Google이 제시하는 컨테이너 사용에 대한 7가지 모범 사례

메모. 번역: 원본 기사의 저자는 Google Cloud Solutions Architect인 Théo Chamley입니다. Google Cloud 블로그의 이 게시물에서 그는 '컨테이너 운영 모범 사례" 여기에서 Google 전문가들은 보안에서 모니터링, 로깅에 이르기까지 광범위한 주제를 다루면서 Google Kubernetes Engine 등을 사용하는 맥락에서 컨테이너를 운영하기 위한 권장사항을 수집했습니다. 그렇다면 Google에 따르면 가장 중요한 컨테이너 관행은 무엇입니까?

쿠 버네 티스 엔진 (Google Cloud에서 컨테이너화된 애플리케이션을 실행하기 위한 Kubernetes 기반 서비스 - 대략. 번역) 확장이 필요한 워크로드를 실행하는 가장 좋은 방법 중 하나입니다. Kubernetes 컨테이너화된 경우 대부분의 애플리케이션이 원활하게 작동하도록 보장합니다. 그러나 애플리케이션을 쉽게 관리하고 Kubernetes를 최대한 활용하려면 모범 사례를 따라야 합니다. 이는 애플리케이션 작동, 모니터링 및 디버깅을 단순화하고 보안도 강화합니다.

이 기사에서는 Kubernetes에서 컨테이너를 효과적으로 실행하기 위해 알아야 할 사항과 수행해야 할 사항의 목록을 살펴보겠습니다. 더 자세한 내용을 알고 싶은 분은 자료를 읽어보세요. 컨테이너 운영 모범 사례, 또한 우리의 이전 게시물 컨테이너 조립에 대해.

1. 기본 컨테이너 로깅 메커니즘 사용

애플리케이션이 Kubernetes 클러스터에서 실행 중인 경우 로그에는 그다지 필요하지 않습니다. 사용 중인 클러스터에는 중앙 집중식 로깅 시스템이 이미 구축되어 있을 가능성이 높습니다. Kubernetes Engine을 사용하는 경우 이에 대한 책임이 있습니다. 스택 드라이버 로깅. (메모. 번역: 자체 Kubernetes 설치를 사용하는 경우 오픈 소스 솔루션을 자세히 살펴보는 것이 좋습니다. 통나무 집.) 삶을 단순하게 유지하고 기본 컨테이너 로깅 메커니즘을 사용하세요. stdout 및 stderr에 로그를 작성하면 자동으로 수신, 저장 및 색인이 생성됩니다.

원하는 경우 로그를 작성할 수도 있습니다. JSON 형식. 이 접근 방식을 사용하면 메타데이터를 쉽게 추가할 수 있습니다. 그리고 이를 통해 Stackdriver Logging은 이 메타데이터를 사용하여 로그를 검색할 수 있습니다.

2. 컨테이너가 상태 비저장(Stateless)이고 불변인지 확인하세요.

컨테이너가 Kubernetes 클러스터에서 올바르게 작동하려면 상태 비저장 및 불변이어야 합니다. 이러한 조건이 충족되면 Kubernetes는 필요할 때 언제 어디서나 애플리케이션 엔터티를 생성하고 삭제하는 작업을 수행할 수 있습니다.

무국적자 모든 상태(모든 종류의 영구 데이터)가 컨테이너 외부에 저장된다는 의미입니다. 이를 위해 필요에 따라 다양한 유형의 외부 저장소를 사용할 수 있습니다. 클라우드 스토리지, 영구 디스크, Redis, 클라우드 SQL 또는 기타 관리되는 데이터베이스. (메모. 번역: 이에 대한 자세한 내용은 기사 "에서 읽어보세요.Kubernetes용 연산자: 상태 저장 애플리케이션을 실행하는 방법".)

변경할 수없는 이는 컨테이너가 수명 동안 수정되지 않음을 의미합니다(업데이트, 패치, 구성 변경 없음). 애플리케이션 코드를 업데이트하거나 패치를 적용해야 하는 경우 새 이미지를 생성하고 배포하세요. 컨테이너 구성(리스닝 포트, 런타임 환경 옵션 등)을 외부로 이동하는 것이 좋습니다. 기미 и 컨피그맵. 새 컨테이너 이미지를 빌드하지 않고도 업데이트할 수 있습니다. 이미지 어셈블리를 사용하여 파이프라인을 쉽게 생성하려면 다음을 사용할 수 있습니다. 클라우드 빌드. (메모. 번역: 우리는 이러한 목적으로 오픈 소스 도구를 사용합니다. dapp.)

Pod에 구성으로 탑재된 ConfigMap을 사용하여 Kubernetes에서 배포 구성을 업데이트하는 예

3. 권한 있는 컨테이너를 피하세요

서버에서 루트로 응용 프로그램을 실행하지 않습니까? 공격자가 애플리케이션에 침입하면 루트 액세스 권한을 얻게 됩니다. 권한 있는 컨테이너를 실행하지 않는 경우에도 동일한 고려 사항이 적용됩니다. 호스트의 설정을 변경해야 하는 경우 컨테이너에 특정 정보를 제공할 수 있습니다. 기능 옵션을 사용하여 securityContext 쿠버네티스에서. 변경이 필요한 경우 sysctls, Kubernetes에는 별도의 초록 이를 위해. 일반적으로 최대한 활용하려고 노력하십시오. 초기화- 유사한 권한 있는 작업을 수행하는 사이드카 컨테이너. 내부 또는 외부 트래픽에 액세스할 필요는 없습니다.

