🥇 Kubernetes YAML သည် အကောင်းဆုံးအလေ့အကျင့်များနှင့် မူဝါဒများ

မှတ်ချက်။ ဘာသာပြန်− K8s ပတ်ဝန်းကျင်များအတွက် YAML ဖွဲ့စည်းမှုပုံစံများ တိုးပွားလာသည်နှင့်အမျှ၊ ၎င်းတို့၏ အလိုအလျောက် အတည်ပြုခြင်းအတွက် လိုအပ်မှုမှာ ပို၍ အရေးကြီးလာသည်။ ဤသုံးသပ်ချက်ကို ရေးသားသူသည် ဤလုပ်ငန်းအတွက် ရှိပြီးသား ဖြေရှင်းချက်များကို ရွေးချယ်ရုံသာမက ၎င်းတို့ မည်သို့လုပ်ဆောင်သည်ကို ကြည့်ရှုရန် ဖြန့်ကျက်မှုကို နမူနာအဖြစ်လည်း အသုံးပြုခဲ့သည်။ ဤအကြောင်းအရာကို စိတ်ဝင်စားသူများအတွက် အလွန်အသိဥာဏ်ကောင်းလာပါသည်။

TL; DR: ဤဆောင်းပါးသည် Kubernetes YAML ဖိုင်များကို အကောင်းဆုံးအလေ့အကျင့်များနှင့် လိုအပ်ချက်များနှင့် ယှဉ်တွဲ၍ အတည်ပြုပြီး အကဲဖြတ်ရန် static tools ခြောက်ခုကို နှိုင်းယှဉ်ထားသည်။

Kubernetes အလုပ်တာဝန်များကို ပုံမှန်အားဖြင့် YAML စာရွက်စာတမ်းပုံစံဖြင့် သတ်မှတ်သည်။ YAML ၏ပြဿနာများထဲမှတစ်ခုမှာ manifest ဖိုင်များကြားတွင် ကန့်သတ်ချက်များ သို့မဟုတ် ဆက်ဆံရေးများကို သတ်မှတ်ရန်အခက်အခဲဖြစ်သည်။

အစုအဝေးသို့ ဖြန့်ကျက်ထားသော ပုံများအားလုံးသည် ယုံကြည်စိတ်ချရသော မှတ်ပုံတင်ခြင်းမှ လာကြောင်း သေချာစေရန် လိုအပ်ပါက၊

PodDisruptionBudgets မပါသော ဖြန့်ကျက်မှုများကို အစုအဝေးသို့ ပေးပို့ခြင်းမှ မည်သို့တားဆီးနိုင်မည်နည်း။

တည်ငြိမ်စမ်းသပ်ခြင်း၏ပေါင်းစပ်ခြင်းသည် ဖွံ့ဖြိုးတိုးတက်မှုအဆင့်တွင် အမှားအယွင်းများနှင့် မူဝါဒချိုးဖောက်မှုများကို ဖော်ထုတ်နိုင်စေပါသည်။ ၎င်းသည် အရင်းအမြစ်ဆိုင်ရာ အဓိပ္ပါယ်ဖွင့်ဆိုချက်များသည် မှန်ကန်ပြီး လုံခြုံကြောင်း အာမခံချက် တိုးလာစေပြီး ထုတ်လုပ်မှုအလုပ်များသည် အကောင်းဆုံးအလေ့အကျင့်များကို လိုက်နာနိုင်ခြေပိုများစေသည်။

Kubernetes static YAML ဖိုင်စစ်ဆေးခြင်းဂေဟစနစ်အား အောက်ပါအမျိုးအစားများ ခွဲခြားနိုင်သည်-

API အတည်ပြုသူများ. ဤအမျိုးအစားရှိ တူးလ်များသည် Kubernetes API ဆာဗာ၏လိုအပ်ချက်များနှင့် YAML မန်နီးဖက်စ်ကို စစ်ဆေးပါ။
အဆင်သင့် စမ်းသပ်သူများ. ဤအမျိုးအစားမှ ကိရိယာများသည် လုံခြုံရေးအတွက် အဆင်သင့်လုပ်ထားသော စမ်းသပ်မှုများ၊ အကောင်းဆုံးအလေ့အကျင့်များနှင့် လိုက်နာမှုစသည်ဖြင့် လာပါသည်။
စိတ်ကြိုက်စစ်ဆေးသူများ. ဤအမျိုးအစား၏ ကိုယ်စားလှယ်များသည် သင့်အား ဘာသာစကားအမျိုးမျိုးဖြင့် စိတ်ကြိုက်စမ်းသပ်မှုများကို ဖန်တီးနိုင်သည် ဥပမာ Rego နှင့် Javascript။

ဤဆောင်းပါးတွင် မတူညီသော ကိရိယာခြောက်ခုကို နှိုင်းယှဉ်ဖော်ပြပါမည်။

kubeval;
kube-ရမှတ်;
config-lint;
ကြေးနီ;
ပြိုင်ဆိုင်မှု;
Polaris ။

ကဲ စလိုက်ကြရအောင်။

ဖြန့်ကျက်စစ်ဆေးခြင်း။

ကိရိယာများကို ကျွန်ုပ်တို့ မနှိုင်းယှဉ်မီ ၎င်းတို့ကို စမ်းသပ်ရန် နောက်ခံအချို့ကို ဖန်တီးကြပါစို့။

အောက်ဖော်ပြပါ စာစောင်တွင် အကောင်းဆုံးအလေ့အကျင့်များနှင့် မလိုက်နာသော အမှားအယွင်းများစွာပါရှိသည်- ၎င်းတို့ထဲမှ မည်မျှကို သင်ရှာတွေ့နိုင်မည်နည်း။

apiVersion: apps/v1
kind: Deployment
metadata:
  name: http-echo
spec:
  replicas: 2
  selector:
    matchLabels:
      app: http-echo
  template:
    metadata:
      labels:
        app: http-echo
    spec:
      containers:
      - name: http-echo
        image: hashicorp/http-echo
        args: ["-text", "hello-world"]
        ports:
        - containerPort: 5678
---
apiVersion: v1
kind: Service
metadata:
  name: http-echo
spec:
  ports:
  - port: 5678
    protocol: TCP
    targetPort: 5678
  selector:
    app: http-echo

(base-valid.yaml)

မတူညီသောကိရိယာများကို နှိုင်းယှဉ်ရန် ဤ YAML ကို အသုံးပြုပါမည်။

အထက်ပါဖော်ပြချက် base-valid.yaml နှင့် ဤဆောင်းပါးမှ အခြားဖော်ပြချက်များအား တွင်တွေ့နိုင်ပါသည်။ Git သိုလှောင်မှုများ.

မန်နီးဖက်စ်သည် ဆိပ်ကမ်း 5678 သို့ “Hello World” မက်ဆေ့ဂျ်ဖြင့် တုံ့ပြန်ရန် အဓိကလုပ်ဆောင်ရမည့် ဝဘ်အပလီကေးရှင်းကို ဖော်ပြသည်။ ၎င်းကို အောက်ပါ command ဖြင့် အသုံးပြုနိုင်သည်။

kubectl apply -f hello-world.yaml

ထို့ကြောင့် - အလုပ်အားစစ်ဆေးပါ။

kubectl port-forward svc/http-echo 8080:5678

အခု သွားလိုက်ပါ။ http://localhost:8080 နှင့် လျှောက်လွှာသည် အလုပ်လုပ်နေကြောင်း အတည်ပြုပါ။ ဒါပေမယ့် အကောင်းဆုံးအလေ့အကျင့်တွေကို လိုက်နာပါသလား။ စစ်ဆေးကြည့်ရအောင်။

1. Kubeval

စိတျနှလုံးအမှာ kubeval အယူအဆမှာ Kubernetes နှင့် မည်သည့်တုံ့ပြန်မှုမဆို ၎င်း၏ REST API မှတဆင့် ဖြစ်ပေါ်သည်။ တစ်နည်းဆိုရသော်၊ ပေးထားသော YAML သည် ၎င်းနှင့်ကိုက်ညီမှုရှိမရှိ စစ်ဆေးရန် API schema ကိုသုံးနိုင်သည်။ ဥပမာတစ်ခုကိုကြည့်ရအောင်။

တပ်ဆင်ခြင်းလမ်းညွှန်ချက်များ kubeval ကို ပရောဂျက် ဝဘ်ဆိုဒ်တွင် ရရှိနိုင်ပါသည်။

မူရင်းဆောင်းပါးကိုရေးနေစဉ်တွင် ဗားရှင်း 0.15.0 ကို ရရှိနိုင်ပါသည်။

ထည့်သွင်းပြီးသည်နှင့် အထက်ဖော်ပြပါ မန်နီးဖက်စ်ကို ကျွေးကြပါစို့-

$ kubeval base-valid.yaml
PASS - base-valid.yaml contains a valid Deployment (http-echo)
PASS - base-valid.yaml contains a valid Service (http-echo)

အောင်မြင်ပါက kubeval သည် exit code 0 ဖြင့် ထွက်ပါမည်။ ၎င်းကို အောက်ပါအတိုင်း စစ်ဆေးနိုင်ပါသည်။

