{"id":39016,"date":"2019-10-31T22:27:21","date_gmt":"2019-10-31T19:27:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google\/"},"modified":"2019-10-31T22:27:21","modified_gmt":"2019-10-31T19:27:21","slug":"7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","title":{"rendered":"7 najboljih praksi za upravljanje kontejnerima prema Googleu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Napomena za prijevod.<\/b>: Autor originalnog \u010dlanka je Th\u00e9o Chamley, arhitekt cloud rje\u0161enja u Googleu. U ovom blog postu Google Clouda predstavio je sa\u017eetak detaljnog priru\u010dnika njegove tvrtke pod nazivom \u201eNajbolje prakse za upravljanje kontejnerima<\/a><\/noindex>\u201c. U njemu su stru\u010dnjaci Googlea prikupili najbolje prakse za upravljanje kontejnerima u kontekstu kori\u0161tenja Google Kubernetes Engine i ne samo toga, obuhva\u0107aju\u0107i \u0161irok spektar tema: od sigurnosti do nadzora i logiranja. Dakle, koje su prakse u radu s kontejnerima najva\u017enije prema Googleu?<\/i><\/p>\n

\"7<\/a><\/noindex><\/p>\n

Kubernetes Engine<\/a><\/noindex> (usluga temelji se na Kubernetesu za pokretanje kontejneriziranih aplikacija u Google Cloud \u2014 napomena prev.<\/b>)<\/i> \u2014 jedan je od najboljih na\u010dina za pokretanje radnih optere\u0107enja koja zahtijevaju skalabilnost. Kubernetes<\/a><\/noindex> osigurat \u0107e besprijekorno funkcioniranje ve\u0107ine aplikacija kada su kontejnerizirane. No, ako \u017eelite da aplikacijom bude lako upravljati i \u017eelite iskoristiti sve prednosti Kubernetesa, potrebno je slijediti najbolje prakse. One \u0107e pojednostaviti upravljanje aplikacijom, njezin nadzor i dijagnostiku, a tako\u0111er \u0107e pove\u0107ati sigurnost.<\/p>\n

U ovom \u010dlanku pro\u0107i \u0107emo kroz popis onoga \u0161to trebate znati i raditi za u\u010dinkovito funkcioniranje kontejnera u Kubernetesu. Onima koji \u017eele dublje roni\u00adti u detalje preporu\u010dujemo da pro\u010ditaju materijal Najbolje prakse za upravljanje kontejnerima<\/a><\/noindex>, a tako\u0111er obratite pozornost na na\u0161 raniji post<\/a><\/noindex> o sastavljanju kontejnera.<\/p>\n

1. Koristite izvorne mehanizme kontejnera za logiranje<\/h2>\n

\nAko je aplikacija pokrenuta u Kubernetes klasteru, ne treba vam mnogo za logove. Centralizirani sustav logiranja vjerojatno je ve\u0107 integriran u kori\u0161teni klaster. U slu\u010daju kori\u0161tenja Kubernetes Engine-a, za to je odgovoran Stackdriver Logging<\/a><\/noindex>. (Napomena za prijevod.<\/b>: A u slu\u010daju kori\u0161tenja vlastite instalacije Kubernetesa, preporu\u010dujemo da razmotrite na\u0161e Open Source rje\u0161enje \u2014 loghouse<\/a><\/noindex>.)<\/i> Ne komplicirajte si \u017eivot i koristite izvorne mehanizme logiranja kontejnera. Pi\u0161ite logove u stdout i stderr \u2014 oni \u0107e automatski biti prikupljeni, pohranjeni i indeksirani.<\/p>\n

Ako \u017eelite, mo\u017eete tako\u0111er pisati logove u JSON formatu<\/a><\/noindex>. Ovaj pristup omogu\u0107uje jednostavno dodavanje metapodataka. A zajedno s njima, u Stackdriver Loggingu bit \u0107e mogu\u0107a pretraga logova koriste\u0107i te metapodatke.<\/p>\n

2. Osigurajte da su kontejneri stateless i immutable<\/h2>\n

\nZa ispravno funkcioniranje kontejnera u Kubernetes klasteru, oni moraju biti stateless i immutable. Kada su ti uvjeti ispunjeni, Kubernetes mo\u017ee obavljati svoj posao stvaraju\u0107i i uni\u0161tavaju\u0107i entitete aplikacije kada i gdje je to potrebno.<\/p>\n

