Alle posts van Wander

Als je een systeem hebt waar gebruikers van een afstand op mogen inloggen kan het handig zijn vanuit security of resource optiek om ze te beperken tot wat ze mogen doen. Hier zijn een aantal traditionele mogelijkheden voor, maar tegenwoordig kun je hun sessies ook beperken tot het draaien in een container. Dit heeft een aantal voordelen ten opzichte van traditionele methodes, zo komen bijvoorbeeld alle sessies uit in dezelfde container, en kan het verkrijgen van extra rechten permanent dichtgezet worden.

Als je Fedora Silverblue draait (of een andere rpm-ostree gebaseerde spin) is het upgraden tussen major versies van Fedora een snel en relatief pijnloos proces van slechts een paar minuten.

Af en toe kan het handig zijn om snel een grafisch overzicht te hebben van hoe je systeem resources gebruikt worden, zonder tegelijk op de CLI naar tools als top en ps te grijpen. Een recente toevoeging aan het landschap van tooltjes die dat bieden is “Resources”, een moderne Gnome applicatie die verschillende systeem statistieken in een aantrekkelijk jasje verpakt.

Wanneer je bezig gaat met SSL certificaten op OpenShift kom je al snel uit bij cert-manager, een operator die certificaten kan laten (genereren en) ondertekenen door een aantal verschillende vormen van Certificate Authorities. Een nadeel aan cert-manager is dat het niet automatisch certificaten kan genereren voor OpenShift Routes, maar wel voor reguliere Ingress objecten.

Regelmatig terugkerende taken op een container platform kun je op Kubernetes inregelen met een CronJob. Maar als je die taak elke minuut gaat uitvoeren levert dat misschien een belastingspatroon op op je cluster dat ongewenst is, helemaal als de taak veel resources als externe filesystemen nodig heeft. Nu zou je natuurlijk een traditionele Cron daemon in een container kunnen draaien, maar dan kom je er al snel achter dat deze graag als root draaien, met setgid en setuid permissies, en dat vind een container platform als OpenShift weer minder grappig zonder dat je SecurityContextConstraints met veel rechten gaat uitdelen. Ook zul je een init systeem in je container moeten stoppen omdat anders mogelijke zombie processen niet goed opgeruimd worden, en voor je het weet ben je een half OS in je container aan het stoppen. Ook als je je taken vaker dan eens per minuut wilt draaien, of als je specifieke scheduling wensen hebt zoals “elke derde dinsdag van September” voldoet een traditionele Cron daemon of een Kubernetes CronJob al snel niet meer.

Er zijn een hoop momenten waarop je data wilt delen met één of meer virtuele machines. Traditioneel gezien betekende dit een netwerk-share opzetten en die aan je VMs koppelen, met alle overhead en security aspecten van dien.

Volledige disk-encryptie op Linux systemen kan al jaren via het gebruik van Linux Unified Key Setup (LUKS). Dit zorgt ervoor dat er tijdens het opstarten van een systeem om een passphrase wordt gevraagd waarmee (een van) de encryptie-key(s) kan worden ontsleuteld, en de rest is transparant voor de eindgebruiker. In sommige gevallen kan het handig zijn als het boot-proces niet wordt onderbroken, bijvoorbeeld bij het herstarten van servers op afstand. Om dit te bereiken kun je grijpen naar tools als clevis en tang, die de encryptie keys onder bepaalde voorwaarden via het netwerk kunnen vrijgeven, maar je zou ook gebruik kunnen maken van de Trusted Platform Module (TPM) op moderne hardware.

Een web-applicatie bouwen kun je tegenwoordig in een heleboel verschillende talen (en frameworks) doen. Als ontwikkelaar heb je de keuze uit zoveel verschillende opties dat je toolset kiezen al een eerste probleem om op te lossen kan zijn. Dat probleem hebben we niet altijd gehad. Decennialang is de keuze voor een taal duidelijk geweest: Wetenschappelijke problemen in Fortran, Business-Applicaties in Cobol. Ook tegenwoordig kom je nog op een hoop verschillende plekken Cobol applicaties tegen, vaak in de back-end of de batch-verwerking bij grotere administratieve partijen. #HCS #SudoFriday #Cobol #webapp #httpd #cgi #isitfriday

Je kunt al jaren lang je Linux systemen via een webbrowser managen met Cockpit, een handige tool die een aantal beheerszaken flink eenvoudiger maakt. Maar tot nu toe heb je altijd twee dingen nodig gehad: Een systeem met de Cockpit Webserver (cockpit-ws) geïnstalleerd om naar toe te verbinden met je browser, en de cockit-bridge dienst geïnstalleerd op elk systeem dat je wilt managen.