Когда в компании появляется первый Data Scientist, ему обычно хватает одной мощной машинки или DevBox. Но что происходит, когда команда разрастается до сотен и тысяч инженеров, а модели начинают приносить бизнесу миллионы?

Поды не имеют постоянного сетевого или дискового состояния. Имена генерируются динамически на основе хэша шаблона и случайной строки.

При обновлении старые поды уничтожаются, а новые создаются с нуля. Порядок деплоя реплик не гарантируется.

Использование PersistentVolume ограничено. Как правило, все реплики делят один том в режиме ReadWriteMany (например, NFS), либо работают исключительно с ephemeral-хранилищами.

Каждый под получает предсказуемый индекс (от 0 до N-1), который сохраняется при пересоздании (db-0, db-1).

Требует обязательного объявления Headless Service. Это позволяет формировать уникальные DNS для каждого пода, что критично для сборки кластерных топологий.

Каждому индексу пода соответствует свой PersistentVolumeClaim (через volumeClaimTemplates). При пересоздании или переносе пода на другую ноду, к нему монтируется его родной том. PVC не удаляются автоматически ни при масштабировании вниз, ни при удалении StatefulSet — это защищает данные от случайной потери. Это поведение можно переопределить полем .spec.persistentVolumeClaimRetentionPolicy с параметрами whenScaled и whenDeleted (Retain/Delete) — полезно, чтобы не копить orphaned-тома и не платить за неиспользуемое хранилище после scale down.

Для развертывания по умолчанию используется политика OrderedReady. Для оптимизации времени деплоя доступна политика Parallel.

Количество реплик не задается вручную, а динамически масштабируется вместе с размером кластера. При вводе новой ноды под разворачивается на ней автоматически.

Размещение подов DaemonSet делегируется штатному kube-scheduler — через автоматическое добавление NodeAffinity и tolerations к системным taints, а не рассчитывается напрямую контроллером DaemonSet.

Поддерживает RollingUpdate. Параметр maxUnavailable управляет доступностью агентов с самого начала (по умолчанию 1).

• Выстроить процессы SSDLC.
• Внедрить SAST и DAST в пайплайн разработки. При необходимости рассмотреть более продвинутые подходы - IAST/RASP.
• Внедрить SCA, в том числе с использованием уже приобретенного модуля SonarQube.
• Обеспечить настройку инструментов: SonarQube, quality gates и других средств контроля качества и безопасности кода.
• Собрать команду AppSec-инженеров и встроить ее в процесс ревью.
• Внедрить AppSec-анализ на этапе формирования задач в рамках подхода shift left.
• Внедрить локальные LLM-модели в пайплайн разработки на практически применимом уровне.

• Опыт в AppSec, DevSecOps или Application Security от 3 лет.
• Понимание SSDLC и практик безопасной разработки.
• Опыт внедрения SAST, SCA, DAST, IAST или аналогичных инструментов.
• Практический опыт работы с SonarQube или другим стат анализатором, на уровне написания правил.
• Понимание CI/CD-пайплайнов GitLab CI.
• Опыт настройки quality gates, security gates и правил анализа кода.
• Понимание OWASP Top 10, ASVS, CWE, CVE и CVSS.
• Умение разбирать результаты сканеров и отличать реальные риски от false positive.
• Опыт взаимодействия с командами разработки.
• Умение писать понятные регламенты, чек-листы и инструкции.

• Опыт построения AppSec-команды с нуля.
• Опыт работы с локальными LLM: Ollama, vLLM, llama.cpp, Open WebUI, Code LLM, агентные инструменты.
• Понимание рисков LLM: prompt injection, утечки данных, supply chain risks, генерация небезопасного кода.
• Опыт внедрения RASP/IAST-решений.
• Опыт построения метрик AppSec и DevSecOps.

Core 24/7 и Yandex Cloud провели вебинар, где рассказали, как мигрировать в облако без серьезного простоя, но и как сделать это бесплатно.

Уложились в 40 минут — и теперь можете смотреть в своем темпе, когда удобно. Никакой воды, только концентрированные советы.

❗️ Предложения действуют до 1 августа.

Традиционный митап под эгидой CNCF состоится уже 13 августа. Это бесплатный митап, где знакомятся, находят помощь в сложных задачах, договариваются о коллаборациях и проектах.

В одном зале соберутся SRE, DevOps, платформенные инженеры, архитекторы. На этот раз людей будет больше — по вашим просьбам увеличили кол-во участников до 100-150 человек, но места быстро заканчиваются.

После того как Cloudflare изменила внутреннюю архитектуру сервиса Cloudflare Images (переведя его с сетевых сокетов на локальные Unix-сокеты для ускорения работы), клиенты начали жаловаться, получая битые или недозагруженные картинки.

Когда вы проектируете межсервисное взаимодействие на сверхвысоких скоростях (особенно в K8s через sidecar-контейнеры, mesh-сети или локальные сокеты), всегда закладывайте тесты на переполнение буферов и симулируйте медленных клиентов.

etcd v3.7 принесет долгожданное облегчение для master-нод. Кластеры с огромным количеством объектов станут потреблять меньше процессора, а API-сервер будет тратить меньше памяти.