Најбоље праксе и најбоље праксе за покретање контејнера и Кубернетеса у производним окружењима

Екосистем технологије контејнеризације се брзо развија и мења, тако да недостаје добре радне праксе у овој области. Међутим, Кубернетес и контејнери се све више користе, како за модернизацију старих апликација, тако и за развој модерних апликација у облаку. 

Тим Кубернетес ааС са Маил.ру прикупљене прогнозе, савете и најбоље праксе за тржишне лидере из Гартнера, 451 Ресеарцх, СтацкРох и других. Они ће омогућити и убрзати примену контејнера у производним окружењима.

Како знати да ли је ваша компанија спремна да примени контејнере у производном окружењу

Према Гартнеру, 2022. године, више од 75% организација ће користити контејнерске апликације у производњи. То је знатно више него тренутно, када мање од 30% компанија користи овакве апликације. 

Према КСНУМКС ИстраживањеПредвиђено тржиште за апликације контејнерске технологије у 2022. години износиће 4,3 милијарде долара, што је више него двоструко више од износа предвиђеног у 2019. години, са стопом раста тржишта од 30%.

В Портворк и Акуа Сецурити истраживање 87% испитаника је рекло да тренутно користи контејнерске технологије. Поређења ради, у 2017. било је 55% таквих испитаника. 

Упркос растућем интересовању и усвајању контејнера, њихово увођење у производњу захтева криву учења због технолошке незрелости и недостатка знања. Организације морају бити реалистичне у погледу пословних процеса који захтевају контејнеризацију апликација. ИТ лидери треба да процене да ли имају вештину да напредују са потребом да брзо уче. 

Гартнер стручњаци Мислимо да ће вам питања на слици испод помоћи да утврдите да ли сте спремни да примените контејнере у производњи:

Најчешће грешке при коришћењу контејнера у производњи

Организације често потцењују напор који је потребан за рад контејнера у производњи. Гартнер је открио Неке уобичајене грешке у сценаријима купаца када се користе контејнери у производним окружењима:

Како чувати контејнере безбедним

Сигурношћу се не може бавити „касније“. Мора бити уграђен у ДевОпс процес, због чега постоји чак и посебан термин - ДевСецОпс. Организације треба да планирају штити окружење вашег контејнера током животног циклуса развоја, који укључује процес изградње и развоја, примену и покретање апликације.

Препоруке Гартнера: 

1. Интегришите процес скенирања слика апликација у потрази за рањивостима у цевовод континуиране интеграције/континуиране испоруке (ЦИ/ЦД). Апликације се скенирају у фазама израде и покретања софтвера. Нагласите потребу да скенирате и идентификујете компоненте отвореног кода, библиотеке и оквире. Програмери који користе старе, рањиве верзије један је од главних узрока рањивости контејнера.
2. Побољшајте своју конфигурацију помоћу тестова Центра за Интернет безбедност (ЗНД), који су доступни и за Доцкер и за Кубернетес.
3. Обавезно примените контролу приступа, обезбедите раздвајање дужности и примените политику управљања тајнама. Осетљиве информације, као што су кључеви Сецуре Соцкетс Лаиер (ССЛ) или акредитиви базе података, шифрују се од стране оркестратора или услуга управљања трећим странама и излажу се током извршавања
4. Избегавајте повишене контејнере тако што ћете управљати безбедносним политикама да бисте смањили потенцијалне ризике од кршења.
5. Користите безбедносне алате који пружају белу листу, праћење понашања и откривање аномалија да бисте спречили злонамерне активности.

Препоруке компаније СтацкРок:

1. Искористите уграђене могућности Кубернетеса. Подесите приступ за кориснике који користе улоге. Уверите се да не дајете непотребне дозволе појединачним ентитетима, иако ће можда требати неко време да размислите о минималним потребним дозволама. Можда ће бити примамљиво да се администратору кластера дају широке привилегије јер то у почетку штеди време. Међутим, сваки компромис или грешке у рачуну могу касније довести до разорних последица. 
2. Избегавајте дупле дозволе приступа. Понекад може бити корисно да се различите улоге преклапају, али то може довести до оперативних проблема и створити слепе тачке приликом уклањања дозвола. Такође је важно уклонити неискоришћене и неактивне улоге.
3. Поставите мрежне политике: изолујте модуле да бисте ограничили приступ њима; експлицитно дозволити приступ Интернету оним модулима којима је то потребно помоћу ознака; Експлицитно дозволите комуникацију између оних модула који треба да комуницирају једни са другима. 

