🖖 Всем DevOps!

Сейчас мы готовим видео, где будем обсуждать внедрение Kubernetes на физических серверах. Стремимся сделать его максимально полезным, потому хотим узнать, что вам было бы интересно послушать по этой теме.

Будем рады увидеть ваши вопросы либо в комментариях под этим постом, либо в этой гугл-форме. Вопросы могут быть любыми: от рентабельности решения до технических нюансов.

📆 Принимаем вопросы до пятницы. На те, что будут написаны позже, ответим текстом.

Большое спасибо! Всем хорошего дня.

#kubernetes #видео #ваши_вопросы

Разворачиваем базовую подборку свежих релизов в эту среду.

🟡 Выпустили Kubernetes v1.32.

Тема версии 1.32 — «Пенелопа». Разработчики проводят аналогию с древнегреческой женой Одиссея не просто так: Пенелопа ткала в течение 10 лет, каждый вечер удаляя часть того, что сделала за день. Так и Kubernetes завершает свой 10-й юбилейный год с начала существования, постоянно создавая и совершенствуя одни функции и удаляя другие.

В релиз вошли 44 фичи. Из них 19 — это новые функции, 12 находятся в beta-статусе и 13 признаны стабильными. Из интересного:

• появилась новая строгая политика резервирования CPU. Опция strict-cpu-reservation гарантирует, что процессоры, зарезервированные для системы, будут использоваться только ею;
• добавили поддержку селекторов полей для кастомных ресурсов;
• внедрили поддержку изменения томов emptyDir, хранящихся в оперативной памяти. Теперь их размер равен (или может быть уменьшен) объёму выделяемой поду памяти.

Kubernetes v1.32 доступен для скачивания на GitHub и официальном сайте.

⚫️ Выпустили первый релиз-кандидат Golang 1.24

Сам релиз ожидается в феврале 2025, но некоторые вещи мы можем посмотреть уже сегодня. Например, добавлена ​​новая tool директива в go.mod, это устраняет необходимость в обходном пути добавления инструментов в качестве пустых импортов в файл с традиционным именем tools.go. Ещё улучшили производительность на 2–3% по всем направлениям и добавили cgo директивы, способствующие этому.

Подробнее почитать можно тут.

🟡 Состоялся релиз системного менеджера systemd 257.

Новое обновление принесло ряд значительных улучшений, хотя и включает некоторые несовместимые изменения. Вот некоторые из них:

• Переработана логика обработки ключа --purge компонента systemd-tmpfiles: теперь удалению подвержены только те пути, которые помечены флагом $. Это изменение снижает риск случайного удаления данных, но потребуется адаптировать существующие конфигурации с учетом нового поведения.
• Изменили поведение команды systemd-creds, которая теперь обрабатывает учётные данные в формате base64 при использовании cat, что соответствует работе параметра decrypt.
• Добавили новые функции DeferReactivation и RestartMode=debug.

#devops #linux #релиз #kubernetes

Где среда, там и новый дайджест интересных новостей и материалов за неделю.

🟡 Avito увеличила награду за найденные в своих продуктах критические уязвимости.

Компания планирует повысить безопасность своих сервисов, увеличивая затраты на кибербезопасность на 50% по сравнению с 2024 годом. Теперь выплата за найденную уязвимость может составить до 500 тысяч рублей.

Как участвовать — смотрим здесь.

⚫️ База данных DeepSeek с конфиденциальной информацией была в открытом доступе.

Исследователи команды Wiz обнаружили незащищенную базу данных DeepSeek, в которой не было необходимого ограничения к хранилищу логов. В БД с более чем миллионом записей можно было найти ключи доступа к API, настройки СУБД и другие данные, которые могли привести к атаке на всю инфраструктуру компании.

