Ekosistem tehnologije kontejnerizacije se hitro razvija in spreminja, zato na tem področju primanjkuje dobrih delovnih praks. Vendar se Kubernetes in vsebniki vse pogosteje uporabljajo, tako za posodobitev podedovanih aplikacij kot za razvoj sodobnih aplikacij v oblaku.
Ekipa zbrani napovedi, nasveti in najboljše prakse za vodilne na trgu Gartnerja, 451 Research, StacxRox in drugih. Omogočili in pospešili bodo uvajanje kontejnerjev v produkcijska okolja.
Kako vedeti, ali je vaše podjetje pripravljeno na namestitev vsebnikov v produkcijskem okolju
, leta 2022 bo več kot 75 % organizacij v proizvodnji uporabljalo kontejnerske aplikacije. To je bistveno več kot trenutno, ko tovrstne aplikacije uporablja manj kot 30 % podjetij.
Glede na Predvideni trg za aplikacije kontejnerske tehnologije v letu 2022 bo znašal 4,3 milijarde USD, kar je več kot dvakrat več od zneska, predvidenega v letu 2019, s stopnjo rasti trga 30 %.
В 87 % vprašanih je odgovorilo, da trenutno uporabljajo kontejnerske tehnologije. Za primerjavo, leta 2017 je bilo takšnih 55 % anketirancev.
Kljub naraščajočemu zanimanju in sprejemanju zabojnikov je za njihovo uvedbo v proizvodnjo potrebna krivulja učenja zaradi tehnološke nezrelosti in pomanjkanja znanja. Organizacije morajo biti realistične glede poslovnih procesov, ki zahtevajo shranjevanje aplikacij. Vodje IT bi morali oceniti, ali imajo nabor spretnosti za napredek s potrebo po hitrem učenju.
Menimo, da vam bodo vprašanja na spodnji sliki pomagala ugotoviti, ali ste pripravljeni na uvedbo vsebnikov v proizvodnji:
Najpogostejše napake pri uporabi kontejnerjev v proizvodnji
Organizacije pogosto podcenjujejo napor, ki je potreben za delovanje zabojnikov v proizvodnji. Nekaj pogostih napak v scenarijih strank pri uporabi vsebnikov v produkcijskih okoljih:
Kako ohraniti vsebnike varne
Varnosti ni mogoče obravnavati "kasneje". Vgrajen mora biti v proces DevOps, zato obstaja celo poseben izraz – DevSecOps. Organizacije morajo načrtovati v celotnem razvojnem ciklu, ki vključuje gradnjo in razvojni proces, uvajanje in zagon aplikacije.
:
- Integrirajte postopek skeniranja slik aplikacije za ranljivosti v vaš cevovod neprekinjene integracije/neprekinjene dostave (CI/CD). Aplikacije se pregledajo v fazi gradnje in zagona programske opreme. Poudarite potrebo po skeniranju in prepoznavanju odprtokodnih komponent, knjižnic in ogrodij. Razvijalci, ki uporabljajo stare, ranljive različice, so eden glavnih vzrokov za ranljivost vsebnika.
- Izboljšajte svojo konfiguracijo s centrom za teste internetne varnosti (), ki so na voljo za Docker in Kubernetes.
- Bodite prepričani, da uveljavite nadzor dostopa, zagotovite ločitev dolžnosti in izvajate politiko upravljanja skrivnosti. Občutljive informacije, kot so ključi plasti varnih vtičnic (SSL) ali poverilnice baze podatkov, šifrirajo orkestrator ali storitve upravljanja tretjih oseb in so izpostavljene med izvajanjem
- Izogibajte se povišanim vsebnikom z upravljanjem varnostnih politik, da zmanjšate morebitna tveganja vdora.
- Uporabite varnostna orodja, ki zagotavljajo seznam dovoljenih, spremljanje vedenja in zaznavanje anomalij, da preprečite zlonamerno dejavnost.
:
- Izkoristite vgrajene zmogljivosti Kubernetesa. Nastavite dostop za uporabnike z vlogami. Prepričajte se, da posameznim subjektom ne podelite nepotrebnih dovoljenj, čeprav lahko traja nekaj časa, da razmislite o minimalnih zahtevanih dovoljenjih. Morda je skušnjava, da bi skrbniku gruče dali široke privilegije, saj to na začetku prihrani čas. Vsak kompromis ali napake v računu pa lahko pozneje povzročijo uničujoče posledice.
