- المسار
- عبر Operator
- ما هو
- مُشغّل Kubernetes يدير دورة حياة الوكيل من مورد مخصّص واحد
- الأثر التشغيلي
- أقل الخيارات حاجة إلى التدخل اليدوي، وهو الخيار المُوصى به عادةً للبيئات متعدّدة العناقيد: تصبح الترقية تعديلًا على مورد واحد، ويظهر أي اختلاف في الإعدادات بين العناقيد مبكرًا.
دليل تنفيذ
مراقبة Kubernetes في المملكة، مصمّمة لتجتاز المراجعة
تشرح وثائق المنصات تثبيت مراقبة عنقود Kubernetes بوضوح، والتثبيت يحتاج بضع ساعات. أما العمل الأكبر فهو اعتماد الوكيل من فريق الأمن في المؤسسة السعودية، وضبط حجم البيانات حتى تبقى الكلفة معقولة، وتشغيله عبر سنتين من ترقيات العناقيد. وهذا ما تتناوله هذه الصفحة.
دليل تنفيذ نُشر في 5 دقائق قراءة
01باختصار
ما الذي يتعطّل حين تغيب الرؤية على مستوى العنقود
كثيرًا ما يكون Kubernetes سبب بدء المؤسسات في نقاش الرصد، لأن أسلوب المراقبة السابق لا يناسبه. فالأحمال لا تعمل على خوادم ثابتة معروفة: تنتقل بين العُقد، وتتوسّع وتنكمش، ولا تترك جهازًا يمكن فحصه بعد الحادثة. والنموذج القديم، أي وكيل على خادم معروف يراقب عمليات معروفة، لا يعود مناسبًا منذ نشر أول Deployment.
والخلل هنا نادرًا ما يكون واضحًا. فقد يظهر في حادثة لا يمكن فيها تحديد أي Pod خدم الطلبات الفاشلة، أو في قرار سعة يُتّخذ على متوسّطات العُقد بينما بلغ نطاق أسماء واحد حدّ موارده، أو حين يتبيّن لفريق المنصّة أن مكوّنات العنقود نفسها، من مجدول وشبكة وتخزين، لم تكن مشمولة بالمراقبة.
الصفحة موجّهة إلى من يشغّل عناقيد إنتاج في المملكة: فرق المنصّات، ومن يعرض التغييرات على لجنة التغيير، ومن يعتمد فاتورة المنصة. وإن لم يكن قرار المنصة قد استقرّ بعد، فابدؤوا من ممارسة الرصد بدل هذه الصفحة.
روابط ذات صلةممارسة الرصد
02التثبيت
تثبيت الوكيل: ثلاثة مسارات وكلفة كل منها لاحقًا
المسارات الثلاثة كلها سليمة، والفرق بينها في من يتولى العمل المستمرّ. لذلك يُختار المسار بحسب طريقة الترقية والحوكمة، لا بحسب أول شرح يظهر في البحث.
- المسار
- عبر Helm
- ما هو
- يُثبَّت الوكيل عبر Helm chart يديره مسار GitOps أو التكامل المستمرّ القائم عندكم
- الأثر التشغيلي
- يناسب الفرق التي تدير كل شيء عبر Helm charts؛ يُرقّى الوكيل كأي إصدار آخر، وتنطبق عليه بوابات المراجعة نفسها، وهو ما تفضّله فرق الأمن غالبًا.
- المسار
- DaemonSet مكتوب يدويًا
- ما هو
- ملفات تُكتب وتُطبَّق مباشرة
- الأثر التشغيلي
- أكبر قدر من التحكّم وأقل قدر من الأتمتة: كل ترقية وكل إعداد tolerations وكل تغيير صلاحيات يقع على فريقكم. يناسب البيئات شديدة الإغلاق، ويصبح عبئًا إذا لم يتولّه شخص محدّد.
