5.1 Технические ошибки новичков #

# ❌ Плохие практики безопасности:

# Docker
docker run -v /:/host ubuntu  # Mount всей файловой системы
docker run --privileged ubuntu  # Полные права на хосте

# Kubernetes
apiVersion: v1
kind: Pod
spec:
  securityContext:
    runAsUser: 0  # Root user
    privileged: true  # Container может всё

# AWS IAM
{
  "Effect": "Allow",
  "Action": "*",
  "Resource": "*"
}  # Полные права на всё

# Docker security
docker_best_practices:
  - "Используйте non-root пользователя"
  - "Минимальные необходимые volumes"
  - "Read-only файловая система где возможно"
  - "Security scanning образов"

# Dockerfile
FROM alpine:3.15
RUN addgroup -g 1001 -S appuser && \
    adduser -S appuser -u 1001
USER appuser
COPY --chown=appuser:appuser app /app

# Kubernetes security
apiVersion: v1
kind: Pod
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1001
    fsGroup: 1001
  containers:
  - name: app
    securityContext:
      allowPrivilegeEscalation: false
      readOnlyRootFilesystem: true
      capabilities:
        drop:
        - ALL

# AWS IAM (конкретные права)
{
  "Effect": "Allow",
  "Action": [
    "s3:GetObject",
    "s3:PutObject"
  ],
  "Resource": "arn:aws:s3:::my-bucket/*"
}

# ❌ Опасные network практики:

# Открытые порты для всех
security_group_rule:
  type: "ingress"
  from_port: 22
  to_port: 22
  protocol: "tcp"
  cidr_blocks: ["0.0.0.0/0"]  # SSH для всего интернета!

# Kubernetes без Network Policies
# Все поды могут общаться с любыми подами

# ✅ Безопасные network конфигурации:
aws_security_best_practices:
  ssh_access:
    - "Ограничить SSH только для admin IP"
    - "Использовать VPN или bastion host"
    - "SSH keys вместо паролей"
  
  web_traffic:
    - "HTTPS только"
    - "Завершение SSL на балансировщике нагрузки"
    - "Security headers (HSTS, CSP)"

kubernetes_network_policies:
  example: |
    apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: deny-all-ingress
    spec:
      podSelector: {}
      policyTypes:
      - Ingress
      # Запретить весь входящий трафик по умолчанию
  
  specific_allow: |
    apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: allow-frontend-to-backend
    spec:
      podSelector:
        matchLabels:
          app: backend
      policyTypes:
      - Ingress
      ingress:
      - from:
        - podSelector:
            matchLabels:
              app: frontend
        ports:
        - protocol: TCP
          port: 8080

# ❌ Плохие практики мониторинга:

monitoring_antipatterns:
  reactive_monitoring:
    problem: "Мониторим только когда что-то сломалось"
    example: "Смотрим логи после падения продакшена"
    
  alert_fatigue:
    problem: "Слишком много неactionable алертов"
    example: "100+ алертов в день, 
              из которых 90% ложные срабатывания"
    
  vanity_metrics:
    problem: "Мониторим красивые, но бесполезные метрики"
    example: "CPU usage выглядит красиво, 
              но не говорит о user experience"
    
  no_sli_slo:
    problem: "Нет чётких определений 'работает/не работает'"
    example: "Непонятно, когда нужно реагировать на алерт"

# ✅ Правильная архитектура observability:
observability_best_practices:
  three_pillars:
    metrics:
      purpose: "Агрегированная информация о системе во времени"
      examples:
        - "Request rate, error rate, duration (RED method)"
        - "CPU, Memory, Disk, Network (USE method)"
        - "Business metrics (orders/minute, revenue/hour)"
      
    logs:
      purpose: "Детальная информация о конкретных событиях"
      structured_logging:
        example: |
          {
            "timestamp": "2024-01-15T10:30:00Z",
            "level": "ERROR",
            "service": "payment-service",
            "trace_id": "abc123",
            "user_id": "user456",
            "error": "Payment gateway timeout",
            "duration_ms": 5000
          }
      
