हेल्म सुरक्षा

कुबेरनेट्स के लिए सबसे लोकप्रिय पैकेज मैनेजर के बारे में कहानी का सार इमोजी की मदद से दर्शाया जा सकता है:

• बॉक्स हेल्म है (यह इमोजी की नवीनतम रिलीज में सबसे उपयुक्त है);
• ताला - सुरक्षा;
• आदमी समस्या का हल है।

वास्तव में, सब कुछ थोड़ा और अधिक जटिल होगा, और कहानी तकनीकी विवरणों से भरी है कि हेल्म को कैसे सुरक्षित किया जाए ।

• संक्षेप में, यदि आप नहीं जानते या भूल गए तो हेल्म क्या है। यह किन समस्याओं का समाधान करता है और यह पारिस्थितिकी तंत्र में कहां स्थित है।
• हेल्म की वास्तुकला पर विचार करें। सुरक्षा के बारे में एक भी बातचीत नहीं है और कैसे एक उपकरण या समाधान को अधिक सुरक्षित बनाने के लिए घटक की वास्तुकला को समझे बिना कर सकते हैं।
• चलिए हेल्म घटकों की चर्चा करते हैं।
• सबसे ज्वलंत मुद्दा भविष्य है - हेल्म 3 का नया संस्करण।

इस लेख में सब कुछ हेल्म 2 से संबंधित है। यह संस्करण अब उत्पादन में है और सबसे अधिक संभावना है कि यह आप ही हैं जो अब इसका उपयोग कर रहे हैं, और यह वहां है कि सुरक्षा जोखिम हैं।


स्पीकर के बारे में: अलेक्जेंडर खयोरोव ( एलेक्सेक्स ) 10 वर्षों से विकसित हो रहा है, मॉस्को पायथन कॉन्फ ++ की सामग्री को बेहतर बनाने में मदद करता है , और हेलम समिट समिति में शामिल हुआ। वर्तमान में विकास की अग्रणी स्थिति में चेंस्टैक पर काम कर रहा है - यह विकास प्रबंधक और उस व्यक्ति के बीच एक संकर है जो अंतिम रिलीज की डिलीवरी के लिए जिम्मेदार है। यही है, यह शत्रुता की साइट पर स्थित है, जहां उत्पाद के निर्माण से लेकर इसके संचालन तक सब कुछ होता है।

चेंस्टैक एक छोटा, सक्रिय रूप से बढ़ रहा है, स्टार्टअप है जिसका काम ग्राहकों को बुनियादी ढांचे और विकेंद्रीकृत अनुप्रयोगों के संचालन की कठिनाइयों के बारे में अवसर प्रदान करना है, विकास टीम सिंगापुर में स्थित है। क्रिप्टोक्यूरेंसी को बेचने या खरीदने के लिए चैंस्टन से मत पूछो, लेकिन एंटरप्राइज़ ब्लॉकचेन फ्रेमवर्क के बारे में बात करने की पेशकश करें, और वे आपको जवाब देने में प्रसन्न होंगे।

पतवार

यह कुबेरनेट्स के लिए पैकेज मैनेजर (चार्ट) है। Kubernetes क्लस्टर में एप्लिकेशन लाने के लिए सबसे सहज और बहुमुखी तरीका है।



यह, ज़ाहिर है, अपने स्वयं के YAML मेनिफेस्ट बनाने और छोटे उपयोगिताओं को लिखने की तुलना में अधिक संरचनात्मक और औद्योगिक दृष्टिकोण के बारे में है।

हेल्म अभी सबसे अच्छा उपलब्ध और लोकप्रिय है।

क्यों पतवार? मुख्य रूप से क्योंकि यह सीएनसीएफ द्वारा समर्थित है। क्लाउड नेटिव - एक बड़ा संगठन, कुबेरनेट्स, कॉर्ड, फ्लुएंट और अन्य परियोजनाओं के लिए मूल कंपनी है।

एक और महत्वपूर्ण तथ्य, हेल्म एक बहुत लोकप्रिय परियोजना है। जब जनवरी 2019 में मैं सिर्फ हेल्म को सुरक्षित बनाने के बारे में बात करने की योजना बना रहा था, तो प्रोजेक्ट में गीथहब पर एक हजार सितारे थे। मई तक उनमें से 12 हजार थे।

