Antony 筆記：技術原理與實務經驗 – 其他

跨叢集 CoreDNS AXFR 同步與 PodCIDR 路由設定紀錄

Mon, 29 Jun 2026 03:28:06 +0800

# us-tkcdc-01
$ kubectl get nodes -o wide
NAME STATUS ROLES AGE VERSION INTERNAL-IP EXTERNAL-IP OS-IMAGE KERNEL-VERSION CONTAINER-RUNTIME
tkdt-control-plane Ready control-plane 19h v1.34.3 172.22.16.1 <none> Debian GNU/Linux 12 (bookworm) 6.8.0-124-generic containerd://2.2.0
tkdt-master1 Ready <none> 19h v1.34.3 172.22.16.2 <none> Debian GNU/Linux 12 (bookworm) 6.8.0-124-generic containerd://2.2.0
tkdt-worker1 Ready <none> 19h v1.34.3 172.22.16.3 <none> Debian GNU/Linux 12 (bookworm) 6.8.0-124-generic containerd://2.2.0
tkdt-worker2 Ready <none> 19h v1.34.3 172.22.16.4 <none> Debian GNU/Linux 12 (bookworm) 6.8.0-124-generic containerd://2.2.0
tkdt-worker3 Ready <none> 19h v1.34.3 172.22.16.5 <none> Debian GNU/Linux 12 (bookworm) 6.8.0-124-generic containerd://2.2.0
$ kubectl describe nodes | grep -i podcidr
PodCIDR: 10.244.16.0/25
PodCIDRs: 10.244.16.0/25
PodCIDR: 10.244.16.128/25
PodCIDRs: 10.244.16.128/25
PodCIDR: 10.244.17.0/25
PodCIDRs: 10.244.17.0/25
PodCIDR: 10.244.17.128/25
PodCIDRs: 10.244.17.128/25
PodCIDR: 10.244.18.0/25
PodCIDRs: 10.244.18.0/25
$ kubectl -n kube-system get cm kubeadm-config -o yaml | grep serviceSubnet
serviceSubnet: 10.98.16.0/24
sudo route add -net 172.22.26.0 netmask 255.255.255.128 gw 192.168.11.102
sudo route add -net 10.244.17.0 netmask 255.255.255.128 gw 172.22.16.3
sudo route add -net 10.244.17.128 netmask 255.255.255.128 gw 172.22.16.4
sudo route add -net 10.244.18.0 netmask 255.255.255.128 gw 172.22.16.5
sudo route add -net 10.244.25.0 netmask 255.255.255.128 gw 192.168.11.102
sudo route add -net 10.244.25.128 netmask 255.255.255.128 gw 192.168.11.102
sudo route add -net 10.244.26.0 netmask 255.255.255.128 gw 192.168.11.102
sudo route add -net 10.98.16.0 netmask 255.255.255.0 gw 172.22.16.5
sudo route add -net 10.98.24.0 netmask 255.255.255.0 gw 192.168.11.102
kubectl apply -f - <<'EOF'
apiVersion: v1
kind: Service
metadata:
name: nginx-tkdt
labels:
app: nginx-tkdt
spec:
clusterIP: None
selector:
app: nginx-tkdt
ports:
- port: 80
name: web
---
apiVersion: apps/v1
kind: StatefulSet
metadata:
name: nginx-tkdt
spec:
serviceName: nginx-tkdt
replicas: 2
selector:
matchLabels:
app: nginx-tkdt
template:
metadata:
labels:
app: nginx-tkdt
spec:
containers:
- name: nginx-tkdt
image: nginx
ports:
- containerPort: 80
name: web
EOF
$ kubectl get pods -o wide
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
nginx-tkdt-0 1/1 Running 0 36s 10.244.17.5 tkdt-worker1 <none> <none>
nginx-tkdt-1 1/1 Running 0 33s 10.244.18.6 tkdt-worker3 <none> <none>
$ kubectl get svc nginx-tkdt
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
nginx-tkdt ClusterIP None <none> 80/TCP 44s
$ curl -sI http://10.244.17.5 | head -n 1
HTTP/1.1 200 OK
$ curl -sI http://10.244.26.5 | head -n 1
HTTP/1.1 200 OK
$ dig @10.98.16.10 nginx-tkdt-0.nginx-tkdt.default.svc.tkdt.k8s +short
10.244.17.5
$ dig @10.98.16.10 nginx-tkdt-1.nginx-tkdt.default.svc.tkdt.k8s +short
10.244.18.6
$ dig @10.98.24.10 nginx-tkndt-0.nginx-tkndt.default.svc.tkndt.k8s +short
10.244.26.5
$ dig @10.98.24.10 nginx-tkndt-1.nginx-tkndt.default.svc.tkndt.k8s +short
10.244.25.5
$ kubectl -n kube-system edit cm coredns
transfer tkdt.k8s { # 其他人可以跟我用 AXFR 同步
to * # 來源 IP 問題，先開放給所有人
}
secondary tkndt.k8s { # 我向 tkndt 同步的 domain
transfer from 10.98.24.10 # tkndt 的 coredns svc ip
}
$ kubectl -n kube-system rollout restart deployment coredns
$ kubectl -n kube-system get pods -l k8s-app=kube-dns
NAME READY STATUS RESTARTS AGE
coredns-7d597fb798-5zx2n 1/1 Running 0 16s
coredns-7d597fb798-7xmg7 1/1 Running 0 16s
$ dig @10.98.16.10 nginx-tkndt-0.nginx-tkndt.default.svc.tkndt.k8s +short
10.244.26.5
$ dig @10.98.16.10 nginx-tkndt-1.nginx-tkndt.default.svc.tkndt.k8s +short
10.244.25.5
$ kubectl exec nginx-tkdt-0 -- curl -sI nginx-tkndt-0.nginx-tkndt.default.svc.tkndt.k8s | head -n 1
HTTP/1.1 200 OK
$ kubectl exec nginx-tkdt-0 -- curl -sI nginx-tkndt-1.nginx-tkndt.default.svc.tkndt.k8s | head -n 1
HTTP/1.1 200 OK
==========================================================================
# us-tkcdc-02
$ kubectl get nodes -o wide
NAME STATUS ROLES AGE VERSION INTERNAL-IP EXTERNAL-IP OS-IMAGE KERNEL-VERSION CONTAINER-RUNTIME
tkndt-control-plane Ready control-plane 18h v1.34.3 172.22.26.1 <none> Debian GNU/Linux 12 (bookworm) 6.8.0-124-generic containerd://2.2.0
tkndt-master1 Ready <none> 18h v1.34.3 172.22.26.2 <none> Debian GNU/Linux 12 (bookworm) 6.8.0-124-generic containerd://2.2.0
tkndt-worker1 Ready <none> 18h v1.34.3 172.22.26.3 <none> Debian GNU/Linux 12 (bookworm) 6.8.0-124-generic containerd://2.2.0
tkndt-worker2 Ready <none> 18h v1.34.3 172.22.26.4 <none> Debian GNU/Linux 12 (bookworm) 6.8.0-124-generic containerd://2.2.0
tkndt-worker3 Ready <none> 18h v1.34.3 172.22.26.5 <none> Debian GNU/Linux 12 (bookworm) 6.8.0-124-generic containerd://2.2.0
$ kubectl describe nodes | grep -i podcidr
PodCIDR: 10.244.24.0/25
PodCIDRs: 10.244.24.0/25
PodCIDR: 10.244.24.128/25
PodCIDRs: 10.244.24.128/25
PodCIDR: 10.244.25.0/25
PodCIDRs: 10.244.25.0/25
PodCIDR: 10.244.25.128/25
PodCIDRs: 10.244.25.128/25
PodCIDR: 10.244.26.0/25
PodCIDRs: 10.244.26.0/25
$ kubectl -n kube-system get cm kubeadm-config -o yaml | grep serviceSubnet
serviceSubnet: 10.98.24.0/24
sudo route add -net 172.22.16.0 netmask 255.255.255.128 gw 192.168.11.101
sudo route add -net 10.244.25.0 netmask 255.255.255.128 gw 172.22.26.3
sudo route add -net 10.244.25.128 netmask 255.255.255.128 gw 172.22.26.4
sudo route add -net 10.244.26.0 netmask 255.255.255.128 gw 172.22.26.5
sudo route add -net 10.244.17.0 netmask 255.255.255.128 gw 192.168.11.101
sudo route add -net 10.244.17.128 netmask 255.255.255.128 gw 192.168.11.101
sudo route add -net 10.244.18.0 netmask 255.255.255.128 gw 192.168.11.101
sudo route add -net 10.98.16.0 netmask 255.255.255.0 gw 192.168.11.101
sudo route add -net 10.98.24.0 netmask 255.255.255.0 gw 172.22.26.5
kubectl apply -f - <<'EOF'
apiVersion: v1
kind: Service
metadata:
name: nginx-tkndt
labels:
app: nginx-tkndt
spec:
clusterIP: None
selector:
app: nginx-tkndt
ports:
- port: 80
name: web
---
apiVersion: apps/v1
kind: StatefulSet
metadata:
name: nginx-tkndt
spec:
serviceName: nginx-tkndt
replicas: 2
selector:
matchLabels:
app: nginx-tkndt
template:
metadata:
labels:
app: nginx-tkndt
spec:
containers:
- name: nginx-tkndt
image: nginx
ports:
- containerPort: 80
name: web
EOF
$ kubectl get pods -o wide
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
nginx-tkndt-0 1/1 Running 0 29s 10.244.26.5 tkndt-worker3 <none> <none>
nginx-tkndt-1 1/1 Running 0 23s 10.244.25.5 tkndt-worker1 <none> <none>
$ kubectl get svc nginx-tkndt
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
nginx-tkndt ClusterIP None <none> 80/TCP 90s
$ curl -sI http://10.244.17.5 | head -n 1
HTTP/1.1 200 OK
$ curl -sI http://10.244.26.5 | head -n 1
HTTP/1.1 200 OK
$ dig @10.98.24.10 nginx-tkndt-0.nginx-tkndt.default.svc.tkndt.k8s +short
10.244.26.5
$ dig @10.98.24.10 nginx-tkndt-1.nginx-tkndt.default.svc.tkndt.k8s +short
10.244.25.5
$ dig @10.98.16.10 nginx-tkdt-0.nginx-tkdt.default.svc.tkdt.k8s +short
10.244.17.5
$ dig @10.98.16.10 nginx-tkdt-1.nginx-tkdt.default.svc.tkdt.k8s +short
10.244.18.6
$ kubectl -n kube-system edit cm coredns
transfer tkndt.k8s { # 其他人可以跟我用 AXFR 同步
to * # 來源 IP 問題，先開放給所有人
}
secondary tkdt.k8s { # 我向 tkndt 同步的 domain
transfer from 10.98.16.10 # tkndt 的 coredns svc ip
}
$ kubectl -n kube-system rollout restart deployment coredns
$ kubectl -n kube-system get pods -l k8s-app=kube-dns
NAME READY STATUS RESTARTS AGE
coredns-7446d9745d-5pjh7 1/1 Running 0 11s
coredns-7446d9745d-5pxtj 1/1 Running 0 11s
$ $ dig @10.98.24.10 nginx-tkdt-0.nginx-tkdt.default.svc.tkdt.k8s +short
10.244.17.5
$ dig @10.98.24.10 nginx-tkdt-1.nginx-tkdt.default.svc.tkdt.k8s +short
10.244.18.6
$ kubectl exec nginx-tkndt-0 -- curl -sI nginx-tkdt-0.nginx-tkdt.default.svc.tkdt.k8s | head -n 1
HTTP/1.1 200 OK
$ kubectl exec nginx-tkndt-0 -- curl -sI nginx-tkdt-1.nginx-tkdt.default.svc.tkdt.k8s | head -n 1
HTTP/1.1 200 OK

Claude Code Best Practice

Mon, 01 Jun 2026 03:25:26 +0800

AGENTS.md (全域)

$ nano ~/.claude/AGENTS.md
# 全域偏好
- 回覆使用繁體中文
$ echo @AGENTS.md > ~/.claude/CLAUDE.md

資安事件報告 - 內部跳板伺服器遭加密貨幣挖礦惡意程式入侵

Wed, 06 May 2026 08:09:20 +0800

1. 事件概要

內部跳板與開發伺服器遭未授權入侵。經鑑識確認，本事件為典型的 加密貨幣資源劫持 (Cryptojacking)，攻擊者透過對外暴露的 SSH 服務進行長期的密碼暴力破解，成功取得系統 root 權限。

攻擊者入侵後展現出高度的隱蔽技巧：

降權躲避查緝：取得 root 後，刻意切換至一般使用者 A 的身分，於 /var/tmp/ 目錄下執行挖礦程式，以避免在系統資源監控（如 top）中出現 root 執行高耗能程序的突兀現象。
雙軌營利模式：同時運行傳統的 XMRig 惡意挖礦（挖掘 Monero）與合法的 Vortix Cloud DePIN 算力出租節點（vortix-agent），多管齊下榨取伺服器算力。
深度潛伏：部署了 sshdd.so (利用 LD_PRELOAD 機制的 Userland Rootkit) 來隱藏實體檔案，並建立 systemd 幽靈帳號與 sudoers 免密碼提權後門，確保能長期掌控系統。

本事件未發現明確的資料外洩 (Data Exfiltration) 傳輸行為。初始調查中 /var/tmp/syst3md.1~8 出現的 2025 年 11 月 檔案時間戳記，經查證為攻擊者使用 wget 或 curl 下載工具時，保留了中繼伺服器上原始檔案之 Last-Modified 時間所致（Time-stomping 假象），實際入侵時間確認為 2026 年 2 月 15 日。

2. 受影響範圍評估

確診受害主機： 內部跳板與開發伺服器（主機名稱與 IP 已匿名化）
初始感染源 (Patient Zero)： 該伺服器本身（因 SSH 對外開放且密碼遭暴力破解），已排除終端使用者 A 之個人電腦遭惡意程式感染的風險。
橫向移動風險評估： 雖然攻擊者主要目標為挖礦，但因其曾掌握 root 權限長達 80 餘天，伺服器上曾存放之使用者 B 的 SSH 私鑰、GitLab 密碼及各類環境變數 Token 均需視為「已遭曝露」。內網 K8s/RKE2 節點（30+ 台主機）具有潛在橫向感染風險，需全面清查。

3. 攻擊時間軸 (Timeline)

發生時間	攻擊階段	關鍵事件與動作描述
2026-01 至 02 月	初始存取 (Initial Access)	系統遭來自多個海外 IP (如 121.64.89.228) 之持續性 SSH 暴力破解攻擊，導致 `btmp` 錯誤登入日誌暴增至 258MB。
2026-02-15 13:06	破城與持久化	攻擊者成功猜中 `root`（或具 sudo 權限帳號）密碼。登入後上傳 Launcher (`/usr/bin/log`)。
2026-02-15 13:07	佈署後門	植入 Rootkit (`sshdd.so`)；建立幽靈帳號 `systemd` (UID 1003) 並修改 `/etc/sudoers` 賦予免密碼提權能力。
2026-02-15 13:08	降權執行挖礦	啟用 `/etc/ld.so.preload` 隱藏行蹤；切換為使用者 A 身份，下載並執行 XMRig 礦工 (`syst3md` / `/var/log/log`)。(註：此時下載的檔案帶有 2025-11-19 之原始 HTTP 標頭時間)。
2026-03-02	工具更新	攻擊者下載 `mOymN.gz` (6MB 工具包)。
2026-03-28	部署 DePIN 獲利	攻擊者上傳 `vortix-agent` (15.7MB) 並執行，開始利用 Vortix Cloud 進行算力出租獲利。
2026-04-18	持續活動	下載器腳本 `cli` 進行最後一次更新。
2026-05-06	偵測與應變	管理員發現異常 (LD_PRELOAD 攔截)，展開鑑識，確認入侵路徑並進行緊急止血。

4. 威脅指標 (IoCs)

4.1 惡意檔案與 Hash (SHA256)

Rootkit (/usr/local/lib/sshdd.so): acb2e78d748e9a22e80c386a58f6377f683fce556bc64da2bd6d82b2a9207e3c
Launcher (/usr/bin/log): c8e59338f471e255a40e13ef810db7db98ce018e417211ca0bdf90ef8cdd3894
XMRig Miner (/var/log/log & /var/tmp/syst3md.1): dcf343df280816c4856ee164b9b4b14906a09b1fd4bfab604ee9370529ed61d1
Vortix CLI (/var/tmp/cli): c21fa4c1d6ed5342e49ef0561cc566a2cbe06a83f6298374fe9cb4f8027b6911
Vortix Agent (/var/tmp/vortix-agent): c6b67c7ffc11c67eea889b8e0eef6891123123388297e0deaa490837a7b06833
Tool Archive (/var/tmp/mOymN.gz): ac15860162f216d03e374d07f7eeb42944e4b0f08e78ea2468f3df9cbdb860cf

4.2 系統入侵跡證

檔案隱藏機制： /etc/ld.so.preload (內容包含 /usr/local/lib/sshdd.so)
持久化服務： /etc/systemd/system/log.service
Cron 後門： /etc/cron.hourly/0 (權限 5777，大小 0 bytes)
提權後門帳號：
- /etc/passwd 中存在偽裝帳號 systemd:x:1003:1003:...
- /etc/sudoers 中存在越權設定 systemd ALL=(ALL) NOPASSWD:ALL

4.3 網路與通訊 (Network/C2)

77.221.157.206:6196 (Rootkit 內建 C2)
141.95.72.59 (Rootkit 內建 C2)
139.99.125.38 (Rootkit 內建 C2)
139.99.123.196 (Rootkit 內建 C2)
141.94.96.71:3333 (活動礦池)
94.26.106.195 (HTTP Staging Server，提供 cli 等惡意程式下載)
pool.supportxmr.com:9000 (合法 Monero 礦池，遭濫用)

4.4 攻擊者 Vortix DePIN 識別標記 (Tokens)

uUbGvGz7zAMgGtHsTo8EOi1krvj+OPi7SF5UMeoCJnU=
jUliaNLclI34oUpjC7ewra/HjEuw+UgYa7jrpxMBC3k=

5. 攻擊手法分析 (MITRE ATT&CK Mapping)

階段策略	技術編號	技術名稱	具體行為對應
Initial Access	T1110.001	Password Guessing	針對伺服器對外 SSH 服務進行密集密碼暴力破解。
Execution	T1059.004	Unix Shell	利用 Bash 執行 `wget`/`curl` 下載腳本與執行檔。
Privilege Escalation	T1548.003	Sudo and Sudo Caching	建立 `systemd` 帳號並於 `/etc/sudoers` 寫入 `NOPASSWD:ALL` 後門。
Defense Evasion	T1070.006	Timestomp	利用 `wget` 預設行為保留伺服器端舊時間戳記，造成調查干擾。
Defense Evasion	T1548.002	Bypass User Account Control	取得 `root` 後刻意切換為使用者 A 身份執行耗能程式，規避直覺查緝。
Defense Evasion	T1574.006	Dynamic Linker Hijacking	植入 `sshdd.so` 劫持 `LD_PRELOAD`，攔截目錄與檔案讀取 API。
Persistence	T1546.004	Unix shell Configuration	利用 Systemd (`log.service`) 與 Cron (`/etc/cron.hourly/0`) 進行駐留。
Impact	T1496	Resource Hijacking	同時執行 XMRig 與 Vortix Agent，劫持運算力進行雙重加密貨幣獲利。

6. 處置與防護建議

6.1 立即止血 (Containment)

強制中止惡意程序： 中止 /var/log/log、/usr/bin/log、cli、vortix-agent 等程序，並全面停用 log.service。
根除 Rootkit 與實體檔案： 刪除 /etc/ld.so.preload 解除系統攔截，清理 /var/tmp/ 下之所有惡意工具與備份。
封堵後門帳號： 於 /etc/passwd、/etc/shadow 刪除 systemd 偽裝帳號，並修改 /etc/sudoers 移除越權規則。
網路封鎖： 於上層防火牆 (Firewall/Security Group) 設定阻擋已知之 C2 節點、礦池 IP 及 Staging Server。

6.2 系統重建與憑證輪替 (Eradication & Recovery)

作業系統重裝： 由於伺服器曾遭 Rootkit 高度掌控逾 80 天，強烈建議從乾淨的 ISO 映像檔重新安裝作業系統，僅可遷移純資料檔案（如設定檔、資料庫 dump），切勿直接複製執行檔或系統腳本。
全面撤銷與輪替憑證：
- 強制重設所有伺服器本機帳號密碼。
- 撤銷伺服器上使用者 A、使用者 B 等所有使用者的 SSH 私鑰，並重新核發。
- 重設所有可能於伺服器上曝露之第三方憑證（如 GitLab Admin、K8s Secret 等）。

6.3 長期安全強化 (Post-Incident)

阻斷暴力破解根源 (最高優先級)： 修改 /etc/ssh/sshd_config，設定 PasswordAuthentication no，全面強制僅能使用 SSH 金鑰登入。
存取來源限制： 透過防火牆限制 SSH 服務僅允許信任的來源 IP（如公司 VPN 網段）連線。
橫向掃描與威脅通報：
- 使用本報告之 IoC 腳本，清查使用者 B 曾登入過之內網 K8s 節點。
- （選用）附上攻擊者 Token 向 abuse@vortix.cloud 提出檢舉，阻斷攻擊者利用合法 DePIN 平台之洗錢管道。

Gemini CLI `/init` 異常延遲重現步驟

Tue, 05 May 2026 02:08:38 +0800

背景

原始 session 中,執行 /init 後 Gemini CLI 花了約 1 小時 25 分鐘才完成 GEMINI.md 的產出。從 log 抽出的 tool call 時間戳顯示有兩個明顯卡點:

卡點 1:/init 送出 → 第一個 tool call,等了 約 45 分鐘
卡點 2:list 根目錄 → list openspec/specs 子目錄,等了 約 31 分鐘

本文件目的是讓問題可被重現,以利後續判斷成因或回報 bug。

環境前置條件

重現前需準備與原情境一致的環境:

Gemini CLI 版本:0.40.1(stable,2026 年 4 月底發布)
OpenSpec 版本:1.3.1(2026 年 4 月下旬發布,latest 為當下最新)
Node.js / npm 已安裝(openspec 需要 Node.js 20.19.0 或更新)
OS:Linux
使用者 preference:永遠使用繁體中文回應

若要重新驗證版本:

Gemini CLI:gemini /about 或 gemini --version

OpenSpec:openspec --version

若要強制升級到當下最新 stable:

Gemini CLI:npm install -g @google/gemini-cli@latest

OpenSpec:npm install -g @fission-ai/openspec@latest

一鍵建立 workspace

mkdir -p ~/k8s/workload/graceful-shutdown
sudo npm install -g @fission-ai/openspec
cd ~/k8s/workload/graceful-shutdown
openspec init --tools gemini

openspec init --tools gemini 會自動產出以下結構,內含 .gemini/commands/opsx/ 的 4 個 toml 指令、.gemini/skills/openspec-*/ 的 4 個 SKILL.md,以及 openspec/changes/archive/ 與 openspec/specs/ 兩個空目錄:

graceful-shutdown/
├── .gemini/
│ ├── commands/opsx/
│ │ ├── apply.toml
│ │ ├── archive.toml
│ │ ├── explore.toml
│ │ └── propose.toml
│ └── skills/
│ ├── openspec-apply-change/SKILL.md
│ ├── openspec-archive-change/SKILL.md
│ ├── openspec-explore/SKILL.md
│ └── openspec-propose/SKILL.md
└── openspec/
├── changes/archive/
└── specs/

啟動 CLI(建議開啟 debug log + YOLO 模式)

cd ~/k8s/workload/graceful-shutdown
script -q /tmp/gemini-repro.log -c 'gemini --debug --yolo'

--debug 在卡住時可以從 log 看出是 retry、thinking、還是在等 API。

--yolo 會自動同意所有 tool 呼叫的確認對話,避免重現過程被 plan / write_file / shell 的確認 prompt 打斷,確保延遲現象來自 Gemini 本身而非「等使用者按 yes」。

script 指令會保留 TTY 讓互動模式正常運作,同時把整個 terminal session 錄到指定檔案。結束時按 Ctrl+D 或輸入 exit。

替代方案:若不需要 log 檔,直接 gemini --debug --yolo 即可。互動模式的 log 也會自動寫到 ~/.gemini/ 底下,可在 CLI 內輸入 /about 或 /bug 查詢確切路徑。

重現步驟

Step 1 — 完整需求

輸入:

/plan 我想搭配 openspec 的流程開發一套 go 語言寫的 http server,這網站要能夠接住 sigint 和 sigterm 的訊號,並執行 graceful shutdown,這網站最終要部署在 K8s 上,並且 CNI 是 cilium 還有啟用 kubeproxy replacement,pod 狀態為 Terminating 的時候,要執行 prestop hook sleep 2s,不要寫在 source code 裡面

預期行為:Gemini 進入 Plan Mode,使用 openspec-propose skill 並輸出計畫摘要。

Step 2 — 確認 plan(第一次)

輸入:

好

執行結果：

✦ I have drafted the detailed implementation plan. Please review it below:
1 # Implementation Plan: Graceful Shutdown Go HTTP Server
2
3 ## Background & Motivation
4 The objective is to build a Go-based HTTP server capable of performing a graceful shutdown when receiving `SIGINT` or `SIGTERM` signals. The application
will be deployed on a Kubernetes cluster utilizing the Cilium CNI with kube-proxy replacement. To ensure zero downtime during pod termination, a `preStop`
hook sleeping for 2 seconds must be configured at the deployment level rather than being hardcoded in the application logic. The development process will be
guided by the `openspec` workflow.
5
6 ## Scope & Impact
7 - **Go Application**: Create a basic HTTP server in Go that listens for termination signals and shuts down gracefully using context timeouts.
8 - **Dockerization**: Create a `Dockerfile` to containerize the Go application.
9 - **Kubernetes Manifests**: Create a Deployment and Service manifest. The Deployment must include a `lifecycle.preStop` hook to execute `sleep 2`.
10 - **Process**: Utilize `openspec-propose` to generate standard artifacts (`proposal.md`, `design.md`, `tasks.md`).
11
12 ## Proposed Solution
13 1. **OpenSpec Setup**: Use the `openspec` CLI to scaffold a new change (`graceful-shutdown-go-server`) and generate the required artifacts.
14 2. **Implementation**:
15 - Write `main.go` using `net/http` and `os/signal`.
16 - Create a minimal `Dockerfile` (e.g., multi-stage build starting from `golang:alpine`).
17 - Define `deployment.yaml` with the `preStop` hook (`command: ["/bin/sh", "-c", "sleep 2"]`).
18 3. **Verification**: Confirm the application builds, the Docker image can be created, and the Kubernetes manifests are structurally correct and contain the
requested hooks.
19
20 ## Alternatives Considered
21 - *Hardcoding sleep in Go*: Rejected as per the requirement to handle the delay externally via Kubernetes lifecycle hooks to keep the application code
focused on application-level shutdown logic rather than orchestration-specific workarounds.
22
23 ## Phased Implementation Plan
24 - **Phase 1: OpenSpec Artifacts**: Exit Plan Mode, create the `openspec` change, and let the `openspec-propose` skill generate the documentation artifacts.
25 - **Phase 2: Code Implementation**: Write the Go source code and Dockerfile.
26 - **Phase 3: Kubernetes Manifests**: Write the Deployment and Service configurations, ensuring the `preStop` hook is correctly defined.
27
28 ## Verification
29 - Code review of the Go server to ensure signal handling and context usage.
30 - Verification of the `deployment.yaml` to confirm the presence of the `preStop` hook.
31
32 ## Migration & Rollback
33 - N/A (New deployment).
Does this detailed plan look correct to you? If so, I will proceed to formally submit it for approval so we can begin execution.

Step 4 — 要求繁中

請注意永遠必須要使用繁體中文

執行結果：

✦ 接下來，我將讀取該變更的狀態，以確定需要產生哪些產出物。
╭────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ ✓ Shell openspec status --change "graceful-shutdown-go-server" --json │
│ │
│ ... first 32 lines hidden (Ctrl+O to show) ... │
│ "status": "blocked", │
│ "missingDeps": [ │
│ "design", │
│ "specs" │
│ ] │
│ } │
│ ] │
│ } │
│ Process Group PGID: 5697 │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
✦ 根據狀態，我需要先建立 proposal。我會先獲取 proposal 的指令與模板。
╭────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ ✓ Shell openspec instructions proposal --change "graceful-shutdown-go-server" --json │
│ │
│ ... first 7 lines hidden (Ctrl+O to show) ... │
│ "instruction": "Create the proposal document that establishes WHY this change is needed.\n\nSections:\n- **Why**: 1-2 sentences on the problem or │
│ opportunity. What problem does this solve? Why now?\n- **What Changes**: Bullet list of changes. Be specific about new capabilities, modifications, or │
│ removals. Mark breaking changes with **BREAKING**.\n- **Capabilities**: Identify which specs will be created or modified:\n - **New Capabilities**: List │
│ capabilities being introduced. Each becomes a new `specs/<name>/spec.md`. Use kebab-case names (e.g., `user-auth`, `data-export`).\n - **Modified │
│ Capabilities**: List existing capabilities whose REQUIREMENTS are changing. Only include if spec-level behavior changes (not just implementation details). │
│ Each needs a delta spec file. Check `openspec/specs/` for existing spec names. Leave empty if no requirement changes.\n- **Impact**: Affected code, APIs, │
│ dependencies, or systems.\n\nIMPORTANT: The Capabilities section is critical. It creates the contract between\nproposal and specs phases. Research │
│ existing specs before filling this in.\nEach capability listed here will need a corresponding spec file.\n\nKeep it concise (1-2 pages). Focus on the │
│ \"why\" not the \"how\" -\nimplementation details belong in design.md.\n\nThis is the foundation - specs, design, and tasks all build on this.\n", │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
✦ 我現在來撰寫 proposal.md。
✓ WriteFile proposal.md → Accepted (+24, -0)
1 ## Why
2
3 為了確保部署在 Kubernetes (使用 Cilium CNI 且啟用 kube-proxy replacement) 上的 Go HTTP 伺服器在 Pod 終止過程中不會遺失請求，我們需要實作 Graceful
Shutdown 機制，並搭配 Kubernetes 的 `preStop` hook。這樣可以確保在 Pod 進入 Terminating 狀態後，仍有緩衝時間處理剩餘請求。
4
5 ## What Changes
6
7 - 實作 Go 語言的 HTTP 伺服器，支援監聽 `SIGINT` 與 `SIGTERM` 訊號。
8 - 呼叫 `http.Server.Shutdown()` 方法以優雅地關閉連線。
9 - 提供 `Dockerfile` 用於容器化部署。
10 - 提供 Kubernetes Deployment 與 Service 清單 (Manifests)。
11 - 在 Deployment 中加入 `lifecycle.preStop` hook 執行 `sleep 2`。
12
13 ## Capabilities
14
15 ### New Capabilities
16 - `graceful-shutdown-server`: 提供一個具備訊號監聽與優雅關閉能力的 HTTP 伺服器，並包含 K8s 部署設定。
17
18 ### Modified Capabilities
19 <!-- 無 -->
20
21 ## Impact
22
23 - **應用程式**: 新增 `main.go` 處理伺服器啟動與關閉邏輯。
24 - **基礎設施**: 新增 K8s Deployment 與 Service 設定，影響 Pod 的生命週期管理。
✦ proposal.md 已建立。現在我再次檢查狀態，並獲取 design 的指令。
╭────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ ✓ Shell openspec status --change "graceful-shutdown-go-server" --json │
│ │
│ ... first 26 lines hidden (Ctrl+O to show) ... │
│ "status": "blocked", │
│ "missingDeps": [ │
│ "design", │
│ "specs" │
│ ] │
│ } │
│ ] │
│ } │
│ Process Group PGID: 5768 │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
✦ 我將先獲取 design 的指令。
╭────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ ✓ Shell openspec instructions design --change "graceful-shutdown-go-server" --json │
│ │
│ ... first 13 lines hidden (Ctrl+O to show) ... │
│ "path": "proposal.md", │
│ "description": "Initial proposal document outlining the change" │
│ } │
│ ], │
│ "unlocks": [ │
│ "tasks" │
│ ] │
│ } │
│ Process Group PGID: 5803 │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
✦ 現在我來撰寫 design.md。
✓ WriteFile design.md → Accepted (+28, -0)
1 ## Context
2
3 目前需要一個能夠在 Kubernetes 環境中安全退場的 Go 伺服器。由於 Kubernetes 的 Service 負載平衡與 Pod 終止是非同步進行的，若不設定 `preStop` hook 與
Graceful Shutdown，可能會在 Pod 關閉期間漏掉部分請求。
4
5 ## Goals / Non-Goals
6
7 **Goals:**
8 - 實作訊號處理邏輯以支援優雅關閉。
9 - 配置 K8s 生命週期鉤子 (`preStop`)。
10 - 確保程式碼簡潔且符合 Go 最佳實踐。
11
12 **Non-Goals:**
13 - 實作複雜的業務邏輯。
14 - 設定進階的 Cilium 網路政策（僅關注 shutdown 流程）。
15
16 ## Decisions
17
18 - **訊號處理**: 使用 `os/signal` 監聽 `SIGINT` (Ctrl+C) 與 `SIGTERM` (K8s 終止訊號)。
19 - **優雅關閉**: 使用 `http.Server.Shutdown()` 並設定 5-10 秒的超時 context，確保進行中的請求有時間完成。
20 - **Kubernetes 整合**:
21 - 在 Deployment 中加入 `lifecycle.preStop.exec` 執行 `sleep 2`。
22 - 理由：這讓 Cilium CNI 有足夠的時間從 eBPF 表中移除該 Pod 的 IP，避免新的請求進來，而此時應用程式已進入關閉流程。
23 - **容器化**: 使用多階段建置 (multi-stage build) 以縮小映像檔體積並提高安全性。
24
25 ## Risks / Trade-offs
26
27 - **[Risk]**: `preStop` hook 時間過短。 → **Mitigation**: 預設 2 秒符合一般 Cilium 環境下 kube-proxy replacement 的收斂速度。
28 - **[Risk]**: 應用程式關閉時間超過 `terminationGracePeriodSeconds`。 → **Mitigation**: 確保 Go 的 `Shutdown` context timeout 小於 K8s 的預設 30 秒。
✦ design.md 已完成。現在我需要建立 specs。根據 proposal，我定義了一個新能力 graceful-shutdown-server。
我將獲取 specs 的指令。
╭────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ ✓ Shell openspec instructions specs --change "graceful-shutdown-go-server" --json │
│ │
│ ... first 13 lines hidden (Ctrl+O to show) ... │
│ "path": "proposal.md", │
│ "description": "Initial proposal document outlining the change" │
│ } │
│ ], │
│ "unlocks": [ │
│ "tasks" │
│ ] │
│ } │
│ Process Group PGID: 5850 │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
✦ 我將建立 openspec/changes/graceful-shutdown-go-server/specs/graceful-shutdown-server/spec.md。
✓ WriteFile spec.md → Accepted (+22, -0)
1 ## ADDED Requirements
2
3 ### Requirement: 訊號監聽 (Signal Handling)
4 伺服器必須監聽 `os.Interrupt` (SIGINT) 與 `syscall.SIGTERM` 訊號。
5
6 #### Scenario: 接收到終止訊號
7 - **WHEN** 伺服器接收到 SIGTERM 訊號
8 - **THEN** 伺服器啟動關閉程序並停止接受新請求
9
10 ### Requirement: 優雅關閉 (Graceful Shutdown)
11 伺服器必須在關閉前等待現有連線處理完畢，並設定超時機制。
12
13 #### Scenario: 關閉程序執行
14 - **WHEN** 呼叫 Shutdown 方法
15 - **THEN** 伺服器等待所有作用中請求完成，或直到達到 10 秒超時為止
16
17 ### Requirement: Kubernetes PreStop Hook
18 部署清單必須包含 PreStop 鉤子以延遲應用程式關閉。
19
20 #### Scenario: Pod 進入 Terminating 狀態
21 - **WHEN** Kubernetes 將 Pod 標記為 Terminating
22 - **THEN** PreStop 鉤子執行 `sleep 2`，延遲傳送 SIGTERM 訊號給容器
✦ 現在 proposal, design, specs 都已完成。最後我需要建立 tasks。
我將獲取 tasks 的指令。
╭────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ ✓ Shell openspec instructions tasks --change "graceful-shutdown-go-server" --json │
│ │
│ ... first 17 lines hidden (Ctrl+O to show) ... │
│ "id": "design", │
│ "done": true, │
│ "path": "design.md", │
│ "description": "Technical design document with implementation details" │
│ } │
│ ], │
│ "unlocks": [] │
│ } │
│ Process Group PGID: 5894 │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
✦ 我將建立 tasks.md。
✓ WriteFile tasks.md → Accepted (+17, -0)
1 ## 1. 專案初始化與 Go 伺服器實作
2
3 - [ ] 1.1 初始化 Go 專案 (`go mod init`)
4 - [ ] 1.2 在 `main.go` 中實作基礎 HTTP 伺服器
5 - [ ] 1.3 實作訊號監聽邏輯 (`SIGINT`, `SIGTERM`)
6 - [ ] 1.4 實作優雅關閉邏輯 (`http.Server.Shutdown`)
7
8 ## 2. 容器化
9
10 - [ ] 2.1 撰寫多階段建置的 `Dockerfile`
11 - [ ] 2.2 測試本地映像檔建置
12
13 ## 3. Kubernetes 部署清單
14
15 - [ ] 3.1 撰寫 Service 清單
16 - [ ] 3.2 撰寫 Deployment 清單，並加入 `lifecycle.preStop` hook 與 `sleep 2`
17 - [ ] 3.3 驗證 Manifests 語法正確性
✦ 所有產出物均已建立。我將檢查最終狀態。
╭────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ ✓ Shell openspec status --change "graceful-shutdown-go-server" │
│ │
│ ... first 2 lines hidden (Ctrl+O to show) ... │
│ Progress: 4/4 artifacts complete │
│ │
│ [x] proposal │
│ [x] design │
│ [x] specs │
│ [x] tasks │
│ │
│ All artifacts complete! │
│ Process Group PGID: 5950 │
╰────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
✦ 所有 OpenSpec 產出物已準備就緒！
- 變更名稱: graceful-shutdown-go-server
- 位置: openspec/changes/graceful-shutdown-go-server/
- 已建立產出物:
- proposal.md: 概述為何需要此變更。
- design.md: 詳述技術決策（訊號處理、K8s Hook、多階段建置）。
- specs/graceful-shutdown-server/spec.md: 定義功能需求與測試情境。
- tasks.md: 實作檢查清單。
準備好開始實作了！
您可以輸入 /opsx:apply 或直接要求我開始執行任務。

Step 5 — 觸發 `/init`(關鍵卡點 1)

這是第一個延遲發生的位置。

在 CLI 輸入:

/init

Gemini CLI 會將其展開為內建的長 prompt(以「You are an AI agent that brings the power of Gemini directly into the terminal…」開頭),要求模型分析當前目錄並產生 GEMINI.md。

預期觀察:模型可能長時間停留在「Thinking…」狀態而未呼叫任何工具。原 session 此處等了約 45 分鐘。

建議在此設定計時器,若超過 5 分鐘無任何輸出,記錄當下時間。

Step 6 — Tool 執行間卡頓(關鍵卡點 2)

不需輸入任何內容,此為自動發生。

當 Gemini 終於開始動作後,會先 list_directory .,然後嘗試 list_directory openspec/specs。

預期觀察:這兩個 list_directory 呼叫之間可能再次出現長時間靜默。原 session 此處等了約 31 分鐘。

Step 7 — 驗證 CLI 是否還活著

若你想確認 CLI 是否真的卡住而非完成,可在另一個視窗或等到回到 prompt 後輸入:

hello?

觀察重點與紀錄

建議用一個簡單表格記錄每次重現的結果:

步驟	開始時間	結束時間	耗時	備註
Step 1-4(openspec 流程)
Step 5(`/init` 送出 → 第一個 tool call)				卡點 1
Step 6(list root → list specs)				卡點 2
Step 5-6 總和(`/init` → 寫完 GEMINI.md)

對照組建議(強烈建議跑)

為了確認延遲是否與 openspec 流程或累積 context 有關,建議再做以下對照:

對照組 A:空目錄獨立 `/init`

開新空目錄 mkdir /tmp/clean-test && cd /tmp/clean-test
啟動 gemini --debug
直接執行 /init
記錄完成時間

若 A 在數分鐘內完成,而原情境需 1 小時,可確認延遲與「已有檔案的目錄 + 累積 context」相關。

對照組 B:同目錄但全新 session

在原本的 graceful-shutdown 目錄(已含 openspec 產物)
開新 session(關閉舊的、重開 gemini)
直接執行 /init,跳過 Step 1-4
記錄完成時間

若 B 比原情境快很多,可確認延遲與「同 session 內累積的 context」相關。

蒐集的資訊(回報 bug 時附上)

執行 /about 取得:

CLI Version
Git Commit
Model(特別注意是不是 Auto / preview 模型)
Auth Method
Tier(免費/付費)

並一併附上 /tmp/gemini-repro.log 的 debug log。

啟動 log 已透露的線索

第一次嘗試啟動時,雖然指令寫法錯誤導致 CLI 立即退出,但啟動階段的 debug log 已透露幾個與本案延遲可能相關的訊息,值得在後續分析時納入考量:

Ripgrep is not available. Falling back to GrepTool. 此版本未安裝 ripgrep,搜尋將使用較慢的內建 GrepTool。/init 需要掃描整個專案目錄,這雖不至於造成小時級延遲,但會放大整體耗時。 v0.40 開始已將 ripgrep bundle 進 SEA 版本,以 npm 安裝可能未包含,可考慮另外安裝 ripgrep 套件。
Experiment flag 45773134 = 300、45773135 = 600 數值單位推測為秒,對應 5 分鐘和 10 分鐘,符合常見的 timeout / retry backoff 閾值。若後續 debug log 出現的延遲區間是 5/10 分鐘的倍數,很可能就是這兩個 flag 控制的 retry 行為。
Experiment flag 45740200 的官方公告 原文(節錄):「We are adding more robust detection of policy-violating use cases and changing how we prioritize traffic. This may result in higher capacity-related errors during periods of high traffic.」說明 Google 近期正在調整 traffic 優先順序,確實可能讓 capacity-related error 增加。這與「卡點期間其實是 backend 排隊或被節流」的推測相符。公告連結:https://goo.gle/geminicli-updates

已知相關 issues(供參考)

以下三個 issue 與本案症狀高度相符,截至 v0.40.1(本文件撰寫時的最新 stable)仍為 open,在 v0.39 ~ v0.40 的 changelog 中均未見對應 fix:

google-gemini/gemini-cli#22141 — Gemini CLI becomes extremely slow (1+ HOURS) / stuck during small code-edit tasks
google-gemini/gemini-cli#17442 — CLI Agent Intermittent Long Loading Times/Hangs During Tool Execution
google-gemini/gemini-cli#26126 — Stuck at “Thinking”

另一個與 /init 直接相關但症狀不同的 issue(僅供參考):

google-gemini/gemini-cli#6984 — /init command hangs at “Concluding the Process”

Ubuntu XFCE 安裝繁體中文輸入法 & 設定左 Shift 切換中英文

Mon, 04 May 2026 12:46:10 +0800

環境

作業系統:Ubuntu Desktop
桌面環境:XFCE
連線方式:透過 RDP 連入(xrdp)
輸入法框架:IBus
目標:使用 Chewing(新酷音)輸入繁體中文,並用單按左 Shift 切換中英文

本文件適用於已使用 IBus 框架的 XFCE 環境。如果你的桌面是 GNOME,設定方式會不同;GNOME Shell 不接受純 modifier 鍵當切換熱鍵。

步驟一:確認環境

1-1 確認桌面環境

echo $XDG_CURRENT_DESKTOP
echo $DESKTOP_SESSION

預期輸出:

XFCE
xfce

1-2 確認目前的輸入法框架

echo $GTK_IM_MODULE $QT_IM_MODULE $XMODIFIERS

預期輸出:

ibus ibus @im=ibus

1-3 確認 IBus daemon 正常運作

ps aux | grep ibus-daemon

預期輸出(關鍵在 --xim 參數要存在):

bigred 5010 0.1 0.0 457360 8652 ? Ssl 20:33 0:00 /usr/bin/ibus-daemon --daemonize --xim

步驟二:確認 / 安裝中文輸入法引擎

2-1 確認系統有 Chewing 引擎

ibus list-engine | grep -i -E "chewing|pinyin|bopomofo|rime|cangjie"

預期輸出(看到 chewing - Chewing 即代表已安裝):

language: Pinyin
chewing - Chewing
language: Tatar, Crimean
xkb:ua:crh_f:crh - Crimean Tatar (Turkish F)
...

