Category: 資訊相關Idea與筆記

Posted on

用 helm-diff 在升級前先看會改到什麼

我管理 Helm chart 的慣例

每個 chart 我會開一個目錄，維護四個檔案：

  • init-repo.sh：加入 repo 的指令，記錄 repo 是怎麼加的。
  • upgrade.sh：安裝與升級的指令，通常是 helm upgrade --install，並用 --version 固定 chart 版本。
  • values.yaml：先用 helm show values <chart> 取得可調整的設定，再改成自己要的。不用 --set 是因為設定只存在指令列裡，事後很難回想當初設了什麼。
  • README.md：說明文件。

這些都是純文字檔，可以直接納入版本管理。

為什麼需要 helm-diff

最近用 Claude 整理自家的 k8s，發現有些 release 是早期直接下指令裝的，沒有照上面的慣例留下 values.yaml。要把它們補回來，得先確認「我補寫的 values.yaml 和叢集裡實際在跑的設定一致」，Claude 建議我裝 helm-diff 這個 plugin 來比對。

helm-diff 會把「chart 加上你的 values」算出來的 manifest，拿去和叢集裡該 release 目前的 manifest 比較，像 git diff 一樣列出差異。它只做比對，不會改動叢集。

安裝

Helm 4：

curl -sL https://github.com/databus23.gpg | gpg --import
gpg --list-keys --with-fingerprint EA17A2A206AFF8CD
# 指紋應為：C5645EF4 7482257A 1F806D2B EA17A2A2 06AFF8CD
helm plugin install https://github.com/databus23/helm-diff/releases/latest/download/helm-diff-linux-amd64.tgz

Helm 4 安裝 plugin 時預設會驗證來源證明（provenance），確認檔案確實由作者簽署、沒有被竄改，所以要先匯入作者的 GPG 公鑰，並核對指紋。只有直接指向 tarball 的網址才支援驗證。檔名裡的 linux-amd64 請依自己的作業系統與架構，到 releases 頁面挑對應的檔案。

Helm 3（需 3.18 以上）：

helm plugin install https://github.com/databus23/helm-diff

使用

升級前先看會改什麼。參數和 upgrade.sh 裡的 helm upgrade 保持一致即可：

helm diff upgrade ngf <chart> -n nginx-gateway --version <版本> -f values.yaml -C 3

-C 3 是只顯示差異前後 3 行，不加的話會印出完整 manifest。Secret 的內容預設會遮蔽。

rollback 前先看退回某個 revision 會改什麼：

helm diff rollback ngf 1 -n nginx-gateway

把手動安裝的 release 補回慣例

  1. 取出當初安裝時給的設定：helm get values ngf -n nginx-gateway -o yaml > values.yaml
  2. 用 helm list -n nginx-gateway 確認目前的 chart 版本，寫進 upgrade.sh。
  3. 執行上面的 helm diff upgrade。沒有任何輸出，就代表這份 values.yaml 和線上設定一致，可以放心納入版本管理。

其他常用的子指令

  • upgrade：升級會改什麼
  • rollback：rollback 會改什麼
  • revision：比較同一個 release 的兩個 revision，例如 helm diff revision ngf 1 2
  • release：比較兩個 release，例如 prod 和 staging

要注意 helm-diff 預設是和 Helm 記錄的上一版 manifest 比。如果有人用 kubectl edit 直接改過資源，要加 --three-way-merge 才會和叢集的實際狀態比對。

Posted on

pre-commit

在使用 Claude 時，Claude 建議我使用這工具搭配 gitleaks，可以在提交代碼前檢查是否有機敏資料會被提交到 git repository。

Claude 都這麼建議了，就試試吧。

在 Ubuntu 24.04 ，gitleaks 跟 pre-commit 都已經可以使用 apt 安裝。

sudo apt install gitleaks pre-commit

接下來就是配置。

目前我是先在一個 repository 測試，所以要先撰寫 .pre-commit-config.yaml

# See https://pre-commit.com for more information
# See https://pre-commit.com/hooks.html for more hooks
repos:
  - repo: https://github.com/pre-commit/pre-commit-hooks
    rev: v3.2.0
    hooks:
    -   id: trailing-whitespace
    -   id: end-of-file-fixer
    -   id: check-yaml
    -   id: check-added-large-files
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.24.2
    hooks:
      - id: gitleaks

在這裡，我使用 pre-commit 所提供的範例，剛好也是我常會用的

  • 檢查行末空白
  • 末行的EOF
  • yaml 格式
  • 避免加入過大的檔案

再來是 gitleaks 的部份，這邊我有點猶豫的是語法，不確定我已經用 apt 安裝 gitleaks 了，是否還要加上 repo。後來想，先加上去再說，錯了再處理就好。但結果看起來是可以使用。

