🔥 Предлагаем выступить на Cloud Native Community Day в Алматы

3 апреля мы возвращаемся с Cloud Native митапом в Алматы (записи всех митапов на YouTube). Мы готовим камерное, но очень концентрированное событие для тех, кто работает с Cloud Native, Kubernetes, Observability и Platform Engineering.

Какие доклады нам нужны:

⚪️ От инженеров, которые каждый день держат продакшн
⚪️ От инженеров, которые хотят поделиться реальным кейсом
⚪️ Как вы строили платформу и с чем столкнулись
⚪️ Как дебажили сложные инциденты
⚪️ Какие инструменты внедрили и как это убрало боль (или добавило новую)

​Что предлагаем спикерам:

⚪️ ​Официальный ивент CNCF — ваше выступление станет частью глобальной экосистемы
​⚪️ Аудитория: 50 отборных инженеров (SRE, DevOps, Tech Leads)
​⚪️ Атмосфера: максимально теплая + фуршет, подарки и afterparty для нетворкинга

Чувствуете, что у вас есть история, которая спасет кому-то часы дебага?

👉 Подайте заявку как спикер

@DevOpsKaz 😛

🔥 Поздравляем женщин с 8 марта!

KazDevOps и Core 24/7 от всего сердца поздравляет наших женщин с праздником! Желаем вам успехов в каждом деле, в карьере, в жизни — пусть праздник будет частью всех ваших дней без исключения.

Благодарим за всю любовь и красоту, что вы дарите мужчинам 🙏

Помните, что этот мир строится для вас ❤️

С любовью,
@DevOpsKaz 😛

🔥 Новости мира DevOps, которые вы могли пропусти

⚪️Как сохранить поведение Ingress-NGINX в Gateway API

В статье описаны собенности, которые помогут безопасно перейти на новую версию и принять осознанное решение, какие функции сохранить.

⚪️ Wozz: инструмент для анализа затрат на Kubernetes

Wozz — это инструмент для оптимизации затрат на Kubernetes, который выявляет дорогостоящие изменения ресурсов до их слияния.

⚪️ Как OpenAI масштабируют Postgres

Интересная статья, из которой можно подчерпнуть идеи для своей компании. При этом, есть намек на переход к CosmosDB от Azure.

⚪️ Anthropic запустила программу для амбассадоров Claude AI

Платят $1,750 за участие (10 недель по 8 часов в неделю). Нужно проводить AI-воркшопы и мероприятия / создавать AI-сообщества и организовывать хакатоны с митапами. Помимо ЗП обещают доступ ко всем инструментам, кейс в портфолио и возможность влиять на развитие сервиса.

@DevOpsKaz 😛

🔥 Argo CD и Terraform: 4 варианта взаимодействия

Как передавать данные между Terraform / OpenTofu и ArgoCD (или альтернативным инструментом GitOps).

⚪️Вариант 1: DNS и соглашения о «well-known» именах

Terraform создаёт инфраструктуру (например, БД) и сразу регистрирует для неё стабильное DNS-имя. Приложение в манифестах Argo CD жёстко прописывает именно это имя. При старте приложение просто резолвит DNS и подключается.

⚪️Вариант 2: Terraform коммитит файлы в Git

Terraform сначала создаёт инфраструктуру, затем с помощью провайдера Git коммитит готовые Kubernetes-манифесты / Helm values / Application-ресурсы прямо в Git-репозиторий. Argo CD видит изменения и применяет их.

⚪️Вариант 3: Terraform напрямую создаёт ресурсы в Kubernetes

Terraform через провайдер kubernetes или helm применяет ресурсы (чаще всего Secret) прямо в кластер. Argo CD управляет остальной частью приложения (Deployment, Service и т.д.), а приложение просто использует созданный секрет.

⚪️ Вариант 4: GitOps Bridge (через ApplicationSets и метки кластера)

Terraform при создании кластера добавляет метки на сам кластер. Argo CD ApplicationSet читает эти метки и автоматически инжектит значения в Helm/Kustomize-параметры приложений.