2-2 若沒有 Chewing,執行以下指令安裝

sudo apt update
sudo apt install ibus-chewing
ibus restart

步驟三:確認輸入法清單包含 English 與 Chewing

gsettings get org.freedesktop.ibus.general preload-engines

預期輸出:

['xkb:us::eng', 'chewing']

如果清單不對,用以下指令設定:

gsettings set org.freedesktop.ibus.general preload-engines "['xkb:us::eng', 'chewing']"

步驟四:設定環境變數(關鍵步驟)⭐

這是讓設定能穩定生效的關鍵。即使目前 echo $GTK_IM_MODULE 顯示為 ibus,也要把它寫入 ~/.xprofile,確保 XFCE session 啟動時一定會載入。

4-1 檢查目前狀態

cat ~/.xprofile 2>/dev/null
cat ~/.profile 2>/dev/null | grep -E "GTK_IM_MODULE|QT_IM_MODULE|XMODIFIERS"

如果兩個指令都沒輸出,代表環境變數沒寫在使用者層級的設定檔。雖然系統可能有臨時注入,但不夠穩定,要明確寫入。

4-2 寫入 ~/.xprofile

cat > ~/.xprofile << 'EOF'
export GTK_IM_MODULE=ibus
export QT_IM_MODULE=ibus
export XMODIFIERS=@im=ibus
EOF

4-3 確認檔案內容

cat ~/.xprofile

預期輸出:

export GTK_IM_MODULE=ibus
export QT_IM_MODULE=ibus
export XMODIFIERS=@im=ibus

步驟五:設定左 Shift 為切換熱鍵

5-1 開啟 IBus 設定

ibus-setup

5-2 設定 Next input method 為 Shift_L

在 General 分頁:

找到 Keyboard Shortcuts 區塊的 Next input method 欄位
點右側的 ... 按鈕開啟設定視窗
刪除清單裡所有現有的快捷鍵(例如 <Shift>space)
在 Key code 欄位手動輸入:
```
Shift_L
```
Modifiers 區的所有勾選都不要勾(Shift / Ctrl / Alt / Super 全部不勾)
點 Add,再點 OK

設定完成後主畫面的 Next input method 欄位應顯示為:

Shift_L

注意:Modifiers 一個都不能勾。如果勾了 <Shift> 變成 modifier 用,或是寫成組合鍵(例如 <Control>Shift_L),都會導致切換行為異常。

5-3 重啟 IBus

ibus restart

步驟六:測試

開啟任一支援文字輸入的應用程式(文字編輯器、瀏覽器網址列等),按下左 Shift 鍵,應該會看到:

右上角(或工作列上)的 IBus 圖示在 EN 與中文圖示之間切換
切到中文模式後,可正常用注音輸入繁體中文
Shift + 字母鍵(如 Shift+a) 仍然正常輸出大寫字母,不會誤觸切換

完整指令速查

整個流程可以濃縮成以下幾步:

# 1. 確認環境
echo $XDG_CURRENT_DESKTOP # 應為 XFCE
echo $GTK_IM_MODULE $QT_IM_MODULE $XMODIFIERS # 應為 ibus ibus @im=ibus
ps aux | grep ibus-daemon # 確認有 --xim

# 2. 確認引擎
ibus list-engine | grep -i chewing # 應看到 chewing - Chewing
gsettings get org.freedesktop.ibus.general preload-engines # 應為 ['xkb:us::eng', 'chewing']

# 3. 寫入環境變數(關鍵)
cat > ~/.xprofile << 'EOF'
export GTK_IM_MODULE=ibus
export QT_IM_MODULE=ibus
export XMODIFIERS=@im=ibus
EOF

# 4. 開設定 → Next input method 設成 Shift_L (Modifiers 全不勾)
ibus-setup

# 5. 重啟 IBus
ibus restart

故障排除

症狀	可能原因	解法
按 Shift 完全沒反應	環境變數未生效	確認 `~/.xprofile` 已寫入,登出再登入 RDP session
按任何鍵都會觸發切換	Modifiers 勾選了 `<Shift>`,或 IBus 把 Shift_L 當 modifier 處理	重新進 ibus-setup,確認 Modifiers 完全沒勾
切換到中文後切不回英文	快捷鍵設成 `<Control>Shift_L` 等 modifier 組合,IBus 對這類組合切換不穩定	改回單獨 `Shift_L`,或改用 `<Shift>space`、`<Super>space`
螢幕中央跳出選單但右上角不變	IBus 與桌面環境通訊不同步	重啟 IBus(`ibus restart`),必要時重新登入 session
Shift+字母變成切換而不是大寫	同上(modifier 處理錯誤)	重新檢查 ibus-setup 的設定

備註:為什麼 XFCE 可以這樣設,GNOME 不行

GNOME Shell 會強制攔截輸入法熱鍵,並要求快捷鍵至少包含一個非 modifier 鍵,因此單按 Shift 在 GNOME 上做不到。
XFCE 不會攔截熱鍵,IBus 可以完整接管,所以單按 Shift_L 切換才有機會穩定運作。
如果一定要在 GNOME 上實現單按 Shift 切換,需要改用 Fcitx5 框架(它自己接管熱鍵處理,可繞過 GNOME 的限制)。

驗證 kubelet `serializeImagePulls` 行為差異

Wed, 29 Apr 2026 08:17:38 +0800

透過實際部署多個 Pod,觀察 kubelet 在 serializeImagePulls=true 與 false 兩種設定下的 image 拉取行為差異。

背景知識

兩個層級的序列化

Kubernetes 的 image pull 序列化行為其實有兩個層級:

跨 Pod 層級:由 serializeImagePulls 控制,決定不同 Pod 之間的 image 拉取是序列還是平行
Pod 內部層級:kubelet 永遠會逐一處理同一個 Pod 內的 container,這個行為不受 serializeImagePulls 影響

⚠️ 重要:測試時若用「單一 Pod 多 container」,無論 serializeImagePulls 設成什麼,都會看到序列行為。必須用「多 Pod 同時部署」才能觀察到差異。

參數版本支援

Kubernetes 1.27+:maxParallelImagePulls 為 Alpha
Kubernetes 1.28+:升為 Beta
Kubernetes 1.32+:加入 e2e 測試

前置準備

1. 選定測試用的 worker node

kubectl get nodes

本次測試使用節點:tk8s-worker2

2. 備份 kubelet 設定檔

SSH 到目標 worker node:

sudo cp /var/lib/kubelet/config.yaml /var/lib/kubelet/config.yaml.bak

3. 準備測試用 YAML

建立檔案 multi-pod-test.yaml:

apiVersion: v1
kind: Pod
metadata:
 name: pull-test-1
spec:
 nodeName: tk8s-worker2
 containers:
 - name: c
 image: nginx:1.25
 imagePullPolicy: Always
 command: ["sleep", "3600"]
---
apiVersion: v1
kind: Pod
metadata:
 name: pull-test-2
spec:
 nodeName: tk8s-worker2
 containers:
 - name: c
 image: redis:7.2
 imagePullPolicy: Always
 command: ["sleep", "3600"]
---
apiVersion: v1
kind: Pod
metadata:
 name: pull-test-3
spec:
 nodeName: tk8s-worker2
 containers:
 - name: c
 image: mysql:8.0
 imagePullPolicy: Always
 command: ["sleep", "3600"]
---
apiVersion: v1
kind: Pod
metadata:
 name: pull-test-4
spec:
 nodeName: tk8s-worker2
 containers:
 - name: c
 image: postgres:16
 imagePullPolicy: Always
 command: ["sleep", "3600"]

第一階段:測試 `serializeImagePulls=false`(平行拉取)

步驟 1:修改 kubelet 設定為 false

在 worker node 上編輯設定檔:

sudo vi /var/lib/kubelet/config.yaml

加入或修改以下欄位:

serializeImagePulls: false
maxParallelImagePulls: 5

步驟 2:重啟 kubelet

sudo systemctl restart kubelet
sudo systemctl status kubelet

確認狀態為 active (running)。

步驟 3:驗證設定生效

kubectl get --raw "/api/v1/nodes/tk8s-worker2/proxy/configz" \
 | jq '.kubeletconfig | {serializeImagePulls, maxParallelImagePulls}'

預期輸出:

{
 "serializeImagePulls": false,
 "maxParallelImagePulls": 5
}

步驟 4:清除節點上的舊 image

在 worker node 上執行:

sudo crictl rmi nginx:1.25 redis:7.2 mysql:8.0 postgres:16

步驟 5:開啟 events 監看視窗

另開一個 terminal:

kubectl get events --watch

步驟 6:部署 Pod 進行測試

kubectl apply -f multi-pod-test.yaml

步驟 7:實際執行結果

0s Normal Pulling pod/pull-test-1 Pulling image "nginx:1.25"
0s Normal Pulling pod/pull-test-2 Pulling image "redis:7.2"
0s Normal Pulling pod/pull-test-3 Pulling image "mysql:8.0"
0s Normal Pulling pod/pull-test-4 Pulling image "postgres:16"
0s Normal Pulled pod/pull-test-2 Successfully pulled image "redis:7.2" in 3.559s (3.559s including waiting). Image size: 44645040 bytes.
0s Normal Created pod/pull-test-2 Container created
0s Normal Started pod/pull-test-2 Container started
0s Normal Pulled pod/pull-test-3 Successfully pulled image "mysql:8.0" in 3.792s (3.792s including waiting). Image size: 233592821 bytes.
0s Normal Created pod/pull-test-3 Container created
0s Normal Started pod/pull-test-3 Container started
0s Normal Pulled pod/pull-test-4 Successfully pulled image "postgres:16" in 4.077s (4.077s including waiting). Image size: 160157788 bytes.
0s Normal Created pod/pull-test-4 Container created
0s Normal Started pod/pull-test-4 Container started
0s Normal Pulled pod/pull-test-1 Successfully pulled image "nginx:1.25" in 5.568s (5.568s including waiting). Image size: 71005258 bytes.
0s Normal Created pod/pull-test-1 Container created
0s Normal Started pod/pull-test-1 Container started

步驟 8:結果判讀(平行拉取的證據)

Image	pull time	including waiting	等待時間
redis:7.2	3.559s	3.559s	0s ✅
mysql:8.0	3.792s	3.792s	0s ✅
postgres:16	4.077s	4.077s	0s ✅
nginx:1.25	5.568s	5.568s	0s ✅

判讀重點:

✅ 四個 Pulling 事件同時發生(時間戳同為 0s)
✅ 每個 image 的 pull time = including waiting,代表沒有任何排隊等待
✅ 完成順序與啟動順序不同(redis 第一個拉完,但 nginx 第一個啟動)
✅ 總時間 ≈ 最慢 image 的時間(~5.5 秒)

步驟 9:清理測試環境

kubectl delete -f multi-pod-test.yaml

第二階段:測試 `serializeImagePulls=true`(序列拉取)

步驟 10:修改 kubelet 設定為 true

SSH 到 worker node,編輯設定檔:

sudo vi /var/lib/kubelet/config.yaml

修改為:

serializeImagePulls: true

⚠️ 注意:設為 true 時必須移除或註解 maxParallelImagePulls 那一行,否則 kubelet 會啟動失敗。

步驟 11:重啟 kubelet

sudo systemctl restart kubelet
sudo systemctl status kubelet

步驟 12:驗證設定生效

kubectl get --raw "/api/v1/nodes/tk8s-worker2/proxy/configz" \
 | jq '.kubeletconfig.serializeImagePulls'

預期輸出:

true

步驟 13:清除節點上的 image

在 worker node 上執行:

sudo crictl rmi nginx:1.25 redis:7.2 mysql:8.0 postgres:16

步驟 14:重新部署 Pod 並監看 events

kubectl get events --watch

另開 terminal:

kubectl apply -f multi-pod-test.yaml

步驟 15:實際執行結果

0s Normal Pulling pod/pull-test-3 Pulling image "mysql:8.0"
0s Normal Pulling pod/pull-test-1 Pulling image "nginx:1.25"
0s Normal Pulling pod/pull-test-2 Pulling image "redis:7.2"
0s Normal Pulling pod/pull-test-4 Pulling image "postgres:16"
0s Normal Pulled pod/pull-test-3 Successfully pulled image "mysql:8.0" in 3.858s (3.858s including waiting). Image size: 233592821 bytes.
0s Normal Created pod/pull-test-3 Container created
0s Normal Started pod/pull-test-3 Container started
0s Normal Pulled pod/pull-test-1 Successfully pulled image "nginx:1.25" in 4.783s (8.629s including waiting). Image size: 71005258 bytes.
0s Normal Created pod/pull-test-1 Container created
0s Normal Started pod/pull-test-1 Container started
0s Normal Pulled pod/pull-test-2 Successfully pulled image "redis:7.2" in 3.565s (12.188s including waiting). Image size: 44645040 bytes.
0s Normal Created pod/pull-test-2 Container created
0s Normal Started pod/pull-test-2 Container started
0s Normal Pulled pod/pull-test-4 Successfully pulled image "postgres:16" in 3.585s (15.751s including waiting). Image size: 160157788 bytes.
0s Normal Created pod/pull-test-4 Container created
0s Normal Started pod/pull-test-4 Container started

步驟 16:結果判讀(序列拉取的證據)

順序	Image	pull time	including waiting	等待時間
1	mysql:8.0	3.858s	3.858s	0s
2	nginx:1.25	4.783s	8.629s	3.846s ⏳
3	redis:7.2	3.565s	12.188s	8.623s ⏳
4	postgres:16	3.585s	15.751s	12.166s ⏳

判讀重點:

⚠️ 雖然四個 Pulling 事件看起來也是同一秒(這是事件精度只到秒的觀察陷阱),但底層只有一個真的在下載
✅ including waiting 時間遞增(0s → 3.8s → 8.6s → 12.2s),代表後面的 image 都在排隊
✅ 等待時間 ≈ 前面所有 image 的 pull time 累加
✅ 總時間 ≈ 所有 image 拉取時間總和(~15.7 秒)

步驟 17:清理測試環境

kubectl delete -f multi-pod-test.yaml

第三階段:對照分析

兩種模式並列比較

觀察項目	`serializeImagePulls=false`	`serializeImagePulls=true`
各 image 等待時間	0s, 0s, 0s, 0s	0s, 3.8s, 8.6s, 12.2s
`pull time` vs `including waiting`	兩者相同	`including waiting` 大於 `pull time`
完成順序	取決於 image 大小與網速	接近啟動順序
最後一個完成時間	~5.5 秒	~15.7 秒
總耗時特徵	≈ 最慢 image 時間	≈ 所有 image 時間總和
效能差異	基準	慢約 2.85 倍

視覺化對照

serializeImagePulls=false(平行):

時間軸: 0s ─────────── 5.5s
mysql [████████] ← 同時下載
nginx [██████████]
redis [████████]
postgres [██████████]

serializeImagePulls=true(序列):

時間軸: 0s ─────────────────────── 15.7s
mysql [████] ← 先下載
nginx [█████] ← 等 mysql 完
redis [████] ← 再等
postgres [████] ← 最後

🎯 最關鍵的單一判斷依據

看 Pulled 事件訊息中的 including waiting 數字:

in X (X including waiting) → 平行拉取(沒排隊)
in X (Y including waiting) 且 Y > X → 序列拉取(有排隊)

這個欄位就是 Kubernetes 為了幫使用者判斷序列化行為而特別設計的觀察點。

還原步驟

步驟 18:還原 kubelet 設定

sudo cp /var/lib/kubelet/config.yaml.bak /var/lib/kubelet/config.yaml
sudo systemctl restart kubelet
sudo systemctl status kubelet

步驟 19:確認還原成功

kubectl get --raw "/api/v1/nodes/tk8s-worker2/proxy/configz" \
 | jq '.kubeletconfig.serializeImagePulls'

注意事項

1. 測試節點選擇

選一台非生產關鍵的 worker node。重啟 kubelet 期間該節點上的 Pod 會短暫斷線。

2. kubeadm 叢集警告

本機修改的 /var/lib/kubelet/config.yaml 在執行 kubeadm upgrade 時可能會被覆蓋。正式長期套用建議改 kube-system 命名空間下的 kubelet-config ConfigMap(但會影響全部節點)。

3. Image 必須不存在於節點

每次測試前都要 crictl rmi,否則 kubelet 會跳過 pull 階段直接顯示 Container image already present,觀察不到差異。

4. `maxParallelImagePulls` 限制規則

需要 Kubernetes 1.27+ 才支援
設為 ≥ 2 時,必須搭配 serializeImagePulls: false
若 serializeImagePulls: true,則 maxParallelImagePulls 必須設為 1 或不設定
違反規則 kubelet 會啟動失敗

5. Pod 內 container 不受影響

kubelet 永遠逐一處理同一個 Pod 內的多個 container 的 image 拉取,這是固定設計,與 serializeImagePulls 設定無關。所以驗證時務必使用「多 Pod 同時部署」的方式。

參考資料

Install

Tue, 18 Nov 2025 08:15:14 +0800

Default monitoring stack components

元件 (Component)	描述 (Description)
Cluster Monitoring Operator	CMO 是監控堆疊的核心元件。它負責部署、管理並自動更新 Prometheus 和 Alertmanager 執行個體、Thanos Querier、Telemeter Client 以及metrics targets。CMO 是由 Cluster Version Operator (CVO)所部署。
Prometheus Operator	位於 `openshift-monitoring` 專案中的 Prometheus Operator，負責建立、設定和管理平台的 Prometheus 執行個體與 Alertmanager 執行個體。它還會根據 Kubernetes 標籤查詢 (label queries) 自動產生監控目標設定。
Prometheus	OpenShift Container Platform 監控堆疊是基於 Prometheus 監控系統。Prometheus 是一個時間序列資料庫 (time-series database) 和用於指標的規則評估引擎 (rule evaluation engine)。Prometheus 會將警示 (alerts) 傳送至 Alertmanager 進行處理。
Metrics Server	Metrics Server 元件（上圖中的 MS）收集資源指標 (resource metrics)，並將它們公開在 `metrics.k8s.io` Metrics API 服務中，以供其他工具和 API 使用，這使得核心平台的 Prometheus 堆疊無需處理此功能。請注意，自 OpenShift Container Platform 4.16 版本起，Metrics Server 取代了 Prometheus Adapter。
Alertmanager	Alertmanager 服務處理從 Prometheus 接收到的警示。Alertmanager 還負責將警示傳送到外部通知系統。
kube-state-metrics agent	kube-state-metrics 匯出器代理程式（exporter agent）（上圖中的 KSM）將 Kubernetes 物件 (objects) 轉換為 Prometheus 可以使用的指標。
monitoring-plugin	monitoring-plugin dynamic plugin 元件，負責在 OpenShift Container Platform 網站主控台 (web console) 的「Observe」區塊中部署監控頁面。您可以使用 Cluster Monitoring Operator 的 config map 設定來管理網站主控台頁面的 monitoring-plugin 資源。
openshift-state-metrics agent	openshift-state-metrics 匯出器（上圖中的 OSM）擴展了 kube-state-metrics 的功能，增加了 OpenShift Container Platform 特定資源的指標。
node-exporter agent	node-exporter 代理程式（上圖中的 NE）收集叢集中每個節點 (node) 的指標。node-exporter 代理程式會部署在每個節點上。
Thanos Querier	Thanos Querier 在一個單一的多租戶 (multi-tenant) 介面下，彙總 (aggregates) 核心 OpenShift Container Platform 指標和使用者定義專案的指標，並可選擇性地進行重複資料刪除 (deduplicates)。
Telemeter Client	Telemeter Client 將來自平台 Prometheus 執行個體的資料子集傳送到 Red Hat，以實現叢集的遠端健康狀況監控。

Quick install dive

Thu, 02 Oct 2025 10:06:00 +0800

wget https://github.com/wagoodman/dive/releases/download/v0.13.1/dive_0.13.1_linux_amd64.tar.gz
sudo tar -xzf dive_0.13.1_linux_amd64.tar.gz -C /usr/local/bin dive
rm dive_0.13.1_linux_amd64.tar.gz

VCF 5.2 資源

Mon, 22 Sep 2025 07:49:04 +0800

1. 教育訓練

Operations

https://drive.google.com/drive/folders/12M1cjiOnf-IZ2uSJmRKcRmUgGmdqEmd1?usp=sharing

Logs + Automation

https://drive.google.com/drive/folders/1hhqEBQU0Ac3HyrgZAwSo-7KcZtTD1UY9?usp=drive_link

2. VKS 安裝所需資源

2.1. AVI Load Balancer

版本: 30.2.2
檔名: controller-30.2.2-9108.ova
下點連結: https://drive.google.com/drive/folders/1GO_6EWxozw7atau2rR6D6qy7_tgq1fcP?usp=drive_link

2.2. vSphere Kuebrentes Service

版本: 3.4.0
檔名: 3.4.0-package.yaml
官方下點連結: https://support.broadcom.com/group/ecx/productfiles?subFamily=vSphere%20Supervisor%20Services&displayGroup=vSphere%20Kubernetes%20Service&release=3.4%2Bv1.33&os=&servicePk=&language=EN&freeDownloads=true
私人下載連結：https://drive.google.com/drive/folders/1qLZ8OuEgfxIdVaoabTj9Q3N25rPTyo80?usp=sharing

2.3. Tanzu CLI

版本: 1.5.3
檔名:
- VMware Tanzu CLI for Linux:
  - tanzu-cli-linux-amd64.tar.gz
- VMware Tanzu CLI for Windows:
  - tanzu-cli-windows-amd64.zip
- VMware Tanzu CLI for Mac ARM64:
  - tanzu-cli-darwin-arm64.tar.gz
官方下點連結：https://support.broadcom.com/group/ecx/productfiles?subFamily=VMware%20Tanzu%20CLI&displayGroup=VMware%20Tanzu%20CLI&release=1.5.3&os=&servicePk=527720&language=EN&freeDownloads=true
私人下載連結：https://drive.google.com/drive/folders/11naRiUvQ59GTIaV-EGgO-s-m3aDNPWqR?usp=drive_link

2.4. Carvel Tools

版本: N/A

Linux or Mac 安裝指令：

curl -L https://carvel.dev/install.sh | bash

官方下點連結：https://support.broadcom.com/group/ecx/productfiles?subFamily=VMware%20Tanzu%20Kubernetes%20Grid&displayGroup=VMware%20Tanzu%20Kubernetes%20Grid&release=2.5.4&os=&servicePk=&language=EN
開源 Github 連結 : https://github.com/carvel-dev/carvel

2.5. Tanzu Plugin

版本: vmware-vsphere/default:8.0.3
檔名: tanzu-plugin-vsphere-8-0-3.tar

需透過 Tanzu CLI 安裝

安裝指令：

tanzu plugin download-bundle --group vmware-vsphere/default:v8.0.3 --to-tar tanzu-plugin-vsphere-8-0-3.tar
tanzu plugin upload-bundle --tar tanzu-plugin-vsphere-8-0-3.tar --to-repo ${HARBOR}/vks/tanzu-plugin

2.6. VKS Packages

檔名：vks-standard-packages-v2025-6-17.tar

需透過 imgpkg cli 安裝

安裝指令

imgpkg copy -b projects.packages.broadcom.com/vsphere/supervisor/packages/2025.6.17/vks-standard-packages:v2025.6.17 --to-tar vks-standard-packages-v2025-6-17.tar
imgpkg copy --tar vks-standard-packages-v2025-6-17.tar --to-repo ${HARBOR}/vks/vks-standard-packages

2.7. vSphere Kuebrentes Service Image

版本: 3.4.0
檔名: tkg-service-3-4-0.tar

需透過 imgpkg cli 安裝

安裝指令

imgpkg copy -b projects.packages.broadcom.com/vsphere/iaas/tkg-service/3.4.0/tkg-service:3.4.0 --to-tar tkg-service-3-4-0.tar
imgpkg copy --tar vks-standard-packages-v2025-6-17.tar --to-repo ${HARBOR}/vks/tkg-service

2.8. netshoot

版本: N/A
檔名: netshoot.tar

需透過 imgpkg cli 安裝

安裝指令

imgpkg copy -i nicolaka/netshoot --to-tar netshoot.tar
imgpkg copy --tar netshoot.tar--to-repo ${HARBOR}/library/netshoot

2.9. nginx

版本: N/A
檔名: nginx.tar

需透過 imgpkg cli 安裝

安裝指令

imgpkg copy -i nginx --to-tar nginx.tar
imgpkg copy --tar nginx.tar--to-repo ${HARBOR}/library/nginx

2.10. loginsight-fluentd

版本: 1.4.2
檔名: fluentd-1-4-2.tar

需透過 imgpkg cli 安裝

安裝指令

imgpkg copy -i projects.registry.vmware.com/vrealize_loginsight/fluentd:1.4.2--to-tar fluentd-1-4-2.tar
imgpkg copy --tar nginx.tar--to-repo ${HARBOR}/vks/loginsight-fluentd

2.11. avi-api-proxy

版本: N/A
檔名: avi-api-proxy.tar

需透過 imgpkg cli 安裝

安裝指令

imgpkg copy -i avinetworks/avi-api-proxy --to-tar avi-api-proxy.tar
imgpkg copy --tar nginx.tar--to-repo ${HARBOR}/vks/avi-api-proxy

2.12. KR Template

版本: v1.33
檔名: photon-ova.mf, photon-ova.ovf, photon-ova-disk1.vmdk, photon-ova.cert

安裝指令：

curl https://wp-content.vmware.com/v2/latest/ob-24790750-photon-5-amd64-v1.33.1---vmware.1-fips-vkr.2/photon-ova.mf -o ob-24790750-photon-5-amd64-v1.33.1---vmware.1-fips-vkr.2/photon-ova.mf
curl https://wp-content.vmware.com/v2/latest/ob-24790750-photon-5-amd64-v1.33.1---vmware.1-fips-vkr.2/photon-ova.ovf -o ob-24790750-photon-5-amd64-v1.33.1---vmware.1-fips-vkr.2/photon-ova.ovf
curl https://wp-content.vmware.com/v2/latest/ob-24790750-photon-5-amd64-v1.33.1---vmware.1-fips-vkr.2/photon-ova-disk1.vmdk -o ob-24790750-photon-5-amd64-v1.33.1---vmware.1-fips-vkr.2/photon-ova-disk1.vmdk
curl https://wp-content.vmware.com/v2/latest/ob-24790750-photon-5-amd64-v1.33.1---vmware.1-fips-vkr.2/photon-ova.cert -o ob-24790750-photon-5-amd64-v1.33.1---vmware.1-fips-vkr.2/photon-ova.cert

2.13. GOVC

版本: 0.51.0
檔名: govc_Windows_x86_64.zip, govc_Windows_x86_64.zip

安裝指令：

curl https://github.com/vmware/govmomi/releases/download/v0.51.0/govc_Linux_x86_64.tar.gz -o govc_Linux_x86_64.tar.gz
curl https://github.com/vmware/govmomi/releases/download/v0.51.0/govc_Windows_x86_64.zip -o govc_Windows_x86_64.zip"

2.14. YQ

版本: 4.47.1
檔名: yq_linux_amd64.tar.gz, yq_windows_amd64.zip

安裝指令：

curl https://github.com/mikefarah/yq/releases/download/v4.47.1/yq_linux_amd64.tar.gz
curl https://github.com/mikefarah/yq/releases/download/v4.47.1/yq_windows_amd64.zip

黃金太空人

Fri, 05 Sep 2025 10:08:20 +0800

Prometheus https://github.com/arthur-ehrle/Prometheus-PCA-course

Istio

Cilium https://github.com/isovalent/CCA-Study-Guide

Argo Project https://paulyu.dev/article/capa-study-guide/

GitOps https://github.com/otkd/CGOA-Study-Guide

Backstage

Kyverno https://kyverno.io/docs/introduction/quick-start/

Linux https://killer.sh/lfcs

大魔王

OpenTelemetry

Code-based, Zero-code 要背
- https://opentelemetry.io/docs/concepts/instrumentation/
API, SDK 定義要看
- https://opentelemetry.io/docs/concepts/components/
架構圖要熟
- https://opentelemetry.io/docs/collector/
必考
- https://opentelemetry.io/docs/concepts/context-propagation/
OpenTelemetry Protocol (OTLP) 好像有兩題
- https://opentelemetry.io/docs/specs/otel/protocol/
第一張圖要看一下 receivers, processors, exporters 要知道能幹嘛，還會考 connector
- https://opentelemetry.io/docs/collector/architecture/
考兩題
- https://opentelemetry.io/docs/concepts/semantic-conventions
兩個詞題目會出現
- https://opentelemetry.io/docs/concepts/signals/traces/#tracer-provider
API 與 SDK 的差別
Span、Trace、Metrics、Logs 的架構與用途
Receivers、Processors、Exporters、Connectors 四個 component 的主要用途，還有資料的處理順序
Extensions 的角色
Pipeline 最少需要哪些 component (Receivers + Exporters)
常見 Processor (Batch, Memory Limiter, Schema Transform, etc.) 的用途
使用 otelcol Debug / Validation 的方法 (otelcol validate –config)
Instrumentation 導入程式碼的方式，要修改 code 或是不修改 code 的方式
SLI -> SLO 的定義方式
OTLP 預設的資料格式 (Protobuf + JSON 並透過 gRPC 或 HTTP 之類的)
Telemetry 資料如何處理
Scaling Collector 的正確方式 (水平擴展 replicas + load balancer)
https://opentelemetry.io/docs/specs/otel/metrics/data-model/#exemplars:~:text=An%20exemplar%20is%20a%20recorded%20value%20that%20associates%20OpenTelemetry%20context%20to%20a%20metric%20event%20within%20a%20Metric.%20One%20use%20case%20is%20to%20allow%20users%20to%20link%20Trace%20signals%20w/%20Metrics

撰寫 Go CGI 程式

Sat, 24 May 2025 16:33:00 +0800

實作目標

建立一個簡單的 Go 網頁伺服器，能夠提供靜態檔案服務，並透過 CGI（Common Gateway Interface）執行 Bash script。

章節

第一步：建立專案目錄並進入

mkdir ~/gocgi/; cd ~/gocgi/

mkdir ~/gocgi/：在使用者的家目錄下建立一個名為 gocgi 的資料夾。
cd ~/gocgi/：進入剛建立的 gocgi 資料夾。

目的：為專案建立一個獨立的工作目錄，便於管理相關的程式碼和資源。

第二步：撰寫 Go 程式碼並儲存為 `main.go`

echo 'package main

import (
 "net/http"
 "net/http/cgi"
)

func cgiDB(w http.ResponseWriter, r *http.Request) {
 handler := cgi.Handler{Path: "./www/cgi/cgidb.sh"}
 handler.ServeHTTP(w, r)
}

func cgiTBL(w http.ResponseWriter, r *http.Request) {
 handler := cgi.Handler{Path: "./www/cgi/cgitbl.sh"}
 handler.ServeHTTP(w, r)
}

func main() {
 static := http.FileServer(http.Dir("./www/"))
 http.Handle("/", static)

 http.HandleFunc("/db", cgiDB)
 http.HandleFunc("/tbl", cgiTBL)

 http.ListenAndServe(":8080", nil)
}' > main.go

這段指令使用 echo 將多行的 Go 程式碼寫入 main.go 檔案。

程式碼解析：

package main：定義此程式屬於 main 套件，表示這是一個可執行的程式。
import：引入標準庫中的 net/http 和 net/http/cgi 套件，用於建立 HTTP 伺服器和處理 CGI。
cgiDB 和 cgiTBL 函式：分別處理 /db 和 /tbl 路徑的請求，執行對應的 Shell 腳本。
main 函式：
- http.FileServer：提供 ./www/ 目錄下的靜態檔案服務。
- http.Handle 和 http.HandleFunc：設定路由，將特定的路徑對應到處理函式。
- http.ListenAndServe(":8080", nil)：啟動伺服器，監聽 8080 埠口。
目的：建立一個基本的網頁伺服器，能夠提供靜態檔案服務，並透過 CGI 執行特定的 Shell 腳本。

第三步：初始化 Go 模組

go mod init gocgi

go mod init gocgi：初始化一個名為 gocgi 的 Go 模組，會在當前目錄下建立一個 go.mod 檔案。

目的：使用 Go Modules 管理專案的相依性，這是 Go 官方推薦的依賴管理方式。

第四步：編譯 Go 程式

CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o main

CGO_ENABLED=0：禁用 CGO，確保編譯出的二進位檔案是純 Go 程式，無需依賴 C 語言的函式庫。
GOOS=linux：設定目標作業系統為 Linux。
GOARCH=amd64：設定目標架構為 64 位元。
go build -o main：編譯 main.go，輸出為名為 main 的可執行檔案。

總結

整體流程如下：

建立並進入專案目錄。
撰寫並儲存 Go 程式碼，建立一個簡單的網頁伺服器。
初始化 Go 模組，管理相依性。
編譯程式，生成適用於 Linux 64 位元系統的可執行檔案。

程式介紹

package main
import (
"net/http"
"net/http/cgi"
)
func cgiDB(w http.ResponseWriter, r *http.Request) {
handler := cgi.Handler{Path: "./www/cgi/cgidb.sh"}
handler.ServeHTTP(w, r)
}
func cgiTBL(w http.ResponseWriter, r *http.Request) {
handler := cgi.Handler{Path: "./www/cgi/cgitbl.sh"}
handler.ServeHTTP(w, r)
}
func main() {
static := http.FileServer(http.Dir("./www/"))
http.Handle("/",static)
http.HandleFunc("/db", cgiDB)
http.HandleFunc("/tbl", cgiTBL)
http.ListenAndServe(":8080", nil)
}

這段 Go 程式碼建立了一個簡單的 HTTP 伺服器，具備以下功能：

提供靜態檔案服務：透過 http.FileServer，伺服器會從 ./www/ 目錄提供靜態檔案，如 HTML、CSS、JavaScript 等。
處理 CGI 請求：對於特定路徑（/db 和 /tbl），伺服器會執行對應的 CGI 腳本（cgidb.sh 和 cgitbl.sh），並將其輸出作為 HTTP 回應返回給用戶端。

📁 靜態檔案服務

static := http.FileServer(http.Dir("./www/"))
http.Handle("/", static)

http.FileServer 建立一個處理器，用於提供指定目錄中的靜態檔案。
http.Dir("./www/") 指定了靜態檔案的根目錄。
http.Handle("/", static) 將根路徑 / 的請求導向這個處理器。

效果：當用戶端請求 http://localhost:8080/index.html 時，伺服器會返回 ./www/index.html 檔案的內容。

⚙️ CGI 處理器

func cgiDB(w http.ResponseWriter, r *http.Request) {
 handler := cgi.Handler{Path: "./www/cgi/cgidb.sh"}
 handler.ServeHTTP(w, r)
}

func cgiTBL(w http.ResponseWriter, r *http.Request) {
 handler := cgi.Handler{Path: "./www/cgi/cgitbl.sh"}
 handler.ServeHTTP(w, r)
}

這兩個函式分別處理 /db 和 /tbl 路徑的請求。
cgi.Handler 是 Go 標準庫 net/http/cgi 提供的類型，用於執行 CGI 腳本。
Path 指定了要執行的 CGI 腳本路徑。
ServeHTTP 方法會執行指定的 CGI 腳本，並將其輸出作為 HTTP 回應返回給用戶端。

效果：當用戶端請求 http://localhost:8080/db 時，伺服器會執行 ./www/cgi/cgidb.sh 腳本，並將其輸出返回給用戶端。

🚀 主函式

func main() {
 static := http.FileServer(http.Dir("./www/"))
 http.Handle("/", static)

 http.HandleFunc("/db", cgiDB)
 http.HandleFunc("/tbl", cgiTBL)

 http.ListenAndServe(":8080", nil)
}

設定靜態檔案服務處理器。
註冊 /db 和 /tbl 路徑的處理函式。
啟動 HTTP 伺服器，監聽本地端口 8080。

📌 總結

這段 Go 程式碼建立了一個基本的 HTTP 伺服器，能夠提供靜態檔案服務，並透過 CGI 腳本處理特定路徑的請求。這種架構適合用於簡單的網站或內部工具，但在實際部署時，仍需考慮安全性和錯誤處理等因素。

FETC

Sun, 04 May 2025 08:44:24 +0800

postgresql

$ kubectl apply -f https://raw.githubusercontent.com/rancher/local-path-provisioner/master/deploy/local-path-storage.yaml
$ kubectl patch storageclass local-path -p '{"metadata": {"annotations":{"storageclass.kubernetes.io/is-default-class":"true"}}}'
$ cat pv.yaml
apiVersion: v1
kind: PersistentVolume
metadata:
name: pv-for-pg
labels:
type: local
spec:
capacity:
storage: 4Gi
volumeMode: Filesystem
accessModes:
- ReadWriteOnce
persistentVolumeReclaimPolicy: Retain
storageClassName: "local-path"
hostPath:
path: /home/bigred/pv
nodeAffinity:
required:
nodeSelectorTerms:
- matchExpressions:
- key: kubernetes.io/hostname
operator: In
values:
- localhost.localdomain
---
kind: PersistentVolumeClaim
apiVersion: v1
metadata:
name: pg-pvc
namespace: psql-system
spec:
storageClassName: "local-path"
accessModes:
- ReadWriteOnce
resources:
requests:
storage: 4Gi
$ kubectl apply -f pv.yaml
$ helm repo add bitnami https://charts.bitnami.com/bitnami
$ kubectl create ns psql-system
$ helm template --namespace psql-system dev-pg bitnami/postgresql --version 11.9.13 --set primary.persistence.existingClaim=pg-pvc,auth.postgresPassword=pgpass,volumePermissions.enabled=true,primary.service.type='NodePort',image.tag='14.8.0' > ~/workload/postgresql/postgresql.yaml
$ kubectl apply -f ~/workload/postgresql/postgresql.yaml
kubectl run -n psql-system dev-pg-postgresql-client --rm --tty -i --restart='Never' --namespace psql-system --image docker.io/bitnami/postgresql:14.8.0 --env="PGPASSWORD=$POSTGRES_PASSWORD" \
--command -- psql --host dev-pg-postgresql -U postgres -d postgres -p 5432

Minio

curl https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-3 | bash
kubectl create ns minio-system
mkdir -p ~/workload/minio
helm template minio \
--namespace=minio-system \
--set auth.rootUser=admin \
--set auth.rootPassword=admin123 \
--set image.registry=docker.io \
--set image.repository=bitnami/minio \
--set image.tag=2022.3.14-debian-10-r0 \
--set networkPolicy.enabled=false \
--set persistence.storageClass=local-path \
--set persistence.size=100Gi \
--set service.type=NodePort \
--set containerSecurityContext.enabled=false \
oci://registry-1.docker.io/bitnamicharts/minio > ~/workload/minio/minio.yaml
kubectl apply -f ~/workload/minio/minio.yaml

資訊人員的挑戰 (悲愁)

Sat, 26 Apr 2025 02:26:08 +0800

挑戰 1 : 應用系統安裝與設定 (人爲疏乎, 強勢主觀, …..)

應用系統在安裝或設定的文件內容不完整，即使文件步驟撰寫相當完整流暢，真正執行的人可能會因為各種原因，也不一定會按照文件寫的內容或要求的順序去執行。

如何解決?

基礎設施

使用 Infrastructure as code 去做安裝與設定，可降低 Human Error 和節省時間，再搭配 AI 做程式的註解

應用系統

使用 Application Container 技術，因為這項技術裡面有一個叫做 Dockerfile，裡面會記錄你的應用程式是如何封裝好的，另外也可以拿來做交接，並且也可以搭配 AI 作註解

挑戰 2 : 弄髒作業系統 (殘留測試用帳號與設定, 不需存在的 Library, …)

在建置作業系統時，廠商或企業內部工程師時常會在作業系統中產生不必要的測試帳號或安裝不需存在的套件或 Library，這很容易會有資安疑慮。

如何解決?

使用 Application Container 技術，這項技術有自己的檔案系統，當你的 Application Container 被移除時，在其他新增的測試帳號或臨時安裝的 Packages 或 Library 也會跟著在作業系統上被移除。

挑戰 3 : 交接之痛 (人跑了, 沒有交接資訊, 交接資訊不易閱讀, …)

在企業內部的員工離職並沒有留下交接資訊人就跑了，或是交接的文件不完整，不易閱讀，即使私下聯絡道前員工，人家對你的訊息也不讀不回。

如何解決?

採用 Kubernetes 技術，在 K8s 中以 Pod 的方式去執行的 Application，可以做到反向工程，可以把應用程式的設定檔 (YAML File) 匯出來，也可以將電腦規格及相關設定資訊匯出來。

挑戰 4 : 歷史除錯記錄遺失

企業在每次系統發生問題時，並未將問題發生的原因、狀況和如何解決的資訊紀錄下來。

如何解決?

