गुगल अनुसार कन्टेनरहरू प्रयोग गर्नका लागि 7 उत्तम अभ्यासहरू

नोट। अनुवाद।: मूल लेखका लेखक थिओ चाम्ली, गुगल क्लाउड सोलुसन आर्किटेक्ट हुन्। गुगल क्लाउड ब्लगको लागि यो पोस्टमा, उसले आफ्नो कम्पनीको थप विस्तृत गाइडको सारांश प्रदान गर्दछ, जसलाई "कन्टेनर सञ्चालनका लागि उत्तम अभ्यासहरू" यसमा, Google विशेषज्ञहरूले Google Kubernetes इन्जिन र थप प्रयोग गर्ने सन्दर्भमा कन्टेनरहरू सञ्चालन गर्नका लागि उत्कृष्ट अभ्यासहरू सङ्कलन गरे, विषयहरूको विस्तृत दायरामा छुँदै: सुरक्षादेखि निगरानी र लगिङसम्म। त्यसोभए गुगलका अनुसार सबैभन्दा महत्त्वपूर्ण कन्टेनर अभ्यासहरू के हुन्?

Kubernetes इन्जिन (गुगल क्लाउडमा कन्टेनराइज्ड एप्लिकेसनहरू चलाउनको लागि Kubernetes-आधारित सेवा - लगभग। अनुवाद) मापन गर्न आवश्यक वर्कलोडहरू चलाउने उत्तम तरिकाहरू मध्ये एक हो। कुबर्नेट्स यदि तिनीहरू कन्टेनराइज्ड छन् भने अधिकांश अनुप्रयोगहरूको सहज कार्य सुनिश्चित गर्नेछ। तर यदि तपाइँ तपाइँको एप्लिकेसन व्यवस्थापन गर्न सजिलो होस् र Kubernetes को पूर्ण लाभ लिन चाहानुहुन्छ भने, तपाइँले उत्कृष्ट अभ्यासहरू पालना गर्न आवश्यक छ। तिनीहरूले अनुप्रयोगको सञ्चालन, यसको अनुगमन र डिबगिङलाई सरल बनाउनेछन्, र सुरक्षा पनि बढाउनेछन्।

यस लेखमा, हामी Kubernetes मा प्रभावकारी रूपमा कन्टेनरहरू चलाउनका लागि तपाईंले थाहा पाउनु पर्ने कुराहरूको सूची मार्फत जानेछौं। गहिराइमा जान चाहनेहरूले सामग्री पढ्नुपर्छ कन्टेनर सञ्चालनका लागि उत्तम अभ्यासहरूर हाम्रो कुरामा पनि ध्यान दिनुहोस् अघिल्लो पोस्ट कन्टेनरहरू जम्मा गर्ने बारे।

1. नेटिभ कन्टेनर लगिङ मेकानिजमहरू प्रयोग गर्नुहोस्

यदि अनुप्रयोग Kubernetes क्लस्टरमा चलिरहेको छ भने, लगहरूको लागि धेरै आवश्यक पर्दैन। तपाईंले प्रयोग गरिरहनुभएको क्लस्टरमा केन्द्रीकृत लगिङ प्रणाली सम्भवतः पहिले नै बनाइएको छ। Kubernetes इन्जिन प्रयोग को मामला मा, यो जिम्मेवार छ Stackdriver लगिङ. (नोट। अनुवाद।: र यदि तपाइँ आफ्नो आफ्नै Kubernetes स्थापना प्रयोग गर्नुहुन्छ भने, हामी हाम्रो खुला स्रोत समाधानलाई नजिकबाट हेर्न सिफारिस गर्दछौं - लग घर.) आफ्नो जीवन सरल राख्नुहोस् र नेटिभ कन्टेनर लगिङ मेकानिजमहरू प्रयोग गर्नुहोस्। stdout र stderr मा लगहरू लेख्नुहोस् - तिनीहरू स्वचालित रूपमा प्राप्त, बचत र अनुक्रमणिका हुनेछन्।

यदि चाहियो भने, तपाइँ लगहरू पनि लेख्न सक्नुहुन्छ JSON ढाँचा। यो दृष्टिकोणले तिनीहरूलाई मेटाडेटा थप्न सजिलो बनाउनेछ। र तिनीहरूसँग, Stackdriver Logging सँग यो मेटाडेटा प्रयोग गरेर लगहरू खोज्ने क्षमता हुनेछ।

