{"id":39016,"date":"2019-10-31T22:27:21","date_gmt":"2019-10-31T19:27:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google\/"},"modified":"2019-10-31T22:27:21","modified_gmt":"2019-10-31T19:27:21","slug":"7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/7-luchshih-praktik-po-ekspluatatsii-kontejnerov-po-versii-google","title":{"rendered":"7 cele mai bune practici pentru exploatarea containerelor conform Google","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nota traduc\u0103torului.<\/b>: Autorul articolului original este Th\u00e9o Chamley, arhitect de solu\u021bii cloud la Google. \u00cen aceast\u0103 publicare pe blogul Google Cloud, el a prezentat un rezumat concis dintr-un ghid mai detaliat al companiei sale, intitulat \u201eCele mai bune practici pentru operarea containerelor<\/a><\/noindex>\u201d. \u00cen el, speciali\u0219tii Google au adunat cele mai bune practici pentru exploatarea containerelor \u00een contextul utiliz\u0103rii Google Kubernetes Engine \u0219i nu numai, acoperind o gam\u0103 larg\u0103 de teme: de la securitate p\u00e2n\u0103 la monitorizare \u0219i \u00eenregistrare. A\u0219adar, care sunt practicile cele mai importante \u00een lucru cu containere, potrivit Google?<\/i><\/p>\n

\"7<\/a><\/noindex><\/p>\n

Google Kubernetes Engine<\/a><\/noindex> (serviciul bazat pe Kubernetes pentru rularea aplica\u021biilor containerizate \u00een Google Cloud \u2014 not\u0103 de traducere.<\/b>)<\/i> \u2014 este una dintre cele mai bune modalit\u0103\u021bi de a rula sarcini de lucru care necesit\u0103 scalare. Kubernetes<\/a><\/noindex> va asigura func\u021bionarea f\u0103r\u0103 probleme a majorit\u0103\u021bii aplica\u021biilor, dac\u0103 acestea sunt containerizate. Dar, dac\u0103 dori\u021bi ca aplica\u021bia s\u0103 fie u\u0219or de gestionat \u0219i s\u0103 profita\u021bi de toate avantajele Kubernetes, trebuie s\u0103 urma\u021bi cele mai bune practici. Acestea vor simplifica exploatarea aplica\u021biei, monitorizarea \u0219i depanarea acesteia, precum \u0219i vor \u00eembun\u0103t\u0103\u021bi securitatea.<\/p>\n

\u00cen acest articol, vom trece \u00een revist\u0103 lista a ceea ce trebuie s\u0103 \u0219ti\u021bi \u0219i s\u0103 face\u021bi pentru o func\u021bionare eficient\u0103 a containerelor \u00een Kubernetes. Cei care doresc s\u0103 \u00een\u021beleag\u0103 mai \u00een detaliu ar trebui s\u0103 citeasc\u0103 materialul Cele mai bune practici pentru operarea containerelor<\/a><\/noindex>, iar de asemenea s\u0103 acorde aten\u021bie post\u0103rii noastre anterioare<\/a><\/noindex> despre construirea containerelor.<\/p>\n

1. Utiliza\u021bi mecanismele native ale containerelor pentru \u00eenregistrare<\/h2>\n

\nDac\u0103 aplica\u021bia este rulat\u0103 \u00eentr-un cluster Kubernetes, nu este nevoie de prea mult pentru \u00eenregistr\u0103ri. Un sistem de \u00eenregistrare centralizat este probabil deja integrat \u00een clusterul utilizat. \u00cen cazul utiliz\u0103rii Google Kubernetes Engine, aceasta este responsabilitatea Stackdriver Logging<\/a><\/noindex>. (Nota traduc\u0103torului.<\/b>: \u00cen cazul utiliz\u0103rii unei instal\u0103ri proprii de Kubernetes, v\u0103 recomand\u0103m s\u0103 lua\u021bi \u00een considerare solu\u021bia noastr\u0103 Open Source \u2014 loghouse<\/a><\/noindex>.)<\/i> Nu v\u0103 complica\u021bi via\u021ba \u0219i folosi\u021bi mecanismele native ale jurnaliz\u0103rii containerelor. Scrie\u021bi \u00eenregistr\u0103rile \u00een stdout \u0219i stderr \u2014 ele vor fi ob\u021binute, salvate \u0219i indexate automat.<\/p>\n