- Izogibajte se podvojenim dovoljenjem za dostop. Včasih je lahko koristno, da se različne vloge prekrivajo, vendar lahko to privede do operativnih težav in ustvari slepe pege pri odstranjevanju dovoljenj. Prav tako je pomembno odstraniti neuporabljene in neaktivne vloge.
- Nastavite omrežne pravilnike: izolirajte module, da omejite dostop do njih; izrecno dovoli dostop do interneta tistim modulom, ki ga potrebujejo, z uporabo oznak; Izrecno dovolite komunikacijo med tistimi moduli, ki morajo komunicirati med seboj.
Kako organizirati spremljanje zabojnikov in storitev v njih
Varnost in nadzor - pri uvajanju gruč Kubernetes. Razvijalci so vedno bolj osredotočeni na značilnosti aplikacij, ki jih razvijajo, namesto na vidike .
:
- Poskusite spremljati stanje vsebnikov ali storitev v njih v povezavi z nadzorom gostiteljskih sistemov.
- Poiščite prodajalce in orodja z globoko integracijo v orkestracijo vsebnikov, zlasti Kubernetes.
- Izberite orodja, ki zagotavljajo podrobno beleženje, samodejno odkrivanje storitev in priporočila v realnem času z uporabo analitike in/ali strojnega učenja.
:
- Uporabite orodja za samodejno odkrivanje in sledenje meritvam vsebnika, ki povezujejo meritve zmogljivosti, kot so CPU, pomnilnik in čas delovanja.
- Zagotovite optimalno načrtovanje zmogljivosti s predvidevanjem datumov praznjenja zmogljivosti na podlagi meritev spremljanja vsebnika.
- Spremljajte vsebniške aplikacije glede razpoložljivosti in zmogljivosti, kar je uporabno za načrtovanje zmogljivosti in odpravljanje težav z zmogljivostjo.
- Avtomatizirajte poteke dela z zagotavljanjem podpore za upravljanje in skaliranje vsebnikov in njihovih gostiteljskih okolij.
- Avtomatizirajte nadzor dostopa za spremljanje baze uporabnikov, onemogočite zastarele račune in račune gostov ter odstranite nepotrebne privilegije.
- Zagotovite, da lahko vaš nabor orodij spremlja te vsebnike in aplikacije v več okoljih (v oblaku, na mestu uporabe ali hibridno) za vizualizacijo in primerjavo uspešnosti v infrastrukturi, omrežju, sistemih in aplikacijah.
Kako shraniti podatke in zagotoviti njihovo varnost
Z naraščanjem vsebnikov delavcev s stanjem morajo stranke upoštevati prisotnost podatkov zunaj gostitelja in potrebo po zaščiti teh podatkov.
Glede na , je varnost podatkov na vrhu seznama varnostnih skrbi, ki jih navaja večina anketirancev (61 %).
Šifriranje podatkov je glavna varnostna strategija (64 %), vendar anketiranci uporabljajo tudi nadzor med izvajanjem
(49 %), skeniranje registrov za ranljivosti (49 %), iskanje ranljivosti v cevovodih CI/CD (49 %) in blokiranje anomalij z zaščito med izvajanjem (48 %).
:
- Izberite rešitve za shranjevanje, ki temeljijo na načelih . Bolje se je osredotočiti na tiste, ki izpolnjujejo zahteve glede shranjevanja podatkov za vsebniške storitve, so neodvisne od strojne opreme, jih poganja API, imajo porazdeljeno arhitekturo, podpirajo lokalno uvajanje in uvajanje v javnem oblaku.
- Izogibajte se lastniškim vtičnikom in vmesnikom. Izberite prodajalce, ki zagotavljajo integracijo Kubernetes in podpirajo standardne vmesnike, kot je CSI (Container Storage Interfaces).
Kako delati z omrežji
Tradicionalni omrežni model podjetja, kjer ekipe IT ustvarjajo omrežno razvojno, testiranje, zagotavljanje kakovosti in produkcijska okolja za vsak projekt, se ne ujema vedno dobro s potekom dela stalnega razvoja. Poleg tega kontejnerska omrežja obsegajo več plasti.
В pravila na visoki ravni, ki jih mora izpolnjevati izvedba rešitve omrežne gruče:
- Podi, ki so načrtovani v istem vozlišču, morajo imeti možnost komuniciranja z drugimi podi brez uporabe NAT (Network Address Translation).
