Parimad tavad ja soovitused konteinerite ja Kubernetes'i käitamiseks tootmiskeskkondades

Konteineritehnoloogia ökosüsteem areneb ja muutub kiiresti, seega puuduvad selles valdkonnas head tööpraktikad. Sellegipoolest kasutatakse Kubernetes'i ja konteinerite lahendusi üha enam - nii vanade rakenduste moderniseerimiseks kui ka uute pilverakenduste arendamiseks. 

Meeskond Kubernetes aaS Mail.ru-lt kogus kokku prognoosid, nõuanded ja parimad tavad turuliidritelt Gartner, 451 Research, StacxRoх ja teised. Need aitavad tagada ja kiirendada konteinerite juurutamist tootmiskeskkondades.

Kuidas mõista, kas teie ettevõte on valmis konteinerite juurutamiseks tootmiskeskkonnas

Gartneri andmetel, 2022. aastal kasutab enam kui 75% organisatsioonidest tootmises konteineriseeritud rakendusi. See on oluliselt rohkem kui praegu, kui selliseid rakendusi kasutab alla 30% ettevõtetest. 

Vastavalt 451 Research, prognoositav turg konteineritehnoloogia kasutamiseks 2022. aastal ulatub 4,3 miljardi dollarini. See on enam kui kahekordne summa võrreldes 2019. aasta prognoosidega, turu kasvumäär on 30%.

Uues Portworxi ja Aqua Security uuringus 87% vastanutest teatas, et nad kasutavad praegu konteerimisvõimalusi. Võrdluseks, 2017. aastal oli selliseid vastajaid 55%. 

Hoolimata suurenevast huvi ja konteinerite juurutamise kasvust, nõuab nende tootmisele viimine koolitust tehnoloogilise küpsuse ja oskuste puudumise tõttu. Organisatsioonid peaksid realistlikult vaatama äritegevuse protsesse, mis nõuavad rakenduste konteerimist. IT-juhtidel on oluline hinnata, kas neil on vajalikud oskused edaspidiseks arendamiseks, arvestades kiirete õppimisvajaduste olemasolu. 

Gartneri eksperdid usuvad, et alljärgnevad küsimused aitavad mõista, kas olete valmis konteinerite juurutamiseks tootmises:

Kõige levinumad vead konteinerite kasutamisel tootmises

Organisatsioonid alahindavad sageli pingutusi, mis on vajalikud konteinerite tootmises toimimiseks. Gartner on avastanud mitmeid levinud vigu klientide stsenaariumides, kui konteineritehnoloogiat rakendatakse tootmises:

Kuidas tagada konteinerite turvalisus

Turvalisusega ei saa tegeleda "hiljem". See peab olema sisseehitatud DevOpsi protsessi, mistõttu on tekkinud isegi eraldi termin - DevSecOps. Organisatsioonid peavad plaanima konteinerikeskkonna kaitset kogu arenduse elutsükli vältel, mis hõlmab rakenduse koostamise ja arendamise, juurutamise ja käivitamise protsessi.

Gartneri soovitused: 

1. Integreerige rakenduse piltide skaneerimise protsess haavatavuste leidmiseks pideva integreerimise/pideva toimetamise (CI/CD) protsessi. Rakendusi skaneeritakse tarkvara koostamise ja käivitamise etappidel. Rõhutage vajadust skaneerida ja tuvastada avatud lähtekoodiga komponente, teeke ja raamistikke. Arendajate vanade haavatavate versioonide kasutamine on üks peamisi konteinerite haavatavuste põhjuseid.
2. Parandage konfiguratsiooni Center for Internet Security (CIS), testide abil, mis on saadaval nii Dockerile kui ka Kubernetesile.
3. Kasutage kindlasti juurdepääsukontrolli, tagage ülesannete eraldamine ja rakendage salajaste haldamise poliitika. Konfidentsiaalne teave, nagu Secure Sockets Layer (SSL) võtmed või andmebaasi mandaadid, krüpteeritakse orkestri või kolmandate osapoolte haldusteenuste abil ja antakse välja käitamise ajal.
4. Vältige ülbe õigustega konteinerite kasutamist, rakendades turvapoliitikate haldust, et vähendada võimalikke häkkimisriske.
5. Kasutage turbeltööriistu, mis pakuvad valgeid nimesid, käitumisennetust ja anomaaliate tuvastamist pahatahtlike tegevuste ennetamiseks.