Како организовати праћење контејнера и услуга у њима

Безбедност и надзор - главни проблеми компанија приликом постављања Кубернетес кластера. Програмери су увек више фокусирани на карактеристике апликација које развијају, а не на аспекте праћење ових апликација. 

Препоруке Гартнера:

1. Покушајте да пратите стање контејнера или услуга у њима заједно са надгледањем хост система.
2. Потражите добављаче и алате са дубоком интеграцијом у оркестрацију контејнера, посебно Кубернетес.
3. Одаберите алате који пружају детаљно евидентирање, аутоматско откривање услуга и препоруке у реалном времену користећи аналитику и/или машинско учење.

СоларВиндс блог саветује:

1. Користите алате за аутоматско откривање и праћење метрика контејнера, повезујући метрике перформанси као што су ЦПУ, меморија и време непрекидног рада.
2. Осигурајте оптимално планирање капацитета предвиђањем датума исцрпљивања капацитета на основу метрике праћења контејнера.
3. Надгледајте доступност и перформансе контејнерских апликација, што је корисно и за планирање капацитета и за решавање проблема са перформансама.
4. Аутоматизујте токове посла пружањем подршке за управљање и скалирање за контејнере и њихова окружења за хостовање.
5. Аутоматизујте контролу приступа да бисте надгледали своју корисничку базу, онемогућили застареле налоге и налоге гостију и уклонили непотребне привилегије.
6. Уверите се да ваш скуп алата може да надгледа ове контејнере и апликације у више окружења (облак, локална или хибридна) да би визуелизовао и упоредио перформансе у инфраструктури, мрежи, системима и апликацијама.

Како чувати податке и осигурати њихову сигурност

Са порастом контејнера радника са статусом, клијенти морају да размотре присуство података изван хоста и потребу да се ти подаци заштите. 

Према Портворк и Акуа Сецурити истраживање, безбедност података је на врху листе безбедносних проблема које наводи већина испитаника (61%). 

Шифровање података је главна безбедносна стратегија (64%), али испитаници користе и праћење времена извршавања

(49%), скенирање регистара за рањивости (49%), скенирање рањивости у ЦИ/ЦД цевоводима (49%) и блокирање аномалија кроз заштиту током извршавања (48%).

Препоруке Гартнера:

1. Изаберите решења за складиштење заснована на принципима микросервисна архитектура. Боље је фокусирати се на оне који испуњавају захтеве за складиштење података за контејнерске услуге, независни су од хардвера, вођени АПИ-јем, имају дистрибуирану архитектуру, подржавају локалну примену и примену у јавном облаку.
2. Избегавајте власничке додатке и интерфејсе. Изаберите добављаче који обезбеђују интеграцију Кубернетес-а и подржавају стандардне интерфејсе као што су ЦСИ (Цонтаинер Стораге Интерфацес).

Како радити са мрежама

Традиционални мрежни модел предузећа, где ИТ тимови креирају умрежени развој, тестирање, осигурање квалитета и производна окружења за сваки пројекат, не уклапа се увек добро у континуирани развојни ток. Поред тога, контејнерске мреже обухватају више слојева.

В блог Магалик цоллецтед правила високог нивоа са којима имплементација кластер-мрежног решења мора бити у складу:

1. Подови заказани на истом чвору морају бити у могућности да комуницирају са другим подовима без употребе НАТ-а (превод мрежних адреса).
2. Сви системски демони (позадински процеси као што је кубелет) који раде на одређеном чвору могу комуницирати са подовима који раде на истом чвору.
3. Подс користећи хост мрежа, мора бити у стању да комуницира са свим осталим подовима на свим другим чворовима без коришћења НАТ-а. Имајте на уму да је умрежавање хостова подржано само на Линук хостовима.

