💥 Jenkins снова под прицелом

Представьте: вы открываете Jenkins, даже не авторизовавшись, и видите список агентов, их ОС, состояние очереди и подключённость. Именно так работала страница /securityRealm/signup до версии 2.528.

Почему так вышло

Jenkins когда-то включил туда стандартную боковую панель, а в ней отображались статусы билдов. Никто не заметил, что даже неавторизованный пользователь может глянуть в кухню CI/CD.

Как нашли

Исследователь просто прошёл по URL, получил ответ и увидел всю внутреннюю картину — идеальный старт для атакующего:

— имена агентов → подсказка для lateral movement,
— ОС узлов → выбор эксплойтов,
— статус очереди → понимание нагрузки системы.

В Jenkins 2.528 и LTS 2.516.3 разработчики вычистили include боковой панели из signup.jelly. Теперь любопытный глаз ничего лишнего не увидит.

Иногда уязвимости рождаются не из сложной криптографии, а из банального. Проверяйте даже мелкие шаблоны — иначе ваш CI/CD раскроет инфраструктуру до единого узла.

🐸Библиотека devops'a

#разбор_полётов

🚦 Ускоряем GitLab CI/CD

Обычный пайплайн в GitLab идёт «ступеньками»: сначала build, потом test, потом deploy. Даже если задачи никак не связаны, они будут терпеливо ждать друг друга. В итоге лишние минуты и часы простаивания.

Вместо жёстких стадий можно описать зависимости между стадиями. В GitLab CI это называется DAG — Directed Acyclic Graphs.

Например:

— линтер может запуститься сразу, не дожидаясь сборки,
— тесты стартуют сразу после билда,
— деплой уходит в бой, как только готовы нужные джобы.

Выглядит это так:

unit-tests:
  stage: test
  needs: [ "build-job" ]
  script: make test

lint:
  stage: test
  script: make lint

deploy:
  stage: deploy
  needs: [ "unit-tests", "lint" ]
  script: make deploy

DAG превращает ваш CI/CD из очереди в автомагистраль. Если у вас много джобов — самое время пересмотреть пайплайн.

🐸Библиотека devops'a

#арсенал_инженера

🚨 Quick digest

Срочное включение с новостями и материалами прошедшей недели

— Grafana 12.2

В свежем релизе Grafana 12.2 появилась поддержка LLM-powered SQL expressions — теперь можно использовать генеративный ИИ для написания SQL прямо в панели.

— Docker Desktop 4.46

— ТОП-9 популярных AI-агентов для разработки

— Rufus 4.10

— Дыра в Jenkiins

🐸Библиотека devops'a

#дайджест_недели

💻 Docker теперь запускает целые ОС

Обычно для тестов разных ОС нужны виртуалки, отдельные сервера или dual-boot. Но есть трюк: через Docker можно поднять полноценную систему буквально одной командой.

Контейнер запускается в --privileged режиме и внутри поднимает виртуалку. Подключение к системе идёт через VNC или прямо из браузера.

Пример для Windows:

docker run --privileged -d -p 5999:5999 --name my-win-vm dockur/windows

Через пару минут вы получаете рабочий десктоп.

🐸Библиотека devops'a

#root@prompt

👨‍💻 Быстрые бэкапы без лишних гигабайт в k8s

В Kubernetes появилась новая фича — Changed Block Tracking для CSI-драйверов, но она пока в альфе. Суть простая: вместо того чтобы копировать весь том при бэкапе, система отслеживает только изменившиеся блоки данных и забирает именно их.

➡️ Блог разработчиков

🐸Библиотека devops'a

#пульс_индустрии

🙏 CLI-команда для подписки

Сегодня покажем вам команду для подписки на наш канал в X:

proglib follow https://x.com/_proglib --notify

Если не сработает, то всегда можно перейти по ссылке и подписаться вручную.

🐸Библиотека devops'a

🐧 Linux 6.17

Линус Торвальдс объявил релиз Linux 6.17. По его словам, неделя вышла спокойной: никаких «бомб», только ровная полировка.

Самое заметное — фиксы гонок в Bluetooth, которые могли приводить к use-after-free. Плюс привычный набор мелочей: драйверы (в основном GPU и сеть), файловые системы, ядро и память, апдейты selftests.

➡️ Анонс обновления

🐸Библиотека devops'a

#пульс_индустрии

📡 Конец эпохи диалап

Компания AOL официально прекращает поддержку dial-up — того самого интернета с писком модема и долгим ожиданием соединения.

В 90-е и начале 2000-х это был главный способ выйти в сеть, и многие именно с него начинали знакомство с интернетом.

Dial-up остаётся в прошлом — вместе со звуками соединения и лимитированными тарифами на часы онлайна.

❓А когда вы в последний раз пользовались dial-up интернетом

📎 Источник

🐸Библиотека devops'a

#dev_null

📎 Как дебажить distroless-контейнеры в Kubernetes

Distroless-образы стали популярны благодаря минимализму: внутри только ваше приложение и рантайм: Java, Go, Node.js. Никакого bash, curl или apt. Это повышает безопасность, ускоряет скачивание и снижает поверхность атаки.

Но у такого подхода есть обратная сторона — как отлаживать контейнер без шелла и утилит?

