Ilya
рынок IT в целом не самый разнообразный =)
В целом весь рынок такой - если подумать 😂
J
Опенстек разошелся форками по организациям, в апстрим отдают неохотно
Те кто в состоянии отдать не отдают, а те кто хочет не осиляют по времени и не в состоянии соблюсти все процедуры.
Aleksandr
@adiantum Как в Мск будешь за рекламу пивком отплачу ))))))))))))
Jain
Насчёт распила, нам сегодня один кастомер отказал на средних размеров стэк кластер, так как его Datenschutzbeauftragter (Data protection officer) выразил свои сомнения. И посоветовал взять что-то closed source, например VMware Enterprise plus. ... Вот тоже сидим гадаем что это Data protection officer получает ещё и от vmware
Jain
Ответственности там 0, вся сеть по dark-fiber
J
Поэтому все госучреждения, банки и все места где исповедуют принцип "чем больше бумаги тем чище жопа", все они пользуются vmware.
J
Ответственности там 0, вся сеть по dark-fiber
А кто получит по шапке если окажется что опенстек дырявый и персональные данные уважаемых бюргеров утекли?
Jain
Там выхода в сеть нету :) только своя сеть без интернета.
Jain
Air-gaped, вплоть до вороуженной охраны дц
J
Там выхода в сеть нету :) только своя сеть без интернета.
Ну ты понимаешь это, я понимаю, а когда жопа дата протекшон офицера на кону он рациональные аргументы не до конца готов воспринимать, видимо)
Jain
Нужно на досуге будет посмотреть что там стэку для сертификации не хватает
Jain
А у вас в России/Украине все эти новомодные Data Protection Officers тоже есть? Не слишком мешают работать? Я понимаю что секретарши объяснять нужно "вот всё это ИТ" но каждый месяц ходит и слушать что 4 значный пароль это плохо ... Немного надоедает :)
Jain
У нас с 2019 каждая фирма должна держать одного, или закупать Consulting.
J
В основном никакого отношения к реальной безопасности они не имеют, а связаны с бумажной волокитой и принудительным внедрением отечественной криптографии и железа.
J
В РФ же традиционно иной подход к регулированию. Сначала принимается куча говна не прошедшая обсуждения с представителями отрасли, а затем санкции за неисполнение применяются к тем кто попал под горячую руку или на кого нужно надавить. То есть, сами требования регуляторов сформулированы так что соблюсти их все и при этом работать эффективно и безопасно невозможно в принципе.
Jain
Ну если у нас бы сказали что с вот такого числа будет только нем. Оборудование яб даже не знаю что сказал. Наверное обрадовался.
Aleksandr
У нас с 2019 каждая фирма должна держать одного, или закупать Consulting.
так рыночная экономика все ж доступны ))) за что боролись )))
J
Ну если у нас бы сказали что с вот такого числа будет только нем. Оборудование яб даже не знаю что сказал. Наверное обрадовался.
Самое болезненное это шифрование. Математика и независимый аудит криптографических протоколов эт пустые звуки для чиновников и сотрудников ФСБ в России) Например, будь AES-256 хоть тыщу раз стойким и проанализированным вдоль и поперек, но для работы с государственными системами всякими изволь использовать Кузнечик, который никем толком не поддерживается и у которого s-бокс сгенерирован неслучайным образом и алгоритм генерации разработчики "потеряли".
Jain
Потеряли? лол?
J
и в чем проблема ? Ну запусти openvpn от них, проблема в чем ?
Не хочу это обсуждать. Можно так же писать "используй браузеры от них, проблема в чем?" Или "покупай vipnet, проблема в чем?"
J
тебе не надо проходить аттестацию ФСб и ФСТЭК как я понял...
Нет, разумеется. Я не суюсь работать в те места где нужно аттестацию проходить. Увидел раз и больше не хочу.
Aleksandr
так чего ты рассказывашь тут про шифрование, раз не работаешь с ним ?
J
так чего ты рассказывашь тут про шифрование, раз не работаешь с ним ?
Ну я и поваром не работаю, но могу про еду рассказывать. Да и не рассказывал бы, если бы не столкнулся хоть чуть-чуть с этим болотом.
