Torrent Gear

Docker va Kubernetes iGaming: deploy strategiyasi

1) iGaming konteksti: platformaga qo’yiladigan talablar

Real-taym (hayot o’yinlari, stavkalar, turnir tadbirlari) → API/WS bo’yicha qat’iy p95.

Trafikning eng yuqori cho’qqilari (strimlar/promo) → «sovuq startsiz» tezkor avtoskeyl.

Pul va komplayens → konturlarning izolyatsiyasi, relizlarning izlanishi, kirish va auditni nazorat qilish.

Multi-yurisdiksiyalar/brendlar → tenalar (namespaces/projects), tarmoq va resurs izolyatsiyasi siyosati.

Asosiy SLO: login ≥ 99. 9%, depozit ≥ 99. 85%, p95 API ≤ 250-400 ms, p95 WS RTT ≤ 120 ms.

2) Kubernetes bazaviy arxitekturasi

Qatlamlar: Ingress/Edge → API/geytveylar → xizmatlar (hamyon, profil, promo, antifrod) → navbatlar/oqimlar → omborxonalar.

Izolyatsiya:’namespace’ga brand/market yoki mintaqa bo’yicha «katak» (cell); alohida NodePools (public API/batch/ws-realtaym).

Tarmoq siyosati: «NetworkPolicy» «deny by default» tamoyili bo’yicha, PSP/KYC/o’yin provayderlariga nisbatan alohida egress siyosati.

Omborxonalar:’StorageClass’zona/mintaqa doirasida replikatsiya qilingan, DB/kesh operatorlari (Postgres/MySQL, Redis, Kafka).

3) Konteyner tasvirlari: sifat va xavfsizlik

Multi-arch (amd64/arm64), distroless yoki slim-bazalar, faqat zarur binarniklar.

SBOM va zaifliklarni skanerlash, tasvir imzosi (Cosign), qabul qilish siyosati (’ImagePolicyWebhook’).

Immutable-tagging:’sha256’bo’yicha relizlar; «latest» taqiqlangan.

Runtime-profillar:’readOnlyRootFilesystem’,’runAsNonRoot’,’seccomp/AppArmor’, minimal Capabilities.

4) Chiqarish strategiyasi: qachon va nimani tanlash

RollingUpdate (andoza)

Bekorsiz; aksariyat API uchun.

readiness/liveness/startup probes, maxUnavailable/maxSurge orqali nazorat qilish.

Blue-Green

Blue va Green parallel oynalari; Ingress/Service darajasida trafikni almashtirish.

Sxemalar/konfiguratsiyalarni katta o’zgartirish uchun yaxshi; tezkor rollback.

Canary

Trafik foizini bosqichma-bosqich kiritish (5 → 10 → 25 → 50 → 100).

SLO-geytlar trigerimi: p95, error-rate, depozitlardagi/stavkalardagi anomaliyalar.

Variantlar: Service Mesh (Istio/Linkerd), kanareya izohli Ingress-kontroller.

A/B и Shadow

Shadow: Yangi chiqarilishdagi trafikning bir qismini foydalanuvchiga javobsiz aks ettiramiz (sof telemetriya).

A/B: bayroqlar (feature-flags) va o’yinchilar/bozorlar segmentatsiyasi bilan funksional eksperimentlar.

5) GitOps va konfiguratsiyani boshqarish

GitOps (Argo CD/Flux): klasterlar Git dan kerakli holatni oʻqiydi; PR va revyu orqali barcha o’zgarishlar.

Namunalar: Helm/Kustomize, chartlarning yagona kutubxonasi.

Sirlar: tashqi menejerlar (Vault/Cloud SM),’ExternalSecrets ’/’ Secrets Store CSI’; KMS kalitlari va rotatsiya.

Pipline (soddalashtirilgan):

1. CI imzo qoʻyilgan rasmni roʻyxatdan oʻtkazadi.

2. PR rasmning versiyasini oʻzgartiradi → GitOps qoʻllaydi.

3. SLO-geytlari bilan kanar rollout → avtomatik promotut yoki avto-rollback.

6) Cho’qqilar ostidagi avtoskeyling va WS-nagruzka

Faqat CPU/RAM emas, balki ilova metrikasi boʻyicha HPA (RPS, p95 latency, queue lag).

