DevOps FM

👩‍💻 Понедельник начинаем с управления секретами в GitHub Actions.

На Blacksmith вышел полноценный гайд по управлению секретами — чувствительными данными, такими как API-ключи, токены доступа и учетные данные баз данных в GitHub Actions. Он объясняет, как работают секреты, какие уровни управления ими существуют (секреты репозитория, среды и организации), а также рассматривает лучшие практики для защиты и сопутствующие этому инструменты.

В статье собраны как базовые для опытных пользователей советы, так и интересные инсайты.

Читаем материал тут и проверяем, насколько ваши методы соответствуют best practices.

#devops #github #secrets

📚 Пятничное чтиво на канале DevOps FM.

Вам когда-нибудь приходилось выгонять AWS из вашей кровати? Нет? А вот Дилану Айри пришлось.

Автор статьи делится своим опытом исследования уязвимостей в умной кровати Eight Sleep. Устройство стоимостью $2000 предлагает регулировку температуры, однако для работы кровати требуется интернет, подписка за 19$ и мобильное приложение.

После получения прошивки устройства, которую можно легко скачать, Дилан провел исследование и не был особенно впечатлен тем, что обнаружил:
• бэкдор, который дает компании возможность получить доступ к кровати по SSH, выполнить произвольный код и оттуда исследовать всю сеть пользователя;
• активный ключ AWS, который мог быть использован для передачи данных в Amazon.

Прочитать все подробности и узнать, как автор решил проблему, можно в статье 👈

Желаем всем, кто отдыхает, хороших выходных, а тем, кто дежурит — спокойных смен без серьёзных алертов!

#devops #пятничное_чтиво

Последняя зимняя подборка новостей по средам. Успевайте!

🟡 Релизнули GitLab 17.9

Новая версия состоит из более чем 110 улучшений, например расширенные функции безопасности, возможность комментирования на вики-странице для совместной работы над документацией, и функция для настройки срока хранения CI\CD пайплайна.

Все улучшения можно посмотреть тут.

⚫️ CNCF подготовили best practices по безопасности в облачных окружениях

CNCF выпустили документ “Shift Down Security”, посвящённый лучшим практикам по безопасности. Цель — помочь организациям снизить бизнес-риски и повысить продуктивность разработчиков за счёт внедрения облачных технологий, таких как Policy as Code. Документ объясняет, как команды могут интегрировать безопасность на уровне платформы, предотвращая ошибки конфигурации и автоматизируя процессы безопасности для всех приложений.

🟡 Доступен Rust 1.85 и Rust 2024

Версия 1.85 входит в Rust 2024 Еdition, что является механизмом направленным на разделение несовместимых изменений. Подробнее про то, как работают эдишны на Rust можно почитать тут.

Плюшками новой версии стали: поддержка асинхронно выполняемых замыканий, определяемых в форме async || {}; появилась возможность использования типажей FromIterator и Extend с кортежами, содержащими до 12 элементов и новый атрибут #[diagnostic::do_not_recommend], при котором компилятор не будет показывать аннотированные реализации типажей в диагностических сообщениях.

⚫️ Вышеупомянутый Rust продолжает наводить смуту в ядре Linux

Линус Торвальдс заявил, что мэйнтейнеры ядра Linux не обязаны работать с Rust, если не хотят. Они могут продолжать поддерживать код на Си, но не могут блокировать развитие Rust в ядре. Однако Кристоф Хелвиг, мэйнтейнер подсистем dma-mapping и configfs, выступил против внедрения Rust, считая, что использование нескольких языков усложняет поддержку ядра. Он попытался заблокировать Rust-обвязки для подсистемы DMA, что вызвало критику со стороны Торвальдса. Линус отметил, что Кристоф превысил свои полномочия попыткой заблокировать Rust-обвязки, так как они не затрагивали его подсистему напрямую.

The fact is, the pull request you objected to DID NOT TOUCH THE DMA LAYER AT ALL.

В итоге Кристоф Хелвиг ушёл с постов мейнтейнера dma-mapping и configfs, передав обязанности другим разработчикам. Линус, в свою очередь, подчеркнул, что мейнтейнеры не могут контролировать, как используется их код, и поддержал постепенное внедрение Rust без принуждения.

You are not forced to take any Rust code, or care about any Rust code in the DMA code. You can ignore it.😑

#Devops #Rust #GitLab #Linux

Добавили покерфейс от Линуса 😑 и фейспалм от Линуса 🤦‍♂️. Какой ещё реакции не хватает?

