{"id":39016,"date":"2019-10-31T22:27:21","date_gmt":"2019-10-31T19:27:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google\/"},"modified":"2019-10-31T22:27:21","modified_gmt":"2019-10-31T19:27:21","slug":"7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","title":{"rendered":"As 7 melhores pr\u00e1ticas para a opera\u00e7\u00e3o de cont\u00eaineres segundo o Google","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nota do tradutor.<\/b>: O autor do artigo original \u00e9 Th\u00e9o Chamley, arquiteto de solu\u00e7\u00f5es em nuvem do Google. Neste post do blog do Google Cloud, ele apresentou um resumo conciso de um guia mais detalhado da sua empresa, chamado \u201cMelhores Pr\u00e1ticas para Operar Cont\u00eaineres<\/a><\/noindex>\u201d. Nele, especialistas do Google reuniram as melhores pr\u00e1ticas para a opera\u00e7\u00e3o de cont\u00eaineres no contexto do uso do Google Kubernetes Engine e al\u00e9m, abordando uma ampla gama de temas: da seguran\u00e7a ao monitoramento e log. Ent\u00e3o, quais pr\u00e1ticas na utiliza\u00e7\u00e3o de cont\u00eaineres s\u00e3o consideradas mais importantes pelo Google?<\/i><\/p>\n

\"As<\/a><\/noindex><\/p>\n

Kubernetes Engine<\/a><\/noindex> (um servi\u00e7o baseado em Kubernetes para executar aplica\u00e7\u00f5es em cont\u00eainer no Google Cloud \u2014 nota do tradutor.<\/b>)<\/i> \u2014 uma das melhores maneiras de executar cargas de trabalho que precisam de escalabilidade. Kubernetes<\/a><\/noindex> garante o funcionamento perfeito da maioria das aplica\u00e7\u00f5es, desde que estejam containerizadas. Mas se voc\u00ea quer que a aplica\u00e7\u00e3o seja f\u00e1cil de gerenciar e aproveitar todas as vantagens do Kubernetes, \u00e9 necess\u00e1rio seguir as melhores pr\u00e1ticas. Elas simplificar\u00e3o a opera\u00e7\u00e3o da aplica\u00e7\u00e3o, seu monitoramento e depura\u00e7\u00e3o, al\u00e9m de aumentar a seguran\u00e7a.<\/p>\n

Neste artigo, vamos percorrer a lista do que \u00e9 importante saber e fazer para o funcionamento eficaz dos cont\u00eaineres no Kubernetes. Para quem deseja se aprofundar nos detalhes, vale a pena ler o material Melhores Pr\u00e1ticas para Operar Cont\u00eaineres<\/a><\/noindex>, al\u00e9m de conferir nosso post anterior<\/a><\/noindex> sobre constru\u00e7\u00e3o de cont\u00eaineres.<\/p>\n

1. Use os mecanismos nativos de cont\u00eainer para log<\/h2>\n

\nSe a aplica\u00e7\u00e3o est\u00e1 rodando em um cluster Kubernetes, n\u00e3o \u00e9 necess\u00e1rio muito para os logs. Um sistema de logging centralizado provavelmente j\u00e1 est\u00e1 integrado ao cluster utilizado. No caso do uso do Kubernetes Engine, isso \u00e9 gerenciado pelo Stackdriver Logging<\/a><\/noindex>. (Nota do tradutor.<\/b>: E se voc\u00ea estiver usando uma instala\u00e7\u00e3o pr\u00f3pria do Kubernetes, recomendamos considerar nossa solu\u00e7\u00e3o de c\u00f3digo aberto \u2014 loghouse<\/a><\/noindex>.)<\/i> N\u00e3o complique sua vida e utilize os mecanismos nativos de log do cont\u00eainer. Escreva logs em stdout e stderr \u2014 eles ser\u00e3o automaticamente capturados, armazenados e indexados.<\/p>\n

Se desejado, voc\u00ea tamb\u00e9m pode escrever logs em formato JSON.<\/a><\/noindex>. Essa abordagem permitir\u00e1 adicionar facilmente metadados a eles. E junto com isso, haver\u00e1 a possibilidade de busca pelos logs no Stackdriver Logging usando esses metadados.<\/p>\n

2. Certifique-se de que os cont\u00eaineres sejam stateless e imut\u00e1veis<\/h2>\n

\nPara o funcionamento adequado dos cont\u00eaineres em um cluster Kubernetes, eles devem ser stateless e imut\u00e1veis. Quando essas condi\u00e7\u00f5es s\u00e3o atendidas, o Kubernetes pode realizar seu trabalho, criando e destruindo entidades de aplica\u00e7\u00e3o quando e onde necess\u00e1rio.<\/p>\n

