Kubernetes 通过 OIDC 统一身份管理，彻底摆脱证书泄露风险

在自托管集群里，访问控制往往被忽略。默认使用静态客户端证书或长期令牌，证书一旦颁发就几乎不再更新，导致离职、角色变更或设备丢失后仍能访问。要撤销访问，需要在每台机器上手动删除证书，几乎不可能做到彻底。

解决方案是把 OIDC 身份提供者（如 Keycloak）放在前端，使用公开的 OIDC 客户端（PKCE）而非保密客户端。这样访问权限完全由身份提供者的组成员关系决定，权限变更只需在 IdP 里添加/移除用户组，无需在集群侧分发新 kubeconfig。

实现要点
- Keycloak 配置
- Client ID: kubernetes
- Client authentication: Off（公开客户端）
- Standard flow: On
- Require PKCE: On（S256）
- Redirect URIs / Web origins: http://127.0.0.1:*、http://localhost:*（仅回环）
- Client scopes: openid, profile, email, groups
- Mapper: Group Membership → claim groups

- kube-apiserver
```bash
--oidc-issuer-url=
--oidc-client-id=kubernetes
--oidc-username-claim=preferred_username
--oidc-groups-claim=groups
```
若 Keycloak 证书未受公认 CA 签名，追加 --oidc-ca-file=/etc/kubernetes/pki/oidc-ca.crt。

- kubectl
```yaml
users:
- name: oidc user
exec:
apiVersion: client.authentication.k8s.io/v1
command: kubectl
args:
- oidc-login
- get-token
- --oidc-issuer-url=
- --oidc-client-id=kubernetes
```

- RBAC 绑定
```yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
name: platform-viewers
subjects:
- kind: Group
name: platform-viewer
roleRef:
kind: ClusterRole
name: view
```

效果
- 访问权限随组成员变动即时生效，无需重新分发 kubeconfig。
- 审计日志记录真实用户与组，提升安全可追溯性。
- 仅需一次性配置，后续维护成本极低。

#DevOps #运维 #Kubernetes #OIDC #Keycloak #RBAC #PKCE #kubelogin #k8soperator
@DevOpsTalkCN

GitHub Actions 统一分布式追踪，零改动即可监控全组织 CI

GitHub Actions 的工作流运行会触发 workflow_run 与 workflow_job 事件，OpenTelemetry Collector 的 githubreceiver 可以直接把这些事件转成 OTLP spans。只需在组织级别挂一个 webhook，Collector 负责把每个工作流映射为一个父 span，内部作业和步骤分别为子 span，span 与 trace ID 通过运行 ID 与检查运行 ID 计算得到，保证同一执行链的所有步骤都在同一 trace 下。

为什么要这样做？
1. 零改动：不需要在每个仓库的 YAML 中插入追踪步骤，所有新建仓库立即可观测。
2. 统一视图：所有工作流、作业、步骤都在同一追踪后端（Tempo、Jaeger、Datadog 等）可查询，支持跨团队、跨工作流类型的切片与告警。
3. 成本可控：先测算活跃仓库数 × 平均运行次数 × 步骤数 × 负载大小，和现有应用追踪量对比，往往 CI 追踪量只是一个小数点。

部署要点
- Collector 需公网可达，建议 IP 允许列表或 WAF 过滤 GitHub webhook 源。
- 需要组织管理员权限创建 org‑level webhook。
- githubreceiver 仍处于 alpha，建议锁定 Collector 版本并关注 changelog。
- 若使用 GitHub Enterprise Server，先验证 webhook 交付行为。

示例配置
```yaml
receivers:
github:
webhook:
endpoint: 0.0.0.0:19418
path: /events
secret: ${env:GITHUB_WEBHOOK_SECRET}
scrapers:
- github_org: ${env:GITHUB_ORG}
exporters:
otlp:
endpoint: ${env:TRACE_BACKEND_ENDPOINT}
headers:
authorization: ${env:TRACE_BACKEND_API_KEY}
service:
pipelines:
traces:
receivers: [github]
exporters: [otlp]
```

只需把 webhook 指向 Collector，所有仓库自动覆盖。

#DevOps #运维 #GitHubActions #OpenTelemetry #CITracing #Observability #K8sOperator #CICD #Tempo #Jaeger
@DevOpsTalkCN