Dac\u0103 dori\u021bi, pute\u021bi, de asemenea, s\u0103 scrie\u021bi \u00eenregistr\u0103rile \u00een format JSON<\/a><\/noindex>. Aceast\u0103 abordare va permite ad\u0103ugarea u\u0219oar\u0103 de metadate. \u0218i \u00eempreun\u0103 cu acestea, \u00een Stackdriver Logging va ap\u0103rea posibilitatea de c\u0103utare a \u00eenregistr\u0103rilor folosind aceste metadate.<\/p>\n

2. Asigura\u021bi-v\u0103 c\u0103 containerele sunt stateless \u0219i immutable<\/h2>\n

\nPentru un func\u021bionare corect\u0103 a containerelor \u00eentr-un cluster Kubernetes, acestea trebuie s\u0103 fie stateless \u0219i immutable. C\u00e2nd aceste condi\u021bii sunt \u00eendeplinite, Kubernetes \u00ee\u0219i va putea \u00eendeplini sarcinile, cre\u00e2nd \u0219i distrug\u00e2nd entit\u0103\u021bi ale aplica\u021biei ori de c\u00e2te ori \u0219i unde este necesar.<\/p>\n

Stateless<\/i> \u00eenseamn\u0103 c\u0103 orice stare (date persistente de orice fel) este stocat\u0103 \u00een afara containerului. \u00cen acest sens, \u00een func\u021bie de necesit\u0103\u021bi, pot fi utilizate diferite tipuri de stoc\u0103ri externe: Cloud Storage<\/a><\/noindex>, Discuri Persistente<\/a><\/noindex>, Redis<\/a><\/noindex>, Cloud SQL<\/a><\/noindex> sau alte baze de date gestionate. (Nota traduc\u0103torului.<\/b>: Afla\u021bi mai multe despre acest subiect \u00een articolul nostru \u201eOperatori pentru Kubernetes: cum s\u0103 lancezi aplica\u021bii stateful<\/a><\/noindex>\u00bb.)<\/i><\/p>\n

Immutable<\/i> \u00eenseamn\u0103 c\u0103 containerul nu va fi modificat pe parcursul vie\u021bii sale: nicio actualizare, niciun patch, f\u0103r\u0103 modific\u0103ri ale configura\u021biei. Dac\u0103 dori\u021bi s\u0103 actualiza\u021bi codul aplica\u021biei sau s\u0103 aplica\u021bi un patch, crea\u021bi o nou\u0103 imagine \u0219i desf\u0103\u0219ura\u021bi-o. Se recomand\u0103 extragerea configura\u021biei containerului (portul de ascultare, op\u021biunile mediului de execu\u021bie etc.) \u00een afara acestuia \u2014 \u00een Secrets<\/a><\/noindex> \u0219i ConfigMaps<\/a><\/noindex>. Acestea pot fi actualizate f\u0103r\u0103 a fi necesar\u0103 construirea unei noi imagini a containerului. Pentru a simplifica crearea de pipeline-uri pentru construc\u021bia imaginilor, se poate utiliza Cloud Build<\/a><\/noindex>. (Nota traduc\u0103torului.<\/b>: Pentru aceste scopuri, folosim instrumentul Open Source dapp<\/a><\/noindex>.)<\/i><\/p>\n

\"7
\nExemplu de actualizare a configura\u021biei Deployment \u00een Kubernetes folosind ConfigMap, montat \u00een poduri ca un config<\/i><\/p>\n

