Блог
-
DevOps
OpenTelemetry: слияние OpenTracing и OpenCensus и что это значит для наших микросервисов
Анонс OpenTelemetry заставил нас пересмотреть самописные метки трассировки и начать переход на семантические конвенции нового стандарта в сопровождаемых проектах.
-
Инфраструктура
Windows Server 2019 Core в продакшне: меньше GUI - меньше боли
Развернули WS2019 Server Core как новый стандарт для файловых серверов и RDSH: заметно меньше поверхность атаки, обновлений и вынужденных перезагрузок в рабочее время.
-
Информационная безопасность
HashiCorp Vault 1.0 и динамические секреты: временные учётные данные для PostgreSQL и MySQL
Подключили Vault 1.0 к базам данных клиентов: каждое приложение получает временный логин с TTL, а утечка конфига перестала быть поводом для ночных звонков.
-
DevOps
containerd 1.2 и CRI: перевели кластер с docker shim - стало тише и быстрее
Перевели один кластер с dockershim на containerd напрямую через CRI-плагин: потребление памяти узлов снизилось, pull образов ускорился за счёт параллельного скачивания слоёв.
-
Регуляторика
ГосСОПКА: первые предписания ФСБ и реальное подключение субъектов КИИ 1-й категории
Субъекты КИИ первой категории начали получать предписания ФСБ о подключении к ГосСОПКА. Помогли выстроить технический регламент и согласовать агента передачи данных.
-
Автоматизация
Molecule 2.x: TDD для Ansible-ролей - тест в Docker до коммита, регрессии в prod пополам
Перевели разработку Ansible-ролей на Molecule + Testinfra: тест в Docker до коммита стал обязательным, и число регрессий в prod заметно упало.
-
DevOps
Thanos и remote_write: когда 90 дней метрик Prometheus перестают помещаться
Разобрали Thanos как способ долгосрочного хранения метрик Prometheus через remote_write в object storage - и поняли, что это другая архитектура, не просто плагин.
-
Регуляторика
149-ФЗ и локализация данных: Роскомнадзор приходит к клиентам
Несколько клиентов получили предписания РКН о переносе ПДн с зарубежных серверов. Провели аудит хранения, составили план миграции на российский ЦОД.
-
DevOps
ArgoCD 0.x: GitOps-контроллер для Kubernetes, первое знакомство
Развернули ArgoCD в тестовом кластере и впервые ощутили разницу: состояние кластера теперь живёт в git, а не в памяти у инженеров.
-
Информационная безопасность
Kubernetes RBAC-харденинг: убираем wildcard-биндинги и включаем audit-log
После очередного отчёта об утечках через незащищённый kube-apiserver прошлись по всем кластерам: убрали wildcard-биндинги, включили audit-log, ограничили NodePort.
-
DevOps
Terraform 0.12 alpha: протестировали HCL2 на реальном модуле - старые конфиги ломаются, новый синтаксис стоит усилий
Прогнали Terraform 0.12 alpha на тестовом модуле: HCL2 ломает старые конфиги без предупреждения, но for-выражения и нормальные типы оправдывают инвентаризацию legacy-кода.
-
DevOps
PostgreSQL в Kubernetes StatefulSet: первый продакшн-запуск с Ceph RBD PVC
Kubernetes 1.12 и зрелый инструментарий для stateful workloads: мигрировали первый боевой PostgreSQL в K8s с Ceph RBD. Миф «Kubernetes только для stateless» проверен на практике.
-
Управление и процессы
План на 2019: GitOps для Kubernetes, завершение КИИ-категорирования и пилот на Astra Linux
Составляем план на 2019: GitOps-подход к управлению Kubernetes, завершение категорирования КИИ у пяти клиентов и пилот на Astra Linux в госсекторе.
-
DevOps
Fluent Bit 1.0 в Kubernetes DaemonSet: потребление памяти с 512MB до 30MB без потери throughput
Заменили Logstash на Fluent Bit 1.0 в Kubernetes-кластере клиента. Потребление памяти DaemonSet упало с 512MB до ~30MB на узел при тех же 50K событий в секунду.
-
Информационная безопасность
Gitleaks в GitLab CI: первый прогон по истории нашёл три живых AWS-ключа
Интегрировали gitleaks в GitLab CI для поиска секретов в репозиториях. Первый исторический скан выдал три действующих AWS-ключа разработчиков - ротировали немедленно.
-
Управление и процессы
Итоги 2018: Kubernetes в продакшн, Windows Server 2019 и первые реальные аудиты по 187-ФЗ
Подводим итоги 2018: Kubernetes стал нашим стандартом оркестрации, WS2019 закрыл долг по Hyper-V, а 187-ФЗ перестал быть бумажным законом.
-
Системное администрирование
Active Directory на WS2019: первый DC поднят, functional level пока 2016, AAD Connect работает
Подняли первый контроллер домена на Windows Server 2019. Forest functional level оставили 2016 для совместимости, но уже переключили гибридную идентификацию на AAD Connect с PTA.
-
Регуляторика
Приказ ФСТЭК №235 на практике: СОБ КИИ, сертифицированные СЗИ и западные SIEM
Разбираем Приказ №235 на практике: требования к системам обеспечения безопасности КИИ пересекаются с ISO 27001, но реестр ФСТЭК режет выбор по СЗИ.
-
Интеграции
gRPC вместо REST: -40% latency и узкое место в JSON, которое Jaeger наконец показал
Перевели internal API между микросервисами клиента с REST/JSON на gRPC. Бинарный протокол сократил latency, а трейсинг через Istio и Jaeger вскрыл где именно тормозило.
-
DevOps
Elastic 6.5: мониторинг кластера и SQL теперь бесплатны - пересматриваем ценность Gold
Elastic 6.5 открыл базовые возможности X-Pack в бесплатный тир: мониторинг кластера, SQL-интерфейс и Rollup. Разбираем что это меняет для клиентов на open-source ELK.