Stateless<\/i> significa que qualquer estado (dados persistentes de qualquer tipo) \u00e9 armazenado fora do cont\u00eainer. Para isso, dependendo das necessidades, diferentes tipos de armazenamento externo podem ser utilizados: Armazenamento em Nuvem<\/a><\/noindex>, Discos Persistentes<\/a><\/noindex>, Redis<\/a><\/noindex>, Cloud SQL<\/a><\/noindex> ou outros bancos de dados gerenciados. (Nota do tradutor.<\/b>: Para mais informa\u00e7\u00f5es, consulte tamb\u00e9m nosso artigo \u201cOperadores para Kubernetes: como executar aplica\u00e7\u00f5es stateful<\/a><\/noindex>\u00bb.)<\/i><\/p>\n

Imut\u00e1vel<\/i> significa que o cont\u00eainer n\u00e3o ser\u00e1 modificado durante sua vida \u00fatil: nenhuma atualiza\u00e7\u00e3o, patch ou altera\u00e7\u00e3o na configura\u00e7\u00e3o. Se voc\u00ea precisar atualizar o c\u00f3digo do aplicativo ou aplicar um patch, crie uma nova imagem e fa\u00e7a o deploy dela. \u00c9 recomend\u00e1vel manter a configura\u00e7\u00e3o do cont\u00eainer (porta para escuta, op\u00e7\u00f5es do ambiente de execu\u00e7\u00e3o etc.) externa \u2014 em Secrets<\/a><\/noindex> e ConfigMaps<\/a><\/noindex>. Eles podem ser atualizados sem a necessidade de criar uma nova imagem de cont\u00eainer. Para a f\u00e1cil cria\u00e7\u00e3o de pipelines de constru\u00e7\u00e3o de imagens, voc\u00ea pode usar Cloud Build<\/a><\/noindex>. (Nota do tradutor.<\/b>: Para estes fins, utilizamos a ferramenta Open Source dapp<\/a><\/noindex>.)<\/i><\/p>\n

\"As
\nExemplo de atualiza\u00e7\u00e3o da configura\u00e7\u00e3o do Deployment no Kubernetes usando ConfigMap, montado nos pods como configura\u00e7\u00e3o<\/i><\/p>\n

3. Evite cont\u00eaineres privilegiados<\/h2>\n

\nVoc\u00ea n\u00e3o est\u00e1 executando aplicativos como root em seus servidores, est\u00e1? Se um invasor conseguir acessar o aplicativo, ter\u00e1 permiss\u00f5es de root. As mesmas considera\u00e7\u00f5es se aplicam ao n\u00e3o executar cont\u00eaineres privilegiados. Se for necess\u00e1rio alterar as configura\u00e7\u00f5es no host, voc\u00ea pode conceder ao cont\u00eainer permiss\u00f5es espec\u00edficas. capabilities<\/i> usando a op\u00e7\u00e3o securityContext<\/code><\/a><\/noindex> no Kubernetes. Se for necess\u00e1rio alterar sysctls<\/i>, o Kubernetes possui uma anota\u00e7\u00e3o separada<\/a><\/noindex> para isso. Em geral, tente aproveitar ao m\u00e1ximo init-<\/a><\/noindex> e cont\u00eaineres sidecar para realizar essas opera\u00e7\u00f5es privilegiadas. Eles n\u00e3o precisam estar dispon\u00edveis para o tr\u00e1fego interno ou externo.<\/p>\n

Se voc\u00ea administrar um cluster, pode recorrer a Pol\u00edtica de Seguran\u00e7a de Pod<\/a><\/noindex> para restri\u00e7\u00f5es na aplica\u00e7\u00e3o de cont\u00eaineres privilegiados.<\/p>\n

4. Evite executar como root<\/h2>\n

\nJ\u00e1 falamos sobre cont\u00eaineres privilegiados, mas seria ainda melhor se, al\u00e9m disso, voc\u00ea n\u00e3o executasse aplicativos como root dentro do cont\u00eainer. Se um invasor encontrar uma vulnerabilidade remota com a capacidade de execu\u00e7\u00e3o de c\u00f3digo em um aplicativo com permiss\u00f5es de root, e conseguir escapar do cont\u00eainer atrav\u00e9s de uma vulnerabilidade ainda desconhecida, ele ter\u00e1 acesso de root ao host.<\/p>\n

A melhor maneira de evitar isso \u00e9, em primeiro lugar, n\u00e3o executar nada como root. Para isso, voc\u00ea pode usar a diretiva USU\u00c1RIO<\/code> em Dockerfile<\/code> ou runAsUser<\/code> no Kubernetes. O administrador do cluster tamb\u00e9m pode configurar um comportamento for\u00e7ado usando Pol\u00edtica de Seguran\u00e7a de Pod<\/a><\/noindex>.<\/p>\n