2. कन्टेनरहरू राज्यविहीन र अपरिवर्तनीय छन् भनी सुनिश्चित गर्नुहोस्

Kubernetes क्लस्टरमा कन्टेनरहरू सही रूपमा काम गर्नका लागि, तिनीहरू राज्यविहीन र अपरिवर्तनीय हुनुपर्छ। एकचोटि यी सर्तहरू पूरा भएपछि, Kubernetes ले आफ्नो काम गर्न सक्छ, जब र जहाँ आवश्यक हुन्छ अनुप्रयोग संस्थाहरू सिर्जना गर्ने र नष्ट गर्ने।

राज्यविहीन मतलब कुनै पनि राज्य (कुनै पनि प्रकारको लगातार डाटा) कन्टेनर बाहिर भण्डारण गरिएको छ। यसका लागि, आवश्यकताहरूमा निर्भर गर्दै, विभिन्न प्रकारका बाह्य भण्डारणहरू प्रयोग गर्न सकिन्छ: क्लाउड भण्डारण, लगातार डिस्कहरू, Redis, क्लाउड SQL वा अन्य व्यवस्थित डाटाबेसहरू। (नोट। अनुवाद।: हाम्रो लेखमा यस बारे थप पढ्नुहोस् "Kubernetes को लागी अपरेटरहरू: स्टेटफुल अनुप्रयोगहरू कसरी चलाउने"।)

अचल यसको मतलब कन्टेनर यसको जीवनकालमा परिमार्जन गरिने छैन: कुनै अद्यावधिकहरू, प्याचहरू, कन्फिगरेसन परिवर्तनहरू छैनन्। यदि तपाइँ तपाइँको अनुप्रयोग कोड अपडेट गर्न वा प्याच लागू गर्न आवश्यक छ भने, नयाँ छवि सिर्जना गर्नुहोस् र यसलाई प्रयोग गर्नुहोस्। यो कन्टेनर कन्फिगरेसन (सुन्ने पोर्ट, रनटाइम वातावरण विकल्पहरू, इत्यादि) बाहिरी रूपमा सार्न सिफारिस गरिन्छ। राज и कन्फिगम्याप्स। तिनीहरू नयाँ कन्टेनर छवि निर्माण नगरी अद्यावधिक गर्न सकिन्छ। सजिलै छवि विधानसभा संग पाइपलाइनहरू सिर्जना गर्न, तपाईं प्रयोग गर्न सक्नुहुन्छ क्लाउड निर्माण. (नोट। अनुवाद।: हामी यी उद्देश्यका लागि खुला स्रोत उपकरण प्रयोग गर्छौं dapp.)

कन्फिगमेप कन्फिगरेसनको रूपमा पोडहरूमा माउन्ट गरिएको प्रयोग गरेर Kubernetes मा परिनियोजन कन्फिगरेसन अद्यावधिक गर्ने एउटा उदाहरण

3. विशेषाधिकार प्राप्त कन्टेनरहरू बेवास्ता गर्नुहोस्

तपाइँ तपाइँको सर्भर मा रूट को रूप मा अनुप्रयोगहरु चलाउन छैन, हैन? यदि एक आक्रमणकारी अनुप्रयोगमा पुग्छ भने, उसले रूट पहुँच प्राप्त गर्नेछ। समान विचारहरू विशेषाधिकार प्राप्त कन्टेनरहरू नचलाउनमा लागू हुन्छन्। यदि तपाइँ होस्टमा सेटिङहरू परिवर्तन गर्न आवश्यक छ भने, तपाइँ कन्टेनर विशिष्ट दिन सक्नुहुन्छ क्षमताओं विकल्प प्रयोग गर्दै securityContext Kubernetes मा। यदि तपाईलाई परिवर्तन गर्न आवश्यक छ sysctls, Kubernetes छ अलग सार यसका लागि। सामान्यतया, अधिकतम बनाउन प्रयास गर्नुहोस् यसमा- र साइडकार कन्टेनरहरू समान विशेषाधिकार प्राप्त कार्यहरू गर्न। तिनीहरू आन्तरिक वा बाह्य ट्राफिकमा पहुँचयोग्य हुन आवश्यक छैन।

