运维 on erpan's note

实现一个MutatingAdmissionWebhook

Tue, 18 Jun 2024 19:25:16 +0800

概述

在 Kubernetes 中，准入控制是保障 API 请求安全和合规性的重要机制。它在 API 请求流程中扮演着关键角色，拦截即将发送到 Kubernetes APIServer的请求，在持久化之前，但在身份验证和授权之后。其位置如下图所示：

图片来源https://sysdig.com/blog/kubernetes-admission-controllers/

准入控制器适用于创建、删除或修改对象的请求，同时也可以阻止自定义动作。读操作会绕过准入控制层，不会受到准入控制器的影响。当有多个准入控制器存在时，它们会依次被调用，只要其中一个准入控制器拒绝请求，整个请求就会被立即驳回。

准入控制常常被用来自动化设置默认资源请求和限制、应用标签和注释以及强制命名约定等管理任务。

准入控制分两个阶段：

变更准入控制器，用于在请求处理过程中对对象进行修改。
验证准入控制器，负责验证请求是否符合特定规则。

需要注意的是，部分控制器兼具变更准入和验证准入的功能。

启用准入

`1`	`kube-apiserver --enable-admission-plugins=NamespaceLifecycle,LimitRanger ...`

关闭准入

`1`	`kube-apiserver --disable-admission-plugins=PodNodeSelector,AlwaysDeny ...`

准入的两种类型：

静态准入：由 Kubernetes 内置提供，无需额外配置。
动态准入：允许用户根据自身需求进行扩展。

动态准入控制器：

MutatingAdmissionWebhook

此准入控制器调用任何与请求匹配的变更（Mutating） Webhook。匹配的 Webhook 将被顺序调用
ValidatingAdmissionWebhook

此准入控制器调用与请求匹配的所有验证性 Webhook。匹配的 Webhook 将被并行调用。如果其中任何一个拒绝请求，则整个请求将失败。该准入控制器仅在验证（Validating）阶段运行
ValidatingAdmissionPolicy

验证准入策略使用通用表达语言 (Common Expression Language，CEL) 来声明策略的验证规则，是一种声明式的、进程内的验证准入 Webhook 方案
MutatingAdmissionPolicy

提供了一种声明式的、进程内的方案，可以用来替代变更性准入 Webhook

实现

步骤概览

实现一个 MutatingAdmissionWebhook 主要包括以下几个步骤：

生成证书，Kubernetes 和 Webhook 服务使用 TLS 加密通信
1. APIServer对Webhook的认证
2. Webhook对APIServer的认证（可选）
实现一个接口，接收AdmissionReview请求，解析并填充response字段，响应相同版本的AdmissionReview
部署上面接口，集群内外都可以
注册准入控制器
监控 Admission Webhook

以下面需求为例：

磁盘IO类型

Tue, 18 Apr 2023 21:55:06 +0800

仅作为个人笔记，不保证完全的准确性和正确性，请自行甄别

顺序写

文件IO中的“顺序写”通常指的是对文件进行连续写入操作的过程，即从文件的一个位置开始，依次向后写入数据，即追加。可以提高写入效率，尤其是在传统的机械硬盘（HDD）上，因为不需要频繁地在不同的位置之间切换，减少了寻道时间和旋转延迟。

需要注意的是，“顺序写”并不直接等同于物理磁盘上的连续空间写入。虽然理想情况下，操作系统和文件系统会尽量将文件的数据块分配到物理上连续的存储空间中，以提高读写性能，但实际上由于多种因素（如文件系统的碎片、先前删除文件留下的空洞、以及其他文件的存在等），很难保证文件的所有部分都能被分配到完全连续的物理空间中。因此，通常说的“顺序写”，更多是指逻辑上的连续写入，即按照文件内部的偏移量顺序写入数据，而不是指物理磁盘上的连续写入。

即，“顺序写”主要关注的是逻辑层面的连续性，而物理层面的连续性则是文件系统和操作系统尽力优化的结果。

示例

顺序写：

package main

import (
  "fmt"
  "os"
)

func main() {
  fileName := "t.bin"
  fileSize := 1 << 30 // 1GB  1073741824
  // fileSize := 1073741825 // 测试不按照块的倍数写

