Tempo 3.1 release: new features for Kafka, TraceQL metrics updates, trace redaction, and more

В новом релизе появились защищённые подключения к Kafka, чтение данных из своей зоны доступности для снижения сетевых расходов и поддержка дополнительных алгоритмов сжатия.

Чувствительные данные теперь можно удалять сразу из нужных трейсов с помощью запроса TraceQL — перечислять каждый trace ID вручную больше не требуется. Метрики TraceQL научились учитывать сэмплирование, а ускоренный путь чтения позволяет выполнять некоторые запросы почти вдвое быстрее.

Кроме того, форматом хранения по умолчанию стал Parquet5, улучшены генератор метрик и карты сервисов, а экспериментальная функция сравнения трейсов помогает искать регрессии между запусками.

📌 Подробнее: https://grafana.com/blog/tempo-3-1-release-all-the-latest-features/

MemOps🤨

MemOps 😃

nvitop — интерактивный просмотрщик процессов NVIDIA-GPU и не только, универсальное решение для управления процессами GPU.

Возможности:
— информативный и эффектный вывод: отображает больше информации, чем nvidia-smi, с помощью цветной графики в виде рамок.
— режим мониторинга: может работать как монитор ресурсов, а не выводить результаты только один раз
— интерактивный: реагирует на ввод данных пользователем (с клавиатуры и/или мыши) в режиме монитора.
— портативный: работает как на Linux, так и на Windows
— интегрируемость: легко интегрируется с другими приложениями, превосходит функции мониторинга. (по сравнению с nvidia-htop и nvtop)

📌 Подробнее: https://github.com/XuehaiPan/nvitop

MemOps🤨

MemOps 😃

Применение на стороне сервера: что происходит при выполнении kubectl apply

Применение на стороне сервера важно, так как объекты Kubernetes представляют собой общее состояние: оно переносит право владения полями на API-сервер, что позволяет инструментам в стиле apply выявлять конфликты, а не скрывать их в виде тихих перезаписей.

📌 Подробнее: https://learnkube.com/server-side-apply-kubernetes

MemOps🤨

MemOps 😃

k8s-aibom — оператор для сбора AI Bill of Materials в Kubernetes.

В AI-проектах уже недостаточно знать только версии контейнеров и пакетов. Важно понимать, какие AI-модели, фреймворки и компоненты реально используются в кластере, где они запущены и от чего зависят. Что и как он идентифицирует можно почитать тут.

Команда Google Cloud представила k8s-aibom — инструмент с открытым исходным кодом, который помогает автоматически собирать AIBOM.
Что инструмент дает:
- инвентаризацию AI-компонентов в кластере;
- понимание, какие модели и ML-фреймворки используются;
- повышение прозрачности AI-нагрузок;
- помощь в анализе рисков, уязвимостей и соответствия требованиям безопасности;
- более удобный контроль AI-софта в production-средах.

Со временем окружение быстро усложняется, а ручной учет компонентов становится практически невозможным. По сути, k8s-aibom — это попытка сделать для AI-компонентов то же, что SBOM (только в формате OWASP CycloneDX 1.6 Machine Learning Bill of Materials (ML-BOM)) делает для обычного программного обеспечения: дать структурированное представление о составе системы, чтобы защитить цепочку поставки (supply chain), борьба с shadow AI.

📌 Подробнее: https://github.com/GoogleCloudPlatform/k8s-aibom

MemOps🤨

MemOps 😃

Обеспечение безопасности CI/CD для проекта с открытым исходным кодом: уроки из Cilium

Cilium работает на уровне ядра в сетевом пути миллионов подов Kubernetes. Если бы наша цепочка поставок была скомпрометирована, масштаб последствий был бы значительным. Укрепление проекта против такого сценария — это то, над чем мы работаем непрерывно, и мы хотели записать, что именно мы делаем, в деталях. Большая часть следующего не специфична для Cilium: любой проект с открытым исходным кодом, использующий CI/CD на GitHub Actions, может применить эти подходы.

📌 Подробнее: https://cilium.io/blog/2026/05/06/securing-cicd-open-source-lessons-from-cilium

MemOps🤨

MemOps 😃

Исследователи Palo Alto Networks показали интересный сценарий атаки на SPIFFE/SPIRE в Kubernetes. Если атакующий получает root на ноде, он может подменить cgroup метаданные процесса и заставить SPIRE Agent выдать ему SVID другого workload.

В результате злоумышленник получает возможность использовать криптографическую идентичность скомпрометированного workload и обращаться к сервисам, доверяющим этой identity. При этом сама криптография SPIFFE не ломается — проблема в том, что после компрометации ноды рушится доверие к данным, на которых основана workload attestation.

Для проверки таких сценариев Palo Alto Networks выпустили открытый инструмент Spooffe, который автоматизирует тестирование подмены cgroup и получения чужих SVID. Хорошее напоминание о том, что SPIFFE/SPIRE не изолирует workload от полностью скомпрометированной ноды и root доступ нужно учитывать в threat model.

📌 Подробнее: https://unit42.paloaltonetworks.com/kubernetes-spiffe-spire-identity-spoofing/

MemOps🤨

MemOps 😃

GitLab Architecture: A Complete Guide

В этом вводном гайде вы узнаете:
- Основные компоненты GitLab
- Хранилище GitLab
- Высокая доступность и масштабируемость
- Аутентификация и авторизация
- Мониторинг GitLab с помощью Prometheus и Grafana

📌 Подробнее: https://devopscube.com/gitlab-architecture/

MemOps🤨

MemOps 😃

Разберите этот сценарий troubleshooting в Kubernetes

При развёртывании Kubernetes-кластера на базе kubeadm в AWS с Calico CNI можно столкнуться с таймаутами соединения между Pod'ами и CoreDNS.

Авторы столкнулись с этой проблемой и подготовили подробную статью, в которой разобрали:
- почему возникает эта проблема;
- как пошагово её диагностировать;
- реальную первопричину;
- как сетевая инфраструктура AWS взаимодействует с Calico;
- как правильно исправить проблему.

📌 Подробнее: https://blog.techiescamp.com/docs/fix-dns-timeout-kubeadm-calico-aws/

MemOps🤨

🌊 2035 год. Сидишь в землянке у костра и рассказываешь лесным белкам, почему монолит был в разы надежнее этих ваших микросервисов.

Типичный 🥸 Сисадмин