Den 24 november avslutades Slörm Mega, en avancerad intensivkurs om Kubernetes. kommer att Àga rum i Moskva den 18-20 maj.
Idén med Slörm Mega: Vi tittar under huven pÄ klustret, gÄr igenom teorin och praktiken kring installation och konfiguration av ett produktionsklart kluster ("the-not-so-easy-way"), samt diskuterar mekanismer för sÀkerhet och tillförlitlighet av applikationer.
Bonusen för Mega: De som genomgÄr Slörm GrundlÀggande och Slörm Mega fÄr all kunskap som krÀvs för att klara provet för och 50% rabatt pÄ provet.
Ett sÀrskilt tack till Selectel för att de tillhandahöll molnet för praktiska övningar, vilket gjorde att varje deltagare kunde arbeta i sitt eget fullstÀndiga kluster, sÄ att vi inte behövde höja biljettpriset med extra 5000.
Jag kommer inte att berÀtta vem Bondarev och Selivanov Àr, de som Àr intresserade, .
Slörm Mega. Första dagen.
Under den första dagen av Slörm Mega belastade vi deltagarna med 4 Àmnen. Pavel Selivanov pratade om processen att skapa ett tillförlitligt kluster inifrÄn, om arbetet med Kubeadm, samt om testning och felsökning av klustret.
Första kaffepausen. Vanligtvis en "signal för lÀraren", men pÄ Slörm, medan eleverna dricker kaffe, fortsÀtter lÀrarna att svara pÄ frÄgor.
Och trots att en liten moln "Paus II" svÀvar över Pavel Selivanov, Àr det inte hans öde att gÄ pÄ paus.
Sergey Bondarev och Marcel Ibraev vÀntar pÄ sin tur att gÄ fram till katedern.
Under pausen gick jag fram till Sergey Bondarev och frÄgade: "Vad skulle du rekommendera alla Kubernetes-ingenjörer utifrÄn din erfarenhet med kluster hos vÄra kunder?"
Sergey gav ett enkelt rÄd: "StÀng tillgÄngen frÄn internet till API-servern. För det dyker det ibland upp sÀkerhetshot som gör att obehöriga anvÀndare kan fÄ tillgÄng till klustret.»
Efter ett par minuter och en flaska mineralvatten kastade Pavel Selivanov sig in i Àmnet "Behörighet i klustret med hjÀlp av en extern leverantör", nÀmligen LDAP (Nginx + Python) och OIDC (Dex + Gangway).
Under nĂ€sta paus delade Marcel Ibraev, talare för Slörm och Certified Kubernetes Administrator, med sig av sitt rĂ„d till Kubernetes-ingenjörer: "Jag ska sĂ€ga nĂ„got som kanske verkar banalt, men med tanke pĂ„ hur ofta jag stöter pĂ„ detta, finns det en misstanke om att det inte alla beaktar. Man bör inte blint tro pĂ„ alla How-To-guider frĂ„n Internet som beskriver hur fantastiskt olika lösningar fungerar. I Kubernetes-kontexten fĂ„r detta en sĂ€rskild betydelse. Eftersom Kubernetes Ă€r ett komplext system kan tillsats av en lösning som inte har testats i just ditt projekt och din klusterinstallation leda till trĂ„kiga konsekvenser, trots att det skrivits om dess förtrĂ€fflighet pĂ„ Internet. Ăven den enklaste Kubernetes-installationen kan skada ditt projekt utan en genomtĂ€nkt strategi; "vad som Ă€r bra för ryssen kan vara döden för tysken". DĂ€rför testar, kontrollerar och utvĂ€rderar vi varje lösning innan vi implementerar den. Endast sĂ„ kan du ta hĂ€nsyn till alla nyanser som kan uppstĂ„.».
Efter lunch gick Sergej Bondarev in i striden. Hans Àmne Àr nÀtverkspolicyer, specifikt en introduktion till CNI och nÀtverkssÀkerhetspolicy.
Det finns gott om artiklar om nÀtverkspolicyer pÄ internet. Bland administratörer finns Äsikten att man kan klara sig utan nÀtverkspolicyer, men sÀkerhetsansvariga Àlskar detta verktyg och krÀver att nÀtverkspolicyer ska vara aktiverade.
