Seminar Kroki – Kubernetes, Skalierung und Hochverfügbarkeit

Containerisierte Diagrammdienste im Cluster kontrolliert betreiben

Kroki besteht aus einem Gateway und optionalen Companion-Diensten mit unterschiedlichen Laufzeitmerkmalen. Auf Kubernetes müssen diese Komponenten getrennt konfiguriert, überwacht und skaliert werden. Das Seminar entwickelt aus den Anforderungen eine belastbare Clusterarchitektur.

Drei Tage sind notwendig, weil Kubernetes-Grundobjekte allein keinen produktionsreifen Betrieb ergeben. Ingress, Sicherheitskontexte, Probes, Ressourcen, Rollouts, Netzwerkrichtlinien, Lasttests und Störungssimulationen werden praktisch miteinander verbunden.

Inhaltsübersicht

• Zielarchitektur für Gateway und Companion-Dienste
• Deployments, Services, Labels und Namensräume
• ConfigMaps, Secrets und sichere Konfiguration
• Ingress, TLS und externe Zugriffsgrenzen
• Probes, Ressourcen und Sicherheitskontexte
• Replikate, Skalierung und Lastverteilung
• Netzwerkrichtlinien, Observability und Lasttests
• Rollout, Rollback und Störungssimulation

Zielgruppe

Das Seminar richtet sich an Kubernetes-Administratoren, DevOps-Fachkräfte, Plattformarchitekten und Betriebsverantwortliche, die Kroki in einer vorhandenen Clusterplattform bereitstellen. Es eignet sich auch für Teams, die eine einfache Containerinstallation in einen verwalteten Plattformdienst überführen.

Voraussetzungen

Erforderlich sind praktische Grundkenntnisse zu Kubernetes-Deployments, Services, Pods, Ingress und kubectl sowie solide Kenntnisse zu Containern und Netzwerken. Ein Übungscluster mit ausreichenden Rechten wird vorausgesetzt.

Lernstrecke Schritt für Schritt

1. Schritt 1: Arbeitslast und Komponenten erfassen. Benötigte Diagrammtypen, Companion-Dienste, Lastprofile und Schutzgrenzen werden dokumentiert. Gateway und Renderer erhalten getrennte Betriebsanforderungen.
2. Schritt 2: Namensraum und Kennzeichnungen festlegen. Namespace, Labels, Selektoren und Namenskonventionen werden so aufgebaut, dass Ressourcen eindeutig zugeordnet und abgefragt werden können.
3. Schritt 3: Gateway-Deployment erstellen. Imageversion, Ports, Umgebungsvariablen, Replikate und Rolloutstrategie werden definiert. Ein Cluster-interner Service macht das Gateway erreichbar.
4. Schritt 4: Companion-Dienste bereitstellen. Mermaid, BPMN oder Excalidraw werden als eigene Deployments und Services eingebunden. Das Gateway adressiert ausschließlich interne Servicenamen.
5. Schritt 5: Konfiguration und Geheimnisse verwalten. Nicht geheime Werte werden in ConfigMaps, vertrauliche Angaben in Secrets abgelegt. Änderungen lösen kontrollierte Neustarts oder Rollouts aus.
6. Schritt 6: Ingress und TLS konfigurieren. Host, Pfade, Zertifikatsgrenze, Größenlimits und Zeitüberschreitungen werden am Ingress festgelegt. Interne Dienste bleiben außerhalb des Clusters unveröffentlicht.
7. Schritt 7: Sicherheitskontexte härten. Nicht privilegierte Benutzer, schreibgeschützte Dateisysteme, Capability-Reduktion und geeignete Service Accounts werden eingesetzt, soweit die jeweiligen Images dies zulassen.
8. Schritt 8: Probes sinnvoll gestalten. Startup-, Readiness- und Liveness-Prüfungen unterscheiden Startphase, Betriebsbereitschaft und festgefahrene Prozesse. Ein synthetisches Rendering ergänzt reine Portprüfungen.
9. Schritt 9: Ressourcen dimensionieren. Requests und Limits werden aus Messungen abgeleitet. Gateway und browserbasierte Companion-Dienste erhalten getrennte Profile.
10. Schritt 10: Replikate und Skalierung prüfen. Horizontale Skalierung, gleichmäßige Lastverteilung und das Verhalten bei Spitzenlast werden getestet. Skalierungsgrenzen berücksichtigen Renderingdauer und Startkosten.
11. Schritt 11: Netzwerkrichtlinien umsetzen. Ingress- und Egress-Regeln erlauben nur notwendige Kommunikationspfade. Externe Zugriffe aus Diagrammquellen werden entsprechend dem Sicherheitskonzept verhindert.
12. Schritt 12: Observability integrieren. Logs, Metriken, Spuren und synthetische Anfragen werden mit Pod-, Deployment- und Serviceinformationen verknüpft. Fehler lassen sich einer Komponente zuordnen.
13. Schritt 13: Last- und Ausfalltests durchführen. Mehrere Diagrammtypen, große Quellen und parallele Requests werden getestet. Pods, Companion-Dienste und Ingress werden kontrolliert gestört.
14. Schritt 14: Rollout und Rollback absichern. Neue Images oder Konfigurationen werden schrittweise ausgerollt. Abbruchkriterien, Rückfall und nachgelagerte Funktionsprüfungen sind vorab definiert.

Praxisaufgaben

• Gateway und mindestens einen Companion-Dienst als getrennte Kubernetes-Workloads bereitstellen.
• Ingress, TLS-Grenze, ConfigMap, Secret und Serviceverkettung konfigurieren.
• Startup-, Readiness- und Liveness-Probes anhand realer Fehlerbilder prüfen.
• Lasttests durchführen und Ressourcen sowie Replikate darauf abstimmen.
• Einen gestörten Rollout erkennen und kontrolliert zurücksetzen.

Kompetenzziele

• Kroki-Komponenten auf Kubernetes fachgerecht zerlegen und bereitstellen.
• Ingress, Konfiguration, Geheimnisse und interne Dienste sauber strukturieren.
• Sicherheitskontexte, Probes und Ressourcen passend zum Renderingbetrieb einsetzen.
• Skalierung, Observability und Ausfallverhalten praktisch prüfen.
• Rollouts und Rollbacks mit belastbaren Abbruchkriterien steuern.