More than 5 years have passed since last update.

KubeWeekly #142

Last updated at 2018-08-08Posted at 2018-08-07

KubeWeeklyは毎週Kubernetesに関する興味深いニュースを提供しています。この記事は 2018/07/25に公開された https://kubeweekly.com/kubeweekly-142/ を読んで、感じたことをメモ的にまとめたものです。
私の勘違いや説明不足による誤解もあるかと思いますので、この記事読んで「おっ」と思ったらURLを辿って本文を確認してください。

The Headlines

The History of Kubernetes & the Community Behind It - Kubernetes

OSCONでのMost Impactful Open Source Projectを受賞したので、このタイミングで振り返るKubernertesの歴史

11 Ways (Not) to Get Hacked - Kubernetes

ハッキングされないための11の方法
Kubernetesのセキュリティの話。

Control PlaneとWorkloads、さらにThe Futureという3カテゴリに分けて紹介している。
ツールの紹介が充実している。

ControlePlane
- TLSで通信しよう
  - Control Planeの通信の様子の図がわかりやすい。
- RBACで最低限の権限をつけよう。AuditLogを取ろう
  - GitHub - liggitt/audit2rbac: Autogenerate RBAC policies based on Kubernetes audit logs
- サードパーティ認証を使おう
  - GitHub - coreos/dex: OpenID Connect Identity (OIDC) and OAuth 2.0 Provider with Pluggable Connectors
  - GitHub - negz/kuberos: An OIDC authentication helper for Kubernetes' kubectl
- etcdクラスアトォファイアーウォールで分離しよう
- 証明書をローテートさせよう
Workloads
- Linuxのセキュリティ機能とPSPを使おう
  - GitHub - genuinetools/bane: Custom & better AppArmor profile generator for Docker containers.
  - GitHub - docker-slim/docker-slim: DockerSlim (docker-slim): Don't change anything in your Docker container image and minify it by up to 30x making it secure too! (free and open source)
- YAMLを静的解析しよう
  - kubesec.io :: kubesec.io
  - GitHub - garethr/kubetest: Write unit tests for your Kubernetes configurations
- root以外でコンテナを動作させよう
- NetworkPolicyを使おう
  - GitHub - controlplaneio/netassert: network security testing for DevSecOps workflows
- イメージをスキャンしよう、侵入検知システムを動かそう
Feature
- サービスメッシュを動かそう
  - Linkerd
  - Istio
  - spiffe.io

How to scale Microservices with Message Queues, Spring Boot, and Kubernetes

先週読んだ

The Technical

Feature Highlight: CPU Manager - Kubernetes

新機能紹介 beta機能であるCPU Managerについて。
CPUコアを占有するような設定ができる機能のようです。
占有ということなので、整数のコアの指定が必要。
機械学習のようなCPUを占有するワークロード向けの機能。

Horizontal Pod Autoscaler Kubernetes Operator · Banzai Cloud

Deployment(or StatefulSet)にannotationをつけるとHPAを自動で作ってくれるoperatorの紹介。
既存のHelm ChartにHPAの機能だけをつけたいけどChart自体はいじりたくない、、という課題に答えるプロダクトのようだ。

Azure Functions on Kubernetes – Asavari Tayal – Medium

Azure Functions Core Tools を使うと、AzureFunctionと同じ機能をローカル環境で利用することができる。
要はDockerfileやソースコードをscaffoldingしてくれて、kubectlをラップしてKubernetes上にデプロイしてくれるツール。

NATS Operator: Integrating Kubernetes ServiceAccounts for operated NATS clusters

NATS Operatorの解説。

NatsCluster
NatsServiceRole

のCRDを定義。
NatsServiceRoleができるとそれに対応したServiceAccountと、Tokenがつくられ、そのTokenでNATSにアクセスする。

TokenRequest　APIを使ってNATS用のTokenを作る。この差異audienceを設定して、NATSに対してのみ使えるように制限している。
PodSharedProcessNamespaceによりNATS serverと同居しているreloaderがHUPを送ることでゼロダウンタイムでのroleの更新を実現している。

まだα版。NATSにはJWTでの認証はサポートされていないとのこと。（NATS Operatorの時はどうやっているのだろうか？独自ビルド？）