Aleksandr
понятно
J
понятно
Чо, в Сбере любят небось это все)
Aleksandr
Чо, в Сбере любят небось это все)
нет я люблю таких **лов ))) которые только ***ят, а по факту предъявить не могут
Andrei
нет я люблю таких **лов ))) которые только ***ят, а по факту предъявить не могут
никак не могу понять что за первое слово такое. Вы не думали писать сценарии для Поле Чудес?
Alexander
А чего за переход на личности
Aleksandr
Не груби.
это все ? Ты же у нас с криптографией работал )) Знаешь что да как )
Alexander
Корпоративная этика сбера?
Andrei
позвольте разрядить обстановку
Andrei
https://m.youtube.com/watch?v=V9GmFOyIHw8
Aleksandr
Корпоративная этика сбера?
а Сбер тут при чем ? Если человек несет какую-то херню. Я и без этики ему скажу что он, хрень несет.
NS 🇷🇺
а Сбер тут при чем ? Если человек несет какую-то херню. Я и без этики ему скажу что он, хрень несет.
Ну при том, что ты говоришь, что будешь искать кого-то собеседовать и тут хопа такоц вот стиль общения, который сразу накладывает отпечаток на представление о потенциальном коллективе
Ilya
Aleksandr @j52089ec7e87 хорош тут флудить =) Правда забаню
Ilya
Флудить идите в @cloud_flood
Ilya
Aleksandr последнее китайское предупреждение. Я не шучу - забаню.
Aleksandr
@adiantum напьемся разбанишь -))) Да я сам уже не хочу )))
Ilya
@adiantum напьемся разбанишь -))) Да я сам уже не хочу )))
Вот и не флуди раз не хочешь =) Специально сделали группу для выснения отношений =) @cloud_flood
Jain
Да это дальше первого крутящего барабан не уйдет 😂
ОМГ! Я поле чудес лет 30 назад последний раз смотрел. Ничесе.
NS 🇷🇺
J
ОМГ! Я поле чудес лет 30 назад последний раз смотрел. Ничесе.
Ну чать не двухтысячные, щас в интернете можешь смотреть прям живые стримы) Как бы то ни было, я своё видение российских особенностей защиты ПД рассказал. Вроде, у многих коллег контрол плейн опенстека в связке с вмваре используется для инфраструктур которые нужно по 152-фз аттестовать. Но что касается просто "опенстека", например, собранного своими руками с KVM + LXC, тут, вряд ли получится.
Jain
Там до сих пор якубович, не переживай )
Только что посмотрел трейлер. Как по мне то он очень хорошо сохранился. По воспоминаниям он также выглядит как и тогда
Рамиль
Mcs по 152 сертифицирован. Там жеж опенстек
Alexander
Mcs по 152 сертифицирован. Там жеж опенстек
Mcs и не апстримный, а речь вроде об апстриме была
J
Mcs и не апстримный, а речь вроде об апстриме была
Да. Речь о возможности для абстрактного средней руки провайдера с чистым опенстеком доказать что инфраструктура отвечает требованиям ФСТЭК.
J
Но, честно сказать, неохота сильно в это углубляться, потому что всё что касается требований регуляторов эт очень неприятно и местами абсурдно.
J
Mission: Impossible
Пожалуй)
Aleksandr
Пожалуй)
мне вот одно интересно а LXC там зачем ?)))
J
мне вот одно интересно а LXC там зачем ?)))
Например, чтобы делить одну видеокарту между несколькими пользователями без SR-IOV и без софта типа nvidia virtual gpu. Или чтобы плотнее упаковывать клиентов, которых не волнует то что вся изоляция их "машин" на уровне ядра хоста.
Aleksandr
Например, чтобы делить одну видеокарту между несколькими пользователями без SR-IOV и без софта типа nvidia virtual gpu. Или чтобы плотнее упаковывать клиентов, которых не волнует то что вся изоляция их "машин" на уровне ядра хоста.
Так вроде все openstack в docker засовывают. А вот LXC я впервые услышал -))) И ОЧЕНЬ стесняюь спросить, как тебе LXC поможет делить одну видеокарту -)) ссылочку на возможности ядрышка пожалуйста.
