shell-operator v1.0.0: долгожданный релиз нашего проекта для Kubernetes-операторов09.04.2021 13:17

Open Source-проект shell-operator был создан с целью упростить создание полноценных Kubernetes-операторов и представлен нами два года назад. За минувшее время он прошёл длинный путь, оброс интересными функциями и, как мы уже недавно писали, созрел для использования в production*.

Несмотря на это, его версия, долгое время «блуждавшая» в диапазоне бета- и RC-релизов будущей v1.0.0, вносила смуту для сторонних наблюдателей (и пользователей). С этим финальным релизом shell-operator мы ликвидируем это недоразумение, ещё более официально объявляя о зрелости проекта, а заодно — принеся в него новые возможности.

* И даже более того: он (а точнее — его «старший брат», addon-operator) является одним из кирпичиков для нашей внутренней Kubernetes-платформы Deckhouse, которая станет доступной публично уже в мае.

Для знакомства с тем, как устроен shell-operator и как с ним работать, рекомендуем доклад на KubeCon EU»2020, а эта статья сфокусирована только на последних новшествах (с момента нашей январской публикации).

Главные изменения в v1.0.0

Релиз v1.0.0 не стал формальным событием для проекта shell-operator. Он также принёс весьма значимые обновления, которыми уже сегодня можно воспользоваться.

Object Patcher Framework

Мы пишем много хуков для shell-operator (и addon-operator) и давно столкнулись с тем, что побочные эффекты в хуках мешают тестированию, а иногда — даже пониманию логики работы хука.

Чтобы получить хуки без побочных эффектов — »чистые хуки», которые взаимодействуют только с shell-operator, — мы начали с устранения вызовов kubectl.

Для замены «читающим» вызовам kubectl в shell-operator появились настройки includeSnapshotsFrom и group, а результат работы выражения jqFilter доступен в объектах в binding context — таким образом можно получать нужные объекты из кластера через файл и использовать их в работе хука. Эти возможности были добавлены в версию beta.6 и уже с тех пор мы пишем хуки без «читающих» вызовов kubectl.

Вторую часть — замену «пишущим» вызовам kubectl — мы реализовали как внутреннюю библиотеку и пожили с ней какое-то время. И вот в версии v1.0.0 появился так называемый Object Patcher Framework. Он представляет возможность вернуть из хука декларативный набор действий над объектами в кластере.

Как это работает? Допустим, хук создаёт сертификат и помещает его в секрет. Это можно сделать таким вызовом kubectl:

cat <

Вроде не сложно, однако:

• хорошо бы проверить, что такого секрета не существует, а если существует, то обновить его ключи;

• написать тест для такого хука сложно, т.к. нужен кластер и проверка состояния кластера после работы хука. Либо нужно подменить kubectl на что-то управляемое из тестов.

Как эти задачи решает Object Patcher Framework? Согласно документации, чтобы заменить такой вызов kubectl, нужно записать в файл $KUBERNETES_PATCH_PATH действие с операцией CreateOrUpdate:  

cat < $KUBERNETES_PATCH_PATH
---
operation: CreateOrUpdate
object:
  apiVersion: v1
  kind: Secret
  metadata:
    name: certs
    namespace: default
  type: kubernetes.io/tls    
  data:
    tls.crt: |
      ${CERT}
    tls.key: |
      ${KEY}
EOF

Теперь shell-operator попытается создать секрет, а если секрет уже существует, то обновит его. И тестировать хук стало проще: в тесте достаточно проверить содержимое файла $KUBERNETES_PATCH_PATH.

Подытоживая это краткое описание Object Patcher Framework, можно сказать, что начиная с shell-operator v1.0.0 хуки можно разрабатывать без вызовов kubectl (и даже убрать этот файл из образа!).

cat <