Kubernetes-styrhjulen togs över av Pavel Selivanov med Àmnet "SÀkra och högtillgÀngliga applikationer i klustret". Han har sina favoritÀmnen: PodSecurityPolicy, PodDisruptionBudget, LimitRange/ResourceQuota.
MeganÀmnet som Pavel presenterade pÄ DevOpsConf: .
Efter berÀttelsen om hur lÀtt det Àr att hacka ett Kubernetes-kluster sÀger skeptiska administratörer: "Aha, jag sa ju att ert Kubernetes Àr en genomskinlig skrÀpprodukt". Pavel förklarar att det Àr möjligt att konfigurera sÀkerheten i klustret och att det inte Àr svÄrt, bara att sÀkerhetsinstÀllningarna som standard Àr avstÀngda. Detaljer finns i transkriberingen. .
â Vem hackade klustret? HĂ€r Ă€r han, han hackade klustret! Det syns tydligt hĂ€rifrĂ„n!
PÄ slemmerna Àr ingenting enkelt och lÀtt för att undvika tristess. Men den hÀr gÄngen försökte Telegram visa alla sin femte punkt:
Marcel Ibraev, [22 nov. 2019, 16:52:52]:
Kollegor, för tillfÀllet upplever vi störningar i Telegram, ha det i Ätanke.
Den första dagen avslutades med en intensiv och kunskapsrik upplevelse. Den andra dagen innebÀr Ànnu mer praktik, med uppsÀttning av en databaskluster med PostgreSQL, uppsÀttning av RabbitMQ-kluster och hantering av hemligheter i Kubernetes.
Slurm Mega. Andra dagen.
Presentatören inledde den andra dagen med ett energiskt uttalande: "Som Pavel uttryckte det igÄr, vi har en riktig utmaning framför oss. Med kirurgens sprÄk, vi ska utforska djupet av Kubernetes!"
UnderhĂ„llaren Ă€r en historia för sig. Ett av Slurms problem Ă€r att deltagarna stĂ€nger av sig sjĂ€lva och somnar pĂ„ grund av informationsöverbelastning. Vi har alltid letat efter sĂ€tt att hantera detta, och pĂ„ det senaste Slurmet fick vi bra resultat med smĂ„ spel för publiken. Denna gĂ„ng anlitade vi en sĂ€rskilt utbildad person. MĂ„nga skĂ€mtade i chatten om "intressanta tĂ€vlingar", men faktum kvarstĂ„r â vi har aldrig sett sĂ„ mĂ„nga engagerade deltagare tidigare.
Marsel Ibraev fick hjÀlp och började studera Stateful-apparater i klustret. Det handlade om att sÀtta upp en databaskluster med PostgreSQL och RabbitMQ.
Efter lunchen tog Sergey Bondarev över K8S. Ămnet var "Hantering av hemligheter". Han fick stöd av Mulder och Scully. Vi studerade hantering av hemligheter i Kubernetes och Vault. Dessutom "Sanningen finns dĂ€r ute".
Det pÄgick fram till sent pÄ kvÀllen, nÀr Pavel Selivanov började tala om Horizontal Pod Autoscaler.
Slurm Mega. Tredje dagen.
Plötsligt och energiskt frÄn morgonen vÀckte Sergey Bondarev publiken med backup och ÄterstÀllning efter fel. Vi testade backup och ÄterstÀllning av kluster med hjÀlp av Heptio Velero och etcd.
Sergey fortsatte temat för den Ärliga rotationen av certifikat i klustret: förlÀngning av control-plane certifikat med kubeadm. Precis innan lunchen, för att fÄ deltagarna att kÀnna hunger eller helt avskrÀcka dem, lyfte Pavel Selivanov upp temat för deployment av applikationen.
Vi diskuterade verktyg för templating och deployment, och samtidigt strategier för deployment.
Pavel Selivanov presenterade ett nytt Àmne: Service Mesh, installation av Istio. Temat var sÄ omfattande att man skulle kunna göra en separat intensivkurs om det. HÄll ögonen öppna för kommande annonser.
Det viktigaste Àr att allt fungerar korrekt. För nu har praktiken börjat:
Bygga CI/CD för att kunna starta en applikationsdistribution och uppdatering av klustret samtidigt. I projekt som anvÀnds i utbildningen fungerar allt bra. Men livet Àr ibland fullt av överraskningar.
MĂ„ Slurm vara med dig!
KĂ€lla: habr.com