03المراجعة الأمنية
المراجعة الأمنية: استعدّوا لها مسبقًا
وكيل المراقبة برنامج بصلاحيات مرتفعة يدخل بيئة محكومة، ولذلك تكون المراجعة الأمنية عادةً المرحلة التي يتأخر عندها النشر في المؤسسات السعودية. هذه هي الأسئلة التي ستُطرح، وتجهيز إجاباتها مكتوبة مسبقًا يوفّر أسابيع:
- إلى ماذا يصل الوكيل على كل عقدة: أي نقاط ربط، وأي واجهات، وأي صلاحيات، وهل يمكن تشغيله بصلاحيات أقلّ مقابل خصائص أقلّ إذا فرضت السياسة ذلك
- ما نقاط الخروج والمنافذ التي يحتاجها بالضبط، في قائمة يحتفظ بها فريق الجدار الناري ويراجعها عند كل ترقية
- كيف يعمل خلف الوسيط: لا خروج مباشر من العُقد، ولا اتصال يتجاوز الوسيط
- ما الصلاحيات الممنوحة له داخل العنقود، ولماذا تُوجد كل صلاحية منها
- ما البيانات التي تخرج: أي أصناف، وبأي تصفية وإخفاء، وفق قواعد إقامة البيانات عندكم
- كيف تصل الصور: من أي مستودع، وبأي أداة فُحصت، وإلى أين تُنسخ للعناقيد التي لا مسار لها إلى الإنترنت
- إجراء الترقية والتراجع، مكتوبًا للجنة التغيير: دفعات متتالية، وفحوص سلامة، والمؤشّر الذي يستدعي التراجع عن نشر غير سليم
العزل
العناقيد المعزولة ومستودعات الصور الخاصة
المكوّنات موثّقة، والإجراء الكامل يحتاج تجميعًا
كثير من عناقيد المؤسسات في المملكة لا يمكنها سحب الصور من الإنترنت، بسبب السياسات أو طبيعة الشبكة. والوثائق المتاحة تشرح المكوّنات اللازمة، لكنها لا تجمع الإجراء في مكان واحد، فيبني كل فريق حلّه بنفسه.
والطريقة العملية: نسخ صور الوكيل وملفات Helm إلى مستودع داخل البيئة حزمًا مفحوصة ومحدّدة الإصدار، وتثبيت الإصدارات بدل تتبّع أحدث نسخة، وإخراج بيانات الرصد عبر الوسيط أو عبر طبقة مجمّعات في قطاع شبكي مضبوط، فلا تحتاج العُقد نفسها إلى أي مسار إلى الإنترنت.
اقرأ المزيد
والتصميم نفسه يخدم متطلبات بقاء البيانات: فالعنقود الذي يجب أن يبقى داخل المملكة تُوضع أمام أي خروج منه نقطة تحكّم، فلا يخرج ما لا يجوز خروجه. وهذا هو التصميم ذاته الموصوف في صفحة إقامة البيانات، مطبَّقًا على مستوى أدنى.
روابط ذات صلةصفحة إقامة البيانات
04النطاق
أربع طبقات تُغطّى، لا واحدة
عند الشراء يُقصد بـ«مراقبة العنقود» عادةً الطبقة الثانية وحدها، ثم تظهر الحاجة إلى الطبقات الثلاث الأخرى في أول حادثة يصعب تفسيرها. لذلك يُحدَّد النطاق عند التصميم:
العُقد والبنية تحتها
المعالج والذاكرة والقرص والشبكة على كل عقدة، ومعها نقص الموارد الذي يسبق الإخلاء (Eviction). وهي الطبقة الوحيدة التي تشبه المراقبة التقليدية، وأقلّ الطبقات فائدة إذا اكتُفي بها.
الأحمال نفسها
الـ Pods وإعادات التشغيل والإخلاء وفحوص الجاهزية، منسوبة إلى النشر ونطاق الأسماء لا إلى العقدة. وهذه هي الطبقة التي تجيب عن سؤال «أي Pod خدم الطلبات الفاشلة».
مكوّنات العنقود
المجدول وطبقة الشبكة والتخزين وواجهة التحكّم. كثيرًا ما تُنسى عند التصميم وتُطلب أثناء الحادثة، لأن أعطالها تظهر كأنها أعطال في التطبيقات.
التطبيقات داخلها
تجهيز الشيفرة بأدوات القياس: التتبّع (Traces) والمقاييس التي يصدرها التطبيق نفسه. بدونها ترون أن الخدمة تباطأت ولا ترون السبب.
05الكلفة
لماذا تنتج بيئات Kubernetes فواتير مفاجئة
والسبب تعدّد الوسوم. فكل تركيبة فريدة من قيم الوسوم على مقياس مخصّص سلسلة تُحتسب في الفاتورة، وبيئات العناقيد تولّد تركيبات كثيرة بطبيعتها: أسماء الـ Pods، ومعرّفات النسخ، ومعرّفات النشر، وكلها تتغيّر مع كل إصدار.
والحل معيار لا أداة: أي الوسوم مسموح بها على المقياس المخصّص، وأيها ممنوع لأن قيمه غير محدودة، مع سقف متّفق عليه للتعدّد يُراجَع شهريًا، فلا تظهر زيادة غير متوقعة عند التجديد. وتفصيل الإجراءات في صفحة ضبط كلفة السجلات.
اقرأ المزيد
ويُطرح معه سؤال: هل نُبقي Prometheus؟ في الغالب نعم، لفترة على الأقل، وينبغي أن يوضح التصميم كيف يعمل الاثنان معًا، لا أن يفترض أن أحدهما يحلّ محلّ الآخر من اليوم الأول. وربط المُصدِّرات (Exporters) القائمة بالمنصة يحفظ ما بُني، ويؤجّل قرار التوحيد إلى أن يكون الوقت مناسبًا.