- Vsi sistemski demoni (procesi v ozadju, kot je kubelet), ki se izvajajo na določenem vozlišču, lahko komunicirajo s podi, ki se izvajajo na istem vozlišču.
- Uporaba strokov mora biti sposoben komunicirati z vsemi drugimi podi na vseh drugih vozliščih brez uporabe NAT. Upoštevajte, da je gostiteljsko omrežje podprto samo na gostiteljih Linux.
Omrežne rešitve morajo biti tesno povezane s primitivi in politikami Kubernetes. Vodje IT bi si morali prizadevati za visoko stopnjo avtomatizacije omrežja in razvijalcem zagotoviti prava orodja in zadostno prilagodljivost.
:
- Ugotovite, ali vaš CaaS (vsebnik kot storitev) ali vaš SDN (software Defined Network) podpira omrežja Kubernetes. Če ne ali podpora ni zadostna, uporabite omrežni vmesnik CNI (Container Network Interface) za vsebnike, ki podpira potrebno funkcionalnost in politike.
- Prepričajte se, da vaš CaaS ali PaaS (platforma kot storitev) podpira ustvarjanje vhodnih krmilnikov in/ali izravnalnikov obremenitve, ki porazdelijo dohodni promet med vozlišča gruče. Če to ni možnost, raziščite uporabo proxyjev ali storitvenih mrež tretjih oseb.
- Usposobite svoje omrežne inženirje o omrežjih Linux in orodjih za avtomatizacijo omrežja, da zmanjšate vrzel v znanju in povečate okretnost.
Kako upravljati življenjski cikel aplikacije
Za avtomatizirano in brezhibno dostavo aplikacij morate orkestracijo vsebnika dopolniti z drugimi orodji za avtomatizacijo, kot so izdelki infrastrukture kot kode (IaC). Sem spadajo Chef, Puppet, Ansible in Terraform.
Potrebna so tudi orodja za avtomatizacijo za izdelavo in uvajanje aplikacij (glejte »"). Vsebniki nudijo tudi možnosti razširljivosti, podobne tistim, ki so na voljo pri uvajanju virtualnih strojev (VM). Zato morajo IT vodje imeti .
:
- Postavite standarde za osnovne slike vsebnika glede na velikost, licenciranje in prilagodljivost za razvijalce pri dodajanju komponent.
- Uporabite sisteme za upravljanje konfiguracije za upravljanje življenjskega cikla vsebnikov, ki konfigurirajo plasti na podlagi osnovnih slik, ki se nahajajo v javnih ali zasebnih repozitorijih.
- Integrirajte svojo platformo CaaS z orodji za avtomatizacijo, da avtomatizirate celoten potek dela aplikacije.
Kako upravljati vsebnike z orkestratorji
Osnovna funkcionalnost za razmestitev vsebnikov je na voljo na ravni orkestracije in načrtovanja. Med razporejanjem so vsebniki postavljeni na najbolj optimalne gostitelje v gruči, kot narekujejo zahteve orkestracijske plasti.
Kubernetes je postal de facto standard za orkestracijo vsebnikov z aktivno skupnostjo in ga podpira večina vodilnih komercialnih prodajalcev.
:
- Določite osnovne zahteve za varnostne kontrole, nadzor, upravljanje politik, obstojnost podatkov, mreženje in upravljanje življenjskega cikla vsebnika.
- Na podlagi teh zahtev izberite orodje, ki najbolj ustreza vašim zahtevam in primerom uporabe.
- Uporabite raziskavo Gartner (glejte ""), da razumete prednosti in slabosti različnih modelov uvajanja Kubernetes in izberete najboljšega za svojo aplikacijo.
- Izberite ponudnika, ki lahko zagotovi hibridno orkestracijo za delovne vsebnike v več okoljih s tesno integracijo zaledja, skupnimi načrti upravljanja in doslednimi cenovnimi modeli.
Kako izkoristiti zmogljivosti ponudnikov v oblaku
da zanimanje za postavitev vsebnikov v javnem oblaku IaaS narašča zaradi razpoložljivosti že pripravljenih ponudb CaaS, pa tudi zaradi tesne integracije teh ponudb z drugimi izdelki, ki jih ponujajo ponudniki oblakov.
Oblaki IaaS ponujajo porabo virov na zahtevo, hitro razširljivost in , s čimer se boste izognili potrebi po poglobljenem poznavanju infrastrukture in njenega vzdrževanja. Večina ponudnikov oblakov ponuja storitev upravljanja vsebnikov, nekateri pa ponujajo več možnosti orkestracije.