🟡 И ещё немного о безопасности: Якир Кадкода и Ассаф Мораг рассказали о проблемах, связанных с неправильной настройкой политик в Kubernetes. В частности, они затронули тему использования инструментов управления политиками, таких как OPA (Open Policy Agent) Gatekeeper.

Авторы показали, как кажущиеся безопасными политики могут обойти из-за незначительных ошибок в конфигурации.

Суммируем советы:

• Убедитесь, что ваши значения ограничений включают последний слэш /. Это предотвращает обход через поддомены.
• Избегайте чрезмерно широких и общих политик при написании собственных политик Rego/regex или других правил. Их можно обойти.
• Сканируйте и проверяйте как выставлены значения ограничений для k8sallowedrepos.

#DepOps #безопасность #Kubernetes

Всем DevOps! Деплоим дайджест новостей, статей и мнений.

⚫️ Разработчики SUSE и openSUSE думают над тем, чтобы прекратить поддержку загрузки на системах с BIOS. Причина проста: они считают BIOS устаревшим.

Если вы захотели поддержать или вразумить разработчиков — напишите комментарий в этом обсуждении или напрямую в issue #194. Обещают услышать всех.

🟡 Зарелизили Postfix 3.10. Новая версия поддерживает протокол TLS‑RPT и заголовок сообщений «TLS‑Required: no», с помощью которого SMTP‑клиент не проверяет сертификат сервера и может откатиться на соединение с передачей данных открытым текстом. Все изменения можно посмотреть в релиз ноутс.

⚫️ В блоге Kubernetes разобрали решение проблемы «курицы и яйца», которая может возникнуть при работе cloud-controller-manager.

🟡 А в блоге CNCF рассказали о трёх главных практиках защиты среды Kubernetes. Статья будет полезна тем, кто только начинает своё знакомство с этим оркестратором.

⚫️ Архитектор ПО Заурабх выпустил краткий обзор четырёх проблем в распределённых системах и показал, как их решить.

#средовый_дайджест #kubernetes #postfix #suse #devops

Очередная среда, наши DevOps-чуваки. В честь этого подготовили дайджест новостей и релизов.

⚫️ Вышел дистрибутив Ubuntu 25.04

Что нового? Улучшили пользовательский опыт благодаря GNOME 48, обновленному установщику ОС и поддержке HDR. Внесли множество изменений в модуль безопасности AppArmor, а также обновили Linux 6.14 и NetworkManager 1.52. Изучить все детали вы можете по этой ссылке.

🟡 SSL.com выдавал поддельные SSL-сертификаты из-за ошибки в валидации доменов

В центр сертификации SSL.com обнаружили критическую уязвимость, которая позволяла злоумышленникам получать SSL-сертификаты на чужие домены.

Ошибка возникла в реализации системы проверки владения доменом через подтверждение по электронной почте (Email to DNS TXT Contact). SSL.com ошибочно считал, что домен из email-адреса, указанного в DNS TXT-записи, принадлежит заявителю. Это открывало возможность получить сертификаты на популярные домены, не имея над ними фактического контроля.

Центр сертификации подтвердил факт неправильной выдачи 11 сертификатов и уже отозвал их. Полный отчёт по инциденту обещают опубликовать до 2 мая.

⚫️ Oracle зарелизили Critical Patch Update. Было исправлено 378 уязвимостей в MySQL, Java SE, VirtualBox и в других продуктах компании. Примечательно, что 255 уязвимостей могут быть использованы удалённо без аутентификации, а почти 40 классифицированы как критические. Рекомендуем обновиться как можно скорее.

🟡 Команда Wiz.io опубликовала исследовательский брифинг по безопасности Model Context Protocol (MCP) — нового протокола, который связывает LLM-приложения с внешними источниками данных и инструментами.

⚫️ В блоге Kubernetes вышел обзор на многоконтейнерные поды и sidecar-паттерн. В статье разбирается, как sidecar-контейнеры помогают расширять функциональность приложений без изменения их кода, когда их стоит использовать, а когда — лучше отказаться. Также описаны четыре ключевых паттерна: init, ambassador, configuration helper и adapter.

