Облака для DevOps за 8 минут

На собесе спрашивают не про кнопки конкретного облака, а про модель: сеть, доступы, вычисления, хранилища, managed-сервисы и деньги. Понятия почти одинаковы в AWS, Yandex Cloud, VK Cloud и Cloud.ru, меняются названия.

Модель ответственности

Облако отвечает за безопасность «самого облака»: дата-центры, железо, гипервизор. Вы отвечаете за то, что «в облаке»: настройки сети, доступы, ОС на ВМ, данные, шифрование. Чем выше уровень сервиса (IaaS, PaaS, SaaS), тем больше берёт на себя провайдер. Открытый всему интернету бакет это ваша ответственность, а не облака.

Регионы и зоны

Регион это географическое место, зона доступности это отдельный дата-центр (или группа) внутри региона с независимым питанием и сетью. Отказоустойчивость начинается с размещения копий сервиса минимум в двух зонах. В Yandex Cloud регион ru-central1 и зоны ru-central1-a, ru-central1-b, ru-central1-d.

Сеть: VPC

• VPC (облачная сеть): изолированная виртуальная сеть с вашими адресами, например 10.0.0.0/16.
• Подсеть: диапазон внутри VPC, привязан к одной зоне. /24 это 256 адресов, часть из них облако резервирует под служебные нужды.
• Публичная подсеть: есть маршрут в интернет, у ВМ публичные IP. Туда ставят балансировщики и бастион.
• Приватная подсеть: ВМ без публичных адресов, выход наружу через NAT-шлюз. Там приложения и базы.
• Группы безопасности: stateful файрвол на уровне интерфейса: разрешили входящий запрос, ответ пройдёт сам. Пишут правила по принципу «разрешено только нужное», источником указывают другую группу, а не диапазон адресов.
• Связь сетей: пиринг VPC, VPN до офиса, выделенные каналы.

IAM: кто что может

• Субъекты: пользователи, группы, сервисные аккаунты (для программ).
• Роли и политики: набор разрешений на ресурсы.
• Принцип наименьших привилегий: только нужные права на нужные ресурсы.
• Приложение на ВМ или в кластере получает права через привязанный сервисный аккаунт или роль, а не через ключ в файле. Токен выдаёт сервис метаданных (169.254.169.254) или механизм workload identity в Kubernetes. Статические ключи доступа это главный источник утечек.
• CI получает доступ в облако через OIDC (федерация удостоверений): короткоживущий токен вместо долгого ключа.

Вычисления

• ВМ: полный контроль, вы обновляете ОС.
• Группы ВМ с автоскейлингом: шаблон машины плюс правила масштабирования по CPU или очереди.
• Прерываемые (spot) ВМ: в разы дешевле, но облако может остановить их в любой момент (в Yandex Cloud ещё и не позже чем через 24 часа). Подходят для CI-раннеров, пакетной обработки, stateless-воркеров.
• Managed Kubernetes: control plane обслуживает облако, вы управляете узлами и приложениями.
• Serverless-функции и контейнеры: платите за вызовы, без управления серверами, но есть холодный старт и ограничения по времени.

Хранилища

Тип	Что это	Пример применения
Блочное (диски)	диск, подключённый к одной ВМ	ОС, база данных на ВМ
Файловое	общая ФС для многих ВМ (NFS)	общие файлы legacy-приложений
Объектное (S3)	объекты по ключу через HTTP API	бэкапы, статика, логи, артефакты

Объектное хранилище почти безразмерное и дешёвое, но это не файловая система: нет дописывания в конец файла и переименования. Доступ к приватным объектам выдают через временные подписанные ссылки (presigned URL). Классы хранения (стандартное, холодное, архивное) отличаются ценой хранения и ценой доступа, правила жизненного цикла переносят старые объекты в холодный класс и удаляют.

Managed-сервисы

Managed PostgreSQL, Redis, Kafka, Kubernetes: облако берёт на себя установку, обновления, бэкапы, реплики и failover. Плюс: меньше рутины и выше надёжность из коробки. Минусы: дороже голых ВМ, меньше контроля над настройками и версиями, привязка к провайдеру. Хороший ответ на собесе: «managed по умолчанию, свои инсталляции, когда есть веская причина и экспертиза».

Российские облака

Крупные игроки: Yandex Cloud, Cloud.ru (бывший SberCloud), VK Cloud, Selectel. У всех есть VPC, ВМ, S3-совместимое хранилище, managed Kubernetes и базы, Terraform-провайдеры. Для персональных данных граждан РФ важен 152-ФЗ: данные должны храниться в России, а облако должно подходить под нужный уровень защищённости. Части зарубежных сервисов в РФ нет или они недоступны, поэтому реестры образов, зеркала пакетов и провайдеров часто держат свои.

Деньги (FinOps)

• Счёт растёт не от ВМ, а от забытых дисков, снапшотов, публичных IP, исходящего трафика и логов.
• Правильный размер ВМ по метрикам, автоскейлинг вниз ночью.
• Резервирование или committed use для постоянной нагрузки, прерываемые ВМ для фоновой.
• Метки (labels) на всех ресурсах, чтобы видеть стоимость по командам.

Частые ошибки

• Всё в одной зоне.
• База с публичным IP и правилом 0.0.0.0/0.
• Статический ключ облака в коде или на ВМ.
• Права «admin на всё облако» для сервисного аккаунта CI.

Что спросят на собесе

• Как устроить сеть для веб-приложения: публичные и приватные подсети, NAT, группы безопасности.
• Как приложение на ВМ получает доступ к бакету без ключей.
• Блочное, файловое и объектное хранилище: что и когда.
• Managed-база или своя на ВМ: аргументы за и против.
• Как снизить счёт за облако.