CNCF опубликовала руководство о безопасном самостоятельном доступе арендаторов Kubernetes к своим метрикам GPU. Схема не требует нового стека метрик и даёт каждой команде безопасный самостоятельный доступ к её метрикам.

Схема ставит перед общим Prometheus прокси, который определяет арендатора, ограничивает каждый запрос его пространством имён и возвращает разрешённые результаты. Прокси может копировать выбранные метрики в отдельный Prometheus арендатора для его панелей и оповещений.

Для ограничения запросов авторы используют prom-label-proxy, компонент, который добавляет к каждому запросу ограничение по пространству имён.

Проверка утверждений:

  • CNCF опубликовала руководство о безопасном самостоятельном доступе арендаторов Kubernetes к своим метрикам GPU. (подтверждено самой публикацией: доказательство; «Whose GPUs are these, anyway? Secure, self-service metrics for multi-tenant Kubernetes»)
  • Схема не требует нового стека метрик и даёт каждой команде безопасный самостоятельный доступ к её метрикам. (подтверждено самой публикацией: доказательство; «how we gave every team a safe, self-service view into their own metrics without handing them the keys to everyone else’s. No new metrics stack»)
  • Схема ставит прокси перед общим Prometheus. (подтверждено самой публикацией: доказательство; «We needed a thin, tenant-aware layer in front of the one we already had.»)
  • Прокси определяет арендатора, ограничивает каждый запрос его пространством имён и возвращает разрешённые результаты. (подтверждено самой публикацией: доказательство; «Identify: Authenticate the caller and establish which tenant they are. Isolate: Restrict every query to that tenant’s namespace, enforced below the query language so it can’t be bypassed. Deliver: Optionally copy a curated slice of each tenant’s metrics into their own small Prometheus»)
  • Прокси может копировать выбранные метрики в отдельный Prometheus арендатора для его панелей и оповещений. (подтверждено самой публикацией: доказательство; «Optionally copy a curated slice of each tenant’s metrics into their own small Prometheus, so their dashboards and alerts run against a store they own.»)
  • prom-label-proxy добавляет к каждому запросу ограничение по пространству имён. (подтверждено самой публикацией: доказательство; «it rewrites every incoming query to inject a namespace matcher»)

Первоисточники:

оценка 67.5 · тип guide · ревизия 1 · истории st-1fin977