Neco Weekly (2022-10-14号)
サイボウズ Neco チームでは、 Neco Weekly という「最近気になる Cloud Native 関連のネタを共有する会」を社内で開催しています。
本記事は共有会の中で紹介したネタをまとめたものです。
今回は第11回目の記事となります。
🚢 Last Week in Kubernetes Development
Last Week in Kubernetes Development で Kubernetes 1.26 に含まれる予定の新機能が紹介されていました。
興味深いものをいくつか紹介したいと思います。
KEP-3488: CEL for Admission Control
NecoWeekly 2022-09-30号では、Common Expression Language (CEL) という記法で CRD のバリデーションができる機能について紹介しました。
以下の KEP では Validating Admission Webhook 利用する代わりに、CEL を利用してカスタマイズ可能な検証する機能を提供しようという提案です。
この機能が実装されると自前で Webhook を実装したり OPA/Gatekeeper などのポリシーエンジンを利用しなくても、リソースの検証がおこなえるようになるのでとても便利そうです。
In-place Update of Pod Resources
現在は、Pod の resources.limits や resources.requests を変更するためには、一度 Pod を作り直さなければなりません。
以下の KEP では Pod を動かしたまま resources.limits や resources.requests を変更できるようにしようという提案です。
起動に時間がかかるなどなるべく再起動したくない Pod のリソース割り当てを変更したいときなどに役立ちそうです。
KEP-2258: Node service log viewer
kube-apiserver や kubelet など、コントロールプレーンノードやワーカーノード上で動作しているサービスのログを、kubectl コマンドで表示できるようにする機能の提案です。
kube-apiserver や kubelet などのログは、通常何らかのロギングシステムで収集するのが一般的ですが、kubectl コマンドで気軽にログが見られるようになると便利そうです。
👀 Notable Articles
Disabling Spectre V2 Mitigations Is What Can Impair AMD Ryzen 7000 Series Performance
AMD Ryzen 7000 CPU では、Linux kernel の spectre mitigation を off にするとかえって性能が悪化するという話です。
Ryzen では spectre mitigation の動作を想定して最適化されているため、このような結果になるのではないかと推測されています。
Assembly within! BPF tail calls on x86 and ARM
ARM で BPF の普通の関数呼び出しと末尾呼び出し(tail call)方式を混ぜると、うまく動いていなかったという話。
やや難しい内容ですが、通常のプログラムと BPF の末尾呼び出し方式の違いなどが解説されていてとても興味深い記事でした。
また、以下のツイートでの解説も参考になります。
How Palantir Manages Continuous Vulnerability Scanning at Scale
Plantir 社における大規模なサービス向けの継続的な脆弱性スキャンの管理方法についての取り組み。
SLA を定めてセキュリティレベルごとの目標対応時間を決めたり、Trivy をはじめとするスキャナーの紹介、アプリケーションコンテナに関してはスクラッチベースのコンテナイメージを利用し極力パッケージを含まないようにしているなど、様々な取り組みが紹介されています。
On Bypassing eBPF Security Monitoring
BPF を利用したセキュリティモニタリングツールが数多く提供されていますが、BPF をバイパスするさまざまな方法について紹介している記事です。
たとえば Teleport には BPF を使ってセッションで操作した内容をすべて記録する機能があるのですが、tmux でセッションを作った後に親のプロセスを終了させることで、セッションのプロセスが別の cgroup に付け替えられ、BPF による制限を回避できるようになるそうです。
あとがき
CNDT2022 の CFP が無事採択されました🎉
またサイボウズ sat さんの CNDT2022 と Kube Day Japan 2022 の CFP も採択されました。こちらも楽しみですね。
Discussion