DevOps

Ik heb zowel Arch als NixOS gedraaid als mijn dagelijkse werkstation. Niet in VMs, niet als weekend-experiment — als mijn daadwerkelijke werkmachine waar ik professioneel DevOps/platform engineering werk doe, en als mijn persoonlijke machine waar ik al het andere doe. Beide zijn uitstekend. Beide hebben serieuze trade-offs. En de “beste” keuze hangt sterk af van je levenssituatie en hoeveel tijd je hebt voor systeemonderhoud. Dit is het punt: ik heb nu kinderen. De dagen van een zaterdagmiddag besteden aan het debuggen van een kapotte Xorg config zijn voorbij. Mijn systeem moet werken, betrouwbaar, elke keer dat ik mijn laptop open. Maar ik heb ook geleerd dat Arch’s “instabiliteit” grotendeels een skill issue is — met de juiste practices kan Arch net zo betrouwbaar zijn als NixOS. ...

Ik spendeer mijn avonden aan Hack The Box challenges en CTF competities. Niet omdat ik pentester wil worden — ik ben prima tevreden in platform engineering. Maar omdat de skills die ik daar leer me significant beter maken in mijn dagelijkse werk. Dit is niet meteen duidelijk. Wat heeft het pwnen van een kwetsbare web app te maken met het runnen van Kubernetes clusters? Meer dan je zou denken. Forensics en offensive security trainen je om anders over systemen na te denken. Je leert onderzoeken, traceren, begrijpen wat er daadwerkelijk gebeurt in plaats van wat er zou moeten gebeuren. En die mindset — plus de tooling — is precies wat je nodig hebt wanneer je productie-issues debugt om 3 uur ’s nachts. ...

“We willen voor november naar Kubernetes migreren.” Het was september. De klant was een e-commerce bedrijf. Hun grootste sales event van het jaar — Black Friday — was eind november. Ik zei nee. Ze vroegen of ik iemand kende die het misschien toch zou willen doen. Dat deed ik. Een collega platform engineer — iemand die ik respecteer, zeer capabel. Ik maakte de introductie, maar waarschuwde hem voor de timeline. Hij nam de opdracht aan, documenteerde dezelfde zorgen die ik had, liet ze aftekenen. De klant ging toch door. ...

Wanneer alles cluster-admin heeft, is niets veilig. Kubernetes RBAC (Role-Based Access Control) bestaat om één vraag te beantwoorden: wie kan wat doen met welke resources? De meeste clusters antwoorden verkeerd: “iedereen kan alles doen.” Dit is niet alleen een security probleem — het is een resilience probleem. Wanneer een service account wordt gecompromitteerd, hoeveel schade kan het aanrichten? Wanneer iemand het verkeerde commando uitvoert, wat is de blast radius? Least privilege beperkt die radius. ...

Regels die alleen in documentatie bestaan worden niet gevolgd. Regels die door computers worden afgedwongen wel. Kubernetes geeft je ongelofelijke flexibiliteit. Elk team kan deployen wat ze willen, geconfigureerd zoals ze willen. Deze vrijheid wordt chaos zonder vangrails. Kyverno is een policy engine voor Kubernetes. Het valideert, muteert en genereert resources gebaseerd op policies die je definieert — als Kubernetes-native YAML. Waarom Kyverno? Er zijn meerdere policy engines: Open Policy Agent (OPA) met Gatekeeper, Kyverno, Kubewarden. Ik koos Kyverno omdat: ...