  // 创建并截断文件（直接分配空间）
  file, err := os.Create(fileName)
  if err != nil {
    fmt.Println("Error creating file:", err)
    return
  }
  defer file.Close()

  fInfo, err := file.Stat()
  if err != nil {
    fmt.Println("Error getting file size:", err)
  }
  fmt.Println("create: ", fInfo.Size())

  err = file.Truncate(int64(fileSize))
  if err != nil {
    fmt.Println("Error truncating file:", err)
    return
  }
  fInfo, _ = file.Stat()
  fmt.Println("truncate: ", fInfo.Size())

  randomBlock := make([]byte, 0x1<<10<<2) // 4kB
  for i := 0; i < len(randomBlock); i++ {
    randomBlock[i] = 0x0
  }

  bytesWritten := 0
  for i := 0; i < fileSize; i += len(randomBlock) {
    n, err := file.Write(randomBlock)
    if err != nil {
      fmt.Println("Error writing to file:", err)
    }
    fmt.Println(n)
    bytesWritten += n
  }
  file.Sync()
  fmt.Println("written: ", bytesWritten)
  fInfo, err = file.Stat()
  if err != nil {
    fmt.Println("Error getting file size:", err)
  }
  fmt.Println("finally: ", fInfo.Size())

  // 文件指针在末尾
  n, err := file.Read(randomBlock)
  fmt.Println("read nums: ", n)
  fmt.Println("err: ", err)
}

输出：

ArgoCD试用

Mon, 10 Jan 2022 22:05:12 +0800

ArgoCD

遵循GitOPS模式，应用定义、配置和环境等都应该是声明式和版本化的。应用部署和生命周期管理是自动化、可审计和易于理解的

特性

拥有GitOPS的一切特性，如回滚到任意git commit点
自动发布应用到指定环境，支持多集群管理
支持多种配置管理工具、模板 (Kustomize，Helm， Jsonnet， plain-YAML，自定义配置管理插件)
支持单点登录 (OIDC, OAuth2, LDAP, SAML 2.0, GitHub, GitLab, Microsoft, LinkedIn)
支持多租户及RBAC授权
服务健康状态分析
资源版本偏移检查和Web UI实时可视化
可自动或手动同步资源到目标状态
提供命令行工具，自动化集成简单方便
Webhook 集成 (GitHub, BitBucket, GitLab)
支持访问令牌
支持各阶段钩子定义PreSync, Sync, PostSync hooks to support complex application rollouts (e.g.blue/green & canary upgrades)
应用事件和API调用审计追踪
有暴露Prometheus 指标
Parameter overrides for overriding helm parameters in Git

几个核心概念

Application：指定manifest路径下的一组kubernetes资源，是一个CRD
AppProject：Application的逻辑分组，可以配置一些约束选项，如限制git源、目标集群、namespace和资源类型等，也可以订阅project roles
App of Apps：官网文档中的 cluster bootstrapping，一个Application包含多个子Application，在批量创建Application时比较有用，也可以用来自我管理（官方文档有示例）

下图是定义了一个Application对象，其指定的仓库目录下包含多种资源，其中的子Application对象所指定的仓库目录又可以包含多种资源，我们可以开启递归的选项，在往仓库添加资源对象的时候自动apply到对应集群当中去

注意点：

一个ArgoCD实例中，Application名字是唯一的，且只能放在与argo部署的同一名称空间中
Application中没有指定resources-finalizer.argocd.argoproj.io终结器，在删除Application的时候是不会删除它所管理的资源，App of Apps也是一样

ApplicationSet

跨集群和仓库灵活的管理Applications，补充了以集群管理为中心的场景

为普通用户授权生成kubeconfig

Mon, 09 Nov 2020 16:56:00 +0800

本文主要说明如何让普通用户通过证书认证授权的方式访问kubernetes集群资源

Jenkins Pipeline初体验

Sun, 12 Jan 2020 22:52:13 +0800

使用jenkins pipeline共享库，各应用都可以引用共享库方法，更改共享库即可应用到所有使用此库的jenkins-job。我目前没有用到vars目录，但完全能够满足我们日常需求，使用方式上可能较low，直接开始体验。

下面列出了定义的部分方法，以作参考。

共享库目录结构：

jenkins-pipeline-libraries git:(master) ✗ tree .
.
├── jenkins-ci
│   └── jenkinsfile-java
├── out
│   └── production
├── src
│   ├── ops
│   │   └── jk
│   │       ├── appDetail.groovy
│   │       └── tools.groovy
│   └── pipeline.gdsl
└── vars
    └── pipelineCfg.groovy

7 directories, 6 files

appDetail.groovy文件里面部分函数如下：

限制svn上传文件大小

Wed, 13 Dec 2017 17:08:08 +0800

为了方便管理和避免一些问题，svn上传文件需要限制文件大小 svn有几种钩子，资料一搜一大把，限制上传文件大小需要用到 pre-commit 在仓库hooks目录下有示例配置文件，新建一个名为 pre-commit 的脚本，内容如下：

