{"id":39016,"date":"2019-10-31T22:27:21","date_gmt":"2019-10-31T19:27:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google\/"},"modified":"2019-10-31T22:27:21","modified_gmt":"2019-10-31T19:27:21","slug":"7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","title":{"rendered":"7 legjobb kont\u00e9nerhaszn\u00e1lati gyakorlat a Google szerint","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Megjegyz\u00e9s ford\u00edt\u00e1s.<\/b>: Az eredeti cikk szerz\u0151je Th\u00e9o Chamley, a Google felh\u0151architektusa. E blogbejegyz\u00e9sben a Google Cloud sz\u00e1m\u00e1ra r\u00f6vid \u00f6sszefoglal\u00f3t mutat be c\u00e9g\u00e9nek r\u00e9szletesebb \u00fatmutat\u00f3j\u00e1b\u00f3l, amelyet \u201eA kont\u00e9nerek \u00fczemeltet\u00e9s\u00e9nek legjobb gyakorlatai<\/a><\/noindex>\u201d. Ebben a Google szak\u00e9rt\u0151i \u00f6sszegy\u0171jt\u00f6tt\u00e9k a kont\u00e9nerek \u00fczemeltet\u00e9s\u00e9nek legjobb gyakorlatait a Google Kubernetes Engine haszn\u00e1lat\u00e1nak kontextus\u00e1ban, \u00e9s ezeken t\u00fal is, sz\u00e9les t\u00e9ma spektrumot fel\u00f6lelve: a biztons\u00e1gt\u00f3l a napl\u00f3z\u00e1sig \u00e9s monitoroz\u00e1sig. Teh\u00e1t melyek a legfontosabb gyakorlatok a Google szerint a kont\u00e9nerekkel val\u00f3 munka sor\u00e1n?<\/i><\/p>\n

\"7<\/a><\/noindex><\/p>\n

Kubernetes Engine<\/a><\/noindex> (A Kubernetes alap\u00fa szolg\u00e1ltat\u00e1s a kont\u00e9neriz\u00e1lt alkalmaz\u00e1sok futtat\u00e1s\u00e1ra a Google Cloudban \u2014 megjegyz\u00e9s<\/b>)<\/i> \u2014 az egyik legjobb m\u00f3dja a sk\u00e1l\u00e1z\u00f3d\u00e1st ig\u00e9nyl\u0151 munkaterhel\u00e9sek futtat\u00e1s\u00e1nak. Kubernetes<\/a><\/noindex> Biztos\u00edtja a legt\u00f6bb alkalmaz\u00e1s z\u00f6kken\u0151mentes m\u0171k\u00f6d\u00e9s\u00e9t, ha kont\u00e9neriz\u00e1ltak. De ha azt szeretn\u00e9d, hogy az alkalmaz\u00e1s k\u00f6nnyen kezelhet\u0151 legyen, \u00e9s szeretn\u00e9d kihaszn\u00e1lni a Kubernetes \u00f6sszes el\u0151ny\u00e9t, akkor a legjobb gyakorlatokat kell k\u00f6vetned. Ezek megk\u00f6nny\u00edtik az alkalmaz\u00e1s \u00fczemeltet\u00e9s\u00e9t, monitoroz\u00e1s\u00e1t \u00e9s hibakeres\u00e9s\u00e9t, valamint n\u00f6velik a biztons\u00e1got.<\/p>\n

Ebben a cikkben v\u00e9gigmegy\u00fcnk azon, amit tudni \u00e9s tenni \u00e9rdemes a kont\u00e9nerek hat\u00e9kony m\u0171k\u00f6d\u00e9s\u00e9hez a Kubernetesben. Azoknak, akik szeretn\u00e9k r\u00e9szletesebben tanulm\u00e1nyozni, \u00e9rdemes elolvasniuk a A kont\u00e9nerek \u00fczemeltet\u00e9s\u00e9nek legjobb gyakorlatai<\/a><\/noindex>, \u00e9s figyelni\u00fck kor\u00e1bbi bejegyz\u00e9s\u00fcnkre a kont\u00e9ner-\u00e9p\u00edt\u00e9sr\u0151l.<\/a><\/noindex> 1. Haszn\u00e1lj\u00e1tok a kont\u00e9nerek nat\u00edv napl\u00f3z\u00e1si mechanizmusait<\/p>\n

Ha az alkalmaz\u00e1s egy Kubernetes klaszterben fut, nem sz\u00fcks\u00e9ges sok a napl\u00f3ikhoz. A haszn\u00e1lt klaszterbe val\u00f3sz\u00edn\u0171leg m\u00e1r be van \u00e9p\u00edtve egy k\u00f6zpontos\u00edtott napl\u00f3z\u00e1si rendszer. Ha a Kubernetes Engine-t haszn\u00e1lod, ezt a<\/h2>\n

