Књига „Кубернетес за ДевОпс“

Здраво, становници Кхабро! Кубернетес је један од кључних елемената модерног екосистема облака. Ова технологија обезбеђује поузданост, скалабилност и отпорност на виртуелизацију контејнера. Џон Арундел и Џастин Домингус говоре о Кубернетес екосистему и уводе проверена решења за свакодневне проблеме. Корак по корак, изградићете сопствену апликацију засновану на облаку и креирати инфраструктуру која ће је подржавати, поставити развојно окружење и континуирани цевовод за примену који ће вам помоћи док радите на својим следећим апликацијама.

• Започните са контејнерима и Кубернетес-ом од основа: није потребно посебно искуство да бисте научили ову тему. • Покрените сопствене кластере или изаберите управљану Кубернетес услугу од Амазона, Гоогле-а итд. • Користите Кубернетес за управљање животним циклусом контејнера и потрошњом ресурса. • Оптимизујте кластере на основу цене, перформанси, отпорности, снаге и скалабилности. • Научите најбоље алате за развој, тестирање и примену ваших апликација. • Искористите тренутне индустријске праксе како бисте осигурали сигурност и контролу. • Имплементирајте ДевОпс принципе у целој компанији како би развојни тимови могли да делују флексибилније, брже и ефикасније.

Коме је књига намењена?

Књига је најрелевантнија за запослене у административним одељењима одговорним за сервере, апликације и услуге, као и за програмере укључене у изградњу нових сервиса у облаку или миграцију постојећих апликација на Кубернетес и облак. Не брините, не морате да знате како да радите са Кубернетес-ом или контејнерима – научићемо вас свему.

Искусни корисници Кубернетес-а ће такође наћи много вредности, са детаљним покривањем тема као што су РБАЦ, континуирано примену, управљање осетљивим подацима и видљивост. Надамо се да ће странице књиге свакако садржати нешто занимљиво за вас, без обзира на ваше вештине и искуство.

На која питања књига одговара?

Док смо планирали и писали књигу, разговарали смо о технологији облака и Кубернетесу са стотинама људи, разговарајући са лидерима и стручњацима у индустрији, као и са потпуним почетницима. Испод су одабрана питања на која би желели да виде одговоре у овој публикацији.

• „Занима ме зашто би требало да трошите време на ову технологију. Које проблеме ће то помоћи мени и мом тиму да решимо?“
• „Кубернетес изгледа занимљиво, али има прилично високу баријеру за улазак. Припрема једноставног примера није тешка, али даља администрација и отклањање грешака су застрашујући. Желели бисмо да добијемо поуздан савет о томе како људи управљају Кубернетес кластерима у стварном свету и на које проблеме ћемо вероватно наићи."
• „Субјективни савет би био од помоћи. Кубернетес екосистем даје новим тимовима превише опција за избор. Када постоји неколико начина да се уради иста ствар, како знате који је најбољи? Како направити избор?

И можда најважније од свих питања:

• „Како могу да користим Кубернетес, а да не ометам своју компанију?“

Извод. Конфигурација и тајни објекти

Могућност одвајања логике Кубернетес апликације од њене конфигурације (односно, од свих вредности или подешавања која се могу променити током времена) је веома корисна. Вредности конфигурације обично укључују подешавања специфична за окружење, ДНС адресе услуга независних произвођача и акредитиве за аутентификацију.

Наравно, све ово се може ставити директно у код, али овај приступ није довољно флексибилан. На пример, промена вредности конфигурације би тада захтевала да поново направите и примените свој код. Много боље решење би било да одвојите конфигурацију од кода и прочитате је из датотеке или променљивих окружења.

Кубернетес пружа неколико различитих начина за управљање конфигурацијом. Прво, можете проследити вредности апликацији кроз променљиве окружења које су наведене у спецификацији омотача под (погледајте „Променљиве окружења” на страници 192). Друго, конфигурациони подаци могу да се складиште директно у Кубернетес помоћу ЦонфигМап и Сецрет објеката.

У овом поглављу детаљно ћемо истражити ове објекте и погледати неке практичне приступе управљању конфигурацијом и осетљивим подацима помоћу демо апликације.

Ажурирање под шкољки када се конфигурација промени

Замислите да имате примену у свом кластеру и желите да промените неке вредности у његовој ЦонфигМап. Ако користите Хелм графикон (погледајте „Хелм: Менаџер пакета за Кубернетес“ на страници 102), можете аутоматски открити промену конфигурације и поново учитати своје под шкољке једним згодним триком. Додајте следећу напомену у спецификацију примене:

checksum/config: {{ include (print $.Template.BasePath "/configmap.yaml") .
       | sha256sum }}

Шаблон за примену сада садржи контролни збир параметара конфигурације: ако се параметри промене, збир ће бити ажуриран. Ако покренете надоградњу кормила, Хелм ће открити да се спецификација примене променила и поново ће покренути све под шкољке.

