17. Virtualizatsiya, containerlar va DevOps — 15 ta savol-javob

Konteyner — host kernelini ulashadigan, lekin izolyatsiyalangan jarayon (yoki jarayonlar guruhi): u alohida mashina emas. VM esa gipervizor ustida o'z kerneli va to'liq OT bilan ishlaydi. Konteyner yengil, sekundlarda ishga tushadi va kam xotira oladi; izolyatsiyasi VM'nikidan zaifroq, chunki kernel umumiy. Linux konteynerlari Linux kernelini talab qiladi.

Namespaces (jarayon nimani ko'rishini izolyatsiya qiladi) va cgroups (jarayon qancha resurs olishini cheklaydi), bundan tashqari fayl tizimi qatlamlari (overlay), capabilities, seccomp va SELinux/AppArmor. Konteyner — shu mexanizmlar bilan o'ralgan oddiy jarayon: ps hostda uni oddiy jarayon sifatida ko'rsatadi.

pid (jarayonlar daraxti), net (tarmoq interfeyslari, portlar), mnt (mount nuqtalari), uts (hostname), ipc, user (UID moslashtirish) va cgroup. Har bir namespace bitta resurs turi uchun alohida ko'rinish beradi; masalan, konteynerda o'z jarayoni PID 1 bo'lib ko'rinadi, hostda esa boshqa raqam.

Control groups jarayonlar guruhi uchun CPU, xotira, I/O va jarayonlar sonini hisoblaydi va cheklaydi. Konteyner xotira chegarasidan oshsa, kernel OOM killer bilan uni o'ldiradi (OOMKilled). systemd ham xizmatlarni cgroups orqali kuzatadi va MemoryMax=, CPUQuota= kabi cheklovlarni shu orqali beradi.

Image — o'zgarmas, qatlamli shablon (dastur, kutubxonalar, sozlamalar). Container — image'dan ishga tushirilgan jarayon (instansiya) va uning yozish mumkin bo'lgan ustki qatlami. Bitta image'dan ko'p container ishga tushirish mumkin. Container o'chirilganda uning yozish qatlamidagi ma'lumot yo'qoladi.

Open Container Initiative — image formati va runtime (ishga tushirish) bo'yicha ochiq standartlar. Shu sabab Docker, Podman va boshqa vositalar bir xil image'larni ishlata oladi va bir-biriga qulflanib qolmaydi.

Docker — doimiy ishlaydigan root daemon (dockerd) modeli: barcha buyruqlar shu daemon orqali o'tadi. Podman — daemonsiz (har bir container oddiy jarayon sifatida), rootless rejimda root huquqisiz ishlay oladi, CLI Docker'ga deyarli mos. Rootless xavfsizlik jihatidan afzal: container buzilsa, hujumchi hostda root bo'lmaydi.

Container yozish qatlami vaqtinchalik: o'chirilsa, ma'lumot yo'qoladi. Volume (yoki bind mount) ma'lumotni container hayotidan tashqarida, hostda saqlaydi, bir nechta containerga ulash mumkin. Ma'lumotlar bazalari va yuklamalar volume'ga yoziladi. Bind mount hostdagi aniq yo'lni ulaydi (ruxsatlar va UID mosligiga e'tibor bering).

Dockerfile'ning har bir buyrug'i yangi qatlam yaratadi. Qatlam o'zgarmasa, kesh ishlatiladi; bir qatlam o'zgarsa, undan keyingilari qayta quriladi. Shu sabab kamdan-kam o'zgaradigan qadamlar (bog'liqliklarni o'rnatish) tepada, tez-tez o'zgaradigan (kodni nusxalash) pastda turadi. Qatlamga qo'yilgan maxfiy ma'lumot image tarixida qoladi, hatto keyin o'chirilsa ham.

Barcha containerlar bitta kernelni ulashadi: kernel zaifligi izolyatsiyani buzishi mumkin. Container ichida root bo'lsa va --privileged yoki ortiqcha capabilities berilgan bo'lsa, host uchun xavf yuqori. Himoya: rootless/non-root foydalanuvchi, minimal image, capabilities cheklash, read-only fayl tizimi, seccomp/AppArmor/SELinux va image'larni yangilab, skanerlab turish.

CI (uzluksiz integratsiya) — har bir o'zgarishda kodni avtomatik yig'ish va sinash; CD (yetkazib berish/joylashtirish) — tasdiqlangan o'zgarishni avtomatik tarqatish. Pipeline'ni bajaradigan runner'lar asosan Linux hostlar yoki containerlar; shell skriptlar, paket menejerlar, ruxsatlar va jurnallar kundalik ish. Linux bilimi pipeline xatolarini tashxislash uchun zarur.

Parol, token va kalitlar kodda yoki loglarda bo'lmasligi kerak. Ularni provayderning maxfiy ombori (secret store) yoki vault orqali ish vaqtida muhit o'zgaruvchisi sifatida uzatish, loglarda maskalash, imkon qadar qisqa muddatli va minimal huquqli tokenlar. Pipeline buzilsa, secrets eng qimmatli nishon bo'lgani uchun, fork va uchinchi tomon action'larga ishonchni cheklash zarur.

IaC — infratuzilmani qo'lda emas, kod (versiya nazoratidagi fayllar) orqali tavsiflash va boshqarish: takrorlanuvchan, tekshiriladigan va ko'rib chiqiladigan. Deklarativ yondashuv "qanday bo'lishi kerak"ni tasvirlaydi (Terraform), tizim farqni o'zi hisoblaydi. Imperativ yondashuv "nima qilish kerak"ni qadamlar bilan beradi (skript). Idempotentlik — takroriy ishga tushirish bir xil natija berishi.

Terraform — asosan infratuzilmani yaratish (cloud resurslar: serverlar, tarmoqlar) uchun deklarativ, holatni (state) saqlaydi. Ansible — mavjud serverlarni sozlash (paket, fayl, xizmat) uchun, agentsiz (SSH orqali) va YAML playbook'lar bilan ishlaydi. Ular ko'pincha birga ishlatiladi: Terraform serverni yaratadi, Ansible uni sozlaydi.

Drift — serverning haqiqiy holati kod bilan tavsiflangan holatdan qo'lda o'zgartirishlar tufayli uzoqlashishi. Oldini olish: qo'lda o'zgartirishni taqiqlash, o'zgarishlarni faqat kod orqali kiritish, muntazam solishtirish. Monitoring (metrikalar), logging (hodisalar) va alerting tizimi holatni ko'rinadigan qiladi; ularsiz avtomatlashtirish xatoni tez va keng tarqatadi, lekin payqamaydi.