Google द्वारा 7 सर्वश्रेष्ठ कंटेनर अभ्यास

लगभग। ट्रांस। : मूल लेख के लेखक Théo Chamley, एक Google Cloud Architect है। Google क्लाउड ब्लॉग के लिए इस प्रकाशन में, उन्होंने अपनी कंपनी के लिए और अधिक विस्तृत गाइड से एक संक्षिप्त निचोड़ प्रस्तुत किया, जिसे " ऑपरेटिंग कंटेनरों के लिए सर्वश्रेष्ठ अभ्यास " कहा जाता है। इसमें, Google विशेषज्ञों ने Google कुबेरनेट इंजन का उपयोग करने के संदर्भ में ऑपरेटिंग कंटेनरों के लिए सर्वोत्तम प्रथाओं को इकट्ठा किया और न केवल, विषयों की एक विस्तृत श्रृंखला पर स्पर्श किया: सुरक्षा से निगरानी और पत्रकारिता तक। तो, Google के लिए कौन से कंटेनर प्रैक्टिस सबसे महत्वपूर्ण हैं?



Kubernetes इंजन (Google क्लाउड पर कंटेनरीकृत एप्लिकेशन चलाने के लिए Kubernetes- आधारित सेवा । लगभग अनुवाद ) वर्कलोड को चलाने के लिए सबसे अच्छे तरीकों में से एक है जिसे स्केल किया जाना आवश्यक है। यदि वे कंटेनरीकृत हैं तो कुबेरनेट अधिकांश अनुप्रयोगों के सुचारू संचालन को सुनिश्चित करेगा। लेकिन अगर आप चाहते हैं कि एप्लिकेशन का प्रबंधन करना आसान हो और कुबेरनेट्स का पूरा लाभ उठाना चाहते हैं, तो आपको सर्वोत्तम प्रथाओं का पालन करना चाहिए। वे आवेदन के संचालन को सरल करेंगे, इसकी निगरानी और डिबगिंग, साथ ही सुरक्षा में सुधार करेंगे।

इस लेख में, हम कुबेरनेट्स में कंटेनरों के कुशल कामकाज के लिए आपको जो कुछ भी जानने और करने की आवश्यकता है उसकी एक सूची के माध्यम से जाएंगे। विवरण में तल्लीन करने के इच्छुक लोगों को ऑपरेटिंग कंटेनर सामग्री के लिए सर्वोत्तम अभ्यासों को पढ़ना चाहिए, साथ ही साथ हमारे पहले कंटेनर विधानसभा पोस्ट पर भी ध्यान देना चाहिए।

1. लॉगिंग के लिए देशी कंटेनर तंत्र का उपयोग करें

यदि अनुप्रयोग Kubernetes क्लस्टर में चल रहा है, तो लॉग के लिए बहुत अधिक आवश्यक नहीं है। एक केंद्रीकृत लॉगिंग प्रणाली संभवतः पहले से ही आपके द्वारा उपयोग किए जा रहे क्लस्टर में एकीकृत है। कुबेरनेट इंजन के उपयोग के मामले में, स्टैकड्राइवर लॉगिंग इसके लिए जिम्मेदार है। ( नोट : यदि आप अपनी खुद की कुबेरनेट स्थापना का उपयोग करते हैं, तो हम अनुशंसा करते हैं कि आप हमारे ओपन सोर्स - लॉगहाउस पर अधिक ध्यान दें ।) अपने जीवन को जटिल न करें और कंटेनरों को लॉग करने के लिए देशी तंत्र का उपयोग करें। लॉग को stdout और stderr में लिखें - वे स्वचालित रूप से प्राप्त, सहेजे जाएंगे और अनुक्रमित होंगे।

यदि वांछित है, तो आप JSON प्रारूप में लॉग भी लिख सकते हैं। यह दृष्टिकोण उनके लिए मेटाडेटा जोड़ना आसान बनाता है। और स्टैकड्राइवर में उनके साथ लॉगिंग इन मेटाडेटा का उपयोग करके लॉग को खोजने में सक्षम होंगे।

2. सुनिश्चित करें कि कंटेनर स्टेटलेस और अपरिवर्तनीय हैं

कंटेनरों के लिए कुबेरनेट क्लस्टर में सही ढंग से कार्य करने के लिए, उन्हें स्टेटलेस और अपरिवर्तनीय होना चाहिए। जब इन शर्तों को पूरा किया जाता है, तो कुबेरनेट्स अपना काम करने में सक्षम हो जाएगा, जब और जहां आवश्यक हो, आवेदन संस्थाओं को बनाना और नष्ट करना।

स्टेटलेस का अर्थ है कि कोई भी राज्य (किसी भी प्रकार का लगातार डेटा) कंटेनर के बाहर संग्रहीत है। इसके लिए, जरूरतों के आधार पर, विभिन्न प्रकार के बाहरी भंडारण शामिल हो सकते हैं: क्लाउड स्टोरेज , पर्सेंटेज डिस्क , रेडिस , क्लाउड SQL या अन्य प्रबंधित डेटाबेस। ( नोट अनुवाद : इसके बारे में हमारे लेख " कुबेरनेट्स के लिए ऑपरेटर: स्टेटफुल एप्लिकेशन कैसे चलाएं " इसके बारे में अधिक पढ़ें।)

