CNCF публикува ръководство за безопасен самостоятелен достъп на Kubernetes наематели до собствените им GPU метрики. Схемата не изисква нов стек за метрики и дава на всеки екип безопасен самостоятелен достъп до неговите метрики.

Схемата поставя пред общия Prometheus прокси, който определя наемателя, ограничава всяка заявка до неговото пространство от имена и връща разрешените резултати. Проксито може да копира избрани метрики в отделен Prometheus на наемателя за неговите табла и известия.

За ограничаване на заявките авторите използват prom-label-proxy, компонент, който добавя към всяка заявка ограничение по пространство от имена.

Проверка на твърденията:

  • CNCF публикува ръководство за безопасен самостоятелен достъп на Kubernetes наематели до собствените им GPU метрики. (потвърдено от самата публикация: доказателство; «Whose GPUs are these, anyway? Secure, self-service metrics for multi-tenant Kubernetes»)
  • Схемата не изисква нов стек за метрики и дава на всеки екип безопасен самостоятелен достъп до неговите метрики. (потвърдено от самата публикация: доказателство; «how we gave every team a safe, self-service view into their own metrics without handing them the keys to everyone else’s. No new metrics stack»)
  • Схемата поставя прокси пред общия Prometheus. (потвърдено от самата публикация: доказателство; «We needed a thin, tenant-aware layer in front of the one we already had.»)
  • Проксито определя наемателя, ограничава всяка заявка до неговото пространство от имена и връща разрешените резултати. (потвърдено от самата публикация: доказателство; «Identify: Authenticate the caller and establish which tenant they are. Isolate: Restrict every query to that tenant’s namespace, enforced below the query language so it can’t be bypassed. Deliver: Optionally copy a curated slice of each tenant’s metrics into their own small Prometheus»)
  • Проксито може да копира избрани метрики в отделен Prometheus на наемателя за неговите табла и известия. (потвърдено от самата публикация: доказателство; «Optionally copy a curated slice of each tenant’s metrics into their own small Prometheus, so their dashboards and alerts run against a store they own.»)
  • prom-label-proxy добавя към всяка заявка ограничение по пространство от имена. (потвърдено от самата публикация: доказателство; «it rewrites every incoming query to inject a namespace matcher»)

Първоизточници:

оценка 67.5 · тип guide · ревизия 1 · истории st-1fin977