👩‍💻 Обновление политик Docker Hub

Docker объявили об изменениях после обратной связи от сообщества. Команда Docker пересмотрела свои планы, чтобы улучшить поддержку экосистемы и опыт пользователей.

Смотрим на изменения:

1. Оплата за скачивание образов отменена

Docker отказались от планов по введению платы для всех пользователей. Объяснили это желанием укрепить платформу и предоставить разработчикам возможность создавать, делиться и внедрять инновации без ненужных барьеров.

2. Обновление лимитов на скачивание

Теперь для неаутентифицированных пользователей будет доступно 10 pull-запросов в час. Аутентифицированным пользователям увеличили лимит с 40 до 100 запросов в час. Для пользователей с подпиской ограничений не планируется.

3. Отсрочка платы за хранение

Планы по введению платы за хранение данных на Docker Hub отложены на неопределённый срок. Вместо этого Docker сосредоточится на создании инструментов для управления хранилищем. О любых изменениях в политике будет объявлено за 6 месяцев.

Изменения вступают в силу с 1 апреля этого года.

#DevOps #Docker #DockerHub

🖖 Привет от админов DevOps FM!

Чтобы вам было интереснее читать и смотреть контент, мы хотим улучшить оформление канала: добавить недостающих реакций (лицо Линуса представили? 😑), установить обои и попробовать новые форматы. Для этого нужно подтянуть канал на уровни повыше.

Если у вас есть Telegram Premium и вам нравится наш контент, вы можете поддержать канал голосом.

⏩Boost DevOps FM

А ещё хотим напомнить, что мы открыты для вопросов и предложений. Если вам не хватает каких-то тем, форматов или реакций, вы можете написать свои пожелания в комментах под этим постом или одному из админов напрямую.

Большое спасибо. Всем хорошей пятницы!

Всем DevOps! Деплоим дайджест новостей, статей и мнений.

⚫️ Разработчики SUSE и openSUSE думают над тем, чтобы прекратить поддержку загрузки на системах с BIOS. Причина проста: они считают BIOS устаревшим.

Если вы захотели поддержать или вразумить разработчиков — напишите комментарий в этом обсуждении или напрямую в issue #194. Обещают услышать всех.

🟡 Зарелизили Postfix 3.10. Новая версия поддерживает протокол TLS‑RPT и заголовок сообщений «TLS‑Required: no», с помощью которого SMTP‑клиент не проверяет сертификат сервера и может откатиться на соединение с передачей данных открытым текстом. Все изменения можно посмотреть в релиз ноутс.

⚫️ В блоге Kubernetes разобрали решение проблемы «курицы и яйца», которая может возникнуть при работе cloud-controller-manager.

🟡 А в блоге CNCF рассказали о трёх главных практиках защиты среды Kubernetes. Статья будет полезна тем, кто только начинает своё знакомство с этим оркестратором.

⚫️ Архитектор ПО Заурабх выпустил краткий обзор четырёх проблем в распределённых системах и показал, как их решить.

#средовый_дайджест #kubernetes #postfix #suse #devops

👩‍💻 Начинаем рабочую неделю с интересной статьи от Дэвида Лейбовика, инженера из Etsy.

Его команда перевозила хосты маркетплейса с CentOS со старой версией ядра (3.10) на Ubuntu с ядром посвежее (6.8). Когда инженеры закончили миграцию на большей части хостов, они обнаружили большой всплеск overflow errors. Обновление на новую ОС пришлось откатить.

Сначала Дэвид и его коллеги подумали, что ошибки возникают из-за проблем с сетью. Но потом они выяснили, что причиной стала перегрузка ЦП системы, вызванная переключением inode из одной cgroup в другую.

О том, как инженеры из Etsy нашли и решили проблему в одной из функций ядра — читайте в статье.

#devops #ядро #ubuntu

Любви к девопсу пост ❤️

На Reddit DevOps-инженеры поделились тем, что заставляет их любить свою профессию каждый день. Собрали для вас самые трогательные признания:

Когда ты человек, который от природы любознателен, обожает головоломки, умеет писать код и создавать что-то ценное, а тебе ЗА ЭТО ПЛАТЯТ?! Господи, это просто мечта. К тому же, это одна из тех работ, где ты достигаешь момента, когда всё построено, создано и отлажено, всё работает как по маслу — ты можешь просто откинуться назад и наслаждаться результатами своего труда. Если ты чисто разработчик, то ты уже в следующем спринте, хаха.

