Platform NewsGhi chép về DevOps, SRE và Platform Engineering.https://platformnews.net/vi-VNDanh tính cho AI agent: workload identity, ủy quyền và MCP authorization không cần key dùng chunghttps://platformnews.net/vi/blog/ai-agent-identity/https://platformnews.net/vi/blog/ai-agent-identity/Workload identity cho biết pod nào đang gọi. AI agent cần nhiều hơn thế: nó đang hành động thay ai, và ngay lúc này được làm gì. Hướng dẫn thực tế về danh tính cho agent với token exchange RFC 8693, đặc tả MCP authorization, token vault, và các lựa chọn managed trên AWS, Google Cloud, Microsoft Entra.Mon, 19 Oct 2026 00:00:00 GMTsecurityai-agentsworkload-identitymcpoauthsecuritymulti-cloudWorkload Identity trên Azure: Microsoft Entra Workload ID cho AKS, từ az CLI tới GitOpshttps://platformnews.net/vi/blog/aks-workload-identity/https://platformnews.net/vi/blog/aks-workload-identity/Cho mỗi pod trên AKS một danh tính Azure riêng mà không cần client secret: cơ chế Entra Workload ID, triển khai bằng az CLI và Terraform, Key Vault CSI, vượt giới hạn 20 federated credential, và quản lý từ Helm chart của ứng dụng bằng Azure Service Operator.Mon, 19 Oct 2026 00:00:00 GMTsecurityazureaksentra-idworkload-identityasokubernetesLogging trên ClickHouse thay Elasticsearch: schema, pipeline, tiering S3 và retention một nămhttps://platformnews.net/vi/blog/clickhouse-logging-instead-of-elasticsearch/https://platformnews.net/vi/blog/clickhouse-logging-instead-of-elasticsearch/Bản thiết kế thực tế để chuyển log từ Elasticsearch sang ClickHouse: Vector và Kafka để ingest, schema theo chuẩn OpenTelemetry với text index mới, tiering sang S3 bằng TTL, tìm kiếm đa region trên một UI, và những cái bẫy hay gặp khi chạy production.Mon, 19 Oct 2026 00:00:00 GMTobservabilityclickhouseloggingelasticsearchobservabilityvectoropentelemetryWorkload Identity trên GKE: mỗi pod một danh tính Google riênghttps://platformnews.net/vi/blog/gke-workload-identity/https://platformnews.net/vi/blog/gke-workload-identity/Hướng dẫn thực tế Workload Identity Federation for GKE: cấp quyền trực tiếp cho principal hay liên kết service account, triển khai bằng gcloud và Terraform, kiểm tra, truy cập cross-project, các cái bẫy, và quản lý bằng YAML với Config Connector.Mon, 19 Oct 2026 00:00:00 GMTsecuritygcpgkeworkload-identityiamconfig-connectorkubernetesIAM Roles Anywhere: dùng AWS làm hub danh tính cho workload on-prem truy cập AWS, Google Cloud và Azurehttps://platformnews.net/vi/blog/iam-roles-anywhere-multi-cloud-hub/https://platformnews.net/vi/blog/iam-roles-anywhere-multi-cloud-hub/Cấp cho những máy không có danh tính cloud — VM on-prem, thiết bị edge, CI tự host — chứng chỉ X.509 ngắn hạn từ Vault PKI, biến chúng thành AWS role session bằng IAM Roles Anywhere, rồi federation tiếp sang Google Cloud và Azure mà không cần một static key nào.Mon, 19 Oct 2026 00:00:00 GMTsecurityawsiam-roles-anywherepkivaultworkload-identitymulti-cloudWorkload Identity Federation từ AWS sang Azure — không cần client secrethttps://platformnews.net/vi/blog/workload-identity-federation-aws-to-azure/https://platformnews.net/vi/blog/workload-identity-federation-aws-to-azure/Cho workload trên EC2, Lambda, ECS và EKS gọi Azure bằng token ngắn hạn: AWS IAM outbound identity federation, federated credential của Entra trên managed identity, lối tắt cho EKS, và mô hình hub-and-spoke.Mon, 19 Oct 2026 00:00:00 GMTsecurityazureawsentra-idworkload-identityiammulti-cloudWorkload Identity Federation từ AWS sang Google Cloud — không cần service account keyhttps://platformnews.net/vi/blog/workload-identity-federation-aws-to-gcp/https://platformnews.net/vi/blog/workload-identity-federation-aws-to-gcp/Cho workload trên EC2, Lambda, ECS và EKS gọi Google Cloud bằng token ngắn hạn: cơ chế trao đổi token, các bước triển khai, cái bẫy trên EKS, và mô hình hub-and-spoke cho nhiều account.Mon, 19 Oct 2026 00:00:00 GMTsecuritygcpawsworkload-identityiameksmulti-cloudWorkload Identity Federation từ Google Cloud sang AWS — không cần access keyhttps://platformnews.net/vi/blog/workload-identity-federation-gcp-to-aws/https://platformnews.net/vi/blog/workload-identity-federation-gcp-to-aws/Cho workload trên GCE, Cloud Run, Cloud Functions và GKE gọi AWS bằng credentials tạm thời: Google ID token và AssumeRoleWithWebIdentity, lỗi trust policy khiến role mở cho cả internet, cách làm qua OIDC của GKE, và Terraform cho cả hai phía.Mon, 19 Oct 2026 00:00:00 GMTsecurityawsgcpworkload-identityiamgkemulti-cloudAWS Controllers for Kubernetes (ACK): để Helm chart của ứng dụng tự sở hữu tài nguyên AWShttps://platformnews.net/vi/blog/aws-controllers-for-kubernetes/https://platformnews.net/vi/blog/aws-controllers-for-kubernetes/ACK giúp Helm chart của mỗi ứng dụng tự sở hữu bucket, queue, database — và kro đưa những giá trị như DATABASE_URL vào Deployment một cách tự động, không copy-paste.Sun, 18 Oct 2026 00:00:00 GMTkubernetesawsackkrohelmgitopseksWorkload identity trên AWS: EKS Pod Identity vs IRSAhttps://platformnews.net/vi/blog/eks-pod-identity-vs-irsa/https://platformnews.net/vi/blog/eks-pod-identity-vs-irsa/Pod lấy AWS credentials thế nào mà không cần static key — cơ chế bên trong của IRSA và EKS Pod Identity, khác nhau ở đâu, và cách migrate an toàn.Sun, 18 Oct 2026 00:00:00 GMTsecurityawseksiamirsapod-identityworkload-identitySLO 101: SLI, error budget và cảnh báo burn rate chỉ kêu khi thật sự cầnhttps://platformnews.net/vi/blog/slo-101/https://platformnews.net/vi/blog/slo-101/Một SLO đầu tiên làm thực tế với Prometheus: chọn SLI mà người dùng thật sự cảm nhận, biến 99.9% thành error budget, viết recording rule, thêm cảnh báo burn rate nhiều cửa sổ kèm unit test, và thống nhất error budget policy.Fri, 16 Oct 2026 00:00:00 GMTsreslosreobservabilityprometheusalerting