搭配 AI 來做，一定要把 “產生” 這個動作去執行，期望可透過 AI 來有效的去維運，讓 AI 來回答與判斷系統發生了什麼情況，並提出解決辦法

2013 年 Docker 改寫 IT 歷史

叫做 Application Container，他到處去幫客戶裝應用系統，裝到實在受不了，每位客戶的環境都不一樣，於是這家公司創造了 Application Container 技術，主要的目的是在不影響客戶既有環境的情況下，將應用系統快速部署到客戶端。

Containerization

Containerization 的最高戰略目標 : 是要能讓企業的任何應用程式 (app) 輕鬆地在任意一台電腦上執行，並且不會影響或污染該台電腦的既有環境，也就是 “Running Any App Anywhere”。

那麼，要如何實現這個目標呢？

Application Container - 軟體貨櫃

答案是透過 Application Container 的技術。Application Container 可以被看作是一種電腦，許多人可能對它感到陌生，這是因為真正理解其運作原理的人並不多。既然稱之為一台「電腦」，它就必須具備一般電腦所需的主機名稱、網路環境、檔案系統以及硬體資源管理等能力。

主機名稱所使用的技術是 Linux Namespace。
檔案系統所使用的技術則是 chroot 結合 overlay2。
網路環境所使用的技術則是 Virtual Bridge。
硬體資源限制與管理 (CPU, Memory, Network) 所使用的技術則是 CGroup。

Application Container 與傳統電腦最大的差異，在於它會共用 Host 主機作業系統的 Kernel，以共享電腦內 CPU、記憶體與網路等硬體資源，因此能有效地執行應用程式並實現隔離。

那麼，什麼是 OCI 呢？

OCI (Open Container Initiative) 組織針對 Application Container 制定了三個重要標準，主要目標即是實現「任何應用程式都能在任何地方執行」(Running any app anywhere)。

要做出 Application Container 的技術很難，但它帶來的好處很多，因此 OCI 組織便透過制定這三個標準，讓更多使用者能更快速、更簡單地實現與使用 Application Container。

OCI-image 定義了一種標準化的格式，用來儲存應用程式及其相關的依賴檔案。這種標準格式主要由一個設定檔 (config) 和多個目錄區組成。設定檔 (config) 中包含了 Container 執行時所需的設定，例如預設執行的命令、環境變數等等；目錄區則包含應用程式與所需的所有相依檔案。
OCI-distribution 制定了應用程式可在任意環境間自由移動的標準流程。具體作法是將應用程式及其相依檔案依照 OCI-image 標準打包成 image，再依據 OCI-distribution 標準規定的流程，將這個 image 上傳到 image registry。其他使用者便能透過相同的標準流程，將該 image 從 image registry 下載到本地電腦中使用。
OCI-runtime 負責實際利用 Linux Namespace、Virtual Bridge、overlay2、chroot、CGroup 等技術來做出 Application Container。因此，根據 OCI-runtime 標準，目前已有許多程式，如 runc、crun、runsc 等，透過這些程式使用者便能輕鬆地建立與執行 Application Container。

離線安裝 RedHat Satelite Server

Mon, 23 Sep 2024 08:37:56 +0800

Chapter 1. 準備安裝環境

1.1. 系統要求

x86_64 架構
最新版本的 Red Hat Enterprise Linux 8
至少 4 Core 2.0 GHz CPU
Satellite Server 至少需要 20 GB RAM 才能運作。此外，還建議使用至少 4 GB RAM 的 swap space 。在 RAM 小於最小值的情況下執行的 Satellite 可能無法正常運作。
唯一的主機名稱，可包含小寫字母、數字、點 (.) 和連字線 (-)
目前的 Red Hat Satellite 訂閱
管理使用者 (root) 存取權限
使用完全定義的網域名稱 (FQDN) 進行完全正向和反向 DNS 解析

1.2. 儲存要求

1.3. 支援的作業系統

Chapter 2. 開始安裝 Satellite Server

2.1. 下載 binary DVD images

連到 Red Hat Customer Portal 並登入.
點選 DOWNLOADS.
選擇 Red Hat Enterprise Linux.
確保使用正確的產品和版本。
- Product Variant 設定為 Red Hat Enterprise Linux for x86_64.
- Version is set to the latest minor version of the product you plan to use as the base operating system.
- Architecture is set to the 64 bit version.
在 Product Software tab 上, 下載 Binary DVD image for the latest Red Hat Enterprise Linux for x86_64 version.
再次點選 DOWNLOADS 並選擇 Red Hat Satellite.
確保使用正確的產品和版本。
- Product Variant 設定為 Red Hat Satellite.
- Version is set to the latest minor version of the product you plan to use.
在 Product Software tab 上, 下載最新版 Red Hat Satellite 的 Binary DVD image.
將 RHEL 8 的 ISO 檔複製到 Satellite OS 上的 /var/tmp 或其他可存取的儲存裝置。
```
$ scp localfile username@hostname:remotefile
```

2.2. 設定 RHEL 8 使用離線的套件儲存庫

建立一個目錄，作為與基本作業系統版本對應的 ISO 檔案的 mount point。
```
$ mkdir /media/rhel8
```
將 Red Hat Enterprise Linux 的 ISO 映像掛載到 mount point。
```
$ mount -o loop rhel8-DVD.iso /media/rhel8
```

複製 ISO 檔案的儲存庫資料並變更權限，請輸入：

$ cp /media/rhel8/media.repo /etc/yum.repos.d/rhel8.repo
$ chmod u+w /etc/yum.repos.d/rhel8.repo

編輯儲存庫資料檔，並新增 baseurl 指令。

$ vim /etc/yum.repos.d/rhel8.repo

內容如下 :

[RHEL8-BaseOS]
name=Red Hat Enterprise Linux BaseOS
mediaid=None
metadata_expire=-1
gpgcheck=0
cost=500
baseurl=file:///media/rhel8/BaseOS/
[RHEL8-AppStream]
name=Red Hat Enterprise Linux Appstream
mediaid=None
metadata_expire=-1
gpgcheck=0
cost=500
baseurl=file:///media/rhel8/AppStream/

驗證儲存庫是否已設定。
```
$ yum repolist
```
建立一個目錄，作為 Satellite Server ISO 檔案的 mount point。
```
$ mkdir /media/sat6
```
將 Satellite Server 的 ISO image 掛載到 mount point。
```
$ mount -o loop sat6-DVD.iso /media/sat6
```

2.3. 從離線套件儲存庫安裝 Satellite 套件

確保已掛載 Red Hat Enterprise Linux Server 和 Red Hat Satellite 的 ISO image

$ findmnt -t iso9660

執行結果應跟以下類似 :

TARGET SOURCE FSTYPE OPTIONS
/media/rhel8 /dev/loop0 iso9660 ro,relatime,nojoliet,check=s,map=n,blocksize=2048
/media/sat6 /dev/loop1 iso9660 ro,relatime,nojoliet,check=s,map=n,blocksize=2048

匯入 Red Hat GPG 金鑰

$ rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release

確保基本作業系統是最新的
```
$ dnf update
```
變更當前目錄至掛載 Satellite ISO 的目錄：
```
$ cd /media/sat6/
```

在掛載的目錄中執行安裝腳本：

$ ./install_packages

執行結果如下 :

This script will install the satellite packages on the current machine.
- Ensuring we are in an expected directory.
- Copying installation files.
- Creating Satellite Repository File
- Creating Maintenance Repository File
- Checking to see if Satellite is already installed.
- Importing the gpg key.
Problems in request:
Modular dependency problems with Defaults:
Problem: module satellite:el8:61520240903125913:30aa3ae0.x86_64 from Satellite-local requires module(postgresql:12), but none of the providers can be installed
- module postgresql:10:8090020240213200157:a75119d5.x86_64 from RHEL8-AppStream conflicts with module(postgresql:12) provided by postgresql:12:8090020240209130909:a75119d5.x86_64 from RHEL8-AppStream
- module postgresql:12:8090020240209130909:a75119d5.x86_64 from RHEL8-AppStream conflicts with module(postgresql:10) provided by postgresql:10:8090020240213200157:a75119d5.x86_64 from RHEL8-AppStream
- conflicting requests
- Installation repository will remain configured for future package installs.
- Installation media can now be safely unmounted.
Install is complete. Please run satellite-installer --scenario satellite

如果您已成功安裝 Satellite 套件，則會顯示下列訊息：
Install is complete. Please run satellite-installer --scenario satellite

Note

The script contains a command that enables the satellite:el8 module. Enablement of the module satellite:el8 warns about a conflict with postgresql:10 and ruby:2.5 as these modules are set to the default module versions on Red Hat Enterprise Linux 8. The module satellite:el8 has a dependency for the modules postgresql:12 and ruby:2.7 that will be enabled with the satellite:el8 module. These warnings do not cause installation process failure, hence can be ignored safely.

2.4. Synchronizing the system clock with chronyd

為了將時間漂移的影響降至最低，您必須將要安裝 Satellite Server 的基本作業系統上的系統時鐘與網路時間協定 (NTP) 伺服器同步化。如果基本作業系統時鐘設定不正確，證書驗證可能會失敗。

安裝 chrony 套件
```
$ dnf install chrony
```
Start and enable the chronyd service:
```
$ systemctl enable --now chronyd
```

2.5. 設定 Satellite Server

輸入下列命令，並加上您要使用的其他選項：

$ satellite-installer --scenario satellite \
--foreman-initial-organization "My_Organization" \
--foreman-initial-location "My_Location" \
--foreman-initial-admin-username admin_user_name \
--foreman-initial-admin-password admin_password

執行成功的結果如下

2024-09-23 14:28:24 [NOTICE] [root] Loading installer configuration. This will take some time.
2024-09-23 14:28:30 [NOTICE] [root] Running installer with log based terminal output at level NOTICE.
2024-09-23 14:28:30 [NOTICE] [root] Use -l to set the terminal output log level to ERROR, WARN, NOTICE, INFO, or DEBUG. See --full-help for definitions.
2024-09-23 14:31:01 [NOTICE] [configure] Starting system configuration.
2024-09-23 14:31:32 [NOTICE] [configure] 250 configuration steps out of 1613 steps complete.
2024-09-23 14:32:04 [NOTICE] [configure] 500 configuration steps out of 1614 steps complete.
2024-09-23 14:32:18 [NOTICE] [configure] 750 configuration steps out of 1616 steps complete.
2024-09-23 14:33:16 [NOTICE] [configure] 1000 configuration steps out of 1641 steps complete.
2024-09-23 14:33:38 [NOTICE] [configure] 1250 configuration steps out of 1643 steps complete.
2024-09-23 14:38:39 [NOTICE] [configure] 1500 configuration steps out of 1643 steps complete.
2024-09-23 14:43:01 [NOTICE] [configure] System configuration has finished.
Success!
* Satellite is running at https://satellite.example.com
Initial credentials are admin / rancher
* To install an additional Capsule on separate machine continue by running:
capsule-certs-generate --foreman-proxy-fqdn "$CAPSULE" --certs-tar "/root/$CAPSULE-certs.tar"
* Capsule is running at https://satellite.example.com:9090
The full log is at /var/log/foreman-installer/satellite.log
Package versions are being locked.

The script displays its progress and writes logs to /var/log/foreman-installer/satellite.log.

Unmount the ISO images:

$ umount /media/sat6
$ umount /media/rhel8

2.6. Disabling subscription connection

在離線的 Satellite Server 上停用訂閱連線，以避免連線至 Red Hat Portal。這也會讓您無法刷新 manifest (清單) 和更新 upstream entitlements (上游權限)。

在 Satellite Server 上輸入以下指令：

$ hammer settings set --name subscription_connection_enabled --value false

執行結果如下 :

Setting [subscription_connection_enabled] updated to [false].

2.7. Exporting a Subscription Manifest from the Customer Portal

Open https://access.redhat.com/ in your browser and log in to your Red Hat account.
Navigate to Subscriptions, which is in the upper-left corner of the Customer Portal page.
Click the Subscription Allocations tab.
From the Name column, select the name of the subscription allocation you want to export.
On the Details pane, click Export Manifest to download the subscription manifest file.

2.8. Importing a Red Hat subscription manifest into Satellite Server

將 Red Hat subscription manifest (訂閱清單) 檔案從本機複製到 Satellite Server：
```
$ scp ~/manifest_file.zip root@satellite.example.com:~/
```
以 root 使用者身份登入 Satellite Server，並匯入 Red Hat 訂閱清單檔案：
```
$ hammer subscription upload \
--file ~/manifest_file.zip \
--organization "SUSELab"
```

Chapter 3. Importing content

3.1. Products and repositories in Satellite

Red Hat content 與 Satellite 中的自訂 content 有相似之處：

產品與它的儲存庫之間的關係相同，儲存庫仍需要同步。
自訂產品需要訂閱才能讓主機存取，與 Red Hat 產品的訂閱相似。 Satellite 會為您建立的每個自訂產品建立訂閱。

Red Hat 的 content 已經被組織成產品。例如，Red Hat Enterprise Linux Server 是 Satellite 中的一個產品。該 Product 的資源庫包含不同的版本、架構和附加元件。對於 Red Hat repositories (套件庫)，產品會在啟用套件庫後自動建立。

其他 content 可以隨您的喜好組織成自訂產品。例如，您可以建立 EPEL (Extra Packages for Enterprise Linux) 產品，並將「EPEL 7 x86_64」套件庫加入其中。

3.2. Adding a default HTTP proxy to Satellite

如果您的網路使用 HTTP proxy，可以設定 Satellite Server 使用 HTTP 代理來處理對 Red Hat Content Delivery Network (CDN) 或其他 context 來源的請求。盡可能使用 FQDN 而非 IP 位址，以避免因網路變更而失去連線。

確認沒有設定 http_proxy、https_proxy 及 no_proxy 變數。
```
$ unset http_proxy
$ unset https_proxy
$ unset no_proxy
```

新增 HTTP proxy entry 到 Satellite：

$ hammer http-proxy create --name=myproxy \
--url http://myproxy.example.com:8080 \
--username=proxy_username \
--password=proxy_password

執行結果如下

Http proxy created.

設定 Satellite 預設使用此 HTTP Proxy：

$ hammer settings set --name=content_default_http_proxy --value=myproxy

執行結果如下

Setting [content_default_http_proxy] updated to [myproxy].

3.3. Enabling Red Hat repositories

若要選擇要同步化的儲存庫，您必須先辨識包含儲存庫的產品，然後根據相關的發行版本和基本架構啟用該儲存庫。

適用於 Red Hat Enterprise Linux 8 主機

若要設定 Red Hat Enterprise Linux 8 主機，需要以下兩個套件庫。

Red Hat Enterprise Linux 8 for x86_64 - AppStream (RPMs)
Red Hat Enterprise Linux 8 for x86_64 - BaseOS (RPMs)

適用於 Red Hat Enterprise Linux 7 主機

若要設定 Red Hat Enterprise Linux 7 主機，您需要 Red Hat Enterprise Linux 7 Server (RPMs) 套件庫。

將 Red Hat Enterprise Linux 作業系統發佈版本與 7Server 套件庫或 7.X 套件庫相關聯的差別在於，7Server 套件庫包含所有最新的更新，而 Red Hat Enterprise Linux 7.X 套件庫在下一個次要版本發佈之後就不再獲得更新。請注意，Kickstart 套件庫只有 minor (次要)版本。

若要搜尋您的產品，請輸入下列指令：

$ hammer product list --organization "My_Organization"

Ref

Red Hat 訂閱命令

Mon, 23 Sep 2024 06:35:28 +0800

Register and automatically subscribe in one step

$ subscription-manager register --username <username> --password <password> --auto-attach

Register with a specific pool

$ subscription-manager attach --pool=<POOL_ID>

If you are not sure of the pool ID needed, these and details such as expiration dates can be viewed using the following command:

$ subscription-manager list --available --all

Un-registering a system

$ subscription-manager remove --all
$ subscription-manager unregister
$ subscription-manager clean

jq 命令

Sun, 15 Sep 2024 12:20:14 +0800

好的，讓我們詳細解釋以下這個命令的作用和每個部分的功能：

skopeo list-tags docker://docker.io/rancher/k3s | jq -r '
 [.Tags[] | select(test("^v1\\.[0-9]+\\.[0-9]+-k3s1$"))]
 | group_by(split(".")[1])
 | map(max_by(split(".")[2] | split("-")[0] | tonumber))
 | .[]
'

整體概述

這個命令的主要目的：

使用 skopeo 工具列出 Docker 映像 rancher/k3s 的所有標籤（tags）。
使用 jq 來處理輸出的 JSON 數據，篩選出符合特定版本格式的標籤。
根據次要版本號（v1.x）對標籤進行分組。
在每個次要版本組中，選出修訂版本號（v1.x.y 中的 y）最大的標籤，即每個次要版本的最新版本。
最終，輸出每個次要版本的最新標籤，並以純文本形式顯示。

逐步解釋

1. 列出 Docker 映像的所有標籤

skopeo list-tags docker://docker.io/rancher/k3s

skopeo：一個用於處理 Container Images 的工具，可以在不下載整個映像的情況下檢查遠程 Container Images 的內容。
list-tags docker://docker.io/rancher/k3s：列出 docker.io/rancher/k3s 的所有 Tags。

執行此命令後，會得到一個包含所有標籤的 JSON 格式輸出，類似於：

{
 "Repository": "docker.io/rancher/k3s",
 "Tags": [
 "v1.16.15-k3s1",
 "v1.17.17-k3s1",
 "v1.18.20-k3s1",
 "v1.19.16-k3s1",
 "v1.20.15-k3s1",
 ...
 ]
}

2. 將輸出傳遞給 `jq` 進行處理

| jq -r '
 [ ... ]
 | group_by(...)
 | map(...)
 | .[]
'

|：將前一個命令的輸出作為下一個命令的輸入。
jq -r：jq 是一個用於處理 JSON 的命令行工具。
- -r：表示輸出原始文本（raw output），不包含引號和轉義字符。

3. 篩選符合特定格式的標籤

[.Tags[] | select(test("^v1\\.[0-9]+\\.[0-9]+-k3s1$"))]

.Tags[]：從 JSON 數據中提取 Tags 陣列，並展開為單個元素。
| select(test("..."))：使用正則表達式篩選符合特定格式的標籤。
- test("^v1\\.[0-9]+\\.[0-9]+-k3s1$")：
  - ^：表示字符串的開頭。
  - v1\\.：匹配字面量 v1.，注意在正則表達式中，. 需要轉義，因此寫作 \\.。
  - [0-9]+：匹配一個或多個數字。
  - \\.：匹配字面量 .。
  - [0-9]+：再次匹配一個或多個數字。
  - -k3s1$：匹配字面量 -k3s1，$ 表示字符串的結尾。
- 整體作用：選取形如 v1.<次要版本號>.<修訂版本號>-k3s1 的標籤，例如 v1.29.8-k3s1。
[ ... ]：將篩選後的標籤組成一個新的陣列，方便後續處理。

篩選結果示例：

[
 "v1.29.7-k3s1",
 "v1.29.8-k3s1",
 "v1.30.0-k3s1",
 "v1.30.1-k3s1",
 "v1.30.2-k3s1",
 "v1.30.3-k3s1",
 "v1.30.4-k3s1",
 "v1.31.0-k3s1"
]

4. 根據次要版本號分組

| group_by(split(".")[1])

split(".")：將每個標籤按 . 分割，得到一個陣列。
- 例如，v1.29.8-k3s1 會被分割為 ["v1", "29", "8-k3s1"]。
[1]：取陣列的第二個元素（索引從 0 開始），即次要版本號。
- 在上述例子中，split(".")[1] 得到 "29"。
group_by(...)：根據次要版本號對標籤進行分組。
- 所有具有相同次要版本號的標籤將被分為一組。

分組結果示例：

[
 [
 "v1.29.7-k3s1",
 "v1.29.8-k3s1"
 ],
 [
 "v1.30.0-k3s1",
 "v1.30.1-k3s1",
 "v1.30.2-k3s1",
 "v1.30.3-k3s1",
 "v1.30.4-k3s1"
 ],
 [
 "v1.31.0-k3s1"
 ]
]

5. 在每個分組中選取修訂版本號最大的標籤

| map(max_by(split(".")[2] | split("-")[0] | tonumber))

map(...)：對陣列中的每個元素（這裡是每個分組）應用一個函數，返回一個新陣列。
max_by(...)：在分組中根據指定的鍵選取最大值。
split(".")[2]：將標籤按 . 分割，取得第三個元素，即修訂版本號和後綴。
- 例如，v1.29.8-k3s1 變為 ["v1", "29", "8-k3s1"]，取 split(".")[2] 得到 "8-k3s1"。
split("-")[0]：將上一步的結果按 - 分割，取得修訂版本號。
- "8-k3s1" 分割後得到 ["8", "k3s1"]，取 [0] 得到 "8"。
tonumber：將字符串轉換為數字，以便進行數值比較。
整體作用：在每個次要版本號的分組中，選出修訂版本號（y）最大的標籤。

選取結果示例：

[
 "v1.29.8-k3s1",
 "v1.30.4-k3s1",
 "v1.31.0-k3s1"
]

6. 展開陣列並輸出結果

| .[]

.[]：遍歷陣列中的每個元素，將其單獨輸出。
由於使用了 -r 選項，輸出將是純文本格式，不包含引號或其他符號。

最終輸出：

v1.29.8-k3s1
v1.30.4-k3s1
v1.31.0-k3s1

總結

步驟 1：使用 skopeo 列出 rancher/k3s 映像的所有標籤。
步驟 2：使用 jq 篩選出符合 v1.x.y-k3s1 格式的標籤。
步驟 3：根據次要版本號（x）對標籤進行分組。
步驟 4：在每個分組中，選出修訂版本號（y）最大的標籤。
步驟 5：輸出每個次要版本的最新標籤，結果為純文本格式。

為什麼要這樣做？

自動獲取最新版本：這個命令可以自動獲取每個次要版本的最新可用版本，方便進行部署或升級。
過濾無效或不需要的標籤：通過正則表達式篩選，只保留符合預期格式的標籤，避免處理測試版、候選版或其他不符合標準的標籤。
簡化後續處理：輸出為純文本格式，每個標籤佔一行，方便在腳本或其他工具中進行處理。

實際應用示例

假設您需要在自動化部署腳本中，獲取 rancher/k3s 映像的每個次要版本的最新版本，可以使用此命令自動獲取，避免手動查詢和更新。

注意事項

網絡連接：需要能夠訪問 docker.io 的網絡連接，以獲取映像標籤信息。
正則表達式：確保正則表達式與您需要的版本格式匹配，必要時可以調整。

總結

這個命令結合了 skopeo 和 jq 的功能，自動化地從 Docker 映像庫中獲取特定格式的標籤，並選取每個次要版本的最新修訂版本，對於需要保持軟體版本更新的情況非常實用。

如果您對某些部分仍有疑問，或者需要進一步的解釋，請隨時告訴我！

洞悉 FCB 腳本

Fri, 10 May 2024 02:54:24 +0800

腳本變數

#色碼
RED='\033[0;31m'
GREEN='\033[0;32m'
BLUE='\033[0;34m'
YELLOW='\033[0;33m'
NC='\033[0m'
bk_time=$(date +"%Y%m%d")
check_failed=()
#判斷SUSE版本
SUSE_ver="$(cat /etc/os-release |grep VERSION_ID | awk -F'"' '{print $2}')"

\033[0m，關閉所有屬性

腳本 Function

all() {
filesystem
system_setting
system_service
software
network
audit
selinux
cron
account_permit
ssh
}

all: 套用全部FCB設定(除了firewalld以及iptable)
filesystem: 套用磁碟與檔案系統設定，【FCB29-31,322】
system_setting: 套用系統設定與維護設定，【FCB32-91,296,306-308,314-316,318-319】
system_service: 套用系統服務設定，【FCB92-101,303-305,317】
software: 套用安裝與維護軟體設定，【FCB102-107】
network: 套用網路設定，【FCB108-131】
audit: 套用日誌與稽核，【FCB132-184,293,297-302,321】
selinux: 套用SELinux部分設定(不啟用)，【FCB185-191】
cron: 套用cron設定，【FCB192-207】
account_permit: 套用帳號與存取控制設定，【FCB208-243,294-295,320】
firewalld: 套用Firewalld配置SLES 15版本用，【FCB244-248】
iptable: 套用iptable配置SLES 12版本用，【FCB256-261】
ssh: 套用SSH設定，【FCB262-292】

磁碟與檔案系統

FCB 29 項

設定說明

這項原則設定決定所有具有全域寫入 (World-writable) 權限之目錄是否設定粘滯位 (Sticky bit)。
設定粘滯位 (Sticky bit) 確保只有擁有者才能刪除或更名自己建立的檔案，以防止其他使用者任意刪除或更名其他使用者的檔案。

腳本內容

echo "此腳本為FCB for SUSE 磁碟與檔案系統設定(FCB29-31,322)"
echo -e "$BLUE"
echo -e "FCB29 設定全域寫入權限目錄之粘滯位:$NC"
echo -e "${YELLOW}在所有具有全域寫入(World-writable)權限之目錄設定粘滯位：
搜尋所有具有全域寫入(World-writable)權限之目錄${NC}"
output=$(df --local -P | awk '{if (NR!=1) print $6}' | xargs -I '{}' find '{}' -xdev -type d \( -perm -0002 -a ! -perm -1000 \))
if [ -n "$output" ]; then
echo -e "${RED}檢查出具有全域寫入(World-writable)權限之目錄"
df --local -P | awk '{if (NR!=1) print $6}' | xargs -I '{}' find '{}' -xdev -type d \( -perm -0002 -a ! -perm -1000 \)
echo -e "${NC}輸入以下指令設定設定粘滯位：
df --local -P | awk '{if (NR!=1) print $6}' | xargs -I '{}' find '{}' -xdev -type d \( -perm -0002 -a ! -perm -1000 \) 2>/dev/null | xargs -I '{}' chmod o+t '{}'"
check_failed+=(29)
else
echo -e "${GREEN}檢查通過${NC}"
fi

關鍵命令解釋

df --local -P
- df：這個命令用來顯示硬碟使用情況。
- --local：只顯示本地（非網絡）檔案系統。
- -P：輸出格式使用 POSIX 標準格式，確保列數據對齊，方便後續處理。
awk '{if (NR!=1) print $6}'
- awk：處理字串的工具，這裡用來處理 df 的輸出。
- {if (NR!=1) print $6}：如果不是第一行（通常是標題行），則打印每行的第六個字段，分隔符預設是一個空格，這是掛載點的位置。
做到一樣事情但更簡單的命令 :
- df -l --output=target | tail -n +2
xargs -I '{}' find '{}' -xdev -type d $ -perm -0002 -a ! -perm -1000 $
- xargs：把標準輸入的字串轉換成命令行參數。
- -I '{}'：自定義替換字符串，這裡指定用 {} 來替換。
- find：尋找檔案的命令。
- '{}'：被 xargs 替換的掛載點。
- -xdev：不進入處於其他文件系統之上的目錄。
- -type d：只尋找目錄。
- $ -perm -0002 -a ! -perm -1000 $：尋找至少擁有其他人可寫的權限（-perm -0002）且沒有設定 sticky bit（-perm -1000）的目錄。
  - 至少擁有其他人可寫的權限的意思是，只要權限有其他人可寫的這個權限，不管 owner 和 group 權限設定多少，都會被找出來。
2>/dev/null
- 將所有錯誤訊息重定向到黑洞裝置 /dev/null（忽略錯誤訊息）。
xargs -I '{}' chmod o+t '{}'
- 再次使用 xargs 接收前一個命令的輸出。
- chmod o+t '{}'：對找到的每個目錄設置 sticky bit，以防止非擁有者刪除或更改其他用戶的檔案。

FCB 30 項

設定說明

這項原則設定決定是否使用 autofs 服務
autofs 服務可自動掛載或卸載光碟機、USB 裝置及 NFS 檔案系統的掛載點，讓任何使用者都可以使用 autofs 服務掛載裝置與檔案系統
當系統不需自動掛載 NFS 檔案系統或可攜式儲存裝置時，建議停用此服務。如有掛載需求，建議透過設定 /etc/fstab 檔案方式進行掛載

腳本內容

echo -e "$BLUE"
echo -e "FCB30 autofs服務"
output=$(systemctl status autofs)
if systemctl is-enabled autofs &> /dev/null; then
echo -e "${RED}autofs服務已啟用，需要禁用${NC}"
echo "輸入以下指令設定autofs禁用：
systemctl --now disable autofs"
check_failed+=(30)
else
echo -e "${GREEN}檢查通過${NC}"
fi

關鍵命令解釋

systemctl is-enabled autofs
- is-enabled，檢查服務是否設為開機自動啟動了。

account_permit

設定說明

備份檔案

腳本內容

echo "此腳本為FCB for SUSE 帳號與存取控制(FCB208-243,294-295,320)"
#備份/etc/pam.d/common-password-pc
if [ ! -f "/etc/pam.d/common-password-pc.ori" ];then
cp -p "/etc/pam.d/common-password-pc" "/etc/pam.d/common-password-pc.ori"
else
cp -p "/etc/pam.d/common-password-pc" "/etc/pam.d/common-password-pc.bk$bk_time"
fi
#備份/etc/pam.d/login
if [ ! -f "/etc/pam.d/login.ori" ];then
cp -p "/etc/pam.d/login" "/etc/pam.d/login.ori"
else
cp -p "/etc/pam.d/login" "/etc/pam.d/login.bk$bk_time"
fi
#備份/etc/login.defs
if [ ! -f "/etc/login.defs.ori" ];then
cp -p "/etc/login.defs" "/etc/login.defs.ori"
else
cp -p "/etc/login.defs" "/etc/login.defs.bk$bk_time"
fi
#備份/etc/security/limits.conf
if [ ! -f "/etc/security/limits.conf.ori" ];then
cp -p "/etc/security/limits.conf" "/etc/security/limits.conf.ori"
else
cp -p "/etc/security/limits.conf" "/etc/security/limits.conf.bk$bk_time"
fi
###/etc/dconf/db/local.d/00-screensaver預設不存在，故不備份
#備份/etc/gdm/custom.conf
if [ ! -f "/etc/gdm/custom.conf.ori" ];then
cp -p "/etc/gdm/custom.conf" "/etc/gdm/custom.conf.ori"
else
cp -p "/etc/gdm/custom.conf" "/etc/gdm/custom.conf.bk$bk_time"
fi
#備份/etc/bash.bashrc
if [ ! -f "/etc/bash.bashrc.ori" ];then
cp -p "/etc/bash.bashrc" "/etc/bash.bashrc.ori"
else
cp -p "/etc/bash.bashrc" "/etc/bash.bashrc.bk$bk_time"
fi
#備份/etc/profile
if [ ! -f "/etc/profile.ori" ];then
cp -p "/etc/profile" "/etc/profile.ori"
else
cp -p "/etc/profile" "/etc/profile.bk$bk_time"
fi
###/etc/dconf/db/local.d/locks/session預設不存在，故不備份
#備份/etc/pam.d/su
if [ ! -f "/etc/pam.d/su.ori" ];then
cp -p "/etc/pam.d/su" "/etc/pam.d/su.ori"
else
cp -p "/etc/pam.d/su" "/etc/pam.d/su.bk$bk_time"
fi

#FCB208-219
echo -e "$BLUE"
echo -e "FCB208-219 設定使用者帳號密碼設定規則:${YELLOW}請檢查輸出是否相符${NC}"
pam-config -a --cracklib-minlen=12 --cracklib-retry=3 --cracklib-lcredit=-1 --cracklib-ucredit=-1 --cracklib-dcredit=-1 --cracklib-ocredit=-1 --cracklib-reject_username=-1 --cracklib --cracklib-difok=3 --cracklib-maxclassrepeat=4 --cracklib-maxrepeat=3 --cracklib-enforce_for_root
echo -e "/etc/pam.d/common-password-pc目前設定:"
grep pam_cracklib.so /etc/pam.d/common-password-pc
echo -e "${YELLOW}範例:
password requisite pam_cracklib.so reject_username enforce_for_root retry=3 difok=3 minlen=12 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 maxrepeat=3 maxclassrepeat=4${NC}"

關鍵命令解釋

FCB208--cracklib-retry=3 可設定密碼次數
FCB 209 --cracklib-enforce_for_root 強制root密碼須符合密碼規則
FCB 210 --cracklib-minlen=12 密碼最小長度
FCB 211 --cracklib-lcredit=-1 --cracklib-ucredit=-1 --cracklib-dcredit=-1 --cracklib-ocredit=-1 密碼必須至少包含字元類別數量

firewalld

FCB 244-248 項

設定說明

這項原則設定決定是否安裝firewalld防火牆套件 * 藉由防火牆管理與設定，以保護系統安全

腳本內容

echo "SLSE 15 firewalld setup config"
echo -e "${BLUE}FCB244-245 firewalld防火牆套件安裝並啟用${NC}"
# FCB 244
zypper install firewalld
rpm -qa firewalld --qf '(%{INSTALLTIME:date}): %{NAME}-%{VERSION}\n'
# FCB 245
systemctl --now enable firewalld
systemctl status firewalld
echo -e "${BLUE}FCB246 停用並遮蔽iptables及nftables服務${NC}"
# FCB 246
systemctl --now mask iptables
# FCB 247
systemctl --now mask nftables
systemctl status iptables
systemctl status nftables
# FCB 248
firewall-cmd --list-all
echo -e "${YELLOW}請使用指令檢查目前firewall zone以及網路設定，設定範例如下:
firewall-cmd --set-default-zone=public
firewall-cmd --permanent --zone=public --add-interface=eth0
firewall-cmd --permanent --zone=public --add-service=ssh
firewall-cmd --list-all
firewall-cmd --reload
systemctl restart firewalld${NC}"

iptable

FCB256 - 261項

腳本內容

echo "SLSE 12SP5 iptable setup config"
# FCB 256
echo -e "${BLUE}FCB256 iptables服務安裝並啟用${NC}"
zypper install iptable
rpm -qa iptables --qf '(%{INSTALLTIME:date}): %{NAME}-%{VERSION}\n'
#FCB 257
echo -e "${BLUE}FCB257 停用並遮蔽Firewalld服務${NC}"
systemctl --now mask firewalld
systemctl status firewalld
echo -e "${YELLOW}腳本自動套用iptable設定${NC}"
iptables -A INPUT -j ACCEPT
iptables -A OUTPUT -j ACCEPT
iptables -A FORWARD -j ACCEPT
# FCB 258
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
# FCB 259
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -s 127.0.0.0/8 -j DROP
ip6tables --list-rules
ip6tables -A INPUT -j ACCEPT
ip6tables -A OUTPUT -j ACCEPT
ip6tables -A FORWARD -j ACCEPT
# FCB 260
ip6tables -P INPUT DROP
ip6tables -P OUTPUT DROP
ip6tables -P FORWARD DROP
# FCB 261
ip6tables -A INPUT -i lo -j ACCEPT
ip6tables -A OUTPUT -o lo -j ACCEPT
ip6tables -A INPUT -s ::1 -j DROP
iptables --list-rules
iptables-save > /etc/sysconfig/iptables
ip6tables-save > /etc/sysconfig/ip6tables
echo "iptables-restore /etc/sysconfig/iptables
ip6tables-restore /etc/sysconfig/ip6tables" >> /etc/init.d/after.local

ssh

備份 FCB 262-292項

設定說明

依時間備分sshd_config的設定檔

腳本內容

#備份/etc/ssh/sshd_config
if [ ! -f "/etc/ssh/sshd_config.ori" ];then
cp -p "/etc/ssh/sshd_config" "/etc/ssh/sshd_config.ori"
else
cp -p "/etc/ssh/sshd_config" "/etc/ssh/sshd_config.bk$bk_time"
fi
#備份/etc/sysconfig/sshd
#if [ ! -f "/etc/sysconfig/sshd.ori" ];then
# cp -p "/etc/sysconfig/sshd" "/etc/sysconfig/sshd.ori"
#else
# cp -p "/etc/sysconfig/sshd" "/etc/sysconfig/sshd.bk$bk_time"
#fi

關鍵命令解釋

cp -p
- -p: 複製檔案保留檔案最原始的權限跟郵戳
[ ! -f "/etc/sysconfig/sshd.ori" ]
- [! -f "/etc/sysconfig/sshd.ori" ] 檢查/etc/sysconfig/sshd.ori這個檔案是否不存在

FCB 262 項

設定說明

安裝sshd套件

腳本內容

echo -e "$BLUE"
echo -e "FCB262 安裝sshd套件 :$YELLOW 請檢查以下輸出$NC"
zypper install openssh-server.x86_64
systemctl --now enable sshd.service

FCB 263 項

設定說明

檢查SSH 的 Protocol設定使用SSHv2連線

腳本內容

#SSH協定版本
if grep -qE "^Protocol\s+2$" /etc/ssh/sshd_config ; then
echo -e "$BLUE"
echo -e "FCB263 SSH協定版本:$GREEN 正確$NC"
grep -E "^Protocol\s+2$" /etc/ssh/sshd_config
else
echo -e "$BLUE"
echo -e "FCB263 SSH協定版本:$GREEN 完成$NC"
sed -i 's/^Protocol/#Protocol/g' /etc/ssh/sshd_config
echo -e "Protocol 2" >> "/etc/ssh/sshd_config"
echo "新增限制存取SSH參數至 /etc/ssh/sshd_config"
grep -E "^Protocol\s+2$" /etc/ssh/sshd_config
fi

關鍵命令解釋

`“Protocol 2” » “/etc/ssh/sshd_config”
- Protocol 2 讓SSH 套用 SSHv2 協議它的運作方式如下：將SSHv2伺服器設定為能夠接受SSH預設通訊埠22的連線；並關閉其他所有的通訊埠。然後，將伺服器設定成用戶端能透過通訊埠22來存取其他的網路服務。之後將用戶端設定成以通訊埠22連上網路，並將所有允許的服務全納入SSHv2的通道中。

FCB264-265 項

設定說明

更新/etc/ssh/sshd_config檔案權限

腳本內容

#更新/etc/ssh/sshd_config檔案權限
echo -e "$BLUE"
echo -e "FCB264-265 更新/etc/ssh/sshd_config檔案權限:$GREEN 完成$NC"
chown root:root /etc/ssh/sshd_config
chmod 600 /etc/ssh/sshd_config
ls -l /etc/ssh/sshd_config

FCB266 項目

設定說明

限制存取SSH

腳本內容

if grep -qE "^AllowGroups\s+root\s+psca\s+psys\s+ppcs\s+pcop\s+pcmd1\s+pchgcmd\s+psftp\s+pftpid0\s+psam\s+pbasis$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB266 限制存取SSH參數:$GREEN 正確$NC"
grep -E "^AllowGroups\s+root\s+psca\s+psys\s+ppcs\s+pcop\s+pcmd1\s+pchgcmd\s+psftp\s+pftpid0\s+psam\s+pbasis$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB274 限制存取SSH參數:$GREEN 完成$NC"
sed -i 's/^AllowGroups/#AllowGroups/g' /etc/ssh/sshd_config
echo -e "AllowGroups root psca psys ppcs pcop pcmd1 pchgcmd psftp pftpid0 psam pbasis" >> "/etc/ssh/sshd_config"
echo "新增限制存取SSH參數至 /etc/ssh/sshd_config"
grep -E "^AllowGroups\s+root\s+psca\s+psys\s+ppcs\s+pcop\s+pcmd1\s+pchgcmd\s+psftp\s+pftpid0\s+psam\s+pbasis$" "/etc/ssh/sshd_config"
fi

關鍵命令解釋

"^AllowGroups\s+root\s+psca\s+psys\s+ppcs\s+pcop\s+pcmd1\s+pchgcmd\s+psftp\s+pftpid0\s+psam\s+pbasis$
- ^ 是 AllowGroups 開頭。
- \s+ 表示一個或多個空白字符。
- $ 表示這行結束

FCB267-270 項

設定說明

設定SSH主機私鑰及公鑰檔案權限

腳本內容

#FCB267-270
#設定SSH主機私鑰及公鑰檔案權限
echo -e "$BLUE"
echo -e "FCB267-270 設定SSH主機私鑰及公鑰檔案權限:$GREEN 完成$NC"
find /etc/ssh -xdev -type f -name 'ssh_host_*_key' -exec chown root:root {} \;
find /etc/ssh -xdev -type f -name 'ssh_host_*_key' -exec chmod 600 {} \;
find /etc/ssh -xdev -type f -name 'ssh_host_*_key.pub' -exec chown root:root {} \;
find /etc/ssh -xdev -type f -name 'ssh_host_*_key.pub' -exec chmod 644 {} \;

關鍵命令解釋

find /etc/ssh -xdev -type f -name 'ssh_host_*_key.pub' -exec chmod 644 {} \
- -xdev 在當前的檔案係中尋找此檔案不會找掛載的其他檔案系
- {} 把 find 指令找到的每一個檔案

FCB271 項

設定說明

設定SSH加密演算法:Ciphers設定、MACs設定、kexalgorithms設定

腳本內容

#設定SSH加密演算法
#Ciphers設定
if grep -qE "^Ciphers\s+aes128-ctr,aes192-ctr,aes256-ctr$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB271 設定SSH加密演算法Ciphers:$GREEN 正確$NC"
grep -E "^Ciphers\s+aes128-ctr,aes192-ctr,aes256-ctr$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB271 設定SSH加密演算法Ciphers:$GREEN 完成$NC"
sed -i 's/^Ciphers/#Ciphers/g' /etc/ssh/sshd_config
echo -e "Ciphers aes128-ctr,aes192-ctr,aes256-ctr" >> "/etc/ssh/sshd_config"
echo "新增SSH加密演算法Ciphers參數至 /etc/ssh/sshd_config"
grep -E "^Ciphers\s+aes128-ctr,aes192-ctr,aes256-ctr$" "/etc/ssh/sshd_config"
fi
#MACs設定
if grep -qE "^MACs\s+hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-sha1-etm@openssh.com,hmac-sha2-256,hmac-sha2-512,hmac-sha1$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB271 設定SSH加密演算法MACs:$GREEN 正確$NC"
grep -E "^MACs\s+hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-sha1-etm@openssh.com,hmac-sha2-256,hmac-sha2-512,hmac-sha1$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB271 設定SSH加密演算法MACs:$GREEN 完成$NC"
sed -i 's/^MACs/#MACs/g' /etc/ssh/sshd_config
echo -e "MACs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-sha1-etm@openssh.com,hmac-sha2-256,hmac-sha2-512,hmac-sha1" >> "/etc/ssh/sshd_config"
echo "新增SSH加密演算法MACs參數至 /etc/ssh/sshd_config"
grep -E "^MACs\s+hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-sha1-etm@openssh.com,hmac-sha2-256,hmac-sha2-512,hmac-sha1$" "/etc/ssh/sshd_config"
fi
#kexalgorithms設定
if grep -qE "^kexalgorithms\s+ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB271 設定SSH加密演算法kexalgorithms:$GREEN 正確$NC"
grep -E "^kexalgorithms\s+ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB271 設定SSH加密演算法kexalgorithms:$GREEN 完成$NC"
sed -i 's/^kexalgorithms/#kexalgorithms/g' /etc/ssh/sshd_config
echo -e "kexalgorithms ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256" >> "/etc/ssh/sshd_config"
echo "新增SSH加密演算法kexalgorithms參數至 /etc/ssh/sshd_config"
grep -E "^kexalgorithms\s+ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256$" "/etc/ssh/sshd_config"
fi

FCB272 項

設定說明

SSH LogLevel參數

腳本內容

if grep -qE "^LogLevel\s+INFO$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB272 SSH LogLevel參數:$GREEN 正確$NC"
grep -E "^LogLevel\s+INFO$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB272 SSH LogLevel參數:$GREEN 完成$NC"
sed -i 's/^LogLevel/#LogLevel/g' /etc/ssh/sshd_config
echo -e "LogLevel INFO" >> "/etc/ssh/sshd_config"
echo "新增SSH LogLevel參數至 /etc/ssh/sshd_config"
grep -E "^LogLevel\s+INFO$" "/etc/ssh/sshd_config"
fi

FCB273 項

設定說明

SSH X11Forwarding參數

腳本內容

if grep -qE "^X11Forwarding\s+no$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB273 SSH X11Forwarding參數:$GREEN 正確$NC"
grep -E "^X11Forwarding\s+no$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB273 SSH X11Forwarding參數:$GREEN 完成$NC"
sed -i 's/^X11Forwarding/#X11Forwarding/g' /etc/ssh/sshd_config
echo -e "X11Forwarding no" >> "/etc/ssh/sshd_config"
echo "新增SSH X11Forwarding參數至 /etc/ssh/sshd_config"
grep -E "^X11Forwarding\s+no$" "/etc/ssh/sshd_config"
fi

FCB274 項

設定說明

SSH MaxAuthTries參數

腳本內容

if grep -qE "^MaxAuthTries\s+4$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB274 SSH MaxAuthTries參數:$GREEN 正確$NC"
grep -E "^MaxAuthTries\s+4$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB274 SSH MaxAuthTries參數:$GREEN 完成$NC"
sed -i 's/^MaxAuthTries/#MaxAuthTries/g' /etc/ssh/sshd_config
echo -e "MaxAuthTries 4" >> "/etc/ssh/sshd_config"
echo "新增SSH MaxAuthTries參數至 /etc/ssh/sshd_config"
grep -E "^MaxAuthTries\s+4$" "/etc/ssh/sshd_config"
fi

FCB275 項

設定說明

SSH IgnoreRhosts參數

腳本內容

if grep -qE "^IgnoreRhosts\s+yes$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB275 SSH IgnoreRhosts參數:$GREEN 正確$NC"
grep -E "^IgnoreRhosts\s+yes$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB275 SSH IgnoreRhosts參數:$GREEN 完成$NC"
sed -i 's/^IgnoreRhosts/#IgnoreRhosts/g' /etc/ssh/sshd_config
echo -e "IgnoreRhosts yes" >> "/etc/ssh/sshd_config"
echo "新增SSH IgnoreRhosts參數至 /etc/ssh/sshd_config"
grep -E "^IgnoreRhosts\s+yes$" "/etc/ssh/sshd_config"
fi