在編寫完成以後，執行以下指令安裝

pre-commit install

再來是 gitleaks 設定

# gitleaks 設定：沿用內建規則，再補上內建沒有的規則（#14）
[extend]
useDefault = true

# Tailscale key：tskey-<auth|client|api|scim|webhook>-<id>-<secret>
# 內建規則沒有涵蓋，見 work-diary/20261002-tailscale-oauth-secret.md
[[rules]]
id = "tailscale-key"
description = "Tailscale auth key / OAuth client secret / API key"
regex = '''\btskey-[a-z]+-[0-9A-Za-z]{6,}-[0-9A-Za-z]{16,}\b'''
keywords = ["tskey-"]

# Telegram bot token：<bot id>:AA<33 字元>（共約 46 字元）
# 內建的 telegram-bot-api-token 要求 token 前面有「telegr」，Alertmanager 的 `bot_token: <token>` 抓不到（#22）
[[rules]]
id = "telegram-bot-token-bare"
description = "Telegram bot token（不需要 telegram 關鍵字）"
regex = '''\b[0-9]{8,10}:AA[0-9A-Za-z_-]{33}\b'''
keywords = [":aa"]

然後就收工了。

pre-commit install 會把腳本寫到 .git/hooks/pre-commit ，讓 git commit 時，可以執行此腳本來檢查。

Posted on

壓縮pdf

MacOS的預覽程式本身就可以壓縮 pdf ，方法可以參考 Apple 官方網站的文章：https://support.apple.com/zh-tw/guide/preview/prvw1509/mac

開啟 pdf 以後，

  1. 選擇「檔案」>「輸出⋯」。
  2. 在「Quartz 濾鏡」彈出式選單中，選擇「減少檔案大小」。
  3. 儲存

這樣就可以了。

但….如果 pdf 已經壓縮過、包含向量圖、嵌入字型或特殊物件時，那麼反而可能得到反效果，檔案會變大。

我自己是有安裝 homebrew ，就想說是不是安裝什麼工具來作就好。

問了 AI ，他就說可以用 gs ，也就是 ghostscript 就可以解決。

先安裝

brew install ghostscript

接下來就執行 gs

gs \
  -sDEVICE=pdfwrite \
  -dCompatibilityLevel=1.4 \
  -dPDFSETTINGS=/ebook \
  -dNOPAUSE \
  -dQUIET \
  -dBATCH \
  -sOutputFile=output.pdf \
  input.pdf

把 input.pdf 跟 output.pdf 換掉就可以。

壓縮等級主要是調整 -dPDFSETTINGS= 參數，參數內容可以參考

參數品質檔案大小
/prepress最高最大
/printer高較大
/ebook中推薦
/screen低最小

ghostscript 還可以調整 pdf 內的圖片解析度

gs \
 -sDEVICE=pdfwrite \
 -dCompatibilityLevel=1.4 \
 -dColorImageDownsampleType=/Bicubic \
 -dColorImageResolution=150 \
 -dGrayImageDownsampleType=/Bicubic \
 -dGrayImageResolution=150 \
 -dMonoImageDownsampleType=/Subsample \
 -dMonoImageResolution=300 \
 -dNOPAUSE \
 -dQUIET \
 -dBATCH \
 -sOutputFile=output.pdf \
 input.pdf

其他的方法還有 pdfcpu, ocrmypdf ，這些我就沒測試了。

Posted on

將 pod 佈署到Control plane上

一般來說，是無法佈署應用程式到 Control plane 上的，主要是要讓 Control plane 的資源儘量不受到排擠。這是因為 node 用了 annotation/taint 方式來做標記，這樣 scheduler 才知道這些 node 是不能放 pod 的。

在資源不夠的情況下，會想儘可能使用到所有 node 資源。這時候可以透過以下方式來處理

# Source - https://stackoverflow.com/a/72264143
# Posted by TheDHM, modified by community. See post 'Timeline' for change history
# Retrieved 2026-09-02, License - CC BY-SA 4.0

kubectl taint node <master-node> node-role.kubernetes.io/control-plane:NoSchedule-
kubectl taint node <master-node> node-role.kubernetes.io/master:NoSchedule-

要注意的地方，請先用 kubectl describe node來查看 taint 是打上哪一個，再看用哪一個指令。

參考資料：

Posted on

helm-dashboard

可以管理 helm chart 的網頁工具。

https://github.com/komodorio/helm-dashboard

有兩種使用方式

  • 指令列
  • 用 helm 佈署到容器平台

指令列

安裝 (以下假定你已經安裝 helm)

helm plugin install https://github.com/komodorio/helm-dashboard.git

使用

helm dashboard -b --bind=0.0.0.0 -p 8080

這會在 port 8080 啟動一個網頁伺服器，然後就可以用瀏覽器存取了。

用 helm 佈署到容器平台

加入 helm repo

helm repo add komodorio https://helm-charts.komodor.io

更新 helm repo

helm repo update komodorio

取出 chart 可設定的參數

helm show values komodorio/helm-dashboard >values.yaml

修改 values.yaml，主要修改以下內容

  • ingress：我使用 tailscale ，所以 ingress 設為 tailscale
  • service：port 調整為 9090，這改不改沒關係
  • dashboard：因網頁介面內可以直接 upgrade chart，所以把 allowWriteActions 設為 true

ingress:
enabled: true
className: “tailscale”
hosts:
– host: “”
service:
port: 9090
dashboard:
allowWriteActions: true

