7 שיטות עבודה מומלצות לשימוש בקונטיינרים לפי גוגל

הערה. תרגום: מחבר המאמר המקורי הוא תאו צ'מלי, ארכיטקט פתרונות הענן של Google. בפוסט זה עבור הבלוג של Google Cloud, הוא מספק סיכום של המדריך המפורט יותר של החברה שלו, הנקרא "שיטות עבודה מומלצות לתפעול מכולות" בו אספו מומחי גוגל שיטות עבודה מומלצות להפעלת קונטיינרים בהקשר של שימוש במנוע Google Kubernetes ועוד, תוך נגיעה במגוון רחב של נושאים: מאבטחה ועד ניטור ורישום. אז מהן שיטות המכולה החשובות ביותר לפי גוגל?

מנוע קוברנט (שירות מבוסס Kubernetes להפעלת יישומים מכולים ב-Google Cloud - משוער. תרגום) היא אחת הדרכים הטובות ביותר להפעיל עומסי עבודה שצריכים להגדיל. קוברנט יבטיח תפקוד חלק של רוב היישומים אם הם נמצאים במכולות. אבל אם אתה רוצה שהאפליקציה שלך תהיה קלה לניהול וברצונך לנצל את מלוא היתרונות של Kubernetes, עליך לפעול לפי השיטות המומלצות. הם יפשטו את פעולת האפליקציה, הניטור והניפוי שלה, וגם יגבירו את האבטחה.

במאמר זה, נעבור על רשימה של דברים שכדאי לדעת ולעשות כדי להפעיל קונטיינרים ביעילות ב-Kubernetes. מי שרוצה להעמיק בפרטים צריך לקרוא את החומר שיטות עבודה מומלצות לתפעול מכולות, וגם לשים לב לשלנו פוסט קודם לגבי הרכבת מכולות.

1. השתמש במנגנוני רישום של מיכלים מקוריים

אם האפליקציה פועלת על אשכול Kubernetes, לא צריך הרבה עבור יומנים. סביר להניח שמערכת רישום מרכזית כבר מובנית באשכול שבו אתה משתמש. במקרה של שימוש ב-Kubernetes Engine, זה אחראי רישום של Stackdriver. (הערה. תרגום: ואם אתה משתמש בהתקנת Kubernetes משלך, אנו ממליצים להסתכל מקרוב על פתרון הקוד הפתוח שלנו - בית עץ.) שמור על חייך פשוטים והשתמש במנגנוני רישום של מיכלים מקוריים. כתוב יומנים ל-stdout ול-stderr - הם יתקבלו אוטומטית, יישמרו ויוספו לאינדקס.

אם תרצה, תוכל גם לכתוב לוגים פורמט JSON. גישה זו תקל להוסיף להם מטא נתונים. ואיתם, ל-Stackdriver Logging תהיה את היכולת לחפש ביומנים באמצעות מטא נתונים אלה.

2. ודא שהמכולות הן חסרות מדינה ובלתי ניתנות לשינוי

כדי שמכולות יפעלו כהלכה באשכול Kubernetes, הם חייבים להיות חסרי מצב ובלתי ניתנים לשינוי. ברגע שהתנאים הללו מתקיימים, Kubernetes יכולה לעשות את עבודתה, ליצור ולהשמיד ישויות יישומים מתי ואיפה שצריך.

ללא מדינה פירושו שכל מצב (נתונים מתמשכים מכל סוג שהוא) מאוחסן מחוץ לקונטיינר. לשם כך, בהתאם לצרכים, ניתן להשתמש בסוגים שונים של אחסון חיצוני: אחסון ענן, דיסקים מתמידים, Redis, ענן SQL או מסדי נתונים מנוהלים אחרים. (הערה. תרגום: קרא עוד על כך במאמר שלנו "אופרטורים עבור Kubernetes: כיצד להפעיל יישומים סטטיסטיים".)

בלתי ניתן לשינוי פירושו שהמכל לא ישונה במהלך חייו: אין עדכונים, תיקונים, שינויים בתצורה. אם אתה צריך לעדכן את קוד היישום שלך או להחיל תיקון, צור תמונה חדשה ופרוס אותה. מומלץ להעביר את תצורת הקונטיינר (יציאת האזנה, אפשרויות סביבת זמן ריצה וכו') חיצונית - אל סודות и ConfigMaps. ניתן לעדכן אותם מבלי לבנות תמונת מיכל חדשה. כדי ליצור בקלות צינורות עם הרכבת תמונה, אתה יכול להשתמש בניית ענן. (הערה. תרגום: אנו משתמשים בכלי קוד פתוח למטרות אלו דפ.)

דוגמה לעדכון תצורת הפריסה ב-Kubernetes באמצעות ConfigMap המותקן ב-pods כתצורה

3. הימנע ממכולות מיוחסות

אתה לא מריץ יישומים כשורש בשרתים שלך, נכון? אם תוקף נכנס לאפליקציה, הוא יקבל גישת שורש. אותם שיקולים חלים על אי הפעלת מכולות מורשות. אם אתה צריך לשנות הגדרות במארח, אתה יכול לתת למיכל ספציפי יכולות באמצעות האפשרות securityContext ב-Kubernetes. אם אתה צריך לשנות sysctls, ל-Kubernetes יש תקציר נפרד לזה. באופן כללי, נסה להפיק את המרב התחלה- ומכולות צד לביצוע פעולות מיוחסות דומות. הם לא צריכים להיות נגישים לתעבורה פנימית או חיצונית.

