- A hozzászóláshoz be kell jelentkezni
- 1781 megtekintés
Hozzászólások
Semmivel nem különb a felhő, mintha bármi más SPOF maradna az infrádban.
Ha lehozod a földre, de ugyanúgy nincs redundancia, ugyanúgy nincs site recovery, stb., akkor mennyivel vagy előrébb?
- A hozzászóláshoz be kell jelentkezni
Sokkal, mert így csak egyedül kerülsz be a hírekbe :)
- A hozzászóláshoz be kell jelentkezni
Azért on-premise eléggé SPOF mentesre tervezzük az alapinfrát, pont az ilyen faszságok miatt. Említhetném az alapoktól, hogy rendundáns szerveralkatrészek, RAID, dual kontrollerek, hálózati eszközök, nem egy DC hanem több, nem egy DNS, hanem több, DHCP load balance-ban vagy failover-ben, a virtualizáció cluster-ben stb.
Számomra megdöbbentő az, ami most itt történt. Mármint, hogy egy ilyen alapszolgáltatás, amitől ennyien függenek, ennyire egy lábon álljon.
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Amatőr banda.
- A hozzászóláshoz be kell jelentkezni
Nálunk külsős-belsős szakérők kéz a kézben frissítettek volna switcheket a HA egyik lábán. Saját bevallásuk szerint valamit benéztek és a frissítés az összes switchre futott le. 400+ VM alól rúgták ki a diszket. 3. nap végén már egész sok VM lett visszahozva mentésből... Szerencsére több cluster is van így "csak" az egyiket sikerült elszurni.
- A hozzászóláshoz be kell jelentkezni
Human error. Mindent el lehet baszni, ha kellően nagy az igyekezet. Ami itt volt, az nem human error volt, hanem tervezési hiba / spórolás.
Lefordítom üzemeltetés nyelvre:
Az AWS esetén a fontos szerverben redundáns tápegység helyett egy szem táp volt. Ha redundáns lett volna és egy balfasz kitépte volna azt egyiket menet közben, semmi sem történt volna. Sajnos itt az egy szemet tépte ki valami balfasz.
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Én is imádom amikor spórólnak: pl., ha egy portos FC kártyákkal üzemeltetnek szervereket (jó lesz az alapon!) és kevesebb FC switch port kell hozzá(az még főnyeremény). És ilyenkor utálják az IBM Storagekat amik ezt nagyon nem díjazzák, ergő dupla annyit kell venni belőle belőlük. Spólóltak is meg nem is.
- A hozzászóláshoz be kell jelentkezni
és kevesebb FC switch port kell hozzá
Meg FC port licenc!!!!!
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Azaz az kimaradt, köszönöm!
- A hozzászóláshoz be kell jelentkezni
Sajnos nincs stat rola, de biztos vagyok benne, hogy ezek a faszom MC-LAG megoldasok tobb kiesest okoznak mint megeloznenek, de sajnos enterprise pistikeknek meg mindig ez a defacto megoldas.
- A hozzászóláshoz be kell jelentkezni
Egy adott cég szempontjából ez igaz, de a társadaloméból nem. A homogén rendszerek az élet minden területén életveszélyesek.
A tömegek sohasem szomjúhozták az igazságot. A nekik nem tetsző bizonyságok elől elfordulnak és inkább a tévedést istenítik, ha ez őket elkápráztatja. Aki illúzióba ringatja őket, úr lesz fölöttük, de áldozatuk az, aki megpróbálja őket kiábrándítani.
- A hozzászóláshoz be kell jelentkezni
Az hogy elbasznak valamit a Route53 -ban arra utal, hogy kb az egyetlen kotelezoen redundans dolgot (DNS) sikerult elbaszni.
Magyarul nem redundáns működés, hanem rekurzív hiba létt az eredménye ennek.
Error: nmcli terminated by signal Félbeszakítás (2)
- A hozzászóláshoz be kell jelentkezni
Mert akkor ugyanúgy nem tudja a DNS-t félrekonfigurálni valami félkegyelmű?
- A hozzászóláshoz be kell jelentkezni
Ennyire? Nem tudom hogyan tudná, de komolyan azt mondod, hogy ezt egy félkegyelmű csinálta?
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Az egyik kliensen volt valami DNS feloldási hiba egy újonnan telepített nyomtatónál (amit egy ipcinfig /flushdns megoldott volna), ehelyett az észlény fogta és átírta a GPO-ban a default domain policyban a primary dns suffix-et mert szerinte az volt a hiba(ettől a jogtól hamar meg lett fosztva), pár percen belül már másoknál is volt dns feloldási hiba…
- A hozzászóláshoz be kell jelentkezni
Nem én voltam, én csak elvettem egy csomó jogot attól a csapattól, kb 15 éve nem nyúlt hozzá senki, mert a régiek tudták mit csinálnak, csak feljebb léptek vagy elmentek nyugdíjba aztán úgy maradt.
