Најдобри практики и најдобри практики за водење контејнери и кубернети во производни средини

Технолошкиот екосистем за контејнеризација брзо се развива и се менува, така што недостасуваат добри работни практики во оваа област. Сепак, Kubernetes и контејнерите се повеќе се користат, како за модернизирање на наследените апликации, така и за развој на модерни облак апликации. 

Тим Kubernetes aaS од Mail.ru собрани прогнози, совети и најдобри практики за лидерите на пазарот од Gartner, 451 Research, StacxRoх и други. Тие ќе го овозможат и забрзаат распоредувањето на контејнерите во производните средини.

Како да знаете дали вашата компанија е подготвена да распореди контејнери во производна средина

Според Гартнер, во 2022 година, повеќе од 75% од организациите ќе користат контејнеризирани апликации во производството. Ова е значително повеќе од моментално, кога помалку од 30% од компаниите користат такви апликации. 

Според 451 истражувањеПроектираниот пазар за апликации за технологија за контејнери во 2022 година ќе биде 4,3 милијарди долари. Ова е повеќе од двојно повеќе од предвидениот износ во 2019 година, со стапка на раст на пазарот од 30%.

В Истражување на Portworx и Aqua Security 87% од испитаниците изјавиле дека моментално користат технологии за контејнери. За споредба, во 2017 година имало 55% такви испитаници. 

И покрај зголемениот интерес и усвојувањето на контејнери, нивното внесување во производство бара крива на учење поради технолошката незрелост и недостатокот на знаење. Организациите мора да бидат реални за деловните процеси кои бараат контејнеризација на апликациите. ИТ лидерите треба да оценат дали имаат вештина да напредуваат со потребата за брзо учење. 

Експерти од Гартнер Сметаме дека прашањата на сликата подолу ќе ви помогнат да одредите дали сте подготвени да распоредите контејнери во производството:

Најчести грешки при користење на контејнери во производството

Организациите често го потценуваат напорот потребен за управување со контејнери во производството. Откри Гартнер Некои вообичаени грешки во сценаријата на клиентите при користење на контејнери во производствени средини:

Како да ги чувате контејнерите безбедни

Со безбедноста не може да се работи „подоцна“. Мора да биде вграден во процесот DevOps, поради што постои дури и посебен термин - DevSecOps. Организациите треба да планираат заштита на околината на вашиот контејнер во текот на целиот животен циклус на развој, кој вклучува процес на градење и развој, распоредување и лансирање на апликацијата.

Препораки од Гартнер: 

1. Интегрирајте го процесот на скенирање на слики од апликации за пропусти во вашата линија за континуирана интеграција/континуирана испорака (CI/CD). Апликациите се скенираат во фазите на изградба и стартување на софтверот. Нагласете ја потребата да се скенираат и идентификуваат компонентите, библиотеките и рамки со отворен код. Програмерите кои користат стари, ранливи верзии е една од главните причини за ранливоста на контејнерите.
2. Подобрете ја вашата конфигурација со Центарот за тестови за безбедност на Интернет (ЗНД), кои се достапни и за Docker и за Kubernetes.
3. Погрижете се да спроведете контроли за пристап, да обезбедите поделба на должностите и да спроведете политика за управување со тајните. Чувствителните информации, како што се клучевите на Secure Sockets Layer (SSL) или ингеренциите на базата на податоци, се шифрирани од оркестраторот или услугите за управување со трета страна и се изложени при извршување
4. Избегнувајте покачени контејнери со управување со безбедносни политики за да ги намалите потенцијалните ризици од прекршување.
5. Користете безбедносни алатки кои обезбедуваат бела листа, следење на однесувањето и откривање аномалии за да спречите злонамерна активност.

Препораки од StacxRox:

1. Искористете ги вградените способности на Kubernetes. Поставете пристап за корисници кои користат улоги. Погрижете се да не давате непотребни дозволи на поединечни субјекти, иако може да биде потребно извесно време да се размисли за минималните потребни дозволи. Можеби е примамливо да му се дадат широки привилегии на администраторот на кластерот бидејќи тоа првично заштедува време. Сепак, секој компромис или грешки во сметката може да доведе до катастрофални последици подоцна. 
2. Избегнувајте дупликат дозволи за пристап. Понекогаш може да биде корисно да се преклопуваат различни улоги, но тоа може да доведе до оперативни проблеми и исто така да создаде слепи точки при отстранување на дозволите. Исто така, важно е да се отстранат неискористените и неактивни улоги.
3. Поставете мрежни политики: изолирајте ги модулите за да го ограничите пристапот до нив; експлицитно дозволете пристап до Интернет до оние модули на кои им е потребен користејќи ознаки; Експлицитно дозволете комуникација помеѓу оние модули кои треба да комуницираат едни со други. 

