🥇Най-добри практики и препоръки за стартиране на контейнери и Kubernetes в производствени среди

Екосистемата от технологии за контейнеризация бързо се развива и променя, затова в тази област липсват добри работни практики. Въпреки това, Kubernetes и контейнерите се използват все по-често - както за модернизация на стари приложения, така и за разработка на съвременни облачни приложения.

Екип Kubernetes aaS от Mail.ru събра прогнози, съвети и най-добри практики за лидерите на пазара от Gartner, 451 Research, StacxRoх и други. Те ще помогнат да се осигури и ускори разгръщането на контейнери в производствени среди.

Как да разберем дали вашата компания е готова да разгръща контейнери в производствена среда

Според Gartner, през 2022 година повече от 75% от организациите ще използват контейнизирани приложения в производството. Това е значително повече от настоящите 30%, които в момента използват такива приложения.

Според 451 Research, прогнозираният пазар за прилагане на контейнерни технологии през 2022 година ще възлезе на 4,3 млрд. долара. Това е повече от два пъти в сравнение с прогнозите от 2019 година, а темповете на растеж на пазара са 30%.

В в проучването на Portworx и Aqua Security 87% от респондентите заявяват, че в момента използват контейнерни технологии. За сравнение - през 2017 година такива респонденти са били 55%.

Въпреки нарастващия интерес и увеличаването на внедряването на контейнери, тяхното стартиране в производството изисква обучение поради технологичната незрялост и липсата на ноу-хау. Организациите трябва да се отнасят реалистично към бизнес процесите, които изискват контейнеризация на приложения. IT лидерите трябва да оценят дали разполагат с необходимия набор от умения, за да напредват, съобразявайки се с нуждата от бързо обучение.

Експертите на Gartner смятат, че въпросите на изображението по-долу ще помогнат да разберете дали сте готови за разгръщане на контейнери в производствена среда:

Най-честите грешки при прилагане на контейнери в производството

Организациите често подценяват усилията, необходими за експлоатация на контейнери в производството. Gartner откри няколко разпространени грешки в сценарии на клиенти при прилагане на контейнери в производствени среди:

Как да осигурим безопасността на контейнерите

Безопасността не може да се разглежда "по-късно". Тя трябва да бъде вградена в процеса DevOps, затова дори се появи специален термин - DevSecOps. Организациите трябва да планират защитата на контейнерната среда през целия жизнен цикъл на разработката, който включва процеса на изграждане и разработка, внедряване и стартиране на приложението.

Препоръки от Gartner:

Интегрирайте процеса на сканиране на образи на приложения за откриване на уязвимости в конвейера за непрекъсната интеграция/непрекъсната доставка (CI/CD). Приложенията се сканират по време на етапите на изграждане и стартиране на софтуера. Подчертайте необходимостта от сканиране и идентифициране на компоненти с отворен код, библиотеки и рамки. Използването от разработчиците на стари уязвими версии е една от основните причини за уязвимости в контейнерите.
Подобрете конфигурацията с помощта на тестовете на Center for Internet Security (CIS), които са налични както за Docker, така и за Kubernetes.
Задължително прилагавайте контрол на достъпа, осигурете разделение на задълженията и внедрете политика за управление на секретите. Конфиденциалната информация, като ключове за Secure Sockets Layer (SSL) или данни за вход в база данни, се шифрова от оркестратора или трети страни услуги за управление и се предоставя по време на изпълнение.
Избягвайте контейнери с повишени привилегии чрез управление на политики за безопасност, това ще намали потенциалните рискове от хакерски атаки.
Използвайте инструменти за сигурност, които предлагат бели списъци, поведенческо наблюдение и откриване на аномалии за предотвратяване на злонамерени действия.

Препоръки от StacxRox:

Използвайте вградените възможности на Kubernetes. Настройте достъпа за потребителите, използвайки роли. Уверете се, че не предоставяте ненужни разрешения на отделни лица, дори ако може да отнеме известно време да помислите за минимално необходимите разрешения. Може да изглежда привлекателно да предоставите широки привилегии на администратора на клъстера, тъй като това спестява време в началния етап. Въпреки това, всяка компрометиране или грешка в акаунта може да доведе до разрушителни последици впоследствие.
Избягвайте дублирането на разрешенията за достъп. Понякога е полезно различни роли да се припокриват, но това може да доведе до проблеми с експлоатацията и да създаде „мъртви зони“ при премахване на разрешения. Освен това е важно да се премахват неизползвани и неактивни роли.
Настройте мрежовите политики: изолирайте модулите, за да ограничите достъпа до тях; изрично разрешете достъпа до интернет за необходимите модули, използвайки етикети; изрично разрешете свързаността между модулите, които трябва да комуникират помежду си.

Как да организираме мониторинг на контейнери и услугите в тях

Сигурност и мониторинг — основни проблеми за компаниите при разгръщане на Kubernetes клъстери. Разработчиците винаги са по-силно фокусирани върху функциите на приложенията, които разработват, отколкото върху аспектите на мониторинга на тези приложения..

Препоръки от Gartner:

Опитайте се да наблюдавате състоянието на контейнерите или услугите в тях заедно с мониторинга на хост системата.
Предпочитайте производители и инструменти с дълбока интеграция в оркестрацията на контейнери, особено Kubernetes.
Избирайте инструменти, които предоставят детайлно записване, автоматично откриване на услуги и препоръки в реално време, използвайки аналитика и/или машинно обучение.

В блога на SolarWinds се препоръчва:

Да се използват инструменти за автоматично откриване и проследяване на метрики на контейнерите, корелация на метриките за производителност, като CPU, памет и време на безаварийна работа.
Да осигурите оптимално планиране на капацитета, предвиждайки сроковете за изчерпване на капацитета на базата на показателите от мониторинга на контейнерите.
Да организирате мониторинг на приложенията, разположени в контейнери, по параметри на наличност и производителност, което е полезно както за планиране на капацитета, така и за разрешаване на проблеми с производителността.
Да автоматизирате работните процеси, осигурявайки подкрепа за управление и мащабиране на контейнерите и техните среди за разполагане.
Да автоматизирате контрола на достъпа, за да следите базата от потребители, да деактивирате остарели и гост-акаунти, да премахвате излишни привилегии.
Да се уверите, че вашият набор от инструменти може да проследява тези контейнери и приложения в различни среди (облачни, локални или хибридни) за визуализиране и съпоставяне на производителността в инфраструктурата, мрежата, системите и приложенията.

Как да съхранявате данни и да осигурите тяхната безопасност

С увеличаването на броя на работните контейнери с поддържане на състояние, клиентите трябва да вземат предвид съхранението на данни извън хоста, както и необходимостта от защита на тези данни.

Според анкетата на Portworx и Aqua Security, защитата на данните е на първо място в списъка с проблеми по сигурността, отбелязани от повечето респонденти (61%).

Шифроването на данни е основна стратегия за сигурност (64%), но респондентите също използват мониторинг на изпълнението

(49%), сканиране за уязвимости в регистрите (49%), сканиране за уязвимости в CI/CD конвейерите (49%) и блокиране на аномалии чрез защита в реално време (48%).

Препоръки от Gartner:

Избирайте решения за съхранение на данни, изградени на принципите на микросервисната архитектура. По-добре е да се спрете на такива, които отговарят на изискванията за съхранение на данни за контейнерни услуги, не зависят от хардуер, управляват се чрез API, имат разпределена архитектура, поддържат локално и публично облачно разгръщане.
Избягвайте собствени плъгини и интерфейси. Избирайте производители, които осигуряват интеграция с Kubernetes и поддържат стандартни интерфейси, като CSI (Interface за съхранение на контейнери).

Как да работите с мрежи

Традиционният модел на корпоративна мрежа, при който ИТ специалисти създават мрежови среди за разработка, тестване, осигуряване на качество и производство за всеки проект, не винаги съвпада с работния процес на непрекъсната разработка. Освен това, контейнерните мрежи обхващат няколко нива.

В в блога на Magalix събрали висококачествени правила, на които реализацията на кластерно-мрежово решение трябва да отговаря:

Подовете, планирани на един и същ възел, трябва да имат възможност да обменят данни с други модули без използване на NAT (преобразуване на мрежови адреси).
Всички системни демони (фонови процеси, като kubelet), работещи на определен възел, могат да взаимодействат с подовете, работещи на същия възел.
Подовете, използващи мрежа на хоста, трябва да имат възможност за свързване с всички други подове на всички други възли без използване на NAT. Обърнете внимание, че мрежата на хоста се поддържа само на хостове с Linux.

Мрежовите решения трябва да бъдат тясно интегрирани с примитивите и политиките на Kubernetes. ИТ ръководителите трябва да се стремят към висока степен на автоматизация на мрежата, предоставяйки на разработчиците подходящите инструменти и достатъчна гъвкавост.

Препоръки от Gartner:

Установете дали вашият CaaS (контейнер като услуга) или вашата SDN (Мрежа, определена от софтуер) поддържа мрежи Kubernetes. Ако не или поддръжката е недостатъчна, използвайте мрежовия интерфейс CNI (Контейнерен мрежов интерфейс) за вашите контейнери, който поддържа необходимата функционалност и политики.
Уверете се, че вашият CaaS или PaaS (платформа като услуга) поддържат създаването на входящи контролери и/или балансисти на натоварването, разпределящи входящия трафик между възлите на кластера. Ако такава възможност няма, разгледайте използването на външни проксита или механизми за service mesh.
Обучете своите мрежови инженери да работят с Linux мрежи и инструменти за автоматизация на мрежата, за да намалите разликата в уменията и да повишите гъвкавостта.

Как да управлявате жизнения цикъл на приложенията

За автоматизирана и безпроблемна доставка на приложения е необходимо да се допълни контейнерната оркестрация с други инструменти за автоматизация, като продукти за инфраструктура като код (IaC). Към тях спадат Chef, Puppet, Ansible и Terraform.

Също така са нужни средства за автоматизация на изграждането и внедряването на приложения (вж. "Магическият квадрант за оркестрация на внедряването на приложения"). Контейнерите също предлагат възможности за разширение, подобни на тези, които съществуваха при разгръщането на виртуални машини (VM). Така че, ИТ ръководителите трябва да имат инструменти за управление на жизнения цикъл на контейнери.

Препоръки от Gartner:

Установете стандарти за основни образи на контейнери с оглед на размера, лицензиране и гъвкавост за добавяне на компоненти от разработчиците.
Използвайте системи за управление на конфигурацията за управление на жизнения цикъл на контейнери, които разполагат конфигурацията в слоеве на базата на основни образи, намиращи се в публични или частни репозитории.
Интегрирайте платформата CaaS с инструменти за автоматизация, за да автоматизирате целия работен поток на приложението.

Как да управлявате контейнерите с помощта на оркестратори

Основните функции за разгръщане на контейнери се предоставят на нива на оркестрация и планиране. При планирането контейнерите се разполагат на най-оптималните хостове в клъстера, както изискват условията на нивото на оркестрация.

Kubernetes е де факто стандарт за оркестрация на контейнери с активно общество, което е подкрепяно от повечето водещи търговски доставчици.

Препоръки от Gartner:

Определете основните изисквания за елементите на сигурността, мониторинга, управлението на политики, запазването на данни, управлението на мрежите и жизнения цикъл на контейнерите.
Въз основа на тези изисквания изберете инструмент, който най-добре отговаря на вашите нужди и сценарии на употреба.
Използвайте изследвания на Gartner (вж. "Как да изберем модел на разгръщане на Kubernetes"), за да разберете предимствата и недостатъците на различните модели на разгръщане на Kubernetes и да изберете най-подходящия за вашата задача.
Изберете доставчик, който може да осигури хибридна оркестрация за работни контейнери в различни среди с тясна интеграция с бекендите, общи планове за управление и съгласувани модели за ценообразуване.

Как да използвате възможностите на облачните доставчици

Според Gartner,интересът към разгръщането на контейнери в публичното облако IaaS нараства поради наличието на готови решения CaaS, както и тясната интеграция на тези предложения с другите продукти, предлагани от облачните доставчици.

Облаците IaaS предлагат потребление на ресурси при поискване, бърза скалируемост и управление на услугите, което ще помогне да се избегне необходимостта от дълбочинни познания за инфраструктурата и нейното обслужване. Повечето облачни доставчици предлагат услуга за управление на контейнери, а някои предлагат няколко варианта на оркестрация.

Ключовите доставчици на облачни управлявани услуги са представени в таблицата:

Облачни доставчици
Тип услуга
Продукт/услуга

Alibaba
Native Cloud Service
Alibaba Cloud Container Service, Alibaba Cloud Container Service for Kubernetes

Amazon Web Services (AWS)
Native Cloud Service
Amazon Elastic Container Services (ECS), Amazon ECS for Kubernetes (EKS), AWS Fargate

Giant Swarm
MSP
Giant Swarm Managed Kubernetes Infrastructure

Google
Native Cloud Service
Google Container Engine (GKE)

IBM
Native Cloud Service
IBM Cloud Kubernetes Service

Microsoft
Native Cloud Service
Azure Kubernetes Service, Azure Service Fabric

Oracle
Native Cloud Service
OCI Container Engine for Kubernetes

Platform9
MSP
Managed Kubernetes

Red Hat
Hosted Service
OpenShift Dedicated & Online

VMware
Hosted Service
Cloud PKS (Beta)

Mail.ru Cloud Solutions*
Native Cloud Service
Mail.ru Cloud Containers

* Няма да крием, сами се добавихме тук при превода 🙂

Доставчиците на публични облаци също добавят нови възможности и пускат локални продукти. В близко бъдеще облачните доставчици ще развиват подкрепата за хибридни облаци и многооблакни среди.

Препоръки на Gartner:

Обективно оценете възможностите на вашата организация да разгръща и управлява подходящите инструменти, а също така разгледайте алтернативни услуги за управление на облачни контейнери.
Внимателно изберете софтуер, използвайте open source, където е възможно.
Изберете доставчици с единни операционни модели в хибридни среди, които предлагат управление на обединени клъстери от единна панелна система, както и доставчици, които опростяват самостоятелното използване на IaaS.

Няколко съвета за избор на доставчик на Kubernetes aaS от блога на Replex:

Търсете дистрибуции, които поддържат висока наличност от кутия. Това включва поддръжка на различни основни архитектури, високо налични компоненти etcd, както и резервно копиране и възстановяване.
За да осигурите мобилност на средите Kubernetes, е най-добре да изберете облачни доставчици, които поддържат широк спектър от модели на разгръщане: от локални до хибридни и многооблачни.
Предложенията на доставчиците също трябва да се оценят с оглед на простотата на настройка, инсталация и създаване на клъстери, а също и на актуализации, мониторинг и отстраняване на неизправности. Основното изискване е поддръжката на напълно автоматизирани актуализации на клъстера с нулево време на престой. Избраната система също трябва да позволява ръчно стартиране на актуализации.
Управлението на идентичността и достъпа е важно както от гледна точка на сигурността, така и от гледна точка на управлението. Уверете се, че избраният дистрибутив на Kubernetes поддържа интеграция с средствата за удостоверяване и авторизация, които се използват във фирмата. RBAC и детайлен контрол на достъпа също са важни набори от функции.
Избраният дистрибутив трябва или да има собствено мрежово решение, определяно от софтуера и обхващащо широк спектър от изисквания, наложени от различни приложения или инфраструктура, или да поддържа една от популярните реализации на мрежи, базирани на CNI, включително Flannel, Calico, kube-router или OVN.

Внедряването на контейнери в производството става основна посока, което е видно от резултатите на проучване, проведено на сесията на Gartner по инфраструктура, операции и облачни стратегии (IOCS) през декември 2018 г.:

Както виждаме, 27% от анкетираните вече използват контейнери в работата си, а 63% имат намерение да го направят.

В в проучването на Portworx и Aqua Security 24% от респондентите съобщават, че инвестират над половин милион долара годишно в контейнерни технологии, а 17% от респондентите харчат над един милион долара годишно за тях.

Статията е подготвена от екипа на облачната платформа Mail.ru Cloud Solutions.

Какво още може да се прочете по темата:

Източник: habr.com