Kubernetes सर्वोत्तम पद्धती. लहान कंटेनर तयार करणे

Kubernetes वर तैनात करण्याची पहिली पायरी म्हणजे तुमचा अर्ज एका कंटेनरमध्ये ठेवणे. या मालिकेत, आपण एक लहान, सुरक्षित कंटेनर प्रतिमा कशी तयार करू शकता ते आम्ही पाहू.
डॉकरचे आभार, कंटेनर प्रतिमा तयार करणे कधीही सोपे नव्हते. बेस इमेज निर्दिष्ट करा, तुमचे बदल जोडा आणि कंटेनर तयार करा.

हे तंत्र सुरू करण्यासाठी उत्तम असले तरी, डीफॉल्ट बेस इमेज वापरल्याने असुरक्षिततेने भरलेल्या मोठ्या इमेजसह असुरक्षित काम होऊ शकते.

याव्यतिरिक्त, डॉकरमधील बहुतेक प्रतिमा बेस इमेजसाठी डेबियन किंवा उबंटू वापरतात, आणि हे उत्कृष्ट सुसंगतता आणि सुलभ सानुकूलन प्रदान करते (डॉकर फाइल फक्त दोन ओळी कोड घेते), बेस इमेज तुमच्या कंटेनरमध्ये शेकडो मेगाबाइट्स अतिरिक्त लोड जोडू शकतात. उदाहरणार्थ, गो "हॅलो-वर्ल्ड" ऍप्लिकेशनसाठी एक साधी node.js फाइल सुमारे 700 मेगाबाइट्स असते, तर तुमचा वास्तविक ऍप्लिकेशन फक्त काही मेगाबाइट्सचा आकार असतो.

त्यामुळे हा सर्व अतिरिक्त वर्कलोड म्हणजे डिजिटल जागेचा अपव्यय आणि सुरक्षा भेद्यता आणि बग यांच्यासाठी एक उत्तम लपण्याची जागा आहे. तर कंटेनरच्या प्रतिमेचा आकार कमी करण्याचे दोन मार्ग पाहू.

प्रथम लहान बेस प्रतिमांचा वापर आहे, दुसरा बिल्डर पॅटर्नचा वापर आहे. तुमच्या कंटेनरचा आकार कमी करण्याचा सर्वात सोपा मार्ग म्हणजे लहान बेस इमेज वापरणे. बहुधा, तुम्ही वापरत असलेली भाषा किंवा स्टॅक ही मूळ अॅप्लिकेशन इमेज देते जी डीफॉल्ट इमेजपेक्षा खूपच लहान असते. चला आमच्या node.js कंटेनरवर एक नजर टाकूया.

डॉकरमध्ये डीफॉल्टनुसार, नोड:8 बेस इमेजचा आकार 670 MB आहे आणि नोड: 8-अल्पाइन इमेजचा आकार फक्त 65 MB आहे, म्हणजेच 10 पट लहान आहे. लहान अल्पाइन बेस इमेज वापरून, तुम्ही तुमच्या कंटेनरचा आकार लक्षणीयरीत्या कमी कराल. अल्पाइन एक लहान आणि हलके लिनक्स वितरण आहे जे डॉकर वापरकर्त्यांमध्ये खूप लोकप्रिय आहे कारण ते कंटेनर लहान ठेवताना अनेक अनुप्रयोगांशी सुसंगत आहे. मानक डॉकर "नोड" प्रतिमेच्या विपरीत, "नोड:अल्पाइन" बर्‍याच सेवा फायली आणि प्रोग्राम काढून टाकते, फक्त त्या सोडतात ज्या तुमचा अनुप्रयोग चालवण्यासाठी पुरेशा आहेत.

