Статьи
Все опубликованные статьи.
-
OpenCost: считаем реальную стоимость namespace, а не всего кластера
OpenCost — CNCF-проект для аллокации затрат Kubernetes по namespace, deployment и label без коммерческой подписки. Разбираем модель расчёта, разницу с Kubecost после покупки IBM и ставим OpenCost рядом с уже работающим Prometheus.
-
SPIFFE/SPIRE: криптографическая identity для подов вместо статичных секретов
SPIFFE задаёт стандарт identity для workload-ов через короткоживущие SVID-сертификаты, а SPIRE — референсная реализация, которая выдаёт и ротирует их через двухуровневую аттестацию (node + workload) без единого pre-shared секрета. Разбираем разницу с external-secrets-operator, федерацию между кластерами и разворачиваем SPIRE, чтобы получить первый X.509-SVID для тестового пода.
-
SpinKube: запускаем WebAssembly-нагрузки в Kubernetes без своего рантайма
SpinKube планирует WebAssembly-модули как обычные поды — тот же kubectl apply, тот же HPA, но старт за единицы миллисекунд без прогрева контейнера. Разбираем архитектуру containerd-shim-spin, ставим SpinKube-оператор, деплоим SpinApp рядом с обычным Deployment и меряем разницу — а заодно честно называем, для каких нагрузок WASM пока не подходит.
-
ValidatingAdmissionPolicy: переезжаем с вебхуков на CEL прямо в API-сервере
Kyverno 1.17 депрекейтит классические ClusterPolicy в пользу CEL-нативных ValidatingPolicy, удаление запланировано на v1.20. ValidatingAdmissionPolicy стабилен с Kubernetes 1.30 и выполняет CEL прямо в kube-apiserver — без вебхука, без сети, без отдельного пода. Разбираем модель CEL-выражений, переносим реальную политику и меряем задержку до/после.