1. Операторы k8s
2. Operator-sdk

Результат:

• Установите Istio с помощью инструмента istiocti, а также проверите его установка и базовую конфигурацию сервисов Istio
• Настроите шлюз Gateway, DestinationRule и VirtualService в Istio для маршрутизации трафика к нескольким уникальным сервисам Kubernetes-кластере, каждый из которых имеет свой уникальный вывод
• Используете ServiceEntry для добавления внешних сервисов и прокси-контейнер Sidecar для управления видимостью трафика между сервисами в Kubernetes-кластере
• Развернете тестовые сервисы, настроите отказоустойчивость и проведете тестирование с помощью команд в терминале проверки тайм-аута создадите искусственную задержку на одном из сервисов

Дополнительно:
Мониторинг и трассировка сервисов с Istio
Результат: примените Kiali для визуализации взаимодействий между сервисами, чтобы наблюдать за сетевым трафиком в кластере Kubernetes
Безопасность в Kubernetes c Istio
Результат: поработаете с аутентификацией запросов (Request Authentication) для проверки JWT-токенов и AuthorizationPolicy для контроля доступа к сервисам
Развёртывание по канареечным методам и А/Б (Canary and A/B Deployments)
Результат: реализуете А/В и канареечного тестирования с помощью возможностей Istio

Восемь заданий повторяют ситуации, с которыми сталкивается инженер в работе: от вылетевшей ноды из-за сертификатов до точечного mTLS через Istio. Каждое задание — сломанный кластер, который нужно починить руками.

1. Рабочая нода отвалилась от кластера, и причина — в сертификатах. Нужно разобраться, что именно сломалось, и вернуть ноду в строй, не трогая кластер целиком.

2. Пользователям и приложениям нужен доступ к кластеру без общего admin-конфига. Выпускаете персональные сертификаты через CSR, проверяете их работу, а затем настраиваете ServiceAccount с правами только на нужный ресурс.

3. Приложение с фронтендом, бэкендом и базой работает нестабильно — бэкенд то и дело перезапускается. Ищете причину в сетевых политиках между namespace и чините её.

4. Одним namespace нужны жёсткие ограничения безопасности, другим — почти никаких. Настраиваете три уровня Pod Security Admission и проверяете, какие поды кластер пропустит, а какие заблокирует.

5. Секреты в etcd лежат открытым текстом — это нужно исправить. Включаете шифрование, перешифровываете уже существующие секреты и убеждаетесь, что plaintext нигде не остался.

6. Новую версию приложения нужно показать не всем сразу. Настраиваете два деплоймента и маршрутизацию через Ingress так, чтобы новую версию видел только нужный трафик.

7. Нагрузка скачет, а ресурсы выделены на глаз. Поднимаете metrics-server, настраиваете автоскейлинг по CPU и проверяете, что он реально отрабатывает под нагрузкой.

8. Часть трафика между сервисами нужно зашифровать, а часть — пока нет. Разворачиваете Istio и настраиваете mTLS точечно, по namespace.