KEDA (Kafka, RabbitMQ, Redis, HTTP-queue).

Har kuni soʻrovlar/limitlarni tuzatish uchun VPA.

Cluster Autoscaler + warm-pullar nod (pre-provision) promo/turnirlar vaqtida.

WebSocket xususiyatlari:

individual NodePools (koʻproq tarmoq deskriptorlari), yumshoq yangilanish uchun’PodDisruptionBudget’, Ingress/Mesh orqali sticky-routing (Session Affinity).

7) Stateful-konturlar: hamyon, DD, navbatlar

Operatorlar (Postgres/MySQL, Redis Sentinel/Cluster, Kafka Operator): deklarativ replikatsiya,’PITR’, avtomatik bekaplar.

RPO/RTO siyosati: zonadagi sinxron replikatsiya, asinxron - DR-mintaqalarga.

Depozitlar/to’lovlar uchun idempotency/outbox, PSP vebxuklari va o’yin provayderlari uchun inbox-pattern.

tezkor IOPS bilan StorageClass; hamyon uchun - alohida sinf va lokal SSD (va replikatsiyaga ega bo’lgan uzellar.

8) Tarmoq qatlami va geytveylar

Ingress (Nginx/Envoy/HAProxy/ALB) mTLS bilan backends, HTTP/2/3, HSTS, rate-limits.

Service Mesh: kanareya yo’nalishlari, retray/taym-autlar, circuit-breakers, TLS klaster ichida andoza.

Egress-shlyuzlar: PSP/KYC/provayderlar uchun oq ro’yxatlar, DNS va IP nazorati.

9) Observability va SLO-geytlar relizlari

OpenTelemetry: front orqali trassalar → API → to’lov/o’yin provayderi; 100% xato va «sekin» spanlar.

RED/USE-metrika + biznes-SLI (depozit/stavka/chiqarish muvaffaqiyati).

JSON so’trace _ id’, audit uchun WORM loglari.

Release-gates: agar SLO sinov ulushida yashil bo’lsa, yuviladi.

10) Xavfsizlik: supply chain dan rantaymgacha

Policy as Code: OPA/Gatekeeper/Kyverno (privileged taqiq,’runAsNonRoot’talabi, limitlar, imzoni pull-tekshirish).

Sirlar va kalitlar: faqat Secret Manager’dan;’envFrom’ni minimallashtirish, sirlarni sidecar-in’ektsiya qilish.

Webhooks/provayderlarning vebxuklari: HMAC imzolari, idempotency, egress-shlyuz orqali kirish.

Compliance: relizlar, artefaktlar, kirish (RBAC/MFA) auditi, KTS/loglar artefaktlarini geo-izolyatsiya qilingan holda saqlash.

11) Ko’p mintaqa, failover va DR

Hududlar bo’yicha aktiv-stendbay (hamyon/login/to’lovlar uchun minimal).

Trafik-routing: GSLB/Anycast; SLI bo’yicha health-cheklar (login/depozit/stavka).

Halokatli o’zgartirish: DR-cutover tugmasi (freeze writes → promote DB → keshni isitish → bosqichma-bosqich trafik ruloni).

Mashqlar: PSP, zonalar, o’yinlar provayderining «qulashi» bilan har choraklik GameDay.

12) Konfiguratsiya va chichlarni boshqarish

Feature-flags (ConfigMap/External Config) - avariya paytida og’ir funksiyalarni o’chirish.

Versioned konfigi (xeshi, checksum-annotatsiyalar na Pod), canary -rollauta.

Runtime overrides Mesh/Ingress (taym-autlar, retry-siyosatlar) darajasida rebild tasvirlarsiz.

13) Iqtisodiyot va unumdorlik

Maqsadlar boʻyicha NodePools: RPS-API, WS-realtaym, batch/ETL.

Spot/Preemptible для batch/ETL с `PodPriority` и `PodDisruptionBudget`.

cold-startni pasaytirish uchun JIT/kesh shablonlarini yigʻish.