Мрежна решења морају бити чврсто интегрисана са Кубернетес примитивима и политикама. ИТ лидери треба да теже високом степену аутоматизације мреже и да обезбеде програмерима праве алате и довољну флексибилност.

Препоруке Гартнера:

1. Сазнајте да ли ваш ЦааС (контејнер као услуга) или ваша СДН (софтверски дефинисана мрежа) подржава Кубернетес мреже. Ако није или је подршка недовољна, користите ЦНИ (Цонтаинер Нетворк Интерфаце) мрежни интерфејс за своје контејнере, који подржава неопходну функционалност и смернице.
2. Уверите се да ваш ЦааС или ПааС (платформа као услуга) подржава креирање улазних контролера и/или балансера оптерећења који дистрибуирају долазни саобраћај између чворова кластера. Ако ово није опција, истражите коришћење проксија или сервисних мрежа трећих страна.
3. Обучите своје мрежне инжењере о Линук мрежама и алатима за аутоматизацију мреже да бисте смањили јаз у вештинама и повећали агилност.

Како управљати животним циклусом апликације

За аутоматизовану и беспрекорну испоруку апликација, потребно је да допуните оркестрацију контејнера другим алатима за аутоматизацију, као што су производи инфраструктуре као код (ИаЦ). То укључује Цхеф, Пуппет, Ансибле и Терраформ. 

Такође су потребни алати за аутоматизацију за прављење и покретање апликација (погледајте „Магични квадрант за оркестрацију издања апликација"). Контејнери такође пружају могућности проширивости сличне онима које су доступне приликом постављања виртуелних машина (ВМ). Стога ИТ лидери морају имати алати за управљање животним циклусом контејнера.

Препоруке Гартнера:

1. Поставите стандарде за основне слике контејнера на основу величине, лиценцирања и флексибилности за програмере да додају компоненте.
2. Користите системе за управљање конфигурацијом за управљање животним циклусом контејнера који слоје конфигурацију на основу основних слика које се налазе у јавним или приватним спремиштима.
3. Интегришите своју ЦааС платформу са алаткама за аутоматизацију да бисте аутоматизовали цео ток рада апликације.

Како управљати контејнерима са оркестраторима

Основна функционалност за постављање контејнера је обезбеђена на слојевима оркестрације и планирања. Током планирања, контејнери се постављају на најоптималније хостове у кластеру, како то диктирају захтеви слоја оркестрације. 

Кубернетес је постао де факто стандард оркестрације контејнера са активном заједницом и подржава га већина водећих комерцијалних добављача. 

Препоруке Гартнера:

1. Дефинишите основне захтеве за безбедносне контроле, надгледање, управљање политикама, постојаност података, умрежавање и управљање животним циклусом контејнера.
2. На основу ових захтева изаберите алат који најбоље одговара вашим захтевима и случајевима коришћења.
3. Користите Гартнер истраживање (погледајте „Како одабрати модел примене Кубернетес-а") да бисте разумели предности и недостатке различитих модела примене Кубернетеса и изабрали најбољи за своју апликацију.
4. Изаберите провајдера који може да обезбеди хибридну оркестрацију за радне контејнере у више окружења са чврстом позадинском интеграцијом, заједничким плановима управљања и доследним моделима цена.

Како користити могућности провајдера облака

Гартнер веруједа интересовање за примену контејнера на јавном облаку ИааС расте због доступности готових ЦааС понуда, као и тесне интеграције ових понуда са другим производима које нуде добављачи у облаку.

ИааС облаци нуде потрошњу ресурса на захтев, брзу скалабилност и управљање услугама, што ће помоћи да се избегне потреба за дубинским познавањем инфраструктуре и њеног одржавања. Већина провајдера у облаку нуди услугу управљања контејнерима, а неки нуде више опција оркестрације. 