$ echo $?
0

ကွဲပြားသော manifest ဖြင့် Kubeval ကို ယခုစမ်းကြည့်ကြပါစို့။

apiVersion: apps/v1
kind: Deployment
metadata:
  name: http-echo
spec:
  replicas: 2
  template:
    metadata:
      labels:
        app: http-echo
    spec:
      containers:
      - name: http-echo
        image: hashicorp/http-echo
        args: ["-text", "hello-world"]
        ports:
        - containerPort: 5678
---
apiVersion: v1
kind: Service
metadata:
  name: http-echo
spec:
  ports:
  - port: 5678
    protocol: TCP
    targetPort: 5678
  selector:
    app: http-echo

(kubeval-invalid.yaml)

ပြဿနာကို မျက်လုံးနဲ့ ကြည့်နိုင်သလား။ စတင်လိုက်ရအောင်-

$ kubeval kubeval-invalid.yaml
WARN - kubeval-invalid.yaml contains an invalid Deployment (http-echo) - selector: selector is required
PASS - kubeval-invalid.yaml contains a valid Service (http-echo)

# проверим код возврата
$ echo $?
1

အရင်းအမြစ်ကို အတည်မပြုရသေးပါ။

API ဗားရှင်းကို အသုံးပြု၍ ဖြန့်ကျက်မှုများ apps/v1၊ pod ၏အညွှန်းနှင့်ကိုက်ညီသောရွေးချယ်ရေးကိရိယာတစ်ခုပါဝင်ရမည်။ အထက်ဖော်ပြပါ မန်နီးဖက်စ်တွင် ရွေးချယ်ပေးသူ မပါဝင်သောကြောင့် kubeval သည် အမှားအယွင်းတစ်ခုကို သတင်းပို့ပြီး သုညမဟုတ်သောကုဒ်ဖြင့် ထွက်ခဲ့သည်။

လုပ်ရင် ဘာဖြစ်မလဲလို့ တွေးမိတယ်။ kubectl apply -f ဤဖော်ပြချက်နှင့်အတူ?

ကောင်းပြီ၊ စမ်းကြည့်ရအောင်-

$ kubectl apply -f kubeval-invalid.yaml
error: error validating "kubeval-invalid.yaml": error validating data: ValidationError(Deployment.spec):
missing required field "selector" in io.k8s.api.apps.v1.DeploymentSpec; if you choose to ignore these errors,
turn validation off with --validate=false

ဒါက Kubeval သတိပေးထားတဲ့ အမှားအမှန်ပါပဲ။ ရွေးချယ်မှုတစ်ခုထည့်ခြင်းဖြင့် ၎င်းကို သင်ပြင်နိုင်သည်-

apiVersion: apps/v1
kind: Deployment
metadata:
  name: http-echo
spec:
  replicas: 2
  selector:          # !!!
    matchLabels:     # !!!
      app: http-echo # !!!
  template:
    metadata:
      labels:
        app: http-echo
    spec:
      containers:
      - name: http-echo
        image: hashicorp/http-echo
        args: ["-text", "hello-world"]
        ports:
        - containerPort: 5678
---
apiVersion: v1
kind: Service
metadata:
  name: http-echo
spec:
  ports:
  - port: 5678
    protocol: TCP
    targetPort: 5678
  selector:
    app: http-echo

(base-valid.yaml)

Kubeval ကဲ့သို့သော ကိရိယာများ၏ အကျိုးကျေးဇူးမှာ ဤကဲ့သို့သော အမှားများကို ဖြန့်ကျက်ခြင်းစက်ဝန်းတွင် စောစီးစွာ ဖမ်းမိနိုင်ခြင်းဖြစ်သည်။

ထို့အပြင်၊ ဤစစ်ဆေးမှုများသည် အစုအဝေးသို့ဝင်ရောက်ခွင့်မလိုအပ်ပါ၊ ၎င်းတို့ကို အော့ဖ်လိုင်းလုပ်ဆောင်နိုင်ပါသည်။

မူရင်းအားဖြင့် kubeval သည် နောက်ဆုံးထွက် Kubernetes API schema နှင့် အရင်းအမြစ်များကို စစ်ဆေးသည်။ သို့သော်လည်း၊ ကိစ္စအများစုတွင် သင်သည် သီးခြား Kubernetes ထုတ်ဝေမှုကို စစ်ဆေးရန် လိုအပ်နိုင်သည်။ အလံကို အသုံးပြု၍ လုပ်ဆောင်နိုင်သည်။ --kubernetes-version:

$ kubeval --kubernetes-version 1.16.1 base-valid.yaml

ဗားရှင်းကို ဖော်မတ်ဖြင့် သတ်မှတ်ထားကြောင်း ကျေးဇူးပြု၍ သတိပြုပါ။ Major.Minor.Patch.

အတည်ပြုခြင်းကို ပံ့ပိုးပေးထားသည့် ဗားရှင်းများစာရင်းအတွက်၊ ကျေးဇူးပြု၍ ဖတ်ရှုပါ။ GitHub ရှိ JSON အစီအစဉ်အတည်ပြုရန်အတွက် kubeval ကိုအသုံးပြုသည်။ kubeval အော့ဖ်လိုင်းသုံးရန် လိုအပ်ပါက၊ schemas များကို ဒေါင်းလုဒ်လုပ်ပြီး အလံကို အသုံးပြု၍ ၎င်းတို့၏ ဒေသတည်နေရာကို သတ်မှတ်ပါ။ --schema-location.

တစ်ဦးချင်းစီ YAML ဖိုင်များအပြင် kubeval သည် လမ်းညွှန်များနှင့် stdin တို့နှင့်လည်း လုပ်ဆောင်နိုင်သည်။

ထို့အပြင် Kubeval သည် CI ပိုက်လိုင်းသို့ အလွယ်တကူ ပေါင်းစပ်နိုင်သည်။ အစုအဝေးသို့ မန်နီးဖက်စ်များ မပို့မီ စမ်းသပ်မှုများ လုပ်ဆောင်လိုသူများသည် Kubeval သည် အထွက်ဖော်မတ်သုံးခုကို ပံ့ပိုးပေးကြောင်း သိရသဖြင့် ဝမ်းသာမိပါသည်။

ရိုးရိုးစာသား;
JSON;
Test Anything Protocol (TAP)။

နှင့် အလိုရှိသော အမျိုးအစား၏ ရလဒ်များ၏ အကျဉ်းချုပ်ကို ထုတ်လုပ်ရန် အထွက်၏ ထပ်ဆင့်ခွဲခြမ်းစိတ်ဖြာမှုအတွက် မည်သည့်ဖော်မတ်ကိုမဆို အသုံးပြုနိုင်သည်။

Kubeval ၏အားနည်းချက်များထဲမှတစ်ခုမှာ Custom Resource Definitions (CRDs) နှင့် လိုက်လျောညီထွေရှိမှုကို လတ်တလောစစ်ဆေးနိုင်ခြင်းမရှိပါ။ သို့သော် kubeval ကို configure လုပ်နိုင်သည်။ သူတို့ကို လျစ်လျူရှုပါ။.

Kubeval သည် အရင်းအမြစ်များကို စစ်ဆေးခြင်းနှင့် အကဲဖြတ်ခြင်းအတွက် ကောင်းမွန်သောကိရိယာတစ်ခုဖြစ်သည်။ သို့ရာတွင်၊ အရင်းအမြစ်သည် အကောင်းဆုံးအလေ့အကျင့်များနှင့် ကိုက်ညီကြောင်း အာမခံချက်မပေးကြောင်း စစ်ဆေးမှုအောင်မြင်ကြောင်း အလေးထားသင့်သည်။

ဥပမာအားဖြင့် tag ကိုအသုံးပြုပါ။ latest ကွန်တိန်နာထဲတွင် အကောင်းဆုံးအလေ့အကျင့်များကို မလိုက်နာပါ။ သို့သော်လည်း Kubeval သည် ၎င်းကို အမှားတစ်ခုဟု မယူဆဘဲ ၎င်းကို သတင်းပို့ခြင်းမရှိပေ။ ဆိုလိုသည်မှာ၊ ထိုသို့သော YAML ၏အတည်ပြုခြင်းသည်သတိပေးချက်မရှိဘဲပြီးဆုံးလိမ့်မည်။

သို့သော် YAML ကို အကဲဖြတ်ပြီး tag ကဲ့သို့ ချိုးဖောက်မှုများကို ခွဲခြားသတ်မှတ်လိုပါက အဘယ်နည်း latest? အကောင်းဆုံးအလေ့အကျင့်များနှင့် ပတ်သက်၍ YAML ဖိုင်ကို မည်သို့စစ်ဆေးရမည်နည်း။

2. Kube-ရမှတ်

Kube-ရမှတ် YAML သည် ဖော်ပြချက်များကို ပိုင်းခြားစိတ်ဖြာပြီး ၎င်းတို့အား ထည့်သွင်းထားသော စမ်းသပ်မှုများနှင့် အကဲဖြတ်သည်။ ဤစမ်းသပ်မှုများကို လုံခြုံရေးလမ်းညွှန်ချက်များနှင့် အကောင်းဆုံးအလေ့အကျင့်များအပေါ် အခြေခံ၍ ရွေးချယ်ထားသည်၊

ကွန်တိန်နာကို root အနေဖြင့်လုပ်ဆောင်ခြင်းမဟုတ်ပါ။
ဘူးသီးကျန်းမာရေးစစ်ဆေးမှုများ ရရှိနိုင်ခြင်း။
အရင်းအမြစ်များအတွက် တောင်းဆိုမှုများနှင့် ကန့်သတ်ချက်များကို သတ်မှတ်ခြင်း။

စမ်းသပ်မှုရလဒ်များကို အခြေခံ၍ ရလဒ်သုံးခုကိုပေးသည်- OK, သတိပေးချက် и ဝေဖန်ချက်.