लहान बेस इमेजवर जाण्यासाठी, नवीन बेस इमेजसह काम सुरू करण्यासाठी फक्त डॉकरफाइल अपडेट करा:

आता, जुन्या ऑनबिल्ड इमेजच्या विपरीत, तुम्हाला तुमचा कोड कंटेनरमध्ये कॉपी करणे आणि कोणतेही अवलंबन स्थापित करणे आवश्यक आहे. नवीन डॉकरफाइलमध्ये, कंटेनर नोड:अल्पाइन इमेजने सुरू होतो, नंतर कोडसाठी निर्देशिका तयार करतो, NPM पॅकेज मॅनेजर वापरून अवलंबित्व स्थापित करतो आणि शेवटी server.js चालवतो.

या अपग्रेडचा परिणाम कंटेनरमध्ये होतो जो आकाराने 10 पट लहान असतो. तुमच्या प्रोग्रामिंग भाषा किंवा स्टॅकमध्ये बेस इमेज रिडक्शन कार्यक्षमता नसल्यास, अल्पाइन लिनक्स वापरा. हे कंटेनरमधील सामग्री पूर्णपणे व्यवस्थापित करण्याची क्षमता देखील प्रदान करेल. लहान बेस प्रतिमा वापरणे हे लहान कंटेनर द्रुतपणे तयार करण्याचा एक चांगला मार्ग आहे. पण बिल्डर पॅटर्न वापरून त्याहूनही मोठी कपात करता येते.

व्याख्या केलेल्या भाषांमध्ये, स्त्रोत कोड प्रथम दुभाष्याकडे पाठविला जातो आणि नंतर थेट कार्यान्वित केला जातो. संकलित भाषांमध्ये, स्त्रोत कोड प्रथम संकलित कोडमध्ये रूपांतरित केला जातो. तथापि, संकलित करण्यासाठी सहसा अशी साधने वापरली जातात जी कोड चालवण्यासाठी प्रत्यक्षात आवश्यक नसतात. याचा अर्थ असा की आपण अंतिम कंटेनरमधून ही साधने पूर्णपणे काढून टाकू शकता. यासाठी तुम्ही बिल्डर पॅटर्न वापरू शकता.

कोड पहिल्या कंटेनरमध्ये तयार केला जातो आणि संकलित केला जातो. संकलित केलेला कोड नंतर तो कोड संकलित करण्यासाठी आवश्यक असलेल्या कंपाइलर आणि साधनांशिवाय अंतिम कंटेनरमध्ये पॅक केला जातो. या प्रक्रियेद्वारे गो ऍप्लिकेशन चालवू. प्रथम, आम्ही ऑनबिल्ड इमेजवरून अल्पाइन लिनक्सवर जाऊ.

नवीन डॉकरफाइलमध्ये, कंटेनर गोलंग:अल्पाइन इमेजने सुरू होतो. ते नंतर कोडसाठी एक निर्देशिका तयार करते, ती सोर्स कोडमध्ये कॉपी करते, तो सोर्स कोड तयार करते आणि अॅप्लिकेशन चालवते. हा कंटेनर ऑनबिल्ड कंटेनरपेक्षा खूपच लहान आहे, परंतु तरीही त्यात कंपाइलर आणि इतर गो टूल्स आहेत ज्यांची आम्हाला खरोखर गरज नाही. चला तर मग संकलित केलेला प्रोग्रॅम एक्सट्रॅक्ट करून स्वतःच्या कंटेनरमध्ये ठेवू.

या डॉकर फाइलमध्ये तुम्हाला काहीतरी विचित्र दिसू शकते: त्यात दोन FROM ओळी आहेत. या स्टेजला नाव देण्यासाठी AS कीवर्ड वापरल्याशिवाय पहिला 4 ओळ विभाग मागील डॉकरफाइल सारखाच दिसतो. पुढील विभागात नवीन प्रतिमा सुरू करण्यासाठी एक नवीन FROM ओळ आहे, जेथे गोलंग:अल्पाइन प्रतिमेऐवजी आम्ही मूळ प्रतिमा म्हणून रॉ अल्पाइन वापरू.