安裝

helm upgrade --install helm-dashboard komodorio/helm-dashboard \
  --namespace helm-dashboard \
  --create-namespace \
  -f values.yaml

安裝以後，就可以使用 ingress 的 address 登入了。

畫面可參考：https://github.com/komodorio/helm-dashboard/blob/main/images/screenshot.png

Posted on

Sonatype Nexus3 資料庫遷移

Nexus3 在 3.71 以後，決定不使用 OrientDB 了，要改用 h2 或 postgresql。

postgresql 是需要付費的，所以免費的選擇是使用 h2。

官方提供了遷移的方法：https://help.sonatype.com/en/orient-3-70-java-8-or-11.html

這邊整理一下我遇到的情況，我的環境是 archlinux ，安裝 nexus-oss 以後，程式放在 /usr/lib/nexus-oss，資料跟自訂設定都放在 /var/lib/nexus-oss。

第一步是先做備份。

我先建立 /var/lib/nexus-oss/backup 目錄，然後設定 owner 為 nexus。接著登入 nexus，進入 Admin，新增 Task 做備份 (請依照官方文件操作)。我把備份檔案放在 /var/lib/nexus-oss/backup 。

第二步是停止服務： sudo systemctl stop nexus-oss

第三步是進行 Migrate 。新版本要求使用 Java 11 以後的版本，所以這邊要注意，得使用跟啟動 nexus3 相應的 Java 版本來執行 Migrate。

ArchLinux 的 Java 版本可從 /usr/lib/jvm 下看到，或是用 archlinux-java status 指令察看，目前我的 nexus-oss 是用 java 11 啟動。

先切到 /var/lib/nexus-oss/backup 目錄下，執行以下指令

sudo /usr/lib/jvm/java-11-openjdk/bin/java -Xmx16G -Xms16G -XX:+UseG1GC -XX:MaxDirectMemorySize=28672M -jar /usr/lib/nexus-oss/bin/nexus-db-migrator.jar --migration_type=h2 --force=true

執行完成以後，會出現 nexus.mv.db 這個檔案。

P.S. 我本想用 Java 17 來做，但會有以下錯誤，說 Migrate fail：

module java.base does not "exports sun.nio.ch" to unnamed module

後來查了一些文章，才想到應該要用相應的 Java 版本。

第四步，把 nexus.mv.db 複製到 /var/lib/nexus-oss/db 目錄下，並設定 owner 為 nexus。

第五步，修改 /var/lib/nexus-oss/etc/nexus.properties ，增加

nexus.datastore.enabled=true

最後重新啟動，就可以了。

我後續是遇到密碼錯誤的情況，這邊再參考這篇 KB 來做：https://support.sonatype.com/hc/en-us/articles/213467158-How-to-reset-a-forgotten-admin-password-in-Sonatype-Nexus-Repository-3

我本來是依照 KB 作法，3個步驟都做了，但我後來發現只要做 Check for existing admin user 這個步驟就可以，只需要執行更新 security_user 資料表格的動作。

Posted on

終端機快速複製檔案內容到剪貼簿

資料來源：How to copy and paste within a terminal in macOS or Linux?

在 MacOS 下，可以用 pbcopy/pbpaste

cat file.txt | pbcopy
pbpaste | tee foo.txt

在 Linux 下，要用 xsel，主要是參數 –input 跟 –output

# 複製到剪貼簿
cat file.txt | xsel --clipboard --input
xsel --clipboard --output | tee foo.txt

若要讓指令一致，可以用 alias

alias pbcopy='xsel --clipboard --input'
alias pbpaste='xsel --clipboard --output'
Posted on

網站是用wordpress做的嗎？

最近在幫朋友找 wordpress 佈景主題，所以在找是不是有工具可以分析網站，取得資訊。

結果就找到這篇：How to Discover Which WordPress Theme a Site is Using – GreenGeeks

這篇文章介紹了四個方法，其中一個方法是借助 IsItWP 這個網站。這個網站除了可以偵測網站是否用 wordpress 做的之外，也可以分析裡面用到的 plugin 或是 theme，真的是很方便。

