Has arribat al final del recorregut tècnic. Durant onze mòduls has construït, trencat, arreglat, assegurat i escalat la plataforma Rutas Norte: des del primer Pod solt fins a un clúster de producció amb Ingress, TLS, polítiques de xarxa, emmagatzematge persistent, observabilitat completa i desplegaments canari governats per GitOps. Aquest coneixement és exactament el que mesura la certificació CKA (Certified Kubernetes Administrator). L'única cosa que et separa del certificat és el format: un examen pràctic, en un terminal, contrarellotge, amb un cronòmetre que no perdona el dubte.

Aquesta lliçó converteix el curs que acabes de fer en un pla d'estudi per al CKA. Veuràs què certifica exactament, com és l'examen per dins, quins dominis hi entren i amb quin pes, i —el més important— una taula que mapa cada objectiu oficial del temari amb la lliçó d'aquest curs on el vas estudiar. A partir d'aquí tindràs un pla de sis setmanes i una bateria de vuit tasques tipus examen resoltes amb la comanda exacta i el seu temps objectiu.

Avís imprescindible. Les dades concretes de l'examen (preu, durada exacta, nombre d'intents inclosos, percentatge d'aprovat i repartiment dels dominis) canvien amb el temps. Tot el que llegeixis aquí és orientatiu i correspon al moment d'escriure aquesta lliçó. Abans de matricular-te, consulta sempre el temari oficial vigent al web de la Linux Foundation / CNCF (training.linuxfoundation.org i cncf.io/certification/cka). El programa de certificació revisa els objectius amb cada versió de Kubernetes.

1. Què certifica el CKA i a qui va dirigit
2. El format de l'examen per dins
3. Els dominis del temari i el seu pes orientatiu
4. Mapa complet: cada objectiu del CKA i la seva lliçó en aquest curs
5. Habilitats específiques del CKA que convé practicar a part
6. Pla d'estudi de sis setmanes
7. Recursos oficials i el simulador de pràctiques
8. Vuit tasques tipus CKA resoltes contrarellotge

El CKA certifica que saps administrar i operar un clúster de Kubernetes. No és una certificació sobre teoria de contenidors ni sobre desenvolupament d'aplicacions: és la certificació del perfil que manté el clúster viu.

La persona amb CKA és la que, en una organització com Rutas Norte, s'encarrega de:

• CKA: administrar el clúster. Nodes, pla de control, etcd, RBAC, xarxa, emmagatzematge i diagnòstic.
• CKAD: desenvolupar sobre el clúster; manifests d'aplicació i velocitat amb kubectl (lliçó 12-02).
• CKS: assegurar el clúster; enduriment, polítiques i detecció (lliçó 12-03). Exigeix CKA vigent.

El CKA és el punt d'entrada natural si la teva feina és de plataforma, SRE o infraestructura.

No hi ha requisits formals: qualsevol pot matricular-s'hi. Els requisits reals són pràctics: maneig còmode de la línia de comandes de Linux (systemctl, journalctl, permisos de fitxer, vim), comprensió de contenidors, i haver tocat un clúster de debò —el quilometratge que t'ha donat aquest curs.

I convé saber què no hi cau. No hi ha preguntes tipus test: tot és pràctic. No hi entren Helm, Kustomize ni Argo CD en profunditat, ni els proveïdors gestionats (EKS/AKS/GKE), ni Prometheus o Grafana com a productes —sí kubectl top i el metrics-server—, ni desenvolupament d'aplicacions. L'examen se centra en Kubernetes pur.

Aquest és l'apartat que més gent subestima. Conèixer Kubernetes i aprovar el CKA són coses diferents, i la diferència és aquí.

Ho repeteixo: tots aquests números són orientatius. Verifica el temari i les condicions vigents al web oficial abans de pagar la matrícula.

Aquesta és la trampa número u de l'examen i la que més punts regala als descuidats.

L'examen no et dona un clúster: te'n dona uns quants, cadascun amb un nom de context diferent. Cada tasca comença indicant-te en quin context has de treballar, amb una comanda que pots copiar i enganxar:

Si resols la tasca perfectament al clúster equivocat, la puntuació és zero. No hi ha puntuació parcial per bona intenció.