Raw Alpine Linux मध्ये कोणतीही SSL प्रमाणपत्रे स्थापित केलेली नाहीत, ज्यामुळे HTTPS वरील बहुतेक API कॉल अयशस्वी होतील, म्हणून काही रूट CA प्रमाणपत्रे स्थापित करूया.

आता मजेशीर भाग येतो: संकलित कोड पहिल्या कंटेनरवरून दुसऱ्यामध्ये कॉपी करण्यासाठी, तुम्ही दुसऱ्या विभागाच्या 5 व्या ओळीवर असलेली COPY कमांड वापरू शकता. हे फक्त एक ऍप्लिकेशन फाइल कॉपी करेल आणि Go युटिलिटी टूल्सवर परिणाम करणार नाही. नवीन मल्टी-स्टेज डॉकर फाइलमध्ये कंटेनर इमेज असेल जी फक्त 12 मेगाबाइट आकाराची असेल, मूळ कंटेनर इमेज 700 मेगाबाइट्सच्या तुलनेत, हा एक मोठा फरक आहे!
त्यामुळे लहान बेस प्रतिमा आणि बिल्डर पॅटर्न वापरणे हे खूप काम न करता बरेच छोटे कंटेनर तयार करण्याचे उत्तम मार्ग आहेत.
हे शक्य आहे की ऍप्लिकेशन स्टॅकवर अवलंबून, प्रतिमा आणि कंटेनरचा आकार कमी करण्याचे अतिरिक्त मार्ग आहेत, परंतु लहान कंटेनरचा खरोखर मोजता येण्याजोगा फायदा आहे का? चला दोन क्षेत्रे पाहू जेथे लहान कंटेनर अत्यंत प्रभावी आहेत - कार्यप्रदर्शन आणि सुरक्षा.

कार्यप्रदर्शन वाढीचे मूल्यांकन करण्यासाठी, कंटेनर तयार करण्याच्या प्रक्रियेचा कालावधी विचारात घ्या, तो रेजिस्ट्रीमध्ये घाला (पुश करा), आणि नंतर तेथून पुनर्प्राप्त करा (पुल). आपण पाहू शकता की मोठ्या कंटेनरपेक्षा लहान कंटेनरचा वेगळा फायदा आहे.

डॉकर लेयर्स कॅशे करेल त्यामुळे त्यानंतरचे बिल्ड खूप जलद होतील. तथापि, कंटेनर तयार करण्यासाठी आणि चाचणी करण्यासाठी वापरल्या जाणार्‍या बर्‍याच सीआय सिस्टम स्तर कॅशे करत नाहीत, त्यामुळे वेळेची लक्षणीय बचत होते. तुम्ही बघू शकता, तुमच्या मशीनच्या सामर्थ्यावर अवलंबून मोठा कंटेनर तयार करण्याची वेळ 34 ते 54 सेकंदांपर्यंत असते आणि कंटेनर वापरताना बिल्डर पॅटर्नचा वापर करून कमी केला जातो - 23 ते 28 सेकंदांपर्यंत. या प्रकारच्या ऑपरेशनसाठी, उत्पादकता वाढ 40-50% असेल. त्यामुळे तुम्ही किती वेळा तुमचा कोड तयार केला आणि त्याची चाचणी घ्या याचा विचार करा.

कंटेनर बांधल्यानंतर, तुम्हाला त्याची इमेज (पुश कंटेनर इमेज) कंटेनर रेजिस्ट्रीमध्ये ढकलणे आवश्यक आहे जेणेकरून तुम्ही ते तुमच्या कुबर्नेट्स क्लस्टरमध्ये वापरू शकता. मी Google कंटेनर रजिस्ट्री वापरण्याची शिफारस करतो.

