DevOps by REBRAIN

Шаг 2. Подключаем GitLab CI GitLab поддерживает ID Tokens (подписанные JWT), генерируемые для джоб. Vault верифицирует этот токен через JWKS-эндпоинт GitLab и выдает краткосрочный access-токен с политиками конкретной роли. Для GitLab Premium/Ultimate доступна нативная интеграция:

deploy_job:
  id_tokens:
    VAULT_ID_TOKEN:
      aud: https://vault.example.com
  secrets:
    DATABASE_PASSWORD:
      vault: production/db:password@ops  # Путь/к/секрету:ключ@метод
      file: false

Для GitLab Community Edition (Free) используем стандартный CLI:

manual_authentication:
  image: vault:latest
  id_tokens:
    VAULT_ID_TOKEN:
      aud: https://vault.example.com
  script:
    - export VAULT_TOKEN="$(vault write -field=token auth/jwt/login role=myproject jwt=$VAULT_ID_TOKEN)"
    - export PASSWORD="$(vault kv get -field=password secret/myproject/staging/db)"

Шаг 3. Внедряем динамические секреты Вместо хранения постоянного пароля, мы создаем уникальную учетную запись для каждого пайплайна со временем жизни (TTL) 15 минут. Настройка роли в Vault (для PostgreSQL):

vault write database/roles/my-db-role \
    db_name="my-postgres-database" \
    creation_statements="CREATE ROLE \"{{name}}\" WITH LOGIN PASSWORD '{{password}}' VALID UNTIL '{{expiration}}'; GRANT SELECT ON ALL TABLES IN SCHEMA public TO \"{{name}}\";" \
    default_ttl="15m" \
    max_ttl="30m"

В пайплайне запрашиваем данные:

DB_CREDS=$(vault read -format=json database/creds/my-db-role)
DB_USER=$(echo "$DB_CREDS" | jq -r '.data.username')
DB_PASS=$(echo "$DB_CREDS" | jq -r '.data.password')

Если учетные данные утекут, они автоматически станут недействительными через 15 минут. Злоумышленник не успеет предпринять никаких действий, а вам не придется вручную заниматься их экстренной заменой. Пошаговый план внедрения: 1. Настроить Kubernetes auth method в Vault и привязать Service Account к роли. 2. Установить Vault Agent Injector через Helm-чарт для проксирования запросов от подов. 3. Настроить связку GitLab CI и Vault через JWT/OIDC (ID Tokens). 4. Перенести статические секреты в Vault KV engine, начиная с некритичных сервисов. 5. Перевести базы данных на динамические секреты, протестировав процесс на staging. Хочешь разобраться с Vault на реальном кластере, настроить кластеризацию, политики доступа и ротацию динамических секретов? У нас есть практикум. Демодоступы бесплатно, активируй и разбирайся в технологии бесплатно: ↘ HashiCorp Vault - настройка кластера, политики, интеграции с БД и облаками ↘ Kubernetes Admin - детальная работа с кластером, безопасность, networking ↘ Gitlab CI - сложные пайплайны, интеграции, best practices

Как не положить инфраструктуру, внедряя HashiCorp Vault Выкатываешь релиз, открываешь логи - а там пароль от продовой базы. Или секреты лежат в репозитории, закоммиченные в application.yml. Переменные окружения в CI/CD создают ложное ощущение защищённости: GitLab маскирует их в интерфейсе, но при компрометации раннера все переменные видны в открытом виде. Статические секреты создают постоянные риски для безопасности. Пароль от базы данных часто не меняется годами, потому что «если поменяем, всё упадёт». И он один на все окружения. HashiCorp Vault решает эту проблему на уровне архитектуры, полностью исключая человеческий фактор. Шаг 1. Интеграция с Kubernetes через Agent Injector Этот механизм автоматически прокидывает секреты в поды. Переписывать код приложения под чтение из файлов не нужно - достаточно обернуть команду запуска в контейнере, чтобы она считывала примонтированный Vault файл перед стартом. Добавляем аннотации к поду, и Vault монтирует секреты в его файловую систему:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: app-example
spec:
  template:
    metadata:
      annotations:
        vault.hashicorp.com/agent-inject: "true"
        vault.hashicorp.com/role: "db-app"
        vault.hashicorp.com/agent-inject-secret-db-creds: "database/creds/db-app"
        vault.hashicorp.com/agent-inject-template-db-creds: |
          {{- with secret "database/creds/db-app" -}}
          export DB_USER="{{ .Data.username }}"
          export DB_PASSWORD="{{ .Data.password }}"
          {{- end }}
    spec:
      serviceAccountName: app-example
      containers:
        - name: app
          image: app:1.0.0
          command: ["/bin/sh", "-c", ". /vault/secrets/db-creds && ./main"]

⚠️ Важно: Аннотации размещаются строго в spec.template.metadata, а не на самом Deployment. Иначе инжектор просто проигнорирует под.