5. Torne o aplicativo f\u00e1cil de monitorar<\/h2>\n

\nAssim como o registro, o monitoramento \u00e9 uma parte essencial da gest\u00e3o de aplicativos. Uma solu\u00e7\u00e3o popular para monitoramento na comunidade Kubernetes \u00e9 Prometheus<\/a><\/noindex> \u2014 um sistema que automaticamente descobre pods e servi\u00e7os que precisam ser monitorados. (Nota do tradutor.<\/b>: Veja tamb\u00e9m nosso relat\u00f3rio detalhado<\/a><\/noindex> sobre monitoramento com Prometheus e Kubernetes.)<\/i> Stackdriver<\/a><\/noindex> \u00e9 capaz de monitorar clusters Kubernetes e inclui sua pr\u00f3pria vers\u00e3o do Prometheus para monitoramento de aplicativos.<\/p>\n

\"As
\nO painel de monitoramento do Kubernetes no Stackdriver<\/i><\/p>\n

O Prometheus espera que o aplicativo exponha m\u00e9tricas em um endpoint HTTP. Para isso, est\u00e3o dispon\u00edveis bibliotecas cliente do Prometheus.<\/a><\/noindex>O mesmo formato \u00e9 utilizado por outras ferramentas como OpenCensus<\/a><\/noindex> e Istio<\/a><\/noindex>.<\/p>\n

6. Torne o estado de sa\u00fade do aplicativo acess\u00edvel<\/h2>\n

\nA gest\u00e3o do aplicativo em produ\u00e7\u00e3o ajuda sua capacidade de informar seu estado para todo o sistema. O aplicativo est\u00e1 em execu\u00e7\u00e3o? Est\u00e1 em ordem? Est\u00e1 pronto para receber tr\u00e1fego? Como est\u00e1 se comportando? A forma mais comum de abordar esse problema \u00e9 a implementa\u00e7\u00e3o de checagens de sa\u00fade (health checks)<\/i>. O Kubernetes possui dois tipos delas: liveness e readiness probes<\/a><\/noindex>.<\/p>\n

Para o liveness probe (checagem de vitalidade)<\/i> o aplicativo deve ter um endpoint HTTP que retorne a resposta \"200 OK\" se estiver funcionando e suas principais depend\u00eancias forem atendidas. Para o readiness probe (checagem de prontid\u00e3o)<\/i> o aplicativo deve ter outro endpoint HTTP que retorne a resposta \"200 OK\" se o aplicativo estiver em bom estado, as etapas de inicializa\u00e7\u00e3o forem conclu\u00eddas e qualquer solicita\u00e7\u00e3o v\u00e1lida n\u00e3o retornar erro. O Kubernetes direcionar\u00e1 o tr\u00e1fego para o cont\u00eainer somente se o aplicativo estiver pronto de acordo com essas verifica\u00e7\u00f5es. Dois endpoints podem ser combinados se n\u00e3o houver diferen\u00e7a entre os estados de viv\u00eancia (liveness) e prontid\u00e3o (readiness).<\/p>\n

Voc\u00ea pode ler mais sobre isso no artigo correspondente de Sandeep Dinesh, Developer Advocate do Google: \"Pr\u00e1ticas recomendadas do Kubernetes: Configurando verifica\u00e7\u00f5es de sa\u00fade com sondas de prontid\u00e3o e viabilidade<\/a><\/noindex>\u00bb.<\/p>\n

7. Escolha cuidadosamente a vers\u00e3o da imagem<\/h2>\n

\nA maioria das imagens p\u00fablicas e privadas utiliza um sistema de versionamento semelhante ao descrito em Pr\u00e1ticas Recomendadas para Construir Cont\u00eaineres<\/a><\/noindex>. Se a imagem aplicar um sistema pr\u00f3ximo ao versionamento sem\u00e2ntico<\/a><\/noindex>, \u00e9 necess\u00e1rio considerar a especificidade da rotulagem. Por exemplo, a tag latest<\/code> pode mudar frequentemente de uma imagem para outra \u2014 n\u00e3o se pode depender dela se voc\u00ea precisar de compila\u00e7\u00f5es e instala\u00e7\u00f5es previs\u00edveis e reprodut\u00edveis.<\/p>\n

Voc\u00ea pode usar a tag X.Y.Z<\/code> ela quase sempre permanece a mesma, mas nesse caso \u00e9 importante acompanhar todos os patches e atualiza\u00e7\u00f5es da imagem. Se a imagem utilizada tiver a tag X.Y<\/code>, essa \u00e9 uma boa op\u00e7\u00e3o de meio-termo. Ao escolh\u00ea-la, voc\u00ea recebe automaticamente patches e, ao mesmo tempo, se baseia em uma vers\u00e3o est\u00e1vel do aplicativo.<\/p>\n

P.S. do tradutor<\/h2>\n

\nConfira tamb\u00e9m em nosso blog:<\/p>\n