Далее в эфире DevOps FM — традиционный срединедельный дайджест новостей и статей.

🟡 Вчера состоялся релиз Kubernetes 1.31. Тема этого выпуска — чествование энтузиазма и духа коллективного творчества, благодаря которым k8s живёт и развивается уже более 10 лет. Маскотом этой версии стал жизнерадостный песёль Элли.

Новый релиз включает 45 изменений. Например, реализовали поддержку нового официального бэкенда nftables для kube-proxy. Ещё добавили поддержку селекторов полей для кастомных ресурсов, новое поле unhealthyPodEvictionPolicy для указания действий с нездоровыми подами и два новых флага — --emulation-version и --min-compatibility-version.

Kubernetes v1.31 доступен для скачивания на GitHub и официальном сайте.

⚫️ Джей Шмидт продолжает проводить различия между инструкциями Dockerfile. На этот раз он объяснил разницу между ADD и COPY (к примеру, в их поведении при удаленных контекстах) и на примерах показал, когда и какую инструкцию нужно использовать. Если кратко:

• В большинстве случаев лучше выбирать COPY, так как она проста и довольно безопасна. Она переносит файлы и каталоги из вашего локального контекста в создаваемый вами образ Docker.
• ADD же рекомендуется использовать только тогда, когда вам необходим конкретно её функционал (например, возможность обработки URL-адресов).

Если хочется больше деталей, то можете прочитать весь обзор в блоге Docker.

🟡 В своем блоге команда DigitalOcean поделилась опытом переноса продакш-кода в монорепозиторий. Статью можно читать и как интересный кейс, и как полезный гайд.

⚫️ На TheNewStack опубликовали 5 советов по работе с Infrastructure as Code (IaC). Один из них: используйте шаблон The DRY, чтобы изменения в модуле автоматически отражались везде, где используется этот модуль. Остальные 4 совета — здесь.

#devops #kubernetes #docker

Всем DevOps! Еженедельная подборка новостей уже здесь.

⚫️ Анонсировали Kubernetes v1.32.

По плану выпуск будет состоять из 77 обновлений, из которых 40 — это новые фичи, 16 в beta-статусе и 21 будут признаны уже стабильными.

Что нового? Например, будет существенно пересмотрен подход к DRA: код, связанный с исходной реализацией, удалят, оставив KEP #4381 в качестве «новой» базовой функциональности. Ещё добавят поддержку корректного завершения работы узлов Windows в кластере и улучшат обработку конфликтов имен для ресурсов Kubernetes, созданных с помощью generateName.

Посмотреть все запланированные улучшения можно по этой ссылке.

Предварительная дата релиза — 11 декабря.

🟡 Опубликовали мажорный релиз containerd 2.0. Из крупных обновлений: добавили интеграцию с OpenTelemetry и поддержку плагинов для проверки образов, а ещё включили механизм NRI по умолчанию. Ознакомиться со всеми новыми функциями можно здесь, а тут — посмотреть, какие старые функции перестанут поддерживаться.

⚫️ Broadcom полностью отказались от платной модели подписки на VMware Workstation и VMware Fusion. Теперь гипервизор и программа виртуализации стали бесплатными и для коммерческого использования.

В компании пояснили, что клиенты, имеющие действующий коммерческий контракт, смогут напрямую обращаться в службу поддержки и использовать ресурсы с портала поддержки до истечения срока договора.

Редакция opennet отмечает, что Broadcom планирует перевести Linux-версии VMware Workstation на использование гипервизора KVM вместо собственного проприетарного кода виртуализации.

🟡 Вышел 10-й юбилейный отчёт Accelerate State of DevOps 2024 от DORA и Google Cloud. В исследовании приняло участие более 3000 специалистов из 104 стран.

Результаты показывают, что мировой IT-рынок демонстрирует устойчивый рост в области платформенной инженерии и ухудшение качества поставок ПО по сравнению с 2023 годом. Компании, которые внедряют передовые практики DevOps, релизятся в 46 раз чаще и сталкиваются со сбоями при развертывании в 7 раз реже, чем их конкуренты.

Скачать и изучить весь отчёт можно вот здесь. Если вдруг не получается — PDF в комментариях.

#devops #kubernetes #containerd #dora #VMware

В последнюю среду этой осени публикуем небольшой дайджест новостей и статей.

⚫️ Манифест Twelve-Factor App от разработчиков Heroku теперь доступен как Open Source и опубликован на GitHub.

В FAQ ментейнеры подчеркивают, что главная задача — актуализировать рекомендации и примеры манифеста. Менять общую философию, концепцию и количество принципов не планируется.