Осетљиви подаци у Кубернетесу

Већ знамо да објекат ЦонфигМап пружа флексибилан механизам за чување и приступ конфигурационим подацима у кластеру. Међутим, већина апликација има информације које су осетљиве и осетљиве, као што су лозинке или АПИ кључеви. Такође се може ускладиштити у ЦонфигМап-у, али ово решење није идеално.

Уместо тога, Кубернетес нуди посебан тип објекта дизајниран за складиштење осетљивих података: Сецрет. Затим, погледајмо пример како се овај објекат може користити у нашој демо апликацији.

Да бисте започели, погледајте Кубернетес манифест за Сецрет објекат (погледајте хелло-сецрет-енв/к8с/сецрет.иамл):

apiVersion: v1
kind: Secret
metadata:
    name: demo-secret
stringData:
    magicWord: xyzzy

У овом примеру, приватни кључ магицВорд-а је киззи (ен.википедиа.орг/вики/Ксиззи_(цомпутинг)). Реч киззи је генерално веома корисна у свету рачунара. Слично ЦонфигМап-у, можете да ускладиштите више кључева и вредности у Сецрет објекту. Овде, ради једноставности, користимо само један пар кључ-вредност.

Коришћење тајних објеката као променљивих окружења

Као и ЦонфигМап, Сецрет објекат може бити доступан у контејнеру као променљиве окружења или као датотека на његовом диску. У следећем примеру, доделићемо променљиву окружења вредности из Сецрет:

spec:
   containers:
       - name: demo
          image: cloudnatived/demo:hello-secret-env
          ports:
             - containerPort: 8888
          env:
             - name: GREETING
               valueFrom:
               secretKeyRef:
                  name: demo-secret
                  key: magicWord

Покрените следећу команду у демо спремишту да примените манифесте:

kubectl apply -f hello-secret-env/k8s/
deployment.extensions "demo" configured
secret "demo-secret" created

Као и раније, проследите локални порт на примену да бисте видели резултат у свом претраживачу:

kubectl port-forward deploy/demo 9999:8888
Forwarding from 127.0.0.1:9999 -> 8888
Forwarding from [::1]:9999 -> 8888

Приликом отварања адресе лоцалхост:9999/ требало би да видите следеће:

The magic word is "xyzzy"

Писање тајних објеката у датотеке

У овом примеру ћемо приложити Сецрет објекат контејнеру као датотеку. Код се налази у фасцикли хелло-сецрет-филе демо спремишта.

Да бисмо повезали Сецрет као датотеку, користићемо следећу примену:

spec:
   containers:
       - name: demo
          image: cloudnatived/demo:hello-secret-file
          ports:
              - containerPort: 8888
          volumeMounts:
              - name: demo-secret-volume
                mountPath: "/secrets/"
                readOnly: true
   volumes:
      - name: demo-secret-volume
        secret:
           secretName: demo-secret

Као у пододељку „Креирање конфигурационих датотека из ЦонфигМап објеката“ на стр. 240, креирамо волумен (у овом случају демо-сецрет-волуме) и монтирамо га у контејнер у одељку волумеМоунтс спецификације. Поље моунтПатх је /сецретс, тако да ће Кубернетес креирати једну датотеку у овој фасцикли за сваки пар кључ/вредност дефинисан у објекту Сецрет.

У нашем примеру дефинисали смо само један пар кључ/вредност који се зове магицВорд, тако да ће манифест креирати једну датотеку само за читање /сецретс/магицВорд са осетљивим подацима у контејнеру.

Ако примените овај манифест на исти начин као претходни пример, требало би да добијете исти резултат:

The magic word is "xyzzy"

Читање тајних предмета

У претходном одељку користили смо команду кубецтл десцрибе за приказ садржаја ЦонфигМап-а. Може ли се исто урадити са Сецретом?

kubectl describe secret/demo-secret
Name:          demo-secret

Namespace:      default
Labels:             <none>
Annotations:
Type:               Opaque

Data
====
magicWord: 5   bytes

Имајте на уму да се сами подаци не приказују. Тајни објекти у Кубернетес-у су типа Опакуе, што значи да њихов садржај није приказан у излазу кубецтл описа, уносима дневника или терминалу, што онемогућава случајно откривање осетљивих информација.

Да бисте видели кодирану ИАМЛ верзију осетљивих података, користите команду кубецтл гет:

kubectl get secret/demo-secret -o yaml
apiVersion: v1
data:
   magicWord: eHl6enk=
kind: Secret
metadata:
...
type: Opaque

басеКСНУМКС

Шта је еХл6енк=, потпуно другачије од наше оригиналне вредности? Ово је заправо тајни објекат, представљен у басе64 кодирању. Басе64 је шема за кодирање произвољних бинарних података као низ знакова.