👉 О плюсах и минусах подходов читайте в статье

Эти подходы позволяют инфраструктуре, созданной Terraform, «дотягиваться» до приложений, которые управляются Argo CD в Kubernetes.

@DevOpsKaz 😛

🔥 Вакансия в CORE 24/7 — Middle DevOps-инженер

Алматы, офис
Требуемый опыт работы: 1-2 года
Полная занятость, полный день
Заработная плата: 450 000 - 1 000 000 тг net
Контакты: Telegram @issaika

⚪️ Чем предстоит заниматься:

• Поддерживать production так, чтобы бизнес мог быть спокоен.
• Спасать клиентов в случае аварий: быстро, решительно, профессионально.
• Выстраивать процессы CI/CD.
• Переносить приложения клиента (на любом языке, фреймворке и технологии) в Kubernetes с помощью различных инструментов. Запускать и настраивать их.
• Искать способы сделать более надежными и быстрыми базы данных, серверы очередей и прочий софт.
• Разрушать стену между разработкой и системным администрированием; консультировать разработчиков клиента, вместе приходить к лучшим решениям и практикам.

⚪️ С кем вы будете работать:

• Со своей командой увлеченных профессионалов.
• С тимлидом и ПМом, которые всегда помогут, обучат и направят.
• Напрямую с клиентом, но в этом будут помогать тимлид и ПМ.
• С внутренними командами, разрабатывающими инструменты, сервисы и технологии для упрощения работы.

⚪️ Требования:

• Отличные знания Linux-систем — ежедневная эксплуатация от 3 лет; опыт в DevOps — от 1 года.
• Понимание того, как функционируют современные веб-приложения, и опыт их эксплуатации — от 3 лет.
• Понимание веб-стека (HTTP, TCP/IP), устройства и работы сетей, базовые умения работы с iptables.
• Понимание принципов работы СУБД, а также построения и эксплуатации распределенных систем.
• Умение сформулировать алгоритм и уверенно писать скрипты.
• Понимание того, что удалёнка — это серьёзная работа, а не оплачиваемый отдых.

⚪️ Пожелания:

• Опыт использования современных NoSQL-решений (особенно MongoDB и Redis).
• Опыт в Kubernetes.
• Опыт настройки реляционных баз данных для отказоустойчивых/высоконагруженных систем.
• Опыт разработчика.
• Хорошие знания основ системы виртуализации KVM и контейнеров Docker.
• Опыт работы с облачными платформами (Yandex clod, AWS, GCP, Azure и др).
• Знание Prometheus/Grafana.
• Знание Elasticsearch (ELK).
• Знание RabbitMQ.

⚪️ Писать сюда:

👉 aissabekova@core247.io
👉 @issaika

🔥 Образовательный дайджест на март

◼️ Обновленный курс Gitlab CI/CD

Полностью переработали курс GitLab CI/CD, чтобы он лучше соответствовал современным практикам DevOps и рабочим сценариям команд разработки.

Начинаем с обзора всех основных решений CI/CD и объясняем, что такое эксплуатация через Git. Чтобы вы понимали не кнопки в интерфейсе, а саму механику. А дальше — от первого конвейера до развертывания в Kubernetes с возможностью отката.

➡️ Узнать стоимость и изучить программу

◼️ DevSecOps Bootcamp

Приглашаем на ускоренный курс по безопасной разработке (DevSecOps) 21 марта. За 9 дней узнаете, как встраивать защиту, чтобы она не замедляла, а ускоряла разработку. 73% времени — чистая практика. Вы работаете на реальных стендах, настраиваете статический и динамический анализ безопасности приложений (SAST/DAST), сканируете зависимости и защищаете секреты.

➡️ Принять участие

◼️ Тест по Apache Kafka

Пройдите тест и узнайте, какой вы кафкинянин! 😜 В этом тесте вам нужно будет ответить на 10 вопросов. За каждый правильный ответ будет начислен 1 балл.

➡️ Пройти тест

◼️ Kubernetes Мега

Пора повысить грейд: Kubernetes для тех, кто целится в Senior. 16 марта стартует обновленный поток «Kubernetes Мега» — курс для тех, кто хочет перестать быть «оператором» и стать архитектором платформенных решений.