Google कंटेनर रजिस्ट्री (GCR) सह, तुम्ही फक्त कच्च्या स्टोरेजसाठी आणि नेटवर्किंगसाठी पैसे द्याल आणि कोणतेही अतिरिक्त कंटेनर व्यवस्थापन शुल्क नाही. हे खाजगी, सुरक्षित आणि अतिशय जलद आहे. पुल ऑपरेशनला गती देण्यासाठी GCR अनेक युक्त्या वापरते. तुम्ही बघू शकता, Go:onbuild वापरून डॉकर कंटेनर इमेज कंटेनर घालण्यासाठी, संगणकाच्या कार्यक्षमतेनुसार, 15 ते 48 सेकंद लागतील आणि लहान कंटेनरसह समान ऑपरेशन 14 ते 16 सेकंद लागतील आणि कमी उत्पादक मशीनसाठी. ऑपरेशन गतीचा फायदा 3 पटीने वाढतो. मोठ्या मशीनसाठी, वेळ सारखाच आहे, कारण GCR प्रतिमांच्या सामायिक डेटाबेससाठी जागतिक कॅशे वापरते, म्हणजे तुम्हाला ते लोड करण्याची आवश्यकता नाही. कमी-शक्तीच्या संगणकात, CPU हा अडथळा आहे, म्हणून लहान कंटेनर वापरण्याचा फायदा येथे जास्त आहे.

तुम्ही GCR वापरत असल्यास, मी तुमच्या बिल्ड सिस्टमचा भाग म्हणून Google Container Builder (GCB) वापरण्याची शिफारस करतो.

तुम्ही बघू शकता, त्याचा वापर तुम्हाला उत्पादनक्षम मशीनपेक्षा बिल्ड+पुश ऑपरेशनचा कालावधी कमी करण्यात अधिक चांगले परिणाम प्राप्त करण्यास अनुमती देतो - या प्रकरणात, होस्टला कंटेनर तयार करण्याची आणि पाठवण्याची प्रक्रिया जवळजवळ 2 पटीने वेगवान होते. . शिवाय, तुम्हाला दररोज 120 मोफत बिल्ड मिनिटे मिळतात, ज्यात तुमच्या कंटेनर बिल्डिंगच्या गरजा भागवल्या जातात.

पुढे सर्वात महत्वाचे कार्यप्रदर्शन मेट्रिक येते - पुल कंटेनर पुनर्प्राप्त करण्याचा किंवा डाउनलोड करण्याचा वेग. आणि जर तुम्ही पुश ऑपरेशनवर घालवलेल्या वेळेची फारशी काळजी करत नसाल, तर पुल प्रक्रियेच्या लांबीचा संपूर्ण प्रणालीच्या कार्यक्षमतेवर गंभीर परिणाम होतो. समजा तुमच्याकडे तीन नोड्सचा क्लस्टर आहे आणि त्यापैकी एक अयशस्वी झाला. जर तुम्ही Google Kubernetes Engine सारखी व्यवस्थापन प्रणाली वापरत असाल, तर ते आपोआप मृत नोडला नवीनसह बदलेल. तथापि, हा नवीन नोड पूर्णपणे रिकामा असेल आणि काम सुरू करण्यासाठी तुम्हाला तुमचे सर्व कंटेनर त्यात ड्रॅग करावे लागतील. पुल ऑपरेशनला पुरेसा वेळ लागल्यास, तुमचे क्लस्टर संपूर्ण वेळ कमी कामगिरीवर चालेल.

अशी अनेक प्रकरणे आहेत जिथे हे घडू शकते: क्लस्टरमध्ये नवीन नोड जोडणे, नोड अपग्रेड करणे किंवा तैनात करण्यासाठी नवीन कंटेनरवर स्विच करणे. अशा प्रकारे, पुल काढण्याचा वेळ कमी करणे हा एक महत्त्वाचा घटक बनतो. हे निर्विवाद आहे की एक लहान कंटेनर मोठ्या कंटेनरपेक्षा खूप वेगाने डाउनलोड होतो. तुम्ही कुबर्नेट्स क्लस्टरमध्ये अनेक कंटेनर चालवत असल्यास, वेळेची बचत लक्षणीय असू शकते.