Како да се организира мониторинг на контејнерите и услугите во нив

Безбедност и следење - главните проблеми на компаниите при распоредување на кластерите на Kubernetes. Програмерите се секогаш повеќе фокусирани на карактеристиките на апликациите што ги развиваат наместо на аспектите следење на овие апликации. 

Препораки од Гартнер:

1. Обидете се да ја следите состојбата на контејнерите или услугите во нив заедно со системите за следење на домаќините.
2. Побарајте продавачи и алатки со длабока интеграција во оркестрацијата на контејнери, особено Kubernetes.
3. Изберете алатки кои обезбедуваат детално евидентирање, автоматско откривање услуги и препораки во реално време користејќи аналитика и/или машинско учење.

Блогот SolarWinds советува:

1. Користете алатки за автоматско откривање и следење на метрика на контејнери, поврзувајќи ги метриките за изведба како што се процесорот, меморијата и времето на работа.
2. Обезбедете оптимално планирање на капацитетот со предвидување на датумите на исцрпување на капацитетот врз основа на метрика за следење на контејнерите.
3. Следете ги контејнеризираните апликации за достапност и перформанси, корисни и за планирање на капацитетот и за решавање проблеми со перформансите.
4. Автоматизирајте ги работните текови со обезбедување поддршка за управување и скалирање за контејнерите и нивните средини за хостирање.
5. Автоматизирајте ја контролата на пристапот за да ја следите вашата корисничка база, да ги оневозможите застарените и гостинските сметки и да ги отстраните непотребните привилегии.
6. Осигурете се дека вашата група алатки може да ги следи овие контејнери и апликации низ повеќе средини (облак, во простории или хибридни) за да ги визуелизира и да ги одреди перформансите низ инфраструктурата, мрежата, системите и апликациите.

Како да складирате податоци и да ја обезбедите нивната безбедност

Со порастот на контејнери со државни работници, клиентите треба да размислат за присуството на податоци надвор од домаќинот и потребата да ги заштитат тие податоци. 

Според Истражување на Portworx и Aqua Security, безбедноста на податоците е на врвот на листата на безбедносни грижи наведени од мнозинството од испитаниците (61%). 

Шифрирањето на податоците е главната безбедносна стратегија (64%), но испитаниците користат и следење на времето на работа

(49%), скенирање на регистри за пропусти (49%), скенирање за ранливости во цевководи CI/CD (49%) и блокирање на аномалии преку заштита при извршување (48%).

Препораки од Гартнер:

1. Изберете решенија за складирање изградени на принципи микросервис архитектура. Подобро е да се фокусираме на оние што ги исполнуваат барањата за складирање податоци за контејнерските услуги, се хардверски независни, управувани од API, имаат дистрибуирана архитектура, поддржуваат локално распоредување и распоредување во јавниот облак.
2. Избегнувајте сопственички приклучоци и интерфејси. Изберете продавачи кои обезбедуваат интеграција на Kubernetes и поддржуваат стандардни интерфејси како што се CSI (интерфејси за складирање на контејнери).

Како да работите со мрежи

Традиционалниот модел на мрежа на претпријатија, каде што ИТ тимовите создаваат мрежен развој, тестирање, обезбедување квалитет и производствени средини за секој проект, не секогаш се вклопува добро со работниот тек на континуиран развој. Покрај тоа, контејнерските мрежи опфаќаат повеќе слоеви.

В Собран блог Magalix правила на високо ниво со кои мора да се придржува имплементацијата на кластерско-мрежно решение:

1. Подовите закажани на истиот јазол мора да бидат способни да комуницираат со други подлоги без користење NAT (Network Address Translation).
2. Сите системски демони (процеси во заднина како што е kubelet) што работат на одреден јазол можат да комуницираат со подови што работат на истиот јазол.
3. Мешунки со користење домаќин мрежа, мора да може да комуницира со сите други подови на сите други јазли без користење NAT. Ве молиме имајте предвид дека вмрежувањето на домаќините е поддржано само на хостовите на Linux.