➡️ Записаться на поток

◼️ Администрирование Linux — 3 дня бесплатно

Не уверены, что курс по Linux — ваше? Оцените бесплатное демо за 3 дня! Вы можете без вложений: познакомиться с подачей материалов, оценить экспертизу спикера, понять, ваш ли это уровень сложности.

➡️ Активировать демо

◼️ Быстрый старт в DevOps — бесплатно

Подготовили для вас видеокурс с ответами на вопросы:

- что такое DevOps, и как выстроить работу команды в рамках этой методологии
- Kubernetes, Docker и т.д.: как базовые инструменты выстраивают работу в DevOps
- DevOps и компания: как состыковать критерии успеха

➡️ Начать учиться

@DevOpsKaz 😛

🔥 Исследование рынка IT-специалистов в Казахстане от Kolesa Group

Представляем результаты ежегодного исследования рынка от Kolesa Group с фокусом на зарплатах, трендах и факторах, влияющих на выбор работы.

В исследовании рассказали:

⚪️ как меняется рынок
⚪️ о факторах выбора работодателя
⚪️ про зарплаты специалистов
⚪️ о лидирующих языках программирования по направлениям

Спойлер: самые высокие зарплаты — у Backend и DevOps специалистов (до 4+ млн тенге).

Также приятная новость в том, что количество компаний, выдающих годовые бонусы, по сравнению с прошлым годом выросло на 10%.

👉 Читайте исследование

...и делитесь с коллегами 🫡

#партнеры

🔥 Profit Cloud Day 2026 стартует через 20 минут — подключайтесь

Ждем вас на конференции Profit Cloud Day 2026 — начало в 9:20 на YouTube.

Эпоха «складирования» данных прошла. Сегодня бизнес побеждает за счет умения моментально структурировать потоки информации. Но вместе с возможностями растут и риски:

⚪️ Архитектура: Private, Public или Hybrid — что вывезет вашу нагрузку
⚪️ Комплаенс: что можно доверить облаку, а что оставить под личным контролем
⚪️ Локальный контекст: как трансформировался рынок Казахстана за последние годы

Это площадка для прямого диалога между бизнесом, аналитиками и вендорами решений для хранения и обработки данных.

🔥 CI/CD в 2026

CI/CD окончательно стал фундаментом высокопроизводительных команд разработки. Но сама методология создавалась в другую эпоху — и это важно помнить.

С чего начиналось:

— Редкие релизы, часто раз в недели или месяцы
— Монолитные кодовые базы с ручными сборками
— Инфраструктура без облаков и контейнеров
— Решения о деплое принимались людьми в ручном режиме

Что происходит сегодня:

— Десятки деплоев в день, включая AI-генерированный код
— Развёртывание в мультикластерных и мультирегиональных средах
— Feature flags, canary-релизы и автоматические откаты как норма
— Постоянное давление: ускоряться и не ломать прод

Что изменилось в 2026:

⚪️ ML встроен в пайплайны

AI ревьюит код, обнаруживает аномалии в билдах, приоритизирует тесты по историческим паттернам. Согласно отчёту Perforce 2026 State of DevOps, 72% лидеров высокозрелых организаций уже интегрируют AI-практики в весь цикл поставки. Но есть нюанс: по данным CircleCI за 2025 год (анализ 28+ млн workflows), успешность мержей в main-ветку упала до 70,8% — минимум за пять лет.

⚪️ Security by default, а не by afterthought

Автоматические проверки безопасности, SAST, SCA и сканирование зависимостей запускаются на каждом этапе пайплайна. IBM X-Force фиксирует почти 4-кратный рост крупных компрометаций через supply chain с 2020 года — атакующие всё активнее используют доверенные связи в CI/CD-автоматизации и SaaS-интеграциях.

⚪️ AI-агенты в пайплайнах — реальный вектор атаки

83% организаций планируют внедрение agentic AI в бизнес-процессы, но лишь 29% готовы к его безопасной эксплуатации (Cisco State of AI Security 2026). Prompt injection вышел на первое место в OWASP Top 10 for LLM Applications. Переход к AI-driven delivery идёт быстро — безопасность за ним не успевает.

