eBPF: Mit Linux-Bytecode Kubernetes überwachen

Mit eBPF können wir Code in den Linux-Kernel laden. Erstmal ähnlich wie Linux-Module nur "versionsunabhängig" und in einer Sandboxumbegung (VM) im Kernel.

Mit eBPF-Programmen können wir uns an Codeabschnitte des Kernels hängen. Wird dieser durchlaufen, so wird das eBPF-Programm (z.B. bei Netzwerk oder Syscalls) ausgeführt.

Im Vortrag erklären und zeigen wir wie eBPF im Kernel funktioniert und welche Bedeutung es gerade für das Kubernetesökosystem hat.

Im ersten Teil gibt es ein paar Grundlagen und wir nutzen das Kommandozeilentool bcc, um eine grobe Idee von der Funktionsweise zu bekommen.

Dann schauen wir uns an, wo in Kubernetes eBPF verwendet wird, und zwar anhand eines konkreten Beispiels.

Vorkenntnisse

Linux und Kubernetes sollten sicher sitzen.

Lernziele

Verstehen wie eBPF funktioniert und "gewinnbringend" eingesetzt werden kann.