DevOps&SRE Library

From Linux Primitives to Kubernetes Security Contexts

In Kubernetes, containers typically start with root privileges. This happens because, by default, container processes run as UID 0 unless overridden. Kubernetes does not impose a non-root policy; it inherits whatever the image defines. This isn't a bug, it's a design choice carried over from Docker. While convenient during development, it introduces unnecessary risk in production environments. If an attacker compromises the container, root access increases the likelihood of privilege escalation to the host. The Kubernetes API offers several ways to restrict container privileges using the Security Context. With it, you can control the user a container runs as, manage Linux capabilities, enforce read-only filesystems, and block privilege escalation. However, despite its importance, Security Contexts are often misunderstood or misapplied. Many teams discover these controls only after a security audit or scanner flags a running container. The next steps are usually reactively patching the config, suppressing the warning and moving on. Before we get into Kubernetes SecurityContexts, we need to understand what they're actually configuring under the hood.

https://learnkube.com/security-contexts

HAMi

HAMi, formerly known as 'k8s-vGPU-scheduler', is a Heterogeneous device management middleware for Kubernetes. It can manage different types of heterogeneous devices (like GPU, NPU, etc.), share heterogeneous devices among pods, make better scheduling decisions based on topology of devices and scheduling policies.

https://github.com/Project-HAMi/HAMi

Submariner Lighthouse: Multi-Cluster Service Discovery for Kubernetes https://dev.to/reoring/submariner-lighthouse-multi-cluster-service-discovery-for-kubernetes-4fj7

Optimizing Distributed Tracing with Jaeger DaemonSet: A Comprehensive Guide to Log Collection https://medium.datadriveninvestor.com/optimizing-distributed-tracing-with-jaeger-daemonset-a-comprehensive-guide-to-log-collection-1963cebee37

ИТ-специалисты Петербурга, общий сбор  6 и 7 сентября пройдет ИТ-фестиваль «Сезон кода» для опытных разработчиков, ML-инженеров, архитекторов, специалистов по информационной безопасности и других ИТ-специалистов. Спикеры из Т-Банка и других компаний зовут слушать доклады, обмениваться опытом и знакомиться с единомышленниками. Развлечения и музыка тоже будут.  В первый день: — Разберетесь в архитектуре систем, надежности и работе с данными.  — Узнаете, как технологии помогают решать задачи клиентов и бизнеса. — Поймете, как идеи становятся инструментами и продуктами. Во второй день:  — Услышите про актуальные подходы к обеспечению информационной безопасности в разработке. — Узнаете про backend-принципы, которые помогают работать эффективнее. — Увидите, как работают LLM и куда все это движется. Выбирайте один из дней или посетите оба. Встреча пройдет в новом ИТ-хабе Т-Технологий в Санкт-Петербурге. Успейте зарегистрироваться до 5 сентября

Scaling Batch Jobs for Reliable and Efficient Processing https://engineering.traderepublic.com/scaling-batch-jobs-for-reliable-and-efficient-processing-da6242cdb9f9