\nStackdriver Logging fel\u00fcgyeli: Ha saj\u00e1t Kubernetes telep\u00edt\u00e9st haszn\u00e1lsz, \u00e9rdemes megvizsg\u00e1lni a ny\u00edlt forr\u00e1sk\u00f3d\u00fa megold\u00e1sunkat \u2014<\/a><\/noindex>. (Megjegyz\u00e9s ford\u00edt\u00e1s.<\/b>Ne bonyol\u00edtsd az \u00e9leted, \u00e9s haszn\u00e1ld a kont\u00e9nerek nat\u00edv napl\u00f3z\u00e1si mechanizmusait. \u00cdrj napl\u00f3kat az stdout-ba \u00e9s stderr-be \u2014 ezek automatikusan r\u00f6gz\u00edt\u00e9sre ker\u00fclnek, meg\u0151rz\u00e9sre \u00e9s indexel\u00e9sre. loghouse<\/a><\/noindex>.)<\/i> Ig\u00e9ny szerint a napl\u00f3kat a<\/p>\n

is \u00edrhatsz. Ez a megk\u00f6zel\u00edt\u00e9s lehet\u0151v\u00e9 teszi, hogy k\u00f6nnyen hozz\u00e1adj metainform\u00e1ci\u00f3kat. A Stackdriver Loggingban \u00edgy lehet\u0151s\u00e9g ny\u00edlik a napl\u00f3kban a metainform\u00e1ci\u00f3k alapj\u00e1n val\u00f3 keres\u00e9sre. JSON form\u00e1tumban vannak.<\/a><\/noindex>2. Gy\u0151z\u0151dj meg r\u00f3la, hogy a kont\u00e9nerek stateless \u00e9s immutable-k<\/p>\n

2. Gy\u0151z\u0151dj\u00f6n meg r\u00f3la, hogy a tart\u00e1lyok stateless \u00e9s immutable \u00e1llapot\u00faak.<\/h2>\n

\nA Kubernetes cluster's containers must be stateless and immutable for proper functioning. When these conditions are met, Kubernetes will be able to perform its tasks by creating and destroying application entities whenever and wherever necessary.<\/p>\n

Stateless<\/i> means that any state (persistent data of any kind) is stored outside the container. For this, depending on need, various types of external storage may be utilized: Cloud Storage<\/a><\/noindex>, Persistent Disks<\/a><\/noindex>, Redis<\/a><\/noindex>, Amikor bel\u00e9p\u00fcnk a Cloud SQL-be, \u00fajra v\u00e1lasztanunk kell:<\/a><\/noindex> or other managed databases. (Megjegyz\u00e9s ford\u00edt\u00e1s.<\/b>: You can read more about this in our article \u201cOper\u00e1torok a Kubernetes sz\u00e1m\u00e1ra: hogyan ind\u00edtsunk el stateful alkalmaz\u00e1sokat<\/a><\/noindex>\u00bb.)<\/i><\/p>\n

Immutable<\/i> means that the container will not be modified during its lifetime: no updates, patches, or changes to configurations. If you need to update the application code or apply a patch, create a new image and deploy it. It is recommended to externalize container configurations (listening port, execution environment options, etc.) into Secrets<\/a><\/noindex> \u00e9s ConfigMap-ek<\/a><\/noindex>. They can be updated without the need to build a new container image. For easy pipeline creation for image building, you can use Cloud Build<\/a><\/noindex>. (Megjegyz\u00e9s ford\u00edt\u00e1s.<\/b>: We use the Open Source tool dapp<\/a><\/noindex>.)<\/i><\/p>\n

\"7
\nAn example of updating a Deployment configuration in Kubernetes using ConfigMap, mounted in pods as a config.<\/i><\/p>\n

3. Avoid privileged containers<\/h2>\n

\nMivel nem futtat alkalmaz\u00e1sokat root-k\u00e9nt a szerverein, igaz? Ha egy t\u00e1mad\u00f3 bejut az alkalmaz\u00e1sba, root jogokkal rendelkezik. Ugyanez vonatkozik arra is, hogy ne ind\u00edtsunk privil\u00e9giz\u00e1lt kont\u00e9nereket. Ha konfigur\u00e1ci\u00f3s v\u00e1ltoztat\u00e1sokra van sz\u00fcks\u00e9g a gazdag\u00e9pen, akkor \u00e9rdemes a kont\u00e9nernek konkr\u00e9t jogokat adni. capabilities<\/i> using the option a kont\u00e9nernek van egy param\u00e9tere<\/code><\/a><\/noindex> in Kubernetes. If you need to change sysctls<\/i>, Kubernetes has a specific annotation<\/a><\/noindex> for this. In general, try to maximize the use of init-<\/a><\/noindex> and sidecar containers for performing such privileged operations. They do not require availability for either internal or external traffic.<\/p>\n