产品经理（项目管理方向）｜20-25K

地点：前期远程 2-3 个月，后期入职新加坡，全职
职责：协助业务负责人推进产品及业务项目落地，负责需求梳理、任务拆解、优先级管理、排期与整体进度跟进；对接业务、产品、安卓研发及运营团队，把业务需求转化为可执行的产品需求与开发任务，并跟进至上线交付
要求：3 年以上互联网产品、项目管理或产品项目相关经验；具备较强项目推进能力，能同时协调业务、研发、运营等角色；能输出清晰的需求文档与产品方案；英文具备基本读写能力，可调研海外产品与竞品
福利：双休

岗位解读：这类岗位介于产品与项目管理之间，日常主要是把业务方的想法拆成可执行的开发任务，盯排期、盯进度、盯上线，同时处理过程中冒出来的各种问题。团队里通常充当业务与研发之间的连接点，既要写需求文档，也要推动落地。适合有几年互联网产品经验、执行力强、愿意深入项目细节的人投递。

#IT #技术 #招聘

Python / LLM 工程师（RAG 与 AI 智能体）｜М-ТЕХ 公司｜最高 20 万卢布

地点：莫斯科 / 圣彼得堡 / 萨马拉，可远程，兼职
职责：设计、开发并落地面向具体业务场景的 AI 智能体，配置对话、工具调用与知识库流程；搭建 RAG 管线，包括文档加载、分块、向量化、检索与重排，并将智能体对接 API、数据库、ERP/CRM 及即时通讯工具
要求：2–3 年以上 Python 商业开发经验；6 个月以上 LLM 应用、RAG 或 AI 助手实操经验；至少熟悉 LangChain、LangGraph 或同类框架之一
福利：支持远程办公

岗位解读：这类岗位主要把大模型能力落到实际业务里，一边搭检索增强生成管线让模型能查资料，一边做能调用工具、对接内部系统的智能体。日常在团队中偏应用层开发，需要同时懂 Python 工程和提示词、检索调优。适合有后端经验、想转向 LLM 应用方向的开发者。

#IT #技术 #招聘

高级运维工程师｜35K-50K

地点：越南胡志明市 / 驻场 / 全职
职责：负责 Linux 服务器日常运维，维护容器化与 K8S 集群的部署和运行，搭建并维护 CI/CD 自动化发布流水线与监控告警系统
要求：掌握 Shell 脚本，熟悉 Linux 常用命令与 Bash 操作；了解 Docker、Kubernetes、Jenkins 或 Gitlab runner 等 CI/CD 工具，以及 Prometheus、Zabbix 等监控系统；了解负载均衡、路由转发、VLAN、VPN、防火墙等网络原理；有 C# .NET 业务运维经验、AWS 或其他云平台经验者优先
福利：试用期 1-3 个月，每天 9 小时、月休 4 天

岗位解读：运维工程师负责保障线上服务器和业务系统的稳定运行，日常包括环境部署、发布上线、监控告警处理和故障排查。这个岗位偏容器化与自动化方向，需要同时懂 Linux 系统、K8S 集群和 CI/CD 流水线，适合有几年服务器运维经验、想往云原生和 DevOps 方向发展的工程师投递。

#IT #技术 #招聘

高级站点可靠性工程师（Senior Site Reliability Engineer）｜ShiftKey

地点：波兰 / 远程 / 全职
职责：负责线上服务的稳定性与可靠性，参与容量规划、监控告警体系建设和故障应急响应，推动系统可用性持续提升
要求：具备 SRE 或运维开发经验，熟悉云平台、容器化与自动化运维工具，能独立排查生产环境问题

岗位解读：SRE 是介于运维和开发之间的角色，日常围绕监控、告警、容量和故障处理展开，用工程手段减少人工救火。适合有后端或运维背景、愿意深入稳定性建设的人投递。

#IT #技术 #招聘

高级全栈开发工程师（Senior Fullstack Developer）｜Remoby｜$5,000-6,000

地点：远程 / GMT 时区（莫斯科时间）
职责：开发和维护基于 Go 的高负载服务，处理最高 150k RPS 的请求；搭建并优化 Web 界面，后端 Go、前端 Vue.js；编写 Python 脚本接入 Airflow，完成 ETL 数据处理
要求：5 年以上 Go 开发经验；熟悉 Aerospike、MySQL、PostgreSQL 等 KV 与关系型数据库，了解 Kafka；有 AdTech 经验优先
福利：远程办公，薪资 $5,000 起，具体可单独商议

岗位解读：全栈开发工程师同时负责服务端和前端，既要写高并发的后端接口，也要维护用户看到的页面，还要处理数据管道。这个岗位面向广告技术领域，系统请求量大、对性能要求高，适合有 Go 后端经验、愿意兼顾前端和数据流程的工程师投递。

#IT #技术 #招聘

Android 逆向工程师｜吉隆坡｜远程 / 驻场

地点：马来西亚吉隆坡，远程或驻场均可，全职
职责：负责 Android 应用的逆向分析工作，拆解目标 App 的通信协议与核心逻辑，配合团队完成安全评估与相关技术方案落地
要求：统招本科学历；具备 Android 逆向实战经验，熟悉常见逆向工具与分析方法；有银行相关项目经验者优先

岗位解读：Android 逆向工程师主要通过反编译、动态调试等手段，分析安卓应用的内部实现与接口协议，常用于安全评估、兼容适配和风控对抗等场景。日常和开发、安全团队配合，产出分析结论和可用的技术方案。适合有安卓开发或安全研究背景、熟悉逆向工具链的人投递。

#IT #技术 #招聘

高级 Go 后端工程师｜20K-35K

地点：国内远程，居家办公，全职
职责：负责核心业务系统的架构设计与开发，覆盖用户、订单、钱包、奖励发放等模块；设计高并发高可用后台服务及异步任务、消息队列架构，并做线上性能分析与故障排查
要求：5 年以上 Go 开发经验，有大型互联网后台经验；精通 Go 并发模型与内存管理，熟练使用 Gin、Fiber、gRPC；精通 MySQL 与 Redis，熟悉 Kafka、RabbitMQ 等消息队列；熟悉微服务、Docker、K8s 及限流熔断等治理方案。统招本科及以上学历
福利：双休，法定节假日与带薪年假，绩效奖金，节日福利与团队活动，薪资以 U 发放

岗位解读：Go 后端工程师主要负责服务端业务系统的设计与编码，日常围绕接口开发、并发处理、数据库与缓存优化、线上问题排查展开，是业务落地的核心执行角色。适合有扎实 Go 功底、熟悉分布式与中间件、能独立承担模块设计的中高级开发者投递。

#IT #技术 #招聘

Java 开发工程师｜吉隆坡｜远程 / 驻场

地点：马来西亚吉隆坡，可远程或驻场，全职
职责：负责 USDT 支付平台相关系统的开发与维护，参与支付流程的对接与实现
要求：具备 USDT 支付平台项目经验，熟悉 USDT 支付流程

岗位解读：Java 开发工程师主要负责服务端系统的设计、编码与维护，在支付类业务中通常要对接链上充提、订单对账和风控接口。适合有 Java 后端基础、接触过数字货币支付流程的开发者投递，远程与驻场两种方式都可选。

#IT #技术 #招聘

高级数据工程师（Staff Data Engineer）｜Jobgether｜全职

地点：远程 / 全职
职责：负责基于 GCP 的数据解决方案设计与开发，搭建和维护数据管道，支撑业务侧的数据分析与应用
要求：具备数据工程相关经验，熟悉 GCP 及数据解决方案相关技术栈

岗位解读：数据工程师主要负责把分散的业务数据采集、清洗、加工成可用的数据资产，供分析和算法团队使用。这个岗位偏资深，通常需要独立负责数据平台的一部分，适合有云上数据管道建设经验、熟悉 GCP 生态的工程师投递。

#IT #技术 #招聘

产品分析师（Продуктовый аналитик）｜МТС Банк

地点：莫斯科 / 俄罗斯，Технопарк 地铁站附近，混合办公，全职
职责：分析数据来源，搭建销售漏斗，为银行数字平台构建定期报表与看板，开展 A/B 测试，测算业务案例并验证假设
要求：2 年以上相关经验，掌握 SQL、Power BI、Oracle、Python，熟悉产品分析方法与业务案例测算，能主动拆解问题并独立得出结论
福利：混合办公、灵活工时、无着装要求、入职即享 ДМС、企业健身房与瑜伽、MTS 及合作方优惠、员工互助计划

岗位解读：产品分析师是产品团队的核心成员，日常围绕数据回答“用户为什么这样用产品”，通过漏斗、看板和 A/B 实验支撑产品决策。适合有 SQL 和 Python 基础、懂统计与概率、愿意深入业务逻辑的人投递，银行、金融科技类产品经验更对口。

#IT #技术 #招聘

海外广告投放业务主管｜15-25K

地点：远程，按需到越南胡志明市出差，全职
职责：协助管理胡志明越南投放团队，跟进日常投放、任务分配与结果检查；制定各项目、国家及渠道的投放目标、预算与执行策略，围绕消耗、CPA/CPI、ROI/ROAS、留存、LTV 等指标跟进考核，并参与重点项目的投放诊断与优化
要求：2 年以上海外广告投放经验，熟悉 Meta Ads、Google Ads 等主流平台；能独立分析账户结构、素材、受众、预算、出价与转化数据，具备带教新人或小团队管理经验；中文沟通优秀，英文可满足平台操作与资料阅读
福利：15-25K，有消耗奖金