Решенијата за вмрежување мора да бидат цврсто интегрирани со примитивите и политиките на Кубернет. ИТ лидерите треба да се стремат кон висок степен на автоматизација на мрежата и да им обезбедат на програмерите вистински алатки и доволна флексибилност.

Препораки од Гартнер:

1. Дознајте дали вашиот CaaS (контејнер како услуга) или вашата SDN (софтвер дефинирана мрежа) поддржува мрежи на Kubernetes. Ако не или поддршката е недоволна, користете го мрежниот интерфејс CNI (мрежен интерфејс на контејнери) за вашите контејнери, кој ги поддржува потребните функционалности и политики.
2. Осигурајте се дека вашиот CaaS или PaaS (платформа како услуга) поддржува создавање контролери за влез и/или балансери на оптоварување кои го дистрибуираат дојдовниот сообраќај меѓу јазлите на кластерот. Ако ова не е опција, истражувајте користејќи прокси од трети страни или сервисни мрежи.
3. Обучете ги вашите мрежни инженери за мрежи на Linux и алатки за мрежна автоматизација за да го намалите јазот во вештините и да ја зголемите агилноста.

Како да управувате со животниот циклус на апликацијата

За автоматизирана и беспрекорна испорака на апликации, треба да ја надополните оркестрацијата на контејнерите со други алатки за автоматизација, како што се производите за инфраструктура како код (IaC). Тие вклучуваат готвач, кукла, Ансибл и Тераформ. 

Потребни се и алатки за автоматизација за градење и пуштање апликации (види „Магичен квадрант за оркестрација за издавање на апликација"). Контејнерите, исто така, обезбедуваат можности за проширување слични на оние што се достапни при распоредување на виртуелни машини (ВМ). Затоа, ИТ менаџерите мора да имаат алатки за управување со животниот циклус на контејнери.

Препораки од Гартнер:

1. Поставете стандарди за слики од основни контејнери врз основа на големина, лиценцирање и флексибилност за програмерите да додаваат компоненти.
2. Користете системи за управување со конфигурации за да управувате со животниот циклус на контејнерите што ја поставуваат конфигурацијата на слоеви врз основа на основни слики лоцирани во јавни или приватни складишта.
3. Интегрирајте ја вашата CaaS платформа со алатки за автоматизација за да го автоматизирате целиот работен тек на апликацијата.

Како да управувате со контејнери со оркестратори

Основната функционалност за распоредување контејнери е обезбедена во слоевите за оркестрација и планирање. За време на закажувањето, контејнерите се поставуваат на најоптималните домаќини во кластерот, како што е диктирана од барањата на слојот за оркестрација. 

Kubernetes стана де факто стандард за оркестрација на контејнери со активна заедница и е поддржан од повеќето водечки комерцијални продавачи. 

Препораки од Гартнер:

1. Дефинирајте ги основните барања за безбедносни контроли, мониторинг, управување со политики, упорност на податоците, вмрежување и управување со животниот циклус на контејнери.
2. Врз основа на овие барања, изберете ја алатката што најмногу одговара на вашите барања и случаи на употреба.
3. Користете истражување на Гартнер (види "Како да изберете модел за распоредување на Kubernetes") да ги разберете добрите и лошите страни на различните модели за распоредување на Kubernetes и да го изберете најдобриот за вашата апликација.
4. Изберете провајдер кој може да обезбеди хибридна оркестрација за работните контејнери низ повеќе средини со тесна интеграција на задниот дел, заеднички планови за управување и конзистентни модели на цени.

Како да ги искористите можностите на провајдерите на облак

Верува Гартнердека интересот за распоредување контејнери на јавниот облак IaaS расте поради достапноста на готови понуди на CaaS, како и цврстата интеграција на овие понуди со други производи што ги нудат давателите на облак.

Облаците IaaS нудат потрошувачка на ресурси на барање, брза приспособливост и управување со услуги, што ќе помогне да се избегне потребата од длабинско познавање на инфраструктурата и нејзиното одржување. Повеќето даватели на облак нудат услуга за управување со контејнери, а некои нудат повеќе опции за оркестрација. 