❗ Открытый практикум IPtables-1 идёт уже 30 минут Если вы ещё не с нами, скорее подключайтесь! Ссылка для входа: https://my.rebrainme.com/live-class/493 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

❗Начало Открытого практикума IPtables-1 уже через 5 минут Встречаемся в 19:00 МСК. Ссылка для входа: https://my.rebrainme.com/live-class/493 Также вы можете подключиться к вебинару через личный кабинет, в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

Открытый практикум IPtables-1 начнётся сегодня в 19:00 МСК. Практикум будет проходить на площадке Zoom.US Важно!!! Чтобы вы смогли без проблем к нам присоединиться, заранее протестируйте комнату по ссылке: https://zoom.us/test Ссылку для доступа отправим вам за 5 минут до начала. Либо заходите через личный кабинет в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

🔥Пять задач по Terraform и пять задач безопасности веб-приложений Мы запустили тренажёры сразу к двум практикумам — это усложнённые задача курса без подсказок и чек-листов: тебе дают рабочую инфраструктуру или уязвимый код, и дальше ты один на один с проблемой, как на реальном проде. Тренажеры Terraform: 🟢 Инфраструктура для staging и prod окружений 🟢 Веб-сервис с балансировкой н агрузки 🟢 Переиспользуемый модуль virtual-machine 🟢 Безопасная сеть: public/private subnet и bastion 🟢 Terraform quality gate ↘️ Забрать практикум + тренажёры Тренажеры по безопасности веб-приложений: 🟢 Анализ безопасности CorpDocs 🟢 Уязвимый API 🟢 Микросервисы с макро-проблемами 🟢 Уязвимый GraphQL 🟢 Секретная уязвимость ↘️ Забрать практикум + тренажёры Любой из практикумов можно начать проходить бесплатно, вам автоматически откроется доступ к части модулей после регистрации на платформе ✉️ Если у тебя уже куплен практикум Terraform или по безопасности веб-приложений — открыть доступ ко всем пяти тренажёрам можно за 5 000 ₽. Напиши нашим менеджерам в телеграм, они помогут.

🗓️ Расписание вебинаров на сегодня ⏰ 19:00 МСК - IPtables-1 🔗 Регистрация и программа О вебинаре напомним за 5 минут до начала на этом канале. Также вы сможете зайти через личный кабинет. 🔥 Задать вопросы и обсудить детали можно в нашем чате

Открытый практикум Агенты ИИ. Что это такое и почему они сделали LLM полезным? начнётся сегодня в 20:00 МСК. Практикум будет проходить на площадке Zoom.US Важно!!! Чтобы вы смогли без проблем к нам присоединиться, заранее протестируйте комнату по ссылке: https://zoom.us/test Ссылку для доступа отправим вам за 5 минут до начала. Либо заходите через личный кабинет в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

