Về Platform News

Platform News đăng các bài phân tích chuyên sâu và ghi chép thực tế về cách hạ tầng hiện đại được xây dựng và vận hành: Kubernetes, multi-cloud, observability, reliability và bảo mật, viết từ kinh nghiệm chạy production chứ không phải từ thông cáo báo chí.

Mọi bài viết đều có cả tiếng Anh và tiếng Việt.

Ai viết

Platform News do Atlas viết. Đó là bút danh của một kỹ sư Platform và SRE đang xây dựng và vận hành hạ tầng platform trên năm nhà cung cấp cloud (AWS, Google Cloud, Azure, Huawei Cloud và Yandex Cloud), phục vụ workload production tại tám quốc gia.

Platform và reliability

• Nền tảng Kubernetes multi-cloud, multi-region trên EKS, GKE, AKS, Huawei CCE và Yandex Managed Kubernetes, chuẩn hoá bằng GitOps với Argo CD.
• 99.95% availability cho các service production nhờ triển khai multi-AZ, autoscaling và failover tự động.
• Thay Elasticsearch bằng ClickStack (Vector → Kafka/MSK → ClickHouse → HyperDX): khoảng 10 TB log mỗi ngày trên ClickHouse có shard và replica cùng tầng lạnh S3, giảm 60% chi phí logging và nâng retention lên một năm. Mở rộng HyperDX để tìm log mọi region trên một UI, có SSO và phân quyền theo vai trò. → Logging trên ClickHouse thay Elasticsearch
• Migrate hệ thống từ AWS sang Huawei Cloud không downtime, giảm 40% chi phí hạ tầng.
• Istio mesh federation multi-cluster, multi-cloud: mTLS giữa các cluster qua root CA chung và east-west gateway, cho giao tiếp service-to-service zero-trust xuyên cloud và region.
• Policy-as-code với Kyverno: pod security, giới hạn image registry, bắt buộc resource limit và label.

Going keyless

Dẫn dắt sáng kiến loại bỏ cloud credential tĩnh bằng workload identity federation:

• Workload identity trên EKS và GKE, IAM quản lý dạng khai báo qua ACK và Config Connector. → EKS Pod Identity và IRSA, GKE Workload Identity, ACK
• Federation hub-and-spoke từ một AWS identity account trung tâm sang Google Cloud (hơn 27 project) và sang Azure (managed identity với federated credential). → AWS → Google Cloud, AWS → Azure
• Federation Google Cloud → AWS cho service production, dùng Google OIDC token với AssumeRoleWithWebIdentity. → Google Cloud → AWS
• Mở rộng truy cập không key sang Huawei Cloud và Yandex Cloud qua OIDC federation và Crossplane.
• IAM Roles Anywhere cho workload không có danh tính cloud sẵn: Vault PKI cho VM, và AWS Private CA cùng cert-manager cho pod trên Huawei CCE và Yandex Managed Kubernetes. → IAM Roles Anywhere làm hub danh tính

Các bài ở đây là những bài viết mà tôi ước mình đã có trước khi bắt tay vào làm những việc đó. Toàn bộ hành trình “keyless” được gom trong loạt bài Workload Identity.

Bài viết được làm thế nào

• Chạy thử khi có thể. Cấu hình và code chạy được ở máy local đều được chạy trước khi đăng, bằng các công cụ như promtool test rules, clickhouse local, vector validate và sloth generate. Các bước riêng của từng cloud được đối chiếu với tài liệu chính thức, và khi cần thì với cả mã nguồn SDK. Phần nào chỉ đối chiếu được với tài liệu, bài viết sẽ ghi rõ.
• Có nguồn. Cuối mỗi bài có mục Nguồn dẫn tới tài liệu chính thức, đặc tả và RFC, để bạn tự kiểm lại chi tiết.
• Có ngày. Dịch vụ cloud thay đổi rất nhanh. Bài viết ghi rõ lần rà soát gần nhất, và gọi tên cụ thể phiên bản hay tính năng còn preview.
• Trung lập. Không có bài tài trợ, không có link affiliate. Tên sản phẩm xuất hiện vì đó là công cụ đang được giải thích.

Chủ đề

• Platform engineering: internal developer platform, golden path, self-service
• Kubernetes: vận hành multi-cluster, multi-cloud và GitOps
• SRE: SLO, error budget, incident response, postmortem
• Observability: logs, metrics và traces ở quy mô lớn
• Bảo mật: workload identity, zero-trust networking, policy-as-code
• Cloud: kiến trúc multi-cloud, migration và chi phí

Nên bắt đầu từ loạt bài Workload Identity: tám bài đi từ EKS, GKE, AKS tới federation xuyên cloud và danh tính cho AI agent.

Dành cho ai

Kỹ sư Platform, DevOps, SRE, và bất kỳ ai phải giữ cho production luôn chạy.

Liên hệ

Gửi email tới hello@platformnews.net nếu bạn có câu hỏi, góp ý sửa lỗi, hay ý tưởng cho một bài viết.

Thấy sai sót, hoặc có gì đã thay đổi từ lúc bài được viết? Bạn cũng có thể bình luận ở cuối bài bất kỳ (bình luận là GitHub Discussions trong platformnews/comments), và người góp ý sẽ được ghi nhận khi bài được cập nhật.

Đăng ký qua RSS để nhận bài viết mới.