J
Так вроде все openstack в docker засовывают. А вот LXC я впервые услышал -))) И ОЧЕНЬ стесняюь спросить, как тебе LXC поможет делить одну видеокарту -)) ссылочку на возможности ядрышка пожалуйста.
Я не про засовывание опенстековских сервисов в lxc, а про то чтобы вместо виртуалок использовать lxc контейнеры. Хотя, lxc не поддерживается начиная с Victoria) Надо сказать, openstack-ansible по-умолчанию деплоит опенстек внутри lxc контейнеров, но это пошло с давних времен, видимо, когда docker не особо еще был популярным и удобным, а rackspace уже хотели изолировать как-то сервисы. Ссылочка на возможности ядрышка - это читать про cgroups. Вот для примера бложик где рассказывают как делать. https://theorangeone.net/posts/lxc-nvidia-gpu-passthrough/
J
Правда, не очень понял зачем в конце рассуждения про nvenc. Ну да ладно)
Aleksandr
я в курсе что такое cgroups и там еще надо network namespaces, как ты этим видяху то делить будешь, вопрос то в этом
J
я в курсе что такое cgroups и там еще надо network namespaces, как ты этим видяху то делить будешь, вопрос то в этом
А ответ такой что её не надо делить, ты просто разрешаешь процессам внутри cgroup контейнеров получать доступ к видюшке. "Делением" это можно считать только с точки зрения пользователей работающих в контейнерах.
Aleksandr
ну да ты в контейнерах дал доступ к /dev/bla-bla-bla стеснюсь спросить https://www.youtube.com/watch?v=6ykB3cBtQ0M
Aleksandr
cgroup контейнеров <—- и тут это контейнеры м cgroups вещи разные, от слова совсем, нету cgroup контейнеров -))) учи мат. часть.
J
ну да ты в контейнерах дал доступ к /dev/bla-bla-bla стеснюсь спросить https://www.youtube.com/watch?v=6ykB3cBtQ0M
Ты споришь чтобы спорить или тебе действительно интересно? Например, у тебя одна Tesla V100 и десяток выпускников курса "стань дата саентистом за неделю" у которых у всех есть простенькие нейросети, которые им очень хочется обучать именно на V100. Но если ты отдашь карточку кому-то одному в виртуалку, то возникает проблема: Если это на платной основе, то для юного нейронщика это дорого Если на бесплатной основе, то пока он занимает карточку другие люди не могут с ней работать, карта используется неэффективно А так ты даешь доступ к устройству одновременно куче контейнеров, простенькие сеточки обучаются одновременно, коэффициент загрузки карты выше, значит деньги потраченные на нее были потрачены не зря.
Aleksandr
Ладно, гонор свой прибереги все ж для своих коллег и подчиненных)
Причем тут гонор ? Ты умудряешься связать не связуемое, а гонор у меня ) Удобно. Да я подъебваю. Но это повод тебе пойти и почитать https://opencontainers.org/ например. -) Сорри, я без злобы это делал
Aleksandr
Возможно, я криво написал как-то? Не пойму о чем ты.
контейнеры более высокоуровневое понятие. они не могут быть cgroups. Ибо есть еще solaris zones, freebsd jails и так далее... даже распакованный .tar.gz в директорию с послед chroot в нее уже контейнер по факту.
Aleksandr
cgroups - конкретный механизм изоляции, причем в линуксе есть еще всякие openvz те же яица но вид с боку.
J
контейнеры более высокоуровневое понятие. они не могут быть cgroups. Ибо есть еще solaris zones, freebsd jails и так далее... даже распакованный .tar.gz в директорию с послед chroot в нее уже контейнер по факту.
Понятно. Я говорил тебе именно об lxc, потому что чуть раньше упомянул о нем когда писал про абстрактного провайдера с ванильным опенстеком. Вот как дело обстоит.
Aleksandr
Понятно. Я говорил тебе именно об lxc, потому что чуть раньше упомянул о нем когда писал про абстрактного провайдера с ванильным опенстеком. Вот как дело обстоит.
по чесноку не видел чудаков которые в lxc опенстэк запускали ))) видел которые в непривелигерованном lxc кубер запускали ))) сам ядро для этого патчил в рамблере -)