Willkommen zu allesnurgecloud.com – Ausgabe #139!

In dieser Woche sorgte das Release-Video von Devin, dem ersten AI Software Engineer, für ordentlich Furore. Die Firma hinter „Devin“, Cognition Labs, hat nun eine 21 Millionen Dollar Series-A Runde angekündigt – es gibt zwar öffentlich bisher nicht viel zu sehen, aber man scheint dem Team hinter CEO Scott Wu hier zu vertrauen.
Nachdem ich dann dieses Video von einer Mathe Challenge mit Scott Wu von vor 14 Jahren gesehen hab, sind dann viele Zweifel auch verflogen.

Happy Bootstrapping Podcast

In Folge 63 von dieser Woche habe ich mit Bjoern Weiland, dem CEO von Trimexa, gesprochen. Trimexa ist die Heimat von 11 Dealcommunitys, wie beispielsweise Deal Doktor, HandyHase, ChinaGadgets oder Schnäppchenfuchs. Gestartet ist die Firma 2008 als kleines Blog, heute arbeiten 85 Angestellte für Trimexa.

allesnurgecloud.com ist ein kuratierter Newsletter mit Inhalten aus der Open-Source, Cloud und IT-Welt.
Für weiteren Content folge mir gerne auf Twitter, Mastodon oder LinkedIn.

Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren:

VMware Alternativen Proxmox, Hyper-V, Nutanix und Co.

In der vorletzten Woche hatte ich die Thematik rund um Broadcom und VMware zusammengefasst. Broadcom CEO Hock Tan hat nun in einem Blog-Artikel über die ersten 100 Tage von VMware bei Broadcom resümiert.

We overhauled our software portfolio, our go-to-market approach and the overall organizational structure. We’ve changed how and through whom we will sell our software. And we’ve completed the software business-model transition that began to accelerate in 2019, from selling perpetual software to subscription licensing only – the industry standard.

Das hatten wir ja schon und ist auch soweit bekannt, Broadcom geht zu einem SaaS Modell über, da dies mittlerweile der Industrie-Standard ist, und eben auch das, was die Aktionäre erwarten.
Tan weiter:

Of course, we recognize that this level of change has understandably created some unease among our customers and partners.

Das kann man wohl so sagen. Was man so hört, verlängern einige zwar zähneknirschend, schauen sich aber sehr viel ernsthafter Alternativen an. Ob viele das dann auch durchziehen, das kann man heute bislang nicht genau sagen.

Im verlinkten Artikel bei heise.de werden alternative Virtualisierungslösungen genauer beleuchtet.

Der Open Source Fan kennt Proxmox schon länger. Die Suite von Proxmox ist auf Basis von Linux, KVM/QEMU, ZFS und wahlweise auch mit Ceph realisiert. Proxmox an sich ist Open Source, man kann sich aber zur Sicherheit Support bei der Proxmox Solutions GmbH aus Wien einkaufen:

• „Basic“ Support mit einer Reaktionszeit von einem Tag, Zugriff auf das Enterprise Repository und 3 Support-Tickets im Jahr kostet 340 € pro CPU-Sockel pro Jahr
• „Standard“ Support mit einer Reaktionszeit von 4 Stunden, Remote-Support Zugriff und 10 Support-Tickets im Jahr kostet 510 € pro CPU-Sockel pro Jahr
• „Premium“ Support mit einer Reaktionszeit von 2 Stunden, Remote Zugriff, unlimitierten Support-Tickets im Jahr kostet 1020 € pro CPU-Sockel pro Jahr

Für 110€ pro Sockel/Jahr gibt es Community Support – alle Preise und Funktionen findest du hier in der Übersicht.

Hyper-V von Microsoft ist für Kunden mit „Microsoft Anforderungen“ vermutlich die einfachste Lösung – außerdem kennt man den Vertrieb und Supportkanal hier schon. Ansonsten is der Lizenzdschungel hier auch nicht gerade einfach, aber eben möglich, wenn man sich eh schon gut leiden kann.