StacxRox soovitused:

1. Kasutage Kubernetes'i sisseehitatud funktsioone. Konfigureerige kasutajate juurdepääs rollide kaudu. Veenduge, et te ei konaerita üksikutele isikutele, kellele see ei ole vajalik, isegi kui minimaalsete vajalike õiguste kaalumine võib võtta aega. Kuigi võib tunduda ahvatlev andida klastrihaldurile laiad õigused, kuna see säästab algusfaasis aega. Siiski võivad kompromissid või kontode vead hiljem kaasa tuua hävitavaid tagajärgi. 
2. Vältige juurdepääsuõiguste dubleerimist. Mõnikord võib olla kasulik, et erinevad rollid kattuksid, kuid see võib tekitada käitamisprobleeme ning luua 'surmaalasid' õiguste eemaldamise korral. Lisaks sellele on oluline eemaldada kasutamata ja passiivsed rollid.
3. Seadke võrgu poliitikad: isoleerige moodulid, et piirata nende ligipääsu; lubage interneti juurdepääs neile moodulitele, kellele see on vajalik, kasutades silte; lubage selgesõnaliselt side nende moodulite vahel, kes peavad omavahel suhtlema. 

Kuidas korraldada konteinerite ja nende teenuste jälgimist

Turvalisus ja jälgimine — peamised probleemid ettevõtetele Kubernetes klastrite juurutamisel. Arendajad keskenduvad alati rohkem rakenduste funktsioonidele, mida nad arendavad, kui nende rakenduste jälgimise aspektidele.. 

Gartneri soovitused:

1. Püüdke jälgida konteinerite või nende teenuste olekuid koos host-süsteemide jälgimisega.
2. Eelistage tootjaid ja tööriistu, mis on tugevalt integreeritud konteinerite orkestreerimisega, eriti Kubernetesega.
3. Valige tööriistu, mis pakuvad põhjalikku logimist, automaatset teenuste avastamist ja reaalaja soovitusi analüüsi ja/või masinõppe abil.

SolarWinds blogis soovitatakse:

1. kasutada tööriistu automaatseks avastamiseks ja konteineri mõõdikute jälgimiseks, nagu protsessori, mälu ja töökindluse aeg.
2. Tagada optimeeritud päringute planeerimine, prognoosides mahutuse ammendumise tähtaegu konteinerite jälgimise mõõdikute põhjal.
3. Korraldada rakenduste jälgimine, mis on paigutatud konteineritesse, nende kättesaadavuse ja jõudluse parameetrite järgi, mis on kasulik kapatsiteedi planeerimiseks ja jõudlusprobleemide lahendamiseks.
4. Automatiseerige tööprotsessid, pakkudes haldamise ja skaleerimise toetust konteineritele ja nende loomise keskkondadele.
5. Automatiseerige juurdepääsu kontroll, et jälgida kasutajabaasi, keelata aegunud ja külalistähted, eemaldada liigsed õigused.
6. Veenduge, et teie tööriistade komplekt suudab jälgida neid konteinereid ja rakendusi erinevates keskkondades (pilves, lokaalsetes või hübriidsetes), et visualiseerida ja võrrelda jõudlust infrastruktuuris, võrgus, süsteemides ja rakendustes.

Kuidas andmeid talletada ja nende turvalisus tagada

Töötavate konteinerite arvu suurenedes peavad kliendid arvestama andmete paiknemisega väljaspool hosti ning ka nende andmete kaitsmise vajadusega. 