Думаю, я один из тех немногих счастливчиков в DevOps, у кого отличный босс. Я буквально готов работать лишний час, два или даже три после работы каждый день просто ради него. Он вкладывается в своих инженеров, хочет, чтобы мы росли как технические лидеры. Он из тех людей, с кем ты пойдешь в огонь и воду. При этом он также дает мне свободу создавать внутренние приложения, которые помогают решать задачи, связанные с DevOps... Мне не нужно согласование от кучи людей или одобрение других директоров. Его благословения достаточно. И он правда делает код ревью…

Моя работа позволяет мне заменять скучное, древнее и повторяющееся старье сложных финансовых систем на автоматизацию. Приятно иметь возможность влиять не только на реализацию, но и на дизайн. Возможность превращать целые экосистемы из железа и софта в код — это просто потрясающе. Здесь так много превосходных новых вариантов, что скучно не бывает никогда. Я буквально чувствую себя ребенком с огромным, бесконечным набором лего, крутящим его туда-сюда, чтобы создавать что-то крутое. А еще у меня отличная команда, на которую можно положиться.

👍 Делитесь тем, за что вы любите свою профессию в комментариях! Желаем всем хорошего настроения и приятных выходных, а тем, кто дежурит — спокойных смен.

#devops

Каждая среда — это маленькая пятница, а за ней следует и еженедельная новостная подборка.

🟡 Релизнули Go 1.24.0.

Что нового? Например, разработчики изменили базовую реализацию map, которая теперь основана на Swiss Tables. Благодаря этому и новой внутренней реализации мьютекса удалось снизить нагрузку на процессор на 2-4%. Ещё добавили поддержку generic type aliases: в новой версии псевдоним может быть параметризован как определённый тип.

Все остальные изменения можно посмотреть тут.

⚫️ Выпустили KDE Plasma 6.3

В среду рабочего стола добавили массу улучшений. Среди них:
• дробное масштабирование и улучшение эффекта приближения,
• новое уведомление, которое появляется при завершении работы ядра и информирует о нехватке памяти в системе,
• повышенная точность отслеживания нагрузки на CPU и потребления памяти приложениями.

🟡 Внедрение Rust в ядро Linux продолжает вызывать споры среди разработчиков.

Некоторые поддерживают идею использования Rust для повышения безопасности, в то время как другие, например, мейнтейнер подсистем DMA, KVM, Slab Allocator ядра — Кристоф Хеллвиг, считают, что смешение языков усложняет поддержку проекта.

Хеллвиг выступил против патча, связанного с поддержкой разработки драйверов на языке Rust, назвав его раковой опухолью. По его мнению, интерфейсы должны оставаться в C. Однако сторонники Rust, настаивают, что их абстракции никак не меняют C-часть ядра, а просто облегчают жизнь разработчикам драйверов на Rust, что делает сопротивление Хеллвига необоснованным.

Мнения разделились: Гектор Мартин (Asahi Linux) даже предположил, что столь агрессивное сопротивление может нарушать Кодекс поведения Linux, хотя в реальности вряд ли последуют санкции. Он призвал Rust-разработчиков игнорировать Хеллвига и вынести патч на одобрение Линуса Торвальдса, который и примет финальное решение.

Линус Торвальдс, создатель Linux, отметил, что споры вокруг Rust — это часть процесса разработки, и пока рано говорить о провале или успехе Rust. Гектору же он предложил принять интересный факт:

...maybe the problem is you.

На следующий день Гектор заявил, что теряет веру в процесс разработки ядра и уходит с позиции мейнтейнера.

#golang #linux

🗂 Начинаем неделю со скрытых каталогов Unix.

Крис Зибенманн поднимает проблему связанную с использованием скрытых каталогов (начинающихся с точки, например, .cache, .local, .cargo) в Unix системах для хранения кэшированных данных. В результате такого подхода гигабайты данных оседают в невидимых каталогах, пользователи даже не догадываются, куда уходит их дисковое пространство, а стандартные инструменты для анализа занимаемого места их просто не показывают.

В своем блоге автор рассуждает, почему этот подход ошибочен и предлагает решения. Два ключевых вывода из статьи:

1. Программы должны использовать открытые директории для кэша, чтобы пользователи могли легко контролировать их размер.

2. Инструменты для анализа дискового пространства должны учитывать скрытые каталоги, иначе важные данные останутся незамеченными.

Если у вас когда-нибудь внезапно заканчивалось место на диске, возможно, виноваты именно эти «невидимые» папки. Подробнее — тут.