Kube-score အွန်လိုင်းတွင် စမ်းသုံးနိုင်သည် သို့မဟုတ် ၎င်းကို စက်တွင်း၌ ထည့်သွင်းနိုင်သည်။

မူရင်းဆောင်းပါးကို ရေးသားချိန်တွင် Kube-score ၏ နောက်ဆုံးဗားရှင်းမှာ 1.7.0 ဖြစ်သည်။

ကျွန်ုပ်တို့၏ manifest တွင် ၎င်းကို စမ်းကြည့်ကြပါစို့ base-valid.yaml:

$ kube-score score base-valid.yaml

apps/v1/Deployment http-echo
[CRITICAL] Container Image Tag
  · http-echo -> Image with latest tag
      Using a fixed tag is recommended to avoid accidental upgrades
[CRITICAL] Pod NetworkPolicy
  · The pod does not have a matching network policy
      Create a NetworkPolicy that targets this pod
[CRITICAL] Pod Probes
  · Container is missing a readinessProbe
      A readinessProbe should be used to indicate when the service is ready to receive traffic.
      Without it, the Pod is risking to receive traffic before it has booted. It is also used during
      rollouts, and can prevent downtime if a new version of the application is failing.
      More information: https://github.com/zegl/kube-score/blob/master/README_PROBES.md
[CRITICAL] Container Security Context
  · http-echo -> Container has no configured security context
      Set securityContext to run the container in a more secure context.
[CRITICAL] Container Resources
  · http-echo -> CPU limit is not set
      Resource limits are recommended to avoid resource DDOS. Set resources.limits.cpu
  · http-echo -> Memory limit is not set
      Resource limits are recommended to avoid resource DDOS. Set resources.limits.memory
  · http-echo -> CPU request is not set
      Resource requests are recommended to make sure that the application can start and run without
      crashing. Set resources.requests.cpu
  · http-echo -> Memory request is not set
      Resource requests are recommended to make sure that the application can start and run without crashing.
      Set resources.requests.memory
[CRITICAL] Deployment has PodDisruptionBudget
  · No matching PodDisruptionBudget was found
      It is recommended to define a PodDisruptionBudget to avoid unexpected downtime during Kubernetes
      maintenance operations, such as when draining a node.
[WARNING] Deployment has host PodAntiAffinity
  · Deployment does not have a host podAntiAffinity set
      It is recommended to set a podAntiAffinity that stops multiple pods from a deployment from
      being scheduled on the same node. This increases availability in case the node becomes unavailable.

YAML သည် kubeval စာမေးပွဲများကို ကျော်ဖြတ်ပြီး kube-score သည် အောက်ပါချို့ယွင်းချက်များကို ထောက်ပြသည်။

အဆင်သင့်စစ်ဆေးမှုများကို ပြုပြင်မထားပါ။
CPU အရင်းအမြစ်များနှင့် မှတ်ဉာဏ်အတွက် တောင်းဆိုမှုများ သို့မဟုတ် ကန့်သတ်ချက်များမရှိပါ။
Pod အနှောင့်အယှက် ဘတ်ဂျက်များကို သတ်မှတ်မထားပါ။
ခွဲထွက်ခြင်းဆိုင်ရာ စည်းမျဉ်းများ မရှိပါ။ (ဆန့်ကျင်ဖက်ဆက်ဆံရေး) ရရှိနိုင်မှုအများဆုံးရရှိရန်။
ကွန်တိန်နာသည် root အဖြစ်အလုပ်လုပ်သည်။

ဤအရာများသည် ဖြန့်ကျက်မှု ပိုမိုထိရောက်ပြီး ယုံကြည်စိတ်ချရစေရန် ကိုင်တွယ်ဖြေရှင်းရန် လိုအပ်သော ချို့ယွင်းချက်များနှင့် ပတ်သက်၍ မှန်ကန်သောအချက်များဖြစ်သည်။

အဖွဲ့ kube-score အမျိုးအစား ချိုးဖောက်မှုများ အပါအဝင် အချက်အလက်အားလုံးကို လူသားဖတ်နိုင်သော ပုံစံဖြင့် ပြသသည်။ သတိပေးချက် и ဝေဖန်ချက်ဖွံ့ ဖြိုးတိုးတက်မှုအတွက် များစွာအထောက်အကူဖြစ်စေသော၊

CI ပိုက်လိုင်းအတွင်း ဤကိရိယာကို အသုံးပြုလိုသူများသည် အလံကို အသုံးပြု၍ ပိုမိုချုံ့ထားသော အထွက်ကို ဖွင့်နိုင်သည်။ --output-format ci (ဤကိစ္စတွင်၊ ရလဒ်နှင့်အတူစမ်းသပ်မှုများကိုလည်းပြသသည်။ OK):

$ kube-score score base-valid.yaml --output-format ci

[OK] http-echo apps/v1/Deployment
[OK] http-echo apps/v1/Deployment
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) CPU limit is not set
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) Memory limit is not set
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) CPU request is not set
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) Memory request is not set
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) Image with latest tag
[OK] http-echo apps/v1/Deployment
[CRITICAL] http-echo apps/v1/Deployment: The pod does not have a matching network policy
[CRITICAL] http-echo apps/v1/Deployment: Container is missing a readinessProbe
[CRITICAL] http-echo apps/v1/Deployment: (http-echo) Container has no configured security context
[CRITICAL] http-echo apps/v1/Deployment: No matching PodDisruptionBudget was found
[WARNING] http-echo apps/v1/Deployment: Deployment does not have a host podAntiAffinity set
[OK] http-echo v1/Service
[OK] http-echo v1/Service
[OK] http-echo v1/Service
[OK] http-echo v1/Service

kubeval နှင့်ဆင်တူသည်၊ စာမေးပွဲမအောင်မြင်သောအခါ kube-score သည် သုညမဟုတ်သော ထွက်ပေါက်ကုဒ်ကို ပြန်ပေးသည် ဝေဖန်ချက်. အလားတူလုပ်ဆောင်မှုကိုလည်း သင်ဖွင့်နိုင်သည်။ သတိပေးချက်.

ထို့အပြင်၊ ကွဲပြားခြားနားသော API ဗားရှင်းများ ( kubeval ကဲ့သို့) နှင့်လိုက်လျောညီထွေရှိရန်အရင်းအမြစ်များကိုစစ်ဆေးနိုင်သည်။ သို့သော်၊ ဤအချက်အလက်ကို kube-score ကိုယ်တိုင်၌ hardcode လုပ်ထားပါသည်- Kubernetes ၏ အခြားဗားရှင်းကို သင်ရွေးချယ်၍မရပါ။ သင်၏ အစုအဝေးကို အဆင့်မြှင့်ရန် ရည်ရွယ်ထားလျှင် သို့မဟုတ် သင့်တွင် K8s ဗားရှင်းအမျိုးမျိုးရှိသည့် အစုအဝေးများစွာရှိလျှင် ဤကန့်သတ်ချက်သည် ပြဿနာကြီးတစ်ခု ဖြစ်လာနိုင်သည်။

မှတ်ရန် ပြဿနာရှိနေပြီ။ ဒီအခွင့်အရေးကို အကောင်အထည်ဖော်ဖို့ အဆိုပြုချက်တစ်ခုပါ။

kube-score ၏ နောက်ထပ်အချက်အလက်များကို တွင် ကြည့်ရှုနိုင်ပါသည်။ တရားဝင်ဝက်ဘ်ဆိုက်.

