Kubernetes

Die Wahl der richtigen Netzwerkimplementierung für Kubernetes ist sehr wichtig, aber auch sehr komplex. Wir haben in den vergangenen Jahren Erfahrung mit zahlreichen Implementierungen, wie beispielsweise:

• Calico
• Flannel
• Canal
• Cilium

sammeln können.

Für die Leistung Ihres Netzwerks ist es außerdem von großer Bedeutung, welche unterliegende Infrastruktur sie verwenden.

Je nach Implementierung können Sie auch von Features, wie beispielsweise Verschlüsselung, Observability oder Firewalls bzw. Netzwerkrichtlinien gebrauch machen.

Sogenannte Operatoren können diese Aufgabe in Kubernetes übernehmen. Beispielsweise können sie die Migration komplexer Datenbankstrukturen übernehmen oder die Konfiguration Ihrer Anwendung deklarativ erweitern.

Operatoren müssen dabei selbst implementiert werden und können somit an jegliche Anforderungen angepasst werden.

Beispiel einer Konfiguration für einen Operator
In diesem Beispiel können zum Beispiel die Anforderungen an ein GitHub-Repository definiert werden.

apiVersion: your.company/v1
kind: GitHubRule
metadata:
  name: protect-repository
spec:
  protectedBranches:
  - main
  - dev
  allowedGroups:
  - backend
  - operations
  minimumRequiredReviers: 2

Hierbei setzen wir auf Branchenstandards, wie beispielsweise Metriken, Logs und Traces. Je nach Bedarf kann dann auf bestimmte Auffälligkeiten automatisiert reagiert und die richtige Person benachrichtigt werden.

Um Probleme schnell identifizieren zu können, führen wir alle Daten an einem zentralen Punkt zusammen und stellen somit die wichtigen Informationen strukturiert zur Verfügung.

Insbesondere die Kombination mit GitOps und einem durchdachten CI / CD Ablauf ermöglicht es beispielsweise Metriken zu standardisieren und automatisiert SLIs und Alerts zu definieren.

Dabei unterteilt sich dieser Bereich unteranderem in folgende Gebiete:

Virtuelle Maschinen
Wenn diese Aufgabe nicht vom Cloud-Anbieter übernommen wird, setzen wir hier ebenfalls auf gängige Branchenstandards mit insbesondere sehr restriktiven Firewalls. Die automatisierte Bereitstellung von VMs erleichtert somit das Aktualisieren oder den Wechsel von Betriebssystemen.

Cluster
In Kubernetes ist vor allem die Zugriffskontrolle innerhalb, aber auch außerhalb von Clustern eine Herausforderung. Hierbei setzen wir auf restriktive Berechtigungen und setzen auf Automatisierungen, wie beispielsweise den Open Policy Agent, um Richtlinien einzuhalten.

Container
Container-Sicherheit spielt aktuell eine immer größer werdende Rolle unabhängig von Kubernetes. Viele schwerwiegende Sicherheitslücken, die vielleicht nicht einmal bekannt sind, können durch die korrekte Erstellung von Containern präventiv vermieden werden.