Andmete kohaselt Portworx ja Aqua Security küsitlus, andmete turvalisus on enamikus vastajate (61%) märkmete seas esikohal olev probleem. 

Andmete krüpteerimine on peamine turvalisuse strateegia (64%), kuid vastajad kasutavad ka täitmisaja jälgimist

(49%), haavatavuste skaneerimist registrites (49%), haavatavuste skaneerimist CI/CD pipeline'is (49%) ja häirete blokeerimist täitmisaja kaitse kaudu (48%).

Gartneri soovitused:

1. Valige andmete salvestamise lahendused, mis põhinevad mikroteenuste arhitektuuril. Eelistage neid, mis vastavad andmete salvestamise nõuetele konteinerite teenuste jaoks, on riistvarast sõltumatud, hallatavad API kaudu, on jagatud arhitektuuriga, toetavad kohalikke ja avalikke pilvevõimekusi.
2. Vältige omandiõigust omavaid pluginaid ja liideseid. Valige tootjad, kes tagavad integreerimise Kubernetesega ja toetavad standardseid liideseid, nagu CSI (Container Storage Interfaces).

Kuidas töötada võrkudega

Traditsiooniline ettevõtte võrgumudel, kus IT-spetsialistid loovad iga projekti jaoks arendus-, testimis-, kvaliteedikontrolli ja tootmisvõrgukeskkondi, ei sobi alati pideva arenduse töövoogu. Lisaks ulatuvad konteineritest võrgud mitmele tasemele.

Uues Magalix'i blogis on kokku kogutud ülevaated kõrge taseme reeglite kohta, millega klastrivõrgu lahenduste rakendamine peab vastama:

1. Sama sõlme planeeritud podid peavad suutma jagada andmeid teiste moodulitega ilma NAT-ta (võrguaadresside tõlked).
2. Kõik süsteemi demonid (taustaprotsessid, nagu kubelet), mis töötavad määratud sõlmel, saavad suhtleda sama sõlme podidega.
3. Podid, mis kasutavad hosti võrgus, peavad suutma suhelda kõikide teiste podidega kõigil teistel sõlmedel ilma NAT-ta. Pange tähele, et hostivõrkude tugi on saadaval ainult Linuxi hostidel.

Võrgulahendused peavad olema tihedalt integreeritud Kubernetes'e primitiividega ja poliitikatega. IT-juhid peaksid püüdlema kõrge automatiseerimise taseme poole, pakkuma arendajatele vajalikke tööriistu ja piisavalt paindlikkust.

Gartneri soovitused:

1. Selgitage välja, kas teie CaaS (konteiner kui teenus) või teie SDN (tarkvara määratud võrk) toetab Kubernetes'e võrke. Kui ei või toetus on ebapiisav, kasutage oma konteinerite jaoks CNI (Container Network Interface) võrguliidest, mis toetab vajalikku funktsionaalsust ja poliitikaid.
2. Veenduge, et teie CaaS või PaaS (platvorm kui teenus) toetab sisenemiskontrollerite ja/või koormuse tasakaalustajate loomist, mis jaotavad sissetulevat liiklust klastrite sõlmede vahel. Kui seda võimalust ei ole, uurige kolmandate osapoolte vahetus- või teenuse mesh-mehhanismide kasutamist.
3. Koolitage oma võrguinsenere töötama Linuxi võrkude ja võrgu automatiseerimise tööriistadega, et vähendada oskuste lõhet ja tõsta paindlikkust.

Kuidas hallata rakenduste elutsüklit

Rakenduste automatiseeritud ja katkematuks kohaletoimetamiseks tuleb konteinerite orkestreerimist täiendada teiste automatiseerimise tööriistadega, näiteks infrastruktuuri kui koodi (IaC) toodetega. Nendeks on Chef, Puppet, Ansible ja Terraform. 