Kube-score စမ်းသပ်မှုများသည် အကောင်းဆုံးအလေ့အကျင့်များကို အကောင်အထည်ဖော်ရန်အတွက် ကောင်းမွန်သောကိရိယာတစ်ခုဖြစ်သည်၊ သို့သော် သင်သည် စာမေးပွဲတွင် အပြောင်းအလဲများပြုလုပ်ရန် သို့မဟုတ် သင့်ကိုယ်ပိုင်စည်းမျဉ်းများကို ထည့်သွင်းပါက အဘယ်နည်း။ သြော် ဒါက မလုပ်နိုင်ဘူး။

Kube-ရမှတ်ကို တိုးချဲ့၍မရနိုင်ပါ- ၎င်းတွင် မူဝါဒများထည့်ခြင်း သို့မဟုတ် ၎င်းတို့ကို ချိန်ညှိ၍မရပါ။

ကုမ္ပဏီမူဝါဒများနှင့် ကိုက်ညီကြောင်း အတည်ပြုရန် စိတ်ကြိုက်စမ်းသပ်မှုများ ရေးရန်လိုအပ်ပါက၊ သင်သည် အောက်ပါကိရိယာလေးခုထဲမှ တစ်ခုကို အသုံးပြုနိုင်သည်- config-lint၊ copper၊ confest သို့မဟုတ် polaris။

3.Config-lint

Config-lint သည် YAML၊ JSON၊ Terraform၊ CSV ဖွဲ့စည်းမှုပုံစံဖိုင်များနှင့် Kubernetes မန်နီးဖက်စ်များကို တရားဝင်စစ်ဆေးရန်အတွက် ကိရိယာတစ်ခုဖြစ်သည်။

အသုံးပြု၍ တပ်ဆင်နိုင်ပါသည်။ ညွှန်ကြားချက်များ ပရောဂျက် website တွင်။

မူရင်းဆောင်းပါးရေးသားချိန်အထိ လက်ရှိထုတ်ဝေမှုသည် 1.5.0 ဖြစ်သည်။

Config-lint တွင် Kubernetes manifests များကို အတည်ပြုရန်အတွက် built-in စမ်းသပ်မှုများ မရှိပါ။

မည်သည့်စစ်ဆေးမှုများပြုလုပ်ရန် သင့်လျော်သော စည်းမျဉ်းများဖန်တီးရန် လိုအပ်ပါသည်။ ၎င်းတို့ကို YAML ဖိုင်များတွင် "rulesets" ဟုခေါ်သည် (စည်းကမ်းချက်များ)နှင့် အောက်ပါဖွဲ့စည်းပုံ ရှိသည်-

version: 1
description: Rules for Kubernetes spec files
type: Kubernetes
files:
  - "*.yaml"
rules:
   # список правил

(rule.yaml)

ပိုပြီး အနီးကပ် လေ့လာကြည့်ရအောင်။

လယ်ယာ type configuration config-lint အသုံးပြုမည့် အမျိုးအစားကို သတ်မှတ်သည်။ K8s အတွက်တော့ ဒါက ထင်ရှားပါတယ်။ အမြဲ Kubernetes.
လယ်ပြင်၌ files ဖိုင်များကိုယ်တိုင်အပြင်၊ သင်သည်လမ်းညွှန်တစ်ခုသတ်မှတ်နိုင်သည်။
လယ်ယာ rules အသုံးပြုသူ စမ်းသပ်မှုများကို သတ်မှတ်ရန် ရည်ရွယ်ပါသည်။

Deployment ရှိ ပုံများကို ယုံကြည်စိတ်ချရသော repository မှ အမြဲဒေါင်းလုဒ်လုပ်ထားကြောင်း သေချာစေလိုသည်ဆိုကြပါစို့။ my-company.com/myapp:1.0. ထိုသို့သောစစ်ဆေးမှုကိုလုပ်ဆောင်သည့် config-lint စည်းမျဉ်းသည် ဤကဲ့သို့ဖြစ်လိမ့်မည်-

- id: MY_DEPLOYMENT_IMAGE_TAG
  severity: FAILURE
  message: Deployment must use a valid image tag
  resource: Deployment
  assertions:
    - every:
        key: spec.template.spec.containers
        expressions:
          - key: image
            op: starts-with
            value: "my-company.com/"

(rule-trusted-repo.yaml)

စည်းမျဉ်းတစ်ခုစီတွင် အောက်ပါအရည်အချင်းများ ရှိရမည်-

id - စည်းမျဉ်း၏ထူးခြားသောသတ်မှတ်မှု;
severity - ဖြစ်နိုင်စရာ ပျက်ကွက်, သတိပေးချက် и NON_COMPLIANT;
message — စည်းမျဥ်းစည်းကမ်းကို ချိုးဖောက်ပါက၊ ဤစာကြောင်း၏ အကြောင်းအရာများကို ပြသမည်ဖြစ်သည်။
resource — ဤစည်းမျဉ်းကို ကျင့်သုံးသည့် အရင်းအမြစ်အမျိုးအစား၊
assertions — ဤအရင်းအမြစ်နှင့်စပ်လျဉ်း၍ အကဲဖြတ်မည့်အခြေအနေများစာရင်း။

အပေါ်က နည်းဥပဒေထဲမှာ assertion အမည်ရှိ every Deployment တွင် ကွန်တိန်နာများ အားလုံးကို စစ်ဆေးသည် (key: spec.templates.spec.containers) ယုံကြည်ရသော ပုံများကို သုံးပါ (ဆိုလိုသည်မှာ စသည်ဖြင့် my-company.com/).

စည်းကမ်းချက်အပြည့်အစုံမှာ အောက်ပါအတိုင်းဖြစ်သည်-

version: 1
description: Rules for Kubernetes spec files
type: Kubernetes
files:
  - "*.yaml"
rules:

 - id: DEPLOYMENT_IMAGE_REPOSITORY # !!!
    severity: FAILURE
    message: Deployment must use a valid image repository
    resource: Deployment
    assertions:
      - every:
          key: spec.template.spec.containers
          expressions:
            - key: image
              op: starts-with
              value: "my-company.com/"

(ruleset.yaml)

စမ်းသုံးကြည့်ရန်၊ ၎င်းကို သိမ်းဆည်းလိုက်ကြပါစို့ check_image_repo.yaml. ဖိုင်ကို စစ်ဆေးကြည့်ရအောင် base-valid.yaml:

$ config-lint -rules check_image_repo.yaml base-valid.yaml

[
  {
  "AssertionMessage": "Every expression fails: And expression fails: image does not start with my-company.com/",
  "Category": "",
  "CreatedAt": "2020-06-04T01:29:25Z",
  "Filename": "test-data/base-valid.yaml",
  "LineNumber": 0,
  "ResourceID": "http-echo",
  "ResourceType": "Deployment",
  "RuleID": "DEPLOYMENT_IMAGE_REPOSITORY",
  "RuleMessage": "Deployment must use a valid image repository",
  "Status": "FAILURE"
  }
]

စစ်ဆေးမှု မအောင်မြင်ပါ။ ယခု မှန်ကန်သော ရုပ်ပုံသိုလှောင်မှုဖြင့် အောက်ပါမန်နီးဖက်စ်ကို စစ်ဆေးကြည့်ကြပါစို့။

apiVersion: apps/v1
kind: Deployment
metadata:
  name: http-echo
spec:
  replicas: 2
  selector:
    matchLabels:
      app: http-echo
  template:
    metadata:
      labels:
        app: http-echo
    spec:
      containers:
      - name: http-echo
         image: my-company.com/http-echo:1.0 # !!!
         args: ["-text", "hello-world"]
         ports:
         - containerPort: 5678

(image-valid-mycompany.yaml)

အထက်ဖော်ပြပါ manifest ဖြင့် တူညီသောစမ်းသပ်မှုကို ကျွန်ုပ်တို့လုပ်ဆောင်ပါသည်။ ပြဿနာမတွေ့ပါ

$ config-lint -rules check_image_repo.yaml image-valid-mycompany.yaml
[]

Config-lint သည် YAML DSL ကို အသုံးပြု၍ Kubernetes YAML manifests များကို တရားဝင်အောင်ပြုလုပ်ရန် သင့်ကိုယ်ပိုင်စမ်းသပ်မှုများကို ဖန်တီးနိုင်စေမည့် အလားအလာရှိသော မူဘောင်တစ်ခုဖြစ်သည်။

ဒါပေမယ့် ပိုရှုပ်ထွေးတဲ့ ယုတ္တိဗေဒနဲ့ စမ်းသပ်မှုတွေ လိုအပ်ရင်ကော။ YAML သည် ဤအတွက် အကန့်အသတ်မရှိပါလား။ ပရိုဂရမ်းမင်းဘာသာစကား အပြည့်အစုံဖြင့် စမ်းသပ်မှုများကို ဖန်တီးနိုင်လျှင်ကော။

4. ကြေးနီ

ကြေးနီ V2 စိတ်ကြိုက်စမ်းသပ်မှုများ (config-lint နှင့်ဆင်တူသည်) ကိုအသုံးပြု၍ manifests များကိုအတည်ပြုခြင်းအတွက်ဘောင်တစ်ခုဖြစ်သည်။

သို့သော်၊ စာမေးပွဲများကိုဖော်ပြရန် YAML ကိုအသုံးမပြုသောကြောင့်၎င်းသည်နောက်ဆုံးနှင့်ကွဲပြားသည်။ စမ်းသပ်မှုများကို JavaScript အစား ရေးနိုင်သည်။ ကြေးနီသည် အခြေခံကိရိယာများစွာဖြင့် စာကြည့်တိုက်တစ်ခုကို ပံ့ပိုးပေးသည်။Kubernetes အရာဝတ္ထုများအကြောင်း အချက်အလက်များကို ဖတ်ရှုနိုင်ပြီး အမှားအယွင်းများကို သတင်းပို့ရန် ကူညီပေးသော၊

Copper တပ်ဆင်ခြင်းအတွက် အဆင့်များကို ကြည့်နိုင်ပါသည်။ တရားဝင်စာရွက်စာတမ်း.