FCB276 項

設定說明

SSH HostbasedAuthentication參數

if grep -qE "^HostbasedAuthentication\s+no$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB276 SSH HostbasedAuthentication參數:$GREEN 正確$NC"
grep -E "^HostbasedAuthentication\s+no$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB276 SSH HostbasedAuthentication參數:$GREEN 完成$NC"
sed -i 's/^HostbasedAuthentication/#HostbasedAuthentication/g' /etc/ssh/sshd_config
echo -e "HostbasedAuthentication no" >> "/etc/ssh/sshd_config"
echo "新增SSH HostbasedAuthentication參數至 /etc/ssh/sshd_config"
grep -E "^HostbasedAuthentication\s+no$" "/etc/ssh/sshd_config"
fi

FCB277 項

設定說明

SSH PermitRootLogin參數
編輯 /etc/ssh/sshd_config 檔案, 設定參數如下: PermitRootLogin no
開啟終端機, 執行以下指令, 重新啟動 SSH 服務使其生效:
systemctl restart sshd
注意: 請先通知 SSH 服務使用者, 再重啟 SSH 服務, 以避免影響使用者作業

腳本內容

#if grep -qE "^PermitRootLogin\s+no$" "/etc/ssh/sshd_config"; then
# echo -e "$BLUE"
# echo -e "FCB277 SSH PermitRootLogin參數:$GREEN 正確$NC"
# grep -E "^PermitRootLogin\s+no$" "/etc/ssh/sshd_config"
#else
# echo -e "$BLUE"
# echo -e "FCB277 SSH PermitRootLogin參數:$GREEN 完成$NC"
# sed -i 's/^PermitRootLogin/#PermitRootLogin/g' /etc/ssh/sshd_config
# echo -e "PermitRootLogin no" >> "/etc/ssh/sshd_config"
# echo "新增SSH PermitRootLogin參數至 /etc/ssh/sshd_config"
# grep -E "^PermitRootLogin\s+no$" "/etc/ssh/sshd_config"
#fi

FCB278 項

設定說明

SSH PermitEmptyPasswords參數

腳本內容

if grep -qE "^PermitEmptyPasswords\s+no$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB278 SSH PermitEmptyPasswords參數:$GREEN 正確$NC"
grep -E "^PermitEmptyPasswords\s+no$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB278 SSH PermitEmptyPasswords參數:$GREEN 完成$NC"
sed -i 's/^PermitEmptyPasswords/#PermitEmptyPasswords/g' /etc/ssh/sshd_config
echo -e "PermitEmptyPasswords no" >> "/etc/ssh/sshd_config"
echo "新增SSH PermitEmptyPasswords參數至 /etc/ssh/sshd_config"
grep -E "^PermitEmptyPasswords\s+no$" "/etc/ssh/sshd_config"
fi

FCB279 項

設定說明

SSH PermitEmptyPasswords參數

腳本內容

if grep -qE "^PermitUserEnvironment\s+no$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB279 SSH PermitUserEnvironment參數:$GREEN 正確$NC"
grep -E "^PermitUserEnvironment\s+no$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB279 SSH PermitUserEnvironment參數:$GREEN 完成$NC"
sed -i 's/^PermitUserEnvironment/#PermitUserEnvironment/g' /etc/ssh/sshd_config
echo -e "PermitUserEnvironment no" >> "/etc/ssh/sshd_config"
echo "新增SSH PermitUserEnvironment參數至 /etc/ssh/sshd_config"
grep -E "^PermitUserEnvironment\s+no$" "/etc/ssh/sshd_config"
fi

FCB280 項

設定說明

SSH ClientAliveInterval參數、ClientAliveCountMax參數

腳本內容

if grep -qE "^ClientAliveInterval\s+600$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB280 SSH ClientAliveInterval參數:$GREEN 正確$NC"
grep -E "^ClientAliveInterval\s+600$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB280 SSH ClientAliveInterval參數:$GREEN 完成$NC"
sed -i 's/^ClientAliveInterval/#ClientAliveInterval/g' /etc/ssh/sshd_config
echo -e "ClientAliveInterval 600" >> "/etc/ssh/sshd_config"
echo "新增SSH ClientAliveInterval參數至 /etc/ssh/sshd_config"
grep -E "^ClientAliveInterval\s+600$" "/etc/ssh/sshd_config"
fi
if grep -qE "^ClientAliveCountMax\s+0$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB280 SSH ClientAliveCountMax參數:$GREEN 正確$NC"
grep -E "^ClientAliveCountMax\s+0$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB280 SSH ClientAliveCountMax參數:$GREEN 完成$NC"
sed -i 's/^ClientAliveCountMax/#ClientAliveCountMax/g' /etc/ssh/sshd_config
echo -e "ClientAliveCountMax 0" >> "/etc/ssh/sshd_config"
echo "新增SSH ClientAliveCountMax參數至 /etc/ssh/sshd_config"
grep -E "^ClientAliveCountMax\s+0$" "/etc/ssh/sshd_config"
fi

FCB281 項

設定說明

SSH LoginGraceTime參數

腳本內容

if grep -qE "^LoginGraceTime\s+60$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB281 SSH LoginGraceTime參數:$GREEN 正確$NC"
grep -E "^LoginGraceTime\s+60$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB281 SSH LoginGraceTime參數:$GREEN 完成$NC"
sed -i 's/^LoginGraceTime/#LoginGraceTime/g' /etc/ssh/sshd_config
echo -e "LoginGraceTime 60" >> "/etc/ssh/sshd_config"
echo "新增SSH LoginGraceTime參數至 /etc/ssh/sshd_config"
grep -E "^LoginGraceTime\s+60$" "/etc/ssh/sshd_config"
fi

FCB282 項

設定說明

SSH UsePAM參數

腳本內容

if grep -qE "^UsePAM\s+yes$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB282 SSH UsePAM參數:$GREEN 正確$NC"
grep -E "^UsePAM\s+yes$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB282 SSH UsePAM參數:$GREEN 完成$NC"
sed -i 's/^UsePAM/#UsePAM/g' /etc/ssh/sshd_config
echo -e "UsePAM yes" >> "/etc/ssh/sshd_config"
echo "新增SSH UsePAM參數至 /etc/ssh/sshd_config"
grep -E "^UsePAM\s+yes$" "/etc/ssh/sshd_config"
fi

FCB283 項

設定說明

SSH AllowTcpForwarding參數

腳本內容

if grep -qE "^AllowTcpForwarding\s+no$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB283 SSH AllowTcpForwarding參數:$GREEN 正確$NC"
grep -E "^AllowTcpForwarding\s+no$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB283 SSH AllowTcpForwarding參數:$GREEN 完成$NC"
sed -i 's/^AllowTcpForwarding/#AllowTcpForwarding/g' /etc/ssh/sshd_config
echo -e "AllowTcpForwarding no" >> "/etc/ssh/sshd_config"
echo "新增SSH AllowTcpForwarding參數至 /etc/ssh/sshd_config"
grep -E "^AllowTcpForwarding\s+no$" "/etc/ssh/sshd_config"
fi

FCB284 項

設定說明

SSH maxstartups參數

腳本內容

if grep -qE "^maxstartups\s+10:30:60$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB284 SSH maxstartups參數:$GREEN 正確$NC"
grep -E "^maxstartups\s+10:30:60$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB284 SSH maxstartups參數:$GREEN 完成$NC"
sed -i 's/^maxstartups/#maxstartups/g' /etc/ssh/sshd_config
echo -e "maxstartups 10:30:60" >> "/etc/ssh/sshd_config"
echo "新增SSH maxstartups參數至 /etc/ssh/sshd_config"
grep -E "^maxstartups\s+10:30:60$" "/etc/ssh/sshd_config"
fi

FCB285 項

設定說明

SSH MaxSessions參數

腳本內容

if grep -qE "^MaxSessions\s+4$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB285 SSH MaxSessions參數:$GREEN 正確$NC"
grep -E "^MaxSessions\s+4$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB285 SSH MaxSessions參數:$GREEN 完成$NC"
sed -i 's/^MaxSessions/#MaxSessions/g' /etc/ssh/sshd_config
echo -e "MaxSessions 4" >> "/etc/ssh/sshd_config"
echo "新增SSH MaxSessions參數至 /etc/ssh/sshd_config"
grep -E "^MaxSessions\s+4$" "/etc/ssh/sshd_config"
fi

FCB286 項

設定說明

SSH StrictModes參數

腳本內容

if grep -qE "^StrictModes\s+yes$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB286 SSH StrictModes參數:$GREEN 正確$NC"
grep -E "^StrictModes\s+yes$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB286 SSH StrictModes參數:$GREEN 完成$NC"
sed -i 's/^StrictModes/#StrictModes/g' /etc/ssh/sshd_config
echo -e "StrictModes yes" >> "/etc/ssh/sshd_config"
echo "新增SSH StrictModes參數至 /etc/ssh/sshd_config"
grep -E "^StrictModes\s+yes$" "/etc/ssh/sshd_config"
fi

FCB287 項

設定說明

SSH Compression參數

腳本內容

if grep -qE "^Compression\s+no$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB287 SSH Compression參數:$GREEN 正確$NC"
grep -E "^Compression\s+no$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB287 SSH Compression參數:$GREEN 完成$NC"
sed -i 's/^Compression/#Compression/g' /etc/ssh/sshd_config
echo -e "Compression no" >> "/etc/ssh/sshd_config"
echo "新增SSH Compression參數至 /etc/ssh/sshd_config"
grep -E "^Compression\s+no$" "/etc/ssh/sshd_config"
fi

FCB288 項

設定說明

SSH IgnoreUserKnownHosts參數

腳本內容

if grep -qE "^IgnoreUserKnownHosts\s+yes$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB288 SSH IgnoreUserKnownHosts參數:$GREEN 正確$NC"
grep -E "^IgnoreUserKnownHosts\s+yes$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB288 SSH IgnoreUserKnownHosts參數:$GREEN 完成$NC"
sed -i 's/^IgnoreUserKnownHosts/#IgnoreUserKnownHosts/g' /etc/ssh/sshd_config
echo -e "IgnoreUserKnownHosts yes" >> "/etc/ssh/sshd_config"
echo "新增SSH IgnoreUserKnownHosts參數至 /etc/ssh/sshd_config"
grep -E "^IgnoreUserKnownHosts\s+yes$" "/etc/ssh/sshd_config"
fi

FCB289 項

設定說明

SSH PrintLastLog參數

腳本內容

if grep -qE "^PrintLastLog\s+yes$" "/etc/ssh/sshd_config"; then
echo -e "$BLUE"
echo -e "FCB289 SSH PrintLastLog參數:$GREEN 正確$NC"
grep -E "^PrintLastLog\s+yes$" "/etc/ssh/sshd_config"
else
echo -e "$BLUE"
echo -e "FCB289 SSH PrintLastLog參數:$GREEN 完成$NC"
sed -i 's/^PrintLastLog/#PrintLastLog/g' /etc/ssh/sshd_config
echo -e "PrintLastLog yes" >> "/etc/ssh/sshd_config"
echo "新增SSH PrintLastLog參數至 /etc/ssh/sshd_config"
grep -E "^PrintLastLog\s+yes$" "/etc/ssh/sshd_config"
fi

FCB290 項

設定說明

移除shosts.equiv檔案
開啟終端機, 執行以下指令, 尋找任何「shosts.equiv」檔案: #find / -name shosts.equiv 若發現「shosts.equiv」檔案, 執行指令移除檔案, 範例如下:

rm /etc/ssh/shosts.equiv

腳本內容

echo -e "$BLUE"
echo -e "FCB290 搜尋shosts.equiv檔案:$YELLOW 請檢查以下輸出$NC"
find / -name shosts.equiv
echo ""
echo -e "$YELLOW"
echo -e "若發現「shosts.equiv」檔案，執行指令移除檔案，範例：$RED rm 「該檔案」$NC"

FCB291 項

設定說明

移除.shosts檔案
開啟終端機, 執行以下指令, 尋找任何「.shosts」檔案:
# find / -name '*.shosts' 若發現「.shosts」檔案, 執行指令移除檔案, 範例如下: # rm $HOME/.shosts

腳本內容

echo -e "$BLUE"
echo -e "FCB291 搜尋.shosts檔案:$YELLOW 請檢查以下輸出$NC"
find / -name *.shosts
echo ""
echo -e "$YELLOW"
echo -e "若發現「.shosts」檔案，執行指令移除檔案，範例：$RED rm 「該檔案」$NC"

FCB292 項

設定說明

停用覆寫全系統加密原則
開啟終端機, 執行以下指令, 以停用覆寫全系統加密原則: # sed -ri "s/^\s*(CRYPTO_POLICY\s*=.*)$/# \1/" /etc/sysconfig/sshd 執行以下指令, 重新啟動 SSH 服務使其生效: # systemctl restart sshd ▪ 注意：請先通知SSH服務使用者，再重啟SSH服務，以避免影響使用者作業

腳本內容

#echo -e "$BLUE"
#echo -e "FCB292 停用覆寫全系統加密原則:$GREEN 完成$NC"
#sed -ri "s/^\s*(CRYPTO_POLICY\s*=.*)$/# \1/" /etc/sysconfig/sshd
echo -e "$BLUE SSH設定修改完畢後，請通知SSH服務使用者，執行指令重啟SSH服務，以避免影響使用者作業:$RED systemctl restart sshd$NC"

無標題

Fri, 26 Apr 2024 09:16:38 +0800

logrotate 的機制是每天會 rotate 一次，假設原本的檔名是 cron.log ，在 rotate 之後檔案會被壓縮成 cron.log.<當天日期>.xz。 image.png

而 log 會繼續被存在 cron.log 中，時間過一天之後，會再被 rotate 一次，檔案會再被壓縮成 cron.log.<當天日期>.xz。 image.png

當壓縮檔累積 14 份，要在產生新的壓縮檔時，會刪除最舊的壓縮檔，讓壓縮檔永遠保存 14 天份的壓縮檔。 image.png

Google

Fri, 19 Apr 2024 08:32:22 +0800

今天我們為何要先學 GCP? 答: 因為要來 Run Google Kubernetes Engine (GKE)

Google Cloud Platform

GCP 只能 Run GKE 嗎? 答: GCP 還有提供很多服務，譬如還有 BigQuery (一種資料分析的工具)、Google Cloud Storage (會提供儲存空間讓你存資料)、Compute Engine (在 Google Cloud 上建立、啟動和管理虛擬機)…等

Cloud Identity

Cloud Identity 是 Google Cloud Platform (GCP) 提供的一項服務，提供統一的方式來集中管理與建立使用者、多重身份驗證、設備管理…等

Cloud Identity 還有 Single Sign-On（SSO）的特性，可以提供單一的登入入口，登入後就可以使用各種 Google 提供的服務。

GKE

透過 kubectl 跟 Api Server 溝通 Control manager 會負責讓 application run 的長長久久穩穩當當看不到也無法控制 Control plane

Command

dig 命令不會根據 /etc/resolv.conf 裡面的 Search Domain 去查詢。

cat wulin/wkload/usdt/job-dtp-bucket.yaml
apiVersion: batch/v1
kind: Job
metadata:
 name: job-dtp-bucket
 namespace: kube-system
spec:
 # If the field is set to 0, the Job will be eligible to be automatically deleted immediately after it finishes.
 ttlSecondsAfterFinished: 10
 template:
 metadata:
 name: job-dtp-bucket
 spec:
 containers:
 - name: job-dtp-bucket
 # 以下 Image 有安裝 mc 命令
 image: quay.io/cloudwalker/alp.base:24.01
 tty: true
 command: ["sh", "-c"]
 args:
 - |
 mc config host add mios http://miniosnsd.kube-system:9000 minio minio123
 [ "$?" != "0" ] && echo "MinIO not exist" && exit 1

 wget https://dlcdn.apache.org/hadoop/common/hadoop-3.4.0/hadoop-3.4.0.tar.gz -O /tmp/hadoop-3.4.0.tar.gz
 cd /tmp && tar xvfz hadoop-3.4.0.tar.gz

 wget https://dlcdn.apache.org/hive/hive-4.0.0/apache-hive-4.0.0-bin.tar.gz -O /tmp/apache-hive-4.0.0-bin.tar.gz
 cd /tmp && tar xvfz apache-hive-4.0.0-bin.tar.gz

 wget https://dlcdn.apache.org/hive/hive-3.1.3/apache-hive-3.1.3-bin.tar.gz -O /tmp/apache-hive-3.1.3-bin.tar.gz
 cd /tmp && tar xvfz apache-hive-3.1.3-bin.tar.gz

 shpass -p 'bigred' scp -P 22100 bigred@kube-kadm.kube-system:wulin/wkload/usdt/conf/hdp3.4/* /tmp/hadoop-3.4.0/etc/hadoop/
 shpass -p 'bigred' scp -P 22100 bigred@kube-kadm.kube-system:wulin/wkload/usdt/bin/* /tmp/hadoop-3.4.0/bin/
 shpass -p 'bigred' scp -P 22100 bigred@kube-kadm.kube-system:~/wulin/wkload/usdt/conf/hive4.0/* /tmp/apache-hive-4.0.0-bin/conf/
 shpass -p 'bigred' scp -P 22100 bigred@kube-kadm.kube-system:~/wulin/wkload/usdt/conf/hive3.1.3/* /tmp/apache-hive-3.1.3-bin/conf/

 mc rm -r --force mios/dtp/ && mc rb mios/dtp
 mc mb mios/dtp

 mc mb mios/dtp/hdp3.4
 mc cp -r /tmp/hadoop-3.4.0/* mios/dtp/hdp3.4

 mc mb mios/dtp/hive4.0
 mc cp -r /tmp/apache-hive-4.0.0-bin/* mios/dtp/hive4.0

 mc mb mios/dtp/hive3.1.3
 mc cp -r /tmp/apache-hive-3.1.3-bin/* mios/dtp/hive3.1.3

 restartPolicy: Never

cat wulin/wkload/usdt/pod-dtm1.yaml
apiVersion: v1
kind: Pod
metadata:
name: dtm1
namespace: kube-system
labels:
app: hdp
spec:
hostname: dtm1
subdomain: hdp
dnsPolicy: None
dnsConfig:
nameservers:
- 10.98.0.10
searches:
- hdp.kube-system.svc.k1.org
- kube-system.svc.k1.org
- svc.k1.org
volumes:
- name: nn
hostPath:
path: /var/dtm1-nn
- name: sn
hostPath:
path: /var/dtm1-sn
- name: hdpsys
hostPath:
path: /home/hdpsys
# emptyDir: {}
initContainers:
- name: volume-permissions
image: quay.io/cloudwalker/us.dt:24.01
command:
- /bin/sh
- -c
- |
chmod -R 755 /home/bigred/nn && chown 1000:1000 /home/bigred/nn
chmod -R 755 /home/bigred/sn && chown 1000:1000 /home/bigred/sn
volumeMounts:
- name: nn
mountPath: /home/bigred/nn
- name: sn
mountPath: /home/bigred/sn
containers:
- name: dtm1
image: quay.io/cloudwalker/us.dt:24.01
imagePullPolicy: Always
tty: true
securityContext:
privileged: true
volumeMounts:
- name: nn
mountPath: /home/bigred/nn
- name: sn
mountPath: /home/bigred/sn
- name: hdpsys
mountPath: /opt/dtp
mountPropagation: Bidirectional
- name: s3fs
image: quay.io/cloudwalker/alp.s3fs:24.01
imagePullPolicy: Always
securityContext:
privileged: true
volumeMounts:
- name: hdpsys
mountPath: /s3
mountPropagation: Bidirectional
env:
- name: USER
value: minio
- name: PASSWORD
value: minio123
- name: URL
value: http://miniosnsd.kube-system:9000
- name: BUCKET
value: dtp
- name: EXTARG
value: "-o uid=1000 -o gid=1000 -o umask=000"
- name: DEBUG
value: "-o dbglevel=info -o curldbg -f"
---

中華電信 POC

Tue, 02 Apr 2024 05:40:46 +0800

驗測項目

一、安裝/管理議題：

底層作業系統為RHEL9主機 | 環境內連線需保持全程加密(SSL憑證) | 完成交付安裝建置文件

完全離線架構下完成 RKE 叢集安裝，2個叢集 < RKE2架構｜v1.25版本｜ 3 control + 2 worker >（需包含 Elasticsearch、Grafana、cert-manager、hpa、istio、servicemesh、kiali、nmstate）
透過 Racher 同時管理 2個最小架構 RKE2 ; 實現兩個叢集內同時部署 Deployment （基本 Nginx image）提供服務。
透過 Prometheus/Grafana 監控 RKE2 運作狀況 ; 透過 Elasticsearch(EFK) 收容日誌並分析 ingress/叢集狀態。
叢集/ingress 自動化憑證更新設置。
ingress 限制同時間 Session 連線數量為 2000。
RBAC 定義使用者角色 (Cluster-admin / project-admin / 限制project-admin無法查看secret ) 對應HTPASSWD帳號 ( rkeadmin / infra01 / ap001 )
多租戶隔離（負載管理/資源配額設定）
測試告警發信

二、備份/還原議題：

備份叢集組態資訊 (etcd)
串接環境內提供備份軟體 (Veritas/Veeam) 備份資料。 (可跳過)
還原叢集組態設定。

三、升級議題：

升級中透過迴圈持續打 nginx 網頁連線，測試網頁連線狀況。
進行叢集升級 v1.25 > v1.26 > v1.27 測試升級時間及相關網頁連線狀況。
退版測試 ( v1.27 > v1.26 )

實作

一、安裝/管理議題

1.1. 完全離線架構下完成 RKE 叢集安裝，2個叢集 < RKE2架構｜v1.25版本｜ 3 control + 2 worker >（需包含 Elasticsearch、Grafana、cert-manager、hpa、istio、servicemesh[x]、kiali、nmstate[x]）

1.1.1. 準備 Harbor 並將 Container Images 都上傳進去

一台機器，最低規格: 4 CORE, 8G RAM, 250G Disk (建議 300G 以上)
Disk 檔案系統為 Btrfs，需啟動 LVM，將 / 目錄的可用空間設為 270G ，/home 目錄 30G
須能上網
檢查 Docker 儲存 Image 的目錄應為 /var/lib/docker

# 確認 Docker 儲存 Image 的目錄
$ sudo docker info -f '{{ .DockerRootDir}}'
# 檢查目錄的儲存容量
$ lsblk -o NAME,SIZE,MOUNTPOINTS
# 檢查 Docker 儲存 Image 目前已使用多大的儲存空間
$ sudo docker system df
# Download Git Repo
$ git clone https://github.com/braveantony/Prepare-AirGap-Installer.git && \
cd Prepare-AirGap-Installer/ && \
chmod +x *.sh
# 準備 harbor、rke2 和 Rancher 全離線安裝包
./podman-prepare.sh all
# 檢查是否符合預期
ls -lh compressed_files/
total 27G
-rw-r--r-- 1 rancher users 1.3G Mar 15 13:01 harbor-offline-v2.10.0.tar.gz
-rw-r--r-- 1 rancher users 25G Mar 15 11:47 rancher-airgap-v2.8.2.tar.gz
-rw-r--r-- 1 rancher users 956M Mar 15 13:59 rke2-airgap-v1.27.11.tar.gz
# SSH 連線至 Harbor 主機
$ ssh rancher@192.168.11.191
# 解壓縮 Harbor 全離線安裝包
$ tar -zxvf harbor-offline-v2.10.0.tar.gz && cd harbor/v2.10.0
# 將 docker-compose 移至 PATH 目錄中，並修改權限
$ sudo mv docker-compose-linux-x86_64 /usr/bin/docker-compose && sudo chmod 755 /usr/bin/docker-compose
# 解壓縮 harbor-offline-installer
$ tar -xvf harbor-offline-installer-v2.10.0.tgz harbor/; cd harbor/
# Generate a Certificate Authority Certificate
## Generate a CA certificate private key.
$ openssl genrsa -out ca.key 4096
## Generate the CA certificate.
$ openssl req -x509 -new -nodes -sha512 -days 3650 \
-subj "/C=TW/ST=Taiwan/L=Taipei/O=example/OU=lab/CN=harbor.example.com" \
-key ca.key \
-out ca.crt
# Generate a Server Certificate
## Generate a private key.
$ openssl genrsa -out server.key 4096
## Generate a certificate signing request (CSR).
$ openssl req -sha512 -new \
-subj "/C=TW/ST=Taiwan/L=Taipei/O=example/OU=lab/CN=harbor.example.com" \
-key server.key \
-out server.csr
## Generate an x509 v3 extension file.
$ cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1=harbor.example.com
DNS.2=example.com
DNS.3=harbor
EOF
## Use the v3.ext file to generate a certificate for your Harbor host.
$ openssl x509 -req -sha512 -days 3650 \
-extfile v3.ext \
-CA ca.crt -CAkey ca.key -CAcreateserial \
-in server.csr \
-out server.crt
# Copy the server certificate and key into the certficates folder on your Harbor host.
$ sudo cp ca.crt /usr/share/pki/trust/anchors/ && sudo cp ca.crt /etc/pki/trust/anchors/ && sudo update-ca-certificates --fresh
# Convert server.crt to server.cert, for use by Docker.
$ openssl x509 -inform PEM -in server.crt -out server.cert
# Copy the server certificate, key and CA files into the Docker certificates folder on the Harbor host. You must create the appropriate folders first.
$ sudo mkdir -p /etc/docker/certs.d/example.com/ && \
sudo cp server.cert /etc/docker/certs.d/example.com/ && \
sudo cp server.key /etc/docker/certs.d/example.com/ && \
sudo cp ca.crt /etc/docker/certs.d/example.com/ && \
sudo systemctl restart docker
# 設定 harbor.yml
$ cp harbor.yml.tmpl harbor.yml && nano harbor.yml
5 hostname: harbor.example.com
17 certificate: /etc/docker/certs.d/example.com/server.cert
18 private_key: /etc/docker/certs.d/example.com/server.key
# 安裝 Harbor
$ sudo ./install.sh --with-trivy
# 檢查 Harbor 服務運作狀態
$ sudo docker-compose ps
# 設定 Harbor 在機器開機時自動啟動
$ cat <<EOF | sudo tee /usr/lib/systemd/system/harbor.service && sudo systemctl enable harbor --now
[Unit]
Description=Harbor start at boot
After=docker.service systemd-networkd.service systemd-resolved.service
Requires=docker.service
[Service]
Type=simple
Restart=on-failure
RestartSec=5
ExecStart=/usr/bin/docker-compose -f /root/harbor/docker-compose.yml up
ExecStop=/usr/bin/docker-compose -f /root/harbor/docker-compose.yml down
[Install]
WantedBy=multi-user.target
EOF
# Login Harbor
$ sudo docker login harbor.example.com
# Create Harbor Project
$ curl -k -u "admin:Harbor12345" -X POST \
-H "Content-Type: application/json" \
"https://172.20.0.40.nip.io/api/v2.0/projects" \
-d "{\"project_name\": \"rancher\", \"metadata\": {\"public\": \"true\"}, \"storage_limit\": -1}"
# 解壓縮 rancher 全離線安裝包
$ tar -xzvf ~/rancher-airgap-v2.8.2.tar.gz && \
cd rancher/v2.8.2/
# Push Images to Harbor
$ rancher_image=$(sudo docker images --format "{{.Repository}}:{{.Tag}}" | grep '^harbor.example.com')
$ for r in $rancher_image; do sudo docker push "${r}" || ( echo "${r}" push fail >> push.log &&
exit 1); done

1.1.2. 安裝 Upstream Cluster - RKE2 and Rancher

# SSH 連線至 RKE2 主機
$ ssh rancher@192.168.11.185
# Configure DNS
$ sudo yast2 dns edit nameserver1=192.168.11.85
# 檢查 Harbor 和 Rancher 的名稱解析
$ dig @192.168.11.85 harbor.example.com +short
192.168.11.191
$ dig @192.168.11.85 rancher.example.com +short
192.168.11.185
# 解壓縮 rke2 全離線安裝包
$ tar -zxvf rke2-airgap-v1.27.11.tar.gz && cd rke2/v1.27.11/
# 將 RKE2 全離線安裝包的物件，搬移至 /root/rke2-artifacts/
$ sudo mkdir /root/rke2-artifacts && sudo mv * /root/rke2-artifacts/
# 切換為 root 使用者，並將工作目錄切換至 /root/rke2-artifacts/
$ sudo su
$ cd /root/rke2-artifacts/
# 執行 RKE2 安裝腳本
$ INSTALL_RKE2_ARTIFACT_PATH=/root/rke2-artifacts sh install.sh
# 設定 RKE2 Node 之基本組態檔
$ mkdir -p /etc/rancher/rke2/ && nano /etc/rancher/rke2/config.yaml
node-name:
- "rms"
token: my-shared-secret
$ exit
# Setup kubeconfig and kubectl
$ cd ~ && mkdir ~/.kube && \
sudo cp /etc/rancher/rke2/rke2.yaml .kube/config && \
sudo chown rancher .kube/config && \
sudo cp /var/lib/rancher/rke2/bin/* /usr/local/bin/
# 檢視 node 狀態
$ kubectl get nodes
# 安裝 Rancher Prime v2.8.2
$ tar -zxvf rancher-airgap-v2.8.2.tar.gz && cd rancher/v2.8.2/
$ rm rancher-v2.8.2-image.tar.gz rancher-*-images.sh
$ tar -zxvf helm-v3.14.2-linux-amd64.tar.gz && \
sudo cp linux-amd64/helm /usr/local/bin/
$ helm template cert-manager ./cert-manager-v1.11.0.tgz --output-dir . \
--namespace cert-manager \
--set image.repository=rancher/cert-manager-controller \
--set webhook.image.repository=rancher/cert-manager-webhook \
--set cainjector.image.repository=rancher/cert-manager-cainjector \
--set startupapicheck.image.repository=rancher/cert-manager-ctl \
--set installCRDs=true
$ kubectl create ns cert-manager
$ kubectl apply -R -f cert-manager/
$ kubectl -n cert-manager get pods
NAME READY STATUS RESTARTS AGE
cert-manager-554d4bf957-fqmtw 1/1 Running 0 4m21s
cert-manager-cainjector-687f649756-2jf92 1/1 Running 0 4m21s
cert-manager-startupapicheck-88t2l 0/1 Completed 0 17m
cert-manager-webhook-5d6598d446-tgkb7 1/1 Running 0 4m21s
$ helm template --validate rancher ./rancher-2.8.2.tgz --output-dir . --no-hooks --namespace cattle-system --set hostname=rancher.example.com --set certmanager.version=1.11.0 --set rancherImage=rancher/rancher --set systemDefaultRegistry=harbor.example.com --set useBundledSystemChart=true --set replicas=1
$ kubectl create namespace cattle-system
$ kubectl -n cattle-system apply -R -f rancher/
$ kubectl -n cattle-system get pods
NAME READY STATUS RESTARTS AGE
helm-operation-84qp9 0/2 Completed 0 2m15s
helm-operation-8588v 0/2 Completed 0 2m46s
helm-operation-dssm7 0/2 Completed 0 2m8s
helm-operation-qksdk 0/2 Completed 0 99s
rancher-594796d65c-rk8nk 1/1 Running 0 4m46s
rancher-webhook-6fbb4fc4cc-8ts9m 1/1 Running 0 2m3s

1.1.3. 建立 DownStream Cluster

環境準備

# 永久關閉防火牆
$ sudo systemctl disable --now firewalld.service
# 設定 NTP Client
$ sudo sed -i '3s|^|# |g' /etc/chrony.conf
$ sudo sed -i '4iserver 192.168.11.85' /etc/chrony.conf
$ sudo systemctl enable --now chronyd.service
$ sudo systemctl restart chronyd.service
$ systemctl is-active chronyd.service
active
$ chronyc sources
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^? 192.168.11.85 11 6 1 13 -9053m[ -9053m] +/- 12ms
$ timedatectl
Local time: Wed 2024-03-13 02:32:52 CST
Universal time: Tue 2024-03-12 18:32:52 UTC
RTC time: Tue 2024-03-19 01:26:12
Time zone: Asia/Taipei (CST, +0800)
System clock synchronized: no
NTP service: active
RTC in local TZ: no

將註冊指命分別貼到 5 台 node 上

設定 kubectl

$ sudo cp /var/lib/rancher/rke2/bin/* /usr/local/bin/
$ mkdir -p $HOME/.kube && sudo cp /etc/rancher/rke2/rke2.yaml $HOME/.kube/config && sudo chown $(id -u):$(id -g) $HOME/.kube/config

1.1.4. 準備和測試 elasticsearch

# Helm install elasticsearch
# prepare node
$ mkdir -p ~/work/elasticsearch/8.5.1 && cd ~/work/elasticsearch/8.5.1
$ helm repo add elastic https://helm.elastic.co && \
helm repo update
$ helm fetch elastic/elasticsearch
$ helm template elasticsearch-*.tgz | awk '$1 ~ /image:/ {print $2}' | sed -e 's/\"//g'
docker.elastic.co/elasticsearch/elasticsearch:8.5.1
$ sudo docker pull docker.elastic.co/elasticsearch/elasticsearch:8.5.1
$ sudo docker images docker.elastic.co/elasticsearch/elasticsearch:8.5.1
REPOSITORY TAG IMAGE ID CREATED SIZE
docker.elastic.co/elasticsearch/elasticsearch 8.5.1 9d4620cd27bd 16 months ago 1.29 GB
$ sudo docker save harbor.example.com/elasticsearch/elasticsearch:8.5.1 | gzip --stdout > el
asticsearch-images-8.5.1.tar.gz
$ ls -lh
total 588M
-rw-r--r-- 1 rancher users 29K Mar 19 10:16 elasticsearch-8.5.1.tgz
-rw-r--r-- 1 rancher users 588M Mar 19 10:41 elasticsearch-images-8.5.1.tar.gz
$ cd ../..; tar -czvf compressed_files/elasticsearch-airgap-8.5.1.tar.gz elasticsearch/8.5.1
# 先在 Harbor 上建立 elasticsearch 專案
$ sudo docker push harbor.example.com/elasticsearch/elasticsearch:8.5.1
$ scp compressed_files/elasticsearch-airgap-8.5.1.tar.gz rancher@192.168.11.180:~
# on kubectl node
$ tar -zxvf elasticsearch-airgap-8.5.1.tar.gz && \
cd elasticsearch/8.5.1/
$ helm template elasticsearch ./elasticsearch-8.5.1.tgz --output-dir . \
--namespace elasticsearch --create-namespace \
--set image=harbor.example.com/elasticsearch/elasticsearch \
--set replicas=2
$ sed -i 's|docker.elastic.co|harbor.example.com|g' ./elasticsearch/templates/test/test-elasticsearch-health.yaml
$ cat <<EOF > elasticsearch-pv.yaml
kind: PersistentVolume
apiVersion: v1
metadata:
name: elasticsearch-0
spec:
capacity:
storage: 30Gi
accessModes:
- ReadWriteOnce
local:
path: "/var/lib/elasticsearch-0"
nodeAffinity:
required:
nodeSelectorTerms:
- matchExpressions:
- key: node-role.kubernetes.io/worker
operator: In
values:
- 'true'
---
kind: PersistentVolume
apiVersion: v1
metadata:
name: elasticsearch-1
spec:
capacity:
storage: 30Gi
accessModes:
- ReadWriteOnce
local:
path: "/var/lib/elasticsearch-1"
nodeAffinity:
required:
nodeSelectorTerms:
- matchExpressions:
- key: node-role.kubernetes.io/worker
operator: In
values:
- 'true'
EOF
$ kubectl create -f elasticsearch-pv.yaml
# 前往 worker 主機建 PV 宣告的目錄
$ ssh rancher@192.168.11.183 'sudo mkdir -p /var/lib/{elasticsearch-0,elasticsearch-1}'
$ ssh rancher@192.168.11.184 'sudo mkdir -p /var/lib/{elasticsearch-0,elasticsearch-1}'
$ kubectl apply -R -f elasticsearch/
$ kubectl replace -f elasticsearch/templates/test/test-elasticsearch-health.yaml --force
$ kubectl get pods
NAME READY STATUS RESTARTS AGE
elasticsearch-jqhml-test 0/1 Completed 0 6s
elasticsearch-master-0 1/1 Running 0 4m8s
elasticsearch-master-1 1/1 Running 0 4m8s
elasticsearch-ppxis-test 0/1 Completed 0 6s
elasticsearch-zskgi-test 0/1 Completed 0 7s

RUN Local Elastic Package Registry

$ mkdir -p ~/work/elasticsearch-package-registry/8.5.3 && cd ~/work/elasticsearch-package-registry/8.5.3
# Pull the Docker image from the public Docker registry:
$ sudo docker pull docker.elastic.co/package-registry/distribution:8.5.3
$ sudo docker images docker.elastic.co/package-registry/distribution:8.5.3
REPOSITORY TAG IMAGE ID CREATED SIZE
docker.elastic.co/package-registry/distribution 8.5.3 e37a947c8f56 15 months ago 2.64GB
$ sudo docker tag docker.elastic.co/package-registry/distribution:8.5.3 harbor.example.com/package-registry/distribution:8.5.3
$ sudo docker save harbor.example.com/package-registry/distribution:8.5.3 | gzip --stdout > ../../compressed_files/package-registry-images-8.5.3.tar.gz
$ ls -lh ../../compressed_files/package-registry-images-8.5.3.tar.gz
-rw-r--r-- 1 rancher users 1.9G Mar 25 15:09 ../../compressed_files/package-registry-images-8.5.3.tar.gz
$ sudo docker load < package-registry-images-8.5.3.tar.gz
$ sudo docker push harbor.example.com/package-registry/distribution:8.5.3
$ sudo docker run -d -p 8080:8080 harbor.example.com/package-registry/distribution:8.5.3

1.1.5. 準備和測試 kiali

# Helm install kiali
$ helm repo add kiali https://kiali.org/helm-charts && \
helm repo update
$ helm fetch kiali/kiali-operator
$ helm template kiali-operator-*.tgz | awk '$1 ~ /image:/ {print $2}' | sed -e 's/\"//g'
quay.io/kiali/kiali-operator:v1.81.0
$ sudo podman pull quay.io/kiali/kiali-operator:v1.81.0
$ sudo docker images quay.io/kiali/kiali-operator:v1.81.0
REPOSITORY TAG IMAGE ID CREATED SIZE
quay.io/kiali/kiali-operator v1.81.0 1434ee8c1d9f 2 weeks ago 764MB

1.1.6. 準備和測試 Grafana

直接透過 Rancher 裝 Monitoring cluster tools

1.1.7. 準備和測試 istio、servicemesh、kiali

在 Rancher 介面安裝 Istio Cluster Tools 即可

1.1.8. 測試 hpa

# Run and expose nginx web server
$ cat <<EOF | kubectl apply -f -
apiVersion: apps/v1
kind: Deployment
metadata:
name: nginx
spec:
selector:
matchLabels:
run: nginx
template:
metadata:
labels:
run: nginx
spec:
containers:
- name: nginx
image: harbor.example.com/rancher/library-nginx:1.19.2-alpine
ports:
- containerPort: 80
resources:
limits:
cpu: 500m
requests:
cpu: 200m
---
apiVersion: v1
kind: Service
metadata:
name: nginx
labels:
run: nginx
spec:
ports:
- port: 80
selector:
run: nginx
EOF
# Create the HorizontalPodAutoscaler
$ kubectl autoscale deployment nginx --cpu-percent=50 --min=1 --max=10
$ kubectl get hpa
# Increase the load
$ kubectl create deployment load-generator --image=harbor.example.com/rancher/mirrored-library-busybox:1.36.1 -- /bin/sh -c "while sleep 0.01; do wget -q -O- http://nginx; done"
$ kubectl scale deploy load-generator --replicas=10
$ kubectl scale deploy load-generator --replicas=20
$ kubectl scale deploy load-generator --replicas=30
$ kubectl scale deploy load-generator --replicas=40
$ kubectl scale deploy load-generator --replicas=50
$ kubectl scale deploy load-generator --replicas=60
# more replicas
$ kubectl get hpa nginx
NAME REFERENCE TARGETS MINPODS MAXPODS REPLICAS AGE
nginx Deployment/nginx 29%/50% 1 10 2 36m
# Stop generating load
$ kubectl scale deploy load-generator --replicas=0
$ kubectl get hpa
NAME REFERENCE TARGETS MINPODS MAXPODS REPLICAS AGE
nginx Deployment/nginx 0%/50% 1 10 1 89m

1.1.9. 準備和測試 nmstate

# on prepare node
$ mkdir -p ~/work/nmstate/v0.81.0 && cd ~/work/nmstate/v0.81.0
$ curl -# -OL https://github.com/nmstate/kubernetes-nmstate/releases/download/v0.81.0/nmstate.io_nmstates.yaml && \
curl -# -OL https://github.com/nmstate/kubernetes-nmstate/releases/download/v0.81.0/namespace.yaml && \
curl -# -OL https://github.com/nmstate/kubernetes-nmstate/releases/download/v0.81.0/service_account.yaml && \
curl -# -OL https://github.com/nmstate/kubernetes-nmstate/releases/download/v0.81.0/role.yaml && \
curl -# -OL https://github.com/nmstate/kubernetes-nmstate/releases/download/v0.81.0/role_binding.yaml && \
curl -# -OL https://github.com/nmstate/kubernetes-nmstate/releases/download/v0.81.0/operator.yaml
$ cat ./* | grep image:
image: quay.io/nmstate/kubernetes-nmstate-operator:v0.81.0
$ sudo docker pull quay.io/nmstate/kubernetes-nmstate-operator:v0.81.0
$ sudo docker tag quay.io/nmstate/kubernetes-nmstate-operator:v0.81.0 harbor.example.com/nmstate/kubernetes-nmstate-operator:v0.81.0
# 先在 Harbor 建立一個 nmstate 專案
$ sudo docker push harbor.example.com/nmstate/kubernetes-nmstate-operator:v0.81.0
$ sudo docker save harbor.example.com/nmstate/kubernetes-nmstate-operator:v0.81.0 | gzip --stdout > nmstate-images.v0.81.0.tar.gz
$ cd ../..; tar -czvf compressed_files/nmstate-airgap-v0.81.0.tar.gz nmstate/v0.81.0
$ ls -lh compressed_files/nmstate-airgap-v0.81.0.tar.gz
-rw-r--r-- 1 rancher users 55M Mar 19 15:56 compressed_files/nmstate-airgap-v0.81.0.tar.gz
# on kubectl node
$ tar -zxvf nmstate-airgap-v0.81.0.tar.gz && cd nmstate/v0.81.0
$ kubectl apply -f ./
# Configure Image Repo
$ sed -i 's|quay.io|harbor.example.com|g' operator.yaml
$ kubectl -n nmstate get pods
NAME READY STATUS RESTARTS AGE
nmstate-operator-77c48bc498-jjntx 1/1 Running 0 16s
$ cat <<EOF | kubectl create -f -
apiVersion: nmstate.io/v1
kind: NMState
metadata:
name: nmstate
EOF
$ kubectl -n nmstate get NMState
NAME AGE
nmstate 36s

# Helm install kibana
# prepare node
$ mkdir -p ~/work/kibana/8.5.1 && cd ~/work/kibana/8.5.1
$ helm repo add elastic https://helm.elastic.co && \
helm repo update
$ helm fetch elastic/kibana
$ helm template kibana-*.tgz | awk '$1 ~ /image:/ {print $2}' | sed -e 's/\"//g'
docker.elastic.co/kibana/kibana:8.5.1
$ sudo docker pull docker.elastic.co/kibana/kibana:8.5.1
$ sudo docker images docker.elastic.co/kibana/kibana:8.5.1
REPOSITORY TAG IMAGE ID CREATED SIZE
docker.elastic.co/kibana/kibana 8.5.1 1a5dbfe4bf27 16 months ago 707MB
$ sudo docker save docker.elastic.co/kibana/kibana:8.5.1 | gzip --stdout > kibana-images-8.5.1.tar.gz
$ cd ../..; tar -czvf compressed_files/kibana-airgap-8.5.1.tar.gz kibana/8.5.1
# Helm install logstash
# prepare node
$ mkdir -p ~/work/logstash/8.5.1 && cd ~/work/logstash/8.5.1
$ helm repo add elastic https://helm.elastic.co && \
helm repo update
$ helm fetch elastic/logstash
$ helm template logstash-*.tgz | awk '$1 ~ /image:/ {print $2}' | sed -e 's/\"//g'
docker.elastic.co/kibana/kibana:8.5.1
$ sudo docker pull docker.elastic.co/logstash/logstash:8.5.1
$sudo docker images docker.elastic.co/logstash/logstash:8.5.1
REPOSITORY TAG IMAGE ID CREATED SIZE
docker.elastic.co/logstash/logstash 8.5.1 db6effbaf70b 16 months ago 746MB
$ sudo docker save docker.elastic.co/logstash/logstash:8.5.1 | gzip --stdout > logstash-images-8.5.1.tar.gz
$ cd ../..; tar -czvf compressed_files/logstash-airgap-8.5.1.tar.gz logstash/8.5.1

1.2. 實現兩個叢集內同時部署 Deployment （基本 Nginx image）提供服務。

$ sudo yum install git
# generate a private ssh key
$ ssh-keygen -t rsa -b 4096 -m pem -C "user@email.com" -P ''
$ kubectl create secret generic ssh-key -n fleet-default \
--from-file=ssh-privatekey=/home/rancher/.ssh/id_rsa \
--from-file=ssh-publickey=/home/rancher/.ssh/id_rsa.pub \
--type=kubernetes.io/ssh-auth
$ mkdir -p ~/fleet && \
cd ~/fleet && \
git config --global user.name "bobo" && \
git config --global user.email "bobo@example.com" && \
git config --global core.editor "nano" && \
git config --list
$ git init
$ cat <<EOF > deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
name: nginx
namespace: hello-nginx
spec:
selector:
matchLabels:
run: nginx
template:
metadata:
labels:
run: nginx
spec:
containers:
- name: nginx
image: harbor.example.com/rancher/library-nginx:1.19.2-alpine
ports:
- containerPort: 80
resources:
limits:
cpu: 500m
requests:
cpu: 200m
EOF
$ cat <<EOF > namespace.yaml
kind: Namespace
apiVersion: v1
metadata:
name: hello-nginx
EOF
$ cat <<EOF > service.yaml
apiVersion: v1
kind: Service
metadata:
name: nginx
labels:
run: nginx
namepsace: hello-nginx
spec:
ports:
- port: 80
selector:
run: nginx
EOF
$ git add . && git commit -m "init repo"
# Create Cluster Groups
1. 在左側選單點選 Cluster Groups
2. 點選 Create 按鈕
Cluster Group: Create page will be displayed.
3. For the Name, enter rke2-group
4. 點選 Add Rule 然後輸入以下訊息 :
Key: provider.cattle.io
Operator: in list
Value: rke2
Notice the following message displayed:
Matches all 2 existing clusters
5. 點選 Create
# Configure a Git Repo
1. 在左側選單點選 Git Repos
2. 點選 Add Repository 按鈕
3. 輸入以下訊息
Name: hello-nginx
Repository URL: ssh://192.168.11.185/home/rancher/fleet
Branch Name master
Paths Add Path → hello-rancher
Deploy To rke-group
4. 點選 Create.
You will see the State starting with GitUpdating, then changing to Active.

