🔥 Как K2 Cloud построили облако на 5 ЦОДов и автоматизировали железо

Любое облако физически живет на серверах. Если на базовом физическом уровне хаос — упадет все. Тимлид K2 Cloud поделился историей инфраструктуры K2 Cloud: от кабельного кошмара и сгоревших PDU до тотальной автоматизации физического слоя.

Статья описывает эволюцию физической и программной инфраструктуры: от хаотичного ручного управления железом на заре проекта к жесткой стандартизации стоек, классической архитектуре сети (Leaf-Spine) и тотальной автоматизации жизненного цикла оборудования через GitOps-подобный подход (манифесты, Ansible, DCIM, Zabbix).

👈 Читать статью

Надежность облака начинается с железа. Без стандартизации стоек и кабельной системы неизбежны физические аварии.

Изоляция зон ответственности. Разработчики софта не должны вручную собирать стойки и рассчитывать дисковые корзины, этим должна заниматься специализированная инфраструктурная команда.

Декларативность рулит железом. Перенос подходов IaC на коммутаторы, конфигурации BIOS/BMC и размещение серверов через DCIM-интеграции превращает хаотичные ручные операции в быстрый, предсказуемый и безопасный конвейер.

А мы напоминаем, что сравнить облачных провайдеров Казахстана можно на нашей специальной странице. Также Core 24/7 может помочь с миграцией вашей инфраструктуры из одного облака в другое, с железа в облако или внедрить гибридный сценарий.

@DevOpsKaz 😛

🔥 Лабораторные работы по Kubernetes

Как же приятно исправлять ошибки и восстанавливать работу кластеров без стресса, переживаний и спешки. Такой опыт могут подарить лабораторки SnowOps Labs: выбираете сценарий → запускаете → пытаетесь разобраться с проблемой. Сценарии можно выбрать в веб-интерфейсе.

Лабы разбиты на категории:

⚪️ SRE
⚪️ Observability
⚪️ GitOps & CI/CD
⚪️ Security & Compliance
⚪️ Chaos Engineering
⚪️ Autoscaling Under Load и др.

В каждом сценарии описано, какие вводные и что необходимо сделать для результата.

Пользуйтесь и делитесь с коллегами — особенно с теми, кто только начинает путь в профессии 🫡

@DevOpsKaz 😛

🔥 Почему PHP2Shell критичен для инженерных команд и что с этим делать

Наверняка вы слышали про PHP2Shell — 2 критические уязвимости с оценкой CVSS 9.2, которые поставили весь интернет на ноги, ведь они позволяют неаутентифицированному злоумышленнику удалённо выполнить код почти на любом PHP-сервере. Напомним, что 70% всех сайтов написаны именно на PHP. Примечательно, что обе уязвимости выявлены с помощью AI-ассистентов.

Уязвимости затрагивают все способы обслуживания web-запросов — PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed, причём наибольший риск, по оценке команды PHP, несёт mod_php.

Единственное решение проблемы — обновление до исправленной версии PHP. При этом рабочий эксплойт уже существует, а в крупных парках инфраструктуры обновление растягивается на дни и недели — согласовать окно обслуживания, прогнать регрессию, выкатить по очереди на все кластеры получается не мгновенно, даже если патч формально уже доступен.

👈 В новой статье — разбор уязвимостей PHP2Shell и того, как поведенческий Runtime-контроль защищает контейнеры и Kubernetes, пока раскатываются патчи

Делитесь постом с коллегами, чтобы и они могли обезопасить свои системы 🫡

@DevOpsKaz 😛

🔥 Apache Doris — техническое сообщество в Центральной Азии и Кавказе

Запустили региональное сообщество Apache Doris — open-source аналитической СУБД для обработки больших объёмов данных в реальном времени. Это группа для обсуждения архитектуры, производительности, масштабирования, real-time аналитики и практического опыта внедрения. Можно напрямую задавать технические вопросы разработчикам Apache Doris.

👈 Присоединяйтесь и зовите коллег

Уже можно посмотреть материалы первого Apache Doris Meetup в Казахстане, в том числе репозиторий и презентацию с разбором внутренней архитектуры Doris.