3. Evita\u021bi containerele privilegiate<\/h2>\n

\nNu rula\u021bi aplica\u021bii sub root pe serverele dumneavoastr\u0103, corect? Dac\u0103 un atacator p\u0103trunde \u00een aplica\u021bie, va ob\u021bine acces cu drepturi de root. Acelea\u0219i considera\u021bii se aplic\u0103 \u0219i pentru a nu rula containere privilegiate. Dac\u0103 este necesar s\u0103 modifica\u021bi set\u0103rile pe host, pute\u021bi atribui containerului specifica\u021bii. capabilities<\/i> prin op\u021biunea securityContext<\/code><\/a><\/noindex> \u00een Kubernetes. Dac\u0103 este nevoie s\u0103 modifica\u021bi sysctls<\/i>, Kubernetes are o anota\u021bie separat\u0103<\/a><\/noindex> pentru aceasta. \u00cen general, \u00eencerca\u021bi s\u0103 utiliza\u021bi c\u00e2t mai mult init-<\/a><\/noindex> \u0219i containere sidecar pentru a efectua astfel de opera\u021biuni privilegiate. Ele nu necesit\u0103 accesibilitate pentru traficul intern sau extern.<\/p>\n

Dac\u0103 administra\u021bi un cluster, pute\u021bi utiliza Politica de Securitate a Pod-urilor<\/a><\/noindex> pentru limit\u0103rile aplic\u0103rii containerelor privilegiate.<\/p>\n

4. Evita\u021bi rularea sub root<\/h2>\n

\nS-au men\u021bionat deja containerele privilegiate, dar ar fi \u0219i mai bine dac\u0103, \u00een completare, nu ve\u021bi rula aplica\u021bii sub root \u00een interiorul containerului. Dac\u0103 un atacator descoper\u0103 o vulnerabilitate la distan\u021b\u0103 \u00een aplica\u021bia cu drepturi de root care permite executarea de cod \u0219i apoi reu\u0219e\u0219te s\u0103 ias\u0103 din limita containerului printr-o vulnerabilitate neidentificat\u0103, va ob\u021bine drepturi de root pe host.<\/p>\n

Cea mai bun\u0103 modalitate de a evita aceasta este, \u00een primul r\u00e2nd, s\u0103 nu rula\u021bi nimic sub root. Pentru aceasta, pute\u021bi folosi directiva. USER<\/code> \u00een Dockerfile<\/code> sau runAsUser<\/code> \u00een Kubernetes. Administratorul de cluster poate de asemenea s\u0103 configureze un comportament for\u021bat cu ajutorul Politica de Securitate a Pod-urilor<\/a><\/noindex>.<\/p>\n

5. Faceti aplica\u021bia u\u0219or de monitorizat<\/h2>\n

\nLa fel ca \u0219i logarea, monitorizarea este o parte esen\u021bial\u0103 a managementului aplica\u021biei. O solu\u021bie popular\u0103 pentru monitorizare \u00een comunitatea Kubernetes este Prometheus<\/a><\/noindex> \u2014 un sistem care descoper\u0103 automat podurile \u0219i serviciile ce necesit\u0103 monitorizare. (Nota traduc\u0103torului.<\/b>: Consulta\u021bi \u0219i raportul nostru detaliat<\/a><\/noindex> privind monitorizarea folosind Prometheus \u0219i Kubernetes.)<\/i> Stackdriver<\/a><\/noindex> este capabil s\u0103 monitorizeze clustere Kubernetes \u0219i include versiunea sa de Prometheus pentru monitorizarea aplica\u021biilor.<\/p>\n

\"7
\nPanoul de monitorizare Kubernetes din Stackdriver<\/i><\/p>\n

Prometheus se a\u0219teapt\u0103 ca aplica\u021bia s\u0103 expun\u0103 metrici printr-un endpoint HTTP. Pentru aceasta sunt disponibile biblioteci client Prometheus<\/a><\/noindex>. Acela\u0219i format este utilizat de alte instrumente precum OpenCensus<\/a><\/noindex> \u0219i Istio<\/a><\/noindex>.<\/p>\n