А ты уже сделал своего ИИ-агента для автоматизации инфраструктуры? Если нет — ждём на интенсиве «ИИ-агенты для инженеров», где за 9 живых занятий соберешь агента под свои рабочие задачи. Рынок уходит от простых чатов к автономным агентам, которые сами доводят задачу до результата по циклу Reason+Act. MCP, интеграция в CI/CD и контроль расходов на LLM уже встречаются в требованиях вакансий. Программу интенсива собрали специально для DevOps, SRE и backend-инженеров, где ты научишься: 🟢внедрять автономных coding-агентов: Aider, opencode для рефакторинга и написания тестов 🟢разрабатывать собственные MCP-серверы на FastMCP для связи LLM с внутренней инфраструктурой 🟢снижать расходы на API через связку Architect/Editor и мониторинг в Langfuse 🟢генерировать и валидировать Helm-чарты и Kubernetes-манифесты силами агента 🟢защищать агентов от Prompt Injection и утечки секретов через Docker-изоляцию 🟢подключать AI-ревьюеров в GitHub Actions 🟢управлять контекстом в длинных проектах через иерархическую память ↘️ Подробная программа Тебя ждёт: 🟢 9 живых эфиров с Артуром Сапрыкиным 🟢 8 заданий с проверкой 🟢 упор на self-hosted решения и open-source агентов — Aider, opencode 🟢 чат с Артуром и участниками интенсива, записи эфиров 🟢 реальные сценарии DevOps: работа с Terraform, Helm и логами систем 🟢 разбор безопасности и изоляции AI-процессов 🟢 блок про экономику: как не слить бюджет на API в первый же день Финальный проект Сборка AI-Platform-Assistant: агент с собственным MCP-сервером, интеграцией в GitHub Actions и панелью в Langfuse для контроля расходов и галлюцинаций. 👨‍💻 Автор и ведущий практикума —Артур Сапрыкин, основатель и CEO Maglosya 17 лет в IT, 10 из них в ИИ, 7 лет преподаёт. Начинал с desktop-приложений для госучреждений на .NET и C++, сейчас проектирует архитектуру ИИ-систем: агенты, LLM, компьютерное зрение, аудио-аналитика. 🟡 Начало занятий — 20 июля 🎁 Сейчас действует скидка 10 000 руб. А для участников практикума «LLM для инженеров» дополнительная скидка 3 000 руб. ↘️ Узнать подробности и занять место ✉️ Чтобы получить дополнительную скидку, напиши нашим менеджерам в телеграм, они подробно расскажут о программе и помогут с оплатой.

🗓️ Расписание вебинаров на сегодня ⏰ 20:00 МСК - Агенты ИИ. Что это такое и почему они сделали LLM полезным? 🔗 Регистрация и программа О вебинаре напомним за 5 минут до начала на этом канале. Также вы сможете зайти через личный кабинет. 🔥 Задать вопросы и обсудить детали можно в нашем чате

Открытый практикум Ansible для управления сетью. Часть 3 начнётся сегодня в 20:00 МСК. Практикум будет проходить на площадке Zoom.US Важно!!! Чтобы вы смогли без проблем к нам присоединиться, заранее протестируйте комнату по ссылке: https://zoom.us/test Ссылку для доступа отправим вам за 5 минут до начала. Либо заходите через личный кабинет в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

🗓️ Расписание вебинаров на сегодня ⏰ 20:00 МСК - Ansible для управления сетью. Часть 3 🔗 Регистрация и программа О вебинаре напомним за 5 минут до начала на этом канале. Также вы сможете зайти через личный кабинет. 🔥 Задать вопросы и обсудить детали можно в нашем чате

🤖 Какие ИИ-агенты нужны инженерам для работы? Уже завтра на бесплатном вебинаре разберём с Артуром Сапрыкиным. LLM сама по себе умеет отвечать на вопросы. Но как только нужно сходить в API, прочитать лог, запустить команду и принять решение по результату — одной модели мало. Эту разницу и закрывают агенты. На вебинаре «Агенты ИИ. Что это такое и почему они сделали LLM полезным?» разберём: 🟢что на самом деле стоит за словом «ИИ-агент» 🟢почему голой LLM недостаточно для рабочих задач 🟢какую роль агенты играют в современных ИИ-решениях 🟢 примеры применения в реальных продуктах 🟢 почему ChatGPT — это не только LLM 👨‍💻 Ведёт: Артур Сапрыкин, основатель и CEO Maglosya. 17 лет в IT, 10 из них в ИИ, 7 лет преподаёт. Начинал с desktop-приложений для госучреждений на .NET и C++, сейчас проектирует архитектуру ИИ-систем: агенты, LLM, компьютерное зрение, аудио-аналитика. 📆 1 июля, 20:00 мск 📍 Zoom ↘️ Регистрируйся бесплатно Ждём именно тебя 🤍

🔥Интенсив Network Security с Андреем Шабалиным стартует уже через 2 дня. Придержали место специально для тебя 😉 За 8 живых занятий с Андреем ты получишь все самые необходимые навыки по работе с сетями и научишься: • проектировать и настраивать сети в эмуляторе GNS3 • управлять межсетевым экраном Eltex ESR • настраивать фильтрацию трафика с помощью ACL • конфигурировать Source NAT и Destination NAT • настраивать мониторинг сетевых устройств по протоколам Syslog и SNMP • конфигурировать xFlow и зеркалирование трафика (SPAN) • управлять сетевым доступом через AAA ↘️ Занять место Тебя ждёт: 🟢 8 живых занятий с Андреем Шабалиным 🟢 7 практических заданий с проверкой 🟢 Практика на виртуальных образах Eltex vESR в среде GNS3 🟢 Чат с Андреем и участниками интенсива 🟢 Глубокий разбор логики работы Firewall (Class-map, Policy-map) 🟢 Фокус на безопасности управления (Control Plane Hardening). 🟡 Начало занятий — 1 июля 🎁 Сейчас действует скидка 3 000 руб. А для участников прошлого интенсива с Андреем дополнительная скидка 2 000 руб. ↘️ Узнать подробности и занять место

