Google नुसार कंटेनर वापरण्यासाठी 7 सर्वोत्तम पद्धती

नोंद. अनुवाद: मूळ लेखाचे लेखक थिओ चामले, Google क्लाउड सोल्युशन्स आर्किटेक्ट आहेत. Google क्लाउड ब्लॉगसाठी या पोस्टमध्ये, तो त्याच्या कंपनीच्या अधिक तपशीलवार मार्गदर्शकाचा सारांश प्रदान करतो, ज्याला "कंटेनर ऑपरेट करण्यासाठी सर्वोत्तम पद्धती" त्यामध्ये, Google तज्ञांनी Google Kubernetes Engine आणि अधिक वापरण्याच्या संदर्भात कंटेनर ऑपरेट करण्यासाठी सर्वोत्तम पद्धती गोळा केल्या, विविध विषयांवर स्पर्श केला: सुरक्षिततेपासून देखरेख आणि लॉगिंगपर्यंत. तर Google च्या मते सर्वात महत्वाच्या कंटेनर पद्धती काय आहेत?

कुबर्नेट्स इंजिन (गुगल क्लाउडवर कंटेनराइज्ड ऍप्लिकेशन्स चालवण्यासाठी कुबर्नेट्स-आधारित सेवा - अंदाजे भाषांतर) स्केल करणे आवश्यक असलेल्या वर्कलोड्स चालवण्याचा सर्वोत्तम मार्गांपैकी एक आहे. कुबेरनेट्स बर्‍याच ऍप्लिकेशन्स कंटेनराइज्ड असल्यास त्यांचे सुरळीत कार्य सुनिश्चित करेल. परंतु तुम्हाला तुमचा अर्ज व्यवस्थापित करणे सोपे हवे असेल आणि कुबर्नेट्सचा पूर्ण फायदा घ्यायचा असेल, तर तुम्हाला सर्वोत्तम पद्धतींचे पालन करणे आवश्यक आहे. ते अनुप्रयोगाचे ऑपरेशन, त्याचे निरीक्षण आणि डीबगिंग सुलभ करतील आणि सुरक्षा देखील वाढवतील.

या लेखात, Kubernetes वर कंटेनर प्रभावीपणे चालवण्यासाठी आपल्याला माहित असले पाहिजे आणि काय करावे याची यादी आम्ही पाहू. ज्यांना अधिक खोलात जायचे आहे त्यांनी साहित्य वाचावे कंटेनर ऑपरेट करण्यासाठी सर्वोत्तम पद्धती, आणि आमच्याकडे देखील लक्ष द्या पूर्वीचे पोस्ट कंटेनर एकत्र करण्याबद्दल.

1. मूळ कंटेनर लॉगिंग यंत्रणा वापरा

जर ॲप्लिकेशन कुबर्नेट्स क्लस्टरवर चालत असेल, तर लॉगसाठी जास्त गरज नाही. तुम्ही वापरत असलेल्या क्लस्टरमध्ये एक केंद्रीकृत लॉगिंग प्रणाली कदाचित आधीच तयार केलेली असेल. कुबर्नेट्स इंजिन वापरण्याच्या बाबतीत, हे जबाबदार आहे स्टॅकड्रिव्हर लॉगिंग. (नोंद. अनुवाद: आणि तुम्ही तुमची स्वतःची Kubernetes इंस्टॉलेशन वापरत असल्यास, आम्ही आमच्या ओपन सोर्स सोल्यूशनकडे जवळून पाहण्याची शिफारस करतो - लॉगहाऊस.) तुमचे जीवन सोपे ठेवा आणि मूळ कंटेनर लॉगिंग यंत्रणा वापरा. stdout आणि stderr वर लॉग लिहा - ते आपोआप प्राप्त, जतन आणि अनुक्रमित केले जातील.