- A hozzászóláshoz be kell jelentkezni
Az is érdemel egy tockost, aki szimpla hostnevet állít be paraméterként, nem pedig FQDN-t. Sok jóképességű kollégát kellett annak idején helyretennem, hogy ne szimplán hostnévre hivatkozzon, ha valamivel gondja van egy multi-domain környezetben.
- A hozzászóláshoz be kell jelentkezni
Ilyenkor jókat derülök magamban az emberek szánalmas vergődésén. Leállt a faszbuk, leállt az aws, jujj mostmilesz. Begyújtok a kandallóba, keverek egy jó juharszirupos szójatejet, és a teraszajtón át figyelem, ahogy a szél hajlogatja az akácokat.
- A hozzászóláshoz be kell jelentkezni
Ennyire népszerű az az eszement forgatókönyv, hogy valaki becsönget, ez az esemény szépen elmegy Kaliforniába, onnan pedig visszajön, hogy ding-dong?
Debian - The "What?!" starts not!
http://nyizsa.blogspot.com
- A hozzászóláshoz be kell jelentkezni
Mert, mi baj lehetne belőle? Max. holnap újra kihozza a postás a nyugdíjat. Nem?
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Akkor jól értettem, ezek szerint megnyomom az "IoT csengőgombot" valakinél és az elmegy AWS-be, hogy az ajtón belül megszólaljon az "IoT csengő"?! :O
Azért ez már tényleg beteg így!
Proton:
https://pr.tn/ref/HBNPNCFFG8N0
"Bithang-Yoo Rádió, az élvezet, ami a Zenéhez elvezet!"
- A hozzászóláshoz be kell jelentkezni
Ez nálam is a b++ kategória... Persze ha belegondolok, a mobilról nyomkodható villanykapcsoló vagy épp riasztó be/ki is hasonló, mondjuk szerencsére mindkettő működik lokálisan is...
- A hozzászóláshoz be kell jelentkezni
A kevésbé zsebbenyúlós okosotthon cuccok mind ilyenek. Csak nem feltétlen Kaliforniába, hanem adott esetben Kínába megy a gombnyomás.
Van olyan is, hogy Európában marad (de kínai tulajdon a felhő) csak akkor kevesebb a képesség.
- A hozzászóláshoz be kell jelentkezni
Ha már okos otthon, akkor nagyobb a bizalmam az on-premise "Home Assistant" féle megoldások felé.
Ergo, ha nincs pénzem az ehhez szükséges és ezzel kompatibilis perifériákra, akkor inkább lemondok róla! :)
Proton:
https://pr.tn/ref/HBNPNCFFG8N0
"Bithang-Yoo Rádió, az élvezet, ami a Zenéhez elvezet!"
- A hozzászóláshoz be kell jelentkezni
Hát pont ilyen gondolkodás után lett HA nálam. Amúgy használhatóságban és képességekben nem sokat tudok hasonlót. Konkrétan egyet, de az meg horror árral jön.
Az okos otthon (és nagyobb méretben az intelligens épület) tipikusan nem felhőbe való. Max a backup vagy a failover.
- A hozzászóláshoz be kell jelentkezni
LOL. Nekünk nincsen csengőnk. Váratlanul senkit ne egyen ide a rosseb.
- A hozzászóláshoz be kell jelentkezni
Nekunk egy rugo-kalapacs-harang harmason alapulo csengonk van. A mute funkciot egy kis papirgomboc szolgaltatja.
Egy esetleges DoS tamadasi kiserletre konnyu valaszt adni.
- A hozzászóláshoz be kell jelentkezni
Gondolom az arcfelismeres es egyeb "advanced" feature-ok miatt van az ugy. A mobil app es az IoT kutyuk nem kozvetlen, hanem cloudos service-eken keresztul kommunikalnak.
- A hozzászóláshoz be kell jelentkezni
Ja, lehet károgni, de nincs alternatíva arra, hogy olcsón rugalmasan lehessen ilyesmit üzemeltetni ha siker a startup és beesik pár millió felhasználó.
- A hozzászóláshoz be kell jelentkezni
A világ szoftvereinek túlnyomó többsége nem egymillió usernek van szánva, hanem jó esetben max párszáznak, mivel belső céges szoftver, jól definiált felhasználói körnek. Nem kell mindenre cloud meg nem kell mindenre georedundáns működés.