🟡 Google Cloud обновили Kubernetes Engine: теперь GKE поддерживает кластеры до 65 000 узлов. Это значит, что разработчики смогут эффективно обучать и запускать ресурсоёмкие AI-модели с миллиардами параметров. В своём блоге они объяснили, как им удалось это сделать. Спойлер: они обновили инфраструктуру и перешли с etcd на Spanner.

⚫️ Андрей Квапил в блоге Kubernetes рассказал, как его команда реализовала собственный extension API server в Cozystack.

#devops #kubernetes #googlecloud #GKE #cozystack #twelvefactor

🖖 Всем DevOps!

Сейчас мы готовим видео, где будем обсуждать внедрение Kubernetes на физических серверах. Стремимся сделать его максимально полезным, потому хотим узнать, что вам было бы интересно послушать по этой теме.

Будем рады увидеть ваши вопросы либо в комментариях под этим постом, либо в этой гугл-форме. Вопросы могут быть любыми: от рентабельности решения до технических нюансов.

📆 Принимаем вопросы до пятницы. На те, что будут написаны позже, ответим текстом.

Большое спасибо! Всем хорошего дня.

#kubernetes #видео #ваши_вопросы

Разворачиваем базовую подборку свежих релизов в эту среду.

🟡 Выпустили Kubernetes v1.32.

Тема версии 1.32 — «Пенелопа». Разработчики проводят аналогию с древнегреческой женой Одиссея не просто так: Пенелопа ткала в течение 10 лет, каждый вечер удаляя часть того, что сделала за день. Так и Kubernetes завершает свой 10-й юбилейный год с начала существования, постоянно создавая и совершенствуя одни функции и удаляя другие.

В релиз вошли 44 фичи. Из них 19 — это новые функции, 12 находятся в beta-статусе и 13 признаны стабильными. Из интересного:

• появилась новая строгая политика резервирования CPU. Опция strict-cpu-reservation гарантирует, что процессоры, зарезервированные для системы, будут использоваться только ею;
• добавили поддержку селекторов полей для кастомных ресурсов;
• внедрили поддержку изменения томов emptyDir, хранящихся в оперативной памяти. Теперь их размер равен (или может быть уменьшен) объёму выделяемой поду памяти.

Kubernetes v1.32 доступен для скачивания на GitHub и официальном сайте.

⚫️ Выпустили первый релиз-кандидат Golang 1.24

Сам релиз ожидается в феврале 2025, но некоторые вещи мы можем посмотреть уже сегодня. Например, добавлена ​​новая tool директива в go.mod, это устраняет необходимость в обходном пути добавления инструментов в качестве пустых импортов в файл с традиционным именем tools.go. Ещё улучшили производительность на 2–3% по всем направлениям и добавили cgo директивы, способствующие этому.

Подробнее почитать можно тут.

🟡 Состоялся релиз системного менеджера systemd 257.

Новое обновление принесло ряд значительных улучшений, хотя и включает некоторые несовместимые изменения. Вот некоторые из них:

• Переработана логика обработки ключа --purge компонента systemd-tmpfiles: теперь удалению подвержены только те пути, которые помечены флагом $. Это изменение снижает риск случайного удаления данных, но потребуется адаптировать существующие конфигурации с учетом нового поведения.
• Изменили поведение команды systemd-creds, которая теперь обрабатывает учётные данные в формате base64 при использовании cat, что соответствует работе параметра decrypt.
• Добавили новые функции DeferReactivation и RestartMode=debug.

#devops #linux #релиз #kubernetes

Где среда, там и новый дайджест интересных новостей и материалов за неделю.

🟡 Avito увеличила награду за найденные в своих продуктах критические уязвимости.

Компания планирует повысить безопасность своих сервисов, увеличивая затраты на кибербезопасность на 50% по сравнению с 2024 годом. Теперь выплата за найденную уязвимость может составить до 500 тысяч рублей.

Как участвовать — смотрим здесь.

⚫️ База данных DeepSeek с конфиденциальной информацией была в открытом доступе.

Исследователи команды Wiz обнаружили незащищенную базу данных DeepSeek, в которой не было необходимого ограничения к хранилищу логов. В БД с более чем миллионом записей можно было найти ключи доступа к API, настройки СУБД и другие данные, которые могли привести к атаке на всю инфраструктуру компании.

🟡 И ещё немного о безопасности: Якир Кадкода и Ассаф Мораг рассказали о проблемах, связанных с неправильной настройкой политик в Kubernetes. В частности, они затронули тему использования инструментов управления политиками, таких как OPA (Open Policy Agent) Gatekeeper.

Авторы показали, как кажущиеся безопасными политики могут обойти из-за незначительных ошибок в конфигурации.