Stateless<\/i> zna\u010di da se bilo kakvo stanje (trajni podaci bilo koje vrste) pohranjuju izvan kontejnera. Za to, ovisno o potrebama, mogu se koristiti razli\u010dite vrste vanjskih pohrana: Cloud Storage<\/a><\/noindex>, Persistent Disks<\/a><\/noindex>, Redis<\/a><\/noindex>, Cloud SQL<\/a><\/noindex> ili druge upravljane baze podataka. (Napomena za prijevod.<\/b>: Vi\u0161e o tome mo\u017eete pro\u010ditati i u na\u0161em \u010dlanku \"Operatori za Kubernetes: kako pokretati stateful aplikacije<\/a><\/noindex>\u00bb.)<\/i><\/p>\n

Immutable<\/i> zna\u010di da se kontejner ne\u0107e modificirati tijekom svog \u017eivota: nikakva a\u017euriranja, zakrpe, promjene u konfiguraciji. Ako trebate a\u017eurirati kod aplikacije ili primijeniti zakrpu, izradite novu sliku i implementirajte je. Preporu\u010duje se prebacivanje konfiguracije kontejnera (port za slu\u0161anje, opcije izvr\u0161nog okru\u017eenja itd.) izvan - u Secrets<\/a><\/noindex> i ConfigMaps<\/a><\/noindex>. Njih je mogu\u0107e a\u017eurirati bez potrebe za izradom nove slike kontejnera. Za jednostavno kreiranje pipelinea za izradu slika mo\u017ee se koristiti Cloud Build<\/a><\/noindex>. (Napomena za prijevod.<\/b>: Za te svrhe koristimo Open Source alat dapp<\/a><\/noindex>.)<\/i><\/p>\n

\"7
\nPrimjer a\u017euriranja konfiguracije Deployment-a u Kubernetesu pomo\u0107u ConfigMap-a, montiranog u podove kao konfiguraciju<\/i><\/p>\n

3. Izbjegavajte privilegirane kontejnere<\/h2>\n

\nSigurno ne pokre\u0107ete aplikacije pod root korisnikom na svojim poslu\u017eiteljima, zar ne? Ako napada\u010d uspije prodrijeti u aplikaciju, dobit \u0107e pristup s root pravima. Ista razmatranja vrijede i za ne pokretanje privilegiranih kontejnera. Ako je potrebno promijeniti postavke na hostu, mo\u017eete dodijeliti kontejneru konkretne capabilities<\/i> putem opcije securityContext<\/code><\/a><\/noindex> u Kubernetesu. Ako je potrebna izmjena sysctls<\/i>, Kubernetes ima odvojenu anotaciju<\/a><\/noindex> za to. Uglavnom, nastojte maksimalno koristiti init-<\/a><\/noindex> i sidecar kontejnerske operacije za obavljanje sli\u010dnih privilegiranih operacija. Oni ne zahtijevaju dostupnost ni za unutarnji ni za vanjski promet.<\/p>\n

Ako administrirate klaster, mo\u017eete iskoristiti Pod Security Policy<\/a><\/noindex> za ograni\u010denja u primjeni privilegiranih kontejnera.<\/p>\n

4. Izbjegavajte pokretanje pod root<\/h2>\n

\nO privilegiranima kontejnerima ve\u0107 je re\u010deno, ali bit \u0107e jo\u0161 bolje ako pored toga ne pokre\u0107ete aplikacije pod root korisnikom unutar kontejnera. Ako napada\u010d prona\u0111e udaljenu ranjivost u aplikaciji s root pravima koja omogu\u0107ava izvr\u0161avanje koda, a zatim mo\u017ee napustiti granice kontejnera putem do sada nepoznate ranjivosti, dobit \u0107e root pristup na hostu.<\/p>\n

Najbolji na\u010din da to izbjegnete je da prvo ne pokre\u0107ete ni\u0161ta pod root korisnikom. Za to mo\u017eete koristiti direktivu USER<\/code> u Dockerfile<\/code> ili runAsUser<\/code> u Kubernetesu. Administrator klastera tako\u0111er mo\u017ee postaviti obavezno pona\u0161anje pomo\u0107u Pod Security Policy<\/a><\/noindex>.<\/p>\n