    traces:
      purpose: "Путь запроса через distributed систему"
      example: |
        Frontend → API Gateway → Auth Service → 
          Payment Service → Database
        |-------|-----------|-----------|-------------|-----|
         50ms     100ms       200ms        3000ms     100ms
  
  golden_signals:
    latency: "Время ответа на запросы"
    traffic: "Количество запросов"
    errors: "Процент неуспешных запросов"
    saturation: "Насколько система близка к пределу"
  
  sli_slo_examples:
    availability_sli: "Процент successful HTTP requests 
                       за 5-минутный период"
    availability_slo: "99.9% availability за месяц"
    latency_sli: "95th percentile response time"
    latency_slo: "95% запросов должны обрабатываться < 200ms"

# ❌ Плохие CI/CD практики:

bad_pipeline_example:
  name: "Deploy to Production"
  on:
    push:
      branches: [main]
  jobs:
    deploy:
      runs-on: ubuntu-latest
      steps:
        - checkout: code
        - run: docker build -t app .
        - run: docker push app:latest  # Нет тестов!
        - run: kubectl apply -f k8s/   # Прямо в продакшен!

problems_with_bad_pipeline:
  - "Нет автоматических тестов"
  - "Нет code quality checks"
  - "Нет security scanning"
  - "Нет staging окружения"
  - "Нет возможности rollback"
  - "Нет approval process для продакшена"

# ✅ Правильный CI/CD pipeline:
proper_pipeline_structure:
  continuous_integration:
    triggers:
      - "Pull requests к main/develop"
      - "Push в feature branches"
    
    stages:
      1_code_quality:
        - "Linting (flake8, eslint, golangci-lint)"
        - "Code formatting (black, prettier, gofmt)"
        - "Static analysis (SonarQube, CodeClimate)"
        
      2_security_checks:
        - "Secret scanning (GitLeaks, TruffleHog)"
        - "Dependency vulnerability scan (Snyk, OWASP Dependency Check)"
        - "SAST (Static Application Security Testing)"
        
      3_testing:
        - "Unit tests с coverage reporting"
        - "Integration tests"
        - "API contract tests"
        - "Database migration tests"
        
      4_build_and_scan:
        - "Docker image build"
        - "Container vulnerability scanning (Trivy, Clair)"
        - "Image signing (Cosign)"
        
  continuous_deployment:
    staging_deployment:
      triggers: ["Merge to develop branch"]
      steps:
        - "Deploy to staging environment"
        - "Run smoke tests"
        - "Performance tests"
        - "E2E tests"
        
    production_deployment:
      triggers: ["Manual approval after staging tests pass"]
      strategies:
        blue_green:
          description: "Deploy to idle environment, switch traffic"
          rollback: "Instant - switch traffic back"
          
        canary:
          description: "Gradually route traffic to new version"
          example: "5% → 25% → 50% → 100%"
          
        rolling:
          description: "Replace instances one by one"
          use_case: "Kubernetes deployments"

# ❌ Плохие практики Docker

# Большие, небезопасные образы
FROM ubuntu:latest  # Большой размер, нестабильная версия
RUN apt-get update && apt-get install -y \
    python3 \
    python3-pip \
    vim \
    htop \
    curl \
    wget \
    # ... куча ненужных пакетов

COPY . /app  # Копируем всё, включая .git, node_modules
WORKDIR /app
RUN pip install -r requirements.txt

# Root user в контейнере
USER root  

# Secrets в образе
ENV API_KEY=secret123
ENV DB_PASSWORD=supersecret

CMD ["python3", "app.py"]

# ✅ Оптимизированный Dockerfile

# Multi-stage build
FROM python:3.9-alpine AS builder
WORKDIR /app

# Кеширование зависимостей
COPY requirements.txt .
RUN pip install --user --no-cache-dir -r requirements.txt

# Production stage
FROM python:3.9-alpine AS production

# Создание non-root пользователя
RUN addgroup -g 1001 -S appuser && \
    adduser -S appuser -u 1001

# Копирование только необходимого
COPY --from=builder /root/.local /home/appuser/.local
COPY --chown=appuser:appuser src/ /app/