Суммируем советы:

• Убедитесь, что ваши значения ограничений включают последний слэш /. Это предотвращает обход через поддомены.
• Избегайте чрезмерно широких и общих политик при написании собственных политик Rego/regex или других правил. Их можно обойти.
• Сканируйте и проверяйте как выставлены значения ограничений для k8sallowedrepos.

#DepOps #безопасность #Kubernetes

Всем DevOps! Деплоим дайджест новостей, статей и мнений.

⚫️ Разработчики SUSE и openSUSE думают над тем, чтобы прекратить поддержку загрузки на системах с BIOS. Причина проста: они считают BIOS устаревшим.

Если вы захотели поддержать или вразумить разработчиков — напишите комментарий в этом обсуждении или напрямую в issue #194. Обещают услышать всех.

🟡 Зарелизили Postfix 3.10. Новая версия поддерживает протокол TLS‑RPT и заголовок сообщений «TLS‑Required: no», с помощью которого SMTP‑клиент не проверяет сертификат сервера и может откатиться на соединение с передачей данных открытым текстом. Все изменения можно посмотреть в релиз ноутс.

⚫️ В блоге Kubernetes разобрали решение проблемы «курицы и яйца», которая может возникнуть при работе cloud-controller-manager.

🟡 А в блоге CNCF рассказали о трёх главных практиках защиты среды Kubernetes. Статья будет полезна тем, кто только начинает своё знакомство с этим оркестратором.

⚫️ Архитектор ПО Заурабх выпустил краткий обзор четырёх проблем в распределённых системах и показал, как их решить.

#средовый_дайджест #kubernetes #postfix #suse #devops

Очередная среда, наши DevOps-чуваки. В честь этого подготовили дайджест новостей и релизов.

⚫️ Вышел дистрибутив Ubuntu 25.04

Что нового? Улучшили пользовательский опыт благодаря GNOME 48, обновленному установщику ОС и поддержке HDR. Внесли множество изменений в модуль безопасности AppArmor, а также обновили Linux 6.14 и NetworkManager 1.52. Изучить все детали вы можете по этой ссылке.

🟡 SSL.com выдавал поддельные SSL-сертификаты из-за ошибки в валидации доменов

В центр сертификации SSL.com обнаружили критическую уязвимость, которая позволяла злоумышленникам получать SSL-сертификаты на чужие домены.

Ошибка возникла в реализации системы проверки владения доменом через подтверждение по электронной почте (Email to DNS TXT Contact). SSL.com ошибочно считал, что домен из email-адреса, указанного в DNS TXT-записи, принадлежит заявителю. Это открывало возможность получить сертификаты на популярные домены, не имея над ними фактического контроля.

Центр сертификации подтвердил факт неправильной выдачи 11 сертификатов и уже отозвал их. Полный отчёт по инциденту обещают опубликовать до 2 мая.

⚫️ Oracle зарелизили Critical Patch Update. Было исправлено 378 уязвимостей в MySQL, Java SE, VirtualBox и в других продуктах компании. Примечательно, что 255 уязвимостей могут быть использованы удалённо без аутентификации, а почти 40 классифицированы как критические. Рекомендуем обновиться как можно скорее.

🟡 Команда Wiz.io опубликовала исследовательский брифинг по безопасности Model Context Protocol (MCP) — нового протокола, который связывает LLM-приложения с внешними источниками данных и инструментами.

⚫️ В блоге Kubernetes вышел обзор на многоконтейнерные поды и sidecar-паттерн. В статье разбирается, как sidecar-контейнеры помогают расширять функциональность приложений без изменения их кода, когда их стоит использовать, а когда — лучше отказаться. Также описаны четыре ключевых паттерна: init, ambassador, configuration helper и adapter.

#devops #kubernetes #ssl #ubuntu

Собрали для вас подборку новостей и релизов за прошедшую неделю.

🟡 Redis 8.0 и возвращение к open-source лицензии

В прошлом году Redis перешли на закрытые лицензии RSALv2 и SSPLv1 вместо BSD. Директор Redis Ltd заявил, что переход на проприетарные лицензии выполнил необходимую задачу — AWS и Google создали свой собственный форк. Теперь, помимо RSALv2 и SSPLv1, Redis будет распространяться под AGPLv3.

Что нового в версии 8.0?

• Внесли более 30 оптимизаций производительности для ускорения команд до 87% и повышения пропускной способности в два раза
• Добавлены 8 новых структур данных
• Новый механизм репликации, который снижает использование памяти и ускоряет синхронизацию
• Все модули из Redis Stack теперь доступны и в Redis Open Source

Все изменения можно посмотреть здесь, а обновиться — тут.