#devops #kubernetes #ssl #ubuntu

Собрали для вас подборку новостей и релизов за прошедшую неделю.

🟡 Redis 8.0 и возвращение к open-source лицензии

В прошлом году Redis перешли на закрытые лицензии RSALv2 и SSPLv1 вместо BSD. Директор Redis Ltd заявил, что переход на проприетарные лицензии выполнил необходимую задачу — AWS и Google создали свой собственный форк. Теперь, помимо RSALv2 и SSPLv1, Redis будет распространяться под AGPLv3.

Что нового в версии 8.0?

• Внесли более 30 оптимизаций производительности для ускорения команд до 87% и повышения пропускной способности в два раза
• Добавлены 8 новых структур данных
• Новый механизм репликации, который снижает использование памяти и ускоряет синхронизацию
• Все модули из Redis Stack теперь доступны и в Redis Open Source

Все изменения можно посмотреть здесь, а обновиться — тут.

⚫️ Команда Wiz подготовила подробный разбор уязвимостей в GitHub Actions и собрала лучшие практики по защите CI/CD-процессов. Авторы разобрали недавние supply chain-атаки, включая кейс с tj-actions, и дали рекомендации по настройке безопасности. Если кратко:

• Используйте только проверенные версии сторонних GitHub Actions — хеш-пиннинг обязателен.
• Выдавайте минимально необходимые права и аккуратно работайте с секретами — особенно с доступом к сторонним сервисам.
• Избегайте уязвимых триггеров вроде pull_request_target .

Подробности читаем в статье.

🟡 В блоге Kubernetes вышла статья о выходе в GA функции предотвращения утечек PersistentVolume при удалении объектов в неправильном порядке.

В материале рассказали, как finalizer гарантирует корректное удаление томов, даже если PV удаляется раньше связанного PVC. Раньше в таких случаях хранилище оставалось висеть в инфраструктуре.

⚫️ На DEV вышла статья, в которой автор делится опытом автоматизации настройки окружения и управления конфигурационными файлами с помощью Ansible. Он объясняет, почему отказался от GNU Stow и как настроил систему так, чтобы развёртывание конфигурации на любом новом устройстве — будь то Linux или macOS — происходило в один клик.

#devops #redis #opensource #github #ansible #kubernetes

В эфире DevOps FM — срединедельный дайджест новостей и статей.

🟡 Вышел OpenSearch 3.0.

Новый релиз включает изменения для повышения производительности и масштабируемости. Например, добавили векторный движок, который применяется для работы с данными в ML и ускоряет векторный поиск. Ещё усовершенствовали работу с управлением данных, например pull-режим получения данных, поддержка gRPC, интеграция Apache Calcite и автоматическое определение типа индексов.

Все изменения можно посмотреть здесь.

⚫️ В Kubernetes 1.33 появилась новая функция, которая повышает безопасность при работе с приватными контейнерными образами. Теперь kubelet проверяет, действительно ли под имеет доступ к уже загруженному образу, даже если он используется с политикой IfNotPresent. Это изменение помогает избежать несанкционированного использования приватных образов другими подами на той же ноде.

В блоге Kubernetes подробно рассказали о проблеме, которую не могли решить более 10 лет, архитектуре решения и о том, как новая логика аутентификации работает под капотом.

🟡 GitHub обновил поиск по Issues — теперь он поддерживает вложенные запросы и логические операторы AND/OR.

Это улучшение позволяет более точно находить нужные задачи, комбинируя условия поиска. В статье рассказали, как команда реализовала эту функцию: от перехода на Abstract Syntax Tree и интеграции с Elasticsearch до тестирования на реальных нагрузках (до 2000 запросов в секунду). Всё это — с сохранением обратной совместимости и стабильности интерфейсов.

