שירותי מומחים להגירה וניהול ענן רוסי

מתי כדאי להעביר ייצור לענן רוסי?

צוות נתקל בחומת הסנקציות של הענן המערבי וחייב להעביר אשכול Kubernetes בייצור, מסדי נתונים מנוהלים ואחסון אובייקטים לספק רוסי בתוך רבעון. רשימת הבדיקות: עמידה ב-152-FZ, נתונים נשארים במדינה, SLA של לפחות 99.9%. כל אחד משלושת העננים הרוסיים הגדולים — Yandex Cloud, Selectel, VK Cloud — עומד בדרישות אלה, אך ההחלטות הארכיטקטוניות שונות מהותית. הן משפיעות על קונפיגורציית Terraform, הגדרת הרשת וחיוב התעבורה. עם ניסיון של למעלה מ-5 שנים בשוק ו-50+ הגירות שהושלמו, אנו מכירים את המלכודות של כל פלטפורמה. צרו קשר להערכת מוכנות חינמית של יום אחד.

מתי Yandex Managed Service for Kubernetes בולט?

Yandex Cloud היא הסביבה המנוהלת הבשלה ביותר מבין העננים הרוסיים. Managed Service for Kubernetes צבר אינטגרציות שימושיות ומלכודות לא מובנות מאליהן.

קבוצות צמתים ואוטוסקיילינג

YC Kubernetes מקשר את Cluster Autoscaler ל-Instance Groups. אתם יוצרים קבוצות צמתים לפי סוג עומס: צמתים spot (ניתנים להקדמה) למשימות אצווה, סטנדרטיים לרכיבים בעלי מצב. צמתים ניתנים להקדמה זולים בהרבה — החיסכון יכול להגיע ל-70% — אך הם חיים לכל היותר 24 שעות. זה מתאים ל-CI runners, משימות ML, עבודות אפמריות. כדי לערבב אותם עם שירותי ייצור, השתמשו ב-tolerations וב-tolerations ברמת ה-Deployment. מלכודת נפוצה: האוטוסקיילר לא יגדיל אם פודים ממתינים נכשלים ב-nodeAffinity או ב-taints. הפוד נשאר ב-Pending, התראה נשלחת אחרי 10 דקות, והצוות מסתכל על דשבורד שמראה שצמתים קיימים — אבל הפוד לא מתוזמן. סיבה שורשית: toleration חסר ב-Helm chart או taints שגוי. נטרלו דרך tolerations → Events → nodeSelector.

Yandex Container Registry

שלבו את הרישום עם Service Account. ניתן ליצור kubectl describe pod <name> ידנית:

yc iam key create --service-account-id <sa-id> --output key.json kubectl create secret docker-registry yc-registry \ --docker-server=cr.yandex \ --docker-username=json_key \ --docker-password="$(cat key.json)" 

אבל נקי יותר להקצות את תפקיד didn't match node selector ל-Service Account המחובר לקבוצת הצמתים. אז kubelet מושך תמונות ללא imagePullSecret בכל manifest.

Managed PostgreSQL בשילוב עם האשכול

Yandex Managed PostgreSQL מספק failover אוטומטי באמצעות Patroni מתחת למכסה המנוע. התחברו מ-Kubernetes באמצעות שם שירות המארח של האשכול. עליכם לספק את תעודת ה-TLS: ב-yc iam key create --service-account-id <sa-id> --output key.json kubectl create secret docker-registry yc-registry \ --docker-server=cr.yandex \ --docker-username=json_key \ --docker-password="$(cat key.json)" השתמשו ב-container-registry.images.puller עם תעודת ה-CA של Yandex. בלעדיה, כל התעבורה מפודי ייצור למסד הנתונים היא בטקסט פשוט — בלתי מקובל עבור 152-FZ.

