Gesaan dan konteks
Platform operasi memerlukan log systemd daripada nod Kubernetes untuk penyahpepijatan tetapi tidak boleh mendedahkan sistem fail nod kepada penyewa (tenants). Terangkan batasan NodeLogQuery yang stabil dalam Kubernetes v1.36, kawalan akses, parameter pertanyaan, penomboran halaman (pagination), pengehadan kadar (rate limiting), dan perkara yang perlu dilakukan apabila nod tidak dapat dicapai atau hasilnya terlalu besar.
Perkara yang dinilai oleh penemu duga
- Membezakan NodeLogQuery daripada membaca fail nod, log kontena, dan sistem pengelogan berpusat.
- Menerangkan
enableSystemLogQuery, pengesahan dan kebenaran Kubelet, serta pengasingan penyewa. - Mempertimbangkan julat masa, tahap keterukan (severity), saiz output, batas masa (deadlines), dan had keserentakan.
- Menyediakan aliran kerja operasi yang boleh dicerap (observable), boleh diaudit, dan boleh diundur balik (reversible).
Soalan penjelasan untuk ditanya
- Adakah sasaran tersebut perkhidmatan nod, log kernel, atau stdout/stderr Pod? Kesemuanya mempunyai titik masuk yang berbeza.
- Adakah pemanggil merupakan pentadbir kluster, SRE bertugas (on-call), atau platform layan diri penyewa?
- Adakah pertanyaan merentasi nod, julat panjang, atau ikutan langsung (live-follow) diperlukan? Ia mempengaruhi beban nod.
- Adakah sistem pengumpulan log sudah tersedia untuk carian sejarah?
Rangka jawapan 30 saat
Tetapkan batasan terlebih dahulu: NodeLogQuery ialah keupayaan log nod Kubelet yang terkawal, bukan akses fail sewenang-wenangnya. Kemudian berikan alirannya: sahkan identiti dan kebenaran pemanggil, sahkan skop nod dan pertanyaan, biarkan Kubelet memanggil antara muka log nod, dan kembalikan hasil yang terhad. Akhiri dengan kawalan perlindungan (guardrails): dayakan enableSystemLogQuery, hadkan masa, baris, bait, keserentakan, dan batas masa; hantar carian sejarah ke log berpusat; serta audit dan beri amaran terhadap permintaan yang tidak normal.
Analisis mendalam langkah demi langkah
1. Tentukan sumber log dan batasan keupayaan
NodeLogQuery menyasarkan log sistem nod seperti systemd dan log kernel. Stdout/stderr Pod harus menggunakan pengelogan kontena atau pengumpul berpusat. Antara muka pertanyaan tidak boleh menerima laluan sistem fail sewenang-wenangnya, membaca direktori kelayakan, atau memintas kebenaran Kubelet. Penyewa harus menerima peristiwa nod yang ditapis atau agregat, manakala log nod mentah kekal terhad kepada peranan SRE yang terkawal.
2. Sahkan, beri kebenaran, dan asingkan penyewa
Titik akhir HTTPS Kubelet mengesahkan klien sebelum menilai atribut permintaan. API Server atau proksi operasi menggunakan identiti khas yang peraturannya terhad kepada keupayaan log nod yang dibenarkan; penyewa tidak menerima nodes/proxy atau akses luas yang setara. Platform ini juga mengesahkan ikatan penyewa-ke-nod supaya perubahan nama nod atau label tidak boleh mencapai nod penyewa lain.
3. Hadkan pertanyaan dan lindungi sumber
Wajibkan nod, unit perkhidmatan, julat masa, dan tahap keterukan yang jelas, dengan tetingkap lalai yang pendek. Tetapkan tempoh maksimum, bait yang dikembalikan, baris, keserentakan, dan kadar bagi setiap penyewa. Apabila had dicapai, kembalikan token halaman yang boleh disambung semula atau ralat yang jelas. Penstriman boleh diterima, tetapi pemutusan sambungan, batas masa, atau had maksimum mesti melepaskan sumber Kubelet dan proksi.
