Quiz : Kapsule, Kubernetes managé chez Scaleway

Les charges de travail, le RBAC, les NetworkPolicies, la taille des pools, les sauvegardes de vos données, et le calendrier des mises à jour. Scaleway exploite le plan de contrôle, les modules système, les images de nœuds et les intégrations. Ce que vous modifiez dans kube-system devient le vôtre. Leçon 1.

Le réseau privé de rattachement, le plugin réseau (Cilium par défaut, ou Calico), les plages d'adresses des pods et des Services, et les options du plan de contrôle fixées à la création. Un plan d'adressage se décide donc avant, en évitant les chevauchements. Leçon 2.

La liste d'adresses autorisées filtre avant l'authentification : une adresse non autorisée ne reçoit aucune réponse, d'où le délai d'attente. set remplace toutes les règles : vérifiez que votre adresse (et celle des nœuds et du pipeline) y figure. Leçons 2 et 5.

Un pool est dans une seule zone : on crée un pool par zone, avec les mêmes étiquettes, et l'on répartit les pods avec des contraintes de répartition par zone. Leçons 3 et 8.

Sur des pods Pending faute de place, évaluée d'après leurs requests (pas leur consommation réelle). Il retire un nœud sous-utilisé (par défaut moins de 50 % pendant 10 minutes) si ses pods peuvent être déplacés. Des requests justes sont la condition d'un autoscaling utile. Leçon 3.

Sans indication, l'adresse du répartiteur est éphémère : elle disparaît avec le Service, et vos enregistrements DNS pointeraient dans le vide après une recréation. Une IP flexible réservée, désignée par l'annotation service.beta.kubernetes.io/scw-loadbalancer-ip-ids, survit au Service. Leçon 4.

Non : le Block Storage est en ReadWriteOnce, attaché à un seul nœud et lié à sa zone. Pour partager en écriture : File Storage par son pilote CSI (avec les conditions documentées), ou le stockage objet par l'application. Leçon 4.

Par des groupes : les jeux de permissions IAM font apparaître des groupes dans l'identité Kubernetes (scaleway:cluster-read, scaleway:cluster-write, ou system:masters), et chaque groupe IAM devient scaleway:group:<ID>. Des RoleBinding par espace de noms donnent ensuite les droits fins à ces groupes. Leçon 5.

Une application IAM dédiée à cet usage, avec une politique minimale, une clé qui expire, rangée dans Secret Manager et livrée dans un Secret du seul espace de noms consommateur (External Secrets), et une rotation planifiée. Leçon 5.

Il le monte d'office vers une version supportée, après notification. La mise à jour automatique ne couvre que les correctifs de la version mineure courante. Il faut donc monter soi-même, une mineure à la fois, d'abord en préproduction. Leçon 6.

Parce que les nœuds se paient selon ce que les pods réservent (requests), pas ce qu'ils utilisent : des requests surévaluées font ajouter des nœuds inutiles. On compare kubectl top aux requests, on ajuste, en gardant de la marge pour la perte d'un nœud. Les répartiteurs, volumes, IP et journaux ingérés s'y ajoutent. Leçon 7.

L'état contient le kubeconfig avec son jeton, même marqué sensible : quiconque lit l'état a un accès d'administrateur au cluster. On protège l'état comme un secret d'administrateur, et l'on n'expose jamais le kubeconfig en output. Leçon 8.