस जानकारी को अपने कुबेरनेट्स क्लस्टर पर लागू करने से पहले सुरक्षित रूप से कैसे प्रबंधित और संग्रहीत कर सकते हैं?

आप अपने एप्लिकेशन में संवेदनशील डेटा को संभालने के लिए कोई भी उपकरण या रणनीति चुन सकते हैं, लेकिन आपको अभी भी कम से कम निम्नलिखित प्रश्नों का उत्तर देने की आवश्यकता होगी।

• संवेदनशील डेटा कहाँ संग्रहीत किया जाना चाहिए ताकि यह अत्यधिक पहुंच योग्य हो?
• संवेदनशील डेटा को अपने सक्रिय अनुप्रयोगों तक कैसे पहुंच योग्य बनाएं?
• जब आप संवेदनशील डेटा बदलते या संपादित करते हैं तो आपके एप्लिकेशन का क्या होना चाहिए?

लेखकों के बारे में

जॉन अरुंडेल कंप्यूटर उद्योग में 30 वर्षों के अनुभव के साथ एक सलाहकार है। उन्होंने कई किताबें लिखी हैं और विभिन्न देशों की कई कंपनियों के साथ काम किया है, उन्हें क्लाउड-नेटिव इंफ्रास्ट्रक्चर और कुबेरनेट्स पर सलाह दी है। अपने खाली समय में, वह सर्फिंग का आनंद लेते हैं, एक अच्छे पिस्तौल निशानेबाज हैं और शौकिया तौर पर पियानो बजाते हैं। इंग्लैंड के कॉर्नवाल में एक परीकथा कॉटेज में रहता है।

जस्टिन डोमिंगस - सिस्टम एडमिनिस्ट्रेशन इंजीनियर Kubernetes और क्लाउड प्रौद्योगिकियों के साथ DevOps वातावरण में काम कर रहा है। उसे बाहर समय बिताना, कॉफी पीना, केकड़े खाना और कंप्यूटर पर बैठना अच्छा लगता है। वाशिंगटन के सिएटल में एक अद्भुत बिल्ली और उससे भी अधिक अद्भुत पत्नी और सबसे अच्छे दोस्त, एड्रिएन के साथ रहता है।

»पुस्तक के बारे में अधिक विवरण यहां पाया जा सकता है प्रकाशक की वेबसाइट
» लेख-सूची
» अंश

खाब्रोझिटेले के लिए कूपन का उपयोग करके 25% की छूट - Kubernetes

पुस्तक के कागजी संस्करण का भुगतान करने पर, एक इलेक्ट्रॉनिक पुस्तक ई-मेल द्वारा भेजी जाएगी।

स्रोत: www.habr.com