Один из самых интересных примеров со встречи — отслеживание геопозиций такси в Сингапуре в реальном времени. На наборе данных в миллиарды строк SQL-запрос выполнялся примерно за 20 мс — и это на кластере с ограниченными ресурсами.

#партнеры

@DevOpsKaz 😛

🔥 Как AWS DevOps Agent находит причину сбоев на границе Terraform-стейтов

AWS показала агента, который отслеживает зависимости инфраструктуры через несколько Terraform-стейтов и диагностирует корень проблемы при cross-stack отказах.

Проблема, которую разбирает AWS, знакома любой платформенной команде: чем крупнее инфраструктура, тем чаще Terraform делят на независимые стеки с отдельными state-файлами. Это разумное решение — у каждой команды своя зона ответственности и свой темп изменений. Команда инфраструктуры владеет сетью, команда приложения — вычислениями и данными. Рутинные изменения внутри своего стека не требуют согласования с соседями.

Но когда один стек меняется и ломает приложение в другом, страдающая команда почти никогда не владеет стеком-источником проблемы. Она проверяет свои логи Lambda, свои IAM-политики, метрики своей базы данных — и не находит ничего, потому что в её собственном стеке действительно всё в порядке.

AWS DevOps Agent создан, чтобы закрыть именно этот разрыв видимости между стеками.

👈 Читать подробнее

@DevOpsKaz 😛

⚡️ Как защитить приложения и данные в облаке

17 ноября Yandex Cloud собирает тех, кто отвечает за безопасность облачных ресурсов, данных и цифровых продуктов.

Эксперты разберут, как блокировать DDoS-атаки на веб-приложения и API, фильтровать нежелательный трафик, выявлять риски в облачной инфраструктуре и защищать AI-приложения от утечек данных. На примерах действующих и новых продуктов платформы Yandex Cloud покажут, как эти задачи решаются на практике и уже эффективно снижают риски для бизнеса.

Хедлайнер программы: новый подход к управлению ключами шифрования External Key Store (XKS), актуальный для использования в собственной инфраструктуре. Решение будет особенно интересно банкам, МФО и финтех-компаниям с высокими требованиями к безопасности и соблюдению регуляторных норм.

👈 Участие бесплатное по предварительной регистрации.

📍 Адрес: Офис Yandex Qazaqstan (Алматы, проспект Аль-Фараби, 11/1)

🔥 Сравнение VictoriaLogs, Grafana Loki, Elasticsearch, OpenSearch, SigNoz и ClickStack на приёме логов Kubernetes

Дано: одинаковое железо, один и тот же поток структурированных логов Kubernetes, 6 систем хранения. Вопрос: кто лучше и в чем?

Каждая система работала в одиночном режиме на своей ноде n2d-standard-8 в GCP: 8 vCPU, 32 ГБ RAM. Нагрузку поднимали с 10 до 180 тысяч строк в секунду шагами по 10 тысяч каждые 10 минут. Лог — структурированная строка с 30-40 полями, типичная для Kubernetes; сценарий описывает кластер из 125 узлов по 40 подов, что даёт 5000 отдельных потоков логов.

Тест сравнил скорость записи, расход CPU и памяти, место на диске и время ответа на типовые запросы.

👈 Читайте результаты в статье

Выбор бэкенда для логов Kubernetes — это баланс между стоимостью записи, объёмом диска и скоростью расследования инцидентов. Бенчмарк даёт платформенным и SRE-командам конкретные цифры для расчёта железа под объём логов и SLA по времени ответа на запросы.

@DevOpsKaz 😛

🔥 Баланс между скоростью и безопасностью: главные выводы из отчета Datadog DevSecOps 2026

В 2026 году ландшафт DevSecOps определяется знакомым конфликтом: бизнес требует скорости (включая использование AI для написания кода), а безопасность требует контроля над цепочкой поставок.

