HashiCorp Boundary

В 2020 году HashiCorp выпустили решение HashiCorp Boundary в open-source. Я долго тянул с тем, чтобы разобраться, что это, пока не наткнулся на статью Gating Access to Kubernetes API & Workloads with HashiCorp Boundary, в которой объясняется, каким образом HashiCorp Boundary обеспечивает безопасный доступ к API k8s и контейнерам. Выглядит довольно интересно. Даже прилагается пример в виде terraform.

HashiCorp Boundary представляет из себя CLI + Gateway, позволяющий администраторам получать доступ к ресурсам компании без прямого доступа к частной сети. Boundary интегрируется с существующими средствами аутентификаци, предлагает свою модель RBAC и подтягивает креды из HashiCorp Vault. Все это сопровождается возможностью аудита.

Первый вопрос, который возникает: Чем это отличается от современных Privileged Access Management (PAM) систем, кроме того, что это open-source?

- Boundary Connect (CLI) уже содержит в себе известные клиенты вроде RDP, SSH, kubectl, postgres, http. Таким образом, нет необходимости подключаться к некому бастиону по RDP/SSH, а оттуда перепрыгивать на целевую систему.

- Boundary не привязывается к IP-адресам целевых ресурсов. Это позволяет работать с объектами, которые динамически меняют свои адреса. Например, можно через boundary connect kube пройти аутентификацию, авторизацию и подключиться к желаемому контейнеру с временными кредами.

- Boundary имеет возможность развертываться через Terraform. Таким образом, можно реализовать привычный доступ в формате PAM не конфликтуя с DevOps-командами.

Вот, кстати, хорошее видео, где на пальцах объясняют как работает решение.

#ops #k8s

https://twitter.com/pinot/status/1357862266633408512
#pixelart #pixesl #twitter

Бенчмарк Prometheus vs VictoriaMetrics на метриках node_exporter

Недавно в VictoriaMetrics появилась возможность скрейпинга целевых объектов Prometheus. И теперь мы можем сравнивать яблоки с яблоками: сколько ресурсов используют Prometheus и VictoriaMetrics при скрейпинге большого количества node_exporter. Читать дальше.

Великолепный ликбез о том, как работают реляционные базы данных для тех, кто никогда не работал с базами данных. Но даже те, кто работал, посмотрят на них в новом свете после прочтения.

http://amp.gs/5U1S

📚 Смотрите, вот тут на краудфандинге собрали денег и выкупили у издательств права на хорошие научно-популярные книги. Теперь более 40 умных книг можно скачать полностью легально и бесплатно в удобном формате. Среди авторов — Хокинг, Докинз, Саган, Сапольски, Нил Деграсс Тайсон, Франс де Вааль, Мичио Каку, Пинкер, Лоуренс Краусс, Зимбардо, Ариэли, а также Панчин, Марков, Аузан и другие. Отличная инициатива, го просветляться!

https://vsenauka.ru/knigi/besplatnyie-knigi.html

Если в ссылку на гитхаб добавить 1s после github, то вы перестанете страдать от прекрасного интерфейса гитхаба и начнёте жить намного более лучше с VS Code.
Нет, серьёзно, это слишком удобно, чтобы не поделиться с вами.
https://github1s.com/linkmeup/podcast_release

Подборка снипетов кода на Python, которые могут ввести в заблуждение и расходиться с привычным для вас поведением: https://github.com/satwikkansal/wtfpython
Такие штуки могут пригодиться на собеседованиях. К сожалению, есть ещё люди, которые судят о ваших знаниях языка на основе таких перлов (о которых сами узнали буквально пару дней назад 🤣)

https://nextlinklabs.com/insights/kubernetes-ci-cd-gitlab-with-helm
#k8s #kubernetes #helm #gitlab

https://github.com/upgundecha/howtheysre
#SRE #github

https://marketplace.visualstudio.com/items?itemName=shyykoserhiy.vscode-spotify
#vscode #spotify

https://ahmet.im/blog/building-container-images-in-go/
#go #golang #container

Пока люди хвастаются, как они продали биткоин по 28к (когда он перепрыгнул 50к), я дебажу network policies в Kubernetes. Это веселее.

Как оказалось проблема простукивания пода в другом неймспейсе была не связана с кривым селектором, скорее данными которые мы процессим.

  egress:
    - to:
        - podSelector:
            matchExpressions:
              - key: app
                operator: In
                values:
                  - kek-api
        - namespaceSelector:
            matchExpressions:
              - key: name
                operator: In
                values:
                  - FOO

Все смотрится ок, да? Вот только лейблов name=FOO на неймспейсе FOO не было.

Советую https://github.com/ahmetb/kubernetes-network-policy-recipes (тут как раз это было в ридми, мол сделай kubectl label namespace/other team=operations и дерзай, но это сложнее чем кажется)

(UPD мем в профанкторе как раз про это)

https://github.com/alexanderepstein/Bash-Snippets
#bash #snippets #github

https://sequoia-pgp.org/blog/2021/01/26/202101-sq-release/
#pgp #pki #security #tool