5. U\u010dinite aplikaciju jednostavnom za pra\u0107enje<\/h2>\n

\nKao i logiranje, pra\u0107enje je neizostavni dio upravljanja aplikacijom. Popularno rje\u0161enje za pra\u0107enje u Kubernetes zajednici je Prometheus<\/a><\/noindex> \u2014 sustav koji automatski otkriva podove i servise koji trebaju pra\u0107enje. (Napomena za prijevod.<\/b>: Poglejte na\u0161 detaljni izvje\u0161taj<\/a><\/noindex> o pra\u0107enju s Prometheusom i Kubernetesom.)<\/i> Stackdriver<\/a><\/noindex> mo\u017ee pratiti Kubernetes klastere i uklju\u010duje svoju verziju Prometheusa za pra\u0107enje aplikacija.<\/p>\n

\"7
\nKubernetes nadzorna plo\u010da u Stackdriveru<\/i><\/p>\n

O\u010dekuje se da aplikacija izlo\u017ei metrike na HTTP endpointu. Za to su dostupne Prometheus klijentske biblioteke<\/a><\/noindex>. Isti format koriste i drugi alati poput OpenCensus<\/a><\/noindex> i Istio<\/a><\/noindex>.<\/p>\n

6. U\u010dinite stanje aplikacije dostupnim<\/h2>\n

\nUpravljanje aplikacijom u produkciji poma\u017ee njezina sposobnost da izvje\u0161tava o svom stanju cijelom sustavu. Je li aplikacija pokrenuta? Je li sve u redu? Spremna je za primanje prometa? Kako se pona\u0161a? Naj\u010de\u0161\u0107i na\u010din rje\u0161avanja ovog problema je implementacija provjera zdravlja (health checks)<\/i>. U Kubernetesu postoje dva njihova tipa: liveness i readiness probes<\/a><\/noindex>.<\/p>\n

Za liveness probe (provjera \u017eivotne sposobnosti)<\/i> aplikacija mora imati HTTP endpoint koji vra\u0107a odgovor \u00ab200 OK\u00bb, ako funkcioni\u0161e i ako su njegove klju\u010dne zavisnosti zadovoljene. Za readiness probe (provjera spremnosti za uslugu)<\/i> aplikacija bi trebala imati drugi HTTP endpoint koji vra\u0107a odgovor \u201e200 OK\u201d, ako je aplikacija u zdravom stanju, koraci inicijalizacije su izvr\u0161eni i svaki ispravni zahtjev ne dovodi do gre\u0161ke. Kubernetes \u0107e usmjeravati promet prema kontejneru samo ako je aplikacija spremna u skladu s tim provjerama. Dva endpointa mogu se spojiti ako izme\u0111u stanja odr\u017eivosti (liveness) i spremnosti (readiness) nema razlike.<\/p>\n

Vi\u0161e o tome mo\u017eete pro\u010ditati u odgovaraju\u0107em \u010dlanku Sandeepa Dinesha, razvojnog advokata iz Googlea: \"Kubernetes najbolje prakse: Postavljanje provjera zdravstvenog stanja s provjerama spremnosti i odr\u017eivosti<\/a><\/noindex>\u00bb.<\/p>\n

7. Pa\u017eljivo birajte verziju slike<\/h2>\n

\nVe\u0107ina javnih i privatnih slika koristi sustav ozna\u010davanja koji nalikuje onome opisanom u Najbolje prakse za izgradnju kontejnera<\/a><\/noindex>. Ako slika primjenjuje sustav koji je blizak semanti\u010dkom verzioniranju<\/a><\/noindex>, potrebno je razmotriti specifi\u010dnosti ozna\u010davanja. Na primjer, oznaka najnovije<\/code> mo\u017ee se \u010desto premje\u0161tati s slike na sliku \u2014 na nju se ne mo\u017ee osloniti ako su vam potrebne predvidive i ponovljive gra\u0111e i instalacije.<\/p>\n

Mo\u017eete koristiti oznaku X.Y.Z<\/code> (ona je gotovo uvijek nepromijenjena), no u tom slu\u010daju pratite sve ispravke i a\u017euriranja slike. Ako odabrana slika ima oznaku X.Y<\/code>, to je dobra opcija zlatne sredine. Odabirom nje automatski dobivate ispravke dok se oslanjate na stabilnu verziju aplikacije.<\/p>\n

P.S. od prevodioca<\/h2>\n

\nPro\u010ditajte i na na\u0161em blogu:<\/p>\n