If you administer a cluster, you can leverage Pod Biztons\u00e1gi Politika<\/a><\/noindex> for restrictions on the use of privileged containers.<\/p>\n

4. Avoid running as root<\/h2>\n

\nA privil\u00e9giz\u00e1lt kont\u00e9nerekr\u0151l m\u00e1r besz\u00e9lt\u00fcnk, de m\u00e9g jobb lenne, ha ezen k\u00edv\u00fcl nem ind\u00edtana root-k\u00e9nt alkalmaz\u00e1sokat a kont\u00e9nerben sem. Ha egy t\u00e1mad\u00f3 t\u00e1voli, jogokkal rendelkez\u0151 sebezhet\u0151s\u00e9get tal\u00e1l az alkalmaz\u00e1sban, amely lehet\u0151v\u00e9 teszi a k\u00f3d v\u00e9grehajt\u00e1s\u00e1t, majd k\u00e9pes kiszabadulni a kont\u00e9nerb\u0151l egy m\u00e9g ismeretlen sebezhet\u0151s\u00e9gen kereszt\u00fcl, akkor root jogokat szerez a gazdag\u00e9pen.<\/p>\n

A legjobb m\u00f3dja ennek elker\u00fcl\u00e9s\u00e9re, hogy els\u0151dlegesen ne ind\u00edtsunk semmit root-k\u00e9nt. Ehhez haszn\u00e1lhatja a k\u00f6vetkez\u0151 utas\u00edt\u00e1st. USER<\/code> be. Dockerfile<\/code> vagy runAsUser<\/code> a Kubernetes-ben. A klaszteradminisztr\u00e1tor szint\u00e9n be\u00e1ll\u00edthatja a k\u00f6telez\u0151 viselked\u00e9st a k\u00f6vetkez\u0151vel: Pod Biztons\u00e1gi Politika<\/a><\/noindex>.<\/p>\n

5. Tegye az alkalmaz\u00e1st k\u00f6nnyen monitorozhat\u00f3v\u00e1<\/h2>\n

\nA napl\u00f3z\u00e1shoz hasonl\u00f3an a monitoroz\u00e1s is elengedhetetlen r\u00e9sze az alkalmaz\u00e1s kezel\u00e9s\u00e9nek. A Kubernetes k\u00f6z\u00f6ss\u00e9g n\u00e9pszer\u0171 monitoroz\u00e1si megold\u00e1sa a Prometheus<\/a><\/noindex> \u2014 egy rendszer, amely automatikusan felfedezi azokat a podokat \u00e9s szolg\u00e1ltat\u00e1sokat, amelyek monitoroz\u00e1sra szorulnak. (Megjegyz\u00e9s ford\u00edt\u00e1s.<\/b>: L\u00e1sd m\u00e9g r\u00e9szletes jelent\u00e9s\u00fcnket<\/a><\/noindex> a Prometheus \u00e9s Kubernetes \u00e1ltali monitoroz\u00e1sr\u00f3l.)<\/i> A Stackdriver<\/a><\/noindex> k\u00e9pes monitorozni a Kubernetes klasztereket, \u00e9s tartalmaz egy a Prometheus saj\u00e1t verzi\u00f3j\u00e1t az alkalmaz\u00e1sok monitoroz\u00e1s\u00e1ra.<\/p>\n

\"7
\nA Kubernetes monitoroz\u00e1si panel a Stackdriverben<\/i><\/p>\n

A Prometheus azt v\u00e1rja el, hogy az alkalmaz\u00e1s HTTP endpointon kereszt\u00fcl k\u00fcldje el a metrik\u00e1kat. Ehhez el\u00e9rhet\u0151k Prometheus kliensk\u00f6nyvt\u00e1rak<\/a><\/noindex>. Ugyanezt a form\u00e1t haszn\u00e1lj\u00e1k m\u00e1s eszk\u00f6z\u00f6k, mint p\u00e9ld\u00e1ul OpenCensus<\/a><\/noindex> \u00e9s Istio<\/a><\/noindex>.<\/p>\n

6. Tegye el\u00e9rhet\u0151v\u00e9 az alkalmaz\u00e1s eg\u00e9szs\u00e9gi \u00e1llapot\u00e1t<\/h2>\n

\nAz alkalmaz\u00e1s production k\u00f6rnyezetben t\u00f6rt\u00e9n\u0151 kezel\u00e9s\u00e9hez sz\u00fcks\u00e9ges, hogy k\u00e9pes legyen t\u00e1j\u00e9koztatni a rendszer eg\u00e9sz\u00e9t az \u00e1llapot\u00e1r\u00f3l. Futtatva van az alkalmaz\u00e1s? Rendben van? K\u00e9sz a forgalom fogad\u00e1s\u00e1ra? Hogyan teljes\u00edt? A probl\u00e9ma legelterjedtebb megold\u00e1sa az eg\u00e9szs\u00e9g\u00fcgyi ellen\u0151rz\u00e9sek megval\u00f3s\u00edt\u00e1sa (health checks)<\/i>. A Kubernetesnek k\u00e9tf\u00e9le van: liveness \u00e9s readiness probes<\/a><\/noindex>.<\/p>\n