Исследователи Datadog проанализировали десятки тысяч приложений и выявили тревожные тенденции. Собрали ключевые факты из отчета (сам оригинал отчета — во вложении):

Уязвимости никуда не делись

⚪️ 87% организаций имеют как минимум одну известную эксплуатируемую уязвимость в продакшене (затрагивает 40% сервисов)
⚪️ Лидируют по количеству проблем: Java (59%), .NET (47%) и Rust (40%)
⚪️ 10% сервисов работают на версиях языков с истекшим сроком поддержки (EOL). Использование EOL повышает риск наличия эксплуатируемой уязвимости до 50% (против 7% у актуальных версий)

Зависимости катастрофически устарели

⚪️ Медианная зависимость отстает от последней мажорной версии на 278 дней (в прошлом году — 215 дней)
⚪️ Хуже всего ситуация в Java (492 дня) и Ruby (357 дней)
⚪️ Сервисы, которые деплоятся реже раза в месяц, на 70% сильнее отстают от актуальных версий. Высокие метрики DORA напрямую коррелируют с лучшей безопасностью

«Обновиться в день релиза» — плохая идея

⚪️ 50% организаций внедряют новые библиотеки в течение 24 часов после релиза
⚪️ 32% используют публичные Docker-образы и 12% — публичные AMI в первый день их появления
⚪️ Это прямой путь к атакам на цепочку поставок. Уже 1.6% организаций в экосистеме npm за год скачали как минимум один вредоносный пакет

GitHub Actions — открытая дверь для атакующих

⚪️ 100% компаний используют сторонние экшены с маркетплейса GitHub
⚪️ Только 4% фиксируют полный SHA-хэш коммита (pinning) для всех экшенов
⚪️ 71% не пиннят хэши вообще никогда. При этом 20% организаций запускают экшены, которые уже были скомпрометированы ранее (например, в атаках Shai-Hulud или tj-actions), но до сих пор не зафиксированы на безопасном коммите

Не все «критические» уязвимости одинаково опасны

⚪️ Только 18% уязвимостей с критическим баллом CVSS остаются таковыми после анализа контекста рантайма (в продакшене ли сервис, есть ли публичный эксплойт)
⚪️ В .NET понижаются 98% таких уязвимостей (благодаря встроенным механизмам защиты), в то время как в PHP 49% остаются реально критическими

Практические советы из отчета:

Пиннить экшены: в GitHub Actions используйте полный SHA коммита вместо тегов (@v1), чтобы избежать подмены кода.

Внедрить Cooldown: не обновляйте зависимости мгновенно. Используйте задержку (например, в 1 неделю) с помощью настроек npm/yarn или Dependabot, чтобы сообщество успело выявить вредоносные пакеты.

Контекстная приоритизация: не гоняйтесь за высокими баллами CVSS. Фокусируйтесь на уязвимостях, которые реально эксплуатируются в вашем продакшене.

Метрики DORA: ускорение релизов и стабильность деплоя — это не только про скорость, но и про безопасность.

@DevOpsKaz 😛

🔥 ValidatingAdmissionPolicy vs Kyverno vs Gatekeeper: бенчмарк на Kubernetes

ValidatingAdmissionPolicy стала общедоступной в Kubernetes 1.30, а MutatingAdmissionPolicy — с версии 1.36. И действительно ли теперь нам так нужен Kyverno? Он хорош по разным причинам, но теперь у нас появился новый игрок, который поддерживается непосредственно kube-apiserver (то есть, самим Kubernetes).

В DevOps сообществе решили сравнить. Узнать результаты можно в новой статье.

👈 Читать

Нативные ValidatingAdmissionPolicy и MutatingAdmissionPolicy выполняются через CEL прямо внутри kube-apiserver, без отдельного вызова вебхука, поэтому в бенчмарке они выделяются наименьшей задержкой и требуют меньше ресурсов, чем Kyverno и Gatekeeper.

Gatekeeper держал более стабильный хвост задержки, но заметно дороже базовой линии. Kyverno в части прогонов уходил в насыщение.

❗️ Эти выводы — не призыв к действию. Выбор между движками зависит от того, нужны ли политике внешние API-вызовы, сканирование существующих ресурсов или генерация объектов.

@DevOpsKaz 😛

⚡️ Как экосистема Astana Hub растит кадры в Казахстане

Astana Hub — главная стартап-гавань Казахстана с налоговыми преференциями и акселераторами. Но для инженерного сообщества не менее важен другой аспект — развитие человеческого капитала. 

