7 min read · 12 sources

Salesforce verbrachte diese Woche Stunden auf den Knien, und das Postmortem ist ein Lehrbuchfall dafür, wie ein Login-Pfad zum Single Point of Failure wird. Anfragen blockierten an einem internen Login-Dienst, erschöpften Serverressourcen und brachten Hunderte von Instanzen mit schweren Verzögerungen, intermittierenden Fehlern und vollständiger Unzugänglichkeit zu Fall. Ein validierter Fix wurde fleetweit ausgerollt, aber einige Instanzen benötigten manuelle Neustarts und fielen danach weiterhin bei geplanten Jobs aus. Wenn Ihre Architektur alles über einen einzigen Auth-Dienst leitet, ist dies Ihre Erinnerung daran, dass dies auch Ihre Ausfallgrenze ist.

Die interessanteren Nachrichten für Leute, die tatsächlich Cluster betreiben, betreffen Kubernetes v1.37, das Pod-Level Resource Managers auf Beta hochstuft. Dies löst leise ein Problem, das latenzkritische Workloads seit Jahren nervt: Sie müssen nicht mehr zwischen der Dedizierung physischer Kerne für Sidecars und dem Verzicht auf NUMA-Ausrichtung wählen. Und wenn Sie für Coding-Agents zahlen, legt eine neue Analyse nahe, dass Sie je nach gewählter Harness möglicherweise 5x zu viel bezahlen. Details unten.

Über 21 Modell-Harness-Kombinationen auf SWE-bench Lite und Terminal-Bench 2.0 veränderte die Harness-Wahl die Kosten um bis zu 5x, und die eigene Harness des Modellanbieters war nicht durchgängig die effizienteste Option.

Kubernetes v1.37: Sidecars verschwenden Ihre NUMA-ausgerichteten Kerne nicht mehr

Source: kubernetes.io ↗

Pod-Level Resource Managers wurden in v1.37 auf Beta hochgestuft, gesteuert durch das PodLevelResourceManagers-Feature-Gate und standardmäßig deaktiviert. Die Änderung erlaubt es dem Topology Manager, CPU Manager und Memory Manager des Kubelet, Pod-Level-Ressourcendeklarationen direkt bei der Entscheidung über die Hardware-Platzierung zu verwenden.

Zuvor standen Betreiber vor einem unangenehmen Trade-off: Sidecars eigene dedizierte physische Kerne geben und die NUMA-Ausrichtung für den primären Container verlieren, oder Kerne teilen und zusehen, wie der Sidecar dem Workload, der tatsächlich zählt, Zyklen stiehlt. Die Beta ermöglicht hybride Allokationsmodelle, bei denen primäre Container exklusive NUMA-ausgerichtete Ressourcen erhalten, während Sidecars einen pod-isolierten Pool teilen. Sie fügt außerdem Top-Level-cpu_ids- und memory-Felder zu PodResources-Antworten über den v1-gRPC-Dienst hinzu, sodass Monitoring-Tools Pod-Level-Zuweisungen ohne Doppelzählung abfragen können.

Wenn Sie latenzkritische Workloads mit Sidecars betreiben, lohnt sich die Evaluierung jetzt. Die Funktion ist standardmäßig deaktiviert, aber die Kosten des Nicht-Testens bestehen darin, teure physische Kerne einem Log-Forwarder zu dedizieren, der bei 2% Auslastung läuft.

HarnessTax: Die Harness Ihres Coding-Agents ist ein 5x-Kostenhebel

Source: harnesstax.github.io ↗

Coding-Agent-Harnesses - Claude Code, Codex CLI, Pi und der Rest - können ähnliche Aufgaben-Erfolgsraten erzielen, während sie wild unterschiedliche Mengen an Tokens und Geld verbrennen. Über 21 Modell-Harness-Kombinationen auf SWE-bench Lite und Terminal-Bench 2.0 veränderte die Harness-Wahl die Kosten um bis zu 5x. Und die eigene Harness des Modellanbieters war für sein eigenes Modell nicht durchgängig die effizienteste Option.

Die praktische Erkenntnis: Wenn Sie pro Token für agentisches Coding zahlen, ist das Modell nur die halbe Rechnung. Die Harness bestimmt, wie viele Tokens der Agent für Kontext, Retries und Tool-Calls verbrennt. Benchmarken Sie Ihren tatsächlichen Workflow über ein paar Harnesses, bevor Sie sich festlegen, denn die Standardwahl - was auch immer der Modellanbieter ausliefert - ist keine sichere Annahme.

