Platform

Findes det kun i nogens konsol, findes det ikke

Servere, clusters og pipelines beskrevet i filer, som I selv ejer.

Problemet

Releases venter på den ene person, der kan opskriften. Halvdelen af serverne blev sat op i hånden i 2021, og ingen ved med sikkerhed hvilken halvdel. Nogen valgte Kubernetes, fordi det var det oplagte svar, og nu er der et control plane, som ingen helt forstår. Et build tager fyrre minutter, og det meste går med at hente ting, det allerede havde.

Tilgangen

Jeg lægger det hele i versionsstyring og skalerer det rigtigt – på Hetzner, AWS eller jeres eget hardware. Konfigurationsstyring, der holder serverne ens i stedet for at lade dem glide fra hinanden, provisionering, der kan genskabe en server fra bunden, pipelines, som alle i teamet kan læse, og clusters dimensioneret efter jeres faktiske belastning – inklusive svaret, at I slet ikke har brug for et cluster, når det er det ærlige svar.

Det får I

Konfiguration af alle servere i Puppet eller Ansible – konvergerende og idempotent
Provisionering i OpenTofu med remote state og låsning, der virker
Pipelines lagt i jeres eget repository – ingen ekstern konfigurationsflade og ingen skjulte trin
Cluster-topologien dokumenteret med begrundelserne – ikke kun resultatet
En indøvet procedure for opgradering og rollback, kørt én gang, mens jeres team ser med
Ærlig rådgivning, når den orkestrering, I beder om, er det forkerte værktøj

Eksempel

infra/network.tf

terraform {
  required_version = "~> 1.10"

  # State in an account you control, with locking.
  backend "s3" {
    bucket       = "acme-tfstate"
    key          = "prod/network.tfstate"
    region       = "eu-north-1"
    use_lockfile = true
    encrypt      = true
  }
}

module "vpc" {
  source = "./modules/vpc"

  cidr               = "10.20.0.0/16"
  availability_zones = ["eu-north-1a", "eu-north-1b"]
  single_nat_gateway = false   # one per AZ; a NAT outage is not an outage

  tags = {
    environment = "prod"
    managed_by  = "opentofu"
    owner       = "platform"
  }
}

.github/workflows/release.yml

name: release
on:
  push:
    tags: ['v*']

permissions:
  contents: read
  id-token: write      # keyless signing, no long-lived secret
  packages: write

jobs:
  build:
    runs-on: ubuntu-24.04
    steps:
      - uses: actions/checkout@v5
      - uses: docker/setup-buildx-action@v3

      - name: Build and push
        id: push
        uses: docker/build-push-action@v6
        with:
          push: true
          tags: ${{ env.IMAGE }}:${{ github.ref_name }}
          cache-from: type=gha
          cache-to: type=gha,mode=max
          provenance: true
          sbom: true

      - name: Sign the image
        run: cosign sign --yes ${IMAGE}@${DIGEST}
        env:
          DIGEST: ${{ steps.push.outputs.digest }}

apps/api/netpol.yaml

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: api-default-deny
spec:
  podSelector: { matchLabels: { app: api } }
  policyTypes: [Ingress, Egress]

  # Only the gateway may reach it.
  ingress:
    - from:
        - podSelector: { matchLabels: { app: gateway } }
      ports: [{ port: 8080 }]

  # Only postgres and the cluster's DNS out. Everything else is denied.
  egress:
    - to: [{ podSelector: { matchLabels: { app: postgres } } }]
      ports: [{ port: 5432 }]
    - to:
        - namespaceSelector: { matchLabels: { kubernetes.io/metadata.name: kube-system } }
          podSelector: { matchLabels: { k8s-app: kube-dns } }
      ports:
        - { port: 53, protocol: UDP }
        - { port: 53, protocol: TCP }   # large answers fall back to TCP

Fortæl mig, hvad der er galt

Et par linjer om problemet er nok. Inden for én arbejdsdag svarer jeg med, hvad jeg tror, det er, hvor lang tid det cirka tager, og om I overhovedet har brug for mig. Nogle gange er det ærlige svar nej.

[email protected]

Jeg svarer inden for én arbejdsdag · Ingen kontaktformularer, ingen sporingspixels og ingen automatiske salgsmails.

På GitHub