2.0.1 သည် မူရင်းဆောင်းပါးကိုရေးသားချိန်တွင် ဤ utility ၏နောက်ဆုံးထွက်ရှိမှုဖြစ်သည်။

config-lint ကဲ့သို့ Copper တွင် built-in စမ်းသပ်မှုများမရှိပါ။ တစ်ခုရေးကြည့်ရအောင်။ ဖြန့်ကျက်မှုများကဲ့သို့ ယုံကြည်စိတ်ချရသော သိုလှောင်ရုံများမှ ကွန်တိန်နာပုံများကို သီးသန့်အသုံးပြုကြောင်း စစ်ဆေးပါစေ။ my-company.com.

ဖိုင်တစ်ခုဖန်တီးပါ။ check_image_repo.js အောက်ပါအကြောင်းအရာနှင့်အတူ

$$.forEach(function($){
    if ($.kind === 'Deployment') {
        $.spec.template.spec.containers.forEach(function(container) {
            var image = new DockerImage(container.image);
            if (image.registry.lastIndexOf('my-company.com/') != 0) {
                errors.add_error('no_company_repo',"Image " + $.metadata.name + " is not from my-company.com repo", 1)
            }
        });
    }
});

ယခုကျွန်ုပ်တို့၏သရုပ်ကိုစမ်းသပ်ရန် base-valid.yaml, command ကိုသုံးပါ။ copper validate:

$ copper validate --in=base-valid.yaml --validator=check_image_tag.js

Check no_company_repo failed with severity 1 due to Image http-echo is not from my-company.com repo
Validation failed

ကြေးနီ၏အကူအညီဖြင့် သင်သည် ပိုမိုရှုပ်ထွေးသောစမ်းသပ်မှုများကို လုပ်ဆောင်နိုင်သည် - ဥပမာအားဖြင့်၊ Ingress manifests တွင် domain names များကို စစ်ဆေးခြင်း သို့မဟုတ် အခွင့်ထူးခံမုဒ်တွင် လုပ်ဆောင်နေသော pod များကို ငြင်းပယ်ခြင်းဖြစ်သည်မှာ ရှင်းပါသည်။

Copper တွင် အမျိုးမျိုးသော အသုံးဝင်သော လုပ်ဆောင်ချက်များ ပါရှိသည်-

DockerImage သတ်မှတ်ထားသော input ဖိုင်ကိုဖတ်ပြီး အောက်ပါ attribute များဖြင့် အရာဝတ္ထုတစ်ခုကို ဖန်တီးသည်-
- name - ရုပ်ပုံ၊
- tag - image tag၊
- registry - ရုပ်ပုံမှတ်ပုံတင်ခြင်း၊
- registry_url - ပရိုတိုကော (https://) နှင့် image registry ၊
- fqin - ပုံ၏တည်နေရာအပြည့်အစုံ။
လုပ်ဆောင်ချက် findByName ပေးထားသောအမျိုးအစားတစ်ခုဖြင့် အရင်းအမြစ်တစ်ခုကို ရှာဖွေရန် ကူညီပေးသည် (kind) နှင့် အမည် (nameinput file မှ)။
လုပ်ဆောင်ချက် findByLabels သတ်မှတ်ထားသော အမျိုးအစားဖြင့် အရင်းအမြစ်ကို ရှာဖွေရန် ကူညီပေးသည် (kind) နှင့် တံဆိပ်များ (labels).

ရရှိနိုင်သောဝန်ဆောင်မှုလုပ်ဆောင်ချက်အားလုံးကို သင်ကြည့်ရှုနိုင်ပါသည်။ ဒီမှာ.

ပုံမှန်အားဖြင့် ၎င်းသည် ထည့်သွင်းထားသော YAML ဖိုင်တစ်ခုလုံးကို ကိန်းရှင်တစ်ခုအဖြစ် တင်ပါသည်။ $$ နှင့် scripting (jQuery အတွေ့အကြုံရှိသူများအတွက် အကျွမ်းတဝင်ရှိသော နည်းပညာတစ်ခု) ကို အသုံးပြုနိုင်သည်။

Copper ၏ အဓိကအားသာချက်မှာ သိသာထင်ရှားသည်- သင်သည် အထူးပြုဘာသာစကားကို ကျွမ်းကျင်ရန် မလိုအပ်ဘဲ၊ string interpolation၊ functions စသည်တို့ကဲ့သို့သော သင့်ကိုယ်ပိုင်စမ်းသပ်မှုများကို ဖန်တီးရန်အတွက် JavaScript အင်္ဂါရပ်များကို အသုံးပြုနိုင်သည်။

လက်ရှိ Copper ဗားရှင်းသည် ES5 မဟုတ်ဘဲ JavaScript အင်ဂျင်၏ ES6 ဗားရှင်းနှင့် အလုပ်လုပ်ကြောင်းကိုလည်း သတိပြုသင့်သည်။

အသေးစိတ်အချက်အလက်များကို တွင်ရယူနိုင်ပါသည်။ တရားဝင်ပရောဂျက်ဝက်ဘ်ဆိုက်.

သို့သော်၊ အကယ်၍ သင်သည် JavaScript ကို အမှန်တကယ် မကြိုက်ဘဲ မေးခွန်းများဖန်တီးခြင်းနှင့် မူဝါဒများကို ဖော်ပြခြင်းအတွက် အထူးဒီဇိုင်းထုတ်ထားသော ဘာသာစကားကို နှစ်သက်ပါက၊ confest ကို အာရုံစိုက်သင့်သည်။

5.Confest

Confest သည် configuration data ကို စမ်းသပ်ရန်အတွက် မူဘောင်တစ်ခုဖြစ်သည်။ Kubernetes manifests များကို စမ်းသပ်ခြင်း/အတည်ပြုခြင်းအတွက်လည်း သင့်လျော်ပါသည်။ စာမေးပွဲများကို အထူးပြုမေးမြန်းသောဘာသာစကားဖြင့် ဖော်ပြထားပါသည်။ Rego.

confest ကို အသုံးပြု၍ သင် install လုပ်နိုင်သည်။ ညွှန်ကြားချက်များပရောဂျက်ဝဘ်ဆိုဒ်တွင်ဖော်ပြထားသည်။

မူရင်းဆောင်းပါးကို ရေးသားချိန်တွင်၊ နောက်ဆုံးထွက်ဗားရှင်းမှာ 0.18.2 ဖြစ်သည်။

config-lint နှင့် copper ကဲ့သို့ပင်၊ confest သည် မည်သည့် built-in စမ်းသပ်မှုမှမပါဘဲ လာပါသည်။ ကျွန်ုပ်တို့၏ကိုယ်ပိုင်မူဝါဒကို စမ်းသုံးကြည့်ကြပါစို့။ ယခင်နမူနာများတွင်အတိုင်း၊ ကွန်တိန်နာပုံများကို ယုံကြည်စိတ်ချရသော အရင်းအမြစ်မှ ယူထားခြင်းရှိမရှိ စစ်ဆေးပါမည်။

လမ်းညွှန်တစ်ခုဖန်တီးပါ။ conftest-checksပြီးတော့ အဲဒီထဲမှာ ဖိုင်တစ်ခုရှိတယ်။ check_image_registry.rego အောက်ပါအကြောင်းအရာနှင့်အတူ

package main

deny[msg] {

  input.kind == "Deployment"
  image := input.spec.template.spec.containers[_].image
  not startswith(image, "my-company.com/")
  msg := sprintf("image '%v' doesn't come from my-company.com repository", [image])
}

ကဲ စမ်းသပ်ကြည့်ရအောင် base-valid.yaml ဖြတ်. conftest:

$ conftest test --policy ./conftest-checks base-valid.yaml

FAIL - base-valid.yaml - image 'hashicorp/http-echo' doesn't come from my-company.com repository
1 tests, 1 passed, 0 warnings, 1 failure

ပုံများသည် မယုံကြည်ရသော အရင်းအမြစ်မှ ဆင်းသက်လာသောကြောင့် စမ်းသပ်မှု မအောင်မြင်ပါ။

Rego ဖိုင်တွင် ကျွန်ုပ်တို့သည် block ကို သတ်မှတ်သည်။ deny. ၎င်း၏ အမှန်တရားကို ချိုးဖောက်သည်ဟု ယူဆပါသည်။ တုံးလာရင် deny အများအပြား၊ ပြိုင်ဆိုင်မှုများသည် ၎င်းတို့ကို တစ်ဦးနှင့်တစ်ဦး သီးခြားစီစစ်ဆေးပြီး မည်သည့်လုပ်ကွက်များ၏ အမှန်တရားကို ချိုးဖောက်မှုအဖြစ် သတ်မှတ်သည်။

ပုံသေထွက်ရှိမှုအပြင်၊ confest သည် JSON၊ TAP နှင့် ဇယားဖော်မတ်တို့ကို ပံ့ပိုးပေးသည် - ရှိပြီးသား CI ပိုက်လိုင်းထဲသို့ အစီရင်ခံစာများကို ထည့်သွင်းရန်လိုအပ်ပါက အလွန်အသုံးဝင်သောအင်္ဂါရပ်တစ်ခုဖြစ်သည်။ အလံကိုအသုံးပြု၍ လိုချင်သောပုံစံကို သင်သတ်မှတ်နိုင်သည်။ --output.

