Jacob Baek's home

installationfluentbit install using helm chart$ helm repo add fluent https://fluent.github.io/helm-charts$ kubectl create ns logging$ helm upgrade --install fluent-bit fluent/fluent-bit -n loggingcreate storage account and blob container$ az storage account create -n fluentbitteststor -g fluentbittest-rg -l koreacentral --sku Standard_LRSconfig for azure blob$ kubectl edit configmap fluent-bit -..

service discovery 아래 링크에서 볼수 있듯이 pod 혹은 endpoint, servicem, node 등 다양한 role 선택이 가능하다. https://prometheus.io/docs/prometheus/latest/configuration/configuration/#pod simple Service Discovery 아래는 kube-prometheus-stack 을 기반으로 작업한 내용이다. 다음 링크에 소개된데로 additional scrap 설정을 진행한다. https://github.com/prometheus-operator/prometheus-operator/blob/main/Documentation/additional-scrape-config.md 먼저 아래와 같은 servi..

Grafana Dashboard를 통해 gatekeeper 모니터링을 하려 했으나공식적으로 관리되어지는 dashboard가 없는 상황이었다.https://github.com/open-policy-agent/gatekeeper/issues/2081https://github.com/open-policy-agent/gatekeeper/issues/2070https://github.com/open-policy-agent/gatekeeper/issues/897하여 검색되어지는 dashboard중 나름 최신인 다음 dashboard를 사용한 내용을 정리해보려 한다.https://grafana.com/grafana/dashboards/15763-kubernetes-opa-gatekeeperPrerequisitepro..

introduce kubernetes node상에 다수의 image들이 존재함으로 인해 디스크 사용률이 높아지고 이로인한 부가적인 이슈들이 생길수 있어 이를 최소화할수 있도록 사용하지 않는 이미지를 주기적으로 삭제하는 도구이다. https://azure.github.io/eraser/docs/ how it works eraser는 주기적으로 삭제도 하지만 즉시 삭제해야하는 경우 특정 이미지를 추가하면 삭제도 가능하다. 또한 취약점 기반으로 이미지를 삭제할수도 있다. 우선 두가지 모드에 대하여 알아보자. manual 설명 : 삭제할 이미지리스트를 imagelist로 생성하면 노드별로 삭제진행 CRD: imagelist automated 설명 : 지정시간마다 자동으로 동작중이지 않은 이미지들을 제거를 한다...

trivy는 security scanner로 다양한 방식의 스캔을 제공하고 명령 기반의 실행방식과 결과를 제공한다. 명령 기반이기에 harbor와 같은 registry나 gitlab, circleCI와 같은 CI/CD 도구들과 통합되지 않는 경우 코드기반의 수작업이 사전에 필요하다는 의미이다. 즉, 다양한 방식의 스캔과 이에 따른 결과를 제공하기에 이를 활용하기 위해서는 추가적인 사용법 및 기타 도구들과의 통합 작업이 필요하다. 이를 한번에 제공하는 도구가 있다면 좋을듯 한데 이런 기능을 제공해주는 trivy-operator가 존재하여 이에 대하여 알아보기로 하자. Trivy-operator Trivy-operator는 kubernetes cluster를 보안 이슈에 대해 지속적으로 scan 하고 CRD..

webhookinterface를 이용해 입력 메세지를 받은 메세지를 라우팅해주는 어플리케이션으로 사전에 정의된 output과 통합하여 강제화 액션을 수행할 수도 있다. Postee는 취약점 스캔결과를 전달하거나 Aqua Platform에서 협업시스템들에 감사 알람을 전달할수 있다. (Aqua platform은 Postee를 개발한 회사의 platform으로 opensource로 제공되고 있지만 해당 기업이 contributing하고 있다.) Rego rule을 이용하여 route를 수행하고 그에 맞는 action(ex, slack webhook 실행)을 수행한다. Installation helm은 다음 aquasecurity helm repo를 등록하고 사용하면 되고 jacob@laptop:~$ helm..

kubernetes는 다양한 API version을 제공하고 있고 Upgrade 시에 이로 인한 지원되지 않는다는 에러를 받게되는 경우가 종종 있다. 이를 좀더 쉽게 접근하기 위해 다양한 도구들이 제공되고 있다. 이중 kubet(No Trouble)에 대한 사용법을 간단히 정리하고자 한다. 먼저 help message는 다음과 같다. help message에서 볼수 있듯이 manifest 파일 및 helm chart 그리고 cluster 자체에 대한 검사도 가능하다. jacob@laptop:~ $ ./kubent -h Usage of ./kubent: -A, --additional-annotation strings additional annotations that should be checked to d..

VPA(Vertical Pod Autoscaler)란 안정성과 비용효율성간의 관계로 인해 request 혹은 limits를 낮게 혹은 너무 높게 설정하게 될수 있다. 이러한 상황에서는 OOM(out of memory) 및 불필요한 자원 과소비가 이루어지게 된다. Pod들의 up/down scale을 지원하는 VPA는 이런 이슈를 대응할 수 있는 방안이 된다. pod내 container들에 대한 최신 resource limits 과 requests를 설정에서 자유롭게 해준다. 자동으로 requests를 사용량에 기반해 설정하고 이로인해 resource 양에 적절한 노드에 적절한 스케쥴링이 이루어지게 된다. 또한 limits과 requests에 사이에 비율도 관리한다. https://github.com/ku..