클러스터를 관리하는 경우 다음을 사용할 수 있습니다. 포드 보안 정책 권한 있는 컨테이너 사용에 대한 제한 사항입니다.

4. 루트로 실행하지 마십시오

권한 있는 컨테이너에 대해서는 이미 논의했지만, 이 외에도 컨테이너 내부에서 루트로 애플리케이션을 실행하지 않는 것이 더 좋습니다. 공격자가 코드 실행을 허용하는 루트 권한이 있는 애플리케이션에서 원격 취약점을 발견한 후 아직 알려지지 않은 취약점을 통해 컨테이너를 떠날 수 있는 경우 호스트에서 루트를 얻게 됩니다.

이를 피하는 가장 좋은 방법은 처음부터 루트로 아무것도 실행하지 않는 것입니다. 이렇게 하려면 지시문을 사용할 수 있습니다. USER в Dockerfile 또는 runAsUser 쿠버네티스에서. 클러스터 관리자는 다음을 사용하여 시행 동작을 구성할 수도 있습니다. 포드 보안 정책.

5. 애플리케이션을 쉽게 모니터링할 수 있도록 하세요.

로깅과 마찬가지로 모니터링은 애플리케이션 관리의 필수적인 부분입니다. Kubernetes 커뮤니티에서 널리 사용되는 모니터링 솔루션은 다음과 같습니다. 프로 메테우스 - 모니터링이 필요한 Pod 및 서비스를 자동으로 감지하는 시스템입니다. (메모. 번역: 우리의 것을 참조하십시오 상세 보고서 Prometheus 및 Kubernetes를 사용한 모니터링 주제에 대해 설명합니다.) 스택드라이버 Kubernetes 클러스터를 모니터링할 수 있으며 애플리케이션 모니터링을 위한 자체 Prometheus 버전이 포함되어 있습니다.

Stackdriver의 Kubernetes 대시보드

Prometheus는 애플리케이션이 메트릭을 HTTP 엔드포인트로 전달할 것으로 예상합니다. 이에 사용 가능 프로메테우스 클라이언트 라이브러리. 다음과 같은 다른 도구에서도 동일한 형식이 사용됩니다. 오픈인구조사 и 이스 티오.

6. 앱의 상태를 사용할 수 있도록 설정

프로덕션 환경의 애플리케이션 관리는 해당 상태를 전체 시스템에 전달하는 기능을 통해 지원됩니다. 응용 프로그램이 실행 중입니까? 괜찮나요? 트래픽을 수신할 준비가 되셨나요? 그 사람은 어떻게 행동하나요? 이 문제를 해결하는 가장 일반적인 방법은 상태 확인을 구현하는 것입니다. (건강검진). Kubernetes에는 두 가지 유형이 있습니다. 활성 및 준비 상태 프로브.

활성 프로브의 경우 (활력체크) 애플리케이션이 작동하고 기본 종속성이 충족되는 경우 "200 OK" 응답을 반환하는 HTTP 엔드포인트가 있어야 합니다. 준비 프로브용 (서비스 준비 상태 확인) 애플리케이션이 정상 상태이고, 초기화 단계가 완료되었으며, 유효한 요청으로 인해 오류가 발생하지 않는 경우, 애플리케이션에는 "200 OK" 응답을 반환하는 또 다른 HTTP 엔드포인트가 있어야 합니다. Kubernetes는 이러한 검사에 따라 애플리케이션이 준비된 경우에만 트래픽을 컨테이너로 라우팅합니다. 활성 상태와 준비 상태 사이에 차이가 없으면 두 엔드포인트를 병합할 수 있습니다.

이에 대한 자세한 내용은 Google의 Developer Advocate인 Sandeep Dinesh의 관련 기사에서 확인할 수 있습니다.Kubernetes 모범 사례: 준비 상태 및 활성 프로브로 상태 확인 설정".

7. 이미지 버전을 신중하게 선택하세요

대부분의 공개 및 비공개 이미지는 다음에 설명된 것과 유사한 태그 지정 시스템을 사용합니다. 컨테이너 구축 모범 사례. 이미지가 가까운 시스템을 사용하는 경우 의미론적 버전 관리, 태그 지정의 세부 사항을 고려해야 합니다. 예를 들어 태그 latest 이미지에서 이미지로 자주 이동할 수 있습니다. 예측 가능하고 반복 가능한 빌드 및 설치가 필요한 경우에는 신뢰할 수 없습니다.

태그를 사용할 수 있습니다. X.Y.Z (거의 항상 변경되지 않음), 이 경우 이미지에 대한 모든 패치와 업데이트를 추적하십시오. 사용 중인 이미지에 태그가 있는 경우 X.Y, 이것은 황금률에 대한 좋은 선택입니다. 이를 선택하면 자동으로 패치를 받게 되며 동시에 안정적인 버전의 애플리케이션을 사용하게 됩니다.

번역가의 추신

블로그에서도 읽어보세요.

• «컨테이너, 클라우드 네이티브 및 Kubernetes에 대한 새로운 CNCF 통계";
• «컨테이너 기반 애플리케이션 설계를 위한 7가지 원칙";
• «쿠버네티스 해킹의 피해자가 되지 않는 11가지 방법";
• «소규모 프로젝트에서의 Kubernetes 경험» (리뷰 및 영상보고);
• «모니터링 및 Kubernetes» (리뷰 및 영상보고);
• «CI/CD용 Docker 이미지를 dapp으로 빠르고 편리하게 구축합니다.» (리뷰 및 영상보고);
• «Docker를 사용한 지속적인 전달 방식» (리뷰 및 영상보고);
• «2018년 마이크로서비스 광기의 종말".

출처 : habr.com