မူဝါဒများကို အမှားရှာရန် ပိုမိုလွယ်ကူစေရန်၊ ပြိုင်ပွဲတွင် အလံတစ်ခုရှိသည်။ --trace. ၎င်းသည် သတ်မှတ်ထားသောမူဝါဒဖိုင်များကို confest ခွဲခြမ်းစိတ်ဖြာပုံ၏ခြေရာကိုထုတ်ပေးသည်။

ပြိုင်ပွဲမူဝါဒများကို ရှေးဟောင်းပစ္စည်းများအဖြစ် OCI (Open Container Initiative) မှတ်ပုံတင်ခြင်းတွင် ထုတ်ဝေပြီး မျှဝေနိုင်ပါသည်။

ပညတ်တော်တို့ကို push и pull ရှေးဟောင်းပစ္စည်းကို ထုတ်ဝေရန် သို့မဟုတ် အဝေးထိန်းဌာနမှ ရှိပြီးသား ရှေးဟောင်းပစ္စည်းကို ပြန်လည်ရယူခွင့်ပြုပါ။ ပြည်တွင်း Docker မှတ်ပုံတင်ခြင်းတွင် ကျွန်ုပ်တို့ဖန်တီးထားသော မူဝါဒကို ထုတ်ဝေလိုက်ကြစို့ conftest push.

သင်၏ဒေသခံ Docker မှတ်ပုံတင်ခြင်းကို စတင်ပါ-

$ docker run -it --rm -p 5000:5000 registry

အခြား terminal တွင်၊ စောစောက သင်ဖန်တီးခဲ့သော လမ်းညွှန်သို့ သွားပါ။ conftest-checks အောက်ပါ command ကို run ပါ။

$ conftest push 127.0.0.1:5000/amitsaha/opa-bundle-example:latest

command အောင်မြင်ပါက၊ ဤကဲ့သို့သော မက်ဆေ့ချ်ကို တွေ့ရပါမည်။

2020/06/10 14:25:43 pushed bundle with digest: sha256:e9765f201364c1a8a182ca637bc88201db3417bacc091e7ef8211f6c2fd2609c

ယခု ယာယီလမ်းညွှန်တစ်ခုဖန်တီးပြီး ၎င်းတွင် command ကိုဖွင့်ပါ။ conftest pull. ယခင် command ဖြင့် ဖန်တီးထားသော package ကို ဒေါင်းလုဒ်လုပ်လိမ့်မည်-

$ cd $(mktemp -d)
$ conftest pull 127.0.0.1:5000/amitsaha/opa-bundle-example:latest

ယာယီလမ်းကြောင်းခွဲတစ်ခု ပေါ်လာပါမည်။ policyကျွန်ုပ်တို့၏ မူဝါဒဖိုင် ပါ၀င်သည်-

$ tree
.
└── policy
  └── check_image_registry.rego

စမ်းသပ်မှုများကို repository မှ တိုက်ရိုက်လုပ်ဆောင်နိုင်သည်-

$ conftest test --update 127.0.0.1:5000/amitsaha/opa-bundle-example:latest base-valid.yaml
..
FAIL - base-valid.yaml - image 'hashicorp/http-echo' doesn't come from my-company.com repository
2 tests, 1 passed, 0 warnings, 1 failure

ကံမကောင်းစွာဖြင့်၊ DockerHub ကို မပံ့ပိုးရသေးပါ။ ဒါကြောင့် သင်အသုံးပြုရင် ကံကောင်းတယ်လို့ ယူဆလိုက်ပါ။ Azure Container Registry (ACR) သို့မဟုတ် သင့်ကိုယ်ပိုင် မှတ်ပုံတင်ခြင်း။

Artifact ဖော်မတ်သည် တူသည်။ မူဝါဒအေးဂျင့်ပက်ကေ့ဂျ်များကိုဖွင့်ပါ။ ရှိပြီးသား OPA ပက်ကေ့ဂျ်များမှ စမ်းသပ်မှုများကို လုပ်ဆောင်ရန် confest ကို အသုံးပြုရန် ခွင့်ပြုသည့် (OPA)။

မူဝါဒမျှဝေခြင်းနှင့် ပြိုင်ဆိုင်မှု၏ အခြားအင်္ဂါရပ်များအကြောင်း ပိုမိုလေ့လာနိုင်ပါသည်။ တရားဝင်ပရောဂျက်ဝက်ဘ်ဆိုက်.

၆၅။ ဓူဝံ

ဒီဆောင်းပါးမှာ ဆွေးနွေးမယ့် နောက်ဆုံး tool ကတော့ Polaris. (သူ့ရဲ့ မနှစ်က ကြေငြာချက် ဘာသာပြန်ပြီးသား - အနီးစပ်ဆုံး ဘာသာပြန်)

ဓူဝံကို အစုအဝေးတစ်ခုတွင် ထည့်သွင်းနိုင်သည် သို့မဟုတ် အမိန့်ပေးစာကြောင်းမုဒ်တွင် အသုံးပြုနိုင်သည်။ သင်ခန့်မှန်းထားသည့်အတိုင်း၊ ၎င်းသည် Kubernetes manifests များကို တည်ငြိမ်စွာခွဲခြမ်းစိတ်ဖြာနိုင်စေပါသည်။

အမိန့်ပေးစာကြောင်းမုဒ်တွင် လုပ်ဆောင်နေချိန်တွင်၊ လုံခြုံရေးနှင့် အကောင်းဆုံးအလေ့အကျင့်များ ( kube-score နှင့် ဆင်တူသည်) ကဲ့သို့သော နယ်ပယ်များတွင် တပ်ဆင်ထားသော စမ်းသပ်မှုများကို ရရှိနိုင်သည်။ ထို့အပြင်၊ သင်သည်သင်၏ကိုယ်ပိုင်စမ်းသပ်မှုများ (config-lint၊ copper နှင့် confest ကဲ့သို့) ကိုဖန်တီးနိုင်သည်။

တစ်နည်းဆိုရသော်၊ Polaris သည် ကိရိယာ အမျိုးအစား နှစ်ခုစလုံး၏ အကျိုးကျေးဇူးများကို တပ်ဆင်ပြီး နှင့် စိတ်ကြိုက်စမ်းသပ်မှုများဖြင့် ပေါင်းစပ်ထားသည်။

အမိန့်ပေးစာကြောင်းမုဒ်တွင် Polaris ထည့်သွင်းရန်၊ အသုံးပြုပါ။ ပရောဂျက်ဝဘ်ဆိုဒ်တွင် ညွှန်ကြားချက်များ.

မူရင်းဆောင်းပါးကို ရေးသားနေချိန်တွင် ဗားရှင်း 1.0.3 ကို ရရှိနိုင်ပါသည်။

တပ်ဆင်မှုပြီးသွားသည်နှင့် သင်သည် manifest တွင် polaris ကို run နိုင်သည်။ base-valid.yaml အောက်ပါ command ဖြင့်

$ polaris audit --audit-path base-valid.yaml

၎င်းသည် စမ်းသပ်မှုများလုပ်ဆောင်ခဲ့သည့် အသေးစိတ်ဖော်ပြချက်နှင့် ၎င်းတို့၏ရလဒ်များကို JSON ဖော်မတ်တွင် စာတန်းတစ်ခုထုတ်ပေးမည်ဖြစ်သည်။ Output တွင် အောက်ပါဖွဲ့စည်းပုံပါရှိသည်-

{
  "PolarisOutputVersion": "1.0",
  "AuditTime": "0001-01-01T00:00:00Z",
  "SourceType": "Path",
  "SourceName": "test-data/base-valid.yaml",
  "DisplayName": "test-data/base-valid.yaml",
  "ClusterInfo": {
    "Version": "unknown",
    "Nodes": 0,
    "Pods": 2,
    "Namespaces": 0,
    "Controllers": 2
  },
  "Results": [
    /* длинный список */
  ]
}

အပြည့်အဝထွက်ရှိနိုင်သည်။ ဒီမှာ.

kube-score ကဲ့သို့ပင်၊ Polaris သည် အကောင်းဆုံးအလေ့အကျင့်များနှင့် မကိုက်ညီသည့် နေရာများတွင် ပြဿနာများကို ဖော်ထုတ်သည်-

အစေ့အဆန်များအတွက် ကျန်းမာရေးစစ်ဆေးမှုမရှိပါ။
ကွန်တိန်နာပုံများအတွက် တဂ်များကို မဖော်ပြထားပါ။
ကွန်တိန်နာသည် root အဖြစ်အလုပ်လုပ်သည်။
Memory နှင့် CPU အတွက် တောင်းဆိုမှုများနှင့် ကန့်သတ်ချက်များကို မဖော်ပြထားပါ။

စမ်းသပ်မှုတစ်ခုစီကို ၎င်း၏ရလဒ်များပေါ်မူတည်၍ ဝေဖန်မှုအတိုင်းအတာတစ်ခု သတ်မှတ်ပေးသည်- သတိပေးမှု သို့မဟုတ် အန္တရာယ်. ရရှိနိုင်သော built-in စမ်းသပ်မှုများအကြောင်း ပိုမိုလေ့လာရန်၊ ကျေးဇူးပြု၍ ဖတ်ရှုပါ။ စာရွက်စာတမ်း.