A liveness proben\u00e1l (\u00e9letk\u00e9pess\u00e9gi ellen\u0151rz\u00e9s)<\/i> az alkalmaz\u00e1snak HTTP endpointdal kell rendelkeznie, amely \u201e200 OK\u201d v\u00e1laszt ad, ha m\u0171k\u00f6dik \u00e9s alapvet\u0151 f\u00fcgg\u0151s\u00e9gei teljes\u00fclnek. A readiness proben\u00e1l (k\u00e9szenl\u00e9ti ellen\u0151rz\u00e9s)<\/i> Az alkalmaz\u00e1snak egy m\u00e1sik HTTP v\u00e9gponttal kell rendelkeznie, amely \"200 OK\" v\u00e1laszt ad, ha az alkalmaz\u00e1s eg\u00e9szs\u00e9ges \u00e1llapotban van, a kezdem\u00e9nyez\u00e9si l\u00e9p\u00e9sek sikeresen v\u00e9grehajt\u00f3dtak, \u00e9s b\u00e1rmely \u00e9rv\u00e9nyes k\u00e9r\u00e9s nem eredm\u00e9nyez hib\u00e1t. A Kubernetes csak akkor ir\u00e1ny\u00edtja a forgalmat a kont\u00e9nerhez, ha az alkalmaz\u00e1s k\u00e9szen \u00e1ll ezeknek az ellen\u0151rz\u00e9seknek megfelel\u0151en. K\u00e9t v\u00e9gpont \u00f6sszekapcsolhat\u00f3, ha nincs k\u00fcl\u00f6nbs\u00e9g a t\u00fal\u00e9l\u00e9si (liveness) \u00e9s a k\u00e9szs\u00e9g (readiness) \u00e1llapotok k\u00f6z\u00f6tt.<\/p>\n

Tov\u00e1bbi r\u00e9szleteket olvashat Sandeep Dinesh, a Google fejleszt\u0151i k\u00e9pvisel\u0151je \u00e1ltal \u00edrt megfelel\u0151 cikkben: \u201eKubernetes legjobb gyakorlatok: Eg\u00e9szs\u00e9g\u00fcgyi ellen\u0151rz\u00e9sek be\u00e1ll\u00edt\u00e1sa k\u00e9szenl\u00e9t \u00e9s liveness pr\u00f3b\u00e1kkal<\/a><\/noindex>\u00bb.<\/p>\n

7. Gondosan v\u00e1lassza ki a k\u00e9p verzi\u00f3j\u00e1t<\/h2>\n

\nA legt\u00f6bb nyilv\u00e1nos \u00e9s priv\u00e1t k\u00e9p egy, a Best Practices for Building Containers<\/a><\/noindex>c\u00edm\u0171 cikkben le\u00edrt\u00e1khoz hasonl\u00f3 c\u00edmk\u00e9z\u00e9si rendszert haszn\u00e1l. ha a k\u00e9p c\u00edmk\u00e9z\u00e9se k\u00f6zel \u00e1ll a<\/a><\/noindex>szemantikus verzi\u00f3z\u00e1s latest<\/code> m\u00f3dszerhez, figyelembe kell venni a c\u00edmk\u00e9z\u00e9s saj\u00e1toss\u00e1gait. P\u00e9ld\u00e1ul a c\u00edmke<\/p>\n

gyakran mozoghat egy k\u00e9pr\u0151l a m\u00e1sikra - nem lehet r\u00e1 sz\u00e1m\u00edtani, ha el\u0151re l\u00e1that\u00f3 \u00e9s reproduk\u00e1lhat\u00f3 build-ekszre van sz\u00fcks\u00e9ge. Haszn\u00e1lhatja a c\u00edmk\u00e9t<\/code> X.Y.Z , (ezek szinte mindig v\u00e1ltozatlanok), azonban ebben az esetben nyomon kell k\u00f6vetnie az \u00f6sszes jav\u00edt\u00e1st \u00e9s friss\u00edt\u00e9st a k\u00e9pen. Ha a haszn\u00e1lt k\u00e9p rendelkezik a c\u00edmk\u00e9vel<\/code>X.Y<\/p>\n

Fejleszt\u00e9si eszk\u00f6z\u00f6k, amelyek Kubernetesben futnak<\/h2>\n

\nOlvasson tov\u00e1bbi inform\u00e1ci\u00f3kat a blogunkban:<\/p>\n