CNCF опублікувала посібник про безпечний самостійний доступ орендарів Kubernetes до своїх метрик GPU. Схема не потребує нового стека метрик і дає кожній команді безпечний самостійний доступ до її метрик.

Схема ставить перед спільним Prometheus проксі, який визначає орендаря, обмежує кожен запит його простором імен і повертає дозволені результати. Проксі може копіювати вибрані метрики в окремий Prometheus орендаря для його панелей та сповіщень.

Щоб обмежити запити, автори використовують prom-label-proxy, компонент, який додає до кожного запиту обмеження за простором імен.

Перевірка тверджень:

  • CNCF опублікувала посібник про безпечний самостійний доступ орендарів Kubernetes до своїх метрик GPU. (підтверджено самою публікацією: доказ; «Whose GPUs are these, anyway? Secure, self-service metrics for multi-tenant Kubernetes»)
  • Схема не потребує нового стека метрик і дає кожній команді безпечний самостійний доступ до її метрик. (підтверджено самою публікацією: доказ; «how we gave every team a safe, self-service view into their own metrics without handing them the keys to everyone else’s. No new metrics stack»)
  • Схема ставить проксі перед спільним Prometheus. (підтверджено самою публікацією: доказ; «We needed a thin, tenant-aware layer in front of the one we already had.»)
  • Проксі визначає орендаря, обмежує кожен запит його простором імен і повертає дозволені результати. (підтверджено самою публікацією: доказ; «Identify: Authenticate the caller and establish which tenant they are. Isolate: Restrict every query to that tenant’s namespace, enforced below the query language so it can’t be bypassed. Deliver: Optionally copy a curated slice of each tenant’s metrics into their own small Prometheus»)
  • Проксі може копіювати вибрані метрики в окремий Prometheus орендаря для його панелей та сповіщень. (підтверджено самою публікацією: доказ; «Optionally copy a curated slice of each tenant’s metrics into their own small Prometheus, so their dashboards and alerts run against a store they own.»)
  • prom-label-proxy додає до кожного запиту обмеження за простором імен. (підтверджено самою публікацією: доказ; «it rewrites every incoming query to inject a namespace matcher»)

Першоджерела:

оцінка 67.5 · тип guide · ревізія 1 · історії st-1fin977