यदि तपाइँ क्लस्टर व्यवस्थापन गर्नुहुन्छ भने, तपाइँ प्रयोग गर्न सक्नुहुन्छ पोड सुरक्षा नीति विशेषाधिकार प्राप्त कन्टेनरहरूको प्रयोगमा प्रतिबन्धहरूको लागि।

4. जराको रूपमा दौडनु हुँदैन

विशेषाधिकार प्राप्त कन्टेनरहरू पहिले नै छलफल गरिसकिएको छ, तर यो अझ राम्रो हुनेछ यदि, यसका अतिरिक्त, तपाइँ कन्टेनर भित्र रूटको रूपमा अनुप्रयोगहरू चलाउनुहुन्न। यदि एक आक्रमणकारीले रूट अधिकारहरू भएको अनुप्रयोगमा रिमोट भेद्यता फेला पार्छ जसले कोड कार्यान्वयनलाई अनुमति दिन्छ, त्यसपछि उसले अझै अज्ञात जोखिम मार्फत कन्टेनर छोड्न सक्षम हुन्छ, उसले होस्टमा जरा प्राप्त गर्नेछ।

यसबाट बच्ने उत्तम उपाय भनेको कुनै पनि कुरालाई पहिलो स्थानमा रूटको रूपमा नचलाउनु हो। यो गर्न, तपाईं निर्देशन प्रयोग गर्न सक्नुहुन्छ USER в Dockerfile वा runAsUser Kubernetes मा। क्लस्टर प्रशासकले प्रयोग गरेर प्रवर्तन व्यवहार कन्फिगर गर्न सक्छ पोड सुरक्षा नीति.

5. अनुगमन गर्न सजिलो अनुप्रयोग बनाउनुहोस्

लगिङ जस्तै, अनुगमन अनुप्रयोग व्यवस्थापनको अभिन्न अंग हो। Kubernetes समुदाय मा एक लोकप्रिय निगरानी समाधान छ Prometheus - एक प्रणाली जसले स्वचालित रूपमा पोडहरू र सेवाहरू पत्ता लगाउँदछ जुन निगरानी आवश्यक छ। (नोट। अनुवाद।: हाम्रो पनि हेर्नुहोस् विस्तृत रिपोर्ट Prometheus र Kubernetes प्रयोग गरेर अनुगमनको विषयमा।) स्ट्याक ड्राइभर Kubernetes क्लस्टरहरू अनुगमन गर्न सक्षम छ र अनुप्रयोग अनुगमनको लागि Prometheus को आफ्नै संस्करण समावेश गर्दछ।

Stackdriver मा Kubernetes ड्यासबोर्ड

प्रोमेथियसले एपले मेट्रिक्सलाई HTTP अन्त्य बिन्दुमा फर्वार्ड गर्ने अपेक्षा गर्दछ। यसका लागि उपलब्ध छ प्रोमेथियस ग्राहक पुस्तकालयहरू। उही ढाँचा अन्य उपकरणहरू जस्तै प्रयोग गरिन्छ खुला जनगणना и इस्तिओ.

6. एपको स्वास्थ्य स्थिति उपलब्ध गराउनुहोस्

उत्पादनमा अनुप्रयोग व्यवस्थापनलाई यसको राज्यलाई सम्पूर्ण प्रणालीमा सञ्चार गर्ने क्षमताद्वारा सहायता गरिन्छ। के अनुप्रयोग चलिरहेको छ? के यो ठीक छ? तपाईं ट्राफिक प्राप्त गर्न तयार हुनुहुन्छ? उहाँ कस्तो व्यवहार गर्दै हुनुहुन्छ? यो समस्या समाधान गर्ने सबैभन्दा सामान्य तरिका स्वास्थ्य जाँचहरू लागू गर्नु हो (स्वास्थ्य जाँच)। Kubernetes दुई प्रकारका छन्: जीवन्तता र तत्परता जाँचहरू.