या तुलनेकडे एक नजर टाका: गो:ऑनबिल्ड वापरून त्याच ऑपरेशनपेक्षा लहान कंटेनरवरील पुल ऑपरेशनला मशीनच्या शक्तीनुसार 4-9 पट कमी वेळ लागतो. सामायिक केलेल्या, लहान कंटेनर बेस प्रतिमांचा वापर केल्याने नवीन कुबर्नेट्स नोड्स तैनात केले जाऊ शकतात आणि ऑनलाइन येऊ शकतात त्या वेळेस आणि गतीमध्ये लक्षणीय वाढ होते.

सुरक्षेचा मुद्दा पाहू. लहान कंटेनर मोठ्या कंटेनर्सपेक्षा जास्त सुरक्षित मानले जातात कारण त्यांच्याकडे लहान आक्रमण पृष्ठभाग आहे. खरंच आहे का? Google कंटेनर नोंदणीच्या सर्वात उपयुक्त वैशिष्ट्यांपैकी एक म्हणजे असुरक्षिततेसाठी आपले कंटेनर स्वयंचलितपणे स्कॅन करण्याची क्षमता. काही महिन्यांपूर्वी मी ऑनबिल्ड आणि मल्टीस्टेज कंटेनर दोन्ही तयार केले आहेत, त्यामुळे तेथे काही भेद्यता आहेत का ते पाहू या.

परिणाम आश्चर्यकारक आहे: एका लहान कंटेनरमध्ये फक्त 3 मध्यम असुरक्षा आढळल्या आणि मोठ्या कंटेनरमध्ये 16 गंभीर आणि 376 इतर भेद्यता आढळल्या. आम्ही मोठ्या कंटेनरमधील सामग्री पाहिल्यास, आम्ही पाहू शकतो की बहुतेक सुरक्षा समस्यांचा आमच्या अनुप्रयोगाशी काहीही संबंध नाही, परंतु आम्ही वापरत नसलेल्या प्रोग्रामशी संबंधित आहेत. म्हणून जेव्हा लोक मोठ्या आक्रमणाच्या पृष्ठभागाबद्दल बोलतात तेव्हा त्यांचा अर्थ असा होतो.

टेकअवे स्पष्ट आहे: लहान कंटेनर तयार करा कारण ते तुमच्या सिस्टमला वास्तविक कार्यप्रदर्शन आणि सुरक्षितता लाभ देतात.

Kubernetes सर्वोत्तम पद्धती. नेमस्पेससह कुबर्नेट्सची संस्था

काही जाहिराती 🙂

आमच्यासोबत राहिल्याबद्दल धन्यवाद. तुम्हाला आमचे लेख आवडतात का? अधिक मनोरंजक सामग्री पाहू इच्छिता? ऑर्डर देऊन किंवा मित्रांना शिफारस करून आम्हाला समर्थन द्या, $4.99 पासून विकसकांसाठी क्लाउड VPS, एंट्री-लेव्हल सर्व्हरचे एक अद्वितीय अॅनालॉग, जे तुमच्यासाठी आमच्याद्वारे शोधले गेले आहे: VPS (KVM) E5-2697 v3 (6 Cores) 10GB DDR4 480GB SSD 1Gbps बद्दल संपूर्ण सत्य $19 पासून किंवा सर्व्हर कसा शेअर करायचा? (RAID1 आणि RAID10 सह उपलब्ध, 24 कोर पर्यंत आणि 40GB DDR4 पर्यंत).

डेल R730xd ऍमस्टरडॅममधील इक्विनिक्स टियर IV डेटा सेंटरमध्ये 2 पट स्वस्त? फक्त इथेच 2 x इंटेल टेट्राडेका-कोर Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 टीव्ही $199 पासून नेदरलँड मध्ये! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 पासून! बद्दल वाचा इन्फ्रास्ट्रक्चर कॉर्पोरेशन कसे तयार करावे. डेल R730xd E5-2650 v4 सर्व्हरचा वापर करून 9000 युरो किमतीचा वर्ग?

स्त्रोत: www.habr.com