Най-добри практики и препоръки за стартиране на контейнери и Kubernetes в производствени среди

Екосистемата на контейнеризационните технологии се развива бързо и се променя, затова в тази сфера липсват добри практики. Въпреки това Kubernetes и контейнерите все по-често се използват - както за модернизиране на стари приложения, така и за разработка на съвременни облачни приложения. 

Команда Kubernetes aaS от Mail.ru събра прогнози, съвети и най-добри практики за лидерите на пазара от Gartner, 451 Research, StacxRoх и други. Те ще помогнат за осигуряване и ускоряване на внедряването на контейнери в производствени среди.

Как да разберете дали вашата компания е готова за внедряване на контейнери в производствена среда

Според Gartner, през 2022 година повече от 75% от организациите ще използват контейнеризирани приложения в производството. Това е значително повече от в момента, когато такива приложения използват по-малко от 30% от компаниите. 

Според 451 Research, прогнозният пазар за прилагането на контейнерни технологии през 2022 година ще бъде 4,3 млрд. $. Това е повече от два пъти над предвижданията от 2019 година, а темповете на растеж на пазара са 30%.

В в проучването на Portworx и Aqua Security 87% от респондентите заявиха, че в момента използват контейнерни технологии. За сравнение - през 2017 година такива респонденти бяха 55%. 

Въпреки нарастващия интерес и растеж на внедряването на контейнери, тяхното стартиране в производството изисква обучение заради технологичната незрялост и липсата на ноу-хау. Организациите трябва да гледат реалистично на бизнес процесите, които изискват контейнеризация на приложенията. IT лидерите трябва да оценят дали имат необходимия набор от умения, за да продължат напред, като се има предвид необходимостта от бързо обучение. 

Експертите на Gartner считат, че въпросите на рисунката по-долу ще помогнат да разберете дали сте готови за внедряване на контейнери в производството:

Най-честите грешки при приложението на контейнери в производството

Организациите често подценяват усилията, необходими за експлоатация на контейнери в производството. Gartner откри няколко разпространени грешки в сценарии на клиенти при прилагането на контейнери в производствени среди:

Как да осигурим безопасността на контейнерите

Безопасността не може да се адресира „после“. Тя трябва да е вградена в процеса DevOps, затова се появи дори специален термин - DevSecOps. Организациите трябва да планират защита на контейнерната среда през цялото време на жизнения цикъл на разработката, който включва процесите на строеж и разработка, разгръщане и стартиране на приложението.

Препоръки от Gartner: 

1. Интегрирайте процеса на сканиране на приложения за откриване на уязвимости в конвейера за непрекъсната интеграция/непрекъсната доставка (CI/CD). Приложенията се сканират на етапите на строеж и стартиране на софтуера. Подчертайте необходимостта от сканиране и идентифициране на компоненти с отворен код, библиотеки и структури. Използването на стари уязвими версии от разработчиците е сред основните причини за уязвимостите на контейнерите.
2. Подобрете конфигурацията чрез тестове на Центъра за сигурност в интернет (CIS), налични както за Docker, така и за Kubernetes.
3. Не забравяйте да прилагате контрол на достъпа, осигурете разделение на задълженията и внедрете политика за управление на тайните. Конфиденциалната информация, като ключове за Secure Sockets Layer (SSL) или идентификационни данни за база данни, се шифрова от оркестратора или от трети страни и се предоставя по време на изпълнението.
4. Избягвайте контейнерите с повишени привилегии чрез управление на политиките за сигурност, това ще намали потенциалните рискове от хакерски атаки.
5. Използвайте инструменти за сигурност, които предлагат бели списъци, поведенческо наблюдение и откриване на аномалии за предотвратяване на злонамерени действия.

Препоръки от StacxRox:

1. Използвайте вградените възможности на Kubernetes. Настройте достъпа за потребителите, използвайки роли. Уверете се, че не предоставяте ненужни разрешения на отделни лица, дори ако може да е необходимо време за обмисляне на минимално необходимите разрешения. Може да изглежда примамливо да дадете на администратора на клъстера широки привилегии, тъй като това спестява време в началния етап. Въпреки това, всякакъв компромис или грешки в акаунта могат да доведат до опустошителни последици по-късно. 
2. Избягвайте дублирането на разрешения за достъп. Понякога може да е полезно различни роли да се припокриват, но това може да доведе до проблеми с експлоатацията и да създаде 'мъртви зони' при отстраняване на разрешения. Освен това, е важно да се премахват неизползваните и неактивни роли.
3. Настройте мрежовите политики: изолирайте модулите, за да ограничите достъпа до тях; съвсем ясно разрешете достъпа до интернет на тези модули, на които е необходимо, използвайки етикети; явно разрешете връзките между модулите, които трябва да комуникират помежду си. 

Как да организирате мониторинг на контейнерите и услугите в тях

Сигурност и мониторинг — основни предизвикателства пред компаниите при разгръщането на Kubernetes клъстери. Разработчиците винаги са съсредоточени повече върху функциите на приложенията, които създават, отколкото върху аспектите на мониторинг на тези приложения. 

Препоръки от Gartner:

1. Опитайте се да мониторите състоянието на контейнерите или услугите в тях паралелно с мониторинга на хост системите.
2. Предпочитайте производители и инструменти с дълбока интеграция в оркестрирането на контейнери, особено Kubernetes.
3. Избирайте инструменти, които предоставят детайлно логиране, автоматично откриване на услуги и препоръки в реално време с помощта на аналитика и/или машинно обучение.

В блога на SolarWinds се предлага:

1. Да използвате инструменти за автоматично откриване и проследяване на метрики на контейнерите, корелация на производителността на метриките, като процесор, памет и време без отказ.
2. Да осигурите оптимално планиране на капацитет чрез прогнозиране на сроковете за изчерпване на капацитета на базата на показателите за мониторинг на контейнерите.
3. Организирайте мониторинга на приложенията, разположени в контейнери, по параметри на достъпност и производителност, което е полезно както за планиране на капацитета, така и за отстраняване на проблеми с производителността.
4. Автоматизирайте работните потоци, предоставяйки поддръжка на управление и мащабиране за контейнерите и техните среди за разполагане.
5. Автоматизирайте контрола на достъпа, за да проследявате базата данни на потребителите, да деактивирате остарели и гостуващи акаунти, и да премахвате излишните привилегии.
6. Убедете се, че вашият набор от инструменти може да проследява тези контейнери и приложения в различни среди (облачни, локални или хибридни) за визуализиране и съпоставяне на производителността в инфраструктурата, мрежата, системите и приложенията.

Как да съхранявате данни и да осигурявате тяхната безопасност

С увеличаването на броя на работещите контейнери с запазено състояние, клиентите трябва да вземат предвид местоположението на данните извън хоста, както и необходимостта от защита на тези данни. 

Според данни изследването на Portworx и Aqua Security, сигурността на данните е на първо място в списъка с проблеми, посочени от повечето респонденти (61%). 

Шифрованият на данни е основна стратегия за сигурност (64%), но респондентите също така използват мониторинг на производителността (49%), сканиране за уязвимости в регистрите (49%), сканиране за уязвимости в CI/CD конвейерите (49%) и блокиране на аномалии чрез защита на времето за изпълнение (48%).

Изберете решения за съхранение на данни, изградени на принципите на

Препоръки от Gartner:

1. микросервисната архитектура. По-добре е да предпочетете тези, които отговарят на изискванията за съхранение на данни за контейнерни услуги, хардуерно независими, управлявани чрез API, с разпределена архитектура, поддържащи локално разгръщане и разгръщане в обществено облако.Избягвайте проприетарни плъгини и интерфейси. Изберете производители, които осигуряват интеграция с Kubernetes и поддържат стандартни интерфейси, като CSI (Container Storage Interfaces).
2. Как да работите с мрежи

Традиционният модел на корпоративна мрежа, в който IT специалистите създават мрежови среди за разработка, тестване, осигуряване на качество и производство за всеки проект, не винаги е в синхрон с работния процес на непрекъсната разработка. Освен това, контейнерните мрежи обхващат няколко нива.

в блога Magalix събрахме

В високонадеждни правила, на които трябва да отговаря реализацията на кластерно-мрежово решение: Подовете, планирани на един и същи възел, трябва да имат възможност да обменят данни с другите модули без използване на NAT (преобразуване на мрежови адреси).

1. Всички системни демони (фонови процеси, например kubelet), работещи на определен възел, могат да взаимодействат с подовете, работещи на същия възел.
2. Подовете, използващи
3. мрежа на хоста, трябва да имат възможност да комуникират с всички други подове на всички други възли без използване на NAT. Обърнете внимание, че мрежата на хоста се поддържа само на хостове с Linux. трябва да могат да комуникират с всички други подове на всички останали възли без използване на NAT. Обърнете внимание, че мрежата на хостовете се поддържа само на Linux хостове.

Мрежовите решения трябва да бъдат тясно интегрирани с примитивите и политиките на Kubernetes. ИТ лидерите трябва да се стремят към висока степен на автоматизация на мрежата, предоставяйки на разработчиците подходящи инструменти и достатъчна гъвкавост.

Препоръки от Gartner:

1. Разберете дали вашият CaaS (контейнер като услуга) или вашата SDN (софтуерно определена мрежа) поддържат мрежи Kubernetes. Ако не, или поддръжката е недостатъчна, използвайте мрежовия интерфейс CNI (Container Network Interface) за вашите контейнери, който поддържа необходимата функционалност и политики.
2. Убедете се, че вашият CaaS или PaaS (платформа като услуга) поддържа създаването на входящи контролери и/или балансировчици на натоварването, разпределящи входящия трафик между възлите на клъстера. Ако такава възможност няма, проучете използването на външни прокси или механизми за service mesh.
3. Обучете своите мрежови инженери да работят с мрежи Linux и инструменти за автоматизация на мрежата, за да намалят разликата в уменията и да увеличат гъвкавостта.

Как да управлявате жизнения цикъл на приложенията

За автоматизирано и непрекъснато доставяне на приложения, е необходимо да допълните оркестрацията на контейнери с други инструменти за автоматизация, като продукти за инфраструктура като код (IaC). Те включват Chef, Puppet, Ansible и Terraform. 

Също така са необходими средства за автоматизация на компилирането и внедряването на приложения (вж. "Магическия квадрант за оркестрация на внедряването на приложения"). Контейнерите също предоставят възможности за разширяване, подобни на тези, които съществуваха при разгръщането на виртуални машини (ВМ). Следователно, ИТ лидерите трябва да имат инструменти за управление на жизнения цикъл на контейнерите.

Препоръки от Gartner:

1. Определете стандарти за основни образи на контейнери, като вземете предвид размера, лицензията и гъвкавостта за добавяне на компоненти от разработчиците.
2. Използвайте системи за управление на конфигурацията, за да управлявате жизнения цикъл на контейнери, които съхраняват конфигурацията в слоеве на базата на основни образи, налични в публични или частни репозитории.
3. Интегрирайте платформата CaaS с инструменти за автоматизация, за да автоматизирате целия работен процес на приложението.

Как да управлявате контейнерите с помощта на оркестратори

Основните функционални възможности за разполагане на контейнери се предлагат на нивата на оркестрация и планиране. При планирането, контейнерите се разполагат на най-оптималните хостове в клъстера, както е предписано от изискванията на нивото на оркестрация. 

Kubernetes де-факто стана стандарт за оркестрация на контейнери с активно общество, който е подкрепен от повечето водещи търговски доставчици. 

Препоръки от Gartner:

1. Определете основите на изискванията за елементите за управление на сигурността, мониторинг, управление на политики, архивиране на данни, управление на мрежи и жизнен цикъл на контейнерите.
2. На база на тези изисквания изберете инструмент, който най-добре отговаря на вашите нужди и сценарии за употреба.
3. Използвайте изследвания на Gartner (вж. "Как да изберем модел за разполагане на Kubernetes"), за да разберете предимствата и недостатъците на различните модели за разполагане на Kubernetes и да изберете най-подходящия за вашата задача.
4. Изберете доставчик, който може да осигури хибридна оркестрация за работни контейнери в множество среда с близка интеграция с бекенди, общи планове за управление и съгласувани модели на ценообразуване.

Как да използвате възможностите на облачните доставчици

Според Gartner,интересът към разполагането на контейнери в обществени облаци IaaS нараства поради наличността на готови предложения CaaS, както и близката интеграция на тези предложения с други продукти, предлагани от облачните доставчици.

Облачните IaaS предлагат потребление на ресурси при поискване, бърза мащабируемост и управление на услуги, което помага да се избегне необходимостта от дълбоки познания за инфраструктурата и нейното обслужване. Повечето облачни доставчици предлагат услуга за управление на контейнери, а някои предлагат няколко опции за оркестрация. 

Ключовите облачни доставчици на управлявани услуги са представени в таблицата: 

Облачен доставчик
Тип услуга
Продукт/услуга

Alibaba
Native Cloud Service
Alibaba Cloud Container Service, Alibaba Cloud Container Service for Kubernetes

Amazon Web Services (AWS)
Native Cloud Service
Amazon Elastic Container Services (ECS), Amazon ECS за Kubernetes (EKS), AWS Fargate

Giant Swarm
MSP
Giant Swarm Managed Kubernetes Infrastructure

Google
Native Cloud Service
Google Container Engine (GKE)

IBM
Native Cloud Service
IBM Cloud Kubernetes Service

Microsoft
Native Cloud Service
Azure Kubernetes Service, Azure Service Fabric

Oracle
Native Cloud Service
OCI Container Engine за Kubernetes

Platform9
MSP
Managed Kubernetes

Red Hat
Hosted Service
OpenShift Dedicated & Online

VMware
Hosted Service
Cloud PKS (Beta)

Mail.ru Cloud Solutions*
Native Cloud Service
Mail.ru Cloud Containers

* Няма да крием, ние сами се добавихме при превода 🙂

Доставчиците на обществено достъпни облаци също добавят нови възможности и пускат локални продукти. В близко бъдеще доставчиците на облаци ще развиват поддръжката на хибридни облаци и мултиоблачни среди. 

Препоръки на Gartner:

1. Обективно оценете възможностите на вашата организация да внедрява и управлява съответните инструменти, както и разгледайте алтернативни услуги за управление на облачни контейнери.
2. Внимателно изберете софтуер, използвайте open source, когато е възможно.
3. Избирайте доставчици с единни оперативни модели в хибридни среди, които предлагат управление на обединени клъстери от един интерфейс, както и доставчици, които улесняват самостоятелната употреба на IaaS.

Няколко съвета за избор на доставчик на Kubernetes aaS от блога Replex:

1. Трябва да се търсят дистрибуции, които поддържат висока наличност от кутията. Това включва поддръжка на няколко основни архитектури, високо достъпни компоненти etcd, както и резервно копие и възстановяване.
2. За да осигурите мобилността на Kubernetes средите, е добре да изберете облачни доставчици, които поддържат широк спектър от модели на внедряване: от локални до хибридни и мултиоблачни. 
3. Оферти от доставчици също трябва да се оценяват с оглед на простотата на настройка, инсталация и създаване на клъстери, както и актуализации, мониторинг и отстраняване на проблеми. Основното изискване е поддръжка на напълно автоматизирани актуализации на клъстера с нулево време на престой. Избраното решение също трябва да позволява ръчно стартиране на актуализации. 
4. Управлението на идентичността и достъпа е важно както от гледна точка на безопасността, така и от гледна точка на управлението. Уверете се, че избраният дистрибутив на Kubernetes поддържа интеграция със средствата за удостоверяване и оторизация, използвани в компанията. RBAC и детайлен контрол на достъпа също са важни функционалности.
5. Избранният дистрибутив трябва или да има собствено мрежово решение, определено от софтуера и обхващащо широк спектър от изисквания, поставяни от различни приложения или инфраструктура, или да поддържа една от популярните реализации на мрежи, базирани на CNI, включително Flannel, Calico, kube-router или OVN.

Внедряването на контейнери в производството става основна посока, което се потвърдиха резултатите от анкетата, проведена на сесията на Gartner за инфраструктура, операции и облачни стратегии (IOCS) през декември 2018 година:

Както виждаме, 27% от анкетираните вече използват контейнери в работата си, а 63% планират да го направят.

В в проучването на Portworx и Aqua Security 24% от респондентите съобщават, че инвестират повече от половин милион долара годишно в контейнерни технологии, а 17% от респондентите харчат за тях над милион долара годишно. 

Статията е подготвена от екипа на облачната платформа Mail.ru Cloud Solutions.

Какво още да прочетете по темата:

1. Най-добри практики в DevOps: доклад DORA.
2. Kubernetes вдъхновен от пиратството с шаблон за внедряване.
3. 25 полезни инструмента за внедряване и работа с Kubernetes.

Източник: habr.com