- A hozzászóláshoz be kell jelentkezni
De ebben a szalban konkretan a Ring doorbell-rol van szo.
Egy konzumer IoT eszkoznel egyaltalan nem trivialis megoldani, hogy cloud nelkul kapcsolodni tudjon egy mobil az otthoni cucchoz.
- A hozzászóláshoz be kell jelentkezni
Ezt kifejtenéd bővebben? Miért kell cloud ehhez? Ha jól értem felkapcsolódik az internetre, és bele van égetve valami url (vagy egy rakat url) ahova kapcsolódik. Hogy e mögött on-premise rendszer van vagy cloud az ilyen szempontból miért releváns?
- A hozzászóláshoz be kell jelentkezni
Szerintem ő minden távoli rendszert cloudnak nevez ebből a szempontból.
- A hozzászóláshoz be kell jelentkezni
Jo, igen. De ebben a szalban az a tema, hogy miert kell akarmilyen tavoli (cloud/on-prem) management az IoT eszkozhoz, miert nem eleg a lokalis vezerles.
Egyebkent az LG termekek tenyleg AWS fele forgalmaznak. Gondolom az benne a racio, hogy olyan sok termekuk van mar kint ugyfeleknel, hogy erdemes regiokban kezelni oket, annyi DC-t pedig nem akarnak fenntartani. Meg hat van ilyen managed szolgaltatas, egyszerubb hasznalni, mint nullarol lefejleszteni.
- A hozzászóláshoz be kell jelentkezni
miert kell akarmilyen tavoli (cloud/on-prem) management az IoT eszkozhoz, miert nem eleg a lokalis vezerles.
Mert mondjuk a munkahelyről akarom hazainduláskor megmondani, hogy na, akkor elkezdheted felfűteni/lehűteni a lakást az elvárt hőmérsékletre. Vagy távolról akarom megnézni, hogy tényleg lekapcsoltam-e minden lámpát, és ha nem, akkor le tudjam kapcsolni. Vagy távolról ránézni arra, hogy a garázskapu szenzora bejelzett, akkor mi is történt ott. Sokféle használati esete van annak, hogy működjön a távelérés.
És itt jön közbe az, hogy ezt egy egységsugarú, IT-hoz nem értő usernek is kell tudnia. Nem megoldás az, hogy azt mondod, hogy figyi, legyen egy otthoni szervered Home Assistanttal, meg egy VPS-es, amin fut egy VPN szoftvert és azon keresztül eléred. Még ha IT-s is vagy, ehhez sok ember lusta már, egész egyszerűen nem akar ilyen szinten foglalkozni vele. Adsz neki áramot és menjen, kész.
- A hozzászóláshoz be kell jelentkezni
Ezt tudom. Csak fentebb nehanyan ertetlenkedtek azon, hogy miert kell egy smart doorbellnek kozponti (akar cloud, akar remote on-prem) vezerles.
Pl. az ilyen Airbnb-s lakasoknal jol johet, ha a tulaj tavolrol tud belepesi kodot generalni az uj lakonak es letiltani az elozot.
- A hozzászóláshoz be kell jelentkezni
Mannheimben láttam erre tök jó megoldást, a tulaj távolról tudta nyitni/zárni a zárat, és a nyitókódot frissíteni.
- A hozzászóláshoz be kell jelentkezni
Ez nem otthoni használat, inkább kereskedelmi.
Otthonra akár egy ilyen is jó lehet, akár egy külön rpi-vel. Tetszőleges módon lehet kezelni, akár napszaktól függő hangerő is beállítható, vagy e-mailben értesítés, bármi. Felhő nélkül.
Debian - The "What?!" starts not!
http://nyizsa.blogspot.com
- A hozzászóláshoz be kell jelentkezni
Erre én azt mondom, hogy vagy rászánom az időt és erőforrást és megoldom VPN+VPS megoldással, esetleg VPN+dyndns-en keresztül (bár CGNAT-nál ez nem opció), vagy maradok a lokális használatnál. (bár pl. a redőnyt, légkondicionálót elérem felhőn is, akkor is, ha nem akarom, mert ilyen az alapműködése, ahhoz kéne plusz energia, hogy letiltsam a gyártóhoz kapcsolódást). Jelenleg a lokális használatnál tartok, bár mivel túlnyomórészt itthon vagyok, ez nem is gond.
- A hozzászóláshoz be kell jelentkezni
Nézd a gyártó szemszögéből, aki készterméket akar eladni.
- A hozzászóláshoz be kell jelentkezni
Majd ha én leszek a gyártó, akkor esetleg. Addig viszont - főleg, ha fizetek egy termékért - hadd nézzem a saját szemszögemből.
