Личная база знаний · DevOps
Систематизирую практики.
Внедряю в работу.
devops-kb — персональная карта лучших DevOps-практик. Каждая карточка устроена одинаково: проблема → решение → пример → статус внедрения. Работает, пока применяется.
Практики
40 карточек: 11 изучено, 29 не изучено. Проблема, решение, пример и критерий.
Находки
42 репозитория в трёх подборках: DevOps, Platform/DevSecOps, MLOps/LLMOps и ИИ-инструменты.
Дайджест
Главное за неделю: безопасность, TLS, Linux и AI-инфраструктура — и что сделать у себя.
Новые практики · 29 октября 2026
21 карточка: DevOps, Platform/DevSecOps, MLOps/LLMOps и ИИ-инструменты.
Renovate для GitLab
MR с обновлениями зависимостей и образов по digest, по расписанию.
Не изученоgitlab-ci-local
Прогнать job'ы .gitlab-ci.yml локально до push.
Не изученоOpenSSF Scorecard
Оценить репозиторий: закрепление зависимостей, опасные workflow, сопровождение.
Не изученоagent-scan
Проверить MCP-серверы и skills до установки.
Не изученоAnsible-lint + Molecule
Линтер по профилям и тест роли: converge, idempotence, verify.
Не изученоCrowdSec для VPS
Обнаружение атак по логам Nginx и sshd, блокировка через bouncer.
Не изученоzizmor
Найти опасные триггеры, незакреплённые actions и лишние права в GitHub Actions.
Не изученоGrype по SBOM
Искать CVE в сохранённом SBOM без пересборки образа.
Не изученоLiteLLM
Единый OpenAI-совместимый шлюз: ключи, бюджеты, локальные и облачные модели.
Не изученоLangfuse
Трейсы, токены и стоимость запросов к LLM.
Не изученоpromptfoo + garak
Регрессионные тесты промптов в CI и сканирование уязвимостей модели.
Не изученоMLOps Zoomcamp
Учебный трек: MLflow, деплой и мониторинг моделей, CI/CD для ML.
Не изученоAgent Skills
Оформить повторяемую процедуру как skill для ИИ-агента.
Не изученоBackstage
Каталог сервисов, шаблоны и TechDocs во внутреннем портале.
Не изученоvLLM
Свой inference-сервер с OpenAI-совместимым API.
Не изученоKubernetes MCP только на чтение
Доступ агента к кластеру: read_only, роль view, запрет Secret.
Не изученоHolmesGPT
ИИ-разбор алертов Prometheus и Alertmanager.
Не изученоagency-agents
Каркасы ролей для субагентов под свой стек.
Не изученоConftest
Политики на Rego для YAML и других конфигов.
Не изученоSloth: SLO
SLO и алерты по расходу бюджета ошибок для Prometheus.
Не изученоCosign
Подписывать образы и проверять подпись перед деплоем.
Не изученоПрактики · 11 октября 2026
Restic: учение восстановления
Проверить снимок и восстановить данные в отдельный каталог.
Не изученоHealthchecks для cron
Получить уведомление, если задание завершилось ошибкой или не запустилось.
Не изученоПроверка HTTP и TLS
Проверять публичный сайт, сертификат и доступность самой пробы.
Не изученоGoss после деплоя
Проверить сервисы, конфиги и HTTP-ответы на VPS.
Не изученоActionlint + ShellCheck
Проверить workflow и shell-скрипты до запуска CI.
Не изученоKubeconform для манифестов
Проверить отрендеренные ресурсы по схеме целевого Kubernetes.
Не изученоSyft: SBOM для образа
Сохранить состав релиза и связать отчёт с конкретным образом.
Не изученоSOPS + age для секретов
Хранить зашифрованные конфиги в Git, а ключи — отдельно.
Не изученоИзучено
ss -tulpan вместо netstat
Современная замена netstat для сокетов и процессов. В десятки раз быстрее на нагруженных хостах.
ИзученоHadolint в pre-commit
Автоматическая валидация Dockerfile до коммита: apt без --no-install-recommends, pin-версии, безопасные USER.
ArgoCD app-of-apps pattern
Один корневой Application управляет десятком дочерних. GitOps-состояние кластера — в одном репозитории.
ИзученоTerragrunt для DRY-модулей
Один Terraform-модуль — десятки окружений без копипасты. terragrunt.hcl + include.
Four Golden Signals
Latency · Traffic · Errors · Saturation — минимальный обязательный дашборд для любого сервиса. По SRE-книге Google.
ИзученоTrivy-сканирование образов в CI
Билд падает на HIGH/CRITICAL CVE до пуша в registry — уязвимости чинятся, а не накапливаются.
Изученоpre-commit для IaC
tflint · yamllint · detect-secrets в одном .pre-commit-config.yaml — локально и в CI.
Prometheus recording rules
Тяжёлые PromQL пересчитываются в фоне — дашборды открываются за миллисекунды, не за 15 секунд.
ИзученоUSE-метод для capacity
Utilization · Saturation · Errors по каждому ресурсу. Bottleneck виден за минуту, без «давайте добавим нод».
Изученоkube-bench · CIS Benchmark
Автоматическая проверка кластера по 100+ пунктам CIS Kubernetes. Job в кластере, отчёт в Slack.
ИзученоNginx TLS hardening
Один tls.conf — TLS 1.2/1.3, HSTS, OCSP stapling. SSL Labs A+ на всех server-блоках.
Ключевые принципы
Практичность
Только то, что реально применимо в работе — без теории ради теории.
Пробелы первее
Начинаем с областей, где знаний не хватает больше всего.
Применил = окупил
Карточка ценна только после внедрения, а не после прочтения.