Comandes que has de tenir automatitzades al dit:

Hàbit obligatori: la primera comanda de cada tasca és el use-context que et donen. Sense excepcions, ni tan sols quan "és el mateix d'abans".

Cada tasca té un pes en punts que es mostra a l'enunciat (per exemple, "Task weight: 7 %"). La suma de totes dona 100.

El que és rellevant:

• Hi ha puntuacions parcials. Si una tasca demana crear un Deployment amb 3 rèpliques, exposar-lo amb un Service i afegir-li una sonda, i només fas les dues primeres coses, t'endús part dels punts. No deixis mai una tasca en blanc.
• La correcció és automàtica i per estat final del clúster. Ningú no mira com ho vas fer. Si l'objecte existeix amb la configuració demanada, puntua; tant se val si el vas crear amb kubectl create, amb un YAML o editant a mà.
• Això significa que la via imperativa és tan vàlida com la declarativa, i molt més ràpida.

Durant l'examen pots obrir una pestanya addicional del navegador per consultar:

• https://kubernetes.io/docs/ (inclosa la referència de l'API i el blog)
• La documentació dels subprojectes oficials que s'hi enllacen (per exemple kubernetes.io/docs/reference/kubectl/)

No pots fer servir cercadors generals, fòrums, notes pròpies, altres webs ni eines d'IA. Està supervisat.

Això canvia completament l'estratègia d'estudi: no necessites memoritzar YAML. Necessites saber on és cada exemple i adaptar-lo en segons. Un manifest de PersistentVolume, una NetworkPolicy o un Ingress amb TLS són llargs d'escriure i fàcils de copiar.

Pàgines que convé tenir localitzades mentalment (es detalla més a la lliçó 12-04):

• El terminal és un navegador. Copiar i enganxar funciona, però amb dreceres particulars (habitualment Ctrl+Shift+C / Ctrl+Shift+V a Linux). Practica-ho.
• L'editor disponible és vim (i nano). Si no manegues vim amb una soltesa mínima, dedica-li un parell d'hores abans de l'examen.
• Tens accés sudo als nodes via ssh quan la tasca ho requereix (per exemple, per arreglar el kubelet).
• Hi ha un bloc de notes a la interfície de l'examen per apuntar coses; fes-lo servir per dur la llista de tasques pendents.

El temari oficial del CKA s'organitza en cinc dominis. Aquest és el repartiment publicat en el moment d'escriure aquesta lliçó; verifica'l al web oficial, perquè el programa es revisa periòdicament.

Fixa't bé en el repartiment: resolució de problemes és el domini més pesat, gairebé un terç de l'examen. No és un tema que s'estudiï llegint: s'entrena trencant coses i arreglant-les. És exactament el que vas fer al mòdul 7 (07-06) i al mòdul 11 (11-06).

Amb dues hores i ~17 tasques, la mitjana és d'uns 7 minuts per tasca, però el repartiment real és molt desigual:

Deixa 10 minuts finals sense assignar per revisar. És el millor ús possible d'aquests minuts.

Aquesta és la secció que converteix el curs en un pla d'estudi. Cada objectiu del temari està enllaçat amb la lliçó on el vas treballar. Repassar el CKA és, literalment, rellegir aquestes lliçons i tornar a fer-ne els exercicis en un clúster real.

El curs t'ha donat el coneixement, però hi ha set procediments que a l'examen apareixen gairebé amb seguretat i que cal tenir memoritzats com una coreografia. Repassa'ls fins que surtin sense pensar.

Al node de control:

Al node treballador:

Si el token va caducar (dura 24 h), es regenera des del node de control:

Comprovació: kubectl get nodes -o wide ha de mostrar tots els nodes en Ready.

Procediment canònic (sempre: pla de control primer, després els treballadors, d'un en un).

Trampes clàssiques: oblidar --ignore-daemonsets al drain (falla sempre, perquè hi ha DaemonSets del CNI i de kube-proxy); fer servir upgrade apply en un treballador; oblidar l'uncordon final.