- A hozzászóláshoz be kell jelentkezni
Ez tök jó.
Nem egészen egy órája segítettem a szüleimnek beállítani a YouTube-ot az új okostévén. Hétvégén szerintem megtanítom őket a VPN+VPS üzemeltetésre is, de előtte megkérdezem őket, hogy van-e CGNAT, vagy tudunk dyndns-t használni.
- A hozzászóláshoz be kell jelentkezni
Nagyon helyes. Amennyiben a szüleidnek igénye van arra, hogy pl. a munkahelyen hazaindulás előtt interaktívan feljebb vehessék a fűtés hőmérsékletét, akkor valóban ez a követendő megoldás. Ha erre nincs igény, akkor sem árt, ha másért nem, edukációs szempontból.
- A hozzászóláshoz be kell jelentkezni
van, aki időmilliomos és hónapokig építgetheti az otthoni szuper rendszerét és emellett még pénz sem sajnál, hogy saját vpn szervert üzemeltessen valahol egy szerverhotelben, hogy azon át be tudjon jutni az otthoni hálózatába távolról, mivel nincs publikus befelé irányú kapcsolat a netszolgáltatón át.
Más meg kifizeti az 50 dolcsit és használja a telefonjával. Őket hívják ügyfeleknek.
- A hozzászóláshoz be kell jelentkezni
Csak azt magyarázza meg már nekem valaki, hogy a kettő miért zárja ki egymást...
Nem egy cég jutott nagyon messzire azzal, hogy mindkét megoldást támogatta, és valahol ez volt a sikere egyik fő kulcsa. A local API igazából nem kér enni, csak legyen, minimális plusz funkcionalitást kell csak fejleszteni, hiszen a dolog oroszlánrésze a cloudos vezérlés miatt már megvalósul. Csak le kellene másolni a Shellyt, Philips HUE-t, vagy bármely hasonlót, de egyszerűen nem éreznek rá, vagy sokkal nagyobb a félelem attól, hogy ezzel elveszik a teljes kontroll.
Másrészt ne felejtsük el, hogy van egy másik piac is, az pedig a független integrátoroké, telepítőcégeké. Ők azok akik Gipsz Jakabnak megoldják az egészet, ha fizet érte, így Jakabnak nem kell értenie semmihez, csak használja a kész megoldásokat. Ezek a gyártók erről a piacról is kiírják magukat a cloud only megoldásaikkal.
- A hozzászóláshoz be kell jelentkezni
A mobil app es az IoT kutyuk nem kozvetlen, hanem cloudos service-eken keresztul kommunikalnak.
A kényelem miatt nincs más választás. Erős hendikeppel indulsz, ha felhő nélkül akarsz hazatalálni a user hálózatába. Az a <1% meg úgyis megoldja magának, akit ez érdekel.
- A hozzászóláshoz be kell jelentkezni
Mit lehet csinalni, ha vki mondjuk CGNAT-olt halozatot kap az ISP-tol? Talan vmi specko VPN-t (Tailwind?) kiepit, amibe belep az IoT eszkoz es a mobil app is. De annak is kell legyen vmi kozponti managementje, ami le tud allni. Plusz nem ingyenes.
- A hozzászóláshoz be kell jelentkezni
Jah a CGNAT-ot ne is említsd. De ha még van is public IP, azt valahogy fel kell oldanod, plusz utána forwardolni valahogy a csomagokat, olyan helyzetről nem is beszélve, amikor egy bűzös pokol van a NAT mögött.
- A hozzászóláshoz be kell jelentkezni
Ez valid probléma, de a cloudot lehetne korrektül is használni és nem mindent IS abban intézni.
pl hogy a mobilapp haza találjon, de az automatizmusnak nem ott (lenne) a helye.
Lásd: a HA esetében a Nabucasa megoldását, vagy a Homey-t (asszem, azt nem teljesen ismerem). Mellesleg ez a CGNAT-ot is megoldja.
- A hozzászóláshoz be kell jelentkezni
ez oké, de otthoni szervert is meg kell venni, üzemeltetni kell, elromolhat. A csupa felhősnél meg ha eléri a netet, akkor működik. Az, hogy évente van pár óra vagy max 1 nap, amikor nem működik, az jóóóval kisebb macera, mint millió külön rendszert üzemeltetni. És költséghatékonyabb is a központosítás.
Értem, hogy privacy probléma és függőség a hátránya. Csak két fillérből átlagembernek ez ilyen.
- A hozzászóláshoz be kell jelentkezni
Ezek szerint délutánra helyreállt, mert a Duolingo nekem működött.