बहुत से लोग हेल्म में रुचि रखते हैं, इसलिए, भले ही आप अभी भी इसका उपयोग न करें, आपको इसकी सुरक्षा के ज्ञान की आवश्यकता होगी। सुरक्षा महत्वपूर्ण है।

हेल्म की कोर टीम को Microsoft Azure द्वारा समर्थित किया गया है, और इसलिए यह कई अन्य लोगों के विपरीत एक काफी स्थिर परियोजना है। जुलाई के मध्य में हेल्म 3 अल्फा 2 की रिहाई इंगित करती है कि परियोजना पर काफी लोग काम कर रहे हैं, और उनके पास हेल्म को विकसित करने और सुधारने की इच्छा और शक्ति है।



हेल्म ने कुबेरनेट्स में कई रूट एप्लिकेशन प्रबंधन मुद्दों को हल किया।

• अनुप्रयोग पैकेजिंग। यहां तक ​​कि वर्डप्रेस पर "हैलो, वर्ल्ड" जैसे एप्लिकेशन में पहले से ही कई सेवाएं शामिल हैं, और मैं उन्हें एक साथ पैक करना चाहता हूं।
• इन अनुप्रयोगों के प्रबंधन के साथ उत्पन्न होने वाली जटिलता का प्रबंधन।
• एक जीवन चक्र जो आवेदन की स्थापना या तैनाती के बाद समाप्त नहीं होता है। यह जारी है, इसे अद्यतन करने की आवश्यकता है, और हेल्म इसमें मदद करता है और इसके लिए सही उपाय और नीतियां लाने की कोशिश कर रहा है।

पैकिंग एक सुगम तरीके से आयोजित की जाती है: लिनक्स, विंडोज या मैकओएस के लिए एक नियमित पैकेज प्रबंधक के काम के साथ पूर्ण रूप में मेटाडेटा है। यही है, रिपॉजिटरी, विभिन्न पैकेजों के आधार पर, अनुप्रयोगों, सेटिंग्स, कॉन्फ़िगरेशन सुविधाओं, सूचना के अनुक्रमण, आदि के लिए मेटा-जानकारी यह सब हेलम आपको अनुप्रयोगों के लिए प्राप्त करने और उपयोग करने की अनुमति देता है।

जटिलता प्रबंधन । यदि आपके पास कई समान अनुप्रयोग हैं, तो आपको मानकीकरण की आवश्यकता है। टेम्प्लेट इसका अनुसरण करते हैं, लेकिन टेम्प्लेट बनाने के अपने तरीके के साथ नहीं आने के लिए, आप उपयोग कर सकते हैं कि हेल्म क्या प्रदान करता है।

एप्लिकेशन जीवनचक्र प्रबंधन - मेरी राय में, यह सबसे दिलचस्प और अनसुलझे मुद्दा है। यही कारण है कि मैं नियत समय में हेल्म में आया। हमें आवेदन जीवन चक्र की निगरानी करने की आवश्यकता थी, हम अपने सीआई / सीडी और आवेदन चक्रों को इस प्रतिमान में स्थानांतरित करना चाहते थे।

Helm आपको इसकी अनुमति देता है:

• तैनाती का प्रबंधन, विन्यास और संशोधन की अवधारणा का परिचय;
• सफलतापूर्वक रोलबैक;
• विभिन्न घटनाओं के लिए हुक का उपयोग करें;
• अतिरिक्त एप्लिकेशन जांच जोड़ें और उनके परिणामों पर प्रतिक्रिया दें।

इसके अलावा , हेल्म में "बैटरी" है - एक बड़ी संख्या में स्वादिष्ट चीजें जो प्लग-इन के रूप में शामिल हो सकती हैं, आपके जीवन को सरल बनाती हैं। प्लगइन्स को स्वतंत्र रूप से लिखा जा सकता है, वे काफी अलग-थलग हैं और उन्हें पतला वास्तुकला की आवश्यकता नहीं है। यदि आप कुछ लागू करना चाहते हैं, तो मैं इसे एक प्लगइन के रूप में करने की सलाह देता हूं, और फिर इसे अपस्ट्रीम में शामिल करना संभव है।

