OpsDeck: собрал рабочее место DevOps-инженера в одном окне и выложил в Open Source Терминал здесь, Grafana там, пароль в KeePass, ранбук в Obsidian, а алерт уже прилетел в Telegram. Автору надоело постоянно прыгать между окнами, поэтому он собрал OpsDeck и выложил проект в Open Source. Внутри терминал понимает, чем закончилась команда, и предлагает спросить ИИ об ошибке. Локальная модель подхватывает знакомые команды из истории и заметок, Kubernetes можно открыть рядом с алертами, а пароль из KeePass использовать там же, не бегая между окнами. Для прода предусмотрен отдельный режим только для чтения. Получилось не просто окно с ярлыками на привычные инструменты. Разделы OpsDeck знают друг о друге и позволяют переносить контекст между задачами без постоянного копирования руками. А сколько всего туда уже успело поместиться, лучше видно в экскурсии по проекту.

Как в MWS Cloud Platform тестируют Kubernetes‑операторы В Kubernetes-кластер добавили новую ноду. Теперь cloud provider должен связать её с виртуальной машиной, заполнить внутренний IP и снять ограничение на размещение подов. Только происходит всё это асинхронно — тесту нужно дождаться обработки объекта и убедиться, что необходимые действия выполнены. В MWS Cloud Platform подобные сценарии проверяют при интеграционном тестировании компонентов Managed Kubernetes. С операторами задача ещё шире: за одним Custom Resource может стоять целая иерархия связанных объектов, а их состояния способны меняться в любой момент. Добавим зависимость от Kubernetes-окружения — и привычных подходов к тестированию бэкенда уже недостаточно.

Как засунуть Protobuf в CEL и выиграть (или проиграть): опыт MWS Cloud Platform Представьте поток событий k8s, которые сыплются в микросервис без остановки, и каждое надо прогнать через валидацию на CEL. И тут же выясняется неприятное. Чтобы движок проверил жалкие два-три поля, компактный Protobuf распаковывается целиком, память улетает под всё дерево объектов ради пары значений. Большая часть распакованных данных интерпретатору просто не нужна. Раз так, почему бы не отдать CEL сырые байты и не научить его выдёргивать поля лениво, ровно в момент обращения. Команда MWS Cloud Platform залезла во внутренности обоих форматов, собрала ленивый парсер и запустила бенчмарки. На тяжёлых манифестах аллокации памяти рухнули в 15-20 раз. Мечта. А потом этот код взяли и выкинули... Узнаем, что заставило отказаться от решения с идеальными цифрами.

Агент с токеном из гита работает так быстро, что кластер не отличает его от атаки Пока ИИ-ассистент просто подсказывает фрагмент кода, риск детский, ну примет кто-то плохое предложение молча, ну утечёт лог с секретом. Совсем другое дело, когда агенту вручают токен из гита, облачные креды или ServiceAccount в кластере. Теперь он создаёт, меняет и сносит ресурсы с такой скоростью, что Kubernetes не поймёт, это атака или просто сработала слишком мощная автоматизация. И вот в эту секунду удобный помощник по продуктивности превращается в новую нечеловеческую идентичность со своими правами, зоной поражения и пропиской в вашей модели угроз. А инъекцию он подхватит откуда угодно, хоть из README, хоть из лога сборки, который никто и не думал считать опасным. Спорить, будут ли разработчики этим пользоваться, поздно. Уже пользуются. Обсудим, как удержать агента там, где его видно и можно остановить.

Арендовать «железо» — ещё не значит получить готовую инфраструктуру Обычно между публичным облаком и собственными серверами приходится чем-то жертвовать. Хочешь физической изоляции и контроля — будь готов сам собирать и поддерживать инфраструктуру. Хочешь меньше операционки — иди в облако. Yandex B2B Tech запустила Yandex BareMetal Extend, инструмент, который совмещает эти два подхода. Инфраструктура физически отделена от публичного облака, но поверх выделенных серверов уже можно получить готовую среду. Доступны три модуля: — виртуализация; — Kubernetes®; — Stackland для разработки приложений. То есть вместо сценария «вот вам серверы, дальше разбирайтесь сами» можно сразу развернуть нужную среду и работать с ней. При этом остаются возможности, ради которых обычно и выбирают выделенную инфраструктуру: ресурсы можно резервировать, а серверы — объединять через приватное соединение. Получается довольно занятная модель: физически инфраструктура остаётся выделенной, а по процессу работы с ней она становится гораздо ближе к облаку. Похоже, bare metal постепенно перестаёт означать «всё руками».

Перезапустили приложение, а все его файлы исчезли. В Kubernetes такое случается часто. Контейнеры могут удаляться и запускаться заново, а всё, что хранилось только внутри них, пропадает. Чтобы этого не происходило, приложениям подключают отдельные диски. Kubernetes сам находит или создает подходящее хранилище, подключает его к приложению и следит, чтобы данные остались на месте даже после перезапуска. Автор объясняет эту систему на простом тестовом кластере. Показывает, откуда берется диск, как Kubernetes его подключает, где искать ошибки и что проверять, если хранилище вдруг не заработало. Это небольшой гайд для начинающего сисадмина.

Форк файлового менеджера, подозрительно похожего на Midnight Commander Кто жил в терминале, помнит mc на ощупь. Две синие панели, слева файлы, справа файлы, и всё это всегда было про файлы и каталоги. В этом форке панели научились показывать что угодно через подключаемые плагины, и теперь в них с тем же интерфейсом открываются Docker-контейнеры, Kubernetes-поды, коллекции MongoDB и объекты S3-хранилищ. А внутрь файлового менеджера заодно встроили полноценный терминал. С релизом идут двенадцать плагинов, старые ftpfs и sftpfs выкинули и заменили на них, а работа с архивами ускорилась на порядок. Собрал всё это один человек из фич, которые не смог протолкнуть в апстрим, и теперь ищет, кто поможет проверить форк за пределами его Ubuntu.