24. studenog završio je Sloerm Mega, napredni intenziv po Kubernetes. održat će se u Moskvi od 18. do 20. svibnja.
Ideja Sloerma Mega: zavirujemo pod haubu klastera, razrađujemo u teoriji i praksi finese postavljanja i konfiguracije production-ready klastera („the-not-so-easy-way“), proučavamo mehanizme zaštite i otpornosti aplikacija.
Bonus Megi: oni koji pohađaju Sloerm Básovni i Sloerm Mega, stječu sva znanja potrebna za polaganje ispita za i 50% popusta na ispit.
Osobna hvala Selectelu što je pružio oblak za praksu, zahvaljujući kojem je svaki sudionik radio u vlastitom punom klasteru, a nama nije bilo potrebno povećavati cijenu karte za dodatnih 5 tisuća.
Tko su Bondarev i Selivanov, neću objašnjavati, onima koje zanima, .
Sloerm Mega. Prvi dan.
Prvog dana Sloerma Mega opteretili smo sudionike s 4 teme. Pavel Selivanov govorio je o procesu stvaranja otpornog klastera iznutra, o radu Kubeadm-a, kao i o testiranju i otklanjanju grešaka u klasteru.
Prva pauza za kavu. Obično „znak za učitelja“, ali na Sloermu, dok učenici piju kavu, nastavnici nastavljaju odgovarati na pitanja.
I premda iznad glave Pavela Selivanova lebdi oblačić „Pauza II“, za njega nije suđeno otići na pauzu.
Sergej Bondarev i Marsel Ibraev čekaju svoj red da pristupe predavaonici.
Tijekom pauze prišao sam Sergeju Bondarevu i upitao: „Što bi savjetovao svim inženjerima Kubernetes-a iz svog iskustva rada s klasterima naših klijenata?“
Sergej je dao jednostavan savjet: „Zatvorite pristup iz interneta API-serveru. Jer povremeno se pronalaze sigurnosne prijetnje koje omogućuju neautoriziranim korisnicima pristup klasteru.»
Nakon nekoliko minuta i boce mineralne vode, Pavel Selivanov krenuo je u borbu s temom „Autorizacija u klasteru pomoću vanjskog providera“, a to su konkretno LDAP (Nginx + Python) i OIDC (Dex + Gangway).
Tijekom sljedeće pauze svoj savjet inženjerima Kubernetes-a dao je Marsel Ibraev, govornik Sloerma, Certified Kubernetes Administrator: „Reći ću naizgled banalnu stvar, ali s obzirom na to koliko često se susrećem s tim, postoji sumnja da to ne uzimaju svi u obzir. Ne treba slijepo vjerovati raznim uputama na internetu, koje objašnjavaju kako odlično funkcionira to ili ono rješenje. U kontekstu Kubernetes-a to dobiva poseban smisao. Budući da je Kubernetes složen sustav, dodavanje rješenja koje nije testirano u vašem projektu i vašoj instalaciji klastera može dovesti do tužnih posljedica, unatoč tome što su na internetu pisali o njegovoj izvanrednosti. Čak i sam Kubernetes bez promišljenog pristupa može naštetiti vašem projektu, „što je Rusima dobro, to je Nijemcima smrt“. Stoga testiramo, provjeravamo i isprobavamo svako rješenje prije nego što ga uvedemo. Samo tako ćete uzeti u obzir sve nijanse koje bi se mogle pojaviti.».
Nakon ručka u borbu je ušao Sergej Bondarev. Njegova tema je Network policy, a posebno uvođenje u CNI i Network Security Policy.
Na internetu ima mnoštvo članaka o Network Policy. Među administratorima postoji mišljenje da se može zaobići bez Network Policies, ali sigurnosni stručnjaci jako vole ovaj alat i zahtijevaju da Network Policies budu uključene.
Volan Kubernetes-a preuzeo je Pavel Selivanov s temom „Sigurne i visoko dostupne aplikacije u klasteru“. Ima svoje omiljene teme: PodSecurityPolicy, PodDisruptionBudget, LimitRange/ResourceQuota.