#devops #unix

👩‍💻 Open Source: что важно для сообщества сегодня.

GitHub провели исследование сообщества разработчиков ПО с открытым исходным кодом. Предыдущий опрос был аж в 2017 году, и за 7 лет изменились не только технологии, но и само сообщество — более 75 миллионов пользователей присоединились к платформе.

В новом исследовании приняли участие 8400 человек, благодаря которым смогли выявить ключевые тенденции, влияющие на будущее open-source. Из интересного:

1. Рост использования ИИ
Использование инструментов ИИ, таких как GitHub Copilot, растет: 72% респондентов, использующих ПО с открытым исходным кодом, сообщают, что используют эти инструменты для кода или документаций.

2. Борьба с токсичностью
В 2017 году 49% разработчиков предпочитали просто игнорировать онлайн-токсичность. В 2024 году этот показатель снизился до 38% — люди стали чаще жаловаться на нарушителей и их блокировать.

3. Безопасность и активная разработка остаются в приоритете
За прошедшие годы "активная разработка" и "свободная лицензия" так и остались лидирующими критериями при использовании ПО.

Посмотреть полные результаты исследования можно тут.

#devops #opensource #github

Где среда, там и новый дайджест интересных новостей и материалов за неделю.

🟡 Avito увеличила награду за найденные в своих продуктах критические уязвимости.

Компания планирует повысить безопасность своих сервисов, увеличивая затраты на кибербезопасность на 50% по сравнению с 2024 годом. Теперь выплата за найденную уязвимость может составить до 500 тысяч рублей.

Как участвовать — смотрим здесь.

⚫️ База данных DeepSeek с конфиденциальной информацией была в открытом доступе.

Исследователи команды Wiz обнаружили незащищенную базу данных DeepSeek, в которой не было необходимого ограничения к хранилищу логов. В БД с более чем миллионом записей можно было найти ключи доступа к API, настройки СУБД и другие данные, которые могли привести к атаке на всю инфраструктуру компании.

🟡 И ещё немного о безопасности: Якир Кадкода и Ассаф Мораг рассказали о проблемах, связанных с неправильной настройкой политик в Kubernetes. В частности, они затронули тему использования инструментов управления политиками, таких как OPA (Open Policy Agent) Gatekeeper.

Авторы показали, как кажущиеся безопасными политики могут обойти из-за незначительных ошибок в конфигурации.

Суммируем советы:

• Убедитесь, что ваши значения ограничений включают последний слэш /. Это предотвращает обход через поддомены.
• Избегайте чрезмерно широких и общих политик при написании собственных политик Rego/regex или других правил. Их можно обойти.
• Сканируйте и проверяйте как выставлены значения ограничений для k8sallowedrepos.

#DepOps #безопасность #Kubernetes

⚙️ Знаете ли вы, как Netflix выдерживает миллиарды часов просмотров?

Netflix — это не просто платформа для просмотра фильмов и сериалов. Это одна из самых высоконагруженных систем в мире, ежедневно обслуживающая 250+ миллионов пользователей. Основу инфраструктуры Netflix составляет микросервисная архитектура, где более 700 микросервисов взаимодействуют между собой, управляя потоками видео, персонализацией, платежами и аналитикой.

О том, как устроена архитектура Netflix — тут и тут.
Здесь можно узнать о системе оркестрации Titus, которая оптимизирована под специфические задачи компании.
А о том, как для тестирования устойчивости системы используется Chaos Engineering — читаем в подборке статей.

#архитектура #DevOps #ChaosEngineering

💻 Далее на канале DevOps FM — пятничные развлечения

Сегодня хотим поделиться забавной игрой для всех, кто любит Linux и командную строку!

👩‍💻 Terminus — настоящая текстовая бродилка, где вы становитесь героем, путешествующим по виртуальному миру. Ваш главный инструмент для решения головоломок и преодоления препятствий — терминал.

Для новичков это отличный способ освоить базовые команды, а для опытных — возможность немного развлечься и погрузиться в атмосферу текстового приключения, где каждая команда — это шаг к новой загадке.

Желаем приятной игры, хороших выходных и спокойных дежурных смен!

#devops #linux

Доставили вам средовую подборку — как раз вовремя!

⚫️ DocumentDB стала open-source.

Microsoft объявила об открытии исходного кода своего внутреннего проекта DocumentDB. СУБД написана на языке C и опубликована на GitHub под лицензией MIT.

Мы решили запустить DocumentDB — полностью open-source платформу на базе PostgreSQL, на которой можно построить комплексную базу данных документов, чтобы удовлетворить потребности сообщества в NoSQL базах данных.

🟡 CNCF объявляют новую эру для Helm.

За последние годы Helm прошел путь от экспериментального инструмента до стандарта, используемого крупными компаниями. Однако сообщество испытывало трудности с поддержкой и ростом новых участников. В 2025 году команда Helm приняла стратегическое решение обновить подход к управлению проектом.

Ключевые инициативы:

• Пересмотр состава мейнтейнеров;
• Ускорение работы над pull request'ами и более активное вовлечение новых контрибьюторов;
• Запуск разработки Helm 4 с улучшенной архитектурой и современными возможностями, а так же четкие сроки по её выпуску.

Более подробно со статьей можно ознакомиться тут.

#devops #opensource

👩‍💻 В этот понедельник разбираемся, как Kubernetes API Server Proxy может стать слабым звеном в безопасности вашего кластера.

В своем блоге Рори опубликовал разбор, где наглядно показал механизм работы и скрытые подводные камни. Как сервер Kubernetes API может выступать в качестве HTTP-прокси-сервера? Есть ли ограничения использования и лазейки для атак?

Узнаем все плюсы, минусы и советы по работе — тут.

#devops #kubernetes #безопасность

📝 Инструменты и языки, которые хочется забыть

На Reddit подняли интересную тему о различных инструментах и языках программирования, задав вопрос: Что вы не укажете в резюме, несмотря на опыт, чтобы больше никогда с этим не работать?

Собирали для вас несколько популярных ответов:

Visual Basic……………….. забудьте то, что я сказал.

Jira. Я так устал быть дефакто администратором atlassian, вынужденным убирать за всеми, ибо никто и пальцем не пошевелит для реализации облака.

Электронная почта. Я знал электронную почту вдоль и поперек когда управлял почтовыми серверами в одной компании. Никогда больше. Если возникают проблемы с электронной почтой, я просто пожимаю плечами и делаю вид, что ничего не знаю. Я ненавижу email в той же степени, что и принтеры.

Все, что сделано рукой IBM.

А что бы вы вычеркнули из своего резюме навсегда?

#devops #reddit

Среда средой, а подборка свежих новостей — по расписанию.

🟡 Вышло новое обновление VirtualBox 7.1.6

Oracle официально выпустила VirtualBox 7.1.6, в которой исправлено множество ошибок, улучшена производительность и добавлена ​​поддержка новых операционных систем.

Из интересного:
• Ряд улучшений графического интерфейса, включая изменения в диалоговой области «Дополнительные свойства/Параметры»;
• Добавлена ​​официальная поддержка Windows Server 2025 в качестве гостевой ОС и улучшена совместимость с RHEL 9.6 на хостах Linux.
• Добавили начальную поддержку ядра Linux 6.13 и исправления для ядер 6.4 и 6.12.

⚫️ Релизнули OpenVPN 2.6.13

Устранены утечки памяти во FreeBSD, а на системах с Linux добавили запуск процесса systemd-ask-password с параметром --timeout=0 для отключения 90-секундного таймаута.

Смотрим больше фиксов тут.

🟡 В свет вышла GitLab 17.8

Новая версия включила в себя 60 изменений, посвященных:
• Безопасности контейнерного репозитория: Введены новые функции для повышения безопасности и управления контейнерными образами.
• Поддержке новых типов хостов: Добавлены хосты с M2 Pro на macOS, что позволяет улучшить производительность CI/CD для разработчиков, работающих с экосистемой Apple.
• Улучшению отслеживания релизов.

#devops #linux #gitlab

👩‍💻 Представлен релиз ядра Linux 6.13.

В новую версию вошли 14 тысяч нововведений от 2086 разработчиков. Большая часть из них затронула драйвера устройств — 52% всех изменений, примерно 13% изменений имеют отношение к обновлению кода, специфичного для аппаратных архитектур, 11% связано с сетевым стеком, 4% — с файловыми системами и 3% — c внутренними подсистемами ядра.

Ядро Linux 6.13 представил широкий спектр улучшений: от обновленного графического драйвера Raspberry Pi, обещающего прирост скорости, до логики ленивого вытеснения, расширенной поддержки Rust и новых драйверов для множества аппаратных средств, периферийных устройств и цифровых штучек.

Линус Торвальдс в своем обращении отметил:

На прошлой неделе не произошло ничего ужасного или неожиданного, поэтому я выложил финальный релиз 6.13.

#linux