روابط ذات صلةصفحة ضبط كلفة السجلات
06بعد الإطلاق
الحفاظ على مراقبة العنقود عبر الترقيات
تصدر نسخ Kubernetes بإيقاع ثابت، وعلى طبقة المراقبة أن تبقى سليمة بعد كل ترقية. ويتطلب ذلك ثلاثة أمور عملية.
أولها أن تكون ترقية الوكيل إجراءً مجرَّبًا يُنفَّذ على دفعات مع شرط واضح للتراجع. وثانيها أن يراجع شخص محدد ما يغيّره كل تحديث للمنصة في بيانات الرصد، لأن الخصائص تتغيّر بين الإصدارات وقد تتوقف اللوحات عن العرض دون تنبيه. وثالثها أن ترث نطاقات الأسماء والخدمات الجديدة معايير القياس والوسوم تلقائيًا، لا اعتمادًا على ذاكرة أحد أفراد الفريق.
وتعمل إنتركي هنا في الطبقتين: بناء العنقود وتشغيله، ومراقبته، من الرياض وعلى أسبوع العمل السعودي. وكثيرًا ما يكون العميل واحدًا والفاصل بين المشروعين نحو ثلاثة أشهر، فيُصمَّم المشروع الثاني بمعرفة الأول.
07أسئلة المشترين
ما يسألنا عنه العملاء
إجابات مباشرة عن الأسئلة التي تتكرر في محادثات التقييم والشراء. وما لم تجدوه هنا، اسألونا عنه في النموذج أدناه.
هل يمكن تشغيل الوكيل بلا صلاحيات مرتفعة؟
في الغالب نعم، مقابل خصائص أقلّ. ويحسن عرض هذا الخيار صراحةً على فريق الأمن بدل افتراض أي اتجاه، مع قائمة بما يُفقد عند نزع كل صلاحية، فيقرّر صاحب القرار وهو يعرف الأثر.
بعد كم عنقودًا يصبح Operator الخيار المناسب؟
لا يوجد رقم يصلح لكل بيئة، والمؤشّر أفضل من العدد: حين يبدأ انحراف الإعدادات بين العناقيد بالظهور، أو حين تصير الترقية اليدوية بندًا متكرّرًا في تخطيط الفريق، يصبح المسار المُدار أقل كلفة. أما العنقود الواحد المستقر فلا يحتاجه.
ماذا عن مكوّنات العنقود نفسها؟
كثيرًا ما تُنسى، مع أنها تُطلب أثناء الحوادث. فالمجدول والشبكة والتخزين وطبقة الواجهة تنتج بيانات رصد، وإدراجها في المراقبة قرار يُتّخذ عند التصميم، لا بعد أول انقطاع يصعب تفسيره.
هل يعمل هذا في عنقود بلا مسار إلى الإنترنت؟
نعم، وهو نمط معتاد هنا لا استثناء. الصور تُنسخ إلى مستودع الصور لديكم، والخروج يمرّ عبر طبقة مجمّعات في قطاع مضبوط، والعُقد نفسها تبقى بلا مسار خارجي. التفاصيل في قسم العناقيد المعزولة أعلاه.
من مركز المعرفة
يكمل هذه الصفحة
الأسئلة
أسئلة Docker وKubernetes
الاختيار بين الخدمة المُدارة والإدارة الذاتية، وما يتضمّنه تشغيل العنقود بعد الإطلاق.
دليل مشترينضبط كلفة السجلات
حد عدد تركيبات الوسوم الفريدة (Cardinality) ومرشّحات الاستبعاد بالتفصيل، وهما أكبر مصدر مفاجأة في فواتير العناقيد.
دليل تقنيإقامة بيانات الرصد
نقطة التحكّم التي يذكرها قسم العزل أعلاه، مشروحة بالكامل مع نماذج النشر الثلاثة.
الصفحة بالإنجليزيةKubernetes monitoring in Saudi Arabia
الصفحة نفسها بالإنجليزية، بمسارات التثبيت وحزمة المراجعة الأمنية ذاتها.
دليل تقييمكيف تقيّمون منصة الرصد (Observability)
مراقبة Kubernetes جزء من قرار أوسع عن منصة الرصد، ويتناوله هذا الدليل.
مواصلة الاستكشاف
الخطوة التالية
رؤية واضحة للعنقود تستمر بعد الإطلاق
اذكروا التوزيعة التي تشغّلونها، وعدد العناقيد تقريبًا، وهل اجتزتم المراجعة الأمنية أم ما زالت أمامكم.
أو مباشرةً
+966-11-2180999 [email protected]أبراج التعاونية، البرج الشمالي، الطابق السابع، طريق الملك فهد، العليا، ص.ب. ٥٦٨٣٥، الرياض ١١٥٦٤، المملكة العربية السعودية