6. Face\u021bi disponibil statusul s\u0103n\u0103t\u0103\u021bii aplica\u021biei<\/h2>\n

\nManagementul aplica\u021biei \u00een produc\u021bie beneficiaz\u0103 de capacitatea acesteia de a raporta starea sa \u00eentregului sistem. Este aplica\u021bia pornit\u0103? Este func\u021bional\u0103? Este preg\u0103tit\u0103 s\u0103 primeasc\u0103 trafic? Cum se comport\u0103? Cea mai comun\u0103 metod\u0103 de a aborda aceast\u0103 problem\u0103 este implementarea verific\u0103rilor de s\u0103n\u0103tate (health checks)<\/i>. Kubernetes dispune de dou\u0103 tipuri de asemenea verific\u0103ri: liveness \u0219i readiness probes<\/a><\/noindex>.<\/p>\n

Pentru liveness probe (verific\u0103ri de viabilitate)<\/i> aplica\u021bia trebuie s\u0103 aib\u0103 un endpoint HTTP care returneaz\u0103 r\u0103spunsul \u201e200 OK\u201d dac\u0103 func\u021bioneaz\u0103 \u0219i dependen\u021bele sale principale sunt \u00eendeplinite. Pentru readiness probe (verific\u0103ri de preg\u0103tire pentru servire)<\/i> Aplica\u021bia ar trebui s\u0103 aib\u0103 un alt endpoint HTTP care s\u0103 returneze un r\u0103spuns \"200 OK\" dac\u0103 aplica\u021bia este \u00een stare bun\u0103, pa\u0219ii de ini\u021bializare au fost finaliza\u021bi, iar orice solicitare valid\u0103 nu duce la o eroare. Kubernetes va redirec\u021biona traficul c\u0103tre container doar \u00een cazul \u00een care aplica\u021bia este preg\u0103tit\u0103 conform acestor verific\u0103ri. Cele dou\u0103 endpoint-uri pot fi combinate dac\u0103 nu exist\u0103 nicio diferen\u021b\u0103 \u00eentre st\u0103rile de viabilitate (liveness) \u0219i preg\u0103tire (readiness).<\/p>\n

Mai multe informa\u021bii pot fi g\u0103site \u00een articolul corespunz\u0103tor scris de Sandeep Dinesh, Developer Advocate de la Google: \u201eKubernetes best practices: Configurarea verific\u0103rilor de s\u0103n\u0103tate cu probe de readiness \u0219i liveness<\/a><\/noindex>\u00bb.<\/p>\n

7. Alege\u021bi cu aten\u021bie versiunea imaginii<\/h2>\n

\nCele mai multe imagini publice \u0219i private utilizeaz\u0103 un sistem de etichetare similar cu cel descris \u00een Best Practices for Building Containers<\/a><\/noindex>. Dac\u0103 imaginea aplic\u0103 un sistem asem\u0103n\u0103tor cu versionarea semantic\u0103<\/a><\/noindex>, este necesar s\u0103 \u021bine\u021bi cont de specificitatea etichet\u0103rii. De exemplu, eticheta latest<\/code> poate migra frecvent de la o imagine la alta - nu se poate conta pe ea dac\u0103 ave\u021bi nevoie de construc\u021bii \u0219i instal\u0103ri previzibile \u0219i reproducibile.<\/p>\n

Pute\u021bi utiliza eticheta X.Y.Z<\/code> (de obicei, acestea r\u0103m\u00e2n neschimbate), \u00eens\u0103 \u00een acest caz, urm\u0103ri\u021bi toate patch-urile \u0219i actualiz\u0103rile imaginii. Dac\u0103 imaginea utilizat\u0103 are eticheta X.Y<\/code>, acesta este o alegere bun\u0103 de mijloc. Aleg\u00e2nd-o, ob\u021bine\u021bi automat patch-uri \u0219i, \u00een acela\u0219i timp, v\u0103 baza\u021bi pe o versiune stabil\u0103 a aplica\u021biei.<\/p>\n

P.S. de la traduc\u0103tor<\/h2>\n

\nCiti\u021bi \u0219i \u00een blogul nostru:<\/p>\n