OpenBao und CloudNativePG: Ein vollständig quelloffener Secrets-Stack

Source: cncf.io ↗

Dieser CNCF-Walkthrough zeigt, wie OpenBao - der quelloffene Fork von HashiCorp Vault der Linux Foundation - auf Kubernetes mit einem CloudNativePG-PostgreSQL-Backend betrieben wird. Es ist ein vollständig selbstheilendes Secrets-Management-Setup ohne Vendor-Lock-in.

Die Architektur verwendet einen CNPG-Cluster mit drei Instanzen als verschlüsselten Key-Value-Store von OpenBao. Alle Passwörter werden aus Verbindungen entfernt: Rollen authentifizieren sich über TLS-Client-Zertifikate, die von DatabaseRole ausgestellt und durch explizite pg_hba-Regeln durchgesetzt werden. Ein Schema-Init-Job widerruft standardmäßige öffentliche Berechtigungen, um die Datenbank abzuriegeln. CloudNativePG erneuert Client-Zertifikate automatisch alle 90 Tage, aber OpenBao benötigt einen Rolling Restart, um die neuen Dateien zu laden - ein Detail, das Sie in der Produktion beißen wird, wenn Sie es nicht automatisieren.

Für einen lokalen Test stellt cnpg-playground einen Kind-Cluster mit sechs Nodes bereit, von denen drei für Postgres getaint sind. Dies stapelt zwei CNCF-Projekte zu einem Secrets-Backend mit synchroner Replikation und Zertifikatsauthentifizierung, ohne kommerzielle Lizenz.

Salesforces Login-Dienst wurde zur Ausfallgrenze

Source: theregister.com ↗

Der globale Ausfall traf Hunderte von Instanzen für Stunden. Anfragen blockierten an einem internen Login-Dienst und erschöpften Serverressourcen, was Dienste mit schweren Verzögerungen, intermittierenden Fehlern und Unzugänglichkeit zu Fall brachte. Der Fix wurde fleetweit bereitgestellt, aber einige Instanzen benötigten manuelle Neustarts und wiesen weiterhin Fehler bei geplanten Jobs auf.

Die Zusammenfassung des Register erwähnt außerdem Marvell, das GlobalFoundries um Wafer-Produktion drängt, Huaweis Ascend-NPUs, Nvidias Green-Energy-Initiativen und einen spanischen KI-gestützten Cyberangriff. Russische Phishing-Kampagnen geben sich als Signal-Support aus, und Microsoft patcht On-Premises-SharePoint unter Zero-Day-Angriff. EQT erwirbt eine Mehrheitsbeteiligung an Acronis bei einer Bewertung von über 3,5 Mrd. USD. Außerdem: KDE wurde 30, Shopify übernahm Tailwind, die Schweiz testet FOSS-Alternativen zu Microsoft 365, und Canonical stellt legacäre Chat-Kanäle ein. Ein geschäftiger Tag hinter der großen Schlagzeile.

Cloudflare gibt Workers granulare Autorisation

Source: blog.cloudflare.com ↗

Cloudflare bietet jetzt vier neue Rollen für Workers: Metadaten-Read-Only, Inhalt-Read-Only, Editor und Admin. Diese erlauben Teammitgliedern oder Agents den Zugriff auf bestämte Workers ohne breiteren Kontozugriff - Beobachtbarkeitsdaten ohne Quelcode ansehen, Code lesen ohne zu ändern, Änderungen bereitstellen ohne zu löschen, oder volle Kontrolle über einen einzelen Worker.

Die Rollen sind heute für alle Kunden verfügbar, zuweisbar an Benutzer oder über gescopte API-Tokens für Agents. Dies ist die Least-Privilege-Geschichte, die für agentische Workflows gefehlt hat: Bisher bedeutete, einem Agent die Fähigkeit zum Bereitstellen zu geben, ihm die Schlüssel zum gesamten Konto zu geben. Jetzt können Sie ihn genau einen Worker anfassen lassen und sonst nichts.

Komodors Agentic Oerations Platorm: SREs werden zu Agent-Managern

Source: cloudnativenow.com ↗

Komodor erweiterte seine AI-SRE-Reichweite, um SREs die Bereitstellung agentischer AI-Workflows über seine Agentic Oerations Platorm zu erlauben. Es wird mit über 50 fertigen Szeialisten-Agents, Skills, Inegrationen und MCP-Servern ausgeliefert, mit Vorlagen für Troubleshooting, AI-Konsumtions-Otimierung und CI/CD-Remediation.