အသေးစိတ်အချက်အလက်များမလိုအပ်ပါက၊ အလံကိုသင်သတ်မှတ်နိုင်သည်။ --format score. ဤကိစ္စတွင်၊ ဓူဝံသည် 1 မှ 100 − မှ ကိန်းဂဏန်းတစ်ခုကို ထုတ်ပေးလိမ့်မည်။ နိုင်ပြီ (ဆိုလိုသည်မှာ အကဲဖြတ်ခြင်း)

$ polaris audit --audit-path test-data/base-valid.yaml --format score
68

ရမှတ် 100 သို့ ပိုနီးစပ်လေ၊ သဘောတူညီချက်၏ အတိုင်းအတာ မြင့်မားလေဖြစ်သည်။ အမိန့်၏ထွက်ပေါက်ကုဒ်ကိုစစ်ဆေးလျှင် polaris audit0 နှင့် ညီမျှကြောင်း ထွက်ပေါ်လာသည်။

အတင်း polaris audit အလံနှစ်ခုကို အသုံးပြု၍ သုညမဟုတ်သောကုဒ်ဖြင့် အလုပ်အား ရပ်စဲနိုင်သည်-

အလံ --set-exit-code-below-score အငြင်းအခုံတစ်ခုအနေဖြင့် အပိုင်းအခြား 1-100 ရှိ တံခါးခုံတန်ဖိုးကို ယူသည်။ ဤကိစ္စတွင်၊ ရမှတ်အဆင့်သတ်မှတ်ချက်အောက်တွင်ရှိပါက အမိန့်သည် ထွက်ပေါက်ကုဒ် 4 ဖြင့် ထွက်ပါမည်။ သင့်တွင် သတ်မှတ်ထားသော အတိုင်းအတာတန်ဖိုးတစ်ခု (75 ဟုပြောပါ) တွင် ၎င်းသည် အလွန်အသုံးဝင်ပြီး ရမှတ်အောက်ရောက်ပါက သတိပေးချက်တစ်ခုရရှိရန် လိုအပ်ပါသည်။
အလံ --set-exit-code-on-danger အန္တရာယ်စမ်းသပ်မှုတစ်ခုမအောင်မြင်ပါက code 3 ဖြင့် command ကိုပျက်ကွက်စေလိမ့်မည်။

ယခု ပုံအား ယုံကြည်စိတ်ချရသော သိုလှောင်ရုံမှ ယူထားခြင်းရှိမရှိ စစ်ဆေးသည့် စိတ်ကြိုက်စမ်းသပ်မှုတစ်ခုကို ဖန်တီးကြည့်ကြပါစို့။ စိတ်ကြိုက်စမ်းသပ်မှုများကို YAML ဖော်မတ်ဖြင့် သတ်မှတ်ထားပြီး စမ်းသပ်မှုကိုယ်တိုင်ကို JSON Schema သုံးပြီး ဖော်ပြပါသည်။

အောက်ပါ YAML ကုဒ်အတိုအထွာသည် ခေါ်သော စမ်းသပ်မှုအသစ်ကို ဖော်ပြသည်။ checkImageRepo:

checkImageRepo:
  successMessage: Image registry is valid
  failureMessage: Image registry is not valid
  category: Images
  target: Container
  schema:
    '$schema': http://json-schema.org/draft-07/schema
    type: object
    properties:
      image:
        type: string
        pattern: ^my-company.com/.+$

၎င်းကို အနီးကပ် လေ့လာကြည့်ကြပါစို့။

successMessage — စမ်းသပ်မှုအောင်မြင်ပါက ဤစာကြောင်းကို ပုံနှိပ်ပါမည်။
failureMessage — ပျက်ကွက်ပါက ဤစာကို ပြပါမည်။
category - အမျိုးအစားများထဲမှ တစ်ခုကို ညွှန်ပြသည်- Images, Health Checks, Security, Networking и Resources;
target--- မည်သည့်အရာဝတ္ထုအမျိုးအစားကို ဆုံးဖြတ်သည် (spec) စမ်းသပ်မှုကို ကျင့်သုံးသည်။ ဖြစ်နိုင်သောတန်ဖိုးများ- Container, Pod သို့မဟုတ် Controller;
စမ်းသပ်မှုကိုယ်တိုင်က အရာဝတ္တုမှာ သတ်မှတ်ထားပါတယ်။ schema JSON schema ကို အသုံးပြု. ဤစမ်းသပ်မှုတွင် အဓိကစကားလုံးဖြစ်သည်။ pattern ပုံအရင်းအမြစ်ကို လိုအပ်သောပုံနှင့် နှိုင်းယှဉ်ရန် အသုံးပြုသည်။

အထက်ပါစမ်းသပ်မှုကို လုပ်ဆောင်ရန် အောက်ပါ Polaris configuration ကို ဖန်တီးရန် လိုအပ်ပါသည်။

checks:
  checkImageRepo: danger
customChecks:
  checkImageRepo:
    successMessage: Image registry is valid
    failureMessage: Image registry is not valid
    category: Images
    target: Container
    schema:
      '$schema': http://json-schema.org/draft-07/schema
      type: object
      properties:
        image:
          type: string
          pattern: ^my-company.com/.+$

(polaris-conf.yaml)

ဖိုင်ကိုခွဲခြမ်းစိပ်ဖြာကြည့်ရအောင်။

လယ်ပြင်၌ checks စစ်ဆေးမှုများနှင့် ၎င်းတို့၏ ဝေဖန်ပိုင်းခြားမှုအဆင့်ကို သတ်မှတ်ပေးထားသည်။ ပုံတစ်ပုံကို စိတ်မချရသော အရင်းအမြစ်မှ ယူသည့်အခါ သတိပေးချက်ကို လက်ခံရရှိလိုသောကြောင့်၊ ကျွန်ုပ်တို့ ဤနေရာတွင် အဆင့်သတ်မှတ်ထားပါသည် danger.
ကိုယ်တိုင်စမ်းသပ်သည်။ checkImageRepo ထို့နောက် အရာဝတ္ထုတွင် စာရင်းသွင်းပါ။ customChecks.

ဖိုင်အဖြစ်သိမ်းဆည်းပါ။ custom_check.yaml. ယခုသင် run နိုင်သည်။ polaris audit အတည်ပြုရန် လိုအပ်သော YAML manifest ဖြင့်။

ကျွန်ုပ်တို့၏ဖော်ပြချက်ကို စမ်းသပ်ကြည့်ကြပါစို့ base-valid.yaml:

$ polaris audit --config custom_check.yaml --audit-path base-valid.yaml

အဖွဲ့ polaris audit အထက်ဖော်ပြပါ အသုံးပြုသူ စမ်းသပ်မှုကိုသာ လုပ်ဆောင်ခဲ့ပြီး မအောင်မြင်ပါ။

ပုံကို ပြင်ပေးလိုက်ရင် my-company.com/http-echo:1.0ဓူဝံ ပြီးမြောက်အောင်မြင်မည်။ အပြောင်းအလဲများပါရှိသော ကြေငြာချက်တွင် ပါဝင်ပြီးဖြစ်သည်။ သိုလှောင်မှုများထို့ကြောင့် သင်သည် manifest တွင် ယခင် command ကို စစ်ဆေးနိုင်သည်။ image-valid-mycompany.yaml.

ယခုမေးခွန်းပေါ်လာသည်- စိတ်ကြိုက်စမ်းသပ်မှုများနှင့်အတူ built-in စမ်းသပ်မှုများကိုမည်သို့လုပ်ဆောင်ရမည်နည်း။ လွယ်ပါတယ်! သင်ထည့်သွင်းထားသည့် စမ်းသပ်မှုအမှတ်အသားများကို စီစဉ်ဖွဲ့စည်းမှုဖိုင်တွင် ထည့်သွင်းရန် လိုအပ်ပါသည်။ ရလဒ်အနေဖြင့်၊ ၎င်းသည် အောက်ပါပုံစံကို ယူမည်ဖြစ်သည်။

checks:
  cpuRequestsMissing: warning
  cpuLimitsMissing: warning
  # Other inbuilt checks..
  # ..
  # custom checks
  checkImageRepo: danger # !!!
customChecks:
  checkImageRepo:        # !!!
    successMessage: Image registry is valid
    failureMessage: Image registry is not valid
    category: Images
    target: Container
    schema:
      '$schema': http://json-schema.org/draft-07/schema
      type: object
      properties:
        image:
          type: string
          pattern: ^my-company.com/.+$

(config_with_custom_check.yaml)

ပြီးပြည့်စုံသော ဖွဲ့စည်းမှုပုံစံဖိုင်တစ်ခု၏ ဥပမာကို ရနိုင်သည်။ ဒီမှာ.