És la tasca que més punts val i la que més gent falla. Memoritza-la.

Còpia de seguretat:

Verificar la còpia:

Restauració:

Claus que s'obliden:

• Els certificats d'etcd són a /etc/kubernetes/pki/etcd/, no a /etc/kubernetes/pki/.
• Si l'enunciat et dona rutes de certificats diferents, fes servir les seves.
• Cal restaurar a un directori nou, no sobre l'existent.
• El que es modifica és el volum hostPath, no només l'argument --data-dir del contenidor. Canvia'ls tots dos si el manifest els té desalineats.

Després de renovar cal reiniciar els pods estàtics del pla de control —movent temporalment els manifests fora de /etc/kubernetes/manifests/ o reiniciant el kubelet— i regenerar ~/.kube/config si ha canviat el certificat d'administració.

També es pot demanar aprovar una CSR per a un usuari nou:

El manifest de la CertificateSigningRequest (grup certificates.k8s.io/v1, amb el camp request en base64, signerName: kubernetes.io/kube-apiserver-client i usages: ["client auth"]) es copia de la documentació buscant "certificate signing requests": és més ràpid i més segur que escriure'l.

Aquest és l'escenari estrella del domini de resolució de problemes. La seqüència mental és sempre la mateixa:

Causes típiques que et posaran, i el seu símptoma:

Regla d'or: els pods estàtics no es gestionen amb kubectl. Es gestionen editant fitxers a /etc/kubernetes/manifests/, i el kubelet hi reacciona en segons.

Apareix pràcticament a tots els exàmens. Aquestes quatre comandes resolen el 90 % dels casos:

I la comprovació que sempre cal deixar feta:

Aquest pla assumeix entre 8 i 10 hores setmanals i que ja has fet el curs. La regla que el governa: per cada hora de lectura, dues hores de teclat.

Com fer-lo servir. La setmana 6 no és per aprendre res nou: és per mesurar, corregir i descansar. Deixa l'últim dia per preparar l'entorn físic de l'examen (veure 12-04) i no toquis temes nous les últimes 48 hores.

La matrícula sol incloure accés a un simulador d'examen (habitualment dues sessions d'unes 36 hores cadascuna, en un entorn equivalent al real). Consells d'ús:

• No el gastis aviat. Fes-lo servir quan ja et sentis raonablement preparat, a la setmana 6.
• La seva dificultat sol ser superior a la de l'examen real. Si hi treus un 60 %, vas bé.
• El valuós no és la nota, sinó el solucionari: llegeix-lo sencer, incloses les tasques que vas encertar, perquè gairebé sempre hi ha una manera més ràpida.

No cal res de pagament. Amb kind tens un clúster d'un node de control i dos treballadors en menys d'un minut (repassa 10-01):

Ara bé, per practicar kubeadm, etcd i el pla de control trencat necessites màquines de debò (VM amb Multipass, Vagrant o similar): kind executa el pla de control dins de contenidors i no reprodueix fidelment ni systemctl ni els pods estàtics de l'amfitrió.

Practica aquestes vuit com si fossin l'examen: cronòmetre en marxa, només kubernetes.io obert. Els escenaris són de Rutas Norte.

Context: kubectl config use-context rutas-norte-dev

Al namespace rutas-norte-dev, crea un Deployment anomenat botiga-web amb la imatge nginx:1.27-alpine i 3 rèpliques. Exposa'l amb un Service ClusterIP anomenat botiga-web-svc al port 80.

Comprovació:

La trampa: si endpoints surt buit, el selector no casa. kubectl expose l'hereta bé; escriure'l a mà és on es trenca.

Context: kubectl config use-context rutas-norte-pro

Fes una còpia de seguretat d'etcd a /opt/etcd-rutas-norte.db. Després, restaura la còpia prèvia /opt/snapshot-anterior.db al directori /var/lib/etcd-restore. Els certificats són a /etc/kubernetes/pki/etcd/.

Al manifest, el volum queda així:

Comprovació:

La trampa: snapshot save no necessita sudo si el teu usuari llegeix els certificats, però restore escriu a /var/lib, així que sí. I cal canviar el hostPath del volum, no n'hi ha prou amb el --data-dir del contenidor.

Context: kubectl config use-context rutas-norte-pro

El node node-2 rebrà manteniment. Buida'l de càrregues de treball sense eliminar els DaemonSets, i assegura't que no s'hi planifiquin pods nous.

Comprovació:

La trampa: drain ja fa cordon. Si falla per un pod solt sense controlador, afegeix --force.

Context: kubectl config use-context rutas-norte-pro

Crea la ServiceAccount suport a rutas-norte-pro. Concedeix-li permís per veure pods i llegir-ne els logs en aquest namespace, i res més. Verifica el resultat.

Comprovació:

La trampa: pods/log és un subrecurs independent. Sense ell, kubectl logs falla encara que puguis llistar pods.

Context: kubectl config use-context rutas-norte-pre

Crea un PersistentVolume pv-informes de 2Gi, mode ReadWriteOnce, hostPath a /mnt/informes, amb storageClassName: manual. Crea un PVC pvc-informes d'1Gi que el consumeixi, i un Pod informes-ocupacio amb imatge busybox:1.36 que el munti a /dades i executi sleep 3600.

Comprovació:

La trampa: si el storageClassName no coincideix exactament entre PV i PVC, el PVC es queda en Pending per sempre. I el PV és d'àmbit de clúster: no porta namespace.

Context: kubectl config use-context rutas-norte-pro

El node node-3 apareix com a NotReady. Investiga-ho i torna'l a l'estat Ready sense reinstal·lar res.

Sortida típica del diagnòstic:

La trampa: enable a més de start. Si només fas start, el corrector pot reiniciar el node i tornaràs a suspendre. Si el kubelet arrenca però mor, mira journalctl: sol ser una ruta mal posada a /var/lib/kubelet/config.yaml o un kubeconfig invàlid.

Context: kubectl config use-context rutas-norte-pro

A rutas-norte-pro, postgres-reserves només ha d'acceptar trànsit entrant al port 5432 des de pods amb l'etiqueta app=api-reserves del mateix namespace. Tota la resta, denegat.

Comprovació:

La trampa: declarar policyTypes: [Ingress] és el que fa que la política denegui tot allò no permès. Si l'omets i no hi ha regles d'egress, el comportament no és el que esperes. I el CNI ha de suportar NetworkPolicies (Calico sí; el CNI per defecte de kind, no).

Context: kubectl config use-context rutas-norte-pro

Actualitza el node treballador node-1 de la versió 1.30.4 a la 1.31.1. El pla de control ja està a 1.31.1.

Comprovació:

La trampa: als treballadors és kubeadm upgrade node, mai upgrade apply. I si el repositori de paquets està fixat a la minor 1.30, primer cal canviar la URL del repositori de pkgs.k8s.io a v1.31, o apt no veurà la versió nova.

1. Practica en un clúster real, no llegint. El CKA s'aprova amb les mans.
2. Cronometra des del dia u. Saber fer alguna cosa en 15 minuts no serveix si l'objectiu són 6.
3. Domina kubectl explain. kubectl explain pod.spec.containers.livenessProbe --recursive t'estalvia obrir el navegador.
4. Tingues la documentació al cap com un mapa. No memoritzis YAML: memoritza en quina pàgina és.
5. Aprèn a llegir esdeveniments. kubectl describe pod i kubectl get events --sort-by=.lastTimestamp resolen la meitat del domini de troubleshooting.
6. Treballa amb sudo còmode. Moltes tasques d'administració són al node, no a kubectl.
7. Simula l'entorn de l'examen. Mateix navegador, mateix terminal, mateix teclat. Redueix fricció el dia D.

Agafa el temari oficial vigent del CKA (descarrega'l del repositori cncf/curriculum) i, per a cada objectiu, anota en una taula pròpia tres coses: la lliçó d'aquest curs on es cobreix, el teu nivell de confiança de l'1 al 5, i si el sabries resoldre sense documentació. Ordena la taula per confiança ascendent: aquest ordre és el teu pla de repàs.

En un clúster de tres nodes muntat amb kubeadm (o VM), resol en 30 minuts seguits i sense pauses:

1. Còpia de seguretat d'etcd a /opt/backup.db i verificació amb snapshot status.
2. Drenar node-1, actualitzar-ne el kubelet a la següent versió de pedaç, tornar-lo al servei.
3. Crear la ServiceAccount auditor amb permisos de només lectura sobre pods i services a tots els namespaces, i demostrar-ho amb auth can-i.

Provoca deliberadament aquestes tres fallades, d'una en una, i arregla cadascuna mesurant el temps:

1. Canvia el port de --secure-port a /etc/kubernetes/manifests/kube-apiserver.yaml a 6444.
2. Reanomena /etc/kubernetes/pki/etcd/server.key a server.key.bak.
3. Canvia staticPodPath a /var/lib/kubelet/config.yaml a /etc/kubernetes/manifestos.

Objectiu: diagnosticar i arreglar cadascuna en menys de 6 minuts.

Solució a l'Exercici 1

No hi ha una solució única, però la teva taula s'ha d'assemblar a aquesta (extracte); el criteri decisiu és l'última columna:

Tot el que tingui confiança ≤ 3 i "No" a l'última columna va a les setmanes 4 i 5 del pla. La trampa habitual és puntuar-se alt en allò que s'entén però mai no s'ha executat: si no ho has fet amb les mans aquesta setmana, la confiança és 3 com a màxim.

Solució a l'Exercici 2

Bloc d'etcd (objectiu 8 min):

Bloc de node (objectiu 15 min):

Per a un canvi només de pedaç (1.30.4 → 1.30.5) n'hi ha prou amb actualitzar el kubelet; en un canvi de versió menor caldria a més sudo kubeadm upgrade node.

Bloc d'RBAC (objectiu 7 min): en ser "tots els namespaces", exigeix ClusterRole + ClusterRoleBinding:

L'error clàssic és fer servir Role+RoleBinding: només cobriria un namespace. El segon error és ClusterRole amb RoleBinding, que restringeix els permisos a un namespace concret —útil en altres casos, però no és el que es demana.

Solució a l'Exercici 3

La seqüència de diagnòstic és sempre la mateixa, i val la pena automatitzar-la:

Diferència clau que aquest exercici grava: els manifests de /etc/kubernetes/manifests/ els rellegeix el kubelet sol, en segons; /var/lib/kubelet/config.yaml sí que requereix sudo systemctl restart kubelet per fer efecte.

El CKA no mesura si saps Kubernetes en abstracte: mesura si saps operar un clúster amb les mans i amb pressa. Després d'onze mòduls construint Rutas Norte, el coneixement ja el tens; el que aquesta lliçó t'ha donat és la traducció d'aquest coneixement al llenguatge de l'examen.

Els punts que t'has d'endur:

• El CKA certifica el perfil d'administració: nodes, pla de control, etcd, xarxa, emmagatzematge, RBAC i, sobretot, diagnòstic (el domini de més pes, al voltant del 30 %).
• L'examen és pràctic, cronometrat i amb diversos clústers. El use-context és la primera comanda de cada tasca, sense excepció.
• Hi ha puntuació parcial: no deixis mai una tasca buida.
• Pots consultar la documentació oficial i només aquesta. Estudia on és cada cosa, no memoritzis YAML.
• La taula de l'apartat 4 converteix aquest curs en el teu pla d'estudi: cada objectiu oficial té la seva lliçó.
• Set procediments cal tenir-los automatitzats: kubeadm, upgrade, etcd, certificats, drain, pla de control trencat i RBAC.
• Consulta sempre el temari oficial vigent al web de la Linux Foundation / CNCF abans de matricular-te: pesos, durada i condicions canvien.

A la lliçó següent canviem de perfil. Si el CKA és la certificació de qui manté el clúster, el CKAD és la de qui construeix a sobre: menys etcd i més manifests d'aplicació, menys administració i molta més velocitat amb kubectl. Veurem en què es diferencien, quins dominis hi entren i com s'entrena la competència que decideix aquest examen: fer moltes coses correctes en molt poc temps.