Ključni ponudniki storitev upravljanja v oblaku so predstavljeni v tabeli:
Ponudnik oblaka
Vrsta storitve
Izdelek/storitev
Alibaba
Native Cloud Service
Alibaba Cloud Container Service, storitev Alibaba Cloud Container za Kubernetes
Amazonske spletne storitve (AWS)
Native Cloud Service
Amazon Elastic Container Services (ECS), Amazon ECS za Kubernetes (EKS), AWS Fargate
Velikanski roj
MSP
Infrastruktura Kubernetes, ki jo upravlja Giant Swarm
google
Native Cloud Service
Google Container Engine (GKE)
IBM
Native Cloud Service
Storitev IBM Cloud Kubernetes
Microsoft
Native Cloud Service
Storitev Azure Kubernetes, Azure Service Fabric
Oracle
Native Cloud Service
OCI Container Engine za Kubernetes
Platform9
MSP
Upravljan Kubernetes
Red Hat
Gostujoča storitev
OpenShift Dedicated & Online
VMware
Gostujoča storitev
Cloud PKS (Beta)
Rešitve v oblaku Mail.ru*
Native Cloud Service
Vsebniki v oblaku Mail.ru
* Ne bomo skrivali, tu smo se med prevodom dodali :)
Ponudniki javnega oblaka prav tako dodajajo nove zmogljivosti in izdajajo izdelke na mestu uporabe. V bližnji prihodnosti bodo ponudniki oblakov razvili podporo za hibridne oblake in okolja z več oblaki.
:
- Objektivno ocenite sposobnost svoje organizacije za uvedbo in upravljanje ustreznih orodij ter razmislite o alternativnih storitvah za upravljanje vsebnikov v oblaku.
- Previdno izberite programsko opremo, uporabljajte odprto kodo, kjer je to mogoče.
- Izberite ponudnike s skupnimi operativnimi modeli v hibridnih okoljih, ki ponujajo enotno upravljanje zveznih gruč, kot tudi ponudnike, ki olajšajo samostojno gostovanje IaaS.
:
- Vredno je poiskati distribucije, ki podpirajo visoko razpoložljivost takoj po namestitvi. To vključuje podporo za več glavnih arhitektur, visoko razpoložljive komponente etcd ter varnostno kopiranje in obnovitev.
- Če želite zagotoviti mobilnost v svojih okoljih Kubernetes, je najbolje izbrati ponudnike oblakov, ki podpirajo široko paleto modelov uvajanja, od lokalnih do hibridnih do multi-oblakov.
- Ponudbe ponudnika je treba oceniti tudi na podlagi enostavnosti nastavitve, namestitve in ustvarjanja gruče ter posodobitev, spremljanja in odpravljanja težav. Osnovna zahteva je podpora popolnoma avtomatiziranih posodobitev gruče brez izpadov. Rešitev, ki jo izberete, vam mora omogočati tudi ročno izvajanje posodobitev.
- Upravljanje identitete in dostopa je pomembno tako z vidika varnosti kot upravljanja. Prepričajte se, da distribucija Kubernetes, ki jo izberete, podpira integracijo z orodji za preverjanje pristnosti in avtorizacijo, ki jih uporabljate interno. RBAC in natančen nadzor dostopa sta prav tako pomembna nabora funkcij.
- Distribucija, ki jo izberete, mora imeti izvorno programsko definirano omrežno rešitev, ki pokriva široko paleto zahtev različnih aplikacij ali infrastrukture, ali pa mora podpirati eno od priljubljenih omrežnih implementacij, ki temeljijo na CNI, vključno s Flannel, Calico, kube-router ali OVN .
Uvajanje kontejnerjev v proizvodnjo postaja glavna usmeritev, kar dokazujejo rezultati ankete, opravljene na o infrastrukturi, operacijah in strategijah v oblaku (IOCS) decembra 2018:
Kot lahko vidite, 27 % vprašanih že uporablja kontejnerje pri svojem delu, 63 % pa jih to načrtuje.
В 24 % vprašanih je poročalo, da so v kontejnerske tehnologije vložili več kot pol milijona dolarjev na leto, 17 % vprašanih pa je zanje porabilo več kot milijon dolarjev na leto.
Članek je pripravila ekipa platforme v oblaku .
Kaj še prebrati na to temo:
- .
- .
- .
Vir: www.habr.com