- A hozzászóláshoz be kell jelentkezni
Ez megnyugtató. Igaz, bankok forogtak a nyálukban, de legalább a baglyozás ment :D
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Bankkal tegnap épp nem (nagyon) foglalkoztam. De amelyik banknál vezetem a számlám, ott a core banki rendszerek nem felhőben vannak amúgy sem.
- A hozzászóláshoz be kell jelentkezni
Szegény bankok, brühü! Mileszmostvelük! Vesztettek pár milliárdot és maradt ~végtelen, mindjárt elsírom magam cegénykék miatt. Nagyon rocc lehetett! :( :( :( :( :'(
- A hozzászóláshoz be kell jelentkezni
Nem szegény bankok, hanem szegény ÜGYFELEIK!
(megint fordítva ülő evone)
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Akkor azt mondod, hogy illetlenség nyelveket tanulni ameddig cegény bankok nem működnek jól? Majd legközelebb ha ilyen van gondolok erre.
- A hozzászóláshoz be kell jelentkezni
Igen, a gyermekded gondolkodásmódod szintjén ez számodra a lényeg!
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
hát, nem én kezdtem el hisztizni mikor valaki felhozta a duolingot.
- A hozzászóláshoz be kell jelentkezni
>hisztizni
nem, röhögni
- A hozzászóláshoz be kell jelentkezni
miért kell kiröhögni azt aki tanulni akar? tipikus magyar fasszopó kutya hozzáállás ez is.
- A hozzászóláshoz be kell jelentkezni
Rád is rádférne egy kis magyar nyelvtanulás, hibásan írtad le. (két sz, mert összetett szó)
- A hozzászóláshoz be kell jelentkezni
Amellett, hogy egy tockos is, hogy a maga számára felállított szalmabáb püfölése közben idegből eljutott a magyar-gyalázásig.
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Csak tisztában kellene lenni a failure domainekkel. Ha jól olvastam, csak egy zónával volt baj, tehát aki redundánsan többet használ, az túlélhette gond nélkül.
- A hozzászóláshoz be kell jelentkezni
Szegények! Nem voltak tisztában vele! De itt! A szakértők! Ehhez is!
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Teljes us-east-1-et érintette, tehát egy egész régió volt, nemcsak egy AZ.
Az autentikációjuk is köhögött nap közben és az minden régióra közösen us-east-1-ből megy. Általában retry megoldotta, de ez lehetett volna sokkal rosszabb.
Régóta vágyok én, az androidok mezonkincsére már!
- A hozzászóláshoz be kell jelentkezni
-megelőztek-
- A hozzászóláshoz be kell jelentkezni
Csak mint kiderult az egesz hub.docker.com onnan szolgaltat, igy az teljesen kiesett, az olyan alap image-eket mint `alpine`, `node`, nem lehetett pullozni, ergo borult a CI.
Nyilvan ez nem okozott Prod kiesest, de a fejlesztok/devops megereztek a hatasat.
- A hozzászóláshoz be kell jelentkezni
Docker Hubot, meg Maven Centralt illik tükrözni, mert nem nagyon szeretik azt, hogy mindig mindent tőlük töltesz le újra és újra, Docker Hubon van is rate limiting.
Főleg az imagek esetén nincs értelme újra és újra letölteni, egy adott verzió az nem fog megváltozni már. És alap, hogy latest taget nem használunk.
- A hozzászóláshoz be kell jelentkezni
És alap, hogy latest taget nem használunk.
👀
Akarsz fogadni, hogy hány helyen lehet beégetve a :latest? :D
- A hozzászóláshoz be kell jelentkezni
Úriember biztosra nem fogad.
- A hozzászóláshoz be kell jelentkezni
Security szempontbol kivanatos az `imagePullPolicy: Always`, aminek az a kovetkezmenye, hogy a image registrynek mindig elerhetonek kell lennie. Persze, lemirrorozhatjuk vhova, de akkor meg az lesz a SPOF.
Ha nem ezrevel futtatunk Podokat, akkor a Docker Hub rate limitje nem szokott zavaro lenni. Plusz elo lehet oda fizetni es akkor nincs rate limit.
- A hozzászóláshoz be kell jelentkezni
Security szempontbol kivanatos az `imagePullPolicy: Always`
Miért is? Normális esetben fix az, hogy pontosan melyik imaget használod (és nem meta tageket). Ahol igazán fontos az, hogy csak jóváhagyott image települhet/indulhat, ott amúgy is SHA hash-sel hivatkozol az image-kre.
Ugyebár az a dolog, hogy "csak ellenőrzött, jóváhagyott image futhat" security szempontból ellentmond a "mindig legyen a legfrisebb, abban biztos be van foltozva a biztonsági rés" nézetnek.