其他兩個網站分別是

使用方法都很簡單，貼上要分析的網址就可以了。

最後一個萬不得已的方法就是看網頁原始碼了。

Posted on

用trivy掃描KBOM

KBOM = Kubernetes Bills Of Material，就是 Kubernetes 的物料清單。

trivy 是由 Aqua Security 所開發的一個掃描工具，現在支援了 KBOM，可以依據 Kubernetes 務料清單裡的軟體來進行掃描，並產出報告。

安裝可以從 https://github.com/aquasecurity/trivy 來下載安裝，有提供以下方式

  • Container image
  • Debian package
  • RPM package
  • Homebrew

安裝好以後，就可以使用了。

那要掃描 KBOM ，要先產出 kbom.json，用以下指令就可以產出。這邊要注意，執行 trivy 的電腦上必須已經放置 ~/.kube/config ，這樣 trivy 才能存取到 k8s cluster。

trivy k8s cluster --format cyclonedx --output kbom.json

有了 kbom.json 以後，就可以用以下指令產出報告

trivy sbom kbom.json

我的 k8s 報告如下

2024-02-18T15:29:26.693+0800	INFO	Vulnerability scanning is enabled
2024-02-18T15:29:26.694+0800	INFO	Detected SBOM format: cyclonedx-json
2024-02-18T15:29:26.720+0800	WARN	No OS package is detected. Make sure you haven't deleted any files that contain information about the installed packages.
2024-02-18T15:29:26.721+0800	WARN	e.g. files under "/lib/apk/db/", "/var/lib/dpkg/" and "/var/lib/rpm"
2024-02-18T15:29:26.721+0800	INFO	Detected OS: ubuntu
2024-02-18T15:29:26.721+0800	WARN	This OS version is not on the EOL list: ubuntu 22.04.3
2024-02-18T15:29:26.721+0800	INFO	Detecting Ubuntu vulnerabilities...
2024-02-18T15:29:26.721+0800	INFO	Number of language-specific files: 3
2024-02-18T15:29:26.722+0800	INFO	Detecting kubernetes vulnerabilities...
2024-02-18T15:29:26.728+0800	INFO	Detecting gobinary vulnerabilities...

kbom.json (ubuntu 22.04.3)

Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)


 (gobinary)

Total: 3 (UNKNOWN: 0, LOW: 0, MEDIUM: 3, HIGH: 0, CRITICAL: 0)

┌──────────────────────────────────┬─────────────────────┬──────────┬────────┬───────────────────┬────────────────┬──────────────────────────────────────────────────────────┐
│             Library              │    Vulnerability    │ Severity │ Status │ Installed Version │ Fixed Version  │                          Title                           │
├──────────────────────────────────┼─────────────────────┼──────────┼────────┼───────────────────┼────────────────┼──────────────────────────────────────────────────────────┤
│ github.com/containerd/containerd │ CVE-2023-25153      │ MEDIUM   │ fixed  │ 1.6.15            │ 1.5.18, 1.6.18 │ containerd: OCI image importer memory exhaustion         │
│                                  │                     │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2023-25153               │
│                                  ├─────────────────────┤          │        │                   │                ├──────────────────────────────────────────────────────────┤
│                                  │ CVE-2023-25173      │          │        │                   │                │ containerd: Supplementary groups are not set up properly │
│                                  │                     │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2023-25173               │
│                                  ├─────────────────────┤          │        │                   ├────────────────┼──────────────────────────────────────────────────────────┤
│                                  │ GHSA-7ww5-4wqc-m92c │          │        │                   │ 1.6.26, 1.7.11 │ containerd allows RAPL to be accessible to a container   │
│                                  │                     │          │        │                   │                │ https://github.com/advisories/GHSA-7ww5-4wqc-m92c        │
└──────────────────────────────────┴─────────────────────┴──────────┴────────┴───────────────────┴────────────────┴──────────────────────────────────────────────────────────┘

從報告可以看出軟體元件的版本跟漏洞報告。

如果不產出 kbom.json ，也可以用另外一個方式掃描

trivy k8s cluster --scanners vuln --report summary

不過這指令在我的 k8s cluster，會有問題，我猜想是我 k8s cluster 不夠力的關係，就先這樣吧。

trivy 也有 operator 可以安裝，有機會再來看看怎麼使用。

參考資料

Posted on

sitespeed.io 取得網站效能

來源：https://www.sitespeed.io/

專案已經提供了用容器啟動的方式，所以蠻容易的

docker run --rm -v "$(pwd):/sitespeed.io" sitespeedio/sitespeed.io:32.2.0 https://www.sitespeed.io/

執行完成後，會在當前目錄產生 sitespeed-result 目錄，目錄裡就有你需要的效能報告。

有需要撰寫自訂腳本測試的，可以參考 https://www.sitespeed.io/documentation/sitespeed.io/scripting/

效能報告以網頁呈現，用瀏覽器就可以開啟。