इच्छित असल्यास, आपण लॉग देखील लिहू शकता JSON स्वरूप. हा दृष्टिकोन त्यांना मेटाडेटा जोडणे सोपे करेल. आणि त्यांच्यासह, स्टॅकड्रिव्हर लॉगिंगमध्ये हा मेटाडेटा वापरून लॉगमधून शोधण्याची क्षमता असेल.

2. कंटेनर स्टेटलेस आणि अपरिवर्तनीय असल्याची खात्री करा

कुबर्नेट्स क्लस्टरमध्ये कंटेनर योग्यरित्या कार्य करण्यासाठी, ते स्टेटलेस आणि अपरिवर्तनीय असले पाहिजेत. एकदा या अटी पूर्ण झाल्यानंतर, कुबर्नेट्स आपले काम करू शकतात, जेव्हा आणि जेथे आवश्यक असेल तेव्हा अनुप्रयोग संस्था तयार आणि नष्ट करू शकतात.

राज्यविहीन म्हणजे कोणतीही स्थिती (कोणत्याही प्रकारचा सततचा डेटा) कंटेनरच्या बाहेर संग्रहित केला जातो. यासाठी, गरजेनुसार, विविध प्रकारचे बाह्य संचयन वापरले जाऊ शकते: मेघ संचयन, पर्सिस्टंट डिस्क, Redis, क्लाउड एस क्यू एल किंवा इतर व्यवस्थापित डेटाबेस. (नोंद. अनुवाद: आमच्या लेखात याबद्दल अधिक वाचा "कुबर्नेट्ससाठी ऑपरेटर: स्टेटफुल ऍप्लिकेशन्स कसे चालवायचे".)

अपरिवर्तनीय म्हणजे कंटेनर त्याच्या आयुष्यादरम्यान सुधारित केले जाणार नाही: कोणतेही अद्यतन, पॅचेस, कॉन्फिगरेशन बदल नाहीत. तुम्हाला तुमचा अॅप्लिकेशन कोड अपडेट करायचा असल्यास किंवा पॅच लागू करायचा असल्यास, एक नवीन इमेज तयार करा आणि ती तैनात करा. कंटेनर कॉन्फिगरेशन (लिसनिंग पोर्ट, रनटाइम वातावरण पर्याय इ.) बाहेरून हलवण्याची शिफारस केली जाते - वर secrets и कॉन्फिगमॅप्स. नवीन कंटेनर प्रतिमा तयार न करता ते अद्यतनित केले जाऊ शकतात. प्रतिमा असेंब्लीसह सहजपणे पाइपलाइन तयार करण्यासाठी, आपण वापरू शकता क्लाउड बिल्ड. (नोंद. अनुवाद: आम्ही या हेतूंसाठी मुक्त स्रोत साधन वापरतो डॅप.)

कॉन्फिगरेशन म्हणून पॉड्समध्ये माउंट केलेल्या कॉन्फिगमॅपचा वापर करून कुबर्नेट्समध्ये डिप्लॉयमेंट कॉन्फिगरेशन अपडेट करण्याचे उदाहरण

3. विशेषाधिकार असलेले कंटेनर टाळा

तुम्ही तुमच्या सर्व्हरवर रूट म्हणून अॅप्लिकेशन्स चालवत नाही, बरोबर? जर एखादा आक्रमणकर्ता ऍप्लिकेशनमध्ये आला तर त्याला रूट ऍक्सेस मिळेल. विशेषाधिकार प्राप्त कंटेनर न चालवण्यावर समान विचार लागू होतात. तुम्हाला होस्टवर सेटिंग्ज बदलण्याची आवश्यकता असल्यास, तुम्ही कंटेनर विशिष्ट देऊ शकता क्षमता पर्याय वापरून securityContext Kubernetes मध्ये. जर तुम्हाला बदलण्याची गरज असेल sysctls, कुबर्नेट्स यांच्याकडे आहे वेगळा गोषवारा या साठी. सर्वसाधारणपणे, जास्तीत जास्त वापर करण्याचा प्रयत्न करा त्यात- आणि साइडकार कंटेनर समान विशेषाधिकारित ऑपरेशन्स करण्यासाठी. ते अंतर्गत किंवा बाह्य रहदारीसाठी प्रवेशयोग्य असणे आवश्यक नाही.