Samuti on vajalikud rakenduste koostamise ja juurutamise automatiseerimise vahendid (vt "Kvantide maagiline ruut rakenduste juurutamise orkestreerimise jaoks"). Konteinerid pakuvad ka laiendamise võimalusi, sarnaseid nendele, mis eksisteerisid virtuaalmasinate (VM) juurutamisel. Seega peavad IT-juhid olema konteinerite elutsükli haldustööriistad.

Gartneri soovitused:

1. Kehtestage konteinerite põhisisendite standardid, arvestades suurust, litsentsimist ja paindlikkust arendajate komponentide lisamiseks.
2. Kasutage konfigureerimissemanageerimise süsteeme konteinerite elutsükli haldamiseks, mis salvestavad konfiguratsiooni kihtidena põhisisendite põhjal, mis asuvad avalikes või privaatsetes hoidlatest.
3. Integreerige CaaS-platvorm automatiseerimistööriistadega, et automatiseerida kogu rakenduse töövoogu.

Kuidas hallata konteinerite kaudu orkestratoreid

Põhifunktsioonid konteinerite rakendamiseks on saadaval orkestreerimise ja planeerimise tasanditel. Planeerimise käigus paigutatakse konteinerid klastris kõige optimaalsematele hostidele, nagu on ette nähtud orkestreerimise taseme nõudmistega. 

Kubernetes on de facto konteinerite orkestreerimise standard, millel on aktiivne kogukond ja mida toetavad enamik juhtivaid kommertsliidri pakkujaid. 

Gartneri soovitused:

1. Määrake kindlaks põhivajadused turvahalduse, jälgimise, poliitikate haldamise, andmete säilitamise, võrguhalduse ja konteinerite elutsükli osas.
2. Nende nõudmiste põhjal valige tööriist, mis vastab kõige paremini teie vajadustele ja kasutusstsenaariumidele.
3. Kasutage Gartneri uuringuid (vt "Kuidas valida Kubernetes'i rakendamise mudel"), et mõista erinevate Kubernetes'i rakendamise mudelite eeliseid ja puudusi ning valida oma ülesande jaoks kõige sobivam.
4. Valige pakkuja, kes suudab tagada hübriidorkestreerimise mitmesugustes keskkondades, tiheda integreerimise tagasitulekudega, jagatud juhtimiskavadega ja ühtlaste hinnamudelitega.

Kuidas kasutada pilveteenuse pakkujate võimalusi

Gartneri arvates, kasvab huvi konteinerite rakendamise üle avalikus pilves IaaS, kuna CaaS-i valmislahenduste kättesaadavus ning nende lahenduste tihe integreerimine muude pilveteenuse pakkujate poolt pakutavate toodetega.

IaaS pilved pakuvad nõudmisel ressursikasutust, kiiret skaleerimist ja teenuste haldust, mis aitab vältida sügavate teadmisel infrastruktuurist ja selle hooldamisest. Enamik pilveteenuse pakkujatest pakub konteinerite haldusteenust, mõned aga mitu orkestreerimise varianti. 

Peamised hallatud teenuste pilvepakkujad on esitatud tabelis: 

Pilveteenuse pakkuja
Teenuse tüüp
Toode/teenus

Alibaba
Native Cloud Service
Alibaba Cloud Container Service, Alibaba Cloud Container Service for Kubernetes

Amazon Web Services (AWS)
Native Cloud Service
Amazon Elastic Container Services (ECS), Amazon ECS for Kubernetes (EKS), AWS Fargate

Giant Swarm
MSP
Giant Swarm Managed Kubernetes Infrastructure

Google
Native Cloud Service
Google Container Engine (GKE)

IBM
Native Cloud Service
IBM Cloud Kubernetes Service

Microsoft
Native Cloud Service
Azure Kubernetes Service, Azure Service Fabric

Oracle
Native Cloud Service
OCI Container Engine for Kubernetes

Platform9
MSP
Managed Kubernetes

Red Hat
Hosted Service
OpenShift Dedicated & Online

VMware
Hosted Service
Cloud PKS (Beta)

Mail.ru Pilveteenused*
Native Cloud Service
Mail.ru Pilvekonteinerid

* Me ei varja, me lisasime end siia tõlke ajal 🙂

Avalike pilveteenuste pakkujad lisavad ka uusi võimalusi ja käivitavad kohalikke tooteid. Tulevikus arendavad pilveteenuste pakkujad hübriidpilvede ja mitme pilve keskkondade tuge. 

