Kubernetes
Pluto を使うと Kubernetes マニフェストの apiVersion に対して deprecated（非推奨）と removed（削除）を検出できる．警告自体は Deprecated API Migration Guide | Kubernetes を見れば確認できるし，kubectl apply コマンドを実行したときにも表示され…
コンテナワークロードにおけるセキュリティ対策の理解を深めるため「Docker/Kubernetes 開発・運用のためのセキュリティ実践ガイド」を読んだ．実は本書は 2021年7月頃 に1度読み終わっていたけど，実際に気になった部分を試したり，CKS (Certified Kubernet…
CNCF (Cloud Native Computing Foundation) の Kubernetes 関連資格 KCNA (Kubernetes and Cloud Native Associate) に合格した！ ついに「4冠」になったー まだまだ KCNA の日本語情報は少なく，資格の普及も兼ねて紹介記事としてまとめておこうと思う． w…
Kubernetes の Service ドキュメントを読み直していたら「サービスディスカバリ」のモードとして「環境変数」と「DNS」をサポートしていると書いてあった．一般的によく使うのは「DNS」で {ServiceName}.{NamespaceName}.svc.cluster.local というレコードで…
Kubernetes でノードの Taint を確認するときに「一覧する」コマンドがなくて困るときがある．--show-labels オプションのように --show-taints オプションがあったら良いのに！例えば kubectl describe node xxx | grep Taints コマンドを実行すれば「ノー…
Kubernetes の資格 CKS (Certified Kubernetes Security Specialist) に合格した やったー！Kubernetes 関連は3個目！ 今回の記事では「勉強方法」をまとめようと思う． www.cncf.io 時系列で書くと，2021年2-3月に CKAD (Certified Kubernetes Application…
Kubernetes でコンテナワークロードの脅威検出として使える「Falco」に入門する．CNCF (Cloud Native Computing Foundation) で Incubating に位置しているプロジェクトで，今回は実際に Falco を使って Pod に対する操作（振る舞い）を検出したり，独自ルー…
GitOps ソフトウェアの Flux v1 にはイメージレジストリを監視してイメージタグを自動的に最新化する「Automate image updates（自動イメージ更新）機能」が組み込まれている．別名で「Image Ops」と言ったりもする．具体的には Deployment YAML などの anno…
Kubernetes で Pod（正確にはコンテナ単位）に securityContext.readOnlyRootFilesystem: true を設定すると，ルートファイルシステムを読み取り専用にして書き込み操作を抑止できる．アプリケーションのセキュリティ対策として使える．補足をすると Kuberne…
Kubernetes で有効化できる Admission Plugin である「NodeRestriction」の動作確認をした．簡単にまとめておく！ 「NodeRestriction」は kubelet に対して Node / Pod の操作範囲を制限できる．具体例を挙げると kubelet によるラベル操作を自ノードに制限…
AppArmor (Application Armor) とは Linux Security Modules の1つで，プログラムに対して「ファイル操作」や「マウント操作」などを制限する．詳しくは以下のドキュメントに載っている． ubuntu.com コンテナワークロードのセキュリティ対策として，AppArmo…
最近「Monokle」を使っている．Monokle（モノクレ）は「Kubernetes マニフェスト用エディタ」とも言えるアプリで，2週間ほど使って操作にも慣れてきたので紹介する！macOS でも Windows でもアプリをダウンロードすればすぐに使えるぞ！ github.com 機能 ☸️ …
Kubernetes を使っていると，運用面で起動中の Pod を他のノードに移動（再スケジューリング）したくなる場面がある．以下に具体的な例を挙げる．理由としては，Kubernetes では kube-scheduler によって Pod を起動する前にノードが決まる仕組み（スケジュ…
Kubernetes で「Pod Topology Spread Constraints」を使うと Pod をスケジューリングするときの制約条件を柔軟に設定できる．今回は Zone Spread (Multi AZ) を試す！詳しくは以下のドキュメントに載っている！ kubernetes.io spec.topologySpreadConstraint…
Kubeval で Kubernetes マニフェストを検査する場合に kustomize を使っていると，以下のように kustomization.yaml でエラーになってしまう．kustomization.yaml には kind フィールドがなく，Kubeval の対象外にしたい！ $ kubeval --version Version: 0.1…