Manifest ကိုစစ်ဆေးပါ။ base-valid.yamlbuilt-in နှင့် စိတ်ကြိုက်စမ်းသပ်မှုများကို အသုံးပြု၍ သင်သည် command ကိုသုံးနိုင်သည်။

$ polaris audit --config config_with_custom_check.yaml --audit-path base-valid.yaml

Polaris သည် စိတ်ကြိုက်စမ်းသပ်မှုများနှင့် ပေါင်းစပ်ပြီး ကမ္ဘာနှစ်ခုလုံး၏ အကောင်းဆုံးများကို ပေါင်းစပ်ထားသည်။

အခြားတစ်ဖက်တွင်၊ Rego သို့မဟုတ် JavaScript ကဲ့သို့သော ပိုမိုအားကောင်းသည့်ဘာသာစကားများကို အသုံးမပြုနိုင်ခြင်းသည် ပိုမိုခေတ်မီဆန်းပြားသောစမ်းသပ်မှုများပြုလုပ်ခြင်းကို ဟန့်တားနိုင်သည့် ကန့်သတ်ချက်တစ်ခုဖြစ်သည်။

Polaris ၏ နောက်ထပ်အချက်အလက်များကို တွင်ကြည့်ရှုနိုင်ပါသည်။ ပရောဂျက်ဝက်ဘ်ဆိုက်.

အကျဉ်းချုပ်

Kubernetes YAML ဖိုင်များကို စစ်ဆေးအကဲဖြတ်ရန် ကိရိယာများစွာရှိသော်လည်း၊ စာမေးပွဲများကို မည်ကဲ့သို့ ပုံစံထုတ်ပြီး လုပ်ဆောင်မည်ကို ရှင်းလင်းစွာ နားလည်ရန် အရေးကြီးပါသည်။.

ဥပမာအားဖြင့်, အကယ်၍ သင်သည် ပိုက်လိုင်းကိုဖြတ်သွားသည့် Kubernetes သရုပ်ကို ယူပါက Kubeval သည် ထိုသို့သော ပိုက်လိုင်းအတွက် ပထမဆုံးခြေလှမ်း ဖြစ်နိုင်သည်. အရာဝတ္ထုများ၏ အဓိပ္ပါယ်ဖွင့်ဆိုချက်များသည် Kubernetes API schema နှင့် ကိုက်ညီမှုရှိမရှိကို စောင့်ကြည့်မည်ဖြစ်သည်။

ထိုသို့ပြန်လည်သုံးသပ်ခြင်းပြီးသည်နှင့်၊ စံအကောင်းဆုံးအလေ့အကျင့်များနှင့် တိကျသောမူဝါဒများကို လိုက်နာခြင်းကဲ့သို့သော ပိုမိုခေတ်မီသောစမ်းသပ်မှုများသို့ ဆက်လက်လုပ်ဆောင်နိုင်သည်။ ဤနေရာတွင် kube-score နှင့် Polaris သည် အဆင်ပြေမည်ဖြစ်သည်။

ရှုပ်ထွေးသောလိုအပ်ချက်များနှင့် အသေးစိတ်စစ်ဆေးမှုများကို စိတ်ကြိုက်ပြင်ဆင်ရန် လိုအပ်သူများအတွက်၊ ကြေးနီ၊ config-lint နှင့် confest သည် သင့်လျော်မည်ဖြစ်သည်။.

Confest နှင့် config-lint သည် စိတ်ကြိုက်စမ်းသပ်မှုများကို သတ်မှတ်ရန် YAML ကိုအသုံးပြုပြီး copper သည် သင့်အား ဆွဲဆောင်မှုရှိသော ရွေးချယ်မှုတစ်ခုဖြစ်စေသည့် အပြည့်အဝပရိုဂရမ်းမင်းဘာသာစကားကို အသုံးပြုခွင့်ပေးသည်။

အခြားတစ်ဖက်တွင်၊ ဤကိရိယာများထဲမှ တစ်ခုကို အသုံးပြုရကျိုးနပ်ပါသလား၊ ထို့ကြောင့် စမ်းသပ်မှုအားလုံးကို ကိုယ်တိုင်ဖန်တီးခြင်း သို့မဟုတ် Polaris ကို ပိုနှစ်သက်ပြီး ၎င်းအတွက် လိုအပ်သောအရာများကိုသာ ထည့်ပါ။ ဒီမေးခွန်းအတွက် ရှင်းရှင်းလင်းလင်း အဖြေမရှိပါဘူး။.

အောက်တွင်ဖော်ပြထားသောဇယားသည် tool တစ်ခုစီ၏အသေးစိတ်ဖော်ပြချက်ကိုပေးသည်-

tool တစ်ခု
ကြမ္မ
ချို့ယွင်းချက်
အသုံးပြုသူစမ်းသပ်မှုများ

kubeval
API schema ၏ သီးခြားဗားရှင်းကို YAML မှ အတည်ပြုသည်။
CRD နှင့် တွဲ၍မရပါ။
အဘယ်သူမျှမ

kube-ရမှတ်
YAML သည် အကောင်းဆုံးအလေ့အကျင့်များကို ဆန့်ကျင်ကြောင်း ပိုင်းခြားစိတ်ဖြာသည်။
အရင်းအမြစ်များကို စစ်ဆေးရန် သင်၏ Kubernetes API ဗားရှင်းကို ရွေး၍မရပါ။
အဘယ်သူမျှမ

ကြေးနီ
YAML manifests အတွက် စိတ်ကြိုက် JavaScript စမ်းသပ်မှုများကို ဖန်တီးရန်အတွက် ယေဘုယျဘောင်တစ်ခု
built-in စမ်းသပ်မှုများမရှိပါ။ စာရွက်စာတမ်းညံ့တယ်။
ထို

config-lint
YAML တွင် ထည့်သွင်းထားသော ဒိုမိန်းအလိုက် ဘာသာစကားတစ်ခုတွင် စမ်းသပ်မှုများ ဖန်တီးခြင်းအတွက် ယေဘူယျမူဘောင်။ အမျိုးမျိုးသော ဖွဲ့စည်းမှုပုံစံများကို ပံ့ပိုးသည် (ဥပမာ Terraform)
အဆင်သင့်လုပ်ထားသော စမ်းသပ်မှုများ မရှိပါ။ ထည့်သွင်းပြောဆိုမှုများနှင့် လုပ်ဆောင်ချက်များ မလုံလောက်ပါ။
ထို

ပြိုင်ဆိုင်မှု
Rego (အထူးပြုမေးမြန်းမှုဘာသာစကား) ကို အသုံးပြု၍ သင့်ကိုယ်ပိုင်စမ်းသပ်မှုများကို ဖန်တီးရန်အတွက် မူဘောင်တစ်ခု။ OCI အစုအဝေးများမှတစ်ဆင့် မူဝါဒများကို မျှဝေခွင့်ပြုသည်။
built-in စမ်းသပ်မှုများမရှိပါ။ ငါ Rego သင်ယူရမယ်။ မူဝါဒများကို ထုတ်ဝေသည့်အခါ Docker Hub ကို မပံ့ပိုးပါ။
ထို

Polaris
သုံးသပ်ချက်များ YAML သည် စံအကောင်းဆုံး အလေ့အကျင့်များကို ဆန့်ကျင်သည်။ JSON Schema ကို အသုံးပြု၍ သင့်ကိုယ်ပိုင် စမ်းသပ်မှုများကို ဖန်တီးနိုင်စေပါသည်။
JSON Schema ကိုအခြေခံ၍ စမ်းသပ်နိုင်စွမ်းသည် မလုံလောက်ပါ။
ထို

ဤကိရိယာများသည် Kubernetes အစုအဝေးသို့ ဝင်ရောက်ခွင့်အပေါ် အားမကိုးသောကြောင့် ၎င်းတို့ကို တပ်ဆင်ရန် လွယ်ကူပါသည်။ ၎င်းတို့သည် သင့်အား အရင်းအမြစ်ဖိုင်များကို စစ်ထုတ်နိုင်ပြီး ပရောဂျက်များတွင် ဆွဲယူတောင်းဆိုမှုများ၏ ရေးသားသူများကို အမြန်တုံ့ပြန်ချက်ပေးနိုင်သည်။

PS ဘာသာပြန်မှ

ကျွန်ုပ်တို့၏ဘလော့ဂ်တွင်လည်းဖတ်ပါ

source: www.habr.com

အကောင်းဆုံးအလေ့အကျင့်များနှင့် မူဝါဒများနှင့်အညီ Kubernetes YAML ကို အတည်ပြုပါ။

ဖြန့်ကျက်စစ်ဆေးခြင်း။

1. Kubeval

2. Kube-ရမှတ်

3.Config-lint

4. ကြေးနီ

5.Confest

၆၅။ ဓူဝံ

အကျဉ်းချုပ်

PS ဘာသာပြန်မှ

မှတ်ချက် Add

အကောင်းဆုံးအလေ့အကျင့်များနှင့် မူဝါဒများနှင့်အညီ Kubernetes YAML ကို အတည်ပြုပါ။

ဖြန့်ကျက်စစ်ဆေးခြင်း။

1. Kubeval

2. Kube-ရမှတ်

3.Config-lint

4. ကြေးနီ

5.Confest

၆၅။ ဓူဝံ

အကျဉ်းချုပ်

PS ဘာသာပြန်မှ

မှတ်ချက် Add ပြန်ကြားချက်ကိုပယ်ဖျက်

မှတ်ချက် Add