Клучните даватели на услуги управувани со облак се претставени во табелата: 

Облак провајдер
Тип на услуга
Производ/услуга

Alibaba
Мајчин Cloud Service
Услуга за контејнерски облак на Алибаба, сервис за контејнерски облак на Алибаба за Кубернетес

Амазон Веб Услуги (AWS)
Мајчин Cloud Service
Amazon Elastic Container Services (ECS), Amazon ECS for Kubernetes (EKS), AWS Fargate

Џиновски рој
МСП
Џиновски рој управува со Кубернетес инфраструктура

Google
Мајчин Cloud Service
Google Container Engine (GKE)

IBM,
Мајчин Cloud Service
Услуга IBM Cloud Kubernetes

Мајкрософт
Мајчин Cloud Service
Azure Kubernetes Service, Azure Service Fabric

Oracle
Мајчин Cloud Service
OCI контејнер мотор за Kubernetes

Platform9
МСП
Управуваше со Кубернетис

Ред Хет
Домаќин сервис
OpenShift Посветен и онлајн

VMware
Домаќин сервис
Cloud PKS (бета)

Mail.ru Cloud Solutions*
Мајчин Cloud Service
Mail.ru Облак контејнери

* Нема да го криеме, се додадовме овде за време на преводот :)

Јавните даватели на облак, исто така, додаваат нови можности и објавуваат производи во просториите. Во блиска иднина, давателите на облак ќе развијат поддршка за хибридни облаци и средини со повеќе облаци. 

Препораки на Гартнер:

1. Објективно проценете ја способноста на вашата организација за распоредување и управување со соодветни алатки и разгледајте ги алтернативните услуги за управување со контејнери во облак.
2. Изберете софтвер внимателно, користете отворен код каде што е можно.
3. Изберете провајдери со вообичаени оперативни модели во хибридни средини кои нудат управување со единечно стакло на федерирани кластери, како и провајдери кои го олеснуваат самопослужувањето IaaS.

Неколку совети за избор на провајдер на Kubernetes aaS од блогот Replex:

1. Вреди да се бараат дистрибуции кои поддржуваат висока достапност надвор од кутијата. Ова вклучува поддршка за повеќе главни архитектури, високо достапни etcd компоненти и резервна копија и обновување.
2. За да обезбедите мобилност во вашите средини на Kubernetes, најдобро е да изберете облак провајдери кои поддржуваат широк опсег на модели за распоредување, од внатрешен до хибрид до повеќе облак. 
3. Понудите на добавувачите, исто така, треба да се проценат врз основа на леснотијата на поставување, инсталација и создавање кластери, како и ажурирања, следење и решавање проблеми. Основниот услов е да се поддржат целосно автоматизирани ажурирања на кластерите со нула прекини. Решението што ќе го изберете треба да ви овозможи и рачно извршување на ажурирањата. 
4. Управувањето со идентитетот и пристапот е важно и од безбедносна и од перспектива на управување. Осигурајте се дека дистрибуцијата Kubernetes што ја избирате поддржува интеграција со алатките за автентикација и авторизација што ги користите внатрешно. RBAC и ситно-гранулираната контрола на пристап се исто така важни групи на функции.
5. Дистрибуцијата што ќе ја изберете мора или да има природно мрежно решение дефинирано со софтвер што покрива широк опсег на различни барања за апликации или инфраструктура или да поддржува една од популарните мрежни имплементации базирани на CNI, вклучувајќи Flannel, Calico, kube-рутер или OVN.

Воведувањето на контејнери во производството станува главна насока, за што сведочат резултатите од истражувањето спроведено на Гартнер сесии за инфраструктура, операции и стратегии за облак (IOCS) во декември 2018 година:

Како што можете да видите, 27% од испитаниците веќе користат контејнери во својата работа, а 63% планираат да го сторат тоа.

В Истражување на Portworx и Aqua Security 24% од испитаниците изјавиле дека инвестираат повеќе од половина милион долари годишно на технологии за контејнери, а 17% од испитаниците трошат повеќе од милион долари годишно на нив. 

Статија подготвена од тимот на облак платформа Mail.ru Cloud Solutions.

Што друго да се прочита на темата:

1. Најдобри практики на DevOps: Извештај DORA.
2. Kubernetes во духот на пиратеријата со шаблон за имплементација.
3. 25 Корисни алатки за распоредување и усвојување на Kubernetes.

Извор: www.habr.com