Bei Red Hat sucht man (vergeblich?) nach einer einfachen Alternative, denn Red Hat Enterprise Virtualization (RHEV) wurde eingestellt und es gibt nur noch „Maintenance Support“. Red hat verweist selbst auf die Red Hat OpenShift Virtualization und da ist für ein paar VMs der „mit Kanonen auf Spatzen schießen“ Vergleich noch viel zu schwach.

Wer auf ein Red Hat RHEV ähnliches Projekt setzen möchte, wird vielleicht beim Oracle Virtualization Manager fündig. Die technische Basis ist ähnlich, jeglich GlusterFS als Storage kann man an der Stelle hinterfragen. Ist man sowieso ein „Oracle Shop“, kann man sich die Lösung anschauen – oder gerade nicht, damit man etwas mehr Vendor-Diversifizierung hat.

Eine moderne Lösung könnte SUSE mit Rancher Harvester liefern. Harvester verspricht ein einfach nutzbares Bundle von Linux, KVM, Kubernetes, KubeVoirt und Longhorn in einem Produkt – speziell im DataCenter und an Edge Standorten könnte dies eine spannende Lösung sein, da man hier VMs und Kubernetes/Container Workload unter einem Hut bekommt.

Der lachende im Bunde könnte am Ende auch Nutanix sein – man bekommt hier Hardware + Software im Bundle, die am ehesten dem entspricht, was man von VMware gewohnt ist. Es gibt eine vCenter ähnliche Zentrale mit „Prism“, das „AOS Storage“ ist die vSAN Lösung von Nutanix.
Profitiert hat Nutanix zumindest schon mal an der Börse – standen die Aktien im November 2023 noch bei $40, so notieren sie heute bei über $60 pro Aktie.

Schreib mir gerne, wie das bei dir in der Firma aussieht – migriert ihr auf eine andere Lösung?
Schluckt ihr die VMware / Broadcom Pille oder geht sowieso alles in die Cloud und das ganze Theater beschleunigt die Migration sogar noch?

Virtualisierung: Alternativen zu VMware

---

Logging bei Cloudflare: ELK Stack und ClickHouse

Den Logging Stack von Cloudflare hatte ich in einem Artikel von 2022 schon mal im Newsletter. Cloudflare ist ein ClickHouse Early Adapter und schrieb bereits im Jahr 2018 über 6 Millionen Requests pro Sekunde in seinen Logging Stack. Das dürfte heute noch sehr viel mehr sein.

In einem aktuellen Artikel aus dem Januar 2024 gibt Colin Douch ein Update in den Logging bzw. Observability Stack von Cloudflare.
Auf normalen Systemen wird lokal geloggt und die Logs dann über und stdout/stderr nach sytemd-journald geschrieben. Syslog-NG packt diese Logs in einen JSON Wrapper und leitet sie in 2 Cloudflare Datacenter weiter. Ja, es gibt bei Cloudflare 1 DC in den USA und eines in der EU, die recht zentrale Services bereitstellen – die haben dann mit den hunderten CDN POPs (Points of Presence) dann wenig zu tun.

Über die endpoints log-a und log-b werden die Logs in ein Kafka Topic pro Datacenter geschrieben. Sollte eines der Datacenter mal nicht erreichbar sein bzw. die Queue dort überlaufen, so erkennt der Log Shipper „log-x“ das und dupliziert die Nachrichten in das hoffentlich verbleibende DC, damit das rückkehrende DC dann später nach verarbeiten kann. Falls ich das nun nicht so verständlich erklärt habe, schau dir mal dieses Bild dazu an.