Пошто осетљиве информације могу бити бинарне и не излазне (као што је случај са ТЛС кључем за шифровање), тајни објекти се увек чувају у басе64 формату.

Текст беХл6енк= је басе64 кодирана верзија наше тајне речи киззи. Ово можете проверити покретањем команде басе64 —децоде у терминалу:

echo "eHl6enk=" | base64 --decode
xyzzy

Дакле, док вас Кубернетес штити од случајног објављивања осетљивих података у терминалу или датотекама евиденције, ако имате дозволе за читање за Сецрет објекте у одређеном именском простору, ти подаци могу бити базирани 64 и накнадно декодирани.

Ако треба да басе64 кодирате неки текст (на пример, да га ставите у тајну), користите команду басе64 без аргумената:

echo xyzzy | base64
eHl6enkK

Приступ тајним објектима

Ко може да чита и уређује тајне објекте? Ово одређује РБАЦ, механизам контроле приступа (детаљно ћемо о томе разговарати у пододељку „Увод у контролу приступа засновану на улогама“ на страни 258). Ако користите кластер који нема РБАЦ или није омогућен, сви ваши објекти Сецрет су доступни свим корисницима и контејнерима (касније ћемо објаснити да не бисте требали имати ниједан производни кластер без РБАЦ-а).

Пасивно шифровање података

Шта је са онима који имају приступ етцд бази података где Кубернетес чува све своје информације? Да ли могу да читају осетљиве податке без дозволе да читају тајне објекте преко АПИ-ја?

Од верзије 1.7, Кубернетес подржава пасивно шифровање података. То значи да се осетљиве информације унутар етцд-а чувају шифроване на диску и не могу их прочитати чак ни они који имају директан приступ бази података. Да бисте га дешифровали, потребан вам је кључ који има само Кубернетес АПИ сервер. У правилно конфигурисаном кластеру, пасивно шифровање треба да буде омогућено.

Можете да проверите да ли пасивно шифровање функционише у вашем кластеру на следећи начин:

kubectl describe pod -n kube-system -l component=kube-apiserver |grep encryption
        --experimental-encryption-provider-config=...

Ако не видите заставицу Екпериментал-енцриптион-провидер-цонфиг, пасивно шифровање није омогућено. Када користите Гоогле Кубернетес Енгине или друге услуге управљања Кубернетесом, ваши подаци се шифрују помоћу другог механизма, тако да ознака неће бити присутна. Проверите код свог Кубернетес добављача да ли је етцд садржај шифрован.

Чување поверљивих података

Постоје неки Кубернетес ресурси који никада не би требало да се уклањају из кластера, као што су веома осетљиви Сецрет објекти. Можете заштитити ресурс од брисања помоћу напомене коју је дао менаџер Хелм-а:

kind: Secret
metadata:
    annotations:
        "helm.sh/resource-policy": keep

Стратегије управљања тајним објектима

У примеру из претходног одељка, осетљиви подаци су заштићени од неовлашћеног приступа одмах након складиштења у кластеру. Али у датотекама манифеста оне су сачуване као обичан текст.

Никада не би требало да стављате поверљиве информације у датотеке које су у контроли верзија. Како можете безбедно да управљате и чувате ове информације пре него што их примените на свој Кубернетес кластер?

Можете одабрати било које алате или стратегије за руковање осетљивим подацима у вашим апликацијама, али ћете и даље морати да одговорите на најмање следећа питања.

• Где треба чувати осетљиве податке да би били лако доступни?
• Како учинити осетљиве податке доступним вашим активним апликацијама?
• Шта би требало да се деси са вашим апликацијама када замените или уредите осетљиве податке?

О ауторима

Џон Арундел је консултант са 30 година искуства у рачунарској индустрији. Написао је неколико књига и сарађује са многим компанијама из различитих земаља, саветујући их о инфраструктури која је заснована на облаку и Кубернетес-у. У слободно време ужива у сурфовању, добар је пуцач из пиштоља, а аматерски свира клавир. Живи у викендици из бајке у Корнволу у Енглеској.

Јустин Домингус — инжењер системске администрације који ради у ДевОпс окружењу са Кубернетес и цлоуд технологијама. Ужива да проводи време на отвореном, пије кафу, једе ракове и седи за компјутером. Живи у Сијетлу, Вашингтон, са дивном мачком и још дивнијом женом и најбољом пријатељицом, Адријен.

» Више детаља о књизи можете пронаћи на веб-сајт издавача
» Преглед садржаја
» Извод

За Кхаброзхителеи 25% попуста користећи купон - Кубернетес

По уплати папирне верзије књиге, електронска књига ће бити послата на е-маил.

Извор: ввв.хабр.цом