Библиотека девопса | DevOps, SRE, Sysadmin

👩‍💻 Безопасность Docker — это не только USER и privileged: false В Docker есть десятки параметров, которые могут заметно уменьшить поверхность атаки контейнера. Проблема в том, что многие из них редко используют — просто потому, что о них не знают. 🔤 Мы собрали 5 базовых настроек, которые стоит проверить практически в любом docker-compose.yml: от запуска без root до ограничения Linux Capabilities и защиты файловой системы. За основу взяли большую статью Романа Шубина о безопасности Docker-контейнеров 🔗 📍 Навигация: Вакансии • Задачи • Собесы 🐸 Библиотека devops'a #архитектура_на_салфетке

Вы проектируете инфраструктуру на нескольких площадках? Или только думаете об этом? 16 июля в Москве MWS Cloud Platform проведёт облачный митап «Под капотом: мультиклауд». Что будет: — Разбор: когда мультиклауд оправдан, а когда усложняет жизнь — Архитектура в деталях: бэкапы → репликация → сети → DR → операционный слой — Terraform deep-dive: как устроен провайдер MWS, генерация из OpenAPI и путь в Open Source Конкретные сценарии, схемы, инженерные решения. Вход бесплатный, но требуется регистрация и её подтверждение — количество мест ограничено Зарегистрироваться

👩‍💻 Безопасность Docker — это не только USER и privileged: false В Docker есть десятки параметров, которые могут заметно уменьшить поверхность атаки контейнера. Проблема в том, что многие из них редко используют — просто потому, что о них не знают. 🔤 Мы собрали 5 базовых настроек, которые стоит проверить практически в любом docker-compose.yml: от запуска без root до ограничения Linux Capabilities и защиты файловой системы. За основу взяли большую статью Романа Шубина о безопасности Docker-контейнеров 🔗 📍 Навигация: Вакансии • Задачи • Собесы 🐸 Библиотека devops'a #архитектура_на_салфетке

🤨 Как заставить AI-агента не ломать архитектуру, а нормально писать код? Мы привыкли общаться с ИИ промптами, но для автономных систем это путь к бесконечным циклам и сливу бюджета. Чтобы убрать хаос, инженеры переходят на Spec-Driven Development (SDD). Вот как этот подход меняет работу агента на практике: 🔹Контракт вместо текста. Сначала пишется строгая спецификация (JSON-схема/OpenAPI) и автотесты. Агент зажат в рамки интерфейсов, за которые физически не может выйти. 🔹Контроль на шагах. Внутри петли Think-Act-Observe агент сверяет действия со спецификацией. 🔹Саморефлексия. Если ИИ нарушил типы или «додумал» лишнее, тест падает. Агент получает ошибку в контекст и сам правит код, не выходя за рамки ТЗ. Это лишь база того, как укротить ИИ-разработку. Если вы хотите глубоко внедрить эту методологию, научиться проектировать архитектурные контракты и собирать отказоустойчивые системы — оставляйте заявку на наш новый курс по Spec-Driven Development. Стартуем совсем скоро🙂

Какой тип IP-адреса по умолчанию назначается службе в Kubernetes? 👾 — Внешний IP 👍 — Внутренний IP 🥰 — Кластерный IP ⚡️ — Виртуальный IP Библиотека задач по DevOps

🔥 ИИ-выходные: Собери своего AI-агента за 2 дня Хватит просто читать про ИИ, пора собирать автономные системы руками! 1–2 августа пройдет хардкорный онлайн-интенсив для junior-middle разработчиков. Формат: теория ➡️ сразу практика. Вы будете управлять AI-инструментами. 🛠️ Как всё пройдет:

День 1 (Суббота): разбираем анатомию агента, подключаем инструменты (shell, GitHub, Postgres) и дебажим трейсы. День 2 (Воскресенье): собираем собственного агента под вашу задачу, настраиваем Eval + Guardrails (чтобы бот не галлюцинировал) и проводим демо.