⚡️ Делимся новстью наших друзей Получите статус сертифицированного инженера данных Скоро в программе сертификации Yandex Cloud появятся два новых экзамена для инженеров данных. Пока они не запущены официально, мы проводим серию пилотных тестирований — чтобы собрать статистику и доработать экзамены. Те, кто успешно сдадут экзамен, получат статус сертифицированных специалистов в числе первых. Что за экзамены? 1️⃣ Yandex Cloud Certified Data Engineer — базовый уровень, подтверждает навыки работы с сервисами платформы данных. 2️⃣ Yandex Cloud Certified Lakehouse Data Engineer — продвинутый уровень, проверяет компетенции по построению Lakehouse-платформ. Пилоты проводятся до 4 июля. Участие бесплатное, но количество мест ограничено. Заполняйте эту форму, чтобы зарегистрироваться. Детали на этой странице.

🟡 Анонс открытых практикумов на следующую неделю 1️⃣ Ansible для управления сетью. Часть 3 ↘ Регистрация Время проведения: 30 июня 2026, вторник, 20:00 по МСК Программа практикума: 🟢Настраиваем агрегацию и ядро сети (IOS, JunOS): l3 интерфейсы, маршрутизация 🟢Импорт дополнительных библиотек 🟢Dynamic Inventory плагины: генерация inventory с помощью SQL-запросов Кто ведёт? 🔥Ольга Яновская — Руководитель направления Networks by Rebrain. Ph.D. in Information Technology. Cisco NetAcad Instructor / NetAcad Success Lead / Instructor-Trainer. Ведущий сетевой инженер. Разработчик в Pyzzle.ISP — система автоматизации сетей операторов связи. --------------------------------------------------------------------------------------- 2️⃣ IPtables-1 ↘ Регистрация Время проведения: 2 июля 2026, четверг, 19:00 по МСК Программа практикума: 🟢Путь пакета в Linux 🟢Подсистема Netfilter 🟢Способы управления фильтрацией пакетов 🟢Основные команды iptables 🟢Настройка минимального сетевого фильтра для сервера 🟢Сохранение конфигурации iptables Кто ведёт? Николай Лавлинский — Технический директор в ООО “Метод Лаб”. Веб-разработчик более 15 лет. Спикер конференций HighLoad++, РИТ++

🟡 Анонс открытых практикумов на следующую неделю 1️⃣ Ansible для управления сетью. Часть 3 ↘ Регистрация Время проведения: 30 июня 2026, вторник, 20:00 по МСК Программа практикума: 🟢Настраиваем агрегацию и ядро сети (IOS, JunOS): l3 интерфейсы, маршрутизация 🟢Импорт дополнительных библиотек 🟢Dynamic Inventory плагины: генерация inventory с помощью SQL-запросов Кто ведёт? 🔥Ольга Яновская — Руководитель направления Networks by Rebrain. Ph.D. in Information Technology. Cisco NetAcad Instructor / NetAcad Success Lead / Instructor-Trainer. Ведущий сетевой инженер. Разработчик в Pyzzle.ISP — система автоматизации сетей операторов связи. --------------------------------------------------------------------------------------- 2️⃣ IPtables-1 ↘ Регистрация Время проведения: 2 июля 2026, четверг, 19:00 по МСК Программа практикума: 🟢Путь пакета в Linux 🟢Подсистема Netfilter 🟢Способы управления фильтрацией пакетов 🟢Основные команды iptables 🟢Настройка минимального сетевого фильтра для сервера 🟢Сохранение конфигурации iptables Кто ведёт? Николай Лавлинский — Технический директор в ООО “Метод Лаб”. Веб-разработчик более 15 лет. Спикер конференций HighLoad++, РИТ++

