Завершающий трек этапа III. Четыре предыдущих трека закончились одинаково: «включите правило, начиная с наблюдения». Правил накопилось несколько десятков — они живут в вики, в головах ревьюеров и в трёх разных системах, никем не тестируются и расходятся между собой. Этот трек наводит порядок: требования становятся кодом с репозиторием, тестами, версиями и владельцем, применяются из одного определения в конвейере и в кластере, а поверх ставится наблюдение за поведением — потому что ни одна проверка на входе не увидит того, что началось после запуска.
Kubernetes и Безопасность Kubernetes (контроль допуска, уровни запуска, аудит), Supply chain (проверки в конвейере, блокировка по разнице), Zero Trust (наименьшие привилегии, исключения со сроком, обнаружение), CI/CD (конвейер, окружения, сходимость состояния) и IaC (описания инфраструктуры и план).
Структура трека
Лучшая литература к треку
- Документация Open Policy Agent — модель вычисления правил, язык, тестирование политик и встраивание в конвейер и кластер.
- Документация Kyverno — проверка, изменение, генерация объектов и проверка подписей образов правилами в виде манифестов.
- Validating Admission Policy и язык выражений CEL — встроенные проверки кластера без внешнего обработчика.
- Правила Falco — язык правил обнаружения во время работы, приоритеты, исключения и работа с шумом.
- Conftest — запуск политик по манифестам, планам инфраструктуры и произвольным файлам в конвейере и локально.
Все мини-лабы выполняются локально и без установки движков: модель вычисления правила, сверка трёх реализаций одного требования на общих примерах, правило с полным набором тестов (включая «злые» случаи с подготовительными контейнерами и контроллерами), блокировка по разнице с отправной точкой, проверка плана инфраструктуры, цепочка «изменение → проверка → генерация», правила обнаружения по потоку событий, детектор расхождения состояний и движок реакции с предохранителем. Главная привычка трека: к каждому требованию задавать три вопроса — как это проверить машинно, где применять и как об этом узнает автор изменения.