4. Cerap, kendalikan kegagalan, dan undur balik
Rekod identiti pemanggil, nod, ringkasan parameter, masa mula dan tamat, bait yang dikembalikan, sebab pemotongan (truncation), dan keputusan kebenaran; jangan salin kandungan log ke dalam aliran audit. Gagal dengan cepat (fail fast) apabila nod tidak dapat dicapai dan syorkan log berpusat. Cetuskan pemutus litar (circuit breaker) dan beri amaran apabila Kubelet terlebih beban. NodeLogQuery adalah stabil dan didayakan secara lalai dalam v1.36, manakala enableSystemLogQuery kekal sebagai tetapan operasi; lancarkan kepada nod kenari dan kekalkan laluan penyahdayaan.
Jawapan model
Saya akan menjadikan NodeLogQuery sebagai antara muka diagnostik nod yang terkawal, bukan pelayar fail. Mula-mula asingkan log sistem, log kontena, dan carian sejarah berpusat. Pemanggil disahkan identiti dan kebenarannya melalui Kubelet dan hanya boleh menyoal nod dan jenis log yang diluluskan. Penyewa tidak menerima akses luas nodes/proxy, dan platform mengesahkan ikatan penyewa-ke-nod.
Setiap pertanyaan merangkumi nod, unit perkhidmatan, julat masa, dan tahap keterukan dengan tetingkap lalai yang pendek. Kuat-kuasakan had bait, baris, keserentakan, kadar, dan batas masa; strim atau nomborkan halaman hasil dan laporkan pemotongan. Audit menyimpan identiti, nod, ringkasan parameter, tempoh, saiz, dan keputusan, bukannya badan log. Nod yang tidak dapat dicapai dan Kubelet yang terlebih beban akan gagal dengan cepat, mencetuskan pemutus litar, dan mengarahkan pengguna ke log berpusat. NodeLogQuery adalah stabil dan aktif secara lalai dalam v1.36, tetapi saya akan menguji enableSystemLogQuery secara kenari dan mengekalkan pilihan pengunduran balik.
Kesilapan lazim
- Menganggap NodeLogQuery sebagai akses fail nod sewenang-wenangnya.
- Memberikan
nodes/proxykepada penyewa dan mengabaikan pengasingan nod dan penyewa. - Membenarkan julat masa, output, atau keserentakan tanpa had.
- Menulis badan log ke dalam aliran audit dan menyebabkan kebocoran data sensitif kali kedua.
- Mencuba semula nod yang tidak dapat dicapai secara berterusan dan meningkatkan beban satah kawalan atau Kubelet.
Soalan susulan dan respons
Soalan susulan 1: Mengapa tidak menghantar setiap pertanyaan sejarah melalui NodeLogQuery?
Titik akhir nod sesuai untuk diagnosis hampir masa nyata (near-real-time). Pengumpulan berpusat harus mengendalikan carian sejarah, pengindeksan, pengasingan penyewa, dan pengekalan tanpa menggunakan sumber Kubelet untuk bacaan yang panjang.
Soalan susulan 2: Bagaimanakah anda membuktikan bahawa pertanyaan tidak boleh merentasi sempadan penyewa?
Rekod identiti, nod, sumber, dan keputusan bagi setiap permintaan. Gunakan ujian sintetik untuk membuktikan bahawa nod yang dibenarkan berjaya dan nod penyewa lain dinafikan, serta sahkan bahawa proksi menolak laluan sewenang-wenangnya dan parameter nod yang tidak dibenarkan.
Soalan susulan 3: Bagaimana jika log mengandungi kelayakan keselamatan?
Jangan bergantung pada penyuntingan (redaction) berasaskan tekaan yang tidak boleh diubah pada respons. Kurangkan skop pertanyaan, peranan, dan pengekalan, serta lakukan penyuntingan berstruktur semasa pengumpulan. Batalkan akses yang terjejas dan putarkan kelayakan apabila medan berisiko tinggi ditemui.