Die Logs werden dann in den verarbeitenden DCs in Kafka gepuffert. Das hat den Vorteil, dass weitere Log Consumer sich einfach auf Kafka subscriben können. Die Kafka Cluster sind entsprechend dimensioniert, sodass 8 Stunden Consumer Ausfall in Kafka gepuffert werden können. Da Cloudflare die „Timestamp Limitierung von Syslog“ auf Microsekunden nicht ausreicht, hat man noch eine Dimension mit „Key“ und „Hostname“ eingeführt, sodass man zumindest sicherstellen kann, dass die Logs eines Hosts in der richtigen Reihenfolge verarbeitet werden. In Zukunft möchte man dies mit „Open Telemetry Logs“ lösen.

So, kommt der spannende Teil: die Logsenke.
Cloudflare hat historisch einen klassischen ELK Stack (Elasticsearch, Logstash & Kibana) mit über 90 Nodes.
Hierbei werden die Nodes in Master Nodes, Data Nodes und „HTTP“ Nodes unterteilt – so skaliert man Elasticseach typischerweise. Die „HTTP“ Nodes nutzt Cloudflare exklusiv für die Auslieferung von Queries – dies wird normalerweise von den Data Nodes gemacht, hat aber dank besserem Caching auf der HTTP Node Seite eine deutlich bessere Performance, als wenn HTTP und DATA vom selben Node geliefert wird.

ClickHouse ist der „moderne“ Datenspeicher von Cloudflare. Hier hat man ein 10 Node Cluster, welches in Zukunft das primäre Log Target werden soll. Aktuell werden die Logs über die Kafka Queue in beide Systeme geladen, was für die Engineers den Vorteil hat, dass die entweder mit der Lucene Query Language gegen Elasticsearch oder mit SQL und Bash Skripten ClickHouse abfragen können. Nach ClickHouse werden die Daten über Vector.dev geshippt – kleine Notiz an mich selbst, das mal unbedingt anzuschauen.
Vector kann 40 verschiedene Sources verabeiten, Daten transformieren und dann in 53 verschiedenen Ziele speichern – unter anderem eben ClickHouse, Loki, Splunk oder auch Elasticsearch.

Der Artikel ist nun etwas länger geworden, man merkt vielleicht, dass mich das Thema etwas interessiert.

Hast du einen ähnlichen Stack?
Ich denke, mit solch einem Stack kann man der „Logs are Trash“ Problematik aus Ausgabe 137 auch begegnen.

An overview of Cloudflare’s logging pipeline

---

---

Nodemailer & EmailEngine: Wie aus „Open-Source“ ein Business entstehen kann

Andris Reinman ist der Autor der populären NodeJS E-Mail Bibliothek „Nodemailer“, die er hauptsächlich alleine seit 2010 entwickelt.

Er beschreibt im verlinkten Blog-Artikel, dass er in der Vergangenheit viele Start-ups und Produkte gesehen hat, seine Software im Kern verwendet und für Multi-Millionen Beiträge verkauft wurden. Dabei blieb im meist nur das GitHub Sponsoring, das monatlich zwischen 50$ und 750$ variiert.

Andris hat daraus gelernt und sein zweites Projekt, EmailEngine, unter einer restriktiveren Lizenz „Source Available“ gestelt. Der Source Code ist dabei weiterhin auf GitHub verfügbar, aber die Lizenz dahinter ist kommerziell. Und so können Firmen heute ordentlich Entwicklerzeit sparen, in dem sie mit der EmailEngine API das IMAP und SMTP Protokoll abstrahieren, sie benötigen dafür jedoch eine Lizenz für 895$/Jahr.

Andris lebt heute in Estland und kann von den 6100 € MRR (Monthly Recurring Revenue) nun Vollzeit an seinem Projekt arbeiten und weitere Produkte bauen.
Interessant, dass er es geschafft hat, diesen „Workaround“ für sein Dilemma zu bauen und seine Open Source Library dann indirekt zu monetarisieren. Die Landingpage von Nodemailer enthält nun diverse Verweise & Werbung für EmailEngine, was ja in jedem Fall total nachvollziehbar is.