⚫️ На Medium вышел обзор ключевых обновлений в репозитории Cloud Networking Config Solutions от Google Cloud. В статье перечислены новые шаблоны и улучшения для настройки сетевой инфраструктуры в GCP: от поддержки VPC как spoke в Network Connectivity Center до обновлений для Vertex AI Workbench, App Engine и AlloyDB.

#devops #kubernetes #cloud #github #opensearch

Публикуем еженедельный дайджест релизов и новостей.

⚫️ Зарелизили FreeBSD 14.3

В новой версии обновили LLVM, OpenSSH, OpenZFS и другие сторонние компоненты, добавлена поддержка параметров для привязки политик и выполнения sysctl к jail-окружениям, изменили логику обработки флага "-U". Все изменения можно посмотреть здесь.

🟡 В блоге Kubernetes вышла статья о выходе Inference Extension для Gateway API — расширения, которое упрощает маршрутизацию трафика к LLM и другим AI/ML-моделям в Kubernetes.

В материале рассказали, как новое расширение учитывает особенности inference-нагрузок: продолжительность сессий, использование GPU и тип модели. Оно позволяет гибко направлять трафик на наименее загруженные поды, снижая задержки и повышая эффективность работы.

⚫️ На InfoQ вышел подробный гайд по использованию зеркалирования трафика для отладки и тестирования микросервисов. Авторы рассказали, как безопасно дублировать реальный трафик на теневые сервисы без влияния на пользователей — с помощью Istio, AWS VPC, eBPF и других инструментов. Если кратко:

• Зеркалирование позволяет ловить редкие баги, проводить регрессионные тесты и профилировать производительность в условиях, близких к боевым.
• Возможны разные уровни — L7 (через Istio и NGINX), L4 (через AWS VPC Mirroring), eBPF и DIY-решения.

Подробности и кейс с примерами читаем в статье.

#devops #freebsd #kubernetes #microservices

К сегодняшней среде подготовили для вас свежий дайджест интересных новостей и материалов за неделю.

⚫️ Let's Encrypt начала выдавать бесплатные TLS-сертификаты для IP-адресов

Let's Encrypt анонсировали начало предоставления бесплатных сертификатов для IP-адресов. Срок действия сертификатов составит 6 дней и пока генерация происходит только в тестовом режиме. Для запроса сертификата требуется наличие в ACME-клиенте поддержки расширения протокола, реализующего профили, а также поддержки профиля shortlived. Полноценный доступ ожидается к концу 2025 года.

🟡 Зарелизили GNU Bash 5.3

Спустя почти три года разработки представлена новая версия одного из самых популярных Unix-оболочек. Обновление затронуло как функциональность самой оболочки, так и библиотеку Readline, которая используется для редактирования командной строки.

Что нового:
• Появился новый формат подстановки команд ${ command; } и ${|command;}
• Добавлена переменная GLOBSORT — теперь можно управлять сортировкой файлов при автодополнении
• Команды read, source, compgen получили новые опции.
• Bash переведён на стандарт C23 — поддержка старых K&R C-компиляторов прекращена.

Полный список изменений можно найти здесь.

⚫️ На официальном блоге Kubernetes вышел разбор проблем с отказами устройств в подах

Авторы статьи делятся выводами из доклада на KubeCon NA и обсуждают, почему текущая модель отказоустойчивости Kubernetes не справляется с современными задачами. AI/ML-нагрузки предъявляют новые требования: устройства дорогие, сбои критичны, а переиспользование подов и девайсов должно быть максимально эффективным. В статье рассказывается о текущих решениях — от кастомных контроллеров до политик завершения работы подов, а также о том, какие доработки планируются в SIG Node: больше extension points, учёт деградации устройств, интеграция с DRA и многое другое.

Чтобы прочитать статью — кликните сюда.

🟡 Манешвар, разработчик LiveAPI, опубликовал гайд по миграции AWS EC2-инстанса в Google Cloud с сохранением всех данных и конфигураций — от ОС до пользовательских файлов. В статье он подробно описывает каждый этап: создание AMI, экспорт в S3, импорт в GCP и запуск нового инстанса на базе полученного образа.

#devops #kubernetes #bash #aws

Привет! В эту пятницу предлагаем разобраться, как Kubernetes управляет сетями — от ядра Linux до сервис-мешей.

Лука Каваллин написал подробную статью о том, что происходит с пакетами и подами в Kubernetes-кластере. В статье — фундаментальные принципы работы сетей в Linux, контейнерах и Kubernetes, а также современные абстракции: Service, Ingress и Gateway API. Автор не обошёл стороной и работу в мультикластерах, и типичные проблемы с сетевой доступностью между подами.

С деталями можно ознакомиться по ссылке.

Желаем приятного чтения! Тем, кто отдыхает — хороших выходных, а тем, кто работает — спокойных дежурных смен!

#devops #kubernetes #networking #pods

Далее в эфире DevOps FM — традиционный срединедельный дайджест новостей и статей.

🟡 В AUR-репозитории Arch Linux выявлены вредоносные пакеты, маскирующиеся под популярные браузеры. В librewolf-fix-bin, firefox-patch-bin и zen-browser-patched-bin был внедрён RAT — троян, дающий удалённый доступ к системе и способный запускать команды, в том числе для майнинга криптовалюты.

Троян маскировался под systemd-сервис и устанавливался даже без корневых прав. Пакеты уже удалены, но все равно советуем проверить систему.

⚫️ Анимеш Гайтонде делится советами о масштабировании счетчика просмотров до 100K+ запросов в секунду. В своей статье он шаг за шагом показывает эволюцию архитектуры: от простого инкремента в базе данных до event-driven решения на Kafka и Flink.

Если кратко:
• Наивный подход с одной базой быстро упирается в ограничения по RPS и не решает проблему повторных просмотров.
• Шардинг помогает, но страдает от hot-partition при вирусных видео.
• Агрегация просмотров в памяти и idempotency-ключи дают прирост, но теряют данные при сбое.
• Kafka и Flink обеспечивают устойчивость, масштабируемость и возможность отложенной агрегации с дедупликацией.

Если хочется погрузиться в детали, то можете прочитать весь обзор на ITNEXT.

🟡 В блоге Kubernetes рассказали, как обстоят дела с постквантовой криптографией в их экосистеме.

Начиная с Go версии 1.24 (на нём собран Kubernetes 1.33), включена поддержка постквантовых KEM-алгоритмов. При этом разработчики Kubernetes не задают жёсткие настройки криптографии, TLS-соединения с API-сервером уже могут быть квантово-устойчивыми.

В статье подробно разобраны отличия PQC-алгоритмов для обмена ключами и цифровых подписей, текущая поддержка в Go, OpenSSL, браузерах и операционках. Узнать о подводных камнях при использовании PQC и перспективах внедрения PQC-сертификатов в будущем можно здесь.

⚫️ CNCF поделились подробной статьей о том, как построить собственный Database-as-a-Service на Kubernetes. Разобраны варианты развертывания для многих СУБД с поддержкой масштабирования, мониторинга, шифрования и резервного копирования.

#devops #kubernetes #linux #cncf #dbaas

Всем DevOps! Сегодня по плану у нас свежий дайджест новостей:

🟡 Выпустили Linux 6.16

В воскресенье вышел релиз ядра версии 6.16. В новой версии было внесено 15 924 исправлений, среди которых: удаление протокола DCCP, добавление драйвера ovpn для повышения производительности работы OpenVPN; внедрение механизма Kexec HandOver для запуска нового ядра из старого без потери состояния системы; оптимизации в Ext4 и многое другое.

Полный список изменений — тут.