Кључни добављачи услуга којима се управља у облаку представљени су у табели: 

Провајдер у облаку
Сервис Тип
Производ/услуга

Алибаба
Нативе Цлоуд Сервице
Алибаба Цлоуд Цонтаинер Сервице, Алибаба Цлоуд Цонтаинер Сервице за Кубернетес

Амазон Веб Сервицес (АВС)
Нативе Цлоуд Сервице
Амазон Еластиц Цонтаинер Сервицес (ЕЦС), Амазон ЕЦС за Кубернетес (ЕКС), АВС Фаргате

Гиант Сварм
МСП
Кубернетес инфраструктура којом управља Гиант Сварм

гоогле
Нативе Цлоуд Сервице
Гоогле Цонтаинер Енгине (ГКЕ)

ИБМ-
Нативе Цлоуд Сервице
ИБМ Цлоуд Кубернетес услуга

Microsoft
Нативе Цлоуд Сервице
Азуре Кубернетес услуга, Азуре Сервице Фабриц

пророчанство
Нативе Цлоуд Сервице
ОЦИ Цонтаинер Енгине за Кубернетес

ПлатформКСНУМКС
МСП
Управљао Кубернетес

rED ХАТ
Хостед Сервице
ОпенСхифт Дедицатед & Онлине

VMware
Хостед Сервице
Цлоуд ПКС (Бета)

Маил.ру Цлоуд Солутионс*
Нативе Цлоуд Сервице
Маил.ру Цлоуд Цонтаинерс

* Нећемо то да кријемо, додали смо се овде током превода :)

Провајдери јавног облака такође додају нове могућности и објављују локалне производе. У блиској будућности, добављачи облака ће развити подршку за хибридне облаке и мулти-цлоуд окружења. 

Гартнер препоруке:

1. Објективно процените способност ваше организације да примени одговарајуће алате и управља њима и размотрите алтернативне услуге управљања контејнерима у облаку.
2. Пажљиво бирајте софтвер, користите отворени извор где је то могуће.
3. Изаберите провајдере са уобичајеним оперативним моделима у хибридним окружењима који нуде једноструко стакло за управљање удруженим кластерима, као и добављаче који олакшавају самостално хостовање ИааС-а.

Неколико савета за избор Кубернетес ааС провајдера са Реплек блога:

1. Вриједно је тражити дистрибуције које подржавају високу доступност из кутије. Ово укључује подршку за више главних архитектура, високо доступне етцд компоненте и резервне копије и опоравак.
2. Да бисте обезбедили мобилност у вашим Кубернетес окружењима, најбоље је да изаберете добављаче у облаку који подржавају широк спектар модела примене, од локалних преко хибридних до мулти-цлоуд. 
3. Понуде провајдера такође треба проценити на основу лакоће подешавања, инсталације и креирања кластера, као и ажурирања, надгледања и решавања проблема. Основни захтев је подршка потпуно аутоматизованим ажурирањима кластера са нултим застојима. Решење које одаберете такође треба да вам омогући да ручно покренете ажурирања. 
4. Управљање идентитетом и приступом је важно и са становишта безбедности и из перспективе управљања. Уверите се да Кубернетес дистрибуција коју одаберете подржава интеграцију са алатима за аутентификацију и ауторизацију које користите интерно. РБАЦ и фино-зрнаста контрола приступа су такође важни скупови функција.
5. Дистрибуција коју одаберете мора да има изворно софтверски дефинисано мрежно решење које покрива широк спектар захтева из различитих апликација или инфраструктуре, или да подржава једну од популарних имплементација умрежавања заснованих на ЦНИ, укључујући Фланнел, Цалицо, кубе-роутер или ОВН .

Увођење контејнера у производњу постаје главни правац, о чему сведоче резултати анкете спроведене на Гартнер сесије о инфраструктури, операцијама и стратегијама у облаку (ИОЦС) у децембру 2018:

Као што видите, 27% испитаника већ користи контејнере у свом раду, а 63% то планира.

В Портворк и Акуа Сецурити истраживање 24% испитаника је изјавило да улаже више од пола милиона долара годишње у контејнерске технологије, а 17% испитаника троши више од милион долара годишње на њих. 

Чланак припремио тим за клауд платформу Маил.ру Цлоуд Солутионс.

Шта још читати на тему:

1. ДевОпс најбоље праксе: Извештај ДОРА.
2. Кубернетес у духу пиратерије са шаблоном за имплементацију.
3. 25 корисних алата за примену и усвајање Кубернетеса.

Извор: ввв.хабр.цом