DevOps

• DevOps · 24 мая 2022

  Argo CD 2.4 и GitLab CE: референсная архитектура GitOps для on-premise

  Импортозамещение добралось до CI/CD: клиенты ищут замену GitHub Actions и Azure DevOps. Показываем референсную архитектуру на Argo CD 2.4 + GitLab CE для on-premise.

• DevOps · 19 апреля 2022

  GitLab 14.10: SAST, dependency scanning и Sigstore-подпись Docker-образов

  GitLab 14.10 принёс улучшения SAST и интеграцию с Sigstore. Обновляем клиентские инсталляции и включаем подпись Docker-образов - supply chain атаки сделали свою работу.

• DevOps · 12 апреля 2022

  GitHub Actions и утечка токенов: аудит CI/CD цепочки поставки

  Инцидент Heroku/Salesforce с кражей OAuth-токенов через GitHub Actions заставил нас прочесать CI/CD пайплайны клиентов: permissions, OIDC, форки - разбираем что нашли.

• DevOps · 8 апреля 2022

  Kubernetes 1.24: dockershim удалён, миграция на containerd обязательна

  Kubernetes 1.24 выходит в мае 2022 и удаляет dockershim окончательно. Кто не мигрировал на containerd или CRI-O - обновление кластера будет заблокировано. Разбираем чеклист и типичные проблемы.

• DevOps · 8 февраля 2022

  Grafana 8.3/8.4 и unified alerting: мигрируем правила, собираем грабли

  Grafana 8.3/8.4 переводит unified alerting в default. Рассказываем о миграции правил для нескольких клиентов: типичные ловушки, скрипт конвертации, новая структура каналов.

• DevOps · 18 января 2022

  Terraform 1.1 и блок moved: рефакторинг модулей без боли со state

  Terraform 1.1 GA: блок moved {} позволяет переименовывать и перемещать ресурсы без потери state. Показываем паттерн на реальном кейсе реструктуризации модуля.

• DevOps · 14 января 2022

  Kubernetes 1.23 и PSP: начинаем миграцию на Pod Security Standards

  Kubernetes 1.23 GA: PodSecurityPolicy deprecated, Pod Security Admission в beta. Разбираем разницу подходов и что нашли в клиентских кластерах при первичном аудите.

• DevOps · 22 ноября 2021

  Kubernetes 1.23: HPA v2 в GA и KEDA для event-driven autoscaling

  Kubernetes 1.23 стабилизировал HPA v2 с custom metrics и ephemeral containers. Документируем настройку KEDA для autoscaling по очередям и внешним метрикам.

• DevOps · 1 ноября 2021

  Grafana Tempo в продакшне: S3 вместо Elasticsearch и прощание с Jaeger

  Tempo 1.2 вышел с улучшенной поддержкой OpenTelemetry и search backend. Документируем перевод продакшн-трейсинга с Jaeger на Tempo: S3 как хранилище, retention policy и реальные greps.

• DevOps · 18 октября 2021

  Helm 3.7 + Harbor OCI: charts и образы в одном registry

  Helm 3.7 стабилизировал OCI-реестры для хранения charts. Переносим клиентский chart-репозиторий с ChartMuseum на Harbor: сканирование, pipeline и один registry на всё.

• DevOps · 27 сентября 2021

  Trivy в GitLab CI: блокируем merge при критических CVE в контейнерных образах

  Aqua Security Trivy 0.19 добавляет SBOM-сканирование и Cosign для верификации подписей. Встраиваем в GitLab CI, сравниваем с Grype на Alpine-пакетах.

• DevOps · 15 сентября 2021

  Sentinel policies в Terraform Cloud: policy-as-code для compliance в плане

  HashiCorp расширяет Sentinel в Terraform Cloud: policy-as-code прямо в pipeline. Внедряем для клиента с требованиями compliance - запрет открытых SG и обязательные теги.

• DevOps · 6 сентября 2021

  Grafana 8 + Tempo: разворачиваем distributed tracing и связываем его с метриками и логами

  Grafana 8.0 GA объединила метрики, логи и трейсы в одном UI. Разбираем как поднять Tempo и получить корреляцию между Prometheus, Loki и трейсами в продакшне.

• DevOps · 5 августа 2021

  Kubernetes 1.22: Ingress в GA и прощание с PodSecurityPolicy

  Kubernetes 1.22 выводит Ingress в stable и объявляет PSP deprecated. Разбираем, что сломалось при обновлении кластеров с PSP и как мигрировать на Pod Security Standards.

• DevOps · 28 июля 2021

  GitLab 14.0: разбираем breaking changes в YAML-пайплайнах и новые security scanning jobs

  GitLab 14.0 вышел с major-обновлением CI YAML, pipeline editor и security dashboards. Переводим клиентские проекты и разбираем что реально ломается.

• DevOps · 14 июля 2021

  Terraform 1.0 и remote state: переводим все окружения на S3 + DynamoDB locking

  HashiCorp объявила Terraform 1.0 долгосрочно стабильным. Переводим все окружения, систематизируем remote state в S3 и разбираем что ломается при переходе с 0.15.

• DevOps · 3 июня 2021

  Vault 1.7 + External Secrets Operator: убираем хардкод паролей из Kubernetes

  Разворачиваем Vault 1.7 для управления секретами в Kubernetes: External Secrets Operator забирает динамические credentials из Vault и кладёт в Secret, TTL - 1 час.

• DevOps · 25 мая 2021

  Docker Hub rate limits в CI: переносим образы в Harbor и настраиваем proxy-cache

  После ноябрьских rate limits Docker Hub наши CI-сборки начали падать с 429. Переносим базовые образы во внутренний Harbor и разбираем подводные камни proxy-cache.

• DevOps · 20 мая 2021

  Cilium вместо Flannel: Network Policy на L7 для микросегментации под требования КИИ

  Внедряем Cilium в продакшн-кластер заказчика. Network Policy на уровне HTTP path и gRPC метода дают микросегментацию, сопоставимую с требованиями ФСТЭК по сегментации КИИ.

• DevOps · 11 мая 2021

  Terraform 1.0: compatibility promise и конец обходных путей для 0.14/0.15

  HashiCorp выпустила Terraform 1.0. Главное - не новые фичи, а compatibility promise: конфиги на 1.x не сломаются при обновлении внутри major-версии.