K8s: Policy-Driven Governance and Admission Control

Eğitim Hakkında

Politika motorlarıyla otomatik uyumluluk ve yönetişim

Program, admission zincirini, Pod Security Standards profillerini, CEL tabanlı ValidatingAdmissionPolicy'yi, Kyverno validate/mutate/generate/verifyImages kurallarını ve Gatekeeper ConstraintTemplate yazımını işler. cosign ile imaj imzalama ve CI'da politika testleri uygulanır. Program boyunca Kubernetes API Mekanizması, Prometheus ve Grafana ile Küme İzleme ve Hazır Operatörleri Kullanma modülleri uygulamalı işlenir.

Süre ve Format

4 Gün. Her gün dört modül; Admission ve Güvenlik Temelleri, Kyverno ve ValidatingAdmissionPolicy, Gatekeeper ve Uyumluluk, Tedarik Zinciri ve CI Entegrasyonu başlıklarında ilerler; her modülde altı teknik konu ve laboratuvar çalışması yer alır.

Seviye

İleri Seviye — Pod Security Admission, Kyverno, Gatekeeper, ValidatingAdmissionPolicy ve imaj imzalama.

Öğrenme Metodu

Her modül gerçek bir Kubernetes kümesinde kendi manifestlerinizi yazdığınız, bozup düzelttiğiniz uygulamalı atölyelerle işlenir.

Neden Bu Eğitim?

💻Geliştirici Odağı

politika tabanlı yönetişim konusunu uygulama geliştirici bakışıyla, kendi manifestlerinizi yazarak öğrenirsiniz.

⚡Hızlı Geri Bildirim

kubectl, Helm ve yerel küme araçlarıyla deneme-hata döngünüzü kısaltır, sorunları kümede hızla ayıklarsınız.

🚀Üretime Taşınabilirlik

Öğrendiklerinizi CI/CD hattına ve gerçek kümelere taşıyabileceğiniz tekrar kullanılabilir şablonlar edinirsiniz.

Anahtar Konular

kubernetes application developer: policy-driven governance and admission controlkubernetes eğitimipolitika tabanlı yönetişimkubectl eğitimikubernetes kursukubernetes sertifika programıcontainer orkestrasyon eğitimidevops kubernetes eğitimiapi mekanizması kuberneteshazır operatörler kubernetes

“Otomasyon, tekrar eden işi sıkıcı olmaktan çıkarıp güvenilir hale getirir.”

Ön Koşullar

Eğitimden verim almak için faydalı olacak bilgi ve ortam gereksinimleri

1

Çalışan Küme Deneyimi

En az bir Kubernetes kümesinde iş yükü dağıtmış ve kubectl'i günlük kullanmış olmak.

2

Linux ve Ağ Hakimiyeti

systemd, iptables/ağ araçları ve TLS sertifikası kavramlarını bilmek.

3

YAML ve Otomasyon

Karmaşık manifestleri okuyup düzenleyebilmek, temel betik yazabilmek.

4

Laboratuvar Ortamı

SSH erişimi olan bir bilgisayar; çok düğümlü laboratuvar kümeleri sağlanır.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı, api mekanizması, admission kontrolü, pod güvenliği ve rbac yetkilendirme başlıklarını laboratuvar uygulamalarıyla işleyerek günün konularında bağımsız çalışabilir hale gelir.

Modül 1

Kubernetes API Mekanizması

API grupları, kaynak/alt kaynak (status, scale, log, exec) ve REST uç noktaları
kubectl proxy ve doğrudan curl ile API çağrıları, kubectl get --raw
resourceVersion, optimistic concurrency ve watch/list mekanizması
Server-side apply, managedFields ve çakışma çözümü
API Priority and Fairness (APF) ile istek önceliklendirme
client-go temelli informer ve workqueue mantığı

Modül 2

Admission Controller ve Webhook'lar

Mutating ve Validating admission aşamaları ve isteğin değerlendirme sırası
Yerleşik admission plugin'leri: LimitRanger, ResourceQuota, NamespaceLifecycle, PodSecurity
ValidatingWebhookConfiguration ve MutatingWebhookConfiguration alanları: failurePolicy, namespaceSelector
ValidatingAdmissionPolicy ve CEL ifadeleri ile webhook'suz doğrulama
Webhook sertifika yönetimi ve cert-manager caBundle enjeksiyonu
Webhook kaynaklı küme kilitlenmelerinin önlenmesi ve kurtarılması