जीवन्तता जाँचको लागि (जीवन शक्ति जाँच) यदि यो कार्यात्मक छ र यसको आधारभूत निर्भरताहरू सन्तुष्ट छन् भने अनुप्रयोगसँग HTTP अन्त्य बिन्दु हुनुपर्छ जसले "200 OK" प्रतिक्रिया फर्काउँछ। तत्परता जाँचको लागि (सेवा तत्परता जाँच) यदि एप्लिकेसन स्वस्थ अवस्थामा छ भने, प्रारम्भिक चरणहरू पूरा भइसकेका छन् र कुनै पनि मान्य अनुरोध त्रुटिमा पर्दैन भने अनुप्रयोगसँग अर्को HTTP अन्त्य बिन्दु हुनुपर्छ जसले "200 OK" प्रतिक्रिया फर्काउँछ। Kubernetes ले कन्टेनरमा ट्राफिक मात्र रुट गर्नेछ यदि अनुप्रयोग यी जाँचहरू अनुसार तयार छ भने। यदि जीवन्तता र तयारी अवस्थाहरू बीच कुनै भिन्नता छैन भने दुई अन्तिम बिन्दुहरू मर्ज गर्न सकिन्छ।

तपाईं यस बारे थप लेखमा Google बाट विकासकर्ता अधिवक्ता सन्दीप दिनेशको सम्बन्धित लेखमा पढ्न सक्नुहुन्छ: “Kubernetes उत्कृष्ट अभ्यासहरू: तत्परता र जीवन्तता जाँचहरूको साथ स्वास्थ्य जाँचहरू सेटअप गर्दै"।

7. आफ्नो छवि संस्करण सावधानीपूर्वक छान्नुहोस्

धेरैजसो सार्वजनिक र निजी छविहरूले वर्णन गरिएको जस्तै ट्यागिङ प्रणाली प्रयोग गर्दछ निर्माण कन्टेनरहरूको लागि उत्तम अभ्यासहरू। यदि छविले नजिकको प्रणाली प्रयोग गर्दछ सिमेन्टिक संस्करण, यो ट्यागिंग को विशिष्टताहरु लाई खाता मा लिन आवश्यक छ। उदाहरण को लागी, ट्याग latest छविबाट छविमा बारम्बार सार्न सक्छ - यदि तपाईंलाई भविष्यवाणी गर्न मिल्ने र दोहोर्याउन मिल्ने निर्माण र स्थापनाहरू चाहिन्छ भने भर पर्न सकिँदैन।

तपाईं ट्याग प्रयोग गर्न सक्नुहुन्छ X.Y.Z (तिनीहरू लगभग सधैं अपरिवर्तित छन्), तर यस अवस्थामा, छविमा सबै प्याचहरू र अद्यावधिकहरूको ट्र्याक राख्नुहोस्। यदि तपाईंले प्रयोग गरिरहनुभएको छविमा ट्याग छ X.Y, यो सुनौलो अर्थ को लागी एक राम्रो विकल्प हो। यसलाई छनौट गरेर, तपाइँ स्वचालित रूपमा प्याचहरू प्राप्त गर्नुहुन्छ र एकै समयमा अनुप्रयोगको स्थिर संस्करणमा निर्भर हुनुहुन्छ।

अनुवादकबाट PS

हाम्रो ब्लगमा पनि पढ्नुहोस्:

• «कन्टेनर, क्लाउड नेटिभ र Kubernetes मा नयाँ CNCF तथ्याङ्कहरू»;
• «कन्टेनर-आधारित अनुप्रयोगहरू डिजाइन गर्नका लागि 7 सिद्धान्तहरू»;
• «11 तरिकाहरू (होइन) कुबेरनेट ह्याकको शिकार बन्ने»;
• «साना परियोजनाहरूमा Kubernetes संग हाम्रो अनुभव» (समीक्षा र भिडियो रिपोर्ट);
• «निगरानी र Kubernetes» (समीक्षा र भिडियो रिपोर्ट);
• «हामी CI/CD को लागि डकर छविहरू छिटो र सहज रूपमा dapp मार्फत निर्माण गर्छौं» (समीक्षा र भिडियो रिपोर्ट);
• «डकरको साथ निरन्तर डेलिभरी अभ्यासहरू» (समीक्षा र भिडियो रिपोर्ट);
• «2018 मा microservice पागलपन को मृत्यु"।

स्रोत: www.habr.com