Nem is értem, hogy az 'imagePullPolicy: Always'-nek fejlesztői környezeten kívül hol van értelme, pont egy ilyen pull policy hozhat be nem kívánt biztonsági rést, mert eszetlenül lehúzod az újabb image-t.
Ahogy szokták mondani, az új verzió és a régi között az a különbség, hogy az újban több az imeretlen hiba.
- A hozzászóláshoz be kell jelentkezni
Szeritnem felreerted, az `imagePullPolicy: Always` nem arrol szol, hogy mindig a legfrissebbet huzod le (ami valtozik). Hanem arrol, hogy a container runtime engine minden alkalommal rakerdezzen a hivatalos registrynel, hogy mi is a checksum, nehogy vki a local docker cache-ben kicserelje az image-et egy malicsuszra azonos taggel. Legalabbis en igy tudom, hogy ez az ertelme.
Az egy relative uj feature, hogy az image tag utan be lehet irni az sha256 checksumot is, korabban csak a tag volt.
- A hozzászóláshoz be kell jelentkezni
> nehogy vki a local docker cache-ben kicserelje az image-et egy malicsuszra azonos taggel.
Hozzáfér bárki is a local docker cache-hez kontroll nélkül?
Meg nem is csak a latest tagre gondolok, hanem arra, hogy ha mondjuk ilyen taged van, hogy eclipse-temurin:21-jre-jammy, akkor ez időben változhat, mert a 21-jre-jammy az egy meta tag, időben előrehaladva több image is ezzel a taggel fut. Ilyen és ehhez hasonló esetben az imagePullPolicy: always eredményezheti azt, hogy olyan image települ, amit te nem akartál.
- A hozzászóláshoz be kell jelentkezni
zero trust security concept :)
Persze, arra is "jo", de nem az a fo celja szeritnem, hanem amit leirtam fentebb.
Tobb cloud audit tool pampog, ha nem Always-on van.
Lasd: https://www.fairwinds.com/blog/kubernetes-devops-tip-5-why-setting-imag…
- A hozzászóláshoz be kell jelentkezni
Tobb cloud audit tool pampog, ha nem Always-on van.
Ezek a toolok akkor érnek valamit, ha mondjuk egyben ellenőrzik is, hogy nem meta tageket használsz vagy latestet. Mert akkor az Always szigorúan ellenjavalt.
Pont ez a példa:
For example, many projects will release version 1.2.3 with the image tags 1, 1.2, and 1.2.3. With regards to Kubernetes configuration, it is possible to specify tag 1.2, so when 1.2.4 is released with a security patch, it automatically flows in the next time that pod is rescheduled or restarted. However, if imagePullPolicy: Always is not specified by the user, the Kubernetes cluster will continue to use the cached 1.2 tag, which still points to 1.2.3.
Nem biztos, hogy az a jó, hogy 1.2 vagy 1 van megadva tagnek, én mindig konkrét verziót adok meg, amikor definiálom a használandó image-t. Ha belső image, akkor főként. Ugyanis az nem mindig garantált, hogy az a.b.c esetén a c változtatása csak visszafelé nem kompatibilis bugjavítást jelent, nem mindenhol használják jól a semvert, sem upstream projektekben, sem esetleg saját projektekben.
na meg ez a mondat: "You can avoid problems with images by ensuring imagePullPolicy is set to Always. " Bullshit, ugyanúgy problémákat is okozhat, pont a fentiek miatt, amikor is a specifikált image az igazából időben változó image-t jelent.
- A hozzászóláshoz be kell jelentkezni
De ha vki megis vmiert valtozo image-re hivatkozik (tudom-tudom ellenjavallt, de ha megis), akkor is jobb az Always, mert akkor kevesbe all elo az a helyzet, hogy egy helm upgrade utan az egyik node-on regi cache-elt image-bol fut a Pod, mig egy masik Pod mar frisset futtat (mert azon a node-on korabban nem futott, igy le kellett toltenie az aktualisat).
Ha jol ertem, akkor az Always garantalja, hogy egy Deploymenten belul biztos hogy azonos image legyen minden Pod.
Egy secu scanner tool nem tudja ellenorizni, hogy egy image tag-et overwrite-olnak-e idonkent. Mondjuk ECR-ben beallithato, hogy immutable legyen egy tag.
- A hozzászóláshoz be kell jelentkezni
Igen, az Always ad ilyen garanciát, erre tök jó. Csak azt kell megérteni, hogy ez a fajta image pull policy sem tökéletes megoldás mindenre, mert vannak hátrányai is. Tudni kell használni, nem szabad azt mondani, hogy állítsd be ezt, és minden jó lesz, ez butaság.