⚪️ Platform Engineering вытесняет "самодельный DevOps"

Внутренние developer platforms (IDP) заменяют тикеты на инфраструктуру: среды, credentials и CI-шаблоны доступны через self-service. Developer experience становится первичной метрикой успеха DevOps.

⚪️ Shift-left security — уже не тренд, а базовый стандарт

Но, по данным Perforce, только 52% компаний реально встроили secure coding practices в CI/CD пайплайны. Остальные декларируют, но не внедрили.

Если ваш CI/CD просто собирает и деплоит код — это не катастрофа, но вы теряете конкурентное преимущество. Современный пайплайн включает автоматизированное тестирование безопасности, AI-ассистированный анализ логов, предиктивный мониторинг и платформенный подход к developer experience.

Мы в Core 24/7 предлагаем вложить весь свой опыт в ваши пайплайны, чтобы вы спали спокойно, а руководство было довольно. Оставляйте заявку — мы проконсультируем бесплатно.

@DevOpsKaz 😛

🔥 DevOpsDays Tashkent 2026 — билеты уже в продаже

Даем повод съездить в Ташкент цветущей весной. Международная конференция DevOps в Узбекистане возвращается 15 мая — и в этом году мы погружаемся в эру ИИ в инфраструктуре и операциях.

Что вас ждёт на DevOpsDays Tashkent:

— Доклады от топ-экспертов DevOps и AI-инфраструктуры
— Реальные кейсы по Cloud, Kubernetes, GitOps, SRE и DevSecOps
— AIOps, MLOps и управление AI-нагрузками в продакшене
— Запуск LLM и AI-платформ в масштабе — что реально работает
— Нетворкинг с ведущими инженерами и CTO
— Интерактивные обсуждения, воркшопы и демо-зоны
— Мерч и розыгрыши от спонсоров

🎟 Сегодня билеты по 65 000 сум (~2600 тенге) , а с 1 апреля цена вырастет до 130 000 сум. Корпоративные билеты — 260 000 сум.

❗️ Приём заявок от спикеров заканчивается 31 марта.

DevOps эволюционирует — ИИ меняет всё: как мы строим, развёртываем и эксплуатируем системы. Приходите узнать, что это значит на практике, от тех, кто уже делает это в реальной жизни.

👉 Купить билеты
👉 Подать доклад

@DevOpsKaz 😛

🔥 Как перестать тратить деньги на AI впустую — «Красная книга AI-инженера»

Вышел, пожалуй, самый толковый русскоязычный текст о том, как реально работать с AI над живым кодом, а не генерировать TODO-листы.

Ключевая мысль: если вы используете Claude/Copilot как «умный автокомплит» или как подчинённого, которому нужно разжёвывать каждый шаг — вы берёте на себя 100% когнитивной нагрузки. AI в этой модели — просто быстрые руки. И вы рано или поздно выгорите.

Альтернатива — модель сопроцессоров. Человек и AI как CPU и GPU: разная архитектура, разные сильные стороны, которые нивелируют слабые. Человек держит контекст между сессиями, принимает архитектурные решения, чувствует что «что-то не так». AI генерирует тысячи строк кода за минуты, помнит синтаксис сотен API, не устаёт.

Вторая глава идёт глубже — файлы проекта как IPC между человеком и AI. Не документация, а протокол межпроцессного взаимодействия. Спецификации с URI-адресацией, WAL (Write-Ahead Log) для передачи состояния между сессиями, протокол конфликтов — когда AI считает, что спека ошибочна.

Что еще интересного:

⚪️ Почему каждая сессия с AI — это crash recovery
⚪️ Как адресная коррекция экономит множество токенов (и денег)
⚪️ Почему «допиши верификацию» стоит 2 часа, а точная задача со ссылкой на спеку — 30 минут
⚪️ Паттерн WAL — ваше «сохранение в игре» между сессиями AI

Читается легко, есть примеры из продакшена, аналогии с concurrent programming понятны любому, кто хоть раз дебажил race condition.