1.3. 透過 Prometheus/Grafana 監控 RKE2 運作狀況 ; 透過 Elasticsearch(EFK) 收容日誌並分析 ingress/叢集狀態。

離線裝 Elasticsearch

點選 apps -> Charts -> Elasticsearch -> install

values.yaml

image: harbor.example.com/elasticsearch/elasticsearch
...
replicas: 2

離線安裝 kibana

點選 apps -> Charts -> kibana -> install

values.yaml

image: harbor.example.com/kibana/kibana # 全離線再改
...
kibanaConfig:
kibana.yml: |
xpack.fleet.registryUrl: http://192.168.11.191:8080
...
service:
type: NodePort

安裝 Rancher Logging

點選 Cluster Tools -> Logging -> Install

values.yaml

fluentbit:
...
inputTail:
Buffer_Chunk_Size: 1MB
Buffer_Max_Size: 5MB
...
resources:
limits:
cpu: "2"
memory: 2Gi
requests:
cpu: "1"
memory: 1Gi
fluentd:
...
resources:
limits:
cpu: "2"
memory: 2Gi
requests:
cpu: "1"
memory: 1Gi

Run nginx

$ kubectl run nginx --image=harbor.example.com/rancher/library-nginx:1.19.2-alpine -l run=nginx
$ kubectl get pods -l run=nginx -o wide
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
nginx 1/1 Running 0 2m23s 10.42.44.2 k2w1 <none> <none>
$ NGINX_PodIP=$(kubectl get pods -l run=nginx -o custom-columns=POD_IP:.status.podIP --no-headers)
$ curl http://$NGINX_PodIP

建立與設定 ClusterOutput

Logging -> ClusterOutputs -> Create

Name: cluster-output-e
Output: Elasticsearch
Target.Scheme: https
Target.Host: elasticsearch-master.cattle-logging-system.svc.cluster.local
Target.Port: 9200
Index Name: nginx
Access.User: elastic
Access.Password from Secret: elasticsearch-master-credentials
Access.Key: password
Connection: 取消勾選 Verify SSL
點選 Create 按鈕

建立與設定 ClusterFlows

Logging -> ClusterFlows -> Create

Name: clusterflow-nginx
Matches.Pod Label Key: run
Matches.Pod Label Value: nginx
Outputs.Cluster Outputs: cluster-output-e
點選 Create 按鈕

等新建立的 rancher-logging-root-fluentd-configcheck-* Pod Completed 之後，

$ while true; do curl $NGINX_PodIP &> /dev/null; done &
# 停止 while true loop
$ kill $!

連線至 kibana

Service 找到 kibana-kibana ，直接點 NodePort，就會連線到 kibana 的網站。登入的帳號密碼存在 cattle-logging-system Namespace 底下的 elasticsearch-master-credentials 這個 Secret 中。要 Add Integrations -> 選擇 Kibana -> Settings -> Install

大概過 3 分鐘後，連到 kibana 網站，點選漢堡排 -> Stack Management -> Index Management

建立 kibana view data

漢堡排 -> Stack Management -> Kibana -> Data View -> Create Data view

Name: nginx
Index pattern: nginx*
按 Save data view to Kibana 按鈕

查詢 log

漢堡排 -> Dev Tools -> Console

POST /nginx/_search
{
"query": {
"match_all": {}
}
}

1.4. 叢集/ingress 自動化憑證更新設置

安裝 Cert-manager 步驟: Apps -> Charts -> cert-manager -> install -> v1.11.0 -> 改 Image Tag 名稱 -> 改 installCRD = true -> Next -> install

# 使用 cert-manager SelfSigned 部屬 ClusterIssuer
apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
name: selfsigned-issuer
namespace: default
spec:
selfSigned: {}
## 檢查
$ kubectl get issuers -o wide
NAME READY STATUS AGE
selfsigned-issuer True 20s
# 生成憑證
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
name: test-ca
namespace: default
spec:
isCA: true
commonName: test-ca
subject:
organizations:
- ACME Inc.
organizationalUnits:
- Widgets
secretName: test-ca-secret
duration: 2h
renewBefore: 1h
privateKey:
algorithm: ECDSA
size: 256
issuerRef:
name: selfsigned-issuer
kind: Issuer
group: cert-manager.io
# 透過 ca 憑證，產生 ingress 要用的憑證發布者
apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
name: test-ca-issuer
spec:
ca:
secretName: test-ca-secret
# add an annotation indicating the issuer to use.
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: tls-nginx-ingress
namespace: default
annotations:
# add an annotation indicating the issuer to use.
cert-manager.io/issuer: test-ca-issuer
spec:
ingressClassName: nginx
tls:
- hosts:
- 192.168.11.174.nip.io
secretName: echo-cert
rules:
- host: 192.168.11.174.nip.io
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: nginx
port:
number: 80
# 匯出 CA 憑證
$ kubectl get secret test-ca-secret -o jsonpath='{.data.ca\.crt}' | base64 -d
# 裝 cmctl
$ tar xzf cmctl.tar.gz && sudo mv cmctl /usr/local/bin
$ echo | openssl s_client -connect 192.168.11.174.nip.io:443 2>/dev/null | openssl x509 -noout -dates
notBefore=Mar 27 03:26:12 2024 GMT
notAfter=Jun 25 03:26:12 2024 GMT
$ kubectl get certificate
NAME READY SECRET AGE
echo-cert True echo-cert 104m
test-ca True test-ca-secret 106m
$ kubectl get certificaterequest --sort-by=.metadata.creationTimestamp
echo-cert-nbd69 True True test-ca-issuer system:serviceaccount:cert-manager:cert-manager 20s
$ echo | openssl s_client -connect 192.168.11.174.nip.io:443 2>/dev/null | openssl x509 -noout -dates

叢集自動更新

先檢查時間

sudo ./k8s-cert_check
client-admin.crt: Mar 27 04:55:53 2025 GMT
client-auth-proxy.crt: Mar 27 04:55:53 2025 GMT
client-ca.crt: Mar 18 08:48:11 2034 GMT
client-ca.nochain.crt: Mar 18 08:48:11 2034 GMT
client-controller.crt: Mar 27 04:55:53 2025 GMT
client-kube-apiserver.crt: Mar 27 04:55:53 2025 GMT
client-kube-proxy.crt: Mar 27 04:55:53 2025 GMT
client-rke2-cloud-controller.crt: Mar 27 04:55:53 2025 GMT
client-rke2-controller.crt: Mar 27 04:55:53 2025 GMT
client-scheduler.crt: Mar 27 04:55:53 2025 GMT
client-supervisor.crt: Mar 21 08:26:55 2025 GMT
request-header-ca.crt: Mar 18 08:48:11 2034 GMT
server-ca.crt: Mar 18 08:48:11 2034 GMT
server-ca.nochain.crt: Mar 18 08:48:11 2034 GMT
serving-kube-apiserver.crt: Mar 27 04:55:53 2025 GMT
client-ca.crt: Mar 18 08:48:11 2034 GMT
client-kubelet.crt: Mar 27 04:55:55 2025 GMT
client-kube-proxy.crt: Mar 27 04:55:53 2025 GMT
client-rke2-controller.crt: Mar 27 04:55:53 2025 GMT
server-ca.crt: Mar 18 08:48:11 2034 GMT
serving-kubelet.crt: Mar 27 04:55:54 2025 GMT

Rotate 叢集憑證
再執行一次腳本確認

1.5. ingress 限制同時間 Session 連線數量為 2000

1.5.1. Enable the annotation validation feature with ingress nginx controller

修改 ingress nginx controller 的 YAML 檔

Workloads -> DaemonSets -> kube-system -> Edit YAML

在 spec.template.spec.containers.args 底下新增 --enable-annotation-validation=true 參數，這樣可以開啟 annotations 功能，新增後按 Save

1.5.2. 測試單一 IP 位址允許的同時連線數

建立以下 Ingress

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: test-nginx-ingress
annotations:
nginx.ingress.kubernetes.io/limit-connections: "1"
spec:
ingressClassName: nginx
rules:
- host: 192.168.11.173.nip.io
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: nginx
port:
number: 80

Curl 網站測試

$ while true; do curl -s http://192.168.11.173.nip.io | grep 503 >> check.txt; done &
[1] 25917
$ cat check.txt
$ while true; do curl -s http://192.168.11.173.nip.io | grep 503 >> check.txt; done &
[2] 28690
$ cat check.txt
<head><title>503 Service Temporarily Unavailable</title></head>

1.7. 多租戶隔離（負載管理/資源配額設定）

apiVersion: v1
kind: ResourceQuota
metadata:
name: compute-quota
namespace: default
spec:
hard:
requests.cpu: "1"
requests.memory: 256Mi
requests.nvidia.com/gpu: 1
limits.cpu: "2"
limits.memory: 1Gi
limits.nvidia.com/gpu: 2

1.8. 測試告警發信

1.8.1. 建立 SMTP 的 TLS Secret

$ kubectl create ns cattle-monitoring-system
$ kubectl -n cattle-monitoring-system create secret generic smtp-tls-secret \
--from-file=tls.crt=/home/rancher/smtp/server.crt \
--from-file=tls.key=/home/rancher/smtp/server.key \
--from-file=ca.crt=/home/rancher/smtp/ca.crt

需準備 CA 憑證、還有 SMTP Server 的憑證和私鑰

1.8.2. 建立 Rancher Monitoring

點選 Cluster Tools -> 找到 Monitoring 點選 Install
勾選 Customize Helm options brfore install -> Next
展開 Additional Secrets 選單，選擇 smtp-tls-secret
Install
安裝成功畫面

1.8.2. 設定 Alert-manager 告警對象為 E-mail

點選左側選單 Storage -> Secrets -> 選擇 “cattle-monitoring-system” Namespace -> 找到 alertmanager-rancher-monitoring-alertmanager 這個 Secret -> 點選 Edit Config
複製以下 alertmanager.yaml 的內容，並再刪除所有原始的值後，貼到對應的 Value 欄位中

global:
resolve_timeout: 5m
route:
group_by: [Alertname]
# Send all notifications to me.
receiver: Mail Alert
group_wait: 30s
group_interval: 5m
repeat_interval: 12h
routes:
- match:
alertname: DemoAlertName
receiver: 'Mail Alert'
receivers:
- name: Mail Alert
email_configs:
- to: antony.chen@beeops.com.tw
from: rancher@lab.com
# Your smtp server address
smarthost: smtp.example.com:587
tls_config:
ca_file: /etc/alertmanager/secrets/smtp-tls-secret/ca.crt
cert_file: /etc/alertmanager/secrets/smtp-tls-secret/tls.crt
key_file: /etc/alertmanager/secrets/smtp-tls-secret/tls.key
headers:
From: rancher@lab.com
Subject: 'Demo ALERT'

確認設定檔是否修改成功，點選 Monitoring -> Alert Manager
點選 Status
檢視 Config 內容
打開信箱，看 Alert

如果沒有 Alert 的話，可以透過 curl api 發送一個測試的 Alert
$ curl -H 'Content-Type: application/json' -d '[{"labels":{"alertname":"myalert"}}]' http://10.43.130.225:9093/api/v1/alerts
10.43.130.225 為 Alertmanager Service 的 IP，執行以下命令可以找到 $ kubectl -n cattle-monitoring-system get svc -l app=rancher-monitoring-alertmanager

二、備份/還原議題：

1. 備份叢集組態資訊 (etcd)

rancher 介面 Take Snapshot

2. 串接環境內提供備份軟體 (Veritas/Veeam) 備份資料。 (可跳過)

3. 還原叢集組態設定。

rancher 介面 restore

三、升級議題：

升級中透過迴圈持續打 nginx 網頁連線，測試網頁連線狀況。
進行叢集升級 v1.25 > v1.26 > v1.27 測試升級時間及相關網頁連線狀況。
退版測試 ( v1.27 > v1.26 )

3.1. 建 nginx 並跑 while 迴圈

$ cat <<EOF | kubectl apply -f -
apiVersion: apps/v1
kind: Deployment
metadata:
name: nginx
spec:
selector:
matchLabels:
run: nginx
template:
metadata:
labels:
run: nginx
spec:
containers:
- name: nginx
image: harbor.example.com/rancher/library-nginx:1.19.2-alpine
ports:
- containerPort: 80
resources:
limits:
cpu: 500m
requests:
cpu: 200m
---
apiVersion: v1
kind: Service
metadata:
name: nginx
labels:
run: nginx
spec:
ports:
- port: 80
selector:
run: nginx
EOF
$ while true; do curl <service cluster ip>; done

3.2. TroubleShooting

問題描述

RKE2 從 v1.27.11 Restore 回 v1.26.11 的版本時，發現 m3 的 node 有異常

問題檢查

$ journalctl -u rke2-server.service --no-pager

看到以下錯誤訊息

...
{
"level": "warn",
"ts": "2024-03-20T15:54:37.011625+0800",
"logger": "etcd-client",
"caller": "v3@v3.5.9-k3s1/retry_interceptor.go:62",
"msg": "retrying of unary invoker failed",
"target": "etcd-endpoints://0xc000775880/127.0.0.1:2379",
"attempt": 0,
"error": "rpc error: code = DeadlineExceeded desc = latest balancer error: last connection error: connection error: desc = \"transport: Error while dialing: dial tcp 127.0.0.1:2379: connect: connection refused\""
}
...
{
"level": "info",
"ts": "2024-03-20T14:50:38.133657+0800",
"logger": "etcd-client",
"caller": "v3@v3.5.9-k3s1/client.go:210",
"msg": "Auto sync endpoints failed.",
"error": "context deadline exceeded"
}
...
level=error msg="Failed to check local etcd status for learner management: context deadline exceeded"

看 ETCD Member

$ kubectl -n kube-system exec -it etcd-k2m1 -- bash
$ ETCDCTL_ENDPOINTS='https://127.0.0.1:2379' ETCDCTL_CACERT='/var/lib/rancher/rke2/server/tls/etcd/server-ca.crt' ETCDCTL_CERT='/var/lib/rancher/rke2/server/tls/etcd/server-client.crt' ETCDCTL_KEY='/var/lib/rancher/rke2/server/tls/etcd/server-client.key' ETCDCTL_API=3 etcdctl member list -w table

螢幕輸出

+------------------+---------+---------------+-----------------------------+-----------------------------+------------+
| ID | STATUS | NAME | PEER ADDRS | CLIENT ADDRS | IS LEARNER |
+------------------+---------+---------------+-----------------------------+-----------------------------+------------+
| 6fc66799bcea7735 | started | k2m1-3cc51c7e | https://192.168.11.170:2380 | https://192.168.11.170:2379 | false |
| a7d16fd4a2d2688b | started | k2m2-308b0b3a | https://192.168.11.171:2380 | https://192.168.11.171:2379 | false |
+------------------+---------+---------------+-----------------------------+-----------------------------+------------+

Root cause

m3 node 的 etcd 要加入 etcd cluster 的時候超過 Timeout 時間，因為 etcd 根據給定的端點，對 etcd 成員的儲存空間進行碎片整理預設 Timeout 時間為 5 秒

問題修復

$ kubectl -n kube-system exec -it etcd-k2m1 -- bash
$ ETCDCTL_ENDPOINTS='https://127.0.0.1:2379' ETCDCTL_CACERT='/var/lib/rancher/rke2/server/tls/etcd/server-ca.crt' ETCDCTL_CERT='/var/lib/rancher/rke2/server/tls/etcd/server-client.crt' ETCDCTL_KEY='/var/lib/rancher/rke2/server/tls/etcd/server-client.key' ETCDCTL_API=3 etcdctl --command-timeout=30s defrag

螢幕輸出 :

Finished defragmenting etcd member[https://127.0.0.1:2379]

再看一次 ETCD Member

$ kubectl -n kube-system exec -it etcd-k2m1 $etcdpod -- bash
$ ETCDCTL_ENDPOINTS='https://127.0.0.1:2379' ETCDCTL_CACERT='/var/lib/rancher/rke2/server/tls/etcd/server-ca.crt' ETCDCTL_CERT='/var/lib/rancher/rke2/server/tls/etcd/server-client.crt' ETCDCTL_KEY='/var/lib/rancher/rke2/server/tls/etcd/server-client.key' ETCDCTL_API=3 etcdctl member list -w table

螢幕輸出

+------------------+---------+---------------+-----------------------------+-----------------------------+------------+
| ID | STATUS | NAME | PEER ADDRS | CLIENT ADDRS | IS LEARNER |
+------------------+---------+---------------+-----------------------------+-----------------------------+------------+
| 66077b12da5276cb | started | k2m3-e637cb23 | https://192.168.11.172:2380 | https://192.168.11.172:2379 | false |
| 6fc66799bcea7735 | started | k2m1-3cc51c7e | https://192.168.11.170:2380 | https://192.168.11.170:2379 | false |
| a7d16fd4a2d2688b | started | k2m2-308b0b3a | https://192.168.11.171:2380 | https://192.168.11.171:2379 | false |
+------------------+---------+---------------+-----------------------------+-----------------------------+------------+

成功加入~

註冊 RHEL

Mon, 25 Mar 2024 02:25:16 +0800

設定 Http Proxy

https://www.server-world.info/en/note?os=CentOS_Stream_9&p=squid&f=2

$ subscription-manager config --server.proxy_hostname=proxy.example.com --server.proxy_port=8080 --server.proxy_user=admin --server.proxy_password=secret

註冊

$ subscription-manager register --username <$INSERT_USERNAME_HERE> --password <$INSERT_PASSWORD_HERE>

Upload File to Google Drive from Linux Command Line

Mon, 18 Mar 2024 06:43:46 +0800

# Download the latest release from Github
$ curl -# -OL https://github.com/prasmussen/gdrive/releases/download/2.1.1/gdrive_2.1.1_linux_amd64.tar.gz
# Unzip the Archive
$ tar -xvf gdrive_2.1.1_linux_amd64.tar.gz
#

What is Reed–Solomon Code?

Mon, 11 Mar 2024 05:57:40 +0800

先備知識

「錯誤更正碼」， Error–Correcting Codes，通常縮寫成 ECC。在日常生活中，我們經常可以遇到 ECC 的應用，譬如在買電腦的時候，老闆說他的 RAM 是 ECC RAM，也就是說他的 RAM 有錯誤更正碼在裡面。

這錯誤更正碼到底是做什麼用? 通常是應用在通訊的過程中，實際上通訊分很多種，平常想像到的是在空間中做通訊，譬如從地球的某一點傳資料到地球的另外一點。另外還有一種通訊的情況，就是在時間上做通訊，像平常看到電腦裡的磁帶 (magnetic tape)、磁碟 (magnetic disk); 又譬如雷射唱片 (compact disk， CD) 也是，它在製造的時候把音樂寫進去，然後再把它放到雷射唱盤 (CD player) 讀出來，這也是一個在時間上做通訊的例子。通常我們可以把通訊過程變成下面這個模型 (model)。

就是說有一些資料 (data) 經過一個東西叫做通道 (channel)，因為通道會有許多干擾或雜訊，比方說你把音樂寫在 CD 片上，不小心刮了一塊，讀出來的時候那地方就錯了，或是當我們透過網路傳輸一些資料時，資料可能會因某些網路問題而損壞。由於幹擾或某些網路問題，資料內部的位元可能會被損壞，所以，經過通道之後，就會變成有雜訊的資料 (noisy data)，而基本上錯誤更正碼就是要對付雜訊或干擾，把錯誤改正回來。

原來我們是從資料到通道這樣直接過來，現在我們讓資料在傳出前先經過一個編碼器 ( encoder )

經過編碼器之後，傳出來的東西除了原始的資料之外，又加了一些多餘的資料 (redundant bits)，使得裡面有一個數學的結構存在，當經過通道以後不論是原始的資料或多餘的資料都可能有錯，可是因為它裡面有數學結構，就可以經由解碼器 (decoder)，依原有的數學結構把錯誤的東西改回來，這就是錯誤更正碼的基本構想。

Reed-Solomon codes

Reed-Solomon codes 是由 Irving S. Reed 和 Gustave Solomon 提出的一種碼。Reed-Solomon code 是 non-binary BCH codes 的子分類。 The encoder of Reed-Solomon codes 與 binary encoder 不同之處在於，它對多個位元 ( multiple bits ) 而不是單一位元 ( individual bits ) 進行編碼。

因此，從根本上說，Reed-Solomon codes 有助於恢復透過網路傳輸的損壞訊息。在 Reed-Solomon codes 中，有分 :

Encoder
Decoder

Reed-Solomon codes encoder 接收資料後，在透過網路傳輸資料之前，會在原始資料位元上添加一些 parity bits ( 奇偶校驗位 )。

另一方面，Reed-Solomon codes decoder，它能偵測出損壞的訊息，並從錯誤中恢復它們。

Representation of n-bits Reed-Solomon codes

Parameters of Reed-Solomon code:

(n， k) code is used to encode m-bit symbols.
Block length(n) is given by 2m-1 symbols.
In Reed-Solomon codes， message size is given by (n-2t) where t= number of errors corrected.
Parity check size is given by = (n-k) or 2t symbols.
Minimum distance(a) is given by = (2t+1).
Message size is of k bits.

Docusaurus Installation

Tue, 27 Feb 2024 09:44:44 +0800

Prerequest

在 Github 上已建立 Repo，並且已將主機的 SSH Public Key 匯入專案中
- 專案名稱需命名為 : 帳號.github.io

開始安裝 Docusaurus

## 安裝 node.js 管理工具
## Node.js version 18.0 or above
$ sudo apk add --update npm
## 新建專案
$ npx @docusaurus/init@latest init my-website classic
$ cd my-website/
## 修改設定檔，將 url、organizationName 和 projectName 改成對應的 github 上的資訊
$ nano docusaurus.config.js
(module.exports = {
url: 'https://nightmare315.github.io'
organizationName: 'nightmare315', // Usually your GitHub org/user name.
projectName: 'nightmare315.github.io', // Usually your repo name.
})
## 本機啟動網站測試
$ npm run start -- --host 0.0.0.0
## 部屬到 Github
$ USE_SSH=true GIT_USER=nightmare315 DEPLOYMENT_BRANCH=main npm run deploy

專案管理淺談

Thu, 31 Aug 2023 06:21:52 +0800

專案: 不限人數須完成特定目標的任務
專案分類: 根據人數"或"金額，分為大中小

縮排

Sun, 02 Apr 2023 04:04:52 +0800

Linux 開機程序

Sun, 19 Mar 2023 07:41:36 +0800

重要流程圖

流程解釋

按開機鍵將電腦啟動後，第一個啟動的是 BIOS 或 UEFI (兩者最大的差別是 UEFI 滑鼠可以動)，然後會執行開機自我開機檢測（Power-on Self Test，POST），BIOS 會來檢測硬體周邊的裝置，包含 CPU, 記憶體, 顯卡, 網卡和硬碟 …等，假如記憶體插錯，開機就有可能會聽到連續逼的聲音，如果裝置都正常就可以聽到逼一聲，代表開機正常
接下來會去讀取可開機裝置的 MBR，可開機裝置指的是光碟,硬碟和隨身碟…等那些，只要他能開機，在 BIOS 有設定，他就會嘗試去找可開機裝置的第一個磁區(也就是 MBR)，在其中有一支儲存開機管理程式，叫作 Boot Loader
Boot Loader 會提供開機選單，載入作業系統後，最重要的是把 Linux 核心以及 initrd/initramfs 載入到記憶體裡面，並把 initrd/initramfs 的記憶體位址告訴 kernel，kernel 才能找到，之後把控制權給 Linux kernel
Linux Kernel 拿到控制權後，會與 BIOS 一樣，做一件事情，就是檢測電腦週邊的硬體是不是都正常，因為 Kernel 要跟電腦做溝通，所以會再檢測一次，之後假設目前是用 SATA 硬碟開機，它會利用 initrd image 或是 initramfs，來讀取得真正的檔案系統的驅動程式，這樣子才能與硬體做溝通
Kernal 確定驅動程式和檔案系統掛載都 ok 後，他就會啟動第一支程序，通常叫做 init 的 process，在大部分的 Linux 中用的是 “systemd”，而 Alpine 用的是 OpenRC

1. BIOS (Basic Input/Output System)

BIOS 簡單介紹

BIOS 是韌體，主要儲存在主機板上的 BIOS ROM 晶片
- ROM 晶片的特色是電腦關機後晶片存儲的內容也不會消失，它對應的是 RAM 晶片(記憶體)，電腦關機後資料會被清除
BIOS 的設定儲存在 CMOS 晶片
- 設定項目包含 : 日期時間、開機順序 …等
- CMOS 晶片在現在的主機板大部分的時候，會與其他晶片整合在一起
CMOS 晶片使用的電池稱為 CMOS 電池
- 當 CMOS 晶片被拔下來，導致 CMOS 晶片沒電，BIOS 的基本設定就會被清除
- 筆電的 CMOS 電池通常會再接一條線，因為筆電沒有插槽

EFI & UEFI 簡單介紹

BIOS 通常在比較舊的電腦才會出現，新的電腦通常是 UEFI 的介面

UEFI : 統一可延伸韌體介面（Unified Extensible Firmware Interface）
最大特色 : 它的滑鼠可以動，顏色豐富，有的介面還有可能是紅色或綠色，可以設定的選項也比較多
EFI 由 CPU 的大廠 Intel 先提出來的介面，為了不讓 Intel 獨佔這門技術，所以各大廠成立一個聯盟，做出了統一的規範，為了與 EFI 區別，就在名稱前面多了 Unified 。

快速檢查 Linux 用 BIOS or UEFI

程式概述 : 通常有使用 UEFI 的 Linux 作業系統，在 /sys/firmware/efi 這個目錄下都會有檔案，所以用這個目錄的存在來判斷是否是 UEFI

編輯一支程式

$ nano biosmode.sh

內容 :

#!/bin/bash
[ -d /sys/firmware/efi ] && echo 'UEFI' || echo 'BIOS'

賦予執行權限

$ chmod +x biosmode.sh

執行程式

$ ./biosmode.sh

螢幕輸出 :

BIOS

快速檢查 Windows 10 用 BIOS or UEFI

打開 CMD 或 Windows + R 快捷打開執行
輸入 msinfo32
找到 BIOS 模式

2. MBR

MBR 介紹

主開機紀錄（Master Boot Record）

位於可開機裝置的第一個磁區
大小 512 Bytes ，其中 :
- 446 Bytes 儲存開機管理程式（Boot Loader）
- 4 個 16 Bytes 儲存磁區分割表 ( C 或 D 槽要切幾個，就是儲存在這)
- 2 Bytes 儲存檢查標誌
446 + (4*16) + 2 = 512

磁碟分割表介紹

MBR

最大的 Partition 大小，只能 2 TB
Partition 最多只能切 4 個，需要進階的做法才能切更多
只支援 BIOS
作業系統支援 : Windows 7 或是更舊的，像是 Windows 95/98，Windows XP 32-bit, Windows 2000, Windows 2003 32-bit

GPT ( GUID Partition Table )

最大的 Partition 大小，只能 9.4 ZB
Partition 最多可以切 128 個磁區
支援 UEFI 或是 MBR
作業系統支援 : Windows 11, Windows 10 64-bit, Windows 8/8.1 64-bit

檢查 SUSE Linux MBR or GPT

$ sudo gdisk /dev/sda -l

螢幕輸出

GPT fdisk (gdisk) version 1.0.8
Partition table scan:
MBR: protective
BSD: not present
APM: not present
GPT: present
Found valid GPT with protective MBR; using GPT.
Disk /dev/sda: 209715200 sectors, 100.0 GiB
Model: VMware Virtual S
Sector size (logical/physical): 512/512 bytes
Disk identifier (GUID): 2D602B9D-31C0-488F-8C24-64B3B47D1B86
Partition table holds up to 128 entries
Main partition table begins at sector 2 and ends at sector 33
First usable sector is 34, last usable sector is 209715166
Partitions will be aligned on 2048-sector boundaries
Total free space is 2014 sectors (1007.0 KiB)
Number Start (sector) End (sector) Size Code Name
1 2048 18431 8.0 MiB EF02
2 18432 83904511 40.0 GiB 8300
3 83904512 153907199 33.4 GiB 8300
4 153907200 193585151 18.9 GiB 8300
5 193585152 209715166 7.7 GiB 8200

3. Boot Loader

提供開機選單
- 可以讓使用者決定開哪個作業系統
Chain loading（控制權轉交給其他 loader）
1. 將 Linux 核心及 initramfs 載入到記憶體中
2. 將 initramfs 位址傳給 Kernel
3. 將控制權交給 Kernel
SUSE Linux 和 Ubuntu Linux 用的 Boot Loader 是 GRUB 2 (目前最受歡迎)
Alpine Linux 用的 Boot Loader 是 syslinux
tinycore 用的 Boot Loader 是 isolinux

GRUB 2 啟動流程

BIOS 在 MBR 中啟動名稱為 boot.img 的 loader

階段 1
- boot.img 負責載入階段 1.5 的 loader，名稱為 core.img
階段 1.5
- core.img 包含檔案系統的驅動程式
- 負責載入位於 /boot 目錄中的階段 2 檔案
階段 2
- 將 Kernel 解壓縮到主記憶體中
- 將 initrd/initramfs 載入記憶體，並將其位址傳給 Kernel
- 將控制權交給 Kernel

4. Kernel

initrd & initramfs

initrd (init ramdisk)，臨時用的檔案系統，與一般開機之後根目錄結構一模一樣的檔案系統，會由 Boot Loader 載入記憶體中，再給 Kernal 使用
initrd 和 initramfs 是兩種不同的方法，但都是為了掛載真正的根目錄之前做準備

5. Init

確認 init 的 process，以 SUSE Linux 為例

方法一 :

執行以下命令

$ ls -al /sbin/init

螢幕輸出

lrwxrwxrwx 1 root root 26 May 12 2022 /sbin/init -> ../usr/lib/systemd/systemd

由以上可以看到 /sbin/init 這支程式指向 systemd

方法二 :

執行以下命令

$ ps --pid 1

螢幕輸出

PID TTY TIME CMD
1 ? 00:00:00 systemd

檢視 /boot [ SUSE Linux ]

執行以下命令

$ ls -al /boot/

螢幕輸出

total 69088
drwxr-xr-x 1 root root 696 Feb 27 08:09 .
drwxr-xr-x 1 root root 156 Feb 27 08:03 ..
-rw-r--r-- 1 root root 65 May 12 2022 .vmlinuz-5.14.21-150400.22-default.hmac
-rw-r--r-- 1 root root 5036251 May 12 2022 System.map-5.14.21-150400.22-default
-rw-r--r-- 1 root root 1725 May 8 2022 boot.readme
-rw-r--r-- 1 root root 250502 May 12 2022 config-5.14.21-150400.22-default
drwxr-xr-x 1 root root 140 Feb 27 08:08 grub2
lrwxrwxrwx 1 root root 32 Feb 27 08:06 initrd -> initrd-5.14.21-150400.22-default
-rw------- 1 root root 18222292 Feb 27 08:08 initrd-5.14.21-150400.22-default
-rw------- 1 root root 19143144 Feb 27 08:09 initrd-5.14.21-150400.22-default-kdump
-rw-r--r-- 1 root root 451623 May 12 2022 symvers-5.14.21-150400.22-default.gz
-rw-r--r-- 1 root root 484 May 12 2022 sysctl.conf-5.14.21-150400.22-default
-rw-r--r-- 1 root root 16548932 May 12 2022 vmlinux-5.14.21-150400.22-default.gz
lrwxrwxrwx 1 root root 33 Feb 27 08:06 vmlinuz -> vmlinuz-5.14.21-150400.22-default
-rw-r--r-- 1 root root 11058176 May 12 2022 vmlinuz-5.14.21-150400.22-default

Boot Loader 、 initrd 和 vmlinuz 都放在 /boot 這個目錄
- vmlinuz 指的是 Linux 的 Kernal

Kubernetes 升級

Given an existing Kubernetes cluster running version 1.24.1, upgrade all of Kubernetes control plane and node components on the master node only to version 1.24.2

You are also expected to upgrade kubelet and kubectl on the master node.

Be sure to drain the master node before upgrading it and uncordon it after the upgrade. Do not upgrade the worker nodes, etcd, the container manager, the CNI plugin, the DNS service or any other addons.

對 Linux 套件 kubeadm 進行升級

# ssh 連進 control plane node
$ ssh <control plane node>
# 提權
$ sudo -i
# 更新套件清單
$ apt update
# 看當前主機可以升級 kubeadm 的那些版本
$ apt-cache madison kubeadm
# 將 kubeadm 升級至 1.22.1 版
## hold ，讓系統 update 或 upgrade 的時候，忽略 hold 的套件
## unhold ，取消忽略
$ apt-mark unhold kubeadm && \
apt-get update && apt-get install -y kubeadm=1.24.2-00 && \
apt-mark hold kubeadm
# 檢查下載下來的 kubeadm 版本
$ kubeadm version

kubeadm upgrade

# Drain control-plane node
$ kubectl drain <control-plane-node> --delete-emptydir-data --ignore-daemonsets --force
# Verify the upgrade plan
$ kubeadm upgrade plan
# 將 kubeadm 升級至指定版本 : 1.24.2
$ sudo kubeadm upgrade apply v1.24.2 --etcd-upgrade=false

成功後，會看到的螢幕輸出

[upgrade/successful] SUCCESS! Your cluster was upgraded to "v1.24.2". Enjoy!
[upgrade/kubelet] Now that your control plane is upgraded, please proceed with upgrading your kubelets if you haven't already done so.

Upgrade kubelet and kubectl

$ apt-mark unhold kubelet kubectl && \
apt-get update && apt-get install -y kubelet=1.24.1-00 kubectl=1.24.1-00 && \
apt-mark hold kubelet kubectl

Restart the kubelet

# Reload systemd manager configuration
$ systemctl daemon-reload
# 將 kubelet 重啟
$ systemctl restart kubelet
# 檢查 kubelet 狀態
$ systemctl status kubelet

Uncordon the node

# Bring the node back online by marking it schedulable
$ kubectl uncordon <control-plane-node>

檢查 node 狀態

$ kubectl get nodes

What is Canary Deployment

概述

將修改後的 Application 推廣到一小部分使用者，驗證沒有問題後，再推廣到全部使用者，以降低生產環境引入新功能帶來的風險。

通常是 90% 的使用者維持使用老版本，10% 的使用者嚐鮮新版本。

安裝 Windows 注意事項

Fri, 10 Mar 2023 05:14:38 +0800

1. Windows 透過 RDP 通訊協定同時登入時，最大連線數

沒付錢是允許 2 個同時連線(師傅徒弟)，有付錢可以到 5 個或更多
OpenSSH 的連線就無限制

2. 灌 Windows 作業系統時，須注意硬碟容量大小，灌在哪顆硬碟

3. Windows 網路資料夾，同時最大可允許連線

dhcp 應根據 mac address 來設定 IP

面試 - 口說

Sun, 26 Feb 2023 16:07:48 +0800

Deployment

Deployment 由 Replicaset 和 pod 組成
Deployment 管理 ReplicaSet ， ReplicaSet 管理 Pods
Deployment 為 Replicaset 和 pod 提供一種宣告式的設定和更新方式，可以在 Deployment object yaml 檔裡面的 replicas 或是透過命令式 kubectl scale deploy deployment的名字 --replicas= 多少來設定 pod 的數量。
在硬體資源允許下，Replicaset 會幫我們建立出使用者期望的 pod 數量，並且一直維持這個數量，也就是說當有一台 pod 毀損時，Replicaset 會自動再產生同樣的 pod 出來，而多個 pod 是本尊與分身的概念，都提供同樣的服務，這麼做的目的是為了讓服務可以達到平衡負載。
透過 kubectl set image deployment.v1.apps/deployment的名字 Container名字=image完整資訊 --record 可以在更新 Deployment 的 image 版本的同時，將 image 的資訊記錄下來，而它的更新方式會先建立出新的 pod 再把舊的版本移除
也可以透過 kubectl rollout undo deployment.v1.apps/deployment的名字 --to-revision= 回到指定的版本

sts,

service (3),

deamonset,

static pod,

nginx.ingress,

k8s叢集變複雜後我們一定會記不住有那些 pod，有哪些 ip，透過 ingress，輸入記得住的域名，再透過輸入不同的 path 會到不同的 service，不同的 service 就代表不同的 pod，不同的服務。

RBAC,

metalLB,

volume,

metrics server

CKA

Docker, Podman

multiple stage

炬識 - 面試實作

Wed, 22 Feb 2023 14:36:22 +0800

題目1.

如何建構私有雲環境，達成自動化部署的成果：

使用者透過Web表單申請虛擬機器用於測試環境：Web表單內容提供虛擬機器範本可供選擇，其中的範本包括軟體和硬體規格，如WindowsServer版本、SQL Server版本、Windows電腦名稱、 CPU、Memory等。
為了避免資源浪費，必須考慮每位使用者可使用資源的配額限制，包括CPU核心數、記憶體大小、磁碟空間等。
使用者申請的虛擬機器會自動加入Active Directory網域。

由於上述項目實作需要硬體資源與時間，因此僅需要提出解決方案的所使用的技術或平台即可。

解答1.

假設現在私有雲的環境是建立在 VMWare Player 之上，我會先在一台主控機上，建立 12 台 Windows Server 的模板機，分別是

Windows Server 2012 (無 SQL Server)
Windows Server 2012 (SQL Server 2017)
Windows Server 2012 (SQL Server 2019)
Windows Server 2012 (SQL Server 2022)
Windows Server 2012 (無 SQL Server)
Windows Server 2016 (SQL Server 2017)
Windows Server 2016 (SQL Server 2019)
Windows Server 2016 (SQL Server 2022)
Windows Server 2019 (無 SQL Server)
Windows Server 2019 (SQL Server 2017)
Windows Server 2019 (SQL Server 2019)
Windows Server 2019 (SQL Server 2022)

並且會在每一台模板機中 C 磁碟機下，埋一支修改 Windows 電腦名稱，並且在修改電腦名稱後和自動加入 AD 的程式，名字叫 automatic.bat

再來，我會在主控機上，先用 go 語言建立一個簡單的網站，主要功能是可以填表單，這個表單的內容會分為 5 個部分 :

第一部分
- 用下拉式選單，讓使用者選擇 Windows Server 的版本 (2012, 2016, 2019)
第二部分
- 建立 4 個選項按鈕，選擇 SQL Server 的版本
第三部分
- 建立一個文字輸入欄位，填入 Windows 電腦名稱
第四部份
- 建立一個文字輸入欄位，填入 CPU 要使用幾 Core
第五部分
- 建立一個文字輸入欄位，填入記憶體要使用幾 G

當使用者提交表單後，會結合 CGI 程式，這支 CGI 程式會將

表單的內容，用 csv 的格式匯入一個檔案，並將檔案送到主控機上
根據檔案內容，在主控機上自動部屬使用者透過 Web 表單申請虛擬機器
cpu , 記憶體的部分，可藉由修改 *.vmx 的檔案進行調整
Windows 電腦名稱，藉由 vmtools 的工具，先得到 VM 的 IP 位置，在藉由 ssh 遠端執行預先埋好在 C 磁碟機下的 automatic.bat 這支程式，在修改電腦名稱後會自動加入 AD

題目2.

請說明如何使用 K8s 生態系的工具與解決方案，解決以下的情境

搭建一個給開發團隊使用的「測試環境」之申請平台。
開發團隊只需要簡單的提供自己所需的「測試環境規格」、該環境需要預安裝哪些「服務」、該服務的使用期限，即可送出申請。
該平台接收到申請後，就會自動佈建該環境，並且將環境的各種必要的連線資訊，通知申請人。
當環境超過使用期限，便會自動刪除。

注意事項：

該平台會依據資源使用量，自動分配要將「測試環境」架設在 K8s 的那些 Cluster 或 Node。

請描述你會如何規劃這個平台，選用哪些 K8s 生態系的工具或解決方案，可以的話請說明這其中涉及了哪些人為及自動化的流程，而你所選用的 K8s 生態系的工具或解決方案，分別在其中擔任哪些角色、解決了哪些需求。

解答2.

