Блог
Подборка статей по выбранной теме.
13 минут · закреплять стандарты кластера до записи объектов в etcd
Плохие манифесты попадают в etcd, если на пути admission ничего нет. Сочетайте ValidatingAdmissionPolicy на CEL, движки политик и аккуратно обслуживаемые mutating/validating webhook — с выкатом Ignore→Fail, селекторами namespace и TLS через cert-manager — чтобы дефолты и запреты срабатывали до сохранения.
14 минут · безопасно перевести внешний трафик кластера с Ingress на Gateway API
Ingress смешивает маршрутизацию, TLS и политики в одном объекте и опирается на аннотации контроллера. Gateway API разделяет GatewayClass, Gateway и HTTPRoute по ролям — мигрируйте параллельно с ingress2gateway, ReferenceGrant и RequestMirror, и только потом переключайте DNS.
14 минут · организовать GitOps-репозитории для нескольких окружений Kubernetes
Плоские папки с манифестами ломаются, когда появляются кластеры и команды. Разделите репозитории приложений с оверлеями Kustomize, репозиторий платформы для общих компонентов и при необходимости отдельный control plane окружений — плюс продвижение через PR, CODEOWNERS и External Secrets.
14 минут · ловить скачки стоимости namespace и безопасно автоматизировать реакцию
Ежемесячный счёт приходит, когда перерасход уже случился. OpenCost отдаёт метрики в Prometheus, скользящие базовые линии ловят скачки по namespace, а Alertmanager при критическом превышении бюджета запускает Argo Workflows — после того как команды две–четыре недели смотрели дашборды.
13 минут · убрать 502 при деплое за счёт корректного завершения подов
Ошибки 502 при деплое и drain нод часто связаны не со стратегией обновления, а с тем, как под принимает SIGTERM. Сочетайте отведение соединений в приложении, паузу PreStop, PDB для добровольных нарушений и учёт сайдкаров — тогда пользователи не замечают выкат.
14 минут · масштабировать пакетные и очередевые нагрузки по внешним событиям
HPA масштабирует по CPU и памяти; потребители очередей и пакетные задачи нуждаются в глубине очереди, отставании (lag) и расписании. KEDA даёт масштабирование до нуля, ScaledObject для долгоживущих воркеров и ScaledJob для параллельного разбора очереди — без оплаты простаивающих подов между всплесками.
14 минут · изолировать нагрузки арендаторов квотами и сетевыми правилами
Одна пакетная задача с неограниченными requests может задушить чувствительные к задержке API на общем кластере. Сложите tiered namespace, ResourceQuota, LimitRange, default-deny NetworkPolicy и при необходимости выделенные пулы узлов — с метками затрат для финансов.
14 минут · превратить сигналы наблюдаемости в надежные действия масштабирования
Масштабирование только по CPU реагирует тогда, когда задержка уже заметна пользователям. Постройте замкнутый контур: Prometheus считает насыщение и давление очереди, KEDA применяет ограниченное поведение HPA, а панели показывают качество масштабирования как отдельный SRE-сигнал.
14 минут · связать расход namespace с бюджетом и лимитами
Облачный биллинг показывает сумму по кластеру, а не какой namespace сжёг бюджет на неиспользуемые CPU requests. ResourceQuota ограничивает потребление команд, LimitRange задаёт профиль подов, OpenCost или Kubecost замыкают петлю атрибуции — с метками для сверки с финансами.
14 минут · откатывать канарейку при превышении burn rate по SLO
Запустить канареечный релиз просто; продвинуть или откатить по фактам — нет. Свяжите Flagger или Argo Rollouts с математикой burn rate по SLO, чтобы откат срабатывал при ускоренном расходе бюджета ошибок — а не после ночного просмотра панели.
14 минут · проверять и ограничивать каждое соединение между подами
В Kubernetes по умолчанию любой под достигает любого другого. Сочетайте запрет по умолчанию через NetworkPolicy, взаимную аутентификацию на SPIRE и принуждение в eBPF через Cilium — сегментируйте внутрикластерный трафик и доказывайте идентичность сервиса без sidecar на каждом поде.
12 минут · переключать продакшен-трафик атомарно с быстрым откатом
При поэтапном rolling update старая и новая версии одновременно принимают трафик. Blue-green держит два полных стека, проверяет неактивный цвет через preview Service и переключает продакшен одним изменением селектора — откат тем же патчем назад.
14 минут · единый контроль секретов в нескольких облаках без разброса копий
Когда учётные данные лежат в AWS, GCP, Azure и локальном Vault одновременно, разброс копий и устаревшая ротация раздувают последствия утечки. Единый слой с External Secrets Operator и короткоживущими динамическими секретами держит доступ под контролем и аудитом.