अपरिवर्तनीय का मतलब है कि कंटेनर को अपने जीवनकाल के दौरान संशोधित नहीं किया जाएगा: कोई अद्यतन, पैच, कॉन्फ़िगरेशन परिवर्तन नहीं। यदि आपको एप्लिकेशन कोड अपडेट करने या पैच लगाने की आवश्यकता है, तो एक नई छवि बनाएं और इसे तैनात करें। कंटेनर कॉन्फ़िगरेशन (सुनने के लिए पोर्ट, रनटाइम के लिए विकल्प , इत्यादि) को बाहर - गुप्त और कॉन्फ़िगरमैप में स्थानांतरित करने की सिफारिश की जाती है। नई कंटेनर छवि बनाने के बिना उन्हें अपडेट किया जा सकता है। आप छवि निर्माण के साथ आसानी से पाइपलाइन बनाने के लिए क्लाउड बिल्ड का उपयोग कर सकते हैं। ( नोट : हम इस उद्देश्य के लिए डैप ओपन सोर्स टूल का उपयोग करते हैं।)


एक विन्यास के रूप में पॉड्स में लगे कॉन्फिगरेशन का उपयोग करके कुबेरनेट्स में तैनाती विन्यास को अपडेट करने का उदाहरण

3. विशेषाधिकार प्राप्त कंटेनरों से बचें

आप अपने सर्वर पर रूट के रूप में अनुप्रयोगों को नहीं चलाते हैं, है ना? यदि कोई हमलावर अनुप्रयोग में टूट जाता है, तो वह रूट एक्सेस प्राप्त करेगा। समान विचार विशेषाधिकार प्राप्त कंटेनरों को नहीं चलाने पर लागू होते हैं। यदि आप होस्ट पर सेटिंग्स बदलना चाहते हैं, तो आप कुबरनेट्स में securityContext विकल्प का उपयोग करके कंटेनर को विशिष्ट क्षमताएं दे सकते हैं। यदि आपको sysctls को संशोधित करने की आवश्यकता है, तो इसके लिए Kubernetes का एक अलग एनोटेशन है। सामान्य तौर पर, ऐसे विशेषाधिकार प्राप्त कार्यों को करने के लिए init- और साइडकार-कंटेनरों के उपयोग को अधिकतम करने का प्रयास करें। उन्हें आंतरिक या बाहरी यातायात के लिए पहुंच की आवश्यकता नहीं है।

यदि आप एक क्लस्टर का प्रशासन कर रहे हैं, तो आप विशेषाधिकार प्राप्त कंटेनरों के उपयोग को प्रतिबंधित करने के लिए पॉड सुरक्षा नीति का उपयोग कर सकते हैं।

4. रूट के रूप में चलाने से बचें

हम पहले से ही विशेषाधिकार प्राप्त कंटेनरों के बारे में कह चुके हैं, लेकिन यह और भी बेहतर होगा, अगर इसके अलावा, आप कंटेनर के रूट के रूप में अनुप्रयोगों को नहीं चलाएंगे। यदि कोई हमलावर रूट विशेषाधिकारों के साथ एक कोड में कोड निष्पादित करने की क्षमता के साथ एक दूरस्थ भेद्यता पाता है, जिसके बाद वह कंटेनर से एक अभी तक अज्ञात भेद्यता के माध्यम से बाहर निकल सकता है, तो वह मेजबान पर रूट प्राप्त करेगा।

इससे बचने का सबसे अच्छा तरीका यह है कि पहली जगह पर जड़ के रूप में कुछ भी न चलाया जाए। ऐसा करने के लिए, आप runAsUser में डॉकरीफाइल या runAsUser में USER निर्देश का उपयोग कर सकते हैं। क्लस्टर व्यवस्थापक पॉड सुरक्षा नीति का उपयोग करके प्रवर्तन को भी कॉन्फ़िगर कर सकता है।

5. एप्लिकेशन को मॉनिटर करना आसान बनाएं।

लॉगिंग की तरह, निगरानी अनुप्रयोग के प्रबंधन का एक अभिन्न अंग है। कुबेरनेट्स समुदाय में एक लोकप्रिय निगरानी समाधान प्रोमेथियस है , एक प्रणाली जो स्वचालित रूप से उन पॉड्स और सेवाओं का पता लगाती है जिन्हें निगरानी की आवश्यकता होती है। ( नोट : प्रोमेथियस और कुबेरनेट्स का उपयोग करते हुए मॉनिटरिंग पर हमारी विस्तृत रिपोर्ट भी देखें।) स्टैकेड्रीवर कुबेरनेट्स समूहों की निगरानी करने में सक्षम है और निगरानी अनुप्रयोगों के लिए प्रोमेथियस का अपना संस्करण भी शामिल है।