Островок ищет Database-инженеров в DevOps-команду 🌴 ЗП: 300 000 - 400 000 рублей gross Уровень: Middle+ Формат: полная удалёнка или гибрид Островок — travel tech-компания, создающая платформы онлайн-бронирования отелей, авиабилетов и других услуг как для индивидуальных путешественников, так и для корпоративных клиентов и тревел-агентств. Мы ищем инженера с бэкграундом в DevOps/SRE с уверенными навыками работы с базами данных. Предстоит отвечать за инфраструктуру с точки зрения строек самих систем кластера: администрировать и поддерживать кластеры баз данных, оптимизировать производительность кластеров, настраивать механизмы их отказоустойчивости. Что мы ждём от кандидата: - опыт работы на схожей должности от 4 лет - опыт администрирования и поддержки self-hosted кластеров баз данных (мы используем PostgreSQL) - продвинутые навыки работы с Linux на уровне администратора - опыт работы с Ansible (или его альтернативами, например — Puppet, Salt, Chef) - опыт с Patroni / Stolon - владение английским на уровне Intermediate (B1), в том числе разговорным Будет плюсом: - Опыт работы с Kafka, Aerospike 💫 Что мы предлагаем? - Интересные проекты: создаём продукты для путешественников, тревел-агентов и отельеров по всему миру. - Полную свободу для достижения результатов: гибкий график, удалёнка или офис — ты сам решаешь, где и когда работать. - Нестандартный подход к работе и жажда нового, например, мы решаем некоторые задачи с помощью AI. - Техническое комьюнити Ostrovok! Tech проводит митапы, хакатоны, участвует в конференциях и поддерживает даже самые смелые идеи. - Профессиональное развитие: помогаем сотрудникам выступать на конференциях — от подачи заявки до подготовки презентации. - Забота о самочувствии команды: с первого месяца работы у наших сотрудников есть ДМС и скидки в сервисе «Ясно». - Внутренние программы адаптации и обучения, развития soft skills и лидерских навыков, подобранные индивидуально для каждого сотрудника. - Частичную компенсацию участия во внешних тренингах и конференциях. - Изучение английского языка: корпоративные групповые занятия, разговорные клубы и скидки на курсы Skyeng. - Корпоративные цены на отели и другие тревел-услуги — чтобы наши сотрудники путешествовали чаще. - Островок — аккредитованная IT-компания. контакт для связи: @elizavetakopylova

Overcoming the downsides of mutating webhooks: Our journey to an alternative

UiPath Automation Suite has many services that communicate using FQDN (Fully Qualified Domain Name). As this suite operates on the premises of our customers, it provides them with the freedom to select their own FQDN. Often, the certificate required for their chosen FQDN is not signed by a known authority. To talk securely using the HTTPS protocol, all the services must trust the FQDN’s certificate. However, these services are owned by multiple teams. Asking each team to handle this individually is cumbersome and makes managing future certificate trust requests more challenging.

https://engineering.uipath.com/overcoming-the-downsides-of-mutating-webhooks-our-journey-to-an-alternative-5b0fbea83c59

Обновление Service Desk 2.0. Как ELMA365 объединяет коммуникации, процессы и активы в одно решение Управление ИТ-инфраструктурой превращается в хаос, если данные об активах разбросаны, коммуникация фрагментирована, а процессы линейны и медленны. ELMA365 представляет Service Desk 2.0 — решение, где ключевые новинки работают как единый механизм. - Общайтесь эффективно: встроенный чат прямо в заявке и интеллектуальная работа с email (сохранение цепочек, тем, получателей, вложений) исключают потерю контекста. - Автоматизируйте рутину: QR-коды для заявок, автоматическая категоризация инцидентов/статей БЗ и шаблоны ответов экономят сотни часов. - Оптимизируйте процессы: параллельные OLA-маршруты ускоряют сложные запросы, а блокировка выполнения заявки, если по ней есть незакрытые задачи, гарантирует качество. - Централизуйте данные: универсальный импорт из Excel/внешних систем и глубокая интеграция с CMDB (Themisoft) создают единый источник правды об активах и конфигурациях. Это не набор фич, а целостная среда для управления ИТ-услугами. Презентация этих и других новинок состоится на вебинаре 10+ новинок в ELMA365 Service Desk. Узнайте, как построить управляемый и предсказуемый ИТ-сервис. Дата: 14 августа, онлайн Время: 11.00 МСК Регистрация тут

Inside Kubernetes Scheduler: What Really Happens Before Your Pod Lands on a Node https://medium.com/@hmusicofficial27/inside-kubernetes-scheduler-what-really-happens-before-your-pod-lands-on-a-node-99e9aeb829a1