आपण क्लस्टर प्रशासित केल्यास, आपण वापरू शकता पॉड सुरक्षा धोरण विशेषाधिकार प्राप्त कंटेनरच्या वापरावरील निर्बंधांसाठी.

4. रूट म्हणून चालणे टाळा

विशेषाधिकारित कंटेनर्सबद्दल आधीच चर्चा केली गेली आहे, परंतु या व्यतिरिक्त, आपण रूट म्हणून कंटेनरमध्ये अनुप्रयोग चालवत नसल्यास ते अधिक चांगले होईल. जर एखाद्या आक्रमणकर्त्याला रूट अधिकार असलेल्या अनुप्रयोगामध्ये रिमोट भेद्यता आढळली जी कोडची अंमलबजावणी करण्यास अनुमती देते, त्यानंतर तो अद्याप अज्ञात भेद्यतेद्वारे कंटेनर सोडण्यास सक्षम असेल, तो होस्टवर रूट मिळवेल.

हे टाळण्याचा सर्वोत्तम मार्ग म्हणजे मूळ म्हणून काहीही न चालवणे. हे करण्यासाठी, आपण निर्देश वापरू शकता USER в Dockerfile किंवा runAsUser Kubernetes मध्ये. क्लस्टर प्रशासक देखील वापरून अंमलबजावणी वर्तन कॉन्फिगर करू शकतो पॉड सुरक्षा धोरण.

5. अनुप्रयोगाचे परीक्षण करणे सोपे करा

लॉगिंगप्रमाणे, देखरेख हा अनुप्रयोग व्यवस्थापनाचा अविभाज्य भाग आहे. Kubernetes समुदायातील एक लोकप्रिय देखरेख उपाय आहे Prometheus - एक प्रणाली जी आपोआप पॉड्स आणि सेवा शोधते ज्यांना मॉनिटरिंगची आवश्यकता असते. (नोंद. अनुवाद: आमचे देखील पहा तपशीलवार अहवाल Prometheus आणि Kubernetes वापरून निरीक्षण विषयावर.) स्टॅक ड्रायव्हर Kubernetes क्लस्टर्सचे निरीक्षण करण्यास सक्षम आहे आणि अनुप्रयोग निरीक्षणासाठी प्रोमिथियसची स्वतःची आवृत्ती समाविष्ट करते.

Stackdriver वर Kubernetes डॅशबोर्ड

प्रोमिथियसला अपेक्षा आहे की ऍप्लिकेशनने मेट्रिक्स HTTP एंडपॉईंटवर फॉरवर्ड करावे. यासाठी उपलब्ध आहे प्रोमिथियस क्लायंट लायब्ररी. हेच स्वरूप इतर साधनांद्वारे वापरले जाते खुली जनगणना и इस्टिओ.

6. अॅपची आरोग्य स्थिती उपलब्ध करून द्या

उत्पादनातील ऍप्लिकेशन मॅनेजमेंटला त्याची स्थिती संपूर्ण प्रणालीशी संप्रेषण करण्याच्या क्षमतेद्वारे मदत केली जाते. अनुप्रयोग चालू आहे? हे ठीक आहे का? आपण रहदारी प्राप्त करण्यास तयार आहात? तो कसा वागत आहे? या समस्येचे निराकरण करण्याचा सर्वात सामान्य मार्ग म्हणजे आरोग्य तपासणी लागू करणे (आरोग्य तपासणी). कुबर्नेट्सचे दोन प्रकार आहेत: चैतन्य आणि तयारी तपासणी.