स्टैकड्राइवर में कुबेरनेट्स डैशबोर्ड

प्रोमेथियस एप्लिकेशन को HTTP समापन बिंदु पर मैट्रिक्स को अग्रेषित करने की उम्मीद करता है। इसके लिए प्रोमेथियस क्लाइंट लाइब्रेरी उपलब्ध हैं। OpenCensus और Istio जैसे अन्य उपकरण समान प्रारूप का उपयोग करते हैं।

6. आवेदन की स्वास्थ्य स्थिति उपलब्ध कराएं।

उत्पादन में एक आवेदन का प्रबंधन करने के लिए पूरे सिस्टम को अपने राज्य की रिपोर्ट करने की क्षमता से सहायता प्राप्त है। क्या एप्लिकेशन चल रहा है? क्या यह ठीक है? क्या यह यातायात प्राप्त करने के लिए तैयार है? वह कैसा व्यवहार करता है? इस समस्या को हल करने का सबसे आम तरीका स्वास्थ्य जांचों को लागू करना है । कुबेरनेट्स के दो प्रकार हैं: लीनिंग और तत्परता जांच ।

एक जांच की जांच के लिए, एप्लिकेशन के पास एक HTTP एंडपॉइंट होना चाहिए जो "200 OK" प्रतिसाद दे रहा है यदि यह कार्य कर रहा है और इसकी मुख्य निर्भरताएं संतुष्ट हैं। तत्परता जांच (सेवा के लिए तत्परता की जांच ) के लिए, आवेदन में एक अलग HTTP एंडपॉइंट होना चाहिए, प्रतिक्रिया "200 ठीक" लौटाए यदि आवेदन एक स्वस्थ स्थिति में है, तो प्रारंभिक चरण पूरा हो गया है और कोई भी सही अनुरोध त्रुटि का कारण नहीं बनता है। यदि इन चेकों के अनुसार आवेदन तैयार है, तो कुबेरनेट केवल कंटेनर को सीधे यातायात देगा। दो अंतबिंदुओं को जोड़ा जा सकता है अगर लिंज और तत्परता में कोई अंतर नहीं है।

Google के संदीप दिनेश, डेवलपर एडवोकेट द्वारा संबंधित लेख में आप इसके बारे में और अधिक पढ़ सकते हैं: " कुबेरनेट्स सर्वोत्तम अभ्यास: तत्परता और लीननेस जांच के साथ स्वास्थ्य जांच स्थापित करना ।"

7. ध्यान से छवि का संस्करण चुनें

अधिकांश सार्वजनिक और निजी छवियां एक टैगिंग सिस्टम का उपयोग करती हैं जो बिल्डिंग कंटेनरों के लिए सर्वोत्तम प्रथाओं में वर्णित है। यदि छवि एक सिस्टम का उपयोग करती है जो अर्थ वर्जनिंग के करीब है, तो आपको टैगिंग की बारीकियों पर विचार करना चाहिए। उदाहरण के लिए, latest टैग अक्सर छवि से छवि पर स्थानांतरित हो सकता है - यदि आपको पूर्वानुमान और प्रतिलिपि प्रस्तुत करने योग्य विधानसभाओं और स्थापनाओं की आवश्यकता है, तो आप इस पर भरोसा नहीं कर सकते।

आप XYZ टैग का उपयोग कर सकते हैं (वे लगभग हमेशा अपरिवर्तित होते हैं), लेकिन इस मामले में, छवि को सभी पैच और अपडेट का ट्रैक रखें। यदि आपकी छवि में XY टैग है, तो यह एक अच्छा मध्य विकल्प है। इसे चुनने से, आप स्वचालित रूप से पैच प्राप्त करते हैं और एक ही समय में आवेदन के एक स्थिर संस्करण पर भरोसा करते हैं।

अनुवादक से पी.एस.

हमारे ब्लॉग में भी पढ़ें:

• " कंटेनर, क्लाउड देशी और कुबेरनेट पर नए सीएनसीएफ आँकड़े ";
• " कंटेनर-आधारित अनुप्रयोगों के डिजाइन के लिए 7 सिद्धांत ";
• " 11 तरीके (नॉट) कुबेरनेट्स हैकिंग का शिकार बनें ";
• " छोटी परियोजनाओं में कुबेरनेट्स के साथ हमारा अनुभव " (समीक्षा और वीडियो रिपोर्ट) ;
• " निगरानी और कुबेरनेट्स " (समीक्षा और वीडियो रिपोर्ट) ;
• " हम डॉक की छवियों को सीआई / सीडी के लिए जल्दी और आसानी से डैप के साथ इकट्ठा करते हैं " (समीक्षा और वीडियो रिपोर्ट) ;
• " डॉकटर के साथ निरंतर वितरण अभ्यास " (समीक्षा और वीडियो रिपोर्ट) ;
• " 2018 में माइक्रोसोर्क पागलपन की मौत। "