Gartneri soovitused:

1. Objektiivselt hinnake oma organisatsiooni võimalusi vastava tarkvara rakendamiseks ja haldamiseks ning kaaluge alternatiivseid pilvekonteinerite haldusteenuseid.
2. Valige hoolikalt tarkvara, kasutage avatud lähtekoodi seal, kus see on võimalik.
3. Valige pakkujad, kellel on ühtsed tegevusmudelid hübriidkeskkondades, mis pakuvad haldamist ühest paneelilt, samuti pakkujad, kes lihtsustavad IaaS-i iseteenindust.

Mõned näpunäited Kubernetes aaS-i pakkuja valimiseks Replexi blogist:

1. Tasub otsida jaotusi, mis toetavad kõrget valmisolekut välja pakutud vormis. See hõlmab mitme peamise arhitektuuri toetust, kõrge saadavusega etcd komponente, samuti varundamist ja taastamist.
2. Kubernetes keskkondade liikuvuse tagamiseks on parem valida pilveteenuse pakkujad, kes toetavad laia valikut juurutusmudeleid: kohalikest, hübriidsetest kuni mitme pilve lahendusteni. 
3. Pakkujate pakkumisi tasub hinnata, võttes arvesse seadistamise, paigaldamise ja klastrite loomise lihtsust, samuti uuendusi, monitooringut ja tõrkeotsingut. Põhinõue on täielikult automatiseeritud klastrite uuenduste toetamine nullist jääkaja ajal. Valitud lahendus peaks samuti võimaldama käsitsi uuenduste käivitamist. 
4. Tuumik- ja juurdepääsuhalduse tähtsus on nii turvaprobleemide kui ka haldamise seisukohalt. Veenduge, et valitud Kubernetes jaotamine toetab integreerimist ettevõtte sisemiste autentimise ja autoriseerimise vahenditega. RBAC ja põhjalik juurdepääsukontroll on samuti olulised funktsioonide kogumid.
5. Valitud distributsioon peab kas olema oma võrgulahendus, mis on määratud tarkvara poolt ja katab mitmesuguseid erinevaid rakenduste või infrastruktuuri nõudmisi, või toetama ühte tuntud CNI-põhist võrgu rakendust, sealhulgas Flannel, Calico, kube-router või OVN.

Konteinerite kasutuselevõtt tootmises muutub peamiseks suunaks, millest tõendab küsitluse tulemus, mis viidi läbi Gartneri sessioonis infrastruktuuri, operatsioonide ja pilveteenuste strateegiate (IOCS) osas detsembris 2018:

Nagu näeme, kasutab 27% küsitletutest juba konteinerite tehnoloogiat töös, samas kui 63% kavatseb seda teha.

Uues Portworxi ja Aqua Security uuringus 24% vastanutest teatas, et investeerib konteineritehnoloogiatele üle poole miljoni dollari aastas, ning 17% vastanutest kulutab neile üle miljoni dollari aastas. 

Artikkel on koostatud pilveplatvormi meeskonna poolt Mail.ru Pilve Lahendused.

Mida veel selle kohta lugeda:

1. Parimad DevOps’i praktikad: DORA aruanne.
2. 🥇Kuidas rahulikult magada, kui teil on pilveteenus: peamised arhitektuuri nõuanded | ProHoster.
3. 25 kasulikku tööriista Kubernetes’e juurutamiseks ja kasutuselevõtmiseks.

Allikas: habr.com