首先，假設測試環境是在自建的原生 K8s 之上，系統架構是

3 台 Master Node 、 6 台 Worker Node 和 3 台獨立存放 Etcd 的 Node
CRI 用的是 CRI-O 並且結合 Podman ( CRI-O 並沒有還原 image、備份 image 、build、 export 和 import 的命令，只有下載 image 的能力，所以需要 podman 來支援 image 的管理 )
CSI 用的是 NFS
CNI 用的是 Flannel 網路套件

以上高可用的 K8s 系統架構，可以解決開發團隊在開發時，遇到單一台 Node 毀損時，K8s 系統可以持續提供服務環境。另外選擇 CRI-O 專案的原因是因為，這個專案，特別為 K8s 量身訂做，直接翻譯 kubelet 的話，K8s 會直接透過 CRI-O 來跟 runc 或是 crun 溝通產生 Container ，所以開發效率最優。

在這之上，自建 Project QUAY ，企業自己的 Image 光片中心，當開發團隊將 Application 包成 Container 後，可以在不用上網的情況下，將 image 傳到光片中心，以此解決資安上的問題。

再建立 Jenkins ，並透過它的 CD 功能，可以將 github 上要測試的服務環境自動部屬出來

假設現在提供服務的是 Web Server ，在 K8s 的環境中，它應該會有對應的 Service ，可以事先在 Jenkins 裡面的 pipeline ，將服務的對外 IP 顯示出來

會先寫好一支程式，當使用者要進到 K8s 中，必須使用預先設定好的憑證登入到 K8s ，再設定檔中還會先規範好 Default 的 Namespace ，並對這個 Namespace 做硬體資源上的限制

2023/02/13

Mon, 13 Feb 2023 01:31:04 +0800

手工做母機，一定要先安裝 OpenSSH Server，以及設定憑證
虛擬化技術中，一個資料夾代表一台電腦
當自己安裝好 Linux 系統時，可以先冷凍 root 帳號(將密碼設成過期)，這樣做的好處，可以防止 root 的密碼被猜到
Human Error 會造成大量成本

batch FOR

Mon, 16 Jan 2023 05:25:44 +0800

對一組檔案中的每個檔案執行指定的命令。

FOR %variable IN (set) DO 命令 [command-parameters]

%variable 指定一個可以取代的參數。 (set) 指定由一或多個檔案組成的檔案組。您可使用通配字元。 command 指定命令來執行每一個檔案。 command-parameters 為所指定的命令指定變數或參數。

如果要在批次程式中使用 FOR 命令，請指定 %%variable，而不要指定 %variable。變數名稱有大小寫的區分，所以 %i 不同於 %I。

如果您啟用擴充命令，則額外支援下列的 FOR 命令格式:

FOR /D %variable IN (set) DO command [command-parameters]

如果 set 中包含萬用字元，則指定與目錄名稱相符，
而不是與檔案名稱相符。

FOR /R [[drive:]path] %variable IN (set) DO command [command-parameters]

在樹狀目錄中切換 [drive:] 路徑，並於樹狀目錄的每
一個目錄下執行 FOR 陳述式。如果未在 /R 之後指定
目錄規格，則採用目前的目錄。如果 set 只是單一句
點 (.) 字元，則它只會列舉樹狀目錄。

FOR /L %variable IN (start,step,end) DO command [command-parameters]

set 是從開頭到結尾一次跳一步的連續數字。所以
(1,1,5) 會產生連續值 (1 2 3 4 5) 而 (5,-1,1)
會產生連續值 (5 4 3 2 1)

FOR /F [“options”] %variable IN (file-set) DO command [command-parameters] FOR /F [“options”] %variable IN (“string”) DO command [command-parameters] FOR /F [“options”] %variable IN (‘command’) DO command [command-parameters]

或，如果使用 usebackq 選項:

FOR /F [“options”] %variable IN (file-set) DO command [command-parameters] FOR /F [“options”] %variable IN (‘string’) DO command [command-parameters] FOR /F [“options”] %variable IN (command) DO command [command-parameters]

file-set 可以是一或多個檔案名稱。繼續進行 file-set 中的下個
檔案之前，都已開啟、讀取及處理過每個檔案。處理程序包括讀取
檔案、將它分割成獨立的文字行，然後將每一行剖析成零或多個語
法。使用已設成找到之語法字串的變數值，呼叫 For 迴圈的內容。
依照預設，/F 會從每個檔案的每一行傳送第一個以空格分隔的權
杖。空白行會被略過。您可以指定選擇性的 "options" 參數來覆寫
預設的剖析行為。這是有引號的字串，包含一或多個指定不同剖析
選項的關鍵字。關鍵字是:
eol=c - 指定一個行尾註解字元 (只有一個)
skip=n - 指定在檔案開頭要略過的行數。
delims=xxx - 指定分隔符號集。這會取代預設的空格
與定位字元的分隔符號集。
tokens=x,y,m-n - 指定每一行的哪些語法應該被傳到 for
的內部以進行每一個重複操作。這會造
成配置額外的變數名稱。m-n 格式代表
一個範圍，指定了第 m 個到第 n 個權
杖。如果 tokens= 字串的最後一個字
元是星號，則會配置一個額外的變數並
在最後一個語法被剖析後接收該行中的
其他文字。
usebackq - 指定新語義開始作用。其中反括號的字
串會被當作命令來執行，而單引號字串
是純文字字串命令，並且允許使用雙引
號來引用 file-set 中的檔名。
以下是一個範例:

FOR /F “eol=; tokens=2,3* delims=, " %i in (myfile.txt) do @echo %i %j %k

這會剖析 myfile.txt 檔案中的每一行，它不會去管以分號開頭的行數
，直接將第 2 個及第 3 個語法從每一行傳到 for 主體，而其語法是
用逗號和/或空格分開的。請注意，for 主體陳述式參照 %i 以取得第
二個語法，參照 %j 以取得第三個語法，使用 %k 取得第三個語法之
後的剩餘字串。因為檔案名稱含有空格，您必須用雙引號來括住檔案名
稱。要這樣使用雙引號，您必須使用 usebackq 參數。否則雙引號會被
解譯成用來定義一般文字。
使用 %i 明白地在 for 陳述式中宣告，並透過 tokens= option 使用
%j 作暗示性的宣告。您可以藉由 tokens= line 來指定最多 26 個語
法，前提是它宣告的變數不能高於字母 'z' 或 'Z'。請記住，FOR 變
數是單一字元的，同時在任一時間內，您不能同時使用超過 52 個 FOR
變數。
您也可以使用 FOR /F 命令在立即字串中剖析邏輯，方法是將括弧之間的
file-set 變成一個引號字串。它會被視為從檔案輸入的單行，並加
以剖析。
最後，您可以使用 FOR /F 命令來剖析一個命令的輸出。方法是將括弧
內的 file-set 變成單引號字串。它將被視為一個命令列，這個命令
行將會傳到子 CMD.EXE，而輸出將會被擷取到記憶體中，當成檔案來分
析。所以下列的範例:
FOR /F "delims==" %i IN ('set') DO @echo %i
將列舉目前環境中的環境變數名稱。

此外，已經加強了 FOR 變數參考的取代功能。您現在可以選用下列選擇性的語法:

%~I - 展開 %I 且移除包圍的引號 (")
%~fI - 展開 %I 為一個完整合格路徑名稱
%~dI - 只展開 %I 為磁碟機代號
%~pI - 只展開 %I 為路徑
%~nI - 只展開 %I 為檔名
%~xI - 只展開 %I 為副檔名
%~sI - 展開的路徑只包含短檔名
%~aI - 展開 %I 為檔案的檔案屬性
%~tI - 展開 %I 為檔案的日期/時間
%~zI - 展開 %I 檔案的長度
%~$PATH:I - 搜尋所有列在 PATH 環境變數內的目錄且展開 %I
為第一個找到的完全符合檔名。如果沒有定義環境
變數名稱或是搜尋找不到檔案，則這個修飾元會展
開為空字串。

修飾元可以合併使用以獲得綜合的結果:

%~dpI - 只展開 %I 為磁碟機代號與路徑
%~nxI - 只展開 %I 為檔名與副檔名
%~fsI - 只展開 %I 為含短檔名的完全路徑
%~dp$PATH:I - 為 %I 搜尋所有列在 PATH 環境變數內的目錄
且展開第一個找到的項目為磁碟機代號及路徑。
%~ftzaI - 展開 %I 為像 DIR 一樣的輸出行

在上面的範例中 %I 和 PATH 能用其他的合法值取代。%~ 語法是由合法的 FOR 變數名稱來終止。如果選用像 %I 的大寫名稱可以增加可讀性而且避免和修飾元的混淆，因為這些並不區分大小寫。

Untitled

Sun, 08 Jan 2023 03:02:10 +0800

main.go

package main
import (
"fmt"
"net/http"
"net/http/cgi"
)
func cgiMyDB(w http.ResponseWriter, r *http.Request) {
handler := cgi.Handler{Path: "/opt/www/cgi/mydb.sh"}
handler.ServeHTTP(w, r)
}
func cgiMyData(w http.ResponseWriter, r *http.Request) {
handler := cgi.Handler{Path: "/opt/www/cgi/mydata.sh"}
handler.ServeHTTP(w, r)
}
func cgiSetup(w http.ResponseWriter, r *http.Request) {
handler := cgi.Handler{Path: "/opt/www/cgi/mysetup.sh"}
handler.ServeHTTP(w, r)
}
func main() {
static := http.FileServer(http.Dir("/opt/www"))
http.Handle("/",static)
http.HandleFunc("/db", cgiMyDB)
http.HandleFunc("/data", cgiMyData)
http.HandleFunc("/setup", cgiSetup)
fmt.Println(":8080")
http.ListenAndServe(":8080", nil)
}

mydb.sh 連線到 mysql Cluster
mydata.sh 連線到大數據
mysetup.sh

嘿嘿

Sat, 10 Dec 2022 13:41:42 +0800

https://hackmd.io/Zxixtj9zQkyW8h_ihz_-6Q

https://hackmd.io/M6RbBPtXQaqPojW9VVAK6w

https://github.com/Bookman-W/kdm/blob/b51aa918c719a89d29e4f0f603b9e7a8671c6510/kdm

https://hackmd.io/rHpGBqQHSg-I4f-G2DKrRw?both

Untitled

Sun, 09 Oct 2022 14:26:32 +0800

莊明城老師

Sun, 18 Sep 2022 03:06:00 +0800

Linux KVM

Linux KVM

Kubernetes

楊承羲老師

Thu, 08 Sep 2022 06:56:12 +0800

Linux

Linux startup Process 開機流程

CI/CD Overview

Git

專題

Thu, 01 Sep 2022 06:32:02 +0800

架構圖

戰略規劃

mydb pod
- 須要將自己的 3306 port 對應到 w2 主機的 3306 port (hostPort in yaml)
- 我們需要在 windows 打開 workbench 可以連到這個 mysql 的資料庫
- 要啟用 hostPath PV ，在 w2 規劃一個目錄區，讓 mydb pod 的資料可以永存
- 使用這個 pod 的人，在外面的職缺是 DBA ( DataBase Admin)
- 啟動 binlog 與 CDC 來達到容錯
pod-fbs
- 在 w1 的 /opt/www 用 hostPath PV 的方法掛載到 /srv
- 用 hostPort 開一個 8080 port
goweb pod
- pod 裡的 /www 用 hostPath PV 的方法掛載到 /srv
- 與 fbs 共用同一個資料夾
- 透過 cgi 程式與 mydb pod 的資料庫對接
gosrv
- K8S Service
- 與 goweb pod 綁定
- 讓我們能夠從外部連線到 goweb pod 的網站
以上物件皆須建在 bobo namespace

Linux Process Part1

Sat, 20 Aug 2022 02:51:42 +0800

陳老師課程整體架構

Docker 碼頭工人

既是公司名也是軟體名
核心技術 :
- Application Container 軟體貨櫃 ( 一台電腦 )

Kubernetes

由 Google 公司攥寫，穩定度不容小覷
維運一堆 Application Container

目前對 Docker 的討論已轉向 kubernetes，可以說整個資訊界系統革命由 Docker 和 Kubernetes 創造的

Hadoop

資料科技平台的核心
又稱 : 資訊中台…?

Spark

由 Hadoop 堆上去的應用
可以做 machine learning

Hive

可以做商業智慧 ( BI )

重要網站

cncf.io (系統工程的 Open Source)
apache.org (資料科技的 Open Source )

企業為什麼買電腦？

20 幾年前公司為了買電腦是因為電子化，不需要再使用紙本，但是電腦在很多公司還是被當成電子打字機，
但時間往後走，資料庫出來了，打破原本電腦的使用方式，很多的企業會去買工作站（Server），讓企業建置出很多應用系統：會計系統、物料系統…等，
時間往後再走，老闆要求可不可以快速給分析報表，買更強的Server，做出更強的應用系統，讓企業做出決策的能力。
現在台灣流行的是做出預測的能力，譬如銀行會做呆帳的預測，呆帳比例越低獲利越高，一路走來企業為的就是：要建置出各自需要的應用系統與軟體，來達到應用的需求。
應用軟體、應用系統，要經過開發、寫程式才會出來，才能執行應用。
一個正在跑的應用系統由 “多個應用程序” + “系統背景服務程序” 組成
寫程式要選擇電腦的語言，來開發企業所需要的應用系統，但為了寫程式同時硬體也要到位。
接下來要教的 Container 和 Kubernetes 就是讓以上的應用系統能跑得安安穩穩長長久久。

建置 Docker 虛擬主機

在 Windows 系統, 啟動 Browser, 下載 CNT.2022.v4.2.zip
下載後, 請解壓縮至使用者家目錄, 例如 /user/rbean
在 Windows 系統的 cmd 終端機,執行以下命令

# 切換工作目錄
C:\Users\rbean>cd CNT.2022.v4.2

# 檢視 docker 命令可用那些參數
C:\Users\rbean\CNT.2022.v4.2> docker
"docker [create|start|stop|delete]"

# 建立 alp.docker VM
C:\Users\rbean\CNT.2022.v4.2> docker create
"DK\alp.docker\ created"

# 啟動 alp.docker VM
C:\Users\ybean\CNT.2022.v4.2> docker start

# ssh 遠端連線到 alp.docker 這台 VM
# 回答 yes ，表示要接收這台 VM 的 OpenSSH Server 的公鑰
C:\Users\ybean\CNT.2022.v4.2>ssh bigred@192.168.61.144
The authenticity of host '120.96.143.25 (120.96.143.25)' cant be established.
ECDSA key fingerprint is SHA256:haOU24boysVt3pRy0TLgE7rIYx6p4rkLfjOXrBewEU0.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes

Alpine Linux 的組成

musl libc

$ /lib/libc.musl-x86_64.so.1
musl libc (x86_64)
Version 1.2.2
Dynamic Program Loader
Usage: /lib/libc.musl-x86_64.so.1 [options] [--] pathname [args]

C 語言的程式庫，裡面有一堆系統的底層運作程式。我們寫的程式會呼叫 System Call 來跟 linux 的 kernel 做溝通
musl libc = Linux 系統的 API = System call

API 可以想成 bash Script 的 Function
系統底層的 API 可以讓程式用簡單的指令對 Linux 系統進行操作，而不用實際了解其底層運作及架構例如: 在檔案系統上做產生目錄區、記憶體配置、指定網卡等動作

so = system object
用 C 語言要創造一個目錄區，需不需要透過 System API ( musl libc )？ yes，因為 Linux 的目錄區和檔案，會經過 file system (檔案系統)來做的，linux 的檔案系統叫做 ext4，這個檔案系統他怎麼處理目錄，怎麼處理檔案，檔案名稱怎麼儲存，檔案的內容要放哪裡?一個檔案系統在存資料要不要有所謂的 Meta Data ?要不要有資料儲存的 location ?這個檔案系統怎麼樣在運作，內部是很複雜的，而 linux 裡面有人寫好了一些程式，讓我們可以很方便的使用這個 API (Appication Programming Interface) ，只要跟它說我要產生的資料夾名稱和資料夾的權限，它就幫我去產生了。
我們的 Alpine Linux 為甚麼需要 musl libc (x86_64) ? 因為有了它，我們寫的 C 語言的一些高階程式，可以很方便的在檔案系統來產生目錄，可以很方便的在電腦的記憶體裡面挖一塊出來用，可以很方便的指定哪一片網卡幫我送資料，底層的真正的操作運作可以不需要了解。
程式執行一定會呼叫系統 API 和應用 API，這兩個 API 都是用電腦語言寫的
不使用 System API 就必須熟悉系統的所有功能，並且用程式語言完全實現，這樣耗費時間、效率低落

以應用開發工程師來說，不使用 API 就必須熟悉系統的所有功能，並且用程式語言完全實現，這樣開發應用相對耗費時間、效率低落，但如果是系統開發工程師，不可避免需要去理解抵成並用程式實現功能、包裝成 API
高階程式設計師可透過現有函數很方便的操作系統 ( CPU、網路、記憶體 )，不需知道系統底層運作原理即可操作。

busybox

bigred@alp:~$ which busybox
/bin/busybox
bigred@alp:~$ ls -lh /bin/busybox
-rwxr-xr-x 1 root root 806K Apr 4 18:19 /bin/busybox

busybox

中文 : 瑞士刀
檔案大小 : 806 kb ，是用 C 語言寫的，可以模擬很多 Linux 常用指令（cat、cp…）
屬於高階應用的命令，也會呼叫 System API

apk

$ sudo apk update ; sudo apk upgrade

apk ，全名 : alpine package
apk 套件管理系統，讓我們可以在 Alpine linux 裡面，加裝一些套件，譬如: openssh server 、 jdk-8 …等
update + upgrade 等同於 microsoft 的系統更新，可以修正作業系統的漏洞

小總結

企業買電腦就是為了做出他們需要的應用系統，而應用系統是用程式寫出來的，而我們寫的程式大多都屬於高階的，會去呼叫和使用底層的系統 API，以 bash Script 來說就是 Function，人家寫好的 system function，讓我們不需要接觸最底層的程式設計，在應用這層不需要耗費這些時間。

應用系統最常見的就是會計系統、銀行的呆帳系統…等

下載 Alpine Linux

下載 Alpine Linux 連結

STANDARD ，根據 CPU 的規格來區分，主要裝在實體電腦， Intel 的 CPU 主要是下載 x86_64 這個項目，下載下來的檔案是一個光碟檔 (*.iso)
EXTENDED ，下載下來的 Alpine 會在記憶體裡面跑，檔案會寫入 USB
NETBOOT ，透過網路就可以把 Alpine 裝起來
MINI ROOT FILESYSTEM ，可以裝在 Container 上
RASPBERRY PI ，裝在樹梅派上
VIRTUAL ，裝在 VMware 的 VM 上
XEN ，裝在 Xen Hypervisor 啟動的 VM 上

Alpine Linux 系統更新

Alpine Linux 系統更新
$ sudo apk update; sudo apk upgrade

; ，表示不管前面的命令有無執行成功，只要結束，就會跑後面的命令。

80 年代大型主機實體架構

RS-232 ，一條連接線，讓終端機與 Linux 主機連接
終端機的組成 : 螢幕 + 鍵盤
在終端機上面一定會跑一支貝殼程式 ( 例如， sh, ash, zsh, bash …等 )
貝殼程式主要負責接收我們下達的命令，命令會藉由 RS-232 這條線傳給 Linux 主機，命令的結果會再藉由 RS-232 這條線傳給終端機上面的貝殼程式，貝殼程式收到後會幫我們把命令結果顯示在終端機的螢幕上。
Linux 系統支援協同作業 (多人同時共用一台主機)

建立 Alpine Linux 使用者帳號

$ echo -e "rbean\nrbean" | sudo adduser -s /bin/bash rbean
Changing password for rbean
New password:
Bad password: too short
Retype password:
passwd: password for rbean changed by root

adduser ，Alpine Linux 新增使用者帳號的命令
-s ，設定貝殼程式
echo -e ，讓反斜線可以轉義
\n ，換行符號

# 檢視 Linux 系統放帳號資訊的檔案
$ tail -n 2 /etc/passwd
utmp:x:102:406:utmp:/home/utmp:/bin/false
rbean:x:1002:1002:Linux User,,,:/home/rbean:/bin/bash
# 檢查家目錄，有無建立成功
$ ls -al /home
total 20
drwxr-xr-x 5 root root 4096 Jun 8 19:54 .
drwxr-xr-x 23 root root 4096 May 26 00:42 ..
drwxr-sr-x 5 bigred bigred 4096 Feb 17 10:09 bigred
drwxr-sr-x 2 qemu kvm 4096 Sep 5 2020 qemu
drwxr-sr-x 2 rbean rbean 4096 Jun 8 19:54 rbean

每個 Linux 的使用者一定會有一個家目錄 ( /home/$USER )

rbean 登入 Alpine Linux 虛擬主機

# 在 Windows 系統的 cmd 視窗, 執行以下命令
$ ssh rbean@<alp.docker IP>
Welcome to Alpine Linux : 3.16.0
IP : 192.168.61.146
# 虛擬終端機
$ tty
/dev/pts/1
# 檢查現在有動態產生幾個虛擬終端機
$ ls -al /dev/pts
total 0
drwxr-xr-x 2 root root 0 Aug 8 10:13 .
drwxr-xr-x 13 root root 2780 Aug 8 10:14 ..
crw--w---- 1 bigred tty 136, 0 Aug 8 11:26 0
crw--w---- 1 rbean tty 136, 1 Aug 8 11:27 1
c--------- 1 root root 5, 2 Aug 8 10:13 ptmx
# 顯示當前使用者用的貝殼程式
$ echo $SHELL
/bin/bash
# 顯示當前使用者家目錄的路徑
$ echo $HOME
/home/rbean
$ exit

/dev/pts/1 ，dev ，裝置的意思，pts ，ssh 遠端連接進來的虛擬終端機，/1，1 號虛擬終端機
每個 Linux 使用者透過 ssh 遠端連線，一定會有一個虛擬終端機可以使用，在這台虛擬終端機上還會跑一支貝殼程式
/dev/tty ，本機終端設備的統稱
/dev/pts ，遠端虛擬終端
- pts ，pseudo terminal slave
The difference between TTY and PTS is the type of connection to the computer. TTY ports are direct connections to the computer such as a keyboard/mouse or a serial connection to the device. PTS connections are SSH connections or telnet connections. All of these connections can connect to a shell which will allow you to issue commands to the computer.

# 在 bigred 使用者建立 gbean 使用者帳號
$ echo -e "gbean\ngbean" | sudo adduser -s /bin/bash gbean
Changing password for gbean
New password:
Bad password: too short
Retype password:
passwd: password for gbean changed by root
# 檢視 gbean 帳號資訊
$ tail -n 2 /etc/passwd
rbean:x:1002:1002:Linux User,,,:/home/rbean:/bin/bash
gbean:x:1003:1003:Linux User,,,:/home/gbean:/bin/bash
# 檢查 gbean 帳號家目錄
$ ls -l /home
total 16
drwxr-sr-x 5 bigred bigred 4096 Jun 27 21:12 bigred
drwxr-sr-x 2 gbean gbean 4096 Aug 8 11:29 gbean
drwxr-sr-x 2 qemu kvm 4096 Sep 5 2020 qemu
drwxr-sr-x 2 rbean rbean 4096 Aug 8 11:22 rbean
# gbean 登入 Alpine Linux 虛擬主機
$ ssh bigred@120.96.143.25
# 檢查自己用幾號虛擬終端機
$ tty
/dev/pts/2
# 看目前總共有幾台虛擬終端機
$ ls -al /dev/pts/
total 0
drwxr-xr-x 2 root root 0 Aug 8 10:13 .
drwxr-xr-x 13 root root 2780 Aug 8 10:14 ..
crw--w---- 1 bigred tty 136, 0 Aug 8 11:30 0
crw--w---- 1 rbean tty 136, 1 Aug 8 11:27 1
crw--w---- 1 gbean tty 136, 2 Aug 8 11:31 2
c--------- 1 root root 5, 2 Aug 8 10:13 ptmx
# 看自己用哪個貝殼程式
gbean@alp:~$ echo $SHELL
/bin/bash
# 顯示自己的家目錄路徑
gbean@alp:~$ echo $HOME
/home/gbean

在本機看終端機

$ tty
/dev/tty1

/dev/tty1 ，1 號本機終端機

電腦程式語言的運作模式

Interpreter

Source Code 的意思，以 sheel 程式舉例，就是我們在寫的 bash Script
系統會一行一行的執行我們所寫的程式，當執行完第一行時，會有解析器，把我們寫的程式變成電腦看得懂的 2 進位的機械碼(machine code)，然後再由電腦來做執行
提問: Java Script 是不是直譯式 ? Java Script 事實上是在瀏覽器上作執行，它的執行方法就是 Interpreter 這種運作方式，所以前端連覽器開了很多分頁，會把硬體資源吃光光，因為每一個分頁裡面都在跑 Java Script。
直譯式語言，耗費的電腦資源比較多
目前的瀏覽器都在比，誰設計的 Interpreter 引擎越精簡，代表瀏覽器的表現越穩定、速度越快。
Python 語言就是 Interpreter

Compiler

將人看得懂的程式，經過編譯器，直接變成電腦看得懂的執行碼
執行效能最快

撰寫程式碼 (Coding)

Coding ，意思就是寫程式

$ cd; mkdir mygo; cd mygo
# 開發 golang 網站
# golang 語言是 Compiler
# 寫人看得懂的 go 程式
$ echo 'package main
import (
"fmt"
"log"
"net/http"
)
func handler(w http.ResponseWriter, r *http.Request) {
fmt.Fprintln(w, "Hello, 世界")
}
func main() {
http.HandleFunc("/", handler)
log.Fatal(http.ListenAndServe(":8888", nil))
}' > main.go

import ( ) ，引用人家寫好的 API
fmt ，顯示資料格式的 lib，可以顯示各式各樣的資料
log ，log 的 API，資料量多大 ? 總共可以寫多少個 log ? 超過這個數量，最前面的檔案是否要刪掉 ?
net/http ，網路的 API，IP 位址、MAC address、ARP…等
http.HandleFunc("/", handler) ，"/"，宣告網站的根目錄，只要其他人連到我的網址最後的/後面加 handler，就會顯示 Hello, 世界
log.Fatal(http.ListenAndServe(":8888", nil)) ，告訴系統，我們的 web Server 等下要鎖在 8888 port

# 將上面的程式經過編譯變成電腦看得懂的語言
$ CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -a main.go

CGO_ENABLED 這個參數，主要是讓 Go 執行檔能夠直接連結到系統上的函式庫 (libraries)，而不必另外打包進執行檔。
CGO_ENABLED=0 ，代表剛剛上面宣告的 3 個 API 的 machine code 也加進最後的機械碼執行檔
GOOS=linux GOARCH=amd64 ，產生 Linux 64位元作業系統的執行檔
go build ，編譯我們寫好的 golang 語言的程式
-a ，force rebuilding of packages that are already up-to-date
產生的機械碼檔，老師稱之為自走砲，意思就是說將翻譯好的那個機械碼檔拷貝到任意的 Linux 系統就可以跑，不需要在靠別的套件，因為它本身帶著程式庫走。

# 檢查
$ dir
total 5.9M
drwxr-sr-x 2 bigred bigred 4.0K May 17 15:29 .
drwxr-sr-x 7 bigred bigred 4.0K May 17 15:29 ..
-rwxr-xr-x 1 bigred bigred 5.8M May 17 15:29 main
-rw-r--r-- 1 bigred bigred 228 May 17 15:29 main.go

看編譯過後的機械碼檔

安裝 binary vi 的編輯器 ( 2 進位檔的編輯器 )

$ sudo apk add bvi
(1/1) Installing bvi (1.4.1-r0)
Executing busybox-1.34.1-r5.trigger
OK: 1249 MiB in 258 packages

使用編輯器

$ bvi main

output :

00000000 7F 45 4C 46 02 01 01 00 00 00 00 00 00 00 00 00 02 00 3E 00 01 00 00 00 .ELF..............>.....
00000018 A0 31 46 00 00 00 00 00 40 00 00 00 00 00 00 00 C8 01 00 00 00 00 00 00 .1F.....@...............
00000030 00 00 00 00 40 00 38 00 07 00 40 00 17 00 03 00 06 00 00 00 04 00 00 00 ....@.8...@.............
00000048 40 00 00 00 00 00 00 00 40 00 40 00 00 00 00 00 40 00 40 00 00 00 00 00 @.......@.@.....@.@.....
00000060 88 01 00 00 00 00 00 00 88 01 00 00 00 00 00 00 00 10 00 00 00 00 00 00 ........................
00000078 04 00 00 00 04 00 00 00 9C 0F 00 00 00 00 00 00 9C 0F 40 00 00 00 00 00 ..................@.....
00000090 9C 0F 40 00 00 00 00 00 64 00 00 00 00 00 00 00 64 00 00 00 00 00 00 00 ..@.....d.......d.......
000000A8 04 00 00 00 00 00 00 00 01 00 00 00 05 00 00 00 00 00 00 00 00 00 00 00 ........................
000000C0 00 00 40 00 00 00 00 00 00 00 40 00 00 00 00 00 2A 7C 1E 00 00 00 00 00 ..@.......@.....*|......
000000D8 2A 7C 1E 00 00 00 00 00 00 10 00 00 00 00 00 00 01 00 00 00 04 00 00 00 *|......................
000000F0 00 80 1E 00 00 00 00 00 00 80 5E 00 00 00 00 00 00 80 5E 00 00 00 00 00 ..........^.......^.....
00000108 40 A2 1D 00 00 00 00 00 40 A2 1D 00 00 00 00 00 00 10 00 00 00 00 00 00 @.......@...............
00000120 01 00 00 00 06 00 00 00 00 30 3C 00 00 00 00 00 00 30 7C 00 00 00 00 00 .........0<......0|.....
00000138 00 30 7C 00 00 00 00 00 20 20 05 00 00 00 00 00 80 AE 08 00 00 00 00 00 .0|..... ..............
00000150 00 10 00 00 00 00 00 00 51 E5 74 64 06 00 00 00 00 00 00 00 00 00 00 00 ........Q.td............
00000168 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ........................
00000180 00 00 00 00 00 00 00 00 08 00 00 00 00 00 00 00 80 15 04 65 00 2A 00 00 ...................e.*..
00000198 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ........................
000001B0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 08 00 00 00 00 00 00 00 ........................
000001C8 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ........................
000001E0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ........................
000001F8 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00 01 00 00 00 ........................
00000210 06 00 00 00 00 00 00 00 00 10 40 00 00 00 00 00 00 10 00 00 00 00 00 00 ..........@.............
00000228 2A 6C 1E 00 00 00 00 00 00 00 00 00 00 00 00 00 20 00 00 00 00 00 00 00 *l.............. .......
00000240 00 00 00 00 00 00 00 00 6A 00 00 00 01 00 00 00 02 00 00 00 00 00 00 00 ........j...............
00000258 00 80 5E 00 00 00 00 00 00 80 1E 00 00 00 00 00 49 8A 0B 00 00 00 00 00 ..^.............I.......
00000270 00 00 00 00 00 00 00 00 20 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ........ ...............
"main" 6071722 bytes

只要是 Linux 可以執行的程式碼，前面 4 個 byte，一定是 7F 45 4C 46 ( 16 進位 )，以文字來表示的話就是 .ELF
如果要做駭客，看懂機械碼是基本功
游標可以上下移動，是因為可以直接修改機械碼
機械碼要看懂還有一個條件，要會寫組合語言
如果要突破軟體搭配硬體才可以跑，但軟體很貴，可以找到 jump 的機械碼，把它加進去，讓檢查的步驟跳過，就可以避開硬體的檢查
執行檔格式 - ELF 介紹連結
Bvi Quick Tutorial 連結

離開bvi編輯器

:q

練習

那些使用者可以執行 ./main 程式 ? (請實作証明)

bigred@alp:~$ dir
total 40K
drwxr-sr-x 7 bigred bigred 4.0K May 17 15:29 .
drwxr-xr-x 4 root root 4.0K Jul 10 2021 ..
-rw------- 1 bigred bigred 1.8K May 17 14:17 .bash_history
drwxr-sr-x 3 bigred bigred 4.0K May 17 15:29 .cache
-rw------- 1 bigred bigred 7 Feb 17 10:09 .python_history
drwx--S--- 2 bigred bigred 4.0K Jan 9 18:00 .ssh
drwxr-sr-x 2 bigred bigred 4.0K Oct 6 2021 bin
drwxr-sr-x 3 bigred bigred 4.0K May 17 15:29 go
drwxr-sr-x 2 bigred bigred 4.0K May 17 15:29 mygo
-rwxr-xr-x 1 bigred bigred 63 May 17 15:21 mysleep.sh
bigred@alp:~/mygo$ dir
total 5.9M
drwxr-sr-x 2 bigred bigred 4.0K May 17 15:29 .
drwxr-sr-x 7 bigred bigred 4.0K May 17 15:29 ..
-rwxr-xr-x 1 bigred bigred 5.8M May 17 15:29 main
-rw-r--r-- 1 bigred bigred 228 May 17 15:29 main.go

所有人

設定 main 只允許擁有者可執行

bigred@alp:~$ sudo chmod 700 /home/bigred/mygo/main
bigred@alp:~$ dir mygo
total 5.9M
drwxr-sr-x 2 bigred bigred 4.0K May 17 15:29 .
drwxr-sr-x 7 bigred bigred 4.0K May 17 15:29 ..
-rwxr--r-- 1 bigred bigred 5.8M May 17 15:29 main
-rw-r--r-- 1 bigred bigred 228 May 17 15:29 main.go

Write Once Run Anywhere - Java Program

Write Once Run Anywhere 程式在 Linux 寫，在 Windows 也可以執行

當我們寫一隻 Java 的程式（*.Java），系統要執行它之前，會先將我們寫好的程式透過一個編譯器將程式碼轉換成 bytecode(*.class)，而 JVM(Java vitual machine) 會將 bytecode 再轉換成 machine code，就可以達到在不同作業系統都可以執行 Java 程式
JVM 由 C 語言寫的，它的特性是會咬住它所在的作業系統，而這個 JVM 就是課程之前練習裝過的 jdk-8，只要作業系統可以安裝 JVM，就可以讓我們在不同的作業系統執行 Java 程式。

# 建立工作目錄
$ cd ~; mkdir myjava; cd myjava
# coding java program
$ echo $'public class ReverNum {
> public static void main(String[] args) {
>
> int num = 1234, reversed = 0;
> while(num != 0) {
> int digit = num % 10;
> reversed = reversed * 10 + digit;
> num /= 10;
> }
>
> System.out.println("Reversed Number: " + reversed);
> }
> }'> ReverNum.java
# 將我們寫好的程式碼編譯成 byte code
$ javac ReverNum.java
$ dir
total 16K
drwxr-sr-x 2 bigred bigred 4.0K May 18 10:14 .
drwxr-sr-x 8 bigred bigred 4.0K May 18 10:13 ..
-rw-r--r-- 1 bigred bigred 714 May 18 10:14 ReverNum.class
-rw-r--r-- 1 bigred bigred 278 May 18 10:14 ReverNum.java
# 這邊的Java就是JVM，注意檔名不能加.class
$ java ReverNum
Reversed Number: 4321

討論

Is Python interpreted or compiled ?
- 答案網站連結，與 Java 語言的運作模式類似
Python 它兩種都可以
- 使用 CPython 標準開發時為 interpeterd
- 使用 PVM 標準開發時，與 Java 相同為 Compilerd

事實上應該要問 Python 有幾種運作模式 Stack Overflow 這個網站非常具有權威

Process 程序

Process 就是運作中的程式，分為兩種

前景執行的應用程序
背景執行的程序

當我們在系統裡面執行程式，電腦會把程式載入記憶體，而這時候記憶體裡面會有程式的 PID 和執行者的權限屬性（UID或GID），還有程序的程式碼（machine code）和相關資料

檔案的特殊權限 (SUID, SGID, Sticky)

SUID(4): 執行檔案時，Process 的 UID 為檔案擁有者，而非檔案執行者
SGID(2): 執行檔案時，Process 的 GID 為檔案的群組，而非依檔案執行者的群組
Sticky(1): 設定目錄，每個使用者可以創建/刪除自己的檔案，但無法刪除別人創建的檔案

setuid 功能對 bash script 無效，也就是說對於 interpeter 是無效的

setuid with bash script can become effective ?

# 編輯一支程式
$ nano md.sh
#!/bin/bash
mkdir /test
# 程序被賦予的權限，是根據執行者的權限參數（UID GID）來決定，
# 所以當執行者沒有對應的執行權限，程式就會無法進行對應的指令操作
$ ./md.sh
mkdir: cannot create directory ‘/test’: Permission denied
# 命令前面加 sudo，代表現在是由 root 的權限在執行程式
$ sudo /home/bigred/md.sh

==程式在跑時一定會用執行者的權限參數（UID GID）去執行==

更改 md.sh 的擁有者為 : root

$ ls -l md.sh
-rwxr-xr-x 1 bigred bigred 24 May 18 11:25 md.sh
$ sudo chown root:bigred md.sh
$ ls -l md.sh
-rwxr-xr-x 1 root bigred 24 May 18 11:25 md.sh

請問 bigred 可以執行 md.sh 嗎？

$ ./md.sh
mkdir: cannot create directory ‘/test’: Permission denied

答：可以，但不會成功，因為執行者是 bigred，他的權限參數不足

再度更改權限

4 代表 set uid，通常設在執行檔，一概用程式的 owner 去執行，但 bash script 裡面無法用 set uid

$ sudo chmod 4755 md.sh
$ ls -al md.sh
-rwsr-xr-x 1 root bigred 24 May 18 11:25 md.sh
$ stat md.sh
File: md.sh
Size: 24 Blocks: 8 IO Block: 4096 regular file
Device: 8,3 Inode: 25953103 Links: 1
Access: (4755/-rwsr-xr-x) Uid: ( 0/ root) Gid: ( 1000/ bigred)
Access: 2022-05-18 13:06:13.239195839 +0800
Modify: 2022-05-18 11:25:33.183472747 +0800
Change: 2022-05-18 13:15:08.666097079 +0800
Birth: -

提問：為何 rbean 這位一般使用者可以執行 `ls -al /etc/shadow`

# 透過 ls 顯示 /etc/shadow 的檔案資訊
rbean@alp:~$ ls -al /etc/shadow
-rw-r----- 1 root shadow 906 May 18 09:30 /etc/shadow

# 透過 stat 顯示 /etc/shadow 的檔案資訊
rbean@alp:~$ stat /etc/shadow
 File: /etc/shadow
 Size: 906 Blocks: 8 IO Block: 4096 regular file
Device: 8,3 Inode: 19267677 Links: 1
Access: (0640/-rw-r-----) Uid: ( 0/ root) Gid: ( 42/ shadow)
Access: 2022-05-18 09:30:41.193045223 +0800
Modify: 2022-05-18 09:30:03.713243333 +0800
Change: 2022-05-18 09:30:03.713243333 +0800
 Birth: -

stat，gives information about the file and filesystem.
Usage : stat --options filenames

答：因為 /etc 的目錄在權限屬性上的其他人是 r-x，代表可以看到目錄裡的內容

bigred@alp:~$ ls -al / | grep etc
drwxr-xr-x 42 root root 4096 May 18 13:30 etc

rbean 不能看到檔案內容

rbean@alp:~$ cat /etc/shadow
cat: /etc/shadow: Permission denied

修改 rbean 使用者的密碼

rbean@alp:~$ passwd rbean
Changing password for rbean
Old password:
New password:
Retype password:
passwd: password for rbean changed by rbean

提問：為何 rbean 看不到密碼檔（/etc/shadow），但卻可以更改自己的密碼？答：我們的 passwd 這個 program 的執行檔（/bin/bbsuid）有設定 s 的權限，代表 setuid，數字為 4，當我們執行這個程式，系統在記憶體裡執行這個 process 時，執行者的 uid 是這個 program 的 owner，但注意，此功能不適用 bash script。

$ which passwd
/usr/bin/passwd
$ ls -l /usr/bin/passwd
lrwxrwxrwx 1 root root 11 May 17 15:49 /usr/bin/passwd -> /bin/bbsuid
$ ls -l /bin/bbsuid
---s--x--x 1 root root 14200 Apr 4 18:19 /bin/bbsuid

改造無敵貓

檢查 cat 的執行檔在哪，他的 owner 是誰

$ which cat
/usr/bin/cat

$ ls -l /usr/bin/cat
-rwxr-xr-x 1 root root 43416 Sep 5 2019 /usr/bin/cat

$ stat /usr/bin/cat
 File: /usr/bin/cat
 Size: 43416 Blocks: 88 IO Block: 4096 regular file
Device: 801h/2049d Inode: 1583 Links: 1
Access: (0755/-rwxr-xr-x) Uid: ( 0/ root) Gid: ( 0/ root)
Access: 2022-05-18 06:21:53.210823732 +0000
Modify: 2019-09-05 10:38:40.000000000 +0000
Change: 2022-04-19 19:34:46.435775857 +0000
 Birth: -

將 cat 設定 setuid 的功能

$ sudo chmod 4755 /usr/bin/cat

# 檢查
$ stat /usr/bin/cat
 File: /usr/bin/cat
 Size: 43416 Blocks: 88 IO Block: 4096 regular file
Device: 801h/2049d Inode: 1583 Links: 1
Access: (4755/-rwsr-xr-x) Uid: ( 0/ root) Gid: ( 0/ root)
Access: 2022-05-18 06:21:53.210823732 +0000
Modify: 2019-09-05 10:38:40.000000000 +0000
Change: 2022-05-18 06:50:08.981085444 +0000
 Birth: -

改造無敵貓成功

$ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
...

ping 指令

$ which ping
/bin/ping

$ ls -l /bin/ping
-rwsr-xr-x 1 root root 64120 Jul 24 2021 /bin/ping

$ stat /bin/ping
 File: /bin/ping
 Size: 64120 Blocks: 128 IO Block: 4096 regular file
Device: 8,3 Inode: 23330906 Links: 1
Access: (4755/-rwsr-xr-x) Uid: ( 0/ root) Gid: ( 0/ root)
Access: 2022-05-16 17:47:14.463395952 +0800
Modify: 2021-07-24 03:58:27.000000000 +0800
Change: 2021-11-27 20:36:50.420444522 +0800
 Birth: -

ping 指令會用到 icmp 封包相關功能，這件事只有 root 能做，因為有設定 setuid 所以任何使用者都可以直接使用 ping 指令

Linux 程序管理

顯示程序資訊

條列式顯示所有程序

$ ps -eaf | head -n 1; ps -eaf | tail -n 15
UID PID PPID C STIME TTY TIME CMD
root 4033 3779 0 10:15 ? 00:00:00 sshd: bigred [priv]
bigred 4046 4033 0 10:16 ? 00:00:00 sshd: bigred@pts/0
bigred 4047 4046 0 10:16 pts/0 00:00:00 -bash
root 6428 2 0 10:54 ? 00:00:42 [kworker/1:0-events]
root 8604 3779 0 11:23 ? 00:00:00 sshd: rbean [priv]
rbean 8608 8604 0 11:23 ? 00:00:00 sshd: rbean@pts/1
rbean 8609 8608 0 11:23 pts/1 00:00:00 -bash
root 9097 3779 0 11:30 ? 00:00:00 sshd: gbean [priv]
gbean 9101 9097 0 11:30 ? 00:00:00 sshd: gbean@pts/2
gbean 9102 9101 0 11:30 pts/2 00:00:00 -bash
root 21898 2 0 14:46 ? 00:00:00 [kworker/u256:1-events_unbound]
root 22292 2 0 14:53 ? 00:00:00 [kworker/u256:2-events_unbound]
root 22621 2 0 14:58 ? 00:00:00 [kworker/u256:0-events_unbound]
bigred 22660 4047 0 14:59 pts/0 00:00:00 ps -eaf
bigred 22661 4047 0 14:59 pts/0 00:00:00 tail -n 1

ps ，processes status
-eaf ， list all current processes

顯示背景程序資訊

依照 CPU 使用量，從大到小排序程序

$ timeout 20s yes >/dev/null &

timeout ，Start COMMAND, and kill it if still running after DURATION
timeout 20s ，20 秒後結束 yes 的程式
yes 命令的特性，能用多少 CPU 就用多少
>/dev/null ，把標準輸出 ( STDOUT ) 重導到黑洞裝置
&，把程序推到背景執行

$ ps -eo user,pid,cmd,%mem,%cpu --sort=-%cpu | head -n 3
USER PID CMD %MEM %CPU
bigred 95970 yes 0.0 103
root 512 [kworker/1:2-events] 0.0 0.1

ps ，processes status
-e ，輸出所有程序的資訊
-o ，指定輸出欄位，後面接所有想要輸出的欄位名稱，這裡我們讓 ps 輸出以下幾個欄位：
- PID：程序 ID（process ID）。
- CMD：程式名稱。
- %MEM：記憶體使用量（百分比）。
- %CPU：CPU 使用量（百分比）。
--sort ，預設由小到大，在欄位名稱前加上減號(-)，表示由大到小
|，上一個命令的輸出作為輸入傳遞給下一個命令。
| head -n 3 ，透過 pipe 將左邊命令輸出作為輸入傳遞給 head 命令，來篩選 CPU 用最兇猛的前兩個 process 。
What is the difference between “Redirection” and “Pipe”? 連結

依照 Memory 使用量，從大到小排序程序

$ cat /dev/zero

上面這個指令，會一直在螢幕上輸出 ASCll code 0 的數字，它代表的是 null，空值，所以螢幕上看不到，直到按 Ctrl + c 終止
Null（或Nul）也是一個零值 ASCII 字符，通常用於終止文件中的行尾
Null String 是計算機編程中長度為零的字符串變量。
NULL 指針在計算機編程中用於表示尚未初始化或只是空的值。
在電腦中儲存時也要使用二進位數來表示，而具體用哪些二進位數字表示哪個符號，這就是編碼。如果不同的電腦要想互相通信而不造成混亂，那麼每台電腦就必須使用相同的編碼規則，就出現了 ASCII 編碼。

資料來源連結

$ (cat /dev/zero | head -c 500m | tail) &
[1] 96961
$ ps -eo user,pid,cmd,%mem,%cpu --sort=-%mem | head -n 3
USER PID CMD %MEM %CPU
bigred 96964 tail 29.2 51.1
root 74943 sshd: rbean [priv] 0.1 0.0

head -c ，print the first NUM bytes of each file
tail ，會霸佔記憶體 500 mb 的資料量
輸出 ASCll code 0 的數字總共 500 mb，然後輸出的結果會丟給 tail，tail 會再幫我們把結果丟到記憶體中，最後把以上的程序都推到背景去執行。

以樹狀顯示程序資訊

$ pstree -ph
pstree: unrecognized option: h
BusyBox v1.34.1 (2022-04-04 10:19:27 UTC) multi-call binary.