В обычном контейнере вы просто делаете kubectl exec -it pod -- bash и изучаете логи, процессы, сетевые соединения. В distroless — так не получится: шелла и инструментов там нет.

Kubernetes позволяет «прикреплять» временные контейнеры к работающему Pod без его рестарта. Вы можете подключить образ с нужными утилитами и дебажить приложение вживую:

kubectl debug pod/<имя-пода> -it --image=busybox --target=<контейнер>

Эфемерный контейнер делит тот же namespace, что и приложение, поэтому вы получаете доступ к файловой системе, процессам и сети. После завершения отладки контейнер исчезает.


🐸Библиотека devops'a

#арсенал_инженера

🎓 Как вайб-кодинг меняет рынок IT-образования

За последние годы подход к обучению программированию меняется быстрее, чем сами языки. На смену долгим упражнениям с синтаксисом приходит работа с идеями и концепциями, где код во многом генерируется автоматически.

Этот сдвиг называют «вайб-кодингом». Он уже влияет на университетские программы, онлайн-курсы и требования к выпускникам.

➡️ В статье о том, что стоит за этим термином и как он меняет обучение IT-специалистов.

🐸Библиотека devops'a

🚑 Как проверить, жив ли сервис в Kubernetes за одну команду

Обычно, чтобы понять, доступен ли сервис внутри кластера, приходится делать port-forward или искать под с установленным curl. Но есть более короткий путь:

kubectl run curl --rm -it --image=alpine/curl -- -sS myservice.default:8443

👉 А вы чаще используете для диагностики kubectl exec, port-forward или держите отдельный debug-pod?

🐸Библиотека devops'a

#root@prompt

⚙️ Зачем нужен Control Plane в Kubernetes

Когда говорят о Kubernetes, чаще всего представляют себе кластер из множества узлов, где запускаются контейнеры. Но вся эта система работает не сама по себе — ей нужен мозг, управляющий всеми процессами. Этим мозгом и является Control Plane.

Control Plane — это набор компонентов, которые принимают решения о том, что, где и как должно выполняться в кластере. Если рабочие узлы можно сравнить с мускулами, то Control Plane — это нервная система и голова.

В состав Control Plane входят:

• kube-apiserver — главный вход в кластер. Все команды kubectl и взаимодействия с API проходят через него. Он обеспечивает проверку запросов, аутентификацию и валидацию.

• etcd — распределённое хранилище, где держится всё состояние кластера. По сути, это “база данных” Kubernetes, в которой записано, какие ресурсы есть, какое у них состояние и какие должны быть цели.

• kube-scheduler — отвечает за то, на какой рабочий узел попадут новые поды. Он анализирует доступные ресурсы, ограничения, правила и принимает решение.

• kube-controller-manager — набор контроллеров, которые следят, чтобы желаемое состояние совпадало с фактическим. Например, если вы сказали, что должно быть три пода, а осталось два, контроллер поднимет третий.

• cloud-controller-manager (опционально) — компонент для интеграции с облаками (AWS, Azure, GCP и др.), который умеет управлять балансировщиками, дисками и сетями в зависимости от платформы.

Главная сила Control Plane в том, что он реализует декларативную модель управления. Вы описываете в манифесте YAML, что «хочу три реплики приложения», а Control Plane сам добивается этого состояния: запускает поды, следит за их здоровьем и пересоздаёт при сбоях.

Любое действие с кластером — от деплоя приложения до масштабирования или обновления — в конечном счёте проходит через Control Plane. И если он работает стабильно, то и весь кластер предсказуемо выполняет ваши инструкции.

🐸Библиотека devops'a

#Арсенал_инженера

🎓 Какая разница у бакалавра и самоучки

Университетские курсы по DevOps? Почти не существует. CS-программы учат алгоритмы, структуры данных, иногда сетевые основы. Всё полезно, но… попробуйте найти в типичном универе лекцию по Kubernetes, Terraform или GitOps.

Поэтому DevOps-инженеры чаще всего — самоучки. Учебники заменяет документация AWS и GitHub-репозитории с примерами. Реальные навыки приходят через «сгоревший прод», ночные деплои и баги в пайплайне.

Но спор никто не забывал. Одни говорят:

Без CS ты всего лишь оператор Jenkins, который не понимает, почему сломалась сеть

Другие отвечают:

Без практики ты вечный студент, который знает теорему CAP, но не умеет восстановить кластер

💬 А вы что думаете: для DevOps сегодня важнее академическая база или способность быстро тушить пожары в продакшене?

🐸Библиотека devops'a

#холиварня

💼 Золото, а не вакансии

Для вас самый сок из нашего канала с вакансиями:

Полмиллиона за SRE/DevOps'a

DevOps Engineer на Кипр

🐸Библиотека devops'a

#вакансия_недели

🐙 Argo CD 3.2.0-rc1

Вышел релиз-кандидат Argo CD 3.2.0. В нём добавили несколько полезных фич:

• Progressive Sync в ApplicationSet теперь умеет удалять приложения по порядку

• улучшены debug-логи статуса ApplicationSet

• CLI получил поддержку Server-Side Diff и новую команду get-resource

• контроллер теперь может брать более свежую ревизию при повторном sync

• появились health-check для DatadogMetric и CronJob, включая действия suspend/resume/terminate

➡️ Анонс разработичков

🐸Библиотека devops'a

#пульс_индустрии