Для кого: Вы пишете на Python, работаете с Git и терминалом. (С нуля не подойдет, темп очень быстрый!) Артефакт на выходе: Рабочий репозиторий с вашим агентом, который не стыдно показать команде. 👨‍💻 Спикер: Алексей Жиряков (Сбер, GenAI). Места ограничены! 👉 Изучить программу и занять место

🐳 Docker Desktop получил несколько полезных обновлений Если используете Docker Desktop ежедневно, обратите внимание на три изменения. 🔵 Gordon теперь запоминает контекст

Встроенный AI-ассистент научился хранить локальную память между сессиями. Больше не нужно каждый раз заново объяснять структуру проекта, стек или привычный workflow.

🔵 Закрыта уязвимость SSRF в Model Runner

Исправлена CVE-2026-33990 в OCI Registry Client. Уязвимость позволяла через специально подготовленный OCI Registry заставить Model Runner обращаться к внутренним сервисам хоста. Если используете локальные модели в Docker Desktop — обновление лучше не откладывать.

🔵 Docker Agent вместо cagent

Устаревший бинарник cagent удалён. Если ваши скрипты или автоматизация всё ещё используют его — пора переходить на docker agent.

🔗 Источник 📍 Навигация: Вакансии • Задачи • Собесы 🐸 Библиотека devops'a #арсенал_инженера

Знаете ли вы, как устроены сетевые балансировщики нагрузки? За термином «отказоустойчивость» на деле стоит сложная архитектура, определяющая, устоит ли приложение под наплывом пользователей. Чтобы разобраться в этих механизмах, приглашаем вас в реалити-проект для разработчиков «Создавая облако»: выпуск, посвящённый балансировщикам. Вы узнаете: ● какие задачи решает балансировщик и как они влияют на его архитектуру; ● как балансировщик интегрирован с overlay-сетью и какие компоненты участвуют в обработке трафика; ● какие концепции Google Maglev мы взяли за основу при разработке собственного алгоритма распределения запросов; ● как работают внешний и внутренний балансировщики, включая health-checks и обработку трафика. А что на практике? Приходите посмотреть, что у нас получилось: регистрируйтесь в облаке MWS Cloud Platform и попробуйте превью-версию нового балансировщика, мы как раз только что её запустили. Попробовать балансировщик в MWS Cloud Platform

❓ Вопрос от подписчика: стоит ли сейчас переходить с Terraform на OpenTofu Получили вопрос:

«Мы используем Terraform 1.5, S3 backend, без Terraform Cloud и HCP. Есть ли смысл переходить на OpenTofu?»

Что предлагает OpenTofu уже сегодня: 🔹 нативное шифрование state и plan-файлов; 🔹 dynamic prevent_destroy через переменные (с версии 1.12); 🔹 for_each для конфигурации провайдеров; 🔹 более быстрый цикл релизов и регулярное появление новых возможностей. Когда с миграцией лучше не спешить: — используете Terraform Stacks; — есть зависимость от Terraform Cloud/HCP; — существуют корпоративные требования или vendor-контракты, связанные с HashiCorp. Если вы работаете с обычным S3 backend и не завязаны на Terraform-специфичные возможности, OpenTofu уже выглядит зрелой альтернативой. Но решение зависит от вашей инфраструктуры и используемых функций. 💬 А что выбрали вы? ❤️ — Уже перешли на OpenTofu 😁 — Пока остаёмся на Terraform 👍 — Планируем миграцию 📍 Навигация: Вакансии • Задачи • Собесы 🐸 Библиотека devops'a #dev_null

Ребят, тут Авито регистрацию на свой первый CTF открыл с призами до 300 000 рублей на команду 📍 AvitoTech устраивает CTF онлайн с денежным призовым фондом, мерчем и интересными тасками! Регистрация команд уже открыта по ссылке, а ниже собрали инфу, что предстоит делать во время HoneyBadger CTF AvitoTech. Возьмите на себя роль медоеда, проверьте защиту пчелиного улья и найдите все скрытые уязвимости в сотах. Чего ждать от турнира: тасков на веб-уязвимости, инфраструктурных мисконфигов, анализа скомпилированного кода, расследования инцидентов, слабостей шифров, всего, что требует хакерской смекалки. И розыгрыша мерча, помимо основного призового фонда. Важно: CTF не только для спецов по кибербезопасности — есть отдельная лига для всех, кто любит разбираться, как устроены IT-системы 🐝