以下のドキュメントを読んでいたら kubectl コマンド（バイナリファイル）をダウンロードした後に checksum を使って検証（改ざんなし）をする手順が載っていた．kubectl に限定する必要はなく kube-apiserver などにも適用できる．さっそく試していく！ kub…
Helmfile のドキュメントを読んでいたら Advanced Features として「Deploy Kustomization with Helmfile（Helmfile で kustomize をデプロイする）」という機能が載っていた．最初はどういう意味？と疑問だったけど，簡単に言うと helmfile apply コマンド…
前回の記事では Helmfile に入門した！Helm Chart を宣言的に管理することができて便利だった 引き続き Helmfile を試していて，GitHub に載っている「The Helmfile Best Practices Guide」を読んでいたら「テンプレート機能」が紹介されていた．Helmfile で…
Helm を使うと Kubernetes クラスタ上に簡単にアプリケーションなどをインストールできる．そして Helm Chart は Artifact Hub で確認できる．また values.yaml と組み合わせれば Helm Chart のデフォルト設定を変更することもできる．しかし helm コマンド…
Kubernetes で Deployment を使うと Pod を安全にデプロイ（ロールアウト）できる．そのときに更新する Pod の割合として Max Unavailable と Max Surge という設定値があり，デフォルト値は以下のようにドキュメントに書いてある．今回は動作確認をしながら…
Argo CD は kustomize をサポートしているため，簡単に kustomize プロジェクトを GitOps 化できる．さっそく試していく！ argo-cd.readthedocs.io 検証環境 前回書いた記事で使った kustomize プロジェクトを使う． Namespace + Service + Deployment (ngin…
今まで kustomize を使って Deployment の replicas を変更するときなどは kustomization.yaml に patchesStrategicMerge を設定していた．例えば，1年前に kustomize に入門したときに書いた以下の記事でもそういう手順になっている． kakakakakku.hatenabl…
前回の記事では Kubernetes と OPA (Open Policy Agent) を組み合わせて「ラベル強制」を試した．OPA を使ってできることをより把握するために，今回は Deployment の spec.replicas に対して「最低個数」を制限できるようにする．なお OPA のインストール手…
今回は Kubernetes と OPA (Open Policy Agent) を組み合わせて「ラベル強制」を試す． OPA Gatekeeper をインストールする まず，Kubernetes クラスターに OPA Gatekeeper をインストールする．今回は OPA のドキュメントに載っている kubectl apply コマン…
Kubernetes の kube-apiserver では，デフォルトで「匿名リクエスト」機能が有効になっている（正確な条件は以下のドキュメントに載っている）．今回は「匿名リクエスト」機能の動作確認と kube-apiserver のセキュリティ対策として「匿名リクエスト」機能の…
Kubernetes のセキュリティ対策として，Service Account と Pod に設定できる automountServiceAccountToken フィールド（Secret の自動マウントをオプトアウトするかどうか）の動作確認をした．とは言え，Service Account と Secret の関係性なども整理する…
前回の記事では seccomp (Secure computing mode) に入門するために「Docker と seccomp」を組み合わせて試した．docker run コマンドの --security-opt オプションを使って seccomp プロファイルを指定した． kakakakakku.hatenablog.com 今回は「Kubernete…
Helm chart を検索するときなどに使う Artifact Hub で，2021年3月頃から新機能「Helm charts templates explorer」を使える．Twitter @cncfartifacthub では 3/5 にアナウンスされていたまた GitHub Releases を見ると，3/16 にリリースされた v0.17.0 の C…
2021年2-3月に Kubernetes の資格 CKAD (Certified Kubernetes Application Developer) と CKA (Certified Kubernetes Administrator) を受験した．3年後に更新をするであろう自分のためにも勉強方法をまとめておく．当たり前だけど，出題に関する内容は書か…
Kubernetes では Pod にリソース値（要求 : Requests と 制限 : Limits）を設定できる．設定値は kubectl describe コマンドを使って確認できるし，使用率は kubectl top コマンドを使って確認できるけど，今回紹介する CLI「kube-capacity」を使うと，Pod …