Usage: pstree [-p] [PID|USER]

Display process tree, optionally start from USER or PID

 -p Show pids

因一開始的 pstree 是由 busybox 執行，在功能上來說是簡易型的，如果要安裝全功能的，要自行安裝該套件

$ sudo apk add pstree

安裝好後，下 pstree -h，-h 為安裝手冊的意思，可以看到功能比較完整

pstree -g 3，輸出時用 utf-8 的圖形 ( 樹狀的線 )

$ pstree -g 3
# 天字第一號老祖宗 /sbin/init
─┬= 00001 root /sbin/init
├──= 03186 root /sbin/getty 38400 tty6
├──= 03185 root /sbin/getty 38400 tty5
├──= 03184 root /sbin/getty 38400 tty4
├──= 03182 root /sbin/getty 38400 tty3
├──= 03180 root /sbin/getty 38400 tty2
# 03178 是 pid，root 為 uid，/bin/login 為程序名，
# -f 是登入時不進行身份認證，代表自動登入，使用 tty1 本機終端機
├─┬= 03178 root /bin/login -f bigred
# bigred 帳號執行重裝貝殼程式
│ └─┬= 03187 bigred -bash
# 利用 dialog 顯示硬體和網路規格
# --title，標題
# --textbox，後面接檔案 高度 寬度
│ └─── 03242 bigred dialog --title Cloud Native Trainer --textbox /tmp/sinfo 24 85
# 啟動 OpenSSH Server
├─┬─ 03091 root sshd: /usr/sbin/sshd [listener] 0 of 10-100 startups
# 記錄 bigred 使用者連接時跑的 process
│ ├─┬= 88863 root sshd: bigred [priv]
│ │ └─┬─ 88867 bigred sshd: bigred@pts/0
│ │ └─┬= 88868 bigred -bash
│ │ └──= 31291 bigred pstree -g 3
# 記錄 rbean 使用者連接時跑的 process
│ └─┬= 31250 root sshd: rbean [priv]
# pts 代表，系統幫我們準備遠端終端機
│ └─┬─ 31266 rbean sshd: rbean@pts/1
# 啟動貝殼程式
│ └──= 31267 rbean -bash
# crond 排程器，定期執行命令或指定程式的服務的一種服務或軟體。
├──= 03053 root /usr/sbin/crond -c /etc/crontabs
# 啟動 chrony 時間校正器
├─── 03025 chrony /usr/sbin/chronyd -f /etc/chrony/chrony.conf
# 備用電源程式 ups，如果突然斷電，系統會判定是否要正常關機，acpid 會提供前面的功能
├──= 02918 root /sbin/acpid
# 啟動 log 記錄功能
├──= 02867 root /sbin/syslogd -t
# dhcp client ，這個 process 會跟 網路上的 DHCP Server 要一個 IP 。
├──= 02831 root /sbin/udhcpc -b -R -p /var/run/udhcpc.eth0.pid -i eth0 -x hostname:alp
└──= 02714 root /sbin/udevd

dialog ，可以在 Terminal 上快速建立圖形交互介面的工具
- --title <title> ，設定標題
- --textbox ，設定要顯示文字內容的檔案，以及高度和寬度
- dialog 使用教學連結

$ ps aux | grep sshd
# /usr/sbin/sshd 這支程序代表 OpenSSH Server有啟動
root 3091 0.0 0.1 4468 2104 ? S May17 0:00 sshd: /usr/sbin/sshd [listener] 0 of 10-100 startups
root 31250 0.0 0.1 4488 3696 ? Ss 09:29 0:00 sshd: rbean [priv]
rbean 31266 0.0 0.1 4424 2632 ? S 09:29 0:00 sshd: rbean@pts/1
bigred 31308 0.0 0.0 1584 804 pts/0 S+ 09:29 0:00 grep sshd
root 88863 0.0 0.1 4488 3688 ? Ss May18 0:00 sshd: bigred [priv]
bigred 88867 0.1 0.1 4688 2864 ? S May18 2:20 sshd: bigred@pts/0

子程序與父程序

$ nano parent.sh
#!/bin/sh
echo "parent.sh running"
./child.sh
$ nano child.sh
#!/bin/sh
## -o，指定輸出欄位。comm，command欄位。-p，查詢pid。PPID，父項程序的PID
parent="$(ps -o comm= -p $PPID)"
if [ "$parent" != parent.sh ]; then
echo this script should be directly executed by parent.sh, not by $parent
exit 1
fi
echo "child.sh proceeding"

PPID，父程序的pid
bigred@alp:~/mygo$ echo $PPID
88867
$$ ，程序本身的pid
bigred@alp:~/mygo$ echo $$
88868
bigred@alp:~/mygo$ pstree
| | \-+- 88867 bigred sshd: bigred@pts/0
| | \-+= 88868 bigred -bash

bigred@alp:~$ nano other.sh
#!/bin/sh
echo other.sh running
./child.sh
bigred@alp:~$ chmod +x other.sh
bigred@alp:~$ ./other.sh
other.sh running
this script should be directly executed by parent.sh, not by other.sh

研究 GCP 上 Ubuntu Linux 的父子程序

Ubuntu Linux 啟動的 daemon 一定比 Alpine linux 還多，因為啟動的功能比較多所以功能比較強大

daemon 背景執行程序。
Ubuntu linux 第一支程式是systemd

查看 pstree 的結構

sreantony@datacenter:~$ pstree -A -sp
systemd(1)-+-accounts-daemon(488)-+-{accounts-daemon}(490)
| `-{accounts-daemon}(509)
...
|-sshd(730)---sshd(868)---sshd(967)---bash(968)---pstree(1308)
|-systemd(871)---(sd-pam)(872)
|-systemd-journal(171)
|-systemd-logind(824)
|-systemd-network(450)
|-systemd-resolve(454)
|-systemd-udevd(201)
`-unattended-upgr(712)---{unattended-upgr}(718)

pstree 參數說明
-p ，Show PIDs. PIDs are shown as decimal numbers in parentheses after each process name. -p implicitly disables comes after each process name. -p implicitly disables compaction.
-s ，Show parent processes of the specified process.

程序與環境變數

$ nano doecho.sh
#!/bin/sh
PLACE=Hollywood
echo "doecho says Hello " $PLACE
$ chmod +x doecho.sh
$ ./doecho.sh
doecho says Hello Hollywood
$ nano echoplace.sh
#!/bin/sh
echo "echoplace says Hello " $PLACE
$ chmod +x echoplace.sh

無法顯示 $PLACE

$ ./echoplace.sh
echoplace says Hello

再度修改，讓 echoplace.sh 變 doecho.sh 的子程式

$ nano doecho.sh
#!/bin/sh
PLACE=Hollywood
echo "doecho says Hello " $PLACE
./echoplace.sh

還是沒有顯示

$ ./doecho.sh
doecho says Hello Hollywood
echoplace says Hello

export 變數

$ nano doecho.sh
#!/bin/sh
export PLACE=Hollywood
echo "doecho says Hello " $PLACE
./echoplace.sh

成功在子程式顯示父程式的變數

$ ./doecho.sh
doecho says Hello Hollywood
echoplace says Hello Hollywood

程序的中斷信號

$ nano sleep30.sh
#!/bin/bash
trap "echo signal received!" SIGINT
echo "The script pid is $$"
sleep 30

SIGINT 是 Linux 系統裡面的 Ctrl +C 的代號
trap 是一個 shell 內建命令，它用來在腳本中指定信號如何處理。比如，按 Ctrl+C 會使腳本終止執行，實際上系統發送了 SIGINT 信號給腳本進程，SIGINT 信號的默認處理方式就是退出程式。如果要在 Ctrl+C 不退出程式，那麼就得使用 trap 命令來指定一下 SIGINT 的處理方式了。

執行

$ ./sleep30.sh
The script pid is 39967
^Csignal received!

撰寫永不停止程式

$ nano nostop.sh
#!/bin/bash
# trap ctrl-c and call ctrl_c()
trap ctrl_c INT
function ctrl_c() {
echo -e "\n** Trapped CTRL-C"
# 下式顯示游標
tput cnorm
exit 0
}
clear
# 下式隱藏游標
tput civis
while [ 1 ]
do
echo -ne "\033[10;10f Hi nobody : "
date
done

INT 就是 SIGINT 的簡寫

執行 nostop.sh 程式

$ chmod +x nostop.sh
$ ./nostop.sh
./nostop.sh: line 14: tput: command not found
Hi nobody : ^Ce Jul 20 16:26:48 CST 2021
** Trapped CTRL-C
[註] 直接中斷程式, 按 ctrl+c 複合鍵, 中斷程式執行

安裝 tput 命令

$ sudo apk add ncurses

執行

$ ./nostop.sh

output :


Hi nobody : Thu May 19 12:59:00 CST 2022

程序的暫停與中斷

執行 nostop.sh 程式

$ ./nostop.sh

按 Ctrl +Z 暫停，並推到背景休息

[1]+ Stopped ./nostop.sh

打bg，background 的意思

bigred@alp:~$ bg
[1]+ ./nostop.sh &

會出事，不要打bg

打fg會讓程式繼續在情景執行，按 Ctrl +C 中斷

$ fg
./nostop.sh
Thu Jul 22 18:06:45 CST 2021
Hi nobody : ^Cu Jul 22 18:06:57 CST 2021

前景與背景程序

前景

A process that connects to the terminal is called a foreground job. A job is said to be in the foreground because it can communicate with the user via the screen and the keyboard.

背景

On the other hand, a process that disconnects from the terminal and cannot communicate with the user is called a background job.

背景執行程序

撰寫永不停止程式 ( 輸出數字到 /tmp/counter 檔 )

$ nano nostop01.sh
c=0; echo "" > /tmp/counter
while [ true ]
do
echo "$c" >> /tmp/counter
let "c=$c+1"
done
$ chmod +x nostop01.sh

c=0; echo "" > /tmp/counter ，宣告變數 c = 0，然後將一個換行符號重導到 /tmp/cunter 這個檔案中
while [ true ] ，條件式永遠成立，所以迴圈會一直被執行
echo "$c" >> /tmp/counter ，將變數 c append 到 /tmp/cunter 這個檔案中
let "c=$c+1" ，宣告變數 c 會等於變數 c + 1，所以迴圈跑一次，變數 c 就會 + 1
程式第一行沒宣告 #!/bin/bash 的話，推背景執行程式時，打ps -eaf | head -n 1; ps -eaf | tail -n 15 去看會發現 pid 對應的 command 只會顯示 -bash ，所以這行一定要打

直接背景執行命令

bigred@alp:~$ ./nostop01.sh &
[1] 85764 ## PID

檢查程式有沒有執行

bigred@alp:~$ tail -n 2 /tmp/counter
1374701
1374702
bigred@alp:~$ tail -n 2 /tmp/counter
2411603
2411604

移除背景程序

# 強迫停止程序
bigred@alp:~$ kill -9 85764
# 送出正常關機信號(15) 給 pid 2552
$ kill -15 25515
bigred@alp:~$ tail -n 2 /tmp/counter
6320287
6320288
[1]+ Killed ./nostop01.sh
bigred@alp:~$ tail -n 2 /tmp/counter
6320287
6320288

如果使用前景執行，按 Ctrl +Z 暫停

bigred@alp:~$ ./nostop01.sh
^Z
[1]+ Stopped ./nostop01.sh

檢查真的沒在跑了

bigred@alp:~$ tail -n 2 /tmp/counter
311454
311455
bigred@alp:~$ tail -n 1 /tmp/counter
311455

按bg，讓他在背景繼續執行

bigred@alp:~$ bg
[1]+ ./nostop01.sh &

再次檢查

bigred@alp:~$ tail -n 3 /tmp/counter
4977563
4977564
4977565

真的有在跑！

如果再打fg

bigred@alp:~$ fg
./nostop01.sh

前端的游標會被佔用，如果想暫停就按 Ctrl +Z，如果不想跑了就按 Ctrl +C。

背景執行程序範例二

$ sudo mkdir -p /opt/www; echo "<h1>go out</h1>" | sudo tee /opt/www/index.html

$ httpd
2021/04/20 22:57:16 Serving /opt/www/ on HTTP port: 8888
^C

$ httpd &
[1] 14527

httpd ，is the Apache HyperText Transfer Protocol (HTTP) server program.
Usage of httpd:
- -d string the directory of static file to host (default “/opt/www/”)
- -p string port to serve on (default “8888”)

透過 netstat 看網站開的 port : 8888

$ netstat -anp

netstat ，network statistics
用於故障排除和配置的網絡工具，也可以作為網絡連接的監控工具。
-a ，To list all listening ports, using both TCP and UDP
-n ，Don’t resolve names
-p ，Displaying service name with their PID number

output :

netstat: showing only processes with your user ID
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN -
tcp 0 0 192.168.61.131:22 192.168.61.1:50895 ESTABLISHED -
tcp 0 0 192.168.61.131:22 192.168.61.1:50900 ESTABLISHED -
tcp 0 0 192.168.61.131:22 192.168.61.1:50868 ESTABLISHED -
tcp 0 0 :::8888 :::* LISTEN 28980/httpd
tcp 0 0 :::22 :::* LISTEN -
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags Type State I-Node PID/Program name Path
unix 2 [ ACC ] SEQPACKET LISTENING 20611 - /run/udev/control
unix 2 [ ] DGRAM 20734 - /var/run/chrony/chronyd.sock
unix 4 [ ] DGRAM CONNECTED 19786 - /dev/log
unix 3 [ ] STREAM CONNECTED 30218 -
unix 3 [ ] STREAM CONNECTED 29713 -
unix 3 [ ] STREAM CONNECTED 30219 -
unix 2 [ ] STREAM CONNECTED 30214 -
unix 3 [ ] STREAM CONNECTED 29714 -
unix 2 [ ] DGRAM CONNECTED 19871 -
unix 3 [ ] DGRAM CONNECTED 20615 -
unix 3 [ ] STREAM CONNECTED 20147 -
unix 2 [ ] STREAM CONNECTED 29708 -
unix 3 [ ] DGRAM CONNECTED 20616 -
unix 2 [ ] STREAM CONNECTED 20133 -
unix 2 [ ] DGRAM CONNECTED 20730 -
unix 3 [ ] STREAM CONNECTED 20148

用 curl 來連連看網站

$ curl http://localhost:8888
<h1>go out</h1>

curl，Client URL 的縮寫
curl [options/URLs]
支持通過各種網絡協議進行數據傳輸。它通過指定相關的 URL 和需要發送或接收的數據與 Web 或應用程序服務器進行通信。

程序與環境變數

# 顯示系統中的環境變數
$ env
SHELL=/bin/bash
CHARSET=UTF-8
PWD=/home/bigred
LOGNAME=bigred
GWIF=eth0
HOME=/home/bigred
LANG=C.UTF-8
GW=192.168.61.2
SSH_CONNECTION=192.168.61.1 51910 192.168.61.131 22
NETID=192.168.61
IP=192.168.61.131
TERM=xterm-256color
USER=bigred
SHLVL=1
PAGER=less
PS1=\u@\h:\w$
SSH_CLIENT=192.168.61.1 51910 22
LC_COLLATE=C
PATH=/home/bigred/bin:/home/bigred/vmalpdt/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
MAIL=/var/mail/bigred
SSH_TTY=/dev/pts/0
_=/usr/bin/env

/etc/profile ，只要在 Linux 系統登入成功，第一個被執行的程式，不管是用 SSH 命令登入，還是其他登入方法，只要登入成功，就會執行 /etc/profile 這支程式
export ，宣告全域變數

解析老師的 /etc/profile

# Alpine 的啟動系統是 openrc, 登入前會執行 /etc/local.d/rc.local.start, 登入後會執行 /etc/profile
gw=$(route -n | grep -e "^0.0.0.0 ")
export GWIF=${gw##* }
ips=$(ifconfig $GWIF | grep 'inet ')
export IP=$(echo $ips | cut -d' ' -f2 | cut -d':' -f2)
export NETID=${IP%.*}
export GW=$(route -n | grep -e '^0.0.0.0' | tr -s \ - | cut -d ' ' -f2)
export PATH="/home/bigred/bin:/home/bigred/vmalpdt/bin:$PATH"
# source /home/bigred/bin/myk3s
clear && sleep 2
echo "Welcome to Alpine Linux : `cat /etc/alpine-release`"
[ "$IP" != "" ] && echo "IP : $IP"
echo ""

gw=$(route -n | grep -e "^0.0.0.0 ") ，從不解析名字的路由表，找 Default Gateway
- route -n ，顯示不解析名字的路由表
- |，上一個命令的輸出作為輸入傳遞給下一個命令。
- grep -e ，指定字串作為查找檔內容的範本樣式
  - -e 的目的實際上只是為了消除正則表達式以破折號開頭的轉義。
- grep -e "^0.0.0.0 "，指定要 0.0.0.0 開頭的那一行
  - 0.0.0.0 ，表示所有 IPV4 的網際網路
- gw=$()，宣告變數 gw 等於括號裡的命令執行結果
- $ route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 0.0.0.0 192.168.61.2 0.0.0.0 UG 202 0 0 eth0 192.168.61.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
- 以上面路由規則來說，只要目的地 ( Destination ) 是 0.0.0.0 的封包，就會經由 eth0 這張網卡，將封包往 192.168.61.2 這個 Gateway 送
- 第二行 Gateway 的 0.0.0.0 ，代表沒有特別指定 Gateway ，會由 eth0 這張網卡，將封包往目的地 ( Destination )為 192.168.61.0 這個 Network ID 裡面的機器送
- output : 0.0.0.0 192.168.61.2 0.0.0.0 UG 202 0 0 eth0
export GWIF=${gw##* }，宣告會將封包往 Default Gateway 送的網卡設為環境變數
- ${變數##* } : 從頭開始刪除到最後一個空格(含)為止
- output : eth0

$ nano su
#!/bin/bash
if [ "$USER" != "" ]; then
echo "Hi $USER"
else
echo "Nobody"
fi
$ chmod +x su
$ ./su
Hi bigred
$ echo $PATH
/home/bigred/bin:/home/bigred/vmalpdt/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
$ which su
/bin/su
$ sudo mv su /usr/bin
$ which su
/usr/bin/su
$ su
Hi bigred
$ sudo mv /usr/bin/su ~/
$ which su
/bin/su

如何修改 PATH 系統環境變數 ?

小總結

Process

定義
- 運作中的 Program
運作流程
- 運作時會把程式的 PID、執行者的權限參數（UID和GID）和程序的程式碼（machine code）以及相關資料從硬碟載入記憶體去執行。
  - setuid 執行檔案時，Process 的 UID 為檔案擁有者，而非檔案執行者
程序管理
- ps 使用條列式清單查看執行中程序
- pstree 樹狀顯示程序資訊
- Ubuntu Linux 第一支程式為 systemd
- Alpine Linux 第一支程式為 /sbin/init
- 子程序中用到父程序的變數須在父程序宣告變數前加 export
運作介面
- 前景執行
- 背景執行，指令後面加 &
動作
- 可按 Ctrl +C 停止程序
- 可按 Ctrl +Z 暫停程序
  - fg 讓暫停的程式在前景恢復執行
  - bg 讓暫停的程式在背景恢復執行
環境變數
- $$，目前程序的 PID
- $0，目前程序的名稱
- $PPID，目前程序的父程序的 PID

tags: `系統工程`

Untitled

Tue, 09 Aug 2022 06:53:08 +0800

Raspberry Pi(樹梅派)

Mon, 08 Aug 2022 02:45:40 +0800

跟手掌一樣大的電腦。

用的是ARM的CPU(紅色箭頭指的地方)。

可以接鍵盤、滑鼠、行動電源、音源和螢幕。
結論: windows 也有推出 ARM 版，微軟也在走這條路，電腦正在微型化，這個趨勢是正在走的，未來到物聯網相關的公司去，很高機率會接觸到。

這是老師 2021 年的聖誕樹

K8S 能夠管理的設備，不是只有機房的伺服器，也可以是老師管理的聖誕樹(也就是一坨樹梅派)，落第雲值接連的就是樹梅派，一人連一台，它的空間就是一般辦公桌的一半大小，老師前幾年就是這樣上課，助教只要看哪台機器有沒有紅燈就可以了。

tags: `樹莓派`

User serach

Mon, 08 Aug 2022 01:16:06 +0800

#查詢帳號(search.sh)

#!/bin/bash`
`read -p "please enter UserID: " uid`
`cat /etc/passwd | cut -d":" -f1 |grep $uid &>/dev/null`
`[ $? = 0 ] && echo "user exist" || echo "user not found"

新增單一/多個帳號(useradd.sh)

#!/bin/bash
echo ' please choose you want add one User or more then two User
1.add one User
2.add two or more User
'
read -p "you want 1/2?" cho
case $cho in
1)
read -p "enter UserID " uid
cat /etc/passwd | cut -d ":" -f 1 |grep $uid &>/dev/null
[ "$?" = "0" ] && echo "UserID exist" && exit
sudo useradd -m -s /bin/bash $uid
echo $uid:$uid | sudo chpasswd
echo "UserID add ok"
;;
2)
read -p "enter UserID title: " tuid
read -p "enter number of User start: " st
read -p "enter number of User stop: " so
a=$st
b=$so
for((no=$a;no<=$b;no=no+1))
do
cat /etc/passwd | cut -d ":" -f 1 |grep $tuid$no &>/dev/null
[ "$?" != "0" ] && sudo useradd -m -s /bin/bash $tuid$no && echo $tuid$no:$$tuid$no | sudo chpasswd && echo "$tuid$no add ok" || echo "$tuid$no exist"
done
;;
*)
echo "please enter what you want to do "
return
;;
esac

刪除單一/多個帳號(userdel.sh)

#!/bin/bash
echo ' please choose you want delete one User or more then two User
1.delete one User
2.delete two or more User
'
read -p "you want 1/2?" cho
case $cho in
1)
read -p "enter delete UserID " uid
cat /etc/passwd | cut -d ":" -f 1 |grep $uid &>/dev/null
[ "$?" != "0" ] && echo "UserID not found" && exit 1
sudo userdel -r $uid &>/dev/null
echo "UserID del ok"
;;
2)
read -p "enter delete UserID title: " tuid
read -p "enter number of User start: " st
read -p "enter number of User stop: " so
a=$st
b=$so
for((no=$a;no<=$b;no=no+1))
do
cat /etc/passwd | cut -d ":" -f 1 |grep $tuid$no &>/dev/null
[ "$?" = "0" ] && sudo userdel -r $tuid$no &>/dev/null && echo "$tuid$no del ok" || echo "$tuid$no not found"
done
;;
*)
echo "please enter what you want to do "
;;
esac

修改單一/多個帳號的密碼(chpasswd.sh)

#!/bin/bash
echo ' please choose you want change one User passwd or more then two User passwd
1.change one User passwd
2.change two or more User passwd
'
read -p "you want 1/2?" cho
case $cho in
1)
read -p "enter UserID " uid
cat /etc/passwd | cut -d ":" -f 1 |grep $uid &>/dev/null
[ "$?" != "0" ] && echo "User not found" && exit 1
sudo passwd $uid
echo "User passwd change ok"
;;
2)
read -p "enter UserID title: " tuid
read -p "enter number of User start: " st
read -p "enter number of User stop: " so
a=$st
b=$so
for((no=$a;no<=$b;no=no+1))
do
cat /etc/passwd | cut -d ":" -f 1 |grep $tuid$no &>/dev/null
[ "$?" != "0" ] && echo "User not found" && exit 1
echo $tuid$no:$tuid$no | sudo chpasswd && echo "User passwd change ok"
done
;;
*)
echo "please enter what you want to do "
;;
esac

`Shell Script`

Process

Sun, 07 Aug 2022 14:59:26 +0800

Docker，這家公司的技術是2021年的電腦基礎概論(全球)，它推出了一個技術叫做"Container(貨櫃)"。

“Container” 是一台電腦，這個技術主要威脅到VM(virtual machine)虛擬技術，Container也是虛擬技術做出來的電腦，但它比VM輕量許多，且速度又快。
實體電腦一台可以做出很多很多的Container，管裡維運這堆Container的技術就是"Kubernetes"。

Kubernetes，這套系統是用來管理維運Docker，2021年的電腦基礎概論(全球)，由goolge公司設計。

提問:為何Kubernetes要管理那麼多台container，目的是甚麼? 因為可以用Kubernetes做出Hadoop，這是企業會實質會用到的系統。 Hadoop，大數據平台，做資料分析平的。

Spark，幫公司做出決策，做深度分析的，也就是 “machine learning” 機器學習，用的語言是python。

落第雲系統架構

Alpine Linux 作業系統

因為系統很小，所以執行效能一定高，資安等級相當的高，小到沒法破壞。

Linux 是由幾百萬行的程式碼組成的，主要的精神是可以 “客製化” 作業系統

lib=library=程式庫(儲存別人寫好的程式、套件)
busybox 容量只有800多K，卻可以模擬出很多 Linux 的指令， e.g. ping,rm,mv,ifconfig,ls
- busybox ls -alh ,其中 -h 為 human-readable ，把容量的部分轉成人類易讀的 (KB,MB等)
- 一般來說，alpine 的指令都會指向 /bin/busybox (除非有改過)，例如 /bin/cat 則會到 -> /bin/busybox

老師有自己換裝過，所以像是cat這個命令，在老師的環境裡，會指向/bin/coreutils，換裝個原因是因為busybox屬於簡易版的，因為要模擬出很多個命令，所以沒辦法做到非常專業，所以老師才會換裝到標準套件。 busybox可以模擬出很多linux的命令，可以打ls -al /bin | grep cat，就會看到那個命令後面有一個箭頭指向/bin/busybox

sudo apk update (apk = alpine package)更新最新的套件清單，sudo apk upgrade 將以安裝的套件去對照清單，然後更新，sudo apk add tree，可以強化alpine 的作業系統功能，少了那些功能就可以用add把它加進去
如果需要圖形介面可以使用 XWindow 其他 Linux 發行版也是用這個* sudo apk update 更新最新的套件清單，sudo apk upgrade 將以安裝的套件去對照清單，然後更新
alpine 這種輕量化的 OS 已經是未來趨勢，因為它的資安等級很高。

Alpine Linux 是一套由社群開發，以安全為導向的 Linux 作業系統，目前最新的版本 v3.13.4 在 2021-03-31 發布。跟一般的 Linux 發行版不一樣的地方是 Alpine 是使用 musl libc 和 busybox 來減少系統需求容量(5 MB )和執行消耗資源。比起其他輕量化 Image (如：Busybox，Image 大小為1.113MB)， Alpine 的優勢在於多了像是 apt 之於 Ubuntu 這樣的套件管理工具 apk ，官方提供了大量的套件供開發者使用，可以透過網站或者直接下 apk 指令進行查詢或者安裝。

Alpine 的 busybox 是 HardLink, 而不是 Softlink. Docker busybox image 沒有提供套件安裝平台

補充: musl libc musl，一種C標準函式庫，主要使用於以Linux核心為主的作業系統上，目標為嵌入式系統與行動裝置，採用MIT授權條款釋出。作者為瑞奇·費爾克（Rich Felker）。開發此庫的目的是寫一份乾淨、高效、符合標準的C標準庫。 Musl是從零開始設計的。一是希望讓靜態連結更高效；二是現有的C標準庫在一些極端條件下表現很糟糕，競態條件、資源不足時常常會出問題，而Musl試圖避免它們來達到較高的即時魯棒性。

Busybox BusyBox是一個遵循 GPL協定、以自由軟體形式發行的應用程式。Busybox在單一的可執行檔中提供了精簡的Unix工具集，可執行於多款 POSIX 環境的作業系統，例如 Linux（包括Android）、Hurd、FreeBSD 等等。由於BusyBox執行檔的檔案比較小，使得它非常適合使用於嵌入式系統。作者將BusyBox稱為「嵌入式Linux的瑞士軍刀」。

終端機的功能是甚麼? 終端機內執行的程式只為shell(貝殼程式)，提供input、output給主機，本身有螢幕(顯示結果)及鍵盤(輸入指令)，並無硬碟。

Linux 一開始就提供了多工的介面，達到協同作業，連接很多終端機 bash script 也是一種程式語言，熟bash script 月薪五萬以上!!

computer program

program 是一個檔案，要有執行權限才能執行，而程式的執行有兩種方式 :

interpreter(直譯式) ，把命令一行一行的執行下去
compiler(編譯式)，是把人類看得懂的程式轉成電腦看得的(011010 bin 檔) machine code 再執行

compiler和interpreter都會轉換成machine code，只是interpreter是一行一行的轉

shell script 的 interpreter 是由開頭的 #! 來指定(與python類似) ，如果是 bash script 就會指定 #!/bin/bash 來翻譯

什麼是computer program？

指令的集合aka程式，通常由程式設計師以某種程式設計語言編寫，指示電腦或其他具有訊息處理能力裝置每一步動作的指令，在系統中以 program=檔案的形式存在，其中包含數個指令，可以由電腦去依照指令執行特定動作，語言轉換方式分為compiler及interpreter。

開發 Golang 網站

Golang語言，有Ｃ語言的速度、python的簡潔和Ｊava的物件 Ｄocker和Kubernetes都是用Golang這個語言寫出來的內建支援多國語言

範例：

$ cd; mkdir mygo; cd mygo
$ echo 'package main
import (
"fmt"
"log"
"net/http"
)
func handler(w http.ResponseWriter, r *http.Request) { ##開頭的func是function的意思
fmt.Fprintln(w, "Hello, 世界")
}
func main() {
http.HandleFunc("/", handler)
log.Fatal(http.ListenAndServe(":8888", nil))
}' > main.go
$ CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -a main.go
## go build是compiler，他會把我們寫的看得懂的program（main.go）編譯成下行（main）我們看不懂的執行程式，也是個porgram
$ ./main

證明main.go是剛剛寫的program ⬇️ ，這個程式的功能主要是，啟動之後是個網站，到他的首頁後會出現"Hello, 世界"，還有做一個設定是port:8888

bigred@m1:~/mygo$ cat main.go
package main
import (
"fmt" ## 這是一個library
"log" ## 這是一個library
"net/http" ## 這是一個library
) ## import這個命令就是等下我的程式（下面的program）要使用"fmt"、"log"和"net/http"這三個library
func handler(w http.ResponseWriter, r *http.Request) {
fmt.Fprintln(w, "Hello, 世界")
}
func main() { ## main()是開始的程式，一開始成形的地方
http.HandleFunc("/", handler) ## 在go語言要啟動一個web server，就打一個"http."說網站的根（"/"）裡面要交給一個小程式handler
log.Fatal(http.ListenAndServe(":8888", nil)) ## 連接網路到一個ＩＰ位置去，除了ＩＰ位置以外，還要標示port number :8888

來看編譯後的執行檔，也是個program ⬇️

bigred@m1:~/mygo$ head -c 10 main ## 看main這個檔案前10個byte的資料
ELFbigred@m1:~/mygo$ ## bigred前面的ELF就是所謂的機械碼，因為很多碼在螢幕上是出現不了的，所以才顯示這樣

執行完"./main"後，再開一個CMD，連進m1，下指令 curl http://localhost:8888 也可以直接在windows系統裡面直接curl curl http://192.168.61.4:8888

練習

把"hello，世界"改成"imok"

第一步 nano main.go 把裡面的"hello，世界"改成"imok" Ｃtrl O 儲存，Ctrl X 離開

第二步再執行一次go buid這個compiler bigred@m1:~/mygo$ CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -a main.go 執行完compiler後，再執行./main

最後到新的CMD裡下curl http://192.168.61.4:8888

成功！以上就是compiler的程式設計．

Java Program

JAva語言製作跟執行的過成：

寫一個Java的program，這個原始程式是我們看得懂的，經過一個編譯器compiler，翻譯出來的叫做"byte code(位元碼)"，這個產生出來的byte code是人沒辦法直接閱讀的，是要丟給另一個程式Java virtual machine(JVM)讀的，JVM也是一個program，這個program會把剛剛產生的byte code讀進來，他來幫你翻譯成真正電腦看得懂的machine code，然後再去執行他

註：在windows作業系統裡面，要事先安裝JVM這個程式；在Linux作業系統裡面，也要安裝專屬於Linux的JVM程式;Mac OS作業系統裡面，也可以安裝專屬於Linux的JVM程式，由上圖可知，不同的作業系統，通通都有對應的JVM程式

提問：為何會有這種架構？答：我們寫Java程式，翻譯成byte code(它的副檔名是.class)，我們只要把這個動作做完，這個編譯過後的程式碼，就可以分別到Windows、Linux和Mac OS裡面跑，這就是Java厲害的地方，程式寫完，編譯一次，就可以在所有的作業系統裡面來做執行，Java它跨平台

Java是interpreter and compiler 的混合語言 前面編譯的過程是compiler，後面透過JVM的過程是interpreter(第一代的JVM呆呆地，把byte code一行一行慢慢讀，再轉換成machine code，這個過程就是interpreter，可是之後的JVM會把一批的byte code直接換成機械碼，內部自己做一個compiler的動作，就不是一行一行的)

撰寫與執行 Java 程式

第一步先撰寫一個Java程式

bigred@m1:~$ echo $'public class ReverNum {
> public static void main(String[] args) {
>
> int num = 1234, reversed = 0;
> while(num != 0) {
> int digit = num % 10;
> reversed = reversed * 10 + digit;
> num /= 10;
> }
>
> System.out.println("Reversed Number: " + reversed);
> }
> }'> ReverNum.java

第二步用Javac去編譯剛剛的程式

bigred@m1:~$ javac ReverNum.java
-bash: javac: command not found

發現錯誤提示：command not found後，用ls -al查看

bigred@m1:~$ ls -al /usr/lib/jvm/java-1.8-openjdk/bin/javac
-rwxr-xr-x 1 root root 14384 Oct 14 23:21 /usr/lib/jvm/java-1.8-openjdk/bin/javac

原因是因為javac這個命令不再環境變數裡面，看環境變數

bigred@m1:~$ echo $PATH
/home/bigred/bin:/home/bigred/dt/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

發現原本的環境變數裡面沒有/usr/lib/jvm/java-1.8-openjdk/bin/javac，用export加入環境變數

bigred@m1:~$ export PATH=/usr/lib/jvm/java-1.8-openjdk/bin/:$PATH
bigred@m1:~$ echo $PATH
/usr/lib/jvm/java-1.8-openjdk/bin/:/home/bigred/bin:/home/bigred/dt/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

再試一次用javac編譯一次

bigred@m1:~$ javac ReverNum.java
bigred@m1:~$ dir ReverNum.*
-rw-r--r-- 1 bigred bigred 714 Feb 22 17:15 ReverNum.class
-rw-r--r-- 1 bigred bigred 278 Feb 22 16:06 ReverNum.java

可以看到ReverNum.class，副檔名是.class代表成功編譯，可以下head再檢查

bigred@m1:~$ head -c 10 ReverNum.class
4,bigred@m1:~$

結果顯示"4,"，意思不是只有這樣，而是因為螢幕顯示不出來，編譯完的叫做byte code，它是給JVM讀的，注意JVM跟VM是完全不一樣的東西，JVM雖然是virtual machine，但跟VMWare做的VM的內部結構完全不同

最後用java（JVM）來執行這個程式，可以把 java 這個指令就當作是 JVM (讀取.class 檔案的 bytecode 並執行)

bigred@m1:~$ chmod +x ReverNum.class
bigred@m1:~$ java ReverNum
Reversed Number: 4321

這邊老師已經有先幫我們在Alpine上面下sudo apk add openjdk8這個命令，也就是說先下載了openjdk8這個壓縮檔，只要解壓縮後，就可以看到java(JVM)

Python

Is Python interpreted or compiled ?

認識Process

program 程式
- run 程式的必要條件:
  1. 使用者有權限
  2. 程式具有可執行的權限
process 程序
thread 執行序

Process (程序) 運作架構圖我們的的電腦裡面會放很多的process，這些process是由我們寫的program來的，process在記憶體裡面跑，一定有3個東西：

程式碼，電腦能夠讀的machine code
執行它的使用者基本資訊，而基本資訊裡有user id （使用者的代號，UID）…等
程序在跑，一定會有一個執行的代號，也就是PID

顯示程序（Process）資訊

條列式顯示所有程序 :

bigred@m1:~$ ps -eo user,pid,cmd,%mem,%cpu | head -n 5
USER PID CMD %MEM %CPU
root 1 /sbin/init 0.0 0.0
root 2 [kthreadd] 0.0 0.0
root 3 [rcu_gp] 0.0 0.0
root 4 [rcu_par_gp] 0.0 0.0

這裡的 -e 參數是代表輸出所有程序的資訊，而 -o 參數則是用來指定輸出欄位用的，後面接著所有想要輸出的欄位名稱，這裡我們讓 ps 輸出以下幾個欄位： pid：程序 ID（process ID）。 cmd：程式名稱。 %mem：記憶體使用量（百分比）。 %cpu：CPU 使用量（百分比）。 [註] 在 Alpine Linux 系統中 , 內定 ps 命令是由 busybox 執行, 如要執行全功能 ps 命令, 請執行 sudo apk add procps

依照 CPU 使用量，從大到小排序程序

bigred@m1:~$ timeout 60s yes >/dev/null & ## 讓yes這個程式60秒，再把一堆Ｙ丟到黑洞，並且&的意思是
把程式推到背景去執行，因為如果不推到背景去執行，終端機會沒辦法作業
[1] 67706
bigred@m1:~$ ps -eo user,pid,cmd,%mem,%cpu --sort=-%cpu | head -n 3
USER PID CMD %MEM %CPU
bigred 67707 yes 0.0 98.3
root 4135 kube-apiserver --advertise- 3.5 4.3

可以看到執行YES這個program的使用者是bigred，這時候會變成process，而它的的PID（執行代號）是67707，記憶體使用量是0％，CPU的使用量是98.3%

YES這個命令的應用是給cisco工程師使用的，他們在設定網路設備的時候會需要一直按YES，這時候就會需要這個指令

如何證明YES是一個檔案？

bigred@m1:~$ which yes
/usr/bin/yes
bigred@m1:~$ ls -al /usr/bin/yes
lrwxrwxrwx 1 root root 9 Nov 27 20:47 /usr/bin/yes -> coreutils

安裝完整功能的`pstree`

bigred@m1:~$ sudo apk add pstree
fetch http://dl-cdn.alpinelinux.org/alpine/latest-stable/main/x86_64/APKINDEX.tar.gz
fetch http://dl-cdn.alpinelinux.org/alpine/latest-stable/community/x86_64/APKINDEX.tar.gz
(1/1) Installing pstree (2.39-r1)
Executing busybox-1.34.1-r4.trigger
OK: 1692 MiB in 294 packages

以樹狀顯示Alpine Linux 程序資訊

bigred@m1:~$ pstree -g 3
─┬= 00001 root /sbin/init
├──= 03856 root /sbin/getty 38400 tty6
├──= 03852 root /sbin/getty 38400 tty5
├──= 03847 root /sbin/getty 38400 tty4
├──= 03843 root /sbin/getty 38400 tty3
├──= 03839 root /sbin/getty 38400 tty2
├─┬= 03837 root /bin/login -f bigred
│ └─┬= 03848 bigred -bash
│ └─── 03913 bigred dialog --title Cloud Native Trainer --textbox /tmp/sinfo 24 85
...以下省略

/sbin/init 是第一個啟動的程式，他的pid就是00001，由root做執行
- 提問：誰啟動/sbin/init這個程式？ Linux 的 kernel會幫我們啟動整個Linux系統裡面的第一個process
tty1（第一個終端機）在執行login(03837 root /bin/login -f bigred)，也就是登入的工作，接著
03848 bigred -bash貝殼程式啟動，接著
3913 bigred dialog --title Cloud Native Trainer --textbox /tmp/sinfo 24 85啟動

在老師的機器裡面，老師有設定login的檔案，讓它可以自動登入bigred
注意！在帳號密碼打完，shell程式啟動以後，第一個跑的程式其實是/etc/profile

bigred@m1:~$ tail -n 10 /etc/profile
alias kd='kubectl delete'
alias kc='kubectl create'
alias ks='kubectl get pods -n kube-system'
[ -f /home/bigred/dt/alpine.bash ] && source /home/bigred/dt/alpine.bash
# /etc/local.d/rc.local.start (相當於 rc.local) create /tmp/sinfo
if [ -z "$SSH_TTY" ]; then
[ -f /tmp/sinfo ] && dialog --title " Cloud Native Trainer " --textbox /tmp/sinfo 24 85; clear
fi

可以看到倒數第二行的" Cloud Native Trainer “，由此可知dialog是由/etc/profile這個program執行的，所以在alpine linux系統裡面，有很多使用者他們需要的變數或功能，老師都會把它寫在這個程式裡面。 /etc/profile就是bash script，只要帳號密碼一打成功，他就是第一個被執行的bash script程式，完了以後，它才會在跑道使用者的家目錄裡面，去執行.bashrc這個程式，一樣也是bash script程式

 bigred@m1:~$ pstree -g 3
...以上省略
├─┬─ 04039 root sshd: /usr/sbin/sshd [listener] 0 of 10-100 startups
│ └─┬= 04256 root sshd: bigred [priv]
│ └─┬─ 04262 bigred sshd: bigred@pts/0
│ └─┬= 04264 bigred -bash
│ └──= 88243 bigred pstree -g 3
...以下省略

我們在windows的CMD上面打，ssh bigred@192.168.61.4就是跟 04039 root sshd: ...省略這個openssh server做連接，

連接到以後，04256 root sshd: bigred [priv]會偵測到是bigred要登入進來

之後，04262 bigred sshd: bigred@pts/0會給一個遠端的虛擬終端機（pts）給bigred這個帳號使用，

進去終端機後，一樣會跑04264 bigred -bash這個貝殼程式

只要是linux系統的終端機，進去以後一定跑貝殼程式

只要我們的帳號有登入成功，在Alpine Linux的系統裡面，不管是在本機的終端機（tty）還是遠端虛擬的專端機（pts），進去以後一定都會去執行/etc/profile，某些公司裡特殊的shell例外

注意：要切換使用者還是重開一個CMD登入好，su切換使用者，環境變數跟資料會有缺失

2021/09/24 下午2:39繼續

tags: `Linux`

Windows Batch 程式設計

Sun, 07 Aug 2022 14:55:06 +0800

在 Windows 命令提示字元視窗, 編輯 vmstart.bat 及 vmstop.bat （notepad 就是記事本，用它來編輯批次檔 »> *.bat）編輯開機的批次檔

C:\Users\bigred>notepad vmstart.bat
@echo off
"C:\Program Files (x86)\VMware\VMware Player\vmrun" start "c:\alp.takoyaki\alp.takoyaki.vmx" 1>nul

1>null ，1代表一號裝置螢幕，把螢幕上資訊導入黑洞 Batch 預設會顯示 .bat 內含的指令內容，指令內容的顯示與指令執行的結果訊息兩者不同 @echo off ，要關閉內容顯示要使用 @echo off 放置於前方 vmrun路徑 “C:\Program Files (x86)\VMware\VMware Player\vmrun” 動作 start/stop/reset 虛擬機路徑 “c:\alp.takoyaki\alp.takoyaki.vmx”

編輯關機虛擬機器的批次檔

C:\Users\bigred>notepad vmstop.bat
@echo off
"C:\\Program Files (x86)\\VMware\\VMware Player\\vmrun" stop "c:\\alp.takoyaki\\alp.takoyaki.vmx" 1>nul

set 可以看到Ｗindows的環境變數只要是電腦，一定會有環境變數，所有的作業系統通通都有PATH環境變數

C:\Users\ybean>set
...
Path=C:\Program Files (x86)\VMware\VMware Player\bin\;C:\Program Files (x86)\Common Files\Oracle\Java\javapath;C:\Windows\system32;C:\Windows;C:\Windows\System32\Wbem;C:\Windows\System32\WindowsPowerShell\v1.0\;C:\Windows\System32\OpenSSH\;C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\DAL;C:\Program Files\Intel\Intel(R) Management Engine Components\DAL;C:\Users\ybean\AppData\Local\Microsoft\WindowsApps;
...