How I turned my open-source project into a business

---

„Bruno“ API Client „Golden Edition“

Passend zum obigen Thema möchte ich kurz auf die „Golden Edition“ des API Testing Clients Bruno hinweisen.

Über Bruno und die Motivation der Macher hatte ich in einer früheren Ausgabe berichtet. Bruno ist eine vielversprechende Alternative zu Postman, die vor allem seit dem „Cloud Zwang“ bei Postman ordentlich an Fahrt und Features aufgenommen hat.

Mit der Golden Edition kannst du oder deine Firma die Entwicklung von Bruno für ein „One-Time Payment“ unterstützten. Für einmalig 19$ für Privatpersonen und 49$/User für Unternehmen erhältst du, neben Karma Bonus, noch weitete Features:

• Personal Edition: Bru File Explorer, Visual Git , GRPC, SocketIO, MQTT, Developer Tools, Terminal, Custom Themens und Load Testing für APIs
• Organisationen erhalten in Zukunft zusätzlich Centralized License Management, Private Collection Registry und eine Integration mit Secrets Managern.

In den GitHub Discussions zum Projekt findest du die ausführliche Beschreibung des aktuellen „API Client Status Quo“ und die Motivation des Core Maintainers in voller Transparenz – inklusive Timeline der Ereignisse. Mir war gar nicht klar, dass Postman $434 Millionen Venture Funding eingesammelt hat, das ist total verrückt. Selbst Httpie hat eine $6,5 Millionen Seed-Runde gemacht.

Bruno Entwickler Anoop hat diverse VC Anfragen erhalten, möchte aber weiterhin eigenverantwortlich am Projekt arbeiten:

I have chosen not to explore raising money for Bruno. Reasons being:
Would like to grow slowly, preserve full liberty and freedom over the product direction.
Have confidence in building a profitable enterprise through Golden Edition purchases as well as building ancillary products around Bruno.

Also, Golden Edition bestellen – oder Firma überzeugen, das gleich im großen Stil zu machen.

Jetzt heute (am Freitag) gibt es die Golden Edition nur für 9$.
Die Lizenz läuft dann übrigens für 2 Jahre, danach kannst du die Software ohne Updates weiternutzen. Die Supportverlängerung danach ist dann aber auch geschenkt:

If you want to receive updates and support after 2 years, you can renew your license at 60% of the original purchase price.

Worauf wartest du?

Bruno Pricing Page

---

BSI: 78 Sicherheitslücken bei Prüfung von Online-Shop Software

Das BSI hat in einer Studie zur Sicherheit von Online-Shops (PDF, 89 Seiten) diverse Shop Softwareanbieter untersucht. Unter anderem waren Magento, Shopware, wpShopGermany, Sylius und Prestashop Teil der Untersuchung. Es wurde eine Test-Installation der frei verfügbaren Software installiert oder auf Test-Lizenzen zurückgegriffen, falls der Anbieter an dieser Stelle kooperativ war.

Das BSI Projektteam hat einen Prüfungskatalog erstellt und diverse Angriffsszenarien durchgespielt, OWASP Top Ten, Formulare, etc.

• in 10 Fällen waren die Standard-Formulare unzureichend abgesichert
• in 9 Fällen entsprachen die Standard-Passwort-Richtlinien nicht den Vorgaben des BSI oder sind teilweise nicht mal konfigurierbar
• in 7 Shop-Systemen waren veraltete / verwundbare Javascript Biblliotheken im Einsatz
• in 5 Shops kam End-of-Life Software zum Einsatz (EoL)

und diverse weitere Findings. In 2 Produkten konnte ein Angreifer eine erfolgreiche Remote-Code-Exekution platzieren, in einem Fall konnte über einen unsicheren Dateiupload Schadcode zur Übernahme eines Webservers platziert werden.