Tema Mege, s kojom je Pavel nastupao na DevOpsConf: .
Nakon priče o tome kako se lako može hakirati klaster Kubernetes, skeptično raspoloženi administratori govore: „Aha, rekao sam, vaš Kubernetes je rupa bez dna“. Pavel objašnjava da je moguće postaviti sigurnost u klasteru, i to nije teško, samo su po zadanim postavkama sigurnosne postavke isključene. Više detalja u transkriptu. .
— Tko je srušio klaster? Eto, on je srušio klaster! Ovdje to odlično vidim!
Na Sljurmima nije uvijek sve jednostavno i lako, da ne bi bilo dosadno. Ali ovaj put Telegram je odlučio svima pokazati petu točku:
Marcel Ibraev, [22. nov. 2019, 16:52:52]:
Kolege, trenutno se javljaju problemi s radom Telegrаma, imajte to na umu.
Ovaj prvi dan završio je na svijetli i sadržajan način, ispunjen praktičnim znanjem. Na drugom danu bit će još više prakse, uključujući pokretanje DB klastera na primjeru PostgreSQL, pokretanje RabbitMQ klastera i upravljanje tajnama u Kubernetesu.
Sleörm Mega. Drugi dan.
Voditelj je započeo drugi dan energičnim najavama: „Ujutro, kako je jučer rekao Pavel, čeka nas pravi hardcore. Govoreći riječima kirurga, zadat ćemo se u utrobu Kubernetesa!“
Masovik-zatejnik je priča za sebe. Jedan od problema Sleörma je što se ljudi zbog informacijske preopterećenosti isključuju i zaspite. Uvijek smo tražili način kako nešto s time učiniti, a na prošlom Sleörmu dobro su se pokazale male igre s publikom. Ovaj put smo angažirali posebno osposobljenu osobu. U chatu se puno šale na račun „zanimljivih natjecanja“, ali činjenica ostaje činjenica — takve energične sudionike još nismo vidjeli.
Marselu Ibraevu pružena je pomoć — i započeo je proučavanje Stateful aplikacija u klasteru. Točnije, pokretanje DB klastera na primjeru PostgreSQL i pokretanje RabbitMQ klastera.
Nakon ručka, Sergej Bondarev započeo je s K8S-om. Tema mu je bila „Upravljanje tajnama“. Osiguravali su ga Mulder i Scully. Istraživali su upravljanje tajnama u Kubernetesu i Vault-u. Također, „Istina je vani“.
To je trajalo sve do kasnog večera kada je Pavel Selivanov govorio o Horizontal Pod Autoscaler-u.
Sleörm Mega. Treći dan.
Odjednom i energično od jutra, Sergej Bondarev potaknuo je publiku s rezervnim kopiranjem i oporavkom nakon kvarova. Backup i oporavak klastera uz pomoć Heptio Velero i etcd osobno su provjerili.
Sergej je nastavio temu godišnje rotacije certifikata u klasteru: produženje certifikata control-plane pomoću kubeadm-a. Prije samog ručka, kako bi sudionicima podigao apetit ili ga potpuno ubio, Pavel Selivanov je pokrenuo temu deploymenta aplikacije.
Razmatrali su alate za templating i deployment, kao i strategije deploymenta.
Pavel Selivanov predstavio je novu temu: Service Mesh, instalacija Istio. Tema se pokazala toliko bogatom da se o njoj može napraviti posebna intenzivna obuka. Raspravljamo o planovima, pratite najave.
Najvažnije je da sve ispravno radi. Jer je došlo vrijeme za praksu:
izgradnja CI/CD kako bi se istovremeno pokrenulo implementaciju aplikacije i ažuriranje klastera. U edukativnim projektima sve funkcionira dobro. Međutim, život je ponekad pun iznenađenja.
Neka Slurm bude s vama!
Izvor: habr.com