📖 Глава 1: Два процесса, одна задача
📖 Глава 2: Shared state: файлы как IPC

@DevOpsKaz 😛

🔥 Причины выступить на Cloud Native Community Day 3 апреля

Мероприятие под эгидой CNCF пройдет в 4-ый раз и состоится уже скоро. И мы даем возможность крутым инженерам еще больше бустануть свою карьеру.

Что вы получаете как спикер:

⚪️ CNCF в вашем профиле. Cloud Native Community Day — официальное мероприятие CNCF. Это не просто местный митап, а часть глобальной экосистемы: те же стандарты, что и у KubeCon. Запись выступления — ваш публичный артефакт, который работает на вас после ивента.

⚪️ Аудитория, которая вас понимает. 50 человек — SRE, DevOps, Tech Leads. Никаких продажников, никаких случайных людей. Только те, кто поймёт нюансы вашего кейса и задаст нормальные вопросы.

⚪️ Упаковка собственного опыта. Подготовка доклада — это лучший способ понять, что вы на самом деле сделали. Многие после говорят: «я только в процессе осознал, насколько это было нетривиально».

⚪️ Нетворкинг с коллегами. После выступления к вам подходят, берут контакты, возможно предлагают что-то новое. Это хороший шанс расширить связи, которые в Казахстане важнее любого резюме.

⚪️ Afterparty + фуршет — потому что всё вышесказанное должно заканчиваться в хорошей атмосфере.

Какой доклад нам нужен:

— Реальный кейс из продакшна: что сломалось, как дебажили, что сделали
— Как строили платформу и с какими трудностями столкнулись
— Какой инструмент внедрили — и что это изменило (или не изменило)

❗️ Не нужны идеальные истории успеха. Нужны честные. Мы прогоним доклад вместе, чтобы добавить вам уверенности.

Если у вас есть опыт, который сэкономит кому-то часы дебага — это уже доклад.

👉 Подать заявку как спикер

👉 Зарегистрироваться как участник (login to RSVP)

@DevOpsKaz 😛

🔥 Скидка 50% на выделенные серверы в Казахстане

Получите скидку 50% на аренду выделенных серверов от Servercore на все время, пока вы арендуете сервер. Акция действует на все готовые конфигурации, количество серверов ограничено!

Что вы получаете:

▪️ Полный контроль над ресурсами (запуск до 60 минут) на базе дата-центра в Алматы с минимальными задержками для Казахстана и Центральной Азии

▪️ Высокую производительность: мощные процессоры Intel Xeon (серий E, W, Silver) и AMD EPYC, различные варианты оперативной памяти (DDR4 ECC и DDR4 ECC Reg), а также любые комбинации накопителей — скоростные SSD NVMe, базовые SSD SATA и вместительные HDD SATA.

▪️ Безопасность и надежность: физическую изоляцию, приватную сеть, удаленное управление через KVM-консоль и бесплатную техподдержку 24/7.

▪️ Оптимизацию бюджета: аренду сервера от 35 000 тенге/мес (с учетом скидки) без затрат на закупку собственного оборудования.

Как получить скидку?

👉 Оставьте заявку на странице акции

Технические специалисты Servercore свяжутся с вами в течение 3 рабочих дней, помогут подобрать оптимальную конфигурацию под ваши нагрузки и активируют скидку.

🔥 10 DevOps-трендов 2026: что меняется прямо сейчас

TechTarget опросил аналитиков Forrester, CompTIA и ScrumОrg — вот куда движется DevOps в этом году. Простите, но мы снова про AI 🫡

1. AI везде в SDLC

Главный мета-тренд, из которого вытекают все остальные. Больше AI, больше AI-агентов, больше автоматизации на каждом этапе — от требований до деплоя.

2. Скорость разработки ×2

Vibe coding и AI-ассистенты сжимают цикл разработки на 50–60%. Теперь узкое место — не код, а всё, что вокруг него.

3. Platform teams как стандарт

Отдельная команда, которая строит и поддерживает инфраструктуру, инструменты и сервисы для DevOps-команд. Убирает дубли, стандартизирует стек. Всё это становится нормой.