Das finde ich im Jahr 2024 irgendwie schon etwas verrückt. Es gibt ja diverse Scanner Systeme, die einem diese Schwachstellen aufzeigen, oder Bots, die die externe Dependencies automatisch im Repository aktualisieren. Dies scheint teilweise hier nicht der Fall zu sein.

Und hier wurde jeweils die Standard-Version untersucht – nicht auszudenken, wie es dann mit Marketplace Apps / Plugins aussieht.

BSI-Studie: Viele massive Sicherheitslücken bei Online-Shops

---

Grafana 10.4 veröffentlicht

Mit Grafana 10.4 erscheint die wohl letzte Version vor der GrafanaCON im April – dort soll dann Grafana 11 vorgestellt werden.

In Grafana 10.4 gibt es einige neue Features und Verbesserungen:

• Vorstellung des neuen Canvas Panel
• Verbesserungen am Geomap und Table Panel
• Grafana Alerting hat ein größeres Update inklusive alert notification routing bekommen
• SurrealDB wird als neue Data Source unterstützt (infos zu SurrealDB)
• OAuth Provider können nun in der Oberfläche von Grafana konfiguriert werden

Diverse Legacy Plugins und Data Sources erhalten nun eine „Deprecation Warning“ bei der Verwendung von AngularJS – entfernt werden soll AngularJS dann schon Grafana 11.
Das Grafana Team hat ein Tool veröffentlicht, welches bei größeren Installationen hilft, Deprecated Dashboards aufzuspüren – detect-angular-dashboards findest du hier auf GitHub.

Alle Informationen zum neuen Release 10.4 findest du auch in der Grafana Dokumentation – inklusive diverser YouTube-Videos.

Grafana 10.4 release: Grafana Alerting improvements, visualization updates, new plugin, and more

---

DevOps Freebie und Buchempfehlungen

Bei MyDealz findet sich aktuell ein „kostenloses“ E-Book zum Thema DevOps – das „The Linux DevOps Handbook“. Das Buch kostet eigentlich um die 38€, deshalb kostet es dich unter dem Link von MyDealz „nur“ deine Daten. Im Kommentar bei MyDealz habe ich noch diesen Link gefunden, der dir vielleicht weiterhilft.
Das Buch selbst ist mit einem technischen Fokus geschrieben, wie funktioniert Linux, wie der Netzwerk Stack, Docker, Ansible und wie kann man mit Terraform und Co. Infrastruktur deployen.

Für den technischen Part ist das ok, aber „DevOps“ ist ja mehr als nur Technik, habe euch hier noch ein paar weitere Empfehlungen:

• DevOps: Wie IT-Projekte mit einem modernen Toolset und der richtigen Kultur gelingen (*) – neues Buch von Sujeevan Vijayakumaran, selbst Mitarbeiter bei GitLab. Das Buch nimmt dich mit einer Beispielfirma auf die Reise durch die DevOps Kultur, Planung von Projekten, Continuos Integration & Delivery, Day 2 Operations, Monitoring und Observability und Security und Compliance. (Disclaimer: Ich lese hier aktuell das Rezensionsexemplar, Leseprobe gibt es hier online)
• Projekt Phoenix: Der Roman über IT und DevOps – Neue Erfolgsstrategien für Ihre Firma (*) – ein Buch, das ich immer wieder gerne empfehle. Es begleitet einen angehenden IT-Manager „Bill Palmer“ bei der agilen Transformation der IT des fiktiven Unternehmens „Parts Unlimited“. Bill hat einen Mentor, der ihm „hands-on“ Beispiele aus der Automobilproduktion zeigt (Englische Version – für den Kindle 6,30€)
• Projekt Unicorn: Der Roman. Über Entwickler, Digital Disruption und das Überleben im Datenzeitalter (*) – das ist der Nachfolger von „Projekt Phoenix“ und ebenfalls sehr gelungen. Bill hat die IT mittlerweile im Griff, die Firma selbst hat aber schwer zu kämpfen und man muss parallel zum bestehenden Geschäft ein neues, innovativeres Geschäftsfeld aufbauen. Darin findest du dich bestimmt wieder, denn „Greenfield“ gibt es nur in der Theorie, in der Praxis sieht es deutlich mehr aus, wie dieses Buch beschreibt (englische Version).
• Accelerate: The Science Behind Devops: Building and Scaling High Performing Technology Organizations (*) – schon ein paar Jahre alt, aber immer noch das Standard-Werk von Nicole Forsgren, Jez Humble und Gene Kim, welches die Daten des „State of DevOps“ Reports analysiert und Empfehlungen für „bessere Software Delivery Performance“ vorschlägt