- A hozzászóláshoz be kell jelentkezni
Amit mondasz csak abban az esetben igaz ha külső image-ről van szó.
Belső, cégen belül készült image-ek esetén normális meta tag (pl. "stable") használata, mivel tudod mi van az image-ben, le van tesztelve, stb.
Nem kell semmit átírni gitben, nem változik helm value tehát nincs forced rollout, szépen organikusan kimegy az új image.
Ephemeral, de közben mégis immutable deploymentekhez tökéletes megoldás.
Jó példa erre ha mondjuk nagy tételben futtatsz self-hosted github runnereket K8S-ben. Ha hozzányúlsz a value-hoz akkor a K8S leállítja az összes futó runneredet is rolloutkor, nem számít hogy éppen egy build közepén vannak, és egy nagy cégnél nem fogsz találni quiet periodot. Floating tag + imagePullPolicy: Always használatával már meg is oldódott a probléma.
A security teamnél meg úgy mondják hogy a régi és az új verzió között az a különbség hogy a régit ha továbbra is használod akkor előbb-utóbb valagba leszel rúgva :D
- A hozzászóláshoz be kell jelentkezni
Igen, a felhős infra hátránya. Ezt kb. az első témába vágó órán tanítják, valakit meglepett?
- A hozzászóláshoz be kell jelentkezni
Ismerve a laikusok vélekedését és képzeleteit a csoda "felhőről", szerintem egy csomóan most rácsodálkoztak. Arra is rá szoktak, amikor éppen idézem nekik egyik-másik felhős szolgáltató SLA-ját, hogy az csak 99,5%, vagyis 43 óra 48 perc is lehet akár egyhuzamban egy évben kötbér vagy egyéb nélkül. Aztán csak megy a pillázás ... 🤷♂️
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
99,5% az gyanúsan valami mezítlábas VM-re vonatkozik. Kétzónás HA az már 99.95-99,99% a legtöbb helyen.
- A hozzászóláshoz be kell jelentkezni
Microsoft Online szolgáltatások - Exchange Online stb. - jóváírásai:
|
Százalékos Rendelkezésre Állás |
Szolgáltatás-jóváírás |
|
< 99,99% |
10% |
|
< 99% |
25% |
|
< 95% |
100% |
Ez nekem nem azt jelenti, hogy az üzemeltető maga nagyon bízna akárcsak a 99%-ban is. Ja, a jóváírás a havi díj említett százaléka.
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Jah, az o365 részét nem annyira vágom ilyen szempontból, leginkább csak userként érint
- A hozzászóláshoz be kell jelentkezni
Ezert is szeretjuk az 5- vagy 6-kilences rendszereket. Foleg, ha ki is fizetik, ha ilyet fejlesztunk.
Mondjuk erdekes neha, amikor megtudjak, hogy 5-rol 6-ra menni nem 20% felar. :)
- A hozzászóláshoz be kell jelentkezni
A timeline egyébként nagyjából az volt, hogy:
- először "DNS hiba" (legalábbis ezt mondták, "it's always the DNS")
- aztán DynamoDB
- aztán nem lehet új EC2 instance-ot indítani - ez amúgy lehet hogy már következmény volt a korábbi API hibák miatti healthcheck failure hatására sok ügyfélnél végtelenciklusban elkezdhettek terminálni/újra létrejönni a gépek (ASG ilyet alapból tud)
- és végül (mikor az előzők látszólag megjavultak) jött egy nagy Cloudwatch kiesés
Régóta vágyok én, az androidok mezonkincsére már!
- A hozzászóláshoz be kell jelentkezni
ECR se ment, meg borult a hub.docker.com is, szoval jobb volt nem ujrainditgatni a Podokat :)
- A hozzászóláshoz be kell jelentkezni
Ezt már máshol is kifejtették, de a fő probléma az, hogy az us-east-1 nem egy "sima" régió, hanem gyakorlatilag a fő régió, ahová az AWS rengeteg core szolgáltatása is be van huzalozva, így amikor az kiesett, az mindent is vitt magával, autentikációtól kezdve egy csomó core szolgáltatáson át, régiótól függetlenül. Ha valakinek csak mezei ec2 instance-ai voltak más régiókban, és semmi egyéb szolgáltatást nem használ (még DynamoDB-t sem), az valószínűleg nem érezte meg, mindenki más igen.
- A hozzászóláshoz be kell jelentkezni
És akkor érintőlegesen EU USA függés is bejön, amiről másik témánál volt szó. Nyilván off kicsit, de azért gondolom ez is felvillan ilyenkor az érintett cégek tulajdonosainak fejében.