🚂Linux тормозит? Сервер пыхтит, как паровоз? Пора разобраться с мониторингом! Приходи на бесплатный вебинар по мониторингу в Linux — научим находить узкие места быстрее, чем sudo rm -rf / сломает систему! Что разберём: — top, htop, iotop — как читать эти графики и не паниковать — Где искать проблемы: CPU, RAM, диски или сеть? — Настраиваем Prometheus + Grafana — чтобы мониторинг был красивым, как мем с пингвином После вебинара ты: — Сможешь диагностировать лаги на сервере без шаманства — Научишься визуализировать метрики, как настоящий DevOps-ниндзя — Поймёшь, почему «у меня же всё работает» — не аргумент Регистрируйся → напомним перед стартом: https://vk.cc/cOvipg P.S. Если хочешь прокачаться в оптимизации веб-приложений от фронтенда до бэкенда, приходи на курс «Оптимизация производительности веб-приложений». Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, erid: 2Vtzqws5Bz1

How We Saved $1.22 Million Annually on GCP Costs in a Few Simple Steps https://medium.com/@ofekatr1el/how-we-saved-1-22-million-annually-on-gcp-costs-in-a-few-simple-steps-3f99ba3ba0ae

sentinel

Multi-protocol service monitoring system with real-time alerts and web dashboard. Supports HTTP/HTTPS, TCP and gRPC monitoring with Telegram notifications.

https://github.com/sxwebdev/sentinel

SRE и DevOps-инженеры, вам идея, как годно провести выходные 13–14 сентября (да, те, на которые выпадает День программиста): посетить E-CODE — событие команды Ozon Tech 💙 Почему событие? Потому что конференция — это только один из элементов происходящего. 5 технических треков, научпоп и менеджмент, 50+ докладов, спикеры из топовых компаний страны. А ещё на E-CODE будет много нетворка, интерактивов и эксклюзивного мерча. Лайнап для вечеринок тоже заявлен мощный: НТР, Заточка, ILWT и Нейромонах Феофан. Как вам идея? Уже зарегистрировались? ⬅

Can simple 4 Core, 16 GB RAM reach 1000 tps? https://dev.to/djinn/can-simple-4-core-16-gb-ram-reach-1000-tps-5pl

Debugging the One-in-a-Million Failure: Migrating Pinterest’s Search Infrastructure to Kubernetes

While migrating Pinterest’s search infrastructure — which powers core experiences for millions of users monthly — to Kubernetes, we faced a challenge in the new environment: one in every million search requests took 100x longer than usual. This post chronicles our investigation, uncovering an elusive interaction between our memory-intensive search system and a seemingly innocent monitoring process. The journey involves profiling search systems, debugging performance issues, Linux kernel features, and memory management.

https://medium.com/pinterest-engineering/debugging-the-one-in-a-million-failure-migrating-pinterests-search-infrastructure-to-kubernetes-bef9af9dabf4

⚠️ Сбой в RAID5-массиве? Не нужно паниковать! 👉 Присоединяйтесь к открытому уроку 18 августа в 20:00 МСК и разберитесь, как правильно диагностировать и восстановить RAID5 после выхода из строя одного из дисков. Мы покажем, какие команды и утилиты помогут вам в этом процессе. 💪 Освойте методики работы с RAID5 и улучшите свои навыки восстановления данных. На вебинаре вы получите не только теоретическое, но и практическое понимание процессов восстановления. Запишитесь на вебинар и получите индивидуальное предложение на курс «Administrator Linux. Professional». 👉 Для участия зарегистрируйтесь: https://vk.cc/cOcbKA Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, erid: 2Vtzqv2KTKN

s3grep

s3grep is a parallel CLI tool for searching logs and unstructured content in Amazon S3 buckets. It supports .gz decompression, progress bars, and robust error handling—making it ideal for cloud-native log analysis.

https://github.com/dacort/s3grep

The Art of Not Getting Woken Up for Nothing

Strategies from SRE leaders fighting noisy alerts in complex system.

https://rootly.com/blog/the-art-of-not-getting-woken-up-for-nothing

Choosing Between Count and For-Each

Terraform has two looping mechanisms for creating multiple resources, count and for_each. The count meta-argument has been around for a long time, but for_each is a relative newcomer (introduced in version 0.12). Each meta-argument allows you to create more than one resource or module with a single configuration block.

https://nedinthecloud.com/2022/01/27/choosing-between-count-and-for-each