जिवंतपणा तपासणीसाठी (जीवनशक्ती तपासणी) ऍप्लिकेशनमध्ये HTTP एंडपॉईंट असणे आवश्यक आहे जे कार्यशील असल्यास आणि त्याचे मूलभूत अवलंबन समाधानी असल्यास "200 OK" प्रतिसाद देते. तत्परतेच्या चौकशीसाठी (सेवा तयारी तपासणी) ऍप्लिकेशनमध्ये दुसरा HTTP एंडपॉईंट असणे आवश्यक आहे जो "200 ओके" प्रतिसाद देतो जर ऍप्लिकेशन निरोगी स्थितीत असेल, इनिशिएलायझेशन चरण पूर्ण केले गेले आहेत आणि कोणत्याही वैध विनंतीमुळे त्रुटी येत नाही. या तपासण्यांनुसार अॅप्लिकेशन तयार असेल तरच Kubernetes वाहतूक कंटेनरकडे जातील. जिवंतपणा आणि तयारी स्थितींमध्ये फरक नसल्यास दोन टोकांचे विलीनीकरण केले जाऊ शकते.

Google चे डेव्हलपर अॅडव्होकेट संदीप दिनेश यांच्या संबंधित लेखात तुम्ही याबद्दल अधिक वाचू शकता: “Kubernetes सर्वोत्तम पद्धती: तत्परता आणि जिवंतपणा तपासणीसह आरोग्य तपासणी सेट करणे».

7. तुमची प्रतिमा आवृत्ती काळजीपूर्वक निवडा

बर्‍याच सार्वजनिक आणि खाजगी प्रतिमांमध्ये वर्णन केल्याप्रमाणे टॅगिंग सिस्टम वापरतात कंटेनर बांधण्यासाठी सर्वोत्तम पद्धती. जर प्रतिमा जवळची प्रणाली वापरते सिमेंटिक आवृत्ती, टॅगिंगची वैशिष्ट्ये विचारात घेणे आवश्यक आहे. उदाहरणार्थ, टॅग latest प्रतिमेपासून प्रतिमेकडे वारंवार जाऊ शकते - तुम्हाला अंदाज लावता येण्याजोग्या आणि पुनरावृत्ती करण्यायोग्य बिल्ड आणि इंस्टॉलेशन्सची आवश्यकता असल्यास त्यावर अवलंबून राहू शकत नाही.

तुम्ही टॅग वापरू शकता X.Y.Z (ते जवळजवळ नेहमीच अपरिवर्तित असतात), परंतु या प्रकरणात, सर्व पॅच आणि प्रतिमेवरील अद्यतनांचा मागोवा ठेवा. तुम्ही वापरत असलेल्या प्रतिमेला टॅग असल्यास X.Y, गोल्डन मीनसाठी हा एक चांगला पर्याय आहे. ते निवडून, आपण स्वयंचलितपणे पॅच प्राप्त करता आणि त्याच वेळी अनुप्रयोगाच्या स्थिर आवृत्तीवर अवलंबून रहा.

अनुवादकाकडून पुनश्च

आमच्या ब्लॉगवर देखील वाचा:

• «कंटेनर, क्लाउड नेटिव्ह आणि कुबर्नेट्सवरील नवीन CNCF आकडेवारी";
• «कंटेनर-आधारित अनुप्रयोग डिझाइन करण्यासाठी 7 तत्त्वे";
• «कुबर्नेट्स हॅकचा बळी बनण्याचे (नाही) 11 मार्ग";
• «लहान प्रकल्पांमध्ये कुबर्नेट्ससोबतचा आमचा अनुभव» (पुनरावलोकन आणि व्हिडिओ अहवाल);
• «देखरेख आणि Kubernetes» (पुनरावलोकन आणि व्हिडिओ अहवाल);
• «आम्ही CI/CD साठी डॉकर प्रतिमा जलद आणि सोयीस्करपणे डॅपसह तयार करतो» (पुनरावलोकन आणि व्हिडिओ अहवाल);
• «डॉकरसह सतत वितरण सराव» (पुनरावलोकन आणि व्हिडिओ अहवाल);
• «2018 मध्ये मायक्रोसर्व्हिस वेडेपणाचा मृत्यू».

स्त्रोत: www.habr.com