# Security
USER appuser
WORKDIR /app

# Health check
HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 \
  CMD curl -f http://localhost:8080/health || exit 1

# Proper signal handling
CMD ["python", "app.py"]

# Результат:
# - Размер образа: ~50MB вместо 1GB+
# - Безопасность: non-root user
# - Стабильность: фиксированные версии
# - Кеширование: слои с зависимостями не пересобираются

# ❌ Плохие практики логирования в контейнерах:

bad_logging_practices:
  file_logging:
    problem: "Логи пишутся в файлы внутри контейнера"
    example: |
      # app.py
      logging.basicConfig(filename='/app/logs/app.log')
    issues:
      - "Логи теряются при рестарте контейнера"
      - "Нет centralized collection"
      - "Сложно debugging в Kubernetes"
      - "Заполняют filesystem контейнера"
  
  unstructured_logs:
    problem: "Логи в произвольном текстовом формате"
    example: "User John logged in at 2024-01-15 10:30:00"
    issues:
      - "Сложно парсить и анализировать"
      - "Нет correlation между событиями"
      - "Сложно настроить алерты"

# ✅ Правильное логирование для контейнеров:
container_logging_best_practices:
  stdout_stderr:
    principle: "Контейнеры должны логировать в stdout/stderr"
    example: |
      # Python
      import logging
      import sys
      
      logging.basicConfig(
          stream=sys.stdout,
          level=logging.INFO,
          format='%(asctime)s %(levelname)s %(message)s'
      )
    
  structured_logging:
    format: "JSON для машинной обработки"
    example: |
      {
        "timestamp": "2024-01-15T10:30:00Z",
        "level": "INFO", 
        "service": "user-service",
        "trace_id": "abc123",
        "user_id": "user456", 
        "action": "login",
        "duration_ms": 150,
        "ip_address": "192.168.1.100"
      }
  
  log_aggregation:
    kubernetes: |
      # Fluent Bit DaemonSet собирает логи
      apiVersion: apps/v1
      kind: DaemonSet
      metadata:
        name: fluent-bit
      spec:
        template:
          spec:
            containers:
            - name: fluent-bit
              image: fluent/fluent-bit:latest
              volumeMounts:
              - name: varlog
                mountPath: /var/log
              - name: varlibdockercontainers
                mountPath: /var/lib/docker/containers
    
    docker_compose: |
      version: '3.8'
      services:
        app:
          image: my-app
          logging:
            driver: "fluentd"
            options:
              fluentd-address: localhost:24224
              tag: "app"

# Checklist для предотвращения ошибок

pre_commit_hooks:
  security:
    - "git-secrets: проверка коммитов на секреты"
    - "tfsec: Terraform security scanning"
    - "hadolint: Dockerfile linting"
  
  quality:
    - "pre-commit: code formatting"
    - "pytest: запуск тестов перед коммитом"
    - "mypy: type checking"

code_review_checklist:
  security_review:
    - "[ ] Нет hardcoded секретов"
    - "[ ] Права доступа по принципу least privilege"
    - "[ ] Input validation и sanitization"
    - "[ ] Proper error handling (не expose internal details)"
  
  architecture_review:
    - "[ ] Соответствует ли решение business requirements"
    - "[ ] Масштабируется ли решение"
    - "[ ] Есть ли single points of failure"
    - "[ ] Учтена ли observability"

automated_testing:
  unit_tests: "Покрытие > 80% критичного кода"
  integration_tests: "API contracts и database interactions"
  security_tests: "SAST/DAST в CI pipeline"
  performance_tests: "Load testing на staging"

monitoring_and_alerting:
  proactive_monitoring:
    - "Health checks для всех сервисов"
    - "SLI/SLO monitoring"
    - "Capacity planning metrics"
  
  alert_design:
    - "Только действенные оповещения"
    - "Чёткие процедуры эскалации"
    - "Инструкции для каждого типа оповещения"

post_incident_analysis:
  безвинные_постмортемы: "Фокус на процессах, не на людях"
  план_действий: "Конкретные шаги по предотвращению"
  обмен_знаниями: "Документирование извлечённых уроков"