Наличие действующей Kubernetes Audit Policy и последующий сбор и анализ логов очень важный процесс, но что если в логах будет недостоверная информация?

Автор репозитория как раз постарался выяснить что может быть подделано или недостоверно в журналах аудита Kubernetes. Оказалось, что логи можно довольно легко подделать (поля SourceIP и auditID), если в запросы добавлять некоторые заголовки.

Наверное, самые интересные из них X-Forwarded-For и X-Real-IP. Если злоумышленник знает, что в кластере собираются логи, но в тоже время хочет всё еще оставаться незамеченным, ко всем его запросам к Kube API достаточно добавить эти заголовки, чтобы мимикрировать под реальные сервисы.

https://www.medo64.com/2019/01/systemd-watchdog-for-any-service/
#systemd #watchdog

https://junyelee.blogspot.com/2021/07/linux-watchdog.html
#systemd #watchdog

Статья про retries(повторы)

Сеть ненадежна и иногда приходится выполнять запросы повторно. В статье автор рассказывает как правильно это делать

https://encore.dev/blog/retries

​Не самое плохое наглядное объяснение принципа работа GPU.
Но есть существенное упущение: непонятно почему у GPU так много ядер. Мне всегда нравилось сравнение, что процессор это профессор математики, который умеет всё, но один и медленный. А видяха это тысяча школотронов, которая умеет складывать столбиков и умножать на калькуляторе. И пока профессор применяет весь свой матан для решения одной дифуры, школотроны решают тысячи простых уравнений.

А вы знали, что в Kubernetes завезли лайф ресайз ресурсов пода без рестарта?
Довольно подробный разбор фичи:
https://medium.com/@karla.saur/trying-out-the-new-in-place-pod-resource-resizing-68a0b3c42b72

Atari 2600 написанный на #golang https://github.com/JetSetIlly/Gopher2600

И бонусом еще эмулятор NES на #golang https://github.com/fogleman/nes

https://fedepaol.github.io/blog/2020/12/07/writing-a-kubernetes-controller-part-1/
https://fedepaol.github.io/blog/2021/01/07/writing-a-kubernetes-controller-part-2/
#kubernetes #k8s #controller

Go: Creating Dynamic Kubernetes Informers - DEV Community
https://dev.to/davidsbond/go-creating-dynamic-kubernetes-informers-1npi

#kubernetes #k8s #dynamic #informers

https://medium.com/@brent.gruber77/the-power-of-kustomize-and-helm-5773d0f4d95e
#kustomize #helm

Мало кто знает, но в документации Google Cloud есть прям замечательная (и очень большая) библиотека правил для OPA Gatekeeper - их там порядка 90! При этом они идут с примерами как удовлетворяющих их ресурсов, так и нет (считай тесты).

Отличная библиотека для вдохновения и оценки собственного набора политик. При желании тоже самое можно перенести и на Kyverno.

https://sync24.bandcamp.com/album/random-archive-2001-2009
#music #sync24

Пятничной красоты пост

A quick example of how one can "synchronize" a 3d scene across multiple windows using three.js and localStorage

https://github.com/bgstaal/multipleWindow3dScene

Всем хороших выходных!

Оригинал видео
https://www.youtube.com/watch?v=bS7fytpjPp0

https://syntaxbug.com/558913a938/
#cilium #vxlan

https://scvalex.net/posts/53/
#k8s #kubernetes #syncthing #nginx

https://medium.com/@aref.riant/talking-to-containerd-grpc-afa4b185e444
#containerd #grpc #grpcurl

Rory McCune запустил новый цикл статей под названием Kubernetes security fundamentals. По сути это можно считать логическим продолжением статей из цикла Container security fundamentals (которые мы тоже освещали на канале – 1,2,3,4,5). Первая статья про API Security.

Данная статья посвящена основам безопасности Kubernetes, с фокусом на безопасности API компонентов. Kubernetes состоит из различных компонентов, предоставляющих API, и обеспечение их безопасности является важной частью общей безопасности кластера.

В статье отдельно отмечается важность безопасности kube-apiserver, etcd и kubelet, обсуждая их открытые порты, возможные уязвимости и рекомендации по улучшению безопасности.

Must have для начинающих погружаться в безопасность Kubernetes!

Сегодня хотим поделиться с вами плейлистом Container Security Fundamentals – видео, созданные по мотивам цикла статей от Rory McCune (1,2,3,4,5). В них рассматриваются все те же темы, что и в статьях – Linux Namespaces, Linux Capabilities, Seccomp, AppArmor.

Возможно кому-то будет легче воспринимать информацию с видео и динамически изменяющейся картинкой ;)