Обычный Secret в Kubernetes — это base64, а не шифрование, и класть его в git нельзя. Разбираем два рабочих подхода для GitOps: Sealed Secrets (шифрование прямо в репозитории) и External Secrets Operator (подтягивание из Vault и облачных хранилищ), плюс ротацию и RBAC.
Как вообще работает сеть в Kubernetes, что даёт Cilium с eBPF-датаплейном, NetworkPolicy и Hubble — и главный вопрос: нужен ли вам service mesh или это лишний слой, за который вы платите сложностью без реальной выгоды.
Stateful-нагрузки ломают привычную модель «под — расходник». StatefulSet, стабильная идентичность, headless-сервис, PV/PVC/StorageClass и dynamic provisioning — и честный разговор о том, когда БД в кластере оправдана, а когда это боль на ровном месте.
Три механизма автоскейлинга в Kubernetes и как они уживаются: HPA по CPU/памяти и кастомным метрикам, VPA и его конфликт с HPA, KEDA для event-driven-нагрузок со scale-to-zero. Что выбирать под какую задачу.
requests/limits говорят «сколько», но не «куда» — а раскладку подов по узлам определяют другие рычаги: taints/tolerations (узел отталкивает поды), node/pod affinity и anti-affinity (тянуть к или разводить), topology spread (равномерно по зонам), priority и preemption (кого выселить под важный под). Как управлять размещением осознанно и не собрать все реплики в одной стойке
requests и limits — не одно и то же, и путаница между ними стоит дорого: CPU throttling там, где нагрузки нет, и OOMKill там, где памяти хватало. Разбираем QoS-классы, механику CFS и cgroups и как выставлять ресурсы по факту, а не наугад.
Что крутится, когда вы делаете kubectl apply: API server как единственная дверь к etcd, scheduler раскладывает поды по узлам, controller manager бесконечно сверяет желаемое с фактическим (reconciliation loop), kubelet на узле воплощает поды через CRI, а CNI/CSI дают им сеть и хранилище. Ментальная модель k8s как набора контроллеров вокруг декларативного состояния — фундамент под всю практику
Разбор четырёх отказов, случившихся при развёртывании Talos-кластера с нуля: дедлок helm –wait, незеркалированный реестр, переехавший чарт-репозиторий и PROXY protocol без прокси. Ни один не виден на работающем кластере, три из четырёх сломали бы восстановление прода. С разбором ложных гипотез и границей доказанного.
Gateway API — новый стандарт управления входящим трафиком в Kubernetes. Чем он отличается от Ingress, какие задачи решает лучше, как оценивать готовность реализаций к production и когда переход действительно оправдан.
Kubernetes в домашней лаборатории и небольших системах: когда он действительно полезен, какие задачи решает, где добавляет лишнюю сложность и как понять, нужен ли он именно вам
Ближайшие материалы, которые продолжают этот раздел.
Вводная статья про Talos как базу для Kubernetes-кластера и его отличия от привычных Linux-нод.
Когда ArgoCD действительно помогает даже в одном кластере, а когда GitOps превращается в лишнюю сложность.