- A hozzászóláshoz be kell jelentkezni
Kíváncsi vagyok, hogy az idei reinventre készülnek-e egy "sorry, ezt csesztük el, és ezt tesszük, hogy többet ne legyen ilyen" vészelőadásra. :)
- A hozzászóláshoz be kell jelentkezni
Csinaltak mar valaha ilyet?
- A hozzászóláshoz be kell jelentkezni
Nem tűnik túl transzparens cégnek, szóval egy nemet tippelnék. :)
- A hozzászóláshoz be kell jelentkezni
Kizárt dolog.
Ha tartós rendszert építesz és okos csapatot nevelsz, akkor száz kiadásban sem érheti baj; ha csak a gépekre hagyatkozol, akkor egyszer jól jársz, máskor rosszul; de ha sem a rendszer nem bírja a terhet, sem a csapat nem tanul a hibákból, akkor minden egyes kiadás kockázat.
- A hozzászóláshoz be kell jelentkezni
A szél szétfújja a felhőt, a tulaj meg nem tud bemenni a saját lakásába... :-)))
- A hozzászóláshoz be kell jelentkezni
Azon gondolom senki nem agyal, hogy néhány orosz kinzsal és nincs nyugat. Nem is kell mást szétlőni, mert a katonáink nem tudnak kijönni a laktanyából, mert nem nyílik az ajtó.
A tömegek sohasem szomjúhozták az igazságot. A nekik nem tetsző bizonyságok elől elfordulnak és inkább a tévedést istenítik, ha ez őket elkápráztatja. Aki illúzióba ringatja őket, úr lesz fölöttük, de áldozatuk az, aki megpróbálja őket kiábrándítani.
- A hozzászóláshoz be kell jelentkezni
Egy jó kis ChatGPT kiesés lesz még a buli.
Ha tartós rendszert építesz és okos csapatot nevelsz, akkor száz kiadásban sem érheti baj; ha csak a gépekre hagyatkozol, akkor egyszer jól jársz, máskor rosszul; de ha sem a rendszer nem bírja a terhet, sem a csapat nem tanul a hibákból, akkor minden egyes kiadás kockázat.
- A hozzászóláshoz be kell jelentkezni
A kirúgott és éájra cserélt embereknek sem.
Ha tartós rendszert építesz és okos csapatot nevelsz, akkor száz kiadásban sem érheti baj; ha csak a gépekre hagyatkozol, akkor egyszer jól jársz, máskor rosszul; de ha sem a rendszer nem bírja a terhet, sem a csapat nem tanul a hibákból, akkor minden egyes kiadás kockázat.
- A hozzászóláshoz be kell jelentkezni
Attól függ, hogy akit kirúgtak, valóban végzett-e valami hasznos munkát. Az "XY-t lecseréltem AI-re" nekem a mostani pol. korr. "kibasztam, mert semmit sem csinált" megfelelőjének tűnik.
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Nekem sokkal inkább az elbasztam a business oldalt, de most jó mentség a mese arról, hogy AI-ra cserltem az embereket tipusú mesélésnek tűnik, amihez túl öreg vagyok, hogy elhiggyem.
Ha tartós rendszert építesz és okos csapatot nevelsz, akkor száz kiadásban sem érheti baj; ha csak a gépekre hagyatkozol, akkor egyszer jól jársz, máskor rosszul; de ha sem a rendszer nem bírja a terhet, sem a csapat nem tanul a hibákból, akkor minden egyes kiadás kockázat.
- A hozzászóláshoz be kell jelentkezni
-dupla-
Ha tartós rendszert építesz és okos csapatot nevelsz, akkor száz kiadásban sem érheti baj; ha csak a gépekre hagyatkozol, akkor egyszer jól jársz, máskor rosszul; de ha sem a rendszer nem bírja a terhet, sem a csapat nem tanul a hibákból, akkor minden egyes kiadás kockázat.
- A hozzászóláshoz be kell jelentkezni
Ha már ennyire köztudottá vált, hogy a felhő az mekkora Single Point of Failure, akkor jó lenne észrevenni azt a tényt, hogy Föld bolygó redundanciája is elég siralmas, és éppen most tesszük tönkre azt a példányt, ami minket futtat. Vajon egy AI mennyivel jobb döntéseket hozna nálunk?
- A hozzászóláshoz be kell jelentkezni
hmm 8 milliárd emberből csak pár milliót érintett? Cégek millióiból csak 2 ezret? Akkor ez semmi.
- A hozzászóláshoz be kell jelentkezni