אם אתה מנהל אשכול, אתה יכול להשתמש מדיניות אבטחת הפוד להגבלות על השימוש במכולות מועדפות.

4. הימנע מהפעלה כשורש

כבר דובר על קונטיינרים מועדפים, אבל זה יהיה אפילו טוב יותר אם בנוסף לכך, לא תפעיל יישומים בתוך הקונטיינר בתור root. אם תוקף מוצא פגיעות מרחוק באפליקציה עם זכויות שורש המאפשרת ביצוע קוד, ולאחר מכן הוא מסוגל לעזוב את הקונטיינר דרך נקודת תורפה שעדיין לא ידועה, הוא יקבל שורש במארח.

הדרך הטובה ביותר להימנע מכך היא לא להפעיל שום דבר כשורש מלכתחילה. כדי לעשות זאת, אתה יכול להשתמש בהנחיה USER в Dockerfile או runAsUser ב-Kubernetes. מנהל האשכול יכול גם להגדיר את התנהגות האכיפה באמצעות מדיניות אבטחת הפוד.

5. הפוך את האפליקציה לקלה לניטור

כמו רישום, ניטור הוא חלק בלתי נפרד מניהול האפליקציות. פתרון ניטור פופולרי בקהילת Kubernetes הוא פרומתאוס - מערכת שמזהה אוטומטית פודים ושירותים הדורשים ניטור. (הערה. תרגום: ראה גם שלנו דו"ח מפורט על נושא הניטור באמצעות פרומתאוס ו-Kubernetes.) Stackdriver מסוגל לנטר אשכולות Kubernetes וכולל גרסה משלה של Prometheus לניטור יישומים.

לוח המחוונים של Kubernetes ב-Stackdriver

פרומתאוס מצפה מהאפליקציה להעביר מדדים לנקודת הקצה של HTTP. זמין עבור זה ספריות לקוחות של פרומתאוס. אותו פורמט משמש על ידי כלים אחרים כמו OpenCensus и Istio.

6. הפוך את מצב הבריאות של האפליקציה לזמין

ניהול אפליקציות בייצור נעזר ביכולתו לתקשר את מצבה לכל המערכת. האם האפליקציה פועלת? זה בסדר? האם אתה מוכן לקבל תעבורה? איך הוא מתנהג? הדרך הנפוצה ביותר לפתור בעיה זו היא ליישם בדיקות תקינות (בדיקות בריאות). ל-Kubernetes שני סוגים: בדיקות חיוניות ומוכנות.

לבדיקת חיים (בדיקות חיוניות) לאפליקציה חייבת להיות נקודת קצה HTTP שמחזירה תגובת "200 בסדר" אם היא פונקציונלית והתלות הבסיסית שלה מתקיימת. לבדיקת מוכנות (בדיקות מוכנות שירות) לאפליקציה חייבת להיות נקודת קצה אחרת של HTTP שמחזירה תגובת "200 בסדר" אם האפליקציה במצב תקין, שלבי האתחול הושלמו וכל בקשה חוקית אינה גורמת לשגיאה. Kubernetes תנתב תעבורה לקונטיינר רק אם האפליקציה מוכנה לפי בדיקות אלו. ניתן למזג שתי נקודות קצה אם אין הבדל בין מצבי החיים והמוכנות.

אתה יכול לקרוא עוד על כך במאמר הקשור מאת Sandeep Dinesh, Developer Advocate מגוגל: "שיטות עבודה מומלצות של Kubernetes: הגדרת בדיקות בריאות עם בדיקות מוכנות וחיוניות".

7. בחרו בקפידה את גרסת התמונה שלכם

רוב התמונות הציבוריות והפרטיות משתמשות במערכת תיוג דומה לזו המתוארת ב שיטות עבודה מומלצות לבניית מכולות. אם התמונה משתמשת במערכת קרובה ל גרסאות סמנטיות, יש צורך לקחת בחשבון את הפרטים של התיוג. לדוגמה, תג latest יכול לעבור בתדירות גבוהה מתמונה לתמונה - לא ניתן לסמוך עליו אם אתה זקוק לבנייה והתקנות הניתנות לחיזוי ולחזור.

אתה יכול להשתמש בתג X.Y.Z (הם כמעט תמיד ללא שינוי), אבל במקרה זה, עקוב אחר כל התיקונים והעדכונים לתמונה. אם לתמונה שבה אתה משתמש יש תג X.Y, זוהי אפשרות טובה לאמצע הזהב. על ידי בחירה בו, אתה מקבל אוטומטית תיקונים ובו בזמן מסתמך על הגרסה היציבה של האפליקציה.

נ.ב מהמתרגם

קרא גם בבלוג שלנו:

• «סטטיסטיקות חדשות של CNCF על קונטיינרים, מקורי ענן ו-Kubernetes";
• «7 עקרונות לעיצוב יישומים מבוססי מיכל";
• «11 דרכים (לא) להיפרץ ב- Kubernetes";
• «הניסיון שלנו עם Kubernetes בפרויקטים קטנים» (סקירה ודיווח וידאו);
• «ניטור ו-Kubernetes» (סקירה ודיווח וידאו);
• «אנו בונים תמונות Docker עבור CI/CD במהירות ובנוחות עם Dapp» (סקירה ודיווח וידאו);
• «שיטות משלוח רציפות עם Docker» (סקירה ודיווח וידאו);
• «מותו של טירוף המיקרו-שירותים ב-2018".

מקור: www.habr.com