岗位解读：这个岗位负责海外效果广告的投放与团队管理，日常盯账户数据、分配任务、复盘投放结果，并带教本地投手。适合有 Meta、Google 等平台实操经验、能看数据也能带人的投放人，需接受不定期出差。

#IT #技术 #招聘

高级 PostgreSQL 工程师（PostgreSQL Senior）｜TopSelection｜1900 卢布/小时

地点：俄罗斯 / 远程 / 合同（需注册个体户 ИП）
职责：优化零售业务核心数据库，支撑每日数百万级交易；重写慢查询、调整执行计划、配置复制与集群高可用
要求：精通 SQL 与复杂分析查询，熟悉 EXPLAIN ANALYZE、CTE 重写、BRIN/Partial/Covering 索引、PL/pgSQL、MVCC 与死锁排查，掌握 Patroni、pgBouncer、Replication Slots
福利：时薪 1900 卢布到手（税费自理），满负荷约合月入 32 万卢布以上；周期 2 个月起，大概率延长至一年

岗位解读：这是数据库方向的资深岗位，日常围绕数据库性能展开，排查慢查询、优化索引与执行计划、保障主从复制和集群稳定，并和 DevOps、后端团队配合支撑高并发业务。适合有多年 PostgreSQL 实战经验、习惯用数据定位瓶颈的工程师投递。

#IT #技术 #招聘

远程 Android 开发｜15-25K

地点：远程，全职，单休每天 9 小时
职责：负责 Android 核心模块的独立研发、迭代与维护；承担 uni-app 混合开发，包括原生插件封装、JSBridge 通信及 UniMPSDK 集成；负责 App 性能优化，覆盖启动速度、内存、大流量场景稳定性与网络优化
要求：2-4 年 Android 经验，精通 Kotlin / Java，熟悉 Handler、Binder、View 等核心机制及主流开源库；熟悉 uni-app 框架及 Vue 生态，有 Android 原生插件开发、离线打包或 SDK 混编经验者优先；熟练使用 Profiler 等调优工具
福利：单休，每天 9 小时工作制

岗位解读：Android 开发主要负责手机客户端的功能实现与长期维护，日常在原生代码和跨端框架之间协作，把业务需求落地成稳定可用的 App。这个岗位偏重原生与 uni-app 混合开发能力，同时要能处理启动、内存和网络层面的性能问题，适合有几年 Android 经验、愿意在远程环境下独立推进模块的人。

#IT #技术 #招聘

资深 UI 设计师｜25-35K

地点：日本 / 驻场 / 全职
职责：负责产品界面视觉设计与交互稿输出，参与设计规范与组件库建设，配合开发完成设计还原与走查
要求：28-38 岁，统招本科及以上学历且有可认证学位，具备 UI 设计经验与完整作品集
福利：保底 13 薪，表现优异者奖励期权及最多 24 个月奖金；生活补贴 3000 日元/天，住宿补贴 100000/月；提供日本医疗保险与厚生年金；配顶配 MacBook Pro、4K 显示器、人体工学椅与升降桌；带薪年假 12 天/年，生日津贴 1000 元；赴日满一年可申请家人签证，费用由公司承担

岗位解读：UI 设计师主要负责产品的界面视觉与交互呈现，把需求转化成可落地的设计稿，并与前端、产品反复对齐细节。日常多在 Figma 等工具里做页面、维护组件库，同时跟进开发还原效果。适合有完整作品集、能独立负责一条产品线视觉风格的设计师投递。

#IT #技术 #招聘

前端开发工程师｜30-50K

地点：日本东京办公室｜驻场｜全职
职责：负责平台网页端与移动端开发与迭代，对接第三方平台，参与平台功能落地
要求：计算机相关专业全日制本科，3 年及以上前端经验；深入理解 React 原理与 Hooks，熟练 TypeScript、Next.js 及状态管理、路由、tailwind 等生态工具；熟悉 Dart 与 Flutter 常用组件、布局、动画及至少一种状态管理方案，能独立完成页面开发
福利：提供住宿、每日餐补、13 薪加激励奖金、每年 15 天带薪年假、工作签证、报销入职单程机票、节日与生日红包

岗位解读：前端开发主要负责把产品界面和交互做出来，并保证网页端和移动端的体验流畅。日常与后端、设计协作，完成页面开发、接口对接和性能优化。适合有 React 技术栈经验、同时愿意接触 Flutter 跨端开发的工程师。

#IT #技术 #招聘