Kennst du weitere Bücher, die in diese Richtung gehen, die du empfehlen kannst?
Antworte mir Genre auf diese Mail oder poste einen Kommentar im Blog – danke!

(*) – Ja, das sind Amazon Affiliate-Links. Von Bier alleine kann ich nicht leben.

---

Übersicht zu DevOps Begriffen

Im Checkly Blog findet sich ein kleines Glossar zu gängigen DevOps Tools und Prozessen wie CI, CD, DevSecOps, FinOps oder auch Infrastructure as Code (IaC) oder Monitoring as Code (MaC).
Da findet sich unter dem Punkt „Reliability and Resilience“ dann auch der Unterschied der beiden Themen, die manchmal ja durcheinander gebracht werden.
„TypeScript First“ ist mir jetzt neu, aber damit hab ich in der Regel weniger zu tun.

IaC? CI? Shift Left? What do they really mean? – A DevOps Glossary

---

Schmunzelecke

Lustige Videos auf Instagram sind ja witzig, das hier zum Thema „Tech Layoffs und Cloud-Kosten“ finde ich – bis auf den Ton im Hintergrund – doch ganz nett – die Cloud Kosten seien so hoch, weil viele „Cloud-Architects“ viel weniger können, als sie versprechen.

---

💡 Link Tipps aus der Open Source Welt

Korifi – Cloud Foundry auf Kubernetes

Korifi kannte ich jetzt bisher nicht – es verspricht, die Einfachheit von Cloud Foundry zu Kubernetes zu bringen.

Nach der Installation per Helm können Cloud Foundry gewohnte Developer einfach mit der CF CLI ihre Apps deployen. In der Vergangenheit habe ich diverse Cloud Foundry Apps mit Millionen Usern gesehen, die von 1 bis 3 Entwicklern betrieben und betreut werden. Mit K8s ist das schier unmöglich, daher halte ich die Idee für interessant, einen einfacheren Layer als K8s Aufsatz zu bringen.
Kommst du selbst von Cloud Foundry und möchtest wissen, wie das Ganze auf K8s funktioniert – dann hilft dir vielleicht der Korifi for CF Users Guide. Analog gibt es für K8s User einen „Korifi for K8s Users“ Guide, der die CF spezifischen Tools und Begriffe erklärt.

https://github.com/cloudfoundry/korifi

Marker – OpenSource Markdown Editor

Marker ist ein simpler Markdown Viewer und Editor, den du dir lokal installieren kannst. Das 1.0 Release gibt es für den Mac, Windows oder auch für Linux.

Ich bin mir jetzt nicht sicher, warum man sowas noch extra braucht, aber die UI ist wirklich schick und clean, wie man auf dem Screenshot auf der Website sehen kann.

https://github.com/tk04/Marker

❓ Feedback & Newsletter Abo

Vielen Dank, dass du es bis hierhin geschafft hast!
Kommentiere gerne oder schicke mir Inhalte, die du passend findest.

Falls dir die Inhalte gefallen haben, kannst du mir gerne auf Twitter folgen.
Gerne kannst du mir ein Bier ausgeben oder mal auf meiner Wunschliste vorbeischauen – Danke!

Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren: