Kubernetes 1.37 закрывает этот разрыв тремя вещами: набором переиспользуемых API-интерфейсов, общей библиотекой Go workloadbuilder и обновлённой, явной интеграцией Job, построенной на обоих этих компонентах.

Как мы интегрировали локальные кластеры Kubernetes в GitOps-платформу на базе AKS, не пересобирая каждый раз контрольную плоскость при создании нового кластера.

В этом руководстве предполагается, что вы уже глубоко знаете Kubernetes (Deployments, Services, RBAC, HPA, Ingress/Gateway API, CRDs). Оно не повторяет основы Kubernetes — оно объясняет всё, что KServe добавляет поверх него, и раскрывает каждую концепцию через работающий пример.

Получение уведомлений при подключении к сети новой программы или при ее изменении

Контролирует пропускную способность сети, разбивая трафик по исполняемым файлам, хэшам, родителям, доменам, портам или пользователям с течением времени

При желании можно проверить хэши или исполняемые файлы с помощью VirusTotal

Хеши исполняемых файлов кэшируются на основе устройства + inode для повышения производительности и работают с приложениями, запущенными в контейнерах

Используется BPF для точного мониторинга пропускной способности с низкими накладными расходами и fanotify для контроля исполняемых файлов на предмет модификации

Поскольку приложения могут вызывать других пользователей для отправки/получения данных для них, родительский исполняемый файл и хэш также регистрируются для каждого соединения

Прагматичный и минималистичный дизайн, сфокусированный на точном обнаружении с четким сообщением об ошибке, когда это невозможно

Ключ для выкладки в production не нужен задаче, которая проверяет форматирование кода. Если обе получают его через общую переменную, компрометация любой из них расширяет область утечки.

В GitLab Secrets Manager задача явно запрашивает секрет через secrets: в .gitlab-ci.yml. Доступ можно ограничить веткой, её защищённостью и целевым окружением. Например, разрешить чтение только из защищённой ветки для production/*.

Значение хранится в OpenBao. Задача получает его по короткоживущему токену, а в окружение передаётся путь к временному файлу. В аудите чтения сохраняются идентификаторы задачи и конвейера.

Это не отменяет ротацию: если задача успела прочитать и передать ключ злоумышленнику, ключ нужно заменить. Динамические учётные данные пока заявлены как следующая возможность.

Secrets Manager доступен в GitLab 19.5 на Premium и Ultimate для GitLab.com и собственной установки. Поддержка Dedicated появится позже.