當我們在windows裡面執行一個指令，系統會到PATH環境變數裡面的目錄，找指令所在的目錄，

以下的vmrun會失敗

C:\Users\ybean>vmrun
'vmrun' is not recognized as an internal or external command,
operable program or batch file.

失敗原因是因為vmrun這個指令他所在的目錄路徑位置，沒有在PATH環境變數中

golang 網站程式設計

go 語言有 C 語言的速度、java 的物件導向能力、python 語言的簡潔 docker 用go 語言寫的 kubernetes 用go語言寫的 cncf.io »> project 裡面的專案都用go語言寫的

package main
import (
"net/http"
"net/http/cgi"
)
func cgiHandler(w http.ResponseWriter, r *http.Request) {
handler := cgi.Handler{Path: "cgihello.sh"}
handler.ServeHTTP(w, r)
}
func main() { # main() ，代表整個程式從這邊開始執行
http.HandleFunc("/", cgiHandler) # cgi後面的功能Handler的第一個字母，最好要大寫
http.ListenAndServe(":8080", nil) # :8080 的冒號，代表的意思是哪台機器執行這支程式，它的IP位址就會是go語言網站的網址，後面再加8080
}

程式一直行，網站就會打開，然後會去執行cgihello.sh這支程式

編輯cgihello.sh

$ nano cgihello.sh （程式輸出的對象是瀏覽器）
#!/bin/bash
echo "Content-type: text/html" （網頁標籤）
echo "" （換行）
echo '<html><body>'
echo 'Hello From Bash<br/>Environment:'
echo '</body></html>'
exit 0

用go lang語言可以將bash script的執行結果輸出到瀏覽器上

Golang執行cgihello.sh將程式指令結果送到前端呈現

tags: `windows批次檔指令`

/etc/profile

Sun, 07 Aug 2022 14:48:24 +0800

$ cat /etc/profile
#!/bin/bash
export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
export PAGER=less
export PS1='\h:\w\$ '
umask 022
for script in /etc/profile.d/*.sh ; do
if [ -r $script ] ; then
. $script
fi
done
# Alpine 的啟動系統是 openrc, 登入前會執行 /etc/local.d/rc.local.start, 登入後會執行 /etc/profile
gw=$(route -n | grep -e "^0.0.0.0 ")
export GWIF=${gw##* }
ips=$(ifconfig $GWIF | grep 'inet ')
export IP=$(echo $ips | cut -d' ' -f2 | cut -d':' -f2)
export NETID=${IP%.*}
export GW=$(route -n | grep -e '^0.0.0.0' | tr -s \ - | cut -d ' ' -f2)
export PATH="/home/bigred/bin:/home/bigred/vmalpdt/bin:$PATH"
# source /home/bigred/bin/myk3s
clear && sleep 2
echo "Welcome to Alpine Linux : `cat /etc/alpine-release`"
[ "$IP" != "" ] && echo "IP : $IP"
echo ""
if [ "$USER" == "bigred" ]; then
# change hostname & set IP
sudo /home/bigred/bin/chnameip
# create join k3s command
#which kubectl &>/dev/null
#if [ "$?" == "0" ]; then
# if [ -z "$SSH_TTY" ]; then
# echo "K3S Starting, pls wait 30 sec" && sleep 30
# kubectl get nodes 2>/dev/null | grep master | grep `hostname` &>/dev/null
# if [ "$?" == "0" ]; then
# echo "sudo curl -sfL https://get.k3s.io | K3S_URL=https://$IP:6443 K3S_TOKEN=`sudo cat /var/lib/rancher/k3s/server/node-token` K3S_KUBECONFIG_MODE='644' sh - && sudo reboot" > /home/bigred/bin/joink3s
# chmod +x /home/bigred/bin/joink3s
# fi
# fi
#fi
fi
export PS1="\u@\h:\w\$ "
alias ping='ping -c 4 '
alias pingdup='sudo arping -D -I eth0 -c 2 '
alias dir='ls -alh '
alias poweroff='sudo poweroff; sleep 5'
alias reboot='sudo reboot; sleep 5'
alias kg='kubectl get'
alias ka='kubectl apply'
alias kd='kubectl delete'
alias kc='kubectl create'
alias ks='kubectl get pods -n kube-system'
[ -f /home/bigred/dt/alpine.bash ] && source /home/bigred/dt/alpine.bash
# /etc/local.d/rc.local.start (相當於 rc.local) create /tmp/sinfo
if [ -z "$SSH_TTY" ]; then
[ -f /tmp/sinfo ] && dialog --title " Cloud Native Trainer " --textbox /tmp/sinfo 24 85; clear
fi

tags: `Linux`

Install Ubuntu Server 22.04 LTS

Sun, 07 Aug 2022 14:34:40 +0800

LTS : 長期支援（英語：Long-term support ) 偶數年的 4 月都是長期支援版，不是 LTS 的，通常只能支援 1 年多。

點選 “US2204” 這台 VM，再按 “Play virtual machine”
直接按 “Enter”
語言設定，在 “English” 上面按 “Enter”
在"Continue without updating"上，按 “Enter”，( 沒有就不用理會，因為我們要安裝的是 22.04 ，不是 22.06，所以他自己也知道不要鬧了，預設停在 Continue without updating )
鍵盤設定，走預設，因為我們台灣的鍵盤都是美規，所以直接按"Enter"
直接按 “Enter” 選擇預設的系統，不要 ~~minimzed~~
網路設定，直接按"Enter"走 DHCP 自動配發 IP 位址給我們
直接按"Enter"，proxy Server 代理伺服器，幫我們把封包從內網送到外網，它的特性是可以看到我們上網時去了哪個網站，會有隱私權的問題，他其實是一種機制，可以控管資料有無外洩，但是我們不需要。
如果不分流，可使用預設，直接按"Enter"，Mirror address 套件下載的網址，預設會找離台灣最近的，它怎麼知道離台灣最近的，因為網路通了，如果這邊出現的網址不是台灣的 http://tw.archive.ubuntu.com/ubuntu ，可能要 back 回去看有沒有錯。

ubuntu repository mirror list 連結前三個是倉庫鏡像站，也是光碟鏡像站
硬碟設定，走預設就好，按鍵盤往下鍵，一直到"Done"那裡，再按"Enter"。預設是整顆硬碟都要用，LVM ( Logical Volume Manager )，專門管理硬碟的系統，啟動 LVM 的好處是萬一硬碟空間不夠，可以立刻加空間進去，不須重新格式化，它會直接 append 上去，讓不足的空間再延伸，這種功能一開始是 HP 發明的，後來 Linux 拿來用。
可以看到 available 那邊的 free space 還有 297.996G ，代表還有空間未配置完，我們要把這些可以用的空間全部配置到根目錄。 ubuntu 的檔案系統為 ext4 檔案系統 windows 的檔案系統為 ntfs 或是 fat32 檔案系統 red hat 的 Linux 的檔案系統為 xfs 檔案系統按鍵盤的往下鍵，移到 Type 那裡的 “mounted at /” 那行，按一下 “Enter” ，再按鍵盤的往下鍵，選到"edit" 看左邊 max 的數字多少就打多少，這裡是 397.996G，打完後，按鍵盤的往下鍵，移到 Save 後按"Enter" available 那邊都變灰色，就可以按鍵盤的往下鍵，移到 Done 後按"Enter" 在 “Continue” 按 “Enter”，要注意，這邊選完後，硬碟會格式化，就不能反悔了。在雲端架設 Server 不會開啟 swap 置換空間，就是電腦記憶體不足時，它會把記憶體騰出來，而這個騰出來的地方，就叫 swap 置換空間。我們現在是要做一個真實的 Server ，Ubuntu Server 會自動產生一個 swap file ，這樣我們灌好以後，可以自行決定，要當雲端的 Server 呢? 還是當作一般的 Server ? 如果當一般的 Server ，那就一定要 swap ，剛好用它建好的，如果要當雲端的，那我們就把 swap file 刪掉就好。
建帳號，( 人名和帳號名稱盡量相同 ) Your name: bigboss Your Server’s name: CVN80 Pick a username: bigboss Choose a password: Confirm your password: 最後按鍵盤的往下鍵，移到 Done 後按"Enter"
在 “Install OpenSSH server” 那邊按一下"空白鍵"，選擇要安裝 OpenSSH server，按鍵盤的往下鍵，移到 Done 後按"Enter"
以下的功能都不用安裝，按鍵盤的往下鍵，移到 Done 後按"Enter"
等待系統安裝好後，按鍵盤的往下鍵，移到 Reboot Now 後按"Enter"
在右上角按右鍵，選擇 “Settings…”
選到"CD/DVD (SATA)"，按 “Remove”，再按"ok" 退光碟片的原因是因為我們已經將作業系統安裝到虛擬硬碟檔上了，不需要光碟片，所以刪掉。
將 VM 重開機後，安裝完成。

tags: `Linux`

Ubuntu Server 設定帳號自動登入

Sun, 07 Aug 2022 14:26:32 +0800

Set auto-login

# 設定 bigboss 帳號自動登入 ( 在第 40 行 )
$ sudo nano -l /lib/systemd/system/getty@.service
ExecStart=-/sbin/agetty --autologin bigboss --keep-baud 115200,38400,9600 %I $TERM

Description :

當 getty@.service 的服務啟動時，執行 /sbin/agetty 這支程式，讓 bigboss 這位使用者自動登入，不用輸入帳號密碼。

名詞解釋 :

- what is getty ?
getty 是“get tty”的縮寫，是在管理物理或虛擬終端 (TTY) 的主機上運行的 Unix 程序。
當它檢測到連接時，它會提示輸入用戶名並運行“登錄”程序來驗證用戶身份。
- getty@.service
負責虛擬終端(VT) 登錄提示，即顯示在/dev/tty1和類似設備中的 VGA 屏幕上的提示。
- ExecStart
服務啟動時執行的命令和參數。
- baud rate
傳輸和接收數據的速度。9600 是標準速率，但在某些設備中其他速度是典型的。請記住，通信鏈中的所有環節都必須以相同的速度“說話”，否則數據會在一端或另一端被誤解。

/sbin/agetty Introduction

agetty | alternative Linux getty ( 替代 Linux getty )
描述 :
agetty 打開一個 tty 端口，提示輸入登錄名並調用 /bin/login 命令。 它通常由 init(8) 調用。
參數 :
-/sbin/agetty
The dash means that systemd will not treat non-zero exit codes as a failure.
破折號表示 systemd 不會把 exit 0 之外的代碼，判定是錯誤代碼
--autologin username
Automatically log in the specified user without asking for a username or password.
自動登錄指定用戶，無需輸入用戶名或密碼。
-s, --keep-baud
Try to keep the existing baud rate.
盡量保持現有的 baud rate。
%i
Instance name，For instantiated units: this is the string between the "@" character and the suffix of the unit name.
%I
Unescaped instance name，Same as "%i", but with escaping undone
What does "escaping" mean?
轉義意味著更改特殊字符。 %i 將特殊字符 / 替換為破折號 - 和 \x20。
$TERM
conventions for naming terminal types

tags: `Linux`

楊世宏老師 : IOT Intro

Thu, 28 Jul 2022 17:15:38 +0800

IOT 講義連結

講義連結

IoT Solution Architecture

機房監控系統

電流感測器
- 型號：PZEM-004T
- 安裝位置：一條電源延長線中間剪一段連上去，另外抽一條 USB 線，這條 USB 線就是用來傳送 Sensor 收集到的數據。
- 接法：將延長線的電源接到牆壁插座，延長線的插座接要偵測的電器，只要將想偵測的電器接到延長線的插座就可以收集到數據
- USB 線：傳送 Sensor 收集到的數據到 Windows or Linux 機器（都可以），這台機器收到以後，會將資料傳到雲端，這台機器就是扮演 IOT Gateway 的角色。

IOT Gateway

定義：

能夠處理和蒐集 IoT Device 的資料
具備網際網路傳輸能力的機器

IOT Device

又稱為 Sensor
通常不具有網際網路的傳輸能力。
有些人會直接在 Sensor 上面加工，讓它具有網際網路傳輸的能力，缺點是該 Sensor 就只能傳它自己的資料，不能同時接多個 Sensor 。

傳輸方法

從 IOT Gateway 傳到 MQTT broker ，是透過 MQTT 通訊協定

主要是用來傳輸資料，傳輸資料消耗的流量低。
Client 端會與 Server 端建立通道，一旦通道建立成功，除非 Clinet 端主動結束通道，不然通道不會結束。
Server 端可以主動傳資料到 Client 端，不需得到 Client 端同意。
Server 無須知道 Client 端的 IP 位址也能進行即時的雙向溝通。
MQTT Broker
- 它是 MQTT 的中心，允許 Clinet 端收集和傳送資料。
- 做資料的中轉，所有設備會將資料傳到 broker 上面， broker 會根據 Subscriber 的需求，將資料轉送給 Subscriber (資料科學家)
MQTT Client
- Publisher ，代表 IOT Gaeway ，發布者
  - 可自定義 Topic
- Subscriber ，資料科學家，訂閱者
  - Topic 設為 # ，代表一次訂閱 Broker 的所有內容
Topic
- 資料的分類
- 例如：iotdata/powermeter/{MQTT_Broker_hostname}
Payload
- Topic 的內容
重點整理
- clinet（資料科學家）與 client ( IOT Gayeway ) 溝通會需要透過 MQTT 的 Broker。
- Topic 由發布者定義。
- broker 本身不會儲存資料，他是中間的轉寄站。
- Subscriber 一定要先訂閱 Topic 才會接收到 Publisher 發布的 Topic 資料。
- MQTT Broker 收到 Publisher 發布的資料後，發現沒有 Subscriber 訂閱，則將資料丟掉。

MQTT Client 端命令

Mosquitto
- 由 Eclipse 公司設計的 program
- 讓我們可以扮演 MQTT client 的角色
- Ubuntu Linux 安裝方法：sudo apt install mosquitto-clients
- Alpine Linux 安裝方法：sudo apk add mosquitto-clients

MQTT Subscribe 命令

mosquitto_sub -v -t 'iotdata/powermeter/J509-12' \
-h 'pu230.oc99.org' \
-p 1883 \
-u 'bigred' \
-P 'bigred'

-v 詳細資訊，收到的資訊會看到資料是哪個 Topic -t Puberlisher 端的 Topic -h MQTT broker 網址 -p port 號

以下為連接到 broker 使用的帳號密碼： -u 帳號 -P 密碼

執行完命令後，看到卡住是正常的，因為他正在等待 Puberlisher 傳資料給他。

MQTT Publish 命令

mosquitto_pub -t 'iotdata/powermeter/J509-12' \
-h 'pu230.oc99.org' \
-p 1883 \
-u "bigred"\
-P 'bigred' \
-m 'Hello'

-m Topic 內容

Install MQTT Broker on alpine

文件連結

prepare

$ sudo apk update && sudo apk add podman
$ sudo rc-update add cgroups
$ sudo rc-service cgroups start

Create work directory

$ mkdir iot && cd iot

Setting mosquitto config file and password_file

Create Config file

$ nano mosquitto.conf
listener 1883
allow_anonymous false
password_file /mosquitto/data/password_file

Create password_file

$ touch password_file

Create mosquitto container

$ sudo podman run -itd \
--restart=always \
--name mosquitto \
-p 1883:1883 \
-v ./mosquitto.conf:/mosquitto/config/mosquitto.conf \
-v ./password_file:/mosquitto/data/password_file \
eclipse-mosquitto

Create mosquttio user

Use mosquitto_passwd command to create user, please replace {USERNAME} and {PASSWORD} to you wanted.

# Add user
$ sudo podman exec -it mosquitto mosquitto_passwd -b /mosquitto/data/password_file {USERNAME} {PASSWORD}
# Reload password_file
$ sudo podman exec -it mosquitto kill -SIGHUP 1

Publisher Program

SmartHost - 世宏老師的 Github 連結

tags: `IOT`

不要小數點

Fri, 15 Jul 2022 12:16:26 +0800

檢視原始資料檔

$ cat carGPS.csv
54964354,2021-04-05 15:52:16.0000000,25.1399694,121.8019056,28429,0
54964354,2021-04-05 15:52:19.0000000,25.1399694,121.8019056,28429,0

程式解析

#!/bin/bash
while read line
do
a=$(echo $line | cut -d "," -f 2 | cut -d " " -f 2 | cut -d "." -f 1)
b=$(echo $line | cut -d "," -f 2 | cut -d " " -f 2)
sed -i "s/${b}/${a}/g" carGPS.csv
done < carGPS.csv

#!/bin/bash 宣告這支程式由 bash ( 重裝貝殼執行 )
程式一開始會先去 done 後面，讀取檔案後再逐行跑迴圈處理
while 結合read 的語法，先讀檔（每次會只讀一行）後，再跑迴圈。
sed -i <file_name> 編輯檔案
- s/${b}/${a}/ | 變數 a 取代變數 b
- g | g 後面不加數字，代表全部取代

執行結果

$ cat carGPS.csv
54964354,2021-04-05 15:52:16,25.1399694,121.8019056,28429,0
54964354,2021-04-05 15:52:19,25.1399694,121.8019056,28429,0

IOT program

Mon, 11 Jul 2022 09:52:44 +0800

Publisher

package main
import (
"fmt"
"os"
"time"
"github.com/be-ys/pzem-004t-v3/pzem"
mqtt "github.com/eclipse/paho.mqtt.golang"
"github.com/shirou/gopsutil/cpu"
"github.com/shirou/gopsutil/disk"
"github.com/shirou/gopsutil/mem"
"github.com/shirou/gopsutil/net"
)
// float32 --> 有小數點的數字
type PowerMeterData struct {
Voltage float32
Current float32
Power float32
Frequency float32
Energy float32
PowerFactor float32
}
// float64 --> 有小數點的數字，範圍比 float32 大
// uint64 --> 無符號整數
type HostInfo struct {
TotalCpu []float64
PercentCpu []float64
MemAvailable uint64
MemUsed uint64
}
func main() {
brokerHost := ""
brokerPassword := ""
brokerUsername := ""
tty := os.Args[1]
hostname := os.Args[2]
// Coonnect Serial
p, err := pzem.Setup(
pzem.Config{
Port: tty,
Speed: 9600,
})
if err != nil {
panic(err)
}
err = p.ResetEnergy()
if err != nil {
panic(err)
}
//Connect MQTT
var broker = brokerHost
var port = 1883
opts := mqtt.NewClientOptions()
opts.AddBroker(fmt.Sprintf("tcp://%s:%d", broker, port))
opts.SetClientID(hostname)
opts.SetUsername(brokerUsername)
opts.SetPassword(brokerPassword)
//opts.SetDefaultPublishHandler(messagePubHandler)
opts.OnConnect = connectHandler
opts.OnConnectionLost = connectLostHandler
opts.AutoReconnect = true
opts.ConnectRetryInterval = 60 * time.Second
client := mqtt.NewClient(opts)
if token := client.Connect(); token.Wait() && token.Error() != nil {
panic(token.Error())
}
t := time.NewTicker(10 * time.Second)
for {
<-t.C
// Get PowerNeterData
powerMeterData := getPzem004Info(p)
//powerMeterDataJson, _ := json.Marshal(&powerMeterData)
voltage := fmt.Sprintf("%f", powerMeterData.Voltage)
current := fmt.Sprintf("%f", powerMeterData.Current)
power := fmt.Sprintf("%f", powerMeterData.Power)
powerFactor := fmt.Sprintf("%f", powerMeterData.PowerFactor)
energy := fmt.Sprintf("%f", powerMeterData.Energy)
frequency := fmt.Sprintf("%f", powerMeterData.Frequency)
ms := time.Now().UTC().Format(time.RFC3339)
powerMeterDataCsv := ms + "," + voltage + "," + current + "," + power + "," + powerFactor + "," + energy + "," + frequency
//meterDataJson, _ := json.Marshal(&powerMeterData)
fmt.Println(time.Now().UTC().Format(time.RFC3339) + " " + string(powerMeterDataCsv))
//client.Publish("v1/devices/me/telemetry", 0, false, meterDataJson).Wait()
client.Publish("iotdata/powermeter/"+hostname, 0, false, powerMeterDataCsv).Wait()
// Get CPU Info & Mem Info
virtualMemoryStat := getMemInfo()
hostInfo := HostInfo{
TotalCpu: getTotalCpuInfo(),
PercentCpu: getPercentCpuInfo(),
MemUsed: virtualMemoryStat.Used,
MemAvailable: virtualMemoryStat.Available,
}
//hostInfoJson, _ := json.Marshal(&hostInfo)
totalCpu := fmt.Sprintf("%f", hostInfo.TotalCpu[0])
memUsed := fmt.Sprintf("%d", hostInfo.MemUsed)
memAvailable := fmt.Sprintf("%d", hostInfo.MemAvailable)
ms = time.Now().UTC().Format(time.RFC3339)
hostInfoCsv := ms + "," + totalCpu + "," + memUsed + "," + memAvailable
fmt.Println(time.Now().UTC().Format(time.RFC3339) + " " + hostInfoCsv)
client.Publish("iotdata/host/"+hostname, 0, false, hostInfoCsv).Wait()
}
}
var connectHandler mqtt.OnConnectHandler = func(client mqtt.Client) {
t := time.Now().UTC()
fmt.Println(t.Format(time.RFC3339) + " Connected")
}
var connectLostHandler mqtt.ConnectionLostHandler = func(client mqtt.Client, err error) {
t := time.Now().UTC()
fmt.Println(t.Format(time.RFC3339) + " Connect lost")
}
func getPzem004Info(p pzem.Probe) PowerMeterData {
voltage, err := p.Voltage()
if err != nil {
panic(err)
}
intensity, err := p.Intensity()
if err != nil {
panic(err)
}
power, err := p.Power()
if err != nil {
panic(err)
}
frequency, err := p.Frequency()
if err != nil {
panic(err)
}
energy, err := p.Energy()
if err != nil {
panic(err)
}
powerFactor, err := p.PowerFactor()
if err != nil {
panic(err)
}
powerMeterData := PowerMeterData{
Voltage: voltage,
Current: intensity,
Power: power,
Frequency: frequency,
Energy: energy,
PowerFactor: powerFactor,
}
return powerMeterData
}
func getMemInfo() *mem.VirtualMemoryStat {
v, _ := mem.VirtualMemory()
return v
}
func getTotalCpuInfo() []float64 {
totalPercent, _ := cpu.Percent(3*time.Second, false)
return totalPercent
}
func getPercentCpuInfo() []float64 {
perPercents, _ := cpu.Percent(3*time.Second, true)
return perPercents
}
func getNetInfo() []net.IOCountersStat {
info, _ := net.IOCounters(true)
return info
}
func getDiskInfo() *disk.UsageStat {
info, _ := disk.Usage("C:/")
return info
}

修改內容 :

35 brokerHost := "140.128.36.231"
76 更改單位 Millisecond
t := time.NewTicker(500 * time.Millisecond)
將以下內容註解 :
101 ~ 119 行註解
// Get CPU Info & Mem Info
// virtualMemoryStat := getMemInfo()
// hostInfo := HostInfo{
// TotalCpu: getTotalCpuInfo(),
// PercentCpu: getPercentCpuInfo(),
// MemUsed: virtualMemoryStat.Used,
// MemAvailable: virtualMemoryStat.Available,
// }
// //hostInfoJson, _ := json.Marshal(&hostInfo)
// totalCpu := fmt.Sprintf("%f", hostInfo.TotalCpu[0])
// memUsed := fmt.Sprintf("%d", hostInfo.MemUsed)
// memAvailable := fmt.Sprintf("%d", hostInfo.MemAvailable)
// ms = time.Now().UTC().Format(time.RFC3339)
// hostInfoCsv := ms + "," + totalCpu + "," + memUsed + "," + memAvailable
// fmt.Println(time.Now().UTC().Format(time.RFC3339) + " " + hostInfoCsv)
// client.Publish("iotdata/host/"+hostname, 0, false, hostInfoCsv).Wait()

package main
import (
"fmt"
"log"
"os"
"time"
"github.com/be-ys/pzem-004t-v3/pzem"
mqtt "github.com/eclipse/paho.mqtt.golang"
"github.com/shirou/gopsutil/cpu"
"github.com/shirou/gopsutil/disk"
"github.com/shirou/gopsutil/mem"
"github.com/shirou/gopsutil/net"
)
type PowerMeterData struct {
Voltage float32
Current float32
Power float32
Frequency float32
Energy float32
PowerFactor float32
}
type HostInfo struct {
TotalCpu []float64
PercentCpu []float64
MemAvailable uint64
MemUsed uint64
}
func main() {
brokerHost := "140.128.36.231"
brokerPassword := "bigred"
brokerUsername := "bigred"
log.Println("brave")
tty := os.Args[1]
hostname := os.Args[2]
// Coonnect Serial
p, err := pzem.Setup(
pzem.Config{
Port: tty,
Speed: 9600,
})
if err != nil {
panic(err)
}
err = p.ResetEnergy()
if err != nil {
panic(err)
}
//Connect MQTT
var broker = brokerHost
var port = 1883
opts := mqtt.NewClientOptions()
opts.AddBroker(fmt.Sprintf("tcp://%s:%d", broker, port))
opts.SetClientID(hostname)
opts.SetUsername(brokerUsername)
opts.SetPassword(brokerPassword)
//opts.SetDefaultPublishHandler(messagePubHandler)
opts.OnConnect = connectHandler
opts.OnConnectionLost = connectLostHandler
opts.AutoReconnect = true
opts.ConnectRetryInterval = 60 * time.Second
client := mqtt.NewClient(opts)
if token := client.Connect(); token.Wait() && token.Error() != nil {
panic(token.Error())
}
t := time.NewTicker(500 * time.Millisecond)
for {
<-t.C
// Get PowerNeterData
powerMeterData := getPzem004Info(p)
//powerMeterDataJson, _ := json.Marshal(&powerMeterData)
voltage := fmt.Sprintf("%f", powerMeterData.Voltage)
current := fmt.Sprintf("%f", powerMeterData.Current)
power := fmt.Sprintf("%f", powerMeterData.Power)
powerFactor := fmt.Sprintf("%f", powerMeterData.PowerFactor)
energy := fmt.Sprintf("%f", powerMeterData.Energy)
frequency := fmt.Sprintf("%f", powerMeterData.Frequency)
ms := time.Now().UTC().Format(time.RFC3339)
powerMeterDataCsv := ms + "," + voltage + "," + current + "," + power + "," + powerFactor + "," + energy + "," + frequency
//meterDataJson, _ := json.Marshal(&powerMeterData)
fmt.Println(time.Now().UTC().Format(time.RFC3339) + " " + string(powerMeterDataCsv))
//client.Publish("v1/devices/me/telemetry", 0, false, meterDataJson).Wait()
client.Publish("iotdata/powermeter/"+hostname, 0, false, powerMeterDataCsv).Wait()
// Get CPU Info & Mem Info
// virtualMemoryStat := getMemInfo()
// hostInfo := HostInfo{
// TotalCpu: getTotalCpuInfo(),
// PercentCpu: getPercentCpuInfo(),
// MemUsed: virtualMemoryStat.Used,
// MemAvailable: virtualMemoryStat.Available,
// }
// //hostInfoJson, _ := json.Marshal(&hostInfo)
// totalCpu := fmt.Sprintf("%f", hostInfo.TotalCpu[0])
// memUsed := fmt.Sprintf("%d", hostInfo.MemUsed)
// memAvailable := fmt.Sprintf("%d", hostInfo.MemAvailable)
// ms = time.Now().UTC().Format(time.RFC3339)
// hostInfoCsv := ms + "," + totalCpu + "," + memUsed + "," + memAvailable
// fmt.Println(time.Now().UTC().Format(time.RFC3339) + " " + hostInfoCsv)
// client.Publish("iotdata/host/"+hostname, 0, false, hostInfoCsv).Wait()
}
}
var connectHandler mqtt.OnConnectHandler = func(client mqtt.Client) {
t := time.Now().UTC()
fmt.Println(t.Format(time.RFC3339) + " Connected")
}
var connectLostHandler mqtt.ConnectionLostHandler = func(client mqtt.Client, err error) {
t := time.Now().UTC()
fmt.Println(t.Format(time.RFC3339) + " Connect lost")
}
func getPzem004Info(p pzem.Probe) PowerMeterData {
voltage, err := p.Voltage()
if err != nil {
panic(err)
}
intensity, err := p.Intensity()
if err != nil {
panic(err)
}
power, err := p.Power()
if err != nil {
panic(err)
}
frequency, err := p.Frequency()
if err != nil {
panic(err)
}
energy, err := p.Energy()
if err != nil {
panic(err)
}
powerFactor, err := p.PowerFactor()
if err != nil {
panic(err)
}
powerMeterData := PowerMeterData{
Voltage: voltage,
Current: intensity,
Power: power,
Frequency: frequency,
Energy: energy,
PowerFactor: powerFactor,
}
return powerMeterData
}
func getMemInfo() *mem.VirtualMemoryStat {
v, _ := mem.VirtualMemory()
return v
}
func getTotalCpuInfo() []float64 {
totalPercent, _ := cpu.Percent(3*time.Second, false)
return totalPercent
}
func getPercentCpuInfo() []float64 {
perPercents, _ := cpu.Percent(3*time.Second, true)
return perPercents
}
func getNetInfo() []net.IOCountersStat {
info, _ := net.IOCounters(true)
return info
}
func getDiskInfo() *disk.UsageStat {
info, _ := disk.Usage("C:/")
return info
}

修改內容 :

35 brokerHost := "140.128.36.231"
42 hostname := os.Args[1]
41 ~ 56 行註解 ( 42 行不要 )
// // Coonnect Serial
// p, err := pzem.Setup(
// pzem.Config{
// Port: tty,
// Speed: 9600,
// })
// if err != nil {
// panic(err)
// }
// err = p.ResetEnergy()
// if err != nil {
// panic(err)
// }
81 ~ 101 行註解 ( 91 行不要)
// Get PowerNeterData
// powerMeterData := getPzem004Info(p)
//powerMeterDataJson, _ := json.Marshal(&powerMeterData)
// voltage := fmt.Sprintf("%f", powerMeterData.Voltage)
// current := fmt.Sprintf("%f", powerMeterData.Current)
// power := fmt.Sprintf("%f", powerMeterData.Power)
// powerFactor := fmt.Sprintf("%f", powerMeterData.PowerFactor)
// energy := fmt.Sprintf("%f", powerMeterData.Energy)
// frequency := fmt.Sprintf("%f", powerMeterData.Frequency)
ms := time.Now().UTC().Format(time.RFC3339)
// powerMeterDataCsv := ms + "," + voltage + "," + current + "," + power + "," + powerFactor + "," + energy + "," + frequency
// //meterDataJson, _ := json.Marshal(&powerMeterData)
// fmt.Println(time.Now().UTC().Format(time.RFC3339) + " " + string(powerMeterDataCsv))
// //client.Publish("v1/devices/me/telemetry", 0, false, meterDataJson).Wait()
// client.Publish("iotdata/powermeter/"+hostname, 0, false, powerMeterDataCsv).Wait()
// Get CPU Info & Mem Info

package main
import (
"fmt"
"log"
"os"
"time"
"github.com/be-ys/pzem-004t-v3/pzem"
mqtt "github.com/eclipse/paho.mqtt.golang"
"github.com/shirou/gopsutil/cpu"
"github.com/shirou/gopsutil/disk"
"github.com/shirou/gopsutil/mem"
"github.com/shirou/gopsutil/net"
)
type PowerMeterData struct {
Voltage float32
Current float32
Power float32
Frequency float32
Energy float32
PowerFactor float32
}
type HostInfo struct {
TotalCpu []float64
PercentCpu []float64
MemAvailable uint64
MemUsed uint64
}
func main() {
brokerHost := "140.128.36.231"
brokerPassword := "bigred"
brokerUsername := "bigred"
log.Println("brave")
// tty := os.Args[1]
hostname := os.Args[1]
// // Coonnect Serial
// p, err := pzem.Setup(
// pzem.Config{
// Port: tty,
// Speed: 9600,
// })
// if err != nil {
// panic(err)
// }
// err = p.ResetEnergy()
// if err != nil {
// panic(err)
// }
//Connect MQTT
var broker = brokerHost
var port = 1883
opts := mqtt.NewClientOptions()
opts.AddBroker(fmt.Sprintf("tcp://%s:%d", broker, port))
opts.SetClientID(hostname)
opts.SetUsername(brokerUsername)
opts.SetPassword(brokerPassword)
//opts.SetDefaultPublishHandler(messagePubHandler)
opts.OnConnect = connectHandler
opts.OnConnectionLost = connectLostHandler
opts.AutoReconnect = true
opts.ConnectRetryInterval = 60 * time.Second
client := mqtt.NewClient(opts)
if token := client.Connect(); token.Wait() && token.Error() != nil {
panic(token.Error())
}
t := time.NewTicker(500 * time.Millisecond)
for {
<-t.C
// Get PowerNeterData
// powerMeterData := getPzem004Info(p)
//powerMeterDataJson, _ := json.Marshal(&powerMeterData)
// voltage := fmt.Sprintf("%f", powerMeterData.Voltage)
// current := fmt.Sprintf("%f", powerMeterData.Current)
// power := fmt.Sprintf("%f", powerMeterData.Power)
// powerFactor := fmt.Sprintf("%f", powerMeterData.PowerFactor)
// energy := fmt.Sprintf("%f", powerMeterData.Energy)
// frequency := fmt.Sprintf("%f", powerMeterData.Frequency)
ms := time.Now().UTC().Format(time.RFC3339)
// powerMeterDataCsv := ms + "," + voltage + "," + current + "," + power + "," + powerFactor + "," + energy + "," + frequency
// //meterDataJson, _ := json.Marshal(&powerMeterData)
// fmt.Println(time.Now().UTC().Format(time.RFC3339) + " " + string(powerMeterDataCsv))
// //client.Publish("v1/devices/me/telemetry", 0, false, meterDataJson).Wait()
// client.Publish("iotdata/powermeter/"+hostname, 0, false, powerMeterDataCsv).Wait()
// Get CPU Info & Mem Info
virtualMemoryStat := getMemInfo()
hostInfo := HostInfo{
TotalCpu: getTotalCpuInfo(),
PercentCpu: getPercentCpuInfo(),
MemUsed: virtualMemoryStat.Used,
MemAvailable: virtualMemoryStat.Available,
}
//hostInfoJson, _ := json.Marshal(&hostInfo)
totalCpu := fmt.Sprintf("%f", hostInfo.TotalCpu[0])
memUsed := fmt.Sprintf("%d", hostInfo.MemUsed)
memAvailable := fmt.Sprintf("%d", hostInfo.MemAvailable)
ms = time.Now().UTC().Format(time.RFC3339)
hostInfoCsv := ms + "," + totalCpu + "," + memUsed + "," + memAvailable
fmt.Println(time.Now().UTC().Format(time.RFC3339) + " " + hostInfoCsv)
client.Publish("iotdata/host/"+hostname, 0, false, hostInfoCsv).Wait()
}
}
var connectHandler mqtt.OnConnectHandler = func(client mqtt.Client) {
t := time.Now().UTC()
fmt.Println(t.Format(time.RFC3339) + " Connected")
}
var connectLostHandler mqtt.ConnectionLostHandler = func(client mqtt.Client, err error) {
t := time.Now().UTC()
fmt.Println(t.Format(time.RFC3339) + " Connect lost")
}
func getPzem004Info(p pzem.Probe) PowerMeterData {
voltage, err := p.Voltage()
if err != nil {
panic(err)
}
intensity, err := p.Intensity()
if err != nil {
panic(err)
}
power, err := p.Power()
if err != nil {
panic(err)
}
frequency, err := p.Frequency()
if err != nil {
panic(err)
}
energy, err := p.Energy()
if err != nil {
panic(err)
}
powerFactor, err := p.PowerFactor()
if err != nil {
panic(err)
}
powerMeterData := PowerMeterData{
Voltage: voltage,
Current: intensity,
Power: power,
Frequency: frequency,
Energy: energy,
PowerFactor: powerFactor,
}
return powerMeterData
}
func getMemInfo() *mem.VirtualMemoryStat {
v, _ := mem.VirtualMemory()
return v
}
func getTotalCpuInfo() []float64 {
totalPercent, _ := cpu.Percent(3*time.Second, false)
return totalPercent
}
func getPercentCpuInfo() []float64 {
perPercents, _ := cpu.Percent(3*time.Second, true)
return perPercents
}
func getNetInfo() []net.IOCountersStat {
info, _ := net.IOCounters(true)
return info
}
func getDiskInfo() *disk.UsageStat {
info, _ := disk.Usage("C:/")
return info
}

$ Start-Process C:\Users\bigred\cmbravehost.exe <hostname> -WindowStyle Hidden

找 pid

tasklist

停止程式

$ taskkill /PID

Antony 筆記：技術原理與實務經驗 – 其他

跨叢集 CoreDNS AXFR 同步與 PodCIDR 路由設定紀錄

Claude Code Best Practice

AGENTS.md (全域)

資安事件報告 - 內部跳板伺服器遭加密貨幣挖礦惡意程式入侵

1. 事件概要

2. 受影響範圍評估

3. 攻擊時間軸 (Timeline)

4. 威脅指標 (IoCs)

4.1 惡意檔案與 Hash (SHA256)

4.2 系統入侵跡證

4.3 網路與通訊 (Network/C2)

4.4 攻擊者 Vortix DePIN 識別標記 (Tokens)

5. 攻擊手法分析 (MITRE ATT&CK Mapping)

6. 處置與防護建議

6.1 立即止血 (Containment)

6.2 系統重建與憑證輪替 (Eradication & Recovery)

6.3 長期安全強化 (Post-Incident)

Gemini CLI `/init` 異常延遲重現步驟

背景

環境前置條件

一鍵建立 workspace

啟動 CLI(建議開啟 debug log + YOLO 模式)

重現步驟

Step 1 — 完整需求

Step 2 — 確認 plan(第一次)

Step 4 — 要求繁中

Step 5 — 觸發 /init(關鍵卡點 1)

Step 6 — Tool 執行間卡頓(關鍵卡點 2)

Step 7 — 驗證 CLI 是否還活著

觀察重點與紀錄

對照組建議(強烈建議跑)

對照組 A:空目錄獨立 /init

對照組 B:同目錄但全新 session

蒐集的資訊(回報 bug 時附上)

啟動 log 已透露的線索

已知相關 issues(供參考)

Ubuntu XFCE 安裝繁體中文輸入法 & 設定左 Shift 切換中英文

環境

步驟一:確認環境

1-1 確認桌面環境

1-2 確認目前的輸入法框架

1-3 確認 IBus daemon 正常運作

步驟二:確認 / 安裝中文輸入法引擎

2-1 確認系統有 Chewing 引擎

2-2 若沒有 Chewing,執行以下指令安裝

步驟三:確認輸入法清單包含 English 與 Chewing

步驟四:設定環境變數(關鍵步驟)⭐

4-1 檢查目前狀態

4-2 寫入 ~/.xprofile

4-3 確認檔案內容

步驟五:設定左 Shift 為切換熱鍵

5-1 開啟 IBus 設定

5-2 設定 Next input method 為 Shift_L

5-3 重啟 IBus

步驟六:測試

完整指令速查

故障排除

備註:為什麼 XFCE 可以這樣設,GNOME 不行

驗證 kubelet `serializeImagePulls` 行為差異

目錄

背景知識

兩個層級的序列化

參數版本支援

前置準備

1. 選定測試用的 worker node

2. 備份 kubelet 設定檔

3. 準備測試用 YAML

第一階段:測試 serializeImagePulls=false(平行拉取)

步驟 1:修改 kubelet 設定為 false

步驟 2:重啟 kubelet

步驟 3:驗證設定生效

步驟 4:清除節點上的舊 image

步驟 5:開啟 events 監看視窗

步驟 6:部署 Pod 進行測試

步驟 7:實際執行結果

步驟 8:結果判讀(平行拉取的證據)

步驟 9:清理測試環境

第二階段:測試 serializeImagePulls=true(序列拉取)

步驟 10:修改 kubelet 設定為 true

Step 5 — 觸發 `/init`(關鍵卡點 1)

對照組 A:空目錄獨立 `/init`

第一階段:測試 `serializeImagePulls=false`(平行拉取)

第二階段:測試 `serializeImagePulls=true`(序列拉取)

4. `maxParallelImagePulls` 限制規則

第二步：撰寫 Go 程式碼並儲存為 `main.go`

挑戰 2 : 弄髒作業系統 (殘留測試用帳號與設定, 不需存在的 Library, …)