Infrastructure that runs itselfИнфраструктура, которая работает сама

A kubectl plugin in Go that explains in plain words why a pod or deployment is unhealthy: what is wrong, the evidence, and what to try next. kubectl describe shows everything; this does the part you usually do in your head at 3 a.m.

Плагин для kubectl на Go: человеческим языком объясняет, почему под или деплоймент нездоров. Что сломалось, на чём основан вывод и что делать дальше. kubectl describe показывает всё подряд, а это делает ту часть, которую обычно делаешь в голове в 3 ночи.

• Recognises OOMKilled, crash loops with exit codes in words, liveness and readiness failures, bad image tags vs. private registries, missing secrets, unschedulable pods, Multi-Attach volumes, stuck Terminating, evictions and stuck rollouts.
• CI starts a kind cluster, deploys pods broken on purpose and checks each one is explained correctly. The first run found three real bugs that recorded fixtures had missed.

• Распознаёт OOMKilled, крэш-лупы с расшифровкой кода выхода, падающие liveness и readiness, несуществующий тег против приватного registry, отсутствующие секреты, неразмещаемые поды, Multi-Attach томов, зависший Terminating, вытеснение и застрявший rollout.
• CI поднимает кластер kind, деплоит специально сломанные поды и проверяет, что каждый объяснён правильно. Первый же прогон нашёл три настоящих бага, которые записанные фикстуры пропустили.

failure modesтипов поломок

15+

dependenciesзависимостей

0

tested onпроверяется на

real kind clusterживом kind

Reusable GitHub Actions workflows so every repository gets the same image build, scanning, SBOM, signing and IaC checks from one line of uses: instead of copy-pasted YAML.

Переиспользуемые GitHub Actions workflow: каждый репозиторий одной строкой uses: получает одинаковую сборку образа, сканирование, SBOM, подпись и проверки IaC вместо копипасты YAML.

• Images are signed with keyless cosign through GitHub's OIDC token: there is no private key to store or rotate, and a signature proves which workflow built the image.
• Pull requests only check; push and signing happen from the main branch, so a fork can't publish to the registry. Trivy fails only on vulnerabilities that have a fix.

• Образы подписываются cosign без ключей через OIDC-токен GitHub: нет приватного ключа, который нужно хранить и ротировать, а подпись доказывает, какой workflow собрал образ.
• Pull request только проверяет, публикация и подпись идут из основной ветки, поэтому форк не положит образ в registry. Trivy валит сборку только на уязвимостях, у которых есть исправление.

reusable workflowsобщих workflow

3

signing keys to storeключей подписи хранить

0

used byиспользуется в

infra-lab

A single-node k3s cluster where everything after Argo CD comes from git. Changes go through a commit; anything edited by hand in the cluster is reverted.

Однонодовый k3s, где всё после Argo CD создаётся из git. Изменения идут только через коммит, ручные правки в кластере откатываются.

• App of apps with sync waves: the ingress controller and cert-manager come up first, then the issuer and monitoring, then the workloads.
• Chart versions and values live apart (multi-source Applications), so upgrading a chart and changing its settings are separate, reviewable commits.

• App of apps с sync-wave: сначала ingress-контроллер и cert-manager, потом issuer и мониторинг, потом приложения.
• Версии чартов и values хранятся раздельно (multi-source Applications): обновление чарта и изменение настроек идут отдельными коммитами с ревью.

kubectl apply after bootstrapkubectl apply после старта

0

components managed from gitкомпонентов из git

5

manifests checked in CIманифестов проверяется в CI

allвсе

A small dependency-free service that turns Alertmanager webhooks into readable Telegram messages: grouped, marked by severity, HTML-escaped and kept under Telegram's length limit.

Небольшой сервис без зависимостей: превращает webhook от Alertmanager в понятные сообщения в Telegram. Группирует алерты, помечает по severity, экранирует HTML и укладывается в лимит длины.

• If Telegram is down, the relay answers 502 and Alertmanager retries on its own, so an alert is delayed rather than lost.
• The message format lives in code and is covered by tests, not in Go templates buried in the Alertmanager config.

• Если Telegram недоступен, сервис отвечает 502, и Alertmanager повторяет отправку сам: алерт задержится, но не потеряется.
• Формат сообщений лежит в коде и покрыт тестами, а не спрятан в Go-шаблонах внутри конфига Alertmanager.

runtime dependenciesзависимостей

0

testsтестов

4

imageобраз

non-root · ro fs

PostgreSQL backups to S3-compatible storage in one Bash script: dump, compress, verify, upload, prune old copies and report to Prometheus.

Бэкапы PostgreSQL в S3-совместимое хранилище одним Bash-скриптом: дамп, сжатие, проверка архива, загрузка, удаление старых копий и метрики для Prometheus.

• If the server was off at night, the systemd timer runs the missed backup on boot (Persistent=true).
• Two alerts: the last backup failed, or there has been none for 26 hours. A backup that failed silently is worse than no backup.

• Если сервер ночью был выключен, systemd-таймер снимет пропущенный бэкап после включения (Persistent=true).
• Два алерта: последний бэкап упал или его не было 26 часов. Бэкап, который тихо упал, хуже, чем его отсутствие.

default retentionхранение по умолчанию

14 days14 дней

metrics exportedметрик для Prometheus

4

checked in CIпроверка в CI

shellcheck

Nightly MikroTik config export into git: one file per router, a commit only when something changed, secrets excluded.

Ночной экспорт конфигов MikroTik в git: файл на каждый роутер, коммит только при изменениях, секреты не попадают.

• RouterOS writes a timestamp into the first line of every export. The script strips it, so only real changes become commits.
• Exits non-zero if any router does not answer, so cron or systemd notices instead of skipping it silently.

• RouterOS пишет дату в первую строку каждого экспорта. Скрипт её вырезает, поэтому коммитятся только настоящие изменения.
• Завершается с ошибкой, если какой-то роутер не ответил: cron или systemd это заметят, а не пропустят молча.

secrets in gitсекретов в git

0

commits without changesкоммитов без изменений

0

rollbackоткат

git show