🔥 Открытое занятие по AgentOps — курс стартовал! Сегодня в 19:00 по МСК пройдет первое занятие нового потока, на которое может прийти каждый. Оцените пользу нашего подхода на ретрансляции урока в VK! 👨‍💻 Спикер: Андрей Носов Тема: Архитектура управления: state machine для AI-агентов Будем разбираться, как использовать State machine в качестве главного оружия против стохастики (непредсказуемости) LLM. Что в программе: ● State machine: инварианты и терминальные состояния; ● Паттерны маршрутизации: Supervisor, ReAct, Plan-and-Solve; ● Детекция циклов и настройка аварийных выходов; ● Абстракция от модели: как сделать каркас, который переживет смену LLM/провайдера; ● Адаптация графов под ограничения локальных моделей; ● Версионирование графов и миграции стейта. Результат занятия: Вы поймете, как спроектировать надежный каркас агента с жестким контролем исполнения и переходов. 👉 Подписывайтесь на нашу группу ВКонтакте, чтобы не пропустить старт трансляции!

💡 Выжимка отчёта ReversingLabs 2026: почему одного SBOM уже недостаточно ReversingLabs выпустил ежегодный отчёт по безопасности цепочки поставок ПО. Вот несколько выводов, на которые стоит обратить внимание. 📈 Что изменилось

🔹 Количество вредоносных пакетов в открытых репозиториях выросло на 73%. 🔹 Среднее число известных уязвимостей на один репозиторий увеличилось с 280 до 581. 🔹 AI-пайплайны становятся такой же целью атак, как и традиционные процессы сборки и доставки ПО.

📄 SBOM — это только начало Многие компании уже генерируют SBOM, но используют его лишь для соответствия требованиям. По данным отчёта, 48% организаций не выполняют требования по работе с SBOM: не обновляют его, не связывают со сканированием уязвимостей и не используют при анализе рисков. 🤖 AI требует нового подхода Авторы отдельно выделяют ML-BOM — аналог SBOM для моделей машинного обучения. Идея в том, чтобы фиксировать не только зависимости, но и происхождение модели, данные обучения и другие сведения, необходимые для оценки рисков. Пока это скорее направление развития, чем устоявшийся стандарт. 🔗 Источник 📍 Навигация: Вакансии • Задачи • Собесы 🐸 Библиотека devops'a #локализация

⌨️ Почему root в Docker — это не совсем root Контейнер может работать от UID 0, но это не означает, что у него есть все привилегии root на хосте. Docker по умолчанию ограничивает права через Linux Capabilities — механизм ядра Linux, который разбивает права суперпользователя на отдельные возможности. 🈂️ Например, контейнер получает только необходимый минимум, а опасные capability вроде SYS_ADMIN, SYS_MODULE или SYS_PTRACE по умолчанию исключаются. Это снижает риск компрометации хоста, даже если процесс внутри контейнера запущен от имени root. 💡 Проверить список capabilities можно командой:

docker inspect <container> | jq '.[0].HostConfig.CapAdd, .[0].HostConfig.CapDrop'

А при необходимости добавить или убрать capability:

docker run --cap-drop ALL --cap-add NET_BIND_SERVICE nginx

Чем меньше привилегий у контейнера — тем безопаснее окружение. 🔗 Читать подробнее 📍 Навигация: Вакансии • Задачи • Собесы 🐸 Библиотека devops'a #арсенал_инженера