⚫️ Kubernetes рассказали чего ожидать в версии 1.34

Скоро выйдет Kubernetes v1.34 — релиз запланирован на 27 августа 2025 года. В новую версию войдут изменения связанные с Dynamic Resource Allocation для работы с GPU и нестандартным оборудованием, появится podReplacementPolicy в Deployments для настройки запуска новых подов при обновлении и добавят поддержку KYAML — упрощенной версии YAML созданной специально для Kubernetes.

Эти и другие фичи можно посмотреть в анонсе.

🟡 Docker прекращают поддержку Content Trust с 8 августа 2025 года

Docker объявил о прекращении поддержки Docker Content Trust — устаревшего механизма проверки контейнерных образов. Пользователям советуют переходить на современные решения для подписания и верификации, такие как Sigstore и Notation. Рекомендуется убрать переменную DOCKER_CONTENT_TRUST=1, чтобы избежать сбоев при загрузке образов.

⚫️ Крис Ричардсон выпустил третью часть серии об аутентификации и авторизации в микросервисной архитектуре. Главная тема этой статьи — авторизация с использованием JWT-токенов. Крис подробно разбирает, как сервисы принимают решения об уровне доступа пользователя, откуда получают нужные данные и какие существуют архитектурные стратегии: включать данные в токен, запрашивать по API, реплицировать или делегировать отдельному сервису.

#devops #linux #microservices #kubernetes #docker

Выкатываем срединедельный дайджест новостей и статей на DevOps FM!

🟡 Утечка данных в Debian 13: StarDict передаёт выделенный текст на внешние сервера

Пользователи обнаружили серьёзную проблему с конфиденциальностью в репозитории будущего Debian 13. Через пакет StarDict, реализующий интерфейс для поиска в словарях, приложение отправляет любой выделенный фрагмент на внешние серверы.

Достаточно просто выделить слово в любом окне, и оно автоматически уходит на серверы словарей dict.youdao.com и dict.cn без шифрования по протоколу HTTP. Это может привести к утечке личных данных и паролей, но поведение воспроизводится только на базе протокола X11, в окружениях Wayland действует изоляция.

Разработчики заявили, что это ожидаемое поведение. Если вас оно не устраивает — отключайте сетевые словари и функцию автоматического поиска при выделении. Что интересно, в 2009 году уже была подобная уязвимость и работу по-умолчанию в ней отключили.

⚫️ Docker опубликовали статью о подводных камнях использования защищённых контейнерных образов.

Hardened образы упрощают эксплуатацию и уменьшают поверхность атак, но на практике часто вступают в конфликт с реальными потребностями разработчиков и DevOps-инженеров. В материале рассказывается, как найти баланс между безопасностью, удобством и гибкостью, а так же почему «идеальная» защита может навредить. Читать — по ссылке.

🟡 CNCF поделились результатами отчёта Voice of Kubernetes Experts 2025. Это масштабное исследование среди 500+ экспертов, ответственных за внедрение Kubernetes в крупных компаниях. Из интересного:

• 82% компаний планируют разрабатывать новые приложения на cloud native-платформах;
• 87% используют гибридные облака для гибкости, экономии и снижения зависимости от одного вендора;
• Больше половины опрошенных запускают важные приложения с высокими требованиями к отказоустойчивости и доступности — в контейнерах;
• Основные проблемы, с которыми сталкиваются респонденты: безопасность (72%), наблюдаемость (51%) и отказоустойчивость (35%).

Подробнее — в отчёте.

⚫️ На System Design Codex опубликовали небольшую шпаргалку по метрикам производительности систем. Автор подчёркивает, что архитектура и технологии — лишь часть успеха, а вот показатели вроде пропускной способности, масштабируемости и других метрик дают конкретные ориентиры для оценки качества системы. В статье объясняется каждая метрика, как её измерять и улучшать, а так же практические советы по оптимизации.

#devops #debian #docker #kubernetes