4. Переосмысление процессов

AI меняет не только инструменты, но и сам процесс: как собираются требования, как код идёт в прод, что считается best practice. То, что работало вчера — пересматривается.

5. Консолидация тулинга

Вместо зоопарка специализированных инструментов — один или несколько платформенных. Проще поддерживать, проще управлять.

6. Смарт-инструменты с самовосстановлением

AI в мониторинге уже умеет ловить проблемы до того, как они привели к инцидентам. Следующий шаг — автоматически их чинить (self-healing).

7. Intent-driven инфраструктура

Вместо «описываю конфиг руками» будет «описываю намерение, AI сам определяет окружение». IaC как концепция никуда не денется, но форма изменится.

8. Cost-awareness в деплое

Бизнес хочет предсказуемые расходы на облако. DevOps-команды теперь должны думать не только о работоспособности, но и о стоимости каждого деплоя.

9. Новые роли и скиллы

AI берёт рутину — инженеры уходят в более высокоуровневую работу. Растёт спрос на data skills (чтобы правильно обучать и контролировать AI), системное мышление и умение работать с абстракциями.

10. Геополитика и суверенитет данных

Всё больше компаний обязаны держать серверы, платформы и данные внутри своей страны. Регуляторные требования становятся частью DevOps-архитектуры.

@DevOpsKaz 😛

🔥 Kubernetes Bad Practices

Сегодня у нас партнерский пост от DevOps FM. Замечали, что определенные ошибки в настройке подов неизбежно ведут к инцидентам? Собрали для вас подборку плохих практик, которые ни в коем случае нельзя повторять в работе с оркестратором.

⚪️ Не учитывайте тип трафика при балансировке нагрузки для подов

По умолчанию поведение Kubernetes при трафике HTTP/2 отличается от HTTP/1. Без настройки маршрутизации на L7 один под берет на себя всю нагрузку CPU, в то время как другие простаивают.

Good practices:

⁃ При HTTP/2 заранее проверяйте балансировку в кластере (L4 vs L7)
⁃ Проводите нагрузочное тестирование с теми же настройками (connection pooling/keep-alive), что будут в проде
⁃ Отслеживайте распределение connections и latency по pod-ам

⚪️ Kubernetes сам синхронизируется с внешними сервисами

При использовании внешних тулзов и сервисов, таких как Argo CD, возникают проблемы. Используйте скейлинг для обнаружения.

Good practices:

⁃ В GitOps-кластерах не правьте поля, которые управляются контроллерами (HPA, VerticalPodAutoscaler)
⁃ В работе избегайте client-side внедрений и удаляйте реплики из манифестов деплоя при использовании HPA

⚪️ Всегда задавайте лимиты CPU — троттлинг лишним не бывает

В приложении возникают таймауты из-за CFS троттлинга.

Good practices: не задавайте CPU лимиты без необходимости, а при использовании проводите тест нагрузки

⚪️ Не задавайте приоритет нагрузкам

Если приоритет не задан, kubelet избавится от любого пода.

Good practices:

⁃ Всегда задавайте PriorityClass для системных контроллеров
⁃ Отслеживайте приоритет и его использование
⁃ Тестируйте поведение в staging

⚪️ Удаляйте контроллеры до управляемых ресурсов, поды скажут «спасибо»

Смело удаляйте контроллер, если хотите очередей. Поды застревают в «Terminating» из-за финализаторов, в EKS они по-прежнему удерживают IP-шники и исчерпывают пул адресов подсети.

Good practices:

⁃ Никогда не удаляйте контроллер, пока не удалили управляемые им ресурсы
⁃ Относитесь к финализаторам как к «постоянным» до удаления
⁃ Настройте мониторинг и алерты на: число Terminating подов, долю занятых IP в подсети, количество подов в обработке

⚪️ Храните большие логи локально

Если хранить логи на локальном диске ноды, их станет слишком много, диск заполнится, нода уйдет в DiskPressure. Kubelet удалит поды, а новые просто не запустятся.