🎬 Как ИИ ускоряет разработку и где ломаются архитектуры Мы провели открытый вебинар, где разобрали реальные боли проектирования автономных систем. Ольга Лукьянова на практическом кейсе показала, как использовать ИИ-ассистентов для реальных задач. Вы просили запись встречи — она уже в открытом доступе! Что внутри: — Как с помощью ИИ быстрее разбираться в незнакомом коде и готовить пулл-реквесты; — Критерии выбора между одним агентом и мультиагентной системой; — Разбор популярных архитектурных ошибок и ограничений современных ИИ; — Практические рекомендации по проектированию и внедрению облачных агентов. 👉 Посмотреть полную запись можно тут: ● VK ● YouTube 🚀 Хотите пойти дальше открытого вебинара? Если вы готовы перейти от простых промптов к проектированию надежных, отказоустойчивых ИИ-систем, которые не сливают бюджет компании на API, приходите на курс AgentOps. Поток уже стартовал, но двери еще приоткрыты! 👉 Успеть на курс AgentOps

📹 Что должен делать агент-оркестратор? Посмотрите короткий отрывок из вебинара с Дмитрием Юдиным, внутри концентрат инсайтов о ии-агентах. А если хотите погрузиться в тему с головой, у нас доступна и полная запись этого эфира. Готовы перейти от теории к практике и собрать свой первый продакшн-кейс? Прямо сейчас действует мощная акция «3 курса по цене 1»: 🔥 При покупке VIP-тарифа нового потока «Разработка ИИ-агентов» вы получаете в подарок хардкорный курс «AgentOps» + ещё один любой курс Академии на ваш выбор! Выгода в цифрах: два топовых курса по созданию и контролю агентов обойдутся вам всего в 134.000 ₽ вместо 263.000 ₽. Плюс третий курс бонусом (например, можно подтянуть математику для AI). Ваша чистая экономия — 129 000 ₽! Сомневаетесь, подойдет ли вам формат? Оставьте заявку и пройдите бесплатный демо-урок, чтобы протестировать платформу перед покупкой. 👉 Пройти демо-урок и забрать 3 курса по цене 1

😕😕 📍 Навигация: Вакансии • Задачи • Собесы 🐸 Библиотека devops'a #пятничный_деплой

🎇Главная идея DevSecOps: безопасность перестаёт тормозить разработку. Вместо проверок «после релиза» всё встроено в пайплайн: код проходит SAST, контейнеры сканируются, инфраструктура проверяется на комплайенс. В итоге релизы выходят быстрее и при этом безопаснее. Этому и учит курс DevSecOps от Академии Codeby на практике: ⏺️9 модулей, 48 занятий, 90% практики ⏺️Стек: Docker, Kubernetes, Terraform, Vault, Ansible, Prometheus ⏺️Финальный экзамен в стиле OSCP — только реальные задачи ⏺️Авторы — практики: внедрение Zero Trust, построение SOC, разработка DevSec-инструментов под Burp Suite Инженеры, которые умеют встраивать безопасность в CI/CD, сегодня в дефиците на стыке ИБ и DevOps — компании поняли, что «сначала сделать, потом чинить» обходится дороже. 👉Старт потока — 6 июля. ➡️Программа и регистрация Бесплатная консультация — @CodebyAcademyBot

В Kubernetes приложение прогревается ~40 сек и первое время отдаёт 503. Во время деплоя Pod перезапускается из-за срабатывания liveness. Что сделать правильно? 👾 — Увеличить только readinessProbe.initialDelaySeconds 👍 — Настроить startupProbe, чтобы liveness/readiness не срабатывали, пока сервис не прогреется 🥰 — Увеличить terminationGracePeriodSeconds ⚡️ — Отключить все пробы Библиотека задач по DevOps

ОПРОС: Ответьте на пару вопросов и получите промокод на все наши курсы! 🎁 Команда Prоglib.аcаdemy готовит к запуску новые продукты, и нам нужна ваша помощь. Мы хотим создавать обучение, которое будет решать ваши реальные карьерные задачи и бить точно в цель. Поделитесь своим опытом и ожиданиями, чтобы мы сделали наши курсы еще полезнее именно для вас! Заполнение анкеты займет буквально 2–3 минуты, а с нас — скидка на любой наш курс! 👉 Пройти опрос в Яндекс Формах и забрать промокод