Platform // Human Help

⬆️ Начало поста об Istio ⬆️

Не без трудностей: конфликт политик

Конечно, не всё было гладко. На первых порах мы столкнулись с тем, что политики безопасности или маршрутизации не применялись или конфликтовали друг с другом. Главный урок, который мы вынесли: начинайте с простых и понятных правил, затем усложняйте итерационно.

Слово нашему разработчику

👨‍💻 Я, как backend-разработчик, был настроен скептически. Но когда пыль улеглась, я увидел главный плюс для меня лично: я наконец-то перестал быть операционщиком для своего же кода. Мне больше не нужно в каждом сервисе городить middleware для проверки JWT-токенов, парсить заголовки и вручную проверять права доступа. Всю эту рутину теперь на себя взял Istio. Я просто описываю в манифесте: «этот эндпоинт требует такой-то роли» и всё. Можно сосредоточиться на бизнес-логике, а не на бесконечном копипасте одного и того же кода безопасности из проекта в проект. Да, кривая обучения была, но теперь я пью чай, пока mesh сам разбирается с аутентификацией.

Так стоит ли вам внедрять Istio?

👾 Istio это мощный, но сложный инструмент. Если у вас пара-тройка микросервисов, возможно, он будет избыточен. Но если у вас большая распределённая система, вы хотите решить проблемы с внутренней безопасностью и заложить надёжный фундамент для продвинутых стратегий развертывания (таких как «канарейки» или A/B-тесты), то однозначно стоит присмотреться. Надеюсь, наш опыт был полезен! Задавайте вопросы в комментариях, я буду рад ответить.

Под этим постом разыгрывается подписка Telegram Premium на три месяца. Чтобы участвовать, задайте вопрос нашей команде по технологии, начните вопрос со слова «Istio», в течение 24 часов после публикации. Также нужна ваша реакция под постом и подписка на канал.

Подписывайтесь на канал DevOps // Human Help
Подписывайтесь на канал Platform // Human Help

⌨️ Как и следовало ожидать, к 25-му открыть бета-тест мы не успеваем, но ничего страшного, дадим себе ещё немного времени. А пока почитайте небольшой пост о том, как и зачем в проект был внедрён Istio.

Как мы внедряли Istio и (почти) не сошли с ума

👾 Всем привет! Я - Матвей, CTO и DevOps-инженер в Human Help Platform. Сегодня хочу поделиться нашей историей внедрения Istio. Это не просто техническая инструкция, а скорее рассказ о том, какие проблемы мы решили, на какие грабли наступили и почему теперь считаем, что игра стоила свеч.

Проблема: хаос в микросервисах и безопасность «на честном слове»

До Istio наша жизнь с микросервисами была полна стресса. Каждый релиз был похож на русскую рулетку: мы выкатывали новую версию сервиса сразу на 100% пользователей. Если что-то шло не так, у нас не было нормальной возможности быстрого отката, что часто приводило к даунтайму. О безопасных «канареечных» развертываниях мы могли только мечтать. А с безопасностью дела обстояли ещё хуже. Весь трафик между нашими сервисами внутри кластера ходил в абсолютно открытом виде. Никакого TLS. Мы полностью полагались на сетевую изоляцию, но сама идея, что внутренние коммуникации не зашифрованы, не давала нам покоя.

Решение: Service Mesh и наш выбор в пользу Istio

Мы поняли, что нам нужен инструмент, который закроет сразу обе дыры: возьмёт на себя шифрование трафика и даст нам гибкие возможности для управления релизами. Таким инструментом стал service mesh. Выбор пал на Istio. Он показался нам самым зрелым решением. Идея была проста: переложить головную боль с сети и безопасности с плеч разработчиков на уровень самой платформы. Что мы получили на практике?

1. Безопасность по умолчанию. Это была наша первая и самая важная победа. Мы включили автоматический mTLS (mutual TLS). Istio сам внедряет sidecar-прокси в каждый под, который шифрует и расшифровывает весь трафик. Разработчики продолжают писать код, который общается по обычному HTTP, а Istio «под капотом» обеспечивает безопасность. Проблема с незашифрованным трафиком была решена раз и навсегда.

2. Фундамент для умных релизов. Гибкое управление трафиком в Istio открыло нам дорогу к безопасным развертываниям. С помощью его правил маршрутизации (VirtualService) мы получили полный контроль над тем, кто и как получает доступ к новым версиям сервисов. Это позволило нам позже внедрить такие инструменты, как Argo Rollouts, которые используют возможности Istio для автоматизации сложных «канареечных» стратегий, анализа метрик и автоматических откатов.ф

Всем привет! Прошу прощения, что долго не писал. Пора просыпаться и показать, чем я и моя команда занимались последние 2–3 месяца.

К Human Help DevOps добавляется новый проект Human Help Platform. HHP это моё видение современной обучающей платформы, которая опирается на три ключевых элемента: виртуальные машины, AI и геймификация.

Доступ к виртуальным машинам (заточенным под задачу окружениям) прямо из браузера, поможет решить несколько задач. Первое избежать настройку окружения на домашнем компьютере или аренды облачной виртуалки. Второе повысить количество чистой практики и сократить количество теории (как там обычно говорят 80 на 20)

AI это очевидный элемент любой современной платформы. Чат-бот уже встроен почти везде, но я вижу и более интересные сценарии применения. Кроме того, тема self-хостинга нейросетей до конца не раскрыта, и я собираюсь это исправить.

Геймификация. Как создать для мозга ложную, но мотивирующую ценность? Почему мы так дорожим количеством «дней без пропуска» в Duolingo, как попасть в состояние потока или испытать эмоциональный подъём после успешно решённой задачи. Я хочу исследовать это на практике. Уже сейчас реализованы достижения и базовые элементы кастомизации аватара, их вы сможете попробовать на бета-тесте.

Кстати о нем

Бета-тест запланирован на 25 августа. Принять участие сможет любой желающий: вместе будем отлавливать баги и проводить нагрузочное тестирование. Надеюсь, многие захотят присоединиться и помочь нам.

Запускаю и новый канал. Здесь посты будут чаще (ха-ха) и короче. Я буду делиться новостями о платформе, своими мыслями, деталями реализации и планами. Подписывайтесь.

Под этим постом разыгрывается подписка Telegram Premium на три месяца. Чтобы участвовать, оставьте комментарий, начинающийся с «HHP», в течение 24 часов после публикации. Также нужна ваша реакция под постом и подписка на канал. Пишите всё, что угодно: пожелайте нашей команде удачи, оцените приложенные скриншоты (дизайн ещё не финальный), предложите свои идеи или помощь.

Подписывайтесь на канал DevOps // Human Help
Подписывайтесь на канал Platform // Human Help

Channel photo updated

Channel created