Дефицит толковых инженеров в инфраструктуре (DevOps, Cloud, SRE) — это постоянная боль любого техлида. Для решения этой боли существует программа Tech Orda, запущенная Astana Hub. Благодаря этой программе рынок обучения в проверенных школах получает ваучеры на образование по сложным техническим направлениям. 

Мы в Core 24/7 тоже наблюдаем эффект изнутри (не на словах и бумажках): наши студенты получили гранты Tech Orda, учатся на курсах и показывают прогресс — и уже сейчас многие из них в разы сильнее прошлых версий себя :) Это крутой пример того, как государственные инициативы реально насыщают рынок свежими руками с актуальной базой. 

Тех, кто успешно пройдет курс и проявит себя на высшем уровне, мы готовы принять на практику для работы над реальными проектами в команду Core 24/7.

Также мы планируем участвовать в программе Tech Orda и в следующем году. Если вы хотите попасть на обучение, рекомендуем готовиться заранее — следите за анонсами в нашем канале.

❗️ У нас также действует рассрочка на 12 месяцев на все курсы через Kaspi

Ближайшие курсы:

⚪️ Автоматизация инфраструктуры с Ansible (18 ноября)
⚪️ Kubernetes: продвинутый уровень (23 ноября)
⚪️ Интенсив по погружению в Git (23 ноября)

@DevOpsKaz 😛

🔥 Подборка инструментов DevOps

Новинки, важные апдейты и хорошо забытое старое.

⚪️ RustFS

Высокопроизводительное S3-совместимое объектное хранилище доступно для использования в продакшене с релизом версии 1.0.0. Работает на Linux, macOS и Windows и предлагает управление жизненным циклом бакетов и объектов, многочастную загрузку для больших объектов, кодирование с исправлением ошибок, многоуровневое хранение данных, таблицы S3, распределенное развертывание и так далее.

⚪️ Argo CD

Версия v3.6.0 с множеством улучшений веб-интерфейса. В их числе — новое представление Resources Explorer, новая страница Advanced Settings, улучшенные элементы управления на страницах списков настроек, поиск по регулярным выражениям в списках Application/ApplicationSet и повышенная производительность. Среди прочих обновлений: новый генератор OCI, новое действие RBAC для отката приложений, улучшенный прогрессивный синхронизатор, функция tpl в Go-шаблонах ApplicationSet, фильтрация ресурсов по меткам, а также поддержка кастомных сообщений об удалении.

⚪️ Envoy (CNCF Graduated)

Вышла версия v1.40.0, в которой расширения HTTP/3 и QUIC переведены в статус стабильных. Добавили пользовательскую постобработку для сопоставленных маршрутов, новую политику для десвязывания размера пула на воркер от размера кластера. Также добавлена поддержка метода RFC 10008 QUERY и протокола Redis RESP3.

⚪️ OpenSearch (проект The Linux Foundation)

Выпустил Kubernetes Operator 3.0. Релиз добавил распределение шардов на основе меток узлов Kubernetes, переопределение образов для пулов узлов, политику хранения PVC, поддержку запуска с отключенным плагином безопасности, а также поддержку host network и hostPath.

⚪️ Dex, провайдер OpenID Connect и OAuth 2.0 (CNCF Sandbox)

Обновлен до версии v2.46.0 с поддержкой двухфакторной аутентификации (TOTP), WebAuthn и Kerberos, политиками общего доступа SSO (SSO sharing policy) и языковых выражений CEL.

⚪️ Headlamp, веб-интерфейс для Kubernetes

Выпустили версию 0.46.0, представив альфа-поддержку Kubernetes DRA (Dynamic Resource Allocation). Кроме того, в нем появились действия Suspend и Resume для Jobs, представления CompositePodGroup для иерархического планирования типа gang scheduling, а также действие Copy to Clipboard в LogViewer.

⚪️ Cozystack (теперь CNCF Incubating)

Технический надзорный совет CNCF (TOC) проголосовал за перевод Cozystack на уровень инкубируемых проектов. Cozystack —открытfz cloud-native платформf для запуска управляемых облачных сервисов на собственном оборудовании.

@DevOpsKaz 😛