Resurs budjetlari: requests/limits, VPA tavsiyalari, DB/PSP ulanish limitlari, connection pooling.

14) Manifestlar shablonlari (parchalar)

Ingress izohlari orqali kanareyli deployment:

yaml apiVersion: apps/v1 kind: Deployment metadata:
name: payments-api spec:
replicas: 6 strategy:
type: RollingUpdate rollingUpdate: {maxSurge: 2, maxUnavailable: 1}
template:
metadata:
labels: {app: payments-api, version: v2}
spec:
securityContext: {runAsNonRoot: true}
containers:
- name: app image: registry/payments@sha256:...
ports: [{containerPort: 8080}]
resources:
requests: {cpu: "300m", memory: "512Mi"}
limits:  {cpu: "1",  memory: "1Gi"}
readinessProbe:
httpGet: {path: /healthz, port: 8080}
periodSeconds: 5

Kastom metrikasi bo’yicha HPA (RPS/latency Prometheus Adapter orqali):

yaml apiVersion: autoscaling/v2 kind: HorizontalPodAutoscaler metadata: {name: payments-api}
spec:
scaleTargetRef: {apiVersion: apps/v1, kind: Deployment, name: payments-api}
minReplicas: 6 maxReplicas: 60 metrics:
- type: Pods pods:
metric:
name: rps_per_pod target:
type: AverageValue averageValue: "120"

NetworkPolicy (faqat Ingress-geytvey va kerakli egress):

yaml apiVersion: networking. k8s. io/v1 kind: NetworkPolicy metadata: {name: payments-restrict}
spec:
podSelector: {matchLabels: {app: payments-api}}
policyTypes: ["Ingress","Egress"]
ingress:
- from: [{namespaceSelector: {matchLabels: {gw: ingress}}}]
egress:
- to: [{ipBlock: {cidr: 10. 0. 0. 0/8}}] # ichki xizmatlar
- to: [{namespaceSelector: {matchLabels: {svc: psp-egress}}}]

15) Reliz chek-varaqasi (prod-ready)

Rasm imzolangan, SBOM yig’ilgan, zaifliklar maqbul darajada.
Manifestlar policy-checkdan (Kyverno/OPA) o’tadi, minimal imtiyozlar.
Readiness/Startup probes toʻgʻri;’PDB’va’PodPriority’sozlangan.
Kanar rejasi: 5% → 10% → 25% → 50% → 100% SLO geytlari va avto-rollback bilan.
HPA/KEDA + Cluster Autoscaler; hodisa uchun warm-pool nod.
Vault/SM sirlari; konfiguratsiyalangan; fich bayroqlari tanazzulga tayyor.
E2e trassasi yoqilgan; SLIdagi alertlar (depozit/stavka/chiqarish).
DR-reja va cutover tugmasi stendda tekshirilgan; bekaplar/PITR sinovdan o’tkazildi.
Hujjatlar: qanday qilib orqaga qaytish, PSP/o’yin provayderini qanday o’zgartirish, kechasi kimni chaqirish kerak.

16) Regressiyaga qarshi va namunaviy tuzoqlar

Greys davri juda qisqa → erta 5xx da rollout.

Yagona BD limitsiz puli → skeylda birikmalar ko’chkisi.

Aylanishsiz o’zgaruvchan muhitdagi sirlar → oqish.

Mesh limitsiz/taym-autsiz → tanazzulga uchragan provayderlarda osilib qolish.

HPA faqat CPU → WS/API orqali kattalashtirishga ulgurmaydi.

Xulosa

iGaming’dagi deploy strategiyalari - bu ishonchli konteyner amaliyotining kombinatsiyasi (xavfsiz tasvirlar, kirish siyosati), aqlli relizlar (canary/blue-green c SLO-geytami), to’g "ri avtoskeyl (HPA/KEDA + cho’qqilar uchun warm-nodlar), stateful-konturlar uchun operatorlar va ko’p mintaqaviy DR. GitOps qo’shing, to’lovlar va o’yin provayderlari, tarmoq siyosati va profil NodePools orqali tejash orqali - va sizning relizlaringiz oldindan aytib bo’ladigan, tez va pul va o’yinchilar uchun xavfsiz.