Rollenbasierte Rictlinien definieren, wer Agents aufrufen darf und welche Anmeldedaten sie verwenden, mit Guardrails, Audit-Trails, Shadow-Testing und Ausgabenlimiten. Der Pitch ist, dass SREs zu Managern agentischer Engineering-Workflows werden, und das Change-Management-Problem ist real: Tausende von AI-Agents in Produktion brauchen dieselbe Governance wie jeder andere Workload.

Cline und BrowserSkill: Zwei Werkzeuge für den agentischen Workflow

Source: github.com ↗

Cline ist ein Open-Source-Coding-Agent, der IDE, Terminäl und Desktop umfasst. Er liest die Projketstruktur, nimt koordinierte Änderungen vor, überwacht Linter- und Kompilerfehler und führt Terminälbefehle mit Echtzeit-Ausgabebeobachtung aus. Alle Änderungen werden über Checkpoints und Diffs zur Überprüfung verfolgt, und die CLI unterstützt volständig headlessen Modus für CI/CD. Das SDK erlaubt den Bau benutzerdefinierter Agents und Inegrationen.

BrowserSkill verbindet Agents wie Cursor, Claude Code und Codex mit dem bereits angemeldeten Browser des Benutzers. Agents leiehen sich explizit offene Tabs aus und geben sie nach Aufgaben zurück, wobei sie echte Login-Zustände ohne separate Testkonten wiederverwenden. Es läuft in einem separaten Agent-Window, um den Benutzer nicht zu unterbrechen, mit integriertem Human-in-the-Loop für Captchas und Bestätigungen. macOS, Linux und Windows werden unterstützt; Firefox ist geplant.

Laufzeit-Sicherheit: Falco erfasst, was Posture verpasst

Source: webflow.sysdig.com ↗

Diese Sysdig-Einführung argumentiert für Laufzeit-Sicherheit als letzte Verteidigungslinie. Posture-Management erkennt bekannte Schwachstellen und Fehlkonfigurationen, verpasst aber Zero-Days, Rivilege-Eskalationen und erratisches Verhalten - die Dinge, die während der Ausführung eines Workloads paseieren.

Falco beobachtet Systemaktivtäten und löst Alarme bei verdächtigem Verhalten aus, einschließlich Netzwercksverbindungen und Cloud-Konto-Aktivitäten, mit Cloud-nativer Kontext in Alarmen zur Identifizierung von Quellen und Korrelation von Angriffen. Die Szenarien, die es erfasst - gestohlene Anmeldedaten aus Malware, lateräle Beweung durch verwundbare Container - sind genau das, was Komplianz-Scanning nie sehen wird. Wenn Sie nur nach bekannten CVEs scannen, fliegen Sie blind gegen ales, was noch nicht in der Datenbank ist.

Automatisierung von Docker-Registries mit Harness und Terraform

Source: harness.io ↗

Dieses Harness-Tutoriäl führt durch eine Drei-Stufen-Pipeline, die eine eindeutige Docker-Virtual-Registry mit Terraform bereitstellt, ein Image baut und pusht und dann mit Rolling Updätes und automatischem Rollback auf Kubernetes bereitstellt. Jeder Lauf erzeugt ein eindeutiges Suffix (wie df17fdaf), um Namenskonflikte zu vermeiden, und Ausgabevariablen und Harness-Ausdrücke übergeben Daten zwischen den Stufen ohne Hardcoding.

Der Wert liegt in der Eliminierung manueller Registry-Bereitstellung und der direkten Integration von Infrastructure as Code in CI/CD. Wenn Sie Registries noch von Hand in einer Konsole erstellen, ist dies das Muster zum Übernehmen.

Datadog Launches: Instrumentierung, bevor Sie ausliefern

Source: datadoghq.com ↗

Datadogs Launches-Feature in Product Anälytics verbindet Launch-Planung, Instrumäntierung, Exerimäntierung und Berichterstattung in einem Workflow. Der Planungsprozess bewegt sich durch vier Schritte - Kontext, Fragen, Tracking-Plan und Exerimänt - wobei Bits AI jeden Schrit entwirft. Sie können ein Datadog-Feature-Flag verbinden, um Messziele vor der Freigabe zu definieren, und der Tracking-Plan leitet die Ereignisse und Eigenscahften ab, die zur Beantwortung Ihrer Fragen nötig sind, und vergleicht sie mit bestehenden Ereignissen, um Lücken zu zeigen.

Der Nutzen liegt darin, Tage des Post-Launch-Debuggings zu vermeiden, weil niemand die Funktion instrumentiert hat, bevor sie live ging.