Good practices:

⁃ Не храните временные логи только на локальном диске. Используйте централизованную систему: Fluentd, Logstash, облако
⁃ Устанавливайте запросы и лимиты для ephemeral-storage у контейнеров, чтобы избежать неограниченного потребления диска
⁃ Включите ротацию логов и ограничение размера
⁃ Настройте алерты на рост использованного диска в связке с подами — disk usage per pod

Какие худшие практики в работе с Kubernetes встречались вам? Отправляйте свои идеи предложенным постом через бота — если соберем достаточно, опубликуем подборку здесь.

@DevOpsKaz 😛

🔥 Self-hosted платформы для разработки и инфраструктуры

Мы привыкли, что GitLab делает почти всё: репозиторий, CI/CD, реестр контейнеров, задачи, вики. Но GitLab Enterprise дорогой для больших команд, а у Community Edition есть слабые места: Package Registry беднее специализированных решений, Wiki — не всегда для серьёзной документации. Для сложных распределенных транзакций с сохранением состояния (Stateful) и детального учета железа его встроенных модулей уже недостаточно.

Инструменты, которыми можно усилить разработку и инфру:

⚪️ Nexus Repository Community Edition

Замена слабому Package Registry GitLab'а. Поддерживает 15+ форматов: Maven, npm, Docker, NuGet, PyPI, Helm, Go, RubyGems, Apt, Yum, Cargo и другие. Проксирует внешние репозитории, хранит внутренние сборки.

⚪️ Temporal

То, чего пока нет в GitLab: оркестрация распределённых рабочих процессов за пределами CI/CD пайплайнов. Берёт на себя бизнес-логику с автоматическими повторными попытками, сохранением состояния и масштабированием. MIT-лицензия,
self-hosted.

⚪️ NetBox

DCIM/IPAM — единая модель инфраструктуры: устройства, соединения, IP-адреса, VLAN, кабели. NetBox закрывает учёт физической и сетевой инфраструктуры в одном источнике.

⚪️ Outline

Замена GitLab Wiki для тех, кому важна удобная документация со сложной иерархией. Markdown-редактор, быстрый поиск, интеграция со Slack, совместная работа. Self-hosted использование бесплатно, но это не классический open source.

@DevOpsKaz 😛

🔥 Наурыз мейрамы құтты болсын!

Поздравляем с праздником Наурыз всё сообщество и ваших родных. Желаем, чтобы ваша проектная инфраструктура процветала, подрядчики радовали, работа приносила удовольствие, а человеческие ценности и знания предков сохранялись.

Пусть изобилие придет в каждую сферу вашей жизни!

С любовью,
@DevOpsKaz 😛

👀 Trivy взломали снова. И на этот раз — серьёзно

Пока мы отдыхали, стало известно: злоумышленники скомпрометировали официальный GitHub Action aquasecurity/trivy-action — тот самый, которым все сканируют уязвимости в CI/CD.

➖ Что произошло

Атакующие форс-пушнули 76 из 77 тегов версий в репозитории. Если ваш workflow ссылается на action по тегу типа @0.34.2, @0.33.0 или @0.18.0 — вы запускаете вредоносный код. Единственный нетронутый тег — @0.35.0.

Малварь выполняется ДО запуска настоящего Trivy, поэтому визуально всё выглядит штатно.

➖ Что делает малварь

Дампит память раннера, ворует SSH-ключи, AWS/GCP/Azure credentials, Kubernetes service account токены. Классический инфостилер для CI/CD окружений.

➖ Масштаб

Более 10 000 workflow-файлов на GitHub ссылаются на этот action. Потенциально — тысячи проектов под ударом.

➖ Что делать прямо сейчас

1. Проверьте, не используете ли вы aquasecurity/trivy-action по тегу (не по SHA)
2. Если да — считайте CI/CD секреты скомпрометированными. Ротируйте AWS ключи, SSH, K8s токены
3. Перейдите на пиннинг по commit SHA вместо тегов — теги можно перезаписать
4. Пересмотрите permissions в GitHub Actions — используйте принцип минимальных привилегий

➖ Главный урок

Это второй инцидент с Trivy за месяц (первый был с VS Code расширением). Пиннинг по версии не защищает — только полный commit SHA. И да: инструмент безопасности сам стал вектором атаки.

@DevOpsKaz 😛