Какой у вас опыт работы с Talos Linux?

Я использовал Talos Linux для развертывания production Kubernetes кластеров в двух проектах, где были критичны требования к безопасности и неизменяемости инфраструктуры.

Архитектура и принципы работы: Talos — это immutable Linux дистрибутив, специально созданный для Kubernetes:

• Нет SSH, shell, пакетного менеджера
• Вся конфигурация через API (порт 50000)
• Read-only root filesystem
• Автоматические обновления

Мой практический опыт:

1. Развертывание кластера:

# Генерация конфигурации
 talosctl gen config my-cluster https://10.0.0.10:6443 
   --output-dir ./talos-config

# Применение конфигурации к control plane нодам
talosctl apply-config --insecure --nodes 10.0.0.10 
  --file ./talos-config/controlplane.yaml

talosctl bootstrap --nodes 10.0.0.10

# Добавление worker нод
talosctl apply-config --insecure --nodes 10.0.0.11,10.0.0.12 
  --file ./talos-config/worker.yaml

2. Конфигурация через манифесты:

# machine-config.yaml
version: v1alpha1
machine:
  type: worker
  network:
    interfaces:
      - interface: eth0
        dhcp: true
  install:
    disk: /dev/sda
    image: ghcr.io/siderolabs/installer:v1.5.0
  kubelet:
    extraArgs:
      node-labels: "storage=ssd,zone=us-east"
    clusterDNS:
      - 10.96.0.10
cluster:
  extraManifests:
    - https://raw.githubusercontent.com/longhorn/longhorn/v1.5.0/deploy/longhorn.yaml

3. Интеграция с инфраструктурой как код:

# Terraform для создания нод в AWS
resource "aws_instance" "talos_worker" {
  count         = 3
  ami           = data.aws_ami.talos.id
  instance_type = "t3.large"

  user_data = templatefile("${path.module}/talos-worker.yaml.tmpl", {
    cluster_endpoint = "https://${aws_lb.control_plane.dns_name}:6443"
    node_labels      = "pool=general"
  })
}

# Получение kubeconfig после развертывания
talosctl kubeconfig ./kubeconfig --nodes 10.0.0.10

4. Управление и мониторинг:

# Просмотр логов ноды
talosctl logs --nodes 10.0.0.10 kubelet

# Мониторинг состояния
 talosctl dashboard --nodes 10.0.0.10

# Обновление кластера
talosctl upgrade --nodes 10.0.0.10,10.0.0.11,10.0.0.12 
  --image ghcr.io/siderolabs/talos:v1.5.1

# Резервное копирование конфигурации
talosctl read --nodes 10.0.0.10 /system/state/config.yaml > backup-config.yaml

5. GitOps подход с FluxCD:

# flux-system/kustomization.yaml
apiVersion: kustomize.toolkit.fluxcd.io/v1
kind: Kustomization
metadata:
  name: talos-config
  namespace: flux-system
spec:
  interval: 5m
  path: ./clusters/production/talos
  prune: true
  sourceRef:
    kind: GitRepository
    name: flux-system
  targetNamespace: talos-system

Преимущества, которые я оценил:

• Безопасность: Минимальная attack surface, SELinux по умолчанию
• Надежность: Автоматическое восстановление при повреждении системы
• Согласованность: Идентичные ноды, нет дрейфа конфигурации
• Управляемость: Единый API для всех операций

Сложности и решения:

• Отладка: Использование talosctl logs и talosctl dashboard вместо SSH
• Резервное копирование: Хранение machine config в Git
• Сетевые проблемы: Настройка Cilium CNI вместо flannel
• Хранение данных: Интеграция с Longhorn для persistent storage

Production use case: Кластер из 6 нод (3 control plane, 3 workers) для SaaS приложения с 50+ микросервисами. Автоматические rolling updates без downtime, интеграция с HashiCorp Vault для секретов, мониторинг через Prometheus Operator.