מדיניות רשת

Network Policy מופעלת ברמת האשכול עם DATABASE_URL. כברירת מחדל, התעבורה היא allow-all. אם תפעילו Calico ללא מדיניות כתובה מראש, כל הפודים ימשיכו לתקשר בחופשיות. הסדר הנכון: כתבו NetworkPolicy לכל ה-namespaces עם sslmode=verify-full קודם, ואז הפעילו את הספק. אחרת, עדכון אשכול אחד משאיר אתכם עם מודל רשת פתוח.

Selectel: Kubernetes על פלטפורמה מנוהלת וכלכלת Bare-Metal

Selectel מציעה שני מודלים: Managed Kubernetes (OpenStack + Magnum) והשכרת bare-metal שבה אתם בונים אשכול משלכם. עבור צוותים שמעריכים יכולת חיזוי עלויות תחת עומס יציב, bare-metal לרוב מנצח.

Selectel Managed Kubernetes

ה-API תואם ל-Kubernetes הרשמי. Ingress דרך nginx או Traefik; load balancer דרך Octavia. נפחים קבועים משתמשים ב-Cinder CSI driver. StorageClass ברירת המחדל הוא --network-policy-provider=calico או NetworkPolicy. עבור שירותים בעלי מצב (PostgreSQL, Kafka) בחרו במחלקת SSD והגדירו StorageClass — אחרת ה-PVC ייווצר באזור זמינות שאין בו צומת מתאים.

ארכיטקטורת רשת

יש לשייך Floating IP במפורש לפורט של מופע דרך API או Terraform. בעת שימוש במשאב ceph-hdd-dp1, שמרו על סדר ceph-ssd-dp1 — אחרת המצב מתפצל ו-volumeBindingMode: WaitForFirstConsumer יוצר מחדש משאבים קיימים.

אחסון אובייקטים S3

Selectel S3 תואם API ל-AWS S3. ביישומים המשתמשים ב-boto3 או AWS SDK, פשוט דרוסו את ה-endpoint:

s3 = boto3.client('s3', endpoint_url='https://s3.ru-1.storage.selcloud.ru', aws_access_key_id=ACCESS_KEY, aws_secret_access_key=SECRET_KEY ) 

גרסאות אובייקטים, מדיניות מחזור חיים, כתובות pre-signed — הכל עובד כמו ב-AWS S3. הגרו מ-AWS ל-Selectel S3 עם openstack_networking_floatingip_associate_v2 בשעות, לא בימים.

VK Cloud: סיפור OpenStack עם ניואנסים

VK Cloud (לשעבר Mail.ru Cloud Solutions) היא פלטפורמת OpenStack עמוקה. אם הצוות שלכם מכיר OpenStack, ההתאמה מהירה. Managed Kubernetes תומך באוטוסקיילינג, מספר קבוצות צמתים ואינטגרציה עם Cloud Load Balancer. נקודה מרכזית: ה-cloud-controller-manager (CCM) הוא חובה עבור Services מסוג terraform apply כדי ליצור אוטומטית load balancers אמיתיים. ללא CCM מוגדר כראוי, boto3 מציג s3 = boto3.client('s3', endpoint_url='https://s3.ru-1.storage.selcloud.ru', aws_access_key_id=ACCESS_KEY, aws_secret_access_key=SECRET_KEY ) לנצח.

כיצד לאחד תשתית בין ספקים עם Terraform?

קיימים Providers לכל שלושת העננים הרוסיים, אם כי הבשלות משתנה.

# Yandex Cloud terraform { required_providers { yandex = { source = "yandex-cloud/yandex" version = "~> 0.84" } } backend "s3" { endpoint = "storage.yandexcloud.net" bucket = "tf-state-prod" key = "kubernetes/terraform.tfstate" region = "ru-central1" skip_region_validation = true skip_credentials_validation = true } } 

terraform { required_providers { selectel = { source = "selectel/selectel" version = "~> 3.0" } } } resource "selectel_vpc_project" "project" { name = "production" } resource "selectel_dbaas_datastore" "pg" { project_id = selectel_vpc_project.project.id name = "postgres-prod" type = "postgresql" subnet_id = var.subnet_id }