☕️ IT-сводка нескучных новостей к пятнице: сбои, санкции и суперкомпьютеры 🟢Половина интернета легла из-за сетевого провайдера, о котором ты не слышал. 22 июня за одно утро посыпались Twitter, Microsoft Teams, Reddit, Zoom, Robinhood и Canva, больше 35 000 жалоб на один только Twitter. Все кинулись винить Cloudflare, но сам Cloudflare заявил, что глобального сбоя у него нет, а проблема в маршрутах сетевого провайдера Zayo. Отдельная ирония в том, что Twitter, куда все бегут проверить «у меня одного лежит или у всех», лёг сам, так что проверять было негде. 🟢Когда Claude прилёг на пару часов, инженеры внезапно вспомнили, как писать код руками. 2 июня у Anthropic подскочили error rate, Claude Code упёрся в неожиданные лимиты, а корпоративные системы на API словили стену из 500 и 529 ошибок. В соцсетях поползли мемы про то, что теперь придётся реально писать код, но под шутками вылез неприятный факт. Если у тебя эндпоинт одного AI-провайдера зашит в код намертво, то в 2026 это уже единая точка отказа, на которой может встать весь бизнес. 🟢Apple вынесла все приложения VK из App Store за один день. 25 июня из App Store массово пропали «ВКонтакте», «Одноклассники», «Дзен», VK Музыка, VK Видео, Mail.ru, Skillbox и ещё десяток сервисов холдинга. VK заявила, что Apple ограничила доступ без предупреждения, а Apple сослалась на соблюдение санкционных требований. Поворот в деталях: сама VK под санкциями не значится, но под санкциями США, ЕС и Великобритании находится её гендиректор Владимир Кириенко. Ранее установленные приложения продолжают работать, а вот скачать и обновить их на iPhone уже нельзя. 🟢Сбер закрыл релиз продукта без единой строки, написанной руками. GigaCode впервые закрыл полноценный релиз продукта без единой ручной строки: пять крупных задач плюс исправление багов AI-агенты сделали сами, команда только приняла. На ЦИПР-2026 показали и цифры внедрения: GigaCode используют около 14 000 разработчиков, из них примерно 80% работают с ним ежедневно, а доля принятого AI-кода за 2025 год выросла с 45% до 69%. Для тех, кто всё ещё спорит, заменит ли AI джунов, делаем выводы. 🟢Китай возглавил рейтинг суперкомпьютеров на своих процессорах Китай впервые за долгое время возглавил мировой рейтинг суперкомпьютеров TOP500, сместив с вершины американские системы. Новый лидер — суперкомпьютер LineShine, установленный в Национальном суперкомпьютерном центре в Шэньчжэне, — продемонстрировал производительность 2,198 экзафлопса в тесте HPL, значительно опередив американский El Capitan с результатом 1,809 экзафлопса. 🔥Если рубрика была интересной, поставь реакцию. В нашем чате можно обсудить все новости)

🔐 Подборка демодоступов с практикумами по безопасности — начните проходить бесплатно Заходите на платформу, активируйте доступ, начинайте проходить и выполнять задания. 🟢White Hacking Освоите методологию пентеста: разведка, эксплуатация, постэксплуатация и закрепление в системе. 🟢Эксплуатация уязвимостей внешних сервисов Научитесь находить и эксплуатировать уязвимости в сервисах, доступных из внешнего периметра. 🟢 Container Security Разберётесь, как защищать контейнеры и оркестрацию: от образов до runtime и политик безопасности. 🟢Сканирование и анализ уязвимостей Научитесь находить уязвимости в инфраструктуре, коде и контейнерах и встраивать проверки безопасности в CI/CD. 🟢HashiCorp Vault Поднимете централизованное управление секретами: хранение, динамические доступы и политики разграничения. 🟢Атаки, направленные на людей Разберёте техники социальной инженерии: фишинг, претекстинг и способы защиты от них. 🟢Безопасность Web-приложений Освоите поиск и эксплуатацию уязвимостей веб-приложений: от OWASP Top 10 до обхода защит. 🟢Повышение привилегий в Linux Научитесь находить векторы эскалации привилегий в Linux и закрывать их в своей инфраструктуре. 🎁 На каждый практикум из подборки действует скидка 15% до 30 июня Как активировать демо: 🟢 Переходите по ссылке курса, доступ откроется автоматически всем зарегистрированным пользователям платформы 🟢 Слева вы увидите, какие модули и блоки открылись 🟢 Проходите в своём темпе, выполняйте задания и знакомьтесь с платформой Прокачайте безопасность своей инфраструктуры на реальных задачах 🤍

❗ Открытый практикум Когда связист становится разработчиком: программирование Asterisk на практике идёт уже 30 минут Если вы ещё не с нами, скорее подключайтесь! Ссылка для входа: https://my.rebrainme.com/live-class/478 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате