MemOps 😃

Удаленное выполнение кода в Kubernetes через узлы/прокси GET Permission

В этом посте я опишу, как выполнять код на каждом Pod во многих кластерах Kubernetes при использовании учетной записи службы с разрешениями nodes/proxy GET. Эта проблема была первоначально сообщена через процесс раскрытия уязвимостей Kubernetes и закрыта как работающая по назначению.

📌 Подробнее: https://grahamhelton.com/blog/nodes-proxy-rce

MemOps 🤨

Аетос: От хаоса к инженерному совершенству — 3-летняя трансформация

Как мы трансформировали производительность инженерии, построив Платформу внутреннего разработчика (IDP), которая теперь обрабатывает ~50 млн API-вызовов в день, управляет 14 000 ВМ и обеспечивает 80+ релизов в год, и чему вы можете научиться из нашего пути.

📌 Подробнее: https://medium.com/@charudatha/aet%C3%B2s-from-chaos-to-engineering-excellence-a-3-year-transformation-51a3f778678a

MemOps 🤨

MemOps 😃

Docker: namespaces и cgroups

Когда контейнер падает с OOMKilled или порт не пробрасывается, не нужно гадать: это обычный Linux-процесс, который ядро ограничивает двумя механизмами. Namespaces дают ему изолированный вид — свой PID 1, таблицу маршрутизации и интерфейсы, mount-точки. Cgroups выставляют жёсткие лимиты на CPU, память и I/O, чтобы один контейнер не уложил хост.

Посмотреть на изоляцию помогает
unshare
. Docker связывает контейнер через veth: один конец на мосте
docker0
, другой в namespace. За лимитами отвечают cgroups, которые Docker задаёт через
docker run
.

Понимание этих двух механизмов спасает от «почему работает локально, а в проде падает». При инциденте смотрите сначала на них, а не на приложение.

📌Подробнее: https://dev.to/doogal/how-docker-actually-works-a-deep-dive-into-namespaces-and-cgroups-5h3e

MemOps 🤨

MemOps 😃

Furiko — современный планировщик заданий Kubernetes, созданный с нуля для гибкости, расширяемости и надёжности. Он спроектирован для запуска заданий с различными политиками повторения, управления историей запусков и предоставления пользовательского интерфейса для просмотра и администрирования заданий.

Furiko состоит из следующих компонентов:

- QueueJob Controller: абстракция заданий, которые можно ставить в очередь с масштабируемой логикой запуска.

- CronJob Controller: надёжный планировщик повторяющихся заданий с CRON-подобной семантикой.

- Web UI: удобный пользовательский интерфейс для управления заданиями и их выполнениями.

- CLI: утилита командной строки для взаимодействия с заданиями Furiko.

📌Подробнее: https://github.com/furiko-io/furiko

MemOps 🤨

MemOps 😃

Announcing vmestimator: Real-time Cardinality Estimations for VictoriaMetrics and Prometheus

Статья о vmestimator в блоге VM. vmestimator запускается в точке сбора данных, вычисляя кардинальность на основе входящего потока и предоставляя их в виде метрик через /metrics, совместимых с Prometheus, для сбора данных и оповещений.

📌Подробнее: https://victoriametrics.com/blog/vmestimator-announcement/index.html

MemOps 🤨

MemOps 😃

Open, Multi-Cloud, Multi-Cluster Kubernetes Orchestration

📌Подробнее: https://github.com/karmada-io/karmada

MemOps 🤨

MemOps 😃

Dasha — дашборд PostgreSQL

Когда Графиня уже занята, остается Даша. Написана на Go. Дополнительно в качестве источника данных можно подключать Prometheus или VictoriaMetrics.

Dasha анализирует состояние кластеров PostgreSQL, выявляет проблемы и даёт рекомендации по оптимизации.

📌 Подробнее: https://habr.com/ru/articles/1062540/
📌 https://github.com/dbulashev/dasha

Еще один похожий инструмент — Powa.

MemOps 🤨

Может им поменяться?

MemOps 😃

Observability в одном Go-бинарнике: как я собрал self-hosted без Kafka и Redis

Мне нужна была observability для собственных сервисов, и хотелось держать её у себя: логи ошибок — часто самые чувствительные данные в системе, и отдавать их наружу не хотелось. Официальный self-hosted-вариант знакомого стека — серьёзная инсталляция: приёмник, брокер, воркеры, кэш, отдельное аналитическое хранилище — в референсном docker-compose набегает под два десятка контейнеров. Для одного человека и нескольких проектов это несоразмерно: такое надо не только поднять, но и обновлять, чинить и держать в памяти.

Тогда я задал себе вопрос: сколько из этого действительно необходимо, если цель — self-hosted-инстанс на небольшой и средний объём? Ответ оказался неожиданным — почти ничего. Так появилась Gotcha: один Go-бинарник поверх двух баз, который принимает ошибки, трейсы, метрики, профили и аптайм.

📌 Подробнее: https://habr.com/ru/articles/1062624/
https://github.com/OtezVikentiy/gotcha

MemOps 🤨

MemOps 😃

Миграция с Bitnami PostgreSQL на CloudNative-PG в Kubernetes

Если вы запускаете PostgreSQL в Kubernetes, скорее всего, вы использовали популярные чарты Helm от Bitnami. Они были основным выбором для многих, но впереди значительные изменения. Как описано в этой проблеме GitHub, Bitnami переводит свои готовые к продакшену чарты и образы в коммерческое предложение. Для тех из нас, кто полагается на открытое ПО и выступает за него, это означает, что пора искать надежную альтернативу.

📌 Подробнее: https://k8scockpit.tech/posts/cloudnative-pg

MemOps 🤨

MemOps 😃

Принудительное использование подписанных образов контейнеров в Kubernetes с помощью Cosign и Kyverno (настройка на основе Helm)

В этой статье объясняется, как Cosign, Kyverno и Harbor могут работать вместе для обеспечения проверки подписи образов в Kubernetes. Этот подход хорошо подходит для корпоративных сред с частыми реестрами, пользовательскими сертификатами TLS и ограниченным доступом к публичным журналам прозрачности.

📌 Подробнее: https://medium.com/@hansakabiyon99/enforcing-signed-container-images-in-kubernetes-using-cosign-kyverno-helm-based-setup-646209ecb8ce

MemOps 🤨