14 минут · применять правила соответствия на каждом запросе к API Kubernetes
Страница в вики не отклонит плохой манифест. Policy as Code превращает правила безопасности и соответствия в проверки при admission, которые хранятся в Git и срабатывают при каждом создании и обновлении ресурса — до попадания в продакшен.
14 минут · распределять расходы кластера по командам и автоматизировать ограничения по затратам
В общем кластере Kubernetes непонятно, кто и сколько тратит, пока финотдел не получит счёт. FinOps связывает потребление пространств имён с деньгами, убирает лишние расходы за счёт корректного размера ресурсов и автоматизирует квоты и оповещения без замедления поставки.
14 минут · защитить конвейер сборки от зависимости до подписанного деплоя
Промышленное ПО собирается из сотен зависимостей, базовых образов и инструментов сборки. Без SBOM, подписей и admission-политик команда не докажет, что выкатила, и не остановит подменённый артефакт до попадания в кластер.
14 минут · отлаживать задержки и сетевые проблемы на уровне ядра в продакшене
Метрики приложений не объясняют повторные передачи TCP, задержки планирования cgroup или горячие точки системных вызовов. eBPF запускает изолированные программы в ядре Linux и снимает эти сигналы с минимальными накладными расходами — без strace, sidecar и пересборки ядра.
14 минут · прослеживать путь каждого запроса через микросервисы в Kubernetes
Один запрос пользователя проходит через десятки сервисов до ответа. Логи и метрики не показывают, на каком шаге цепочки появилась задержка или ошибка. В материале — OpenTelemetry Operator, коллекторы агент и шлюз, автоинструментирование и передача контекста W3C в Tempo.
14 минут · объединить трейсы, метрики и логи через масштабируемый уровень Collector
Три отдельных стека — Jaeger, Prometheus и Fluentd — утраивают операционную нагрузку и мешают корреляции сигналов. В материале — агент и шлюз Collector с лимитами памяти, отложенной выборкой трейсов, очередями экспорта и развёртыванием через Helm в Kubernetes.
12 минут · собрать incident tooling в один аудируемый Slack-workflow
On-call до сих пор прыгает между PagerDuty, Grafana, kubectl и wiki, пока горят минуты. В материале — как связать Prometheus Alertmanager со Slack-ботом: обогащение алертов, runbook-действия и remediation с RBAC.
11 минут · ускорить обратную связь по PR без очереди на staging
Общий staging превращается в очередь и дрейф конфигурации. В материале — один namespace на pull request через Helm и GitHub Actions, квоты ресурсов, маршрутизация preview-трафика и удаление окружения при закрытии PR.
12 минут · снизить blast radius релизов через метрико-управляемый progressive rollout
Обычный rolling update всё равно отдаёт рискованные изменения всем пользователям сразу. В статье — связка canary-трафика через Flagger и feature flags: проверка релиза под реальной нагрузкой и быстрый откат без полного простоя.
14 минут · харденинг безопасности Kubernetes для production-кластеров
Кластеры «как есть» уязвимы из-за RBAC, открытого API и etcd без шифрования. В материале — флаги control plane, Pod Security Standards, default-deny в сети, sysctl на узлах, секреты через Vault и поэтапный план внедрения.
12 минут · поставка по GitOps с Argo CD или Flux в Kubernetes
Git как контракт убирает тихий дрейф между кластерами. Сравниваем практики Argo CD и Flux — от установки до политики — и собираем рамки для секретов, наблюдаемости и выкатов, готовых к аудиту.
11 минут · секреты, учётные данные и сертификаты в CI/CD пайплайнах DevOps
Пайплайнам нужны секреты, но размазанные копии и логи многократно увеличивают риск. В статье — централизованный подход, Vault с GitLab, CSI в Kubernetes и предохранители для ротации, доступа и аудита.
10 минут · инженерия надежности и контролируемое тестирование отказов в DevOps
Большинство сбоев происходят не из-за неизвестных багов, а из-за непроверенного поведения системы при отказах. В статье разбираем, как безопасно запускать эксперименты с четкой гипотезой, измерять эффект и превращать выводы в повторяемые улучшения надежности.
12 минут · гибридная платформа и единая модель эксплуатации
Гибридные контуры дробят команды по инструментам и процедурам и замедляют реакцию на инциденты. Разбираем единый операционный слой: общие интерфейсы поставки, сопоставимая наблюдаемость, policy-as-code, сеть и идентичность, которые работают и для Kubernetes, и для VM.
14 минут · выбор инфраструктурной стратегии и архитектуры платформы
CTO хочет ускорить релизы, безопасность требует более жесткой изоляции, а финансы ждут предсказуемую экономику. Контейнеры и VM отвечают на эти запросы по-разному. Разбираем реальные компромиссы, чтобы DevOps-команда выбрала архитектуру без неприятных сюрпризов в продакшне.