#!/bin/bash
REPOS="$1"
TXN="$2"
SVNLOOK=/usr/bin/svnlook
MAX_SIZE=512000

files=$($SVNLOOK changed -t $TXN $REPOS | awk '{print $2}')

# check check 
if [[ $files =~ "project_nuli" ]];then
for f in $files
do
    # check file size
    filesize=$($SVNLOOK cat -t $TXN $REPOS $f | wc -c)
    if [ $filesize -gt $MAX_SIZE ] ; then
        echo "File $f is too large (must <= $MAX_SIZE)" >> /dev/stderr
        exit 1
    fi
done
fi
exit 0

客户端提交大于500K文件会返回 File $f is too large (must <= $MAX_SIZE)

dns 概述

Sun, 15 Oct 2017 20:41:20 +0800

dns协议

介绍

Domain Network System（DNS），可以理解为将域名和IP地址相互映射的一个分布式数据库，能够使人更方便地访问互联网。DNS使用TCP和UDP端口53。当前，对于每一级域名长度的限制是63个字符（协议限制），域名总长度则不能超过253个字符。开始时，域名的字符仅限于ASCII字符的一个子集。2008年，ICANN通过一项决议，允许使用其它语言作为互联网顶级域名的字符。使用基于Punycode码的IDNA系统，可以将Unicode字符串映射为有效的DNS字符集。因此，诸如“XXX.中国”、“XXX.美国”的域名可以在地址栏直接输入并访问，而不需要安装插件。但是，由于英语的广泛使用，使用其他语言字符作为域名会产生多种问题，例如难以输入，难以在国际推广等。

早期的域名必须以英文句号.结尾。例如，当用户访问www.wikipedia.org的HTTP服务时必须在地址栏中输入：http://www.wikipedia.org.，这样DNS才能够进行域名解析。现在的DNS服务器会自动补上结尾的点号。

域名层级结构

主机名.次级域名.顶级域名.根域名

b.940504.top.

即：host.sld.tld.root

DNS层级结构

所有 DNS 服务器都属于以下四个类别之一：

本地域名服务器（DNS resolver/Local DNS，一般是递归解析器，用来响应客户端的递归请求，大多数 Internet 用户使用他们 ISP 提供的递归解析器）
权威域名服务器（authoritative nameserver，在特定区域内具有唯一性，保存了该区域内的域名与IP地址之间的对应关系）
顶级（TLD）域名服务器（top-level domains，管理顶级域名服务器下注册的二级域名，比如940504.com中，.com是顶级域名，向此域名服务器查询可返回940504.com的权威域名服务器地址）
根域名服务器（本地域名服务器查询不到时，会向根查询返回顶级域名服务器地址）

DNS Master Files (Zone Files)

常用记录类型

主机记录（A记录）：将域名映射到对应主机的IP地址。
别名记录（CNAME记录）: 返回另一个域名，即当前查询的域名是另一个域名的跳转。最常用到 CNAME 的场景包括做 CDN、企业邮箱、全局流量管理等。
IPv6主机记录（AAAA记录）: 与A记录对应，用于将特定的主机名映射到一个主机的IPv6地址。
服务位置记录（SRV记录）: 用于定义提供特定服务的地址和端口，下面有示例。
MX邮件记录（Mail eXchange）：返回接收电子邮件的服务器地址，dig 940504.top mx。
域名服务器记录（NS记录）：把子域名交给其他 DNS 服务商解析。该记录只能设置为域名，不能设置为IP地址。
PTR：逆向查询记录（Pointer Record）：用于从IP地址查询域名。
TXT：一个域可以具有许多 TXT 记录，通常用于发件人策略框架（SPF）代码，这些代码可帮助电子邮件服务器判断邮件是否来自受信任的来源，有有助于域所有权验证。dig _dnsauth.b.940504.top txt。
起始授权记录SOA：此记录可以存储有关域的重要信息，如管理员的电子邮件地址、上次更新域的时间，以及服务器在刷新之间应等待的时间。
url记录：有显性和隐性。隐性url记录使用的是iframe框架技术，不是重定向，访问后地址栏url不变；显性url记录支持url转发301、302重定向，地址栏会跟着重定向。

ns记录

NS 代表“域名服务器”，域名服务器记录指示哪个 DNS 服务器对该域名具有权威性（即，哪个服务器包含实际 DNS 记录）。一般来说，NS 记录表明了可从哪里找到域名的 IP 地址。为了服务的安全可靠，一个域名通常会有多个 NS 记录，这些记录可指示该域的主要和备用域名服务器。