⚫️ Команда Wiz подготовила подробный разбор уязвимостей в GitHub Actions и собрала лучшие практики по защите CI/CD-процессов. Авторы разобрали недавние supply chain-атаки, включая кейс с tj-actions, и дали рекомендации по настройке безопасности. Если кратко:

• Используйте только проверенные версии сторонних GitHub Actions — хеш-пиннинг обязателен.
• Выдавайте минимально необходимые права и аккуратно работайте с секретами — особенно с доступом к сторонним сервисам.
• Избегайте уязвимых триггеров вроде pull_request_target .

Подробности читаем в статье.

🟡 В блоге Kubernetes вышла статья о выходе в GA функции предотвращения утечек PersistentVolume при удалении объектов в неправильном порядке.

В материале рассказали, как finalizer гарантирует корректное удаление томов, даже если PV удаляется раньше связанного PVC. Раньше в таких случаях хранилище оставалось висеть в инфраструктуре.

⚫️ На DEV вышла статья, в которой автор делится опытом автоматизации настройки окружения и управления конфигурационными файлами с помощью Ansible. Он объясняет, почему отказался от GNU Stow и как настроил систему так, чтобы развёртывание конфигурации на любом новом устройстве — будь то Linux или macOS — происходило в один клик.

#devops #redis #opensource #github #ansible #kubernetes

В эфире DevOps FM — срединедельный дайджест новостей и статей.

🟡 Вышел OpenSearch 3.0.

Новый релиз включает изменения для повышения производительности и масштабируемости. Например, добавили векторный движок, который применяется для работы с данными в ML и ускоряет векторный поиск. Ещё усовершенствовали работу с управлением данных, например pull-режим получения данных, поддержка gRPC, интеграция Apache Calcite и автоматическое определение типа индексов.

Все изменения можно посмотреть здесь.

⚫️ В Kubernetes 1.33 появилась новая функция, которая повышает безопасность при работе с приватными контейнерными образами. Теперь kubelet проверяет, действительно ли под имеет доступ к уже загруженному образу, даже если он используется с политикой IfNotPresent. Это изменение помогает избежать несанкционированного использования приватных образов другими подами на той же ноде.

В блоге Kubernetes подробно рассказали о проблеме, которую не могли решить более 10 лет, архитектуре решения и о том, как новая логика аутентификации работает под капотом.

🟡 GitHub обновил поиск по Issues — теперь он поддерживает вложенные запросы и логические операторы AND/OR.

Это улучшение позволяет более точно находить нужные задачи, комбинируя условия поиска. В статье рассказали, как команда реализовала эту функцию: от перехода на Abstract Syntax Tree и интеграции с Elasticsearch до тестирования на реальных нагрузках (до 2000 запросов в секунду). Всё это — с сохранением обратной совместимости и стабильности интерфейсов.

⚫️ На Medium вышел обзор ключевых обновлений в репозитории Cloud Networking Config Solutions от Google Cloud. В статье перечислены новые шаблоны и улучшения для настройки сетевой инфраструктуры в GCP: от поддержки VPC как spoke в Network Connectivity Center до обновлений для Vertex AI Workbench, App Engine и AlloyDB.

#devops #kubernetes #cloud #github #opensearch

Публикуем еженедельный дайджест релизов и новостей.

⚫️ Зарелизили FreeBSD 14.3

В новой версии обновили LLVM, OpenSSH, OpenZFS и другие сторонние компоненты, добавлена поддержка параметров для привязки политик и выполнения sysctl к jail-окружениям, изменили логику обработки флага "-U". Все изменения можно посмотреть здесь.

🟡 В блоге Kubernetes вышла статья о выходе Inference Extension для Gateway API — расширения, которое упрощает маршрутизацию трафика к LLM и другим AI/ML-моделям в Kubernetes.

В материале рассказали, как новое расширение учитывает особенности inference-нагрузок: продолжительность сессий, использование GPU и тип модели. Оно позволяет гибко направлять трафик на наименее загруженные поды, снижая задержки и повышая эффективность работы.

⚫️ На InfoQ вышел подробный гайд по использованию зеркалирования трафика для отладки и тестирования микросервисов. Авторы рассказали, как безопасно дублировать реальный трафик на теневые сервисы без влияния на пользователей — с помощью Istio, AWS VPC, eBPF и других инструментов. Если кратко:

• Зеркалирование позволяет ловить редкие баги, проводить регрессионные тесты и профилировать производительность в условиях, близких к боевым.
• Возможны разные уровни — L7 (через Istio и NGINX), L4 (через AWS VPC Mirroring), eBPF и DIY-решения.

Подробности и кейс с примерами читаем в статье.

#devops #freebsd #kubernetes #microservices