Modül 3

Pod Security Admission ve Güvenlik Bağlamları

Pod Security Standards: privileged, baseline, restricted profilleri
Namespace etiketleriyle enforce, audit ve warn modları (pod-security.kubernetes.io/*)
securityContext: runAsNonRoot, runAsUser, readOnlyRootFilesystem, allowPrivilegeEscalation: false
capabilities drop: [ALL], seccompProfile: RuntimeDefault ve AppArmor
Privileged konteyner, hostNetwork ve hostPath risklerinin gösterimi
kubesec ve kube-bench ile CIS Benchmark taramaları

Modül 4

RBAC: Role, ClusterRole ve Binding

Role/ClusterRole kuralları: apiGroups, resources, resourceNames ve verbs alanları
RoleBinding ve ClusterRoleBinding farkı; ClusterRole'ün RoleBinding ile namespace'e daraltılması
Subject türleri: User, Group ve ServiceAccount; X.509 sertifika tabanlı kullanıcı oluşturma
CertificateSigningRequest ile kullanıcı sertifikası onaylama ve kubeconfig üretme
kubectl auth can-i --as ve auth whoami ile yetki doğrulama
Aggregated ClusterRole'ler, escalate/bind kısıtları ve aşırı yetkili cluster-admin riskleri

Günün hedefiKatılımcı, politika motorları, özel kaynaklar, serviceaccount ve secret yönetimi başlıklarını laboratuvar uygulamalarıyla işleyerek günün konularında bağımsız çalışabilir hale gelir.

Modül 1

Kyverno ve OPA Gatekeeper ile Politika Yönetimi

Policy-as-code yaklaşımı ve admission tabanlı uygulama
Kyverno ClusterPolicy: validate, mutate, generate ve verifyImages kuralları
OPA Gatekeeper ConstraintTemplate, Constraint ve Rego temelleri
Zorunlu etiket, kaynak limiti, güvenilir registry ve latest etiketi yasaklama kuralları
Audit modu, PolicyReport ve ihlal raporlama
Politika testleri: kyverno test ve conftest ile CI'da doğrulama

Modül 2

CustomResourceDefinition ve Özel Kaynaklar

CRD yapısı: group, versions, scope (Namespaced/Cluster) ve names alanları
OpenAPI v3 şema doğrulaması, x-kubernetes-validations ile CEL kuralları
Çoklu sürüm, storage version ve conversion webhook
Alt kaynaklar: status ve scale; printer column'lar ve kısa adlar
kubectl ile özel kaynak oluşturma, silme ve finalizer davranışı
API Aggregation Layer ile CRD farkı ve uygun kullanım seçimi

Modül 3

ServiceAccount ve Pod Kimliği

Varsayılan ServiceAccount ve automountServiceAccountToken: false ile gereksiz token'ın kaldırılması
Projected ServiceAccount token'ları: audience, expirationSeconds ve TokenRequest API
kubectl create token ile kısa ömürlü token üretimi
Pod'dan API'ye in-cluster erişim: CA, token ve KUBERNETES_SERVICE_HOST
Bulutta IRSA, Workload Identity ve Azure AD Workload Identity eşlemeleri
Uygulama başına ayrı ServiceAccount ve minimum RBAC tasarımı

Modül 4

Secret Türleri ve Güvenli Kullanımı

Opaque, kubernetes.io/tls, dockerconfigjson ve service-account-token Secret türleri
base64 kodlamanın şifreleme olmadığı gerçeği ve stringData alanının kullanımı
Secret'ın env ve volume olarak tüketimi; tmpfs üzerinde bağlanma davranışı
imagePullSecrets ile özel registry'den imaj çekme yapılandırması
etcd'de EncryptionConfiguration ile at-rest şifreleme (aescbc, kms v2) ve anahtar rotasyonu
External Secrets Operator, Sealed Secrets ve Secrets Store CSI Driver'a genel bakış

Günün hedefiKatılımcı, prometheus izleme, kaynak yönetimi, çok kiracılılık ve log mekanizması başlıklarını laboratuvar uygulamalarıyla işleyerek günün konularında bağımsız çalışabilir hale gelir.

Modül 1

Prometheus ve Grafana ile Küme İzleme

kube-prometheus-stack Helm chart'ı ile Prometheus Operator kurulumu
ServiceMonitor ve PodMonitor ile hedef keşfi, relabeling kuralları
PromQL temelleri: rate(), irate(), sum by, histogram_quantile
kube-state-metrics ile Deployment, Pod ve Node durum metrikleri
Alertmanager rotaları, gruplama, susturma ve Slack/e-posta alıcıları
Grafana panoları, değişkenler ve USE/RED yöntemleriyle panel tasarımı

Modül 2

Kaynak İstekleri, Limitler, Quota ve LimitRange

requests ve limits farkı; CPU throttling ile bellek OOMKilled davranışı
QoS sınıfları: Guaranteed, Burstable, BestEffort ve tahliye (eviction) sırası
LimitRange ile varsayılan değerler, min/max ve oran sınırları
ResourceQuota: compute, object count ve scopeSelector kullanımı
Düğüm allocatable hesabı: kube-reserved, system-reserved ve eviction eşikleri
Hiyerarşik namespace ve multi-tenant kota stratejileri

Modül 3

Çok Kiracılı Küme ve Maliyet Yönetimi

Namespace tabanlı kiracılık: kota, RBAC, NetworkPolicy ve PSA birlikte kullanımı
vCluster ve Capsule gibi sanal küme / kiracı çözümleri
Kubecost ve OpenCost ile namespace bazlı maliyet raporlama
Node pool ayırma, taint ve dedicated node stratejileri
Spot/preemptible düğümlerle maliyet düşürme ve kesinti toleransı
Hierarchical Namespace Controller ve politika mirası

Modül 4

Kubernetes Log Mekanizması

Konteyner stdout/stderr akışı ve /var/log/pods ile /var/log/containers dosya yapısı
kubectl logs bayrakları: -f, --previous, --since, --tail, -c, --all-containers
Log rotasyonu: kubelet containerLogMaxSize ve containerLogMaxFiles ayarları
Düğüm düzeyi ajan (DaemonSet) ile log toplama: Fluent Bit ve Fluentd karşılaştırması
Sidecar ile dosya tabanlı uygulama loglarının stdout'a aktarılması
Kubernetes denetim (audit) loglarının politika seviyeleri: None, Metadata, Request, RequestResponse

Günün hedefiKatılımcı, i̇ş yükü tasarımı, yerel geliştirme ve ci, argo cd ve hazır operatörler başlıklarını laboratuvar uygulamalarıyla işleyerek günün konularında bağımsız çalışabilir hale gelir.

Modül 1

İş Yükü Tasarımı: Ortam, Komut ve Kaynak Tanımı

Pod spec'inde env, envFrom, command, args ve workingDir alanları
Uygulama yapılandırmasının koddan ayrılması ve ortam bazlı değerler
Çok konteynerli Pod'ta imaj ve sorumluluk ayrımı
Kaynak istek/limit değerlerinin yük testi ile belirlenmesi
Label stratejisi ve Service ile eşleşecek şekilde manifest kurgusu
Manifest şablonlarını kubectl create --dry-run ve explain ile hızla üretme

Modül 2

Yerel Geliştirme, Test ve CI Hattı

kind, minikube ve k3d ile yerel küme kurulumu; kind config ile çok düğümlü küme
Skaffold ve Tilt ile inner-loop: otomatik build, push ve deploy
kubeconform, kubeval ve kube-linter ile manifest doğrulama
GitHub Actions/GitLab CI ile imaj build, test, Trivy tarama ve push adımları
Entegrasyon testi: kind kümesinde geçici namespace ile uçtan uca doğrulama
Preview ortamları: PR başına namespace ve otomatik temizlik

Modül 3

Argo CD ile GitOps

GitOps ilkeleri: bildirimsel, sürümlenmiş, otomatik çekme ve sürekli uzlaşma
Argo CD mimarisi: API server, repo server, application controller
Application ve AppProject kaynakları; syncPolicy (automated, prune, selfHeal)
ApplicationSet ile çoklu küme ve çoklu ortam üretimi
Sync wave, hook'lar (PreSync, PostSync) ve sağlık değerlendirmesi
Git depo düzeni: monorepo ve ortam dalları, RBAC ve SSO entegrasyonu

Modül 4

Hazır Operatörleri Kullanma

OperatorHub ve Operator Lifecycle Manager (OLM): Subscription, CSV, InstallPlan
cert-manager Issuer/ClusterIssuer ve Certificate kaynakları
Prometheus Operator CRD'leri: Prometheus, ServiceMonitor, PrometheusRule
CloudNativePG veya Zalando Postgres Operator ile veritabanı kümesi yönetimi
Strimzi ile Kafka kümesi, Topic ve User CRD'leri
Operatör yükseltme, bağımlılık yönetimi ve capability level (1-5) değerlendirmesi

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

API mekanizması

API sunucusunun kaynak, sürüm ve erişim modelini kullanabilirsiniz

✅

Pod güvenliği

Pod Security Standards ve securityContext ile iş yüklerini sertleştirebilirsiniz

✅

Politika motorları

Kyverno ve Gatekeeper ile küme politikalarını kod olarak yönetebilirsiniz

✅

ServiceAccount

ServiceAccount token'larını ve Pod kimliğini güvenle yönetebilirsiniz

✅

Prometheus izleme

Prometheus ve Grafana ile küme izleme ve alarm altyapısı kurabilirsiniz

✅

Çok kiracılılık

Çok kiracılı kümelerde izolasyon ve maliyet görünürlüğü sağlayabilirsiniz

✅

İş yükü tasarımı

12-factor uyumlu iş yükü manifestleri hazırlayabilirsiniz

✅

Argo CD

Argo CD ile Git tabanlı sürekli teslimat akışı kurabilirsiniz

Kimler İçin Uygundur?

Platform güvenliği ve uyumluluktan sorumlu DevOps
güvenlik
platform mühendisleri için uygundur

Sıkça Sorulan Sorular

Bu eğitim kimler için uygundur?

Platform güvenliği ve uyumluluktan sorumlu DevOps, güvenlik ve platform mühendisleri için uygundur.

Eğitimde hangi konular işlenir?

4 gün boyunca şu modüller işlenir: Kubernetes API Mekanizması; Admission Controller ve Webhook'lar; Pod Security Admission ve Güvenlik Bağlamları; RBAC: Role, ClusterRole ve Binding; Kyverno ve OPA Gatekeeper ile Politika Yönetimi; CustomResourceDefinition ve Özel Kaynaklar; ServiceAccount ve Pod Kimliği; Secret Türleri ve Güvenli Kullanımı ve diğerleri.

Eğitim kaç gün sürer ve nasıl işlenir?

Eğitim 4 gündür. Her modül gerçek bir Kubernetes kümesinde kendi manifestlerinizi yazdığınız, bozup düzelttiğiniz uygulamalı atölyelerle işlenir.

Başlamak için hangi ön bilgi gerekir?

En az bir Kubernetes kümesinde iş yükü dağıtmış ve kubectl'i günlük kullanmış olmak. systemd, iptables/ağ araçları ve TLS sertifikası kavramlarını bilmek.

Eğitim sonunda belge verilir mi?

Başarıyla tamamlayan katılımcılara Digital Vizyon Akademi Katılım ve Başarı Sertifikası verilir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika

KUBERNETES APPLICATION DEVELOPER: POLICY-DRIVEN GOVERNANCE AND ADMISSION CONTROL EĞİTİMİ

Eğitim Hakkında

Neden Bu Eğitim?

Anahtar Konular

Ön Koşullar

Eğitim İçeriği

Kubernetes API Mekanizması

Admission Controller ve Webhook'lar

Pod Security Admission ve Güvenlik Bağlamları

RBAC: Role, ClusterRole ve Binding

Kyverno ve OPA Gatekeeper ile Politika Yönetimi

CustomResourceDefinition ve Özel Kaynaklar

ServiceAccount ve Pod Kimliği

Secret Türleri ve Güvenli Kullanımı

Prometheus ve Grafana ile Küme İzleme

Kaynak İstekleri, Limitler, Quota ve LimitRange

Çok Kiracılı Küme ve Maliyet Yönetimi

Kubernetes Log Mekanizması

İş Yükü Tasarımı: Ortam, Komut ve Kaynak Tanımı

Yerel Geliştirme, Test ve CI Hattı

Argo CD ile GitOps

Hazır Operatörleri Kullanma

Eğitim Kazanımları

Kimler İçin Uygundur?

Sıkça Sorulan Sorular

Sertifikalandırma

Eğitim Bilgileri

Bu Eğitimle Birlikte Tercih Edilenler

Solutions for Multi-cloud Load Balancing: Load Balancing Kubernetes Solutions Eğitimi

Spring Boot, Docker ve Kubernetes ile Mikro Servislerin İnşası Eğitimi

SUSE Rancher Prime Deployment and Operations (RAN201V2.12) Eğitimi

Working with Containers: Introduction to Kubernetes Eğitimi

Advanced Red Hat OpenShift Management - (DO398) Eğitimi