KubeWeeklyは毎週Kubernetesに関する興味深いニュースを提供しています。この記事は 2018/07/25に公開された https://kubeweekly.com/kubeweekly-142/ を読んで、感じたことをメモ的にまとめたものです。
私の勘違いや説明不足による誤解もあるかと思いますので、この記事読んで「おっ」と思ったらURLを辿って本文を確認してください。

The Headlines

The History of Kubernetes & the Community Behind It - Kubernetes

OSCONでのMost Impactful Open Source Projectを受賞したので、このタイミングで振り返るKubernertesの歴史

11 Ways (Not) to Get Hacked - Kubernetes

ハッキングされないための11の方法
Kubernetesのセキュリティの話。

Control PlaneとWorkloads、さらにThe Futureという3カテゴリに分けて紹介している。
ツールの紹介が充実している。

ControlePlane
- TLSで通信しよう
  - Control Planeの通信の様子の図がわかりやすい。
- RBACで最低限の権限をつけよう。AuditLogを取ろう
  - GitHub - liggitt/audit2rbac: Autogenerate RBAC policies based on Kubernetes audit logs
- サードパーティ認証を使おう
  - GitHub - coreos/dex: OpenID Connect Identity (OIDC) and OAuth 2.0 Provider with Pluggable Connectors
  - GitHub - negz/kuberos: An OIDC authentication helper for Kubernetes' kubectl
- etcdクラスアトォファイアーウォールで分離しよう
- 証明書をローテートさせよう
Workloads
Feature
- サービスメッシュを動かそう
  - Linkerd
  - Istio
  - spiffe.io

How to scale Microservices with Message Queues, Spring Boot, and Kubernetes

先週読んだ

The Technical

Feature Highlight: CPU Manager - Kubernetes

新機能紹介 beta機能であるCPU Managerについて。
CPUコアを占有するような設定ができる機能のようです。
占有ということなので、整数のコアの指定が必要。
機械学習のようなCPUを占有するワークロード向けの機能。

Horizontal Pod Autoscaler Kubernetes Operator · Banzai Cloud

Deployment(or StatefulSet)にannotationをつけるとHPAを自動で作ってくれるoperatorの紹介。
既存のHelm ChartにHPAの機能だけをつけたいけどChart自体はいじりたくない、、という課題に答えるプロダクトのようだ。

Azure Functions on Kubernetes – Asavari Tayal – Medium

Azure Functions Core Tools を使うと、AzureFunctionと同じ機能をローカル環境で利用することができる。
要はDockerfileやソースコードをscaffoldingしてくれて、kubectlをラップしてKubernetes上にデプロイしてくれるツール。

NATS Operator: Integrating Kubernetes ServiceAccounts for operated NATS clusters

NATS Operatorの解説。

NatsCluster
NatsServiceRole

のCRDを定義。
NatsServiceRoleができるとそれに対応したServiceAccountと、Tokenがつくられ、そのTokenでNATSにアクセスする。

TokenRequest　APIを使ってNATS用のTokenを作る。この差異audienceを設定して、NATSに対してのみ使えるように制限している。
PodSharedProcessNamespaceによりNATS serverと同居しているreloaderがHUPを送ることでゼロダウンタイムでのroleの更新を実現している。

まだα版。NATSにはJWTでの認証はサポートされていないとのこと。（NATS Operatorの時はどうやっているのだろうか？独自ビルド？）

Hands-On CI/CD for Microservices With Jenkins X - DZone Microservices

Jenkins Xのチュートリアル記事。

JenkinsXはGKEクラスタも作るし、GitやDockerfile,Helm chartのskaffoldingも行うし、至れり尽くせり

Deploying a Stateful Application on Google Cloud Kubernetes Engine | @RisingStack

GKEにStatefulなアプリケーションをデプロイするチュートリアル。
アプリケーションはGhostというブログエンジン
テーマや画像を永続データとして持っているとのこと。

データベースはGCPのものを使う、接続用のプロキシをサイドカーに仕込む
type=Loadbalancerでサービスを公開する。

Building an operator for Kubernetes with kubebuilder

　Building an operator for Kubernetes with the sample-controller ではKubernetesリポジトリにあるサンプルのcontroller( GitHub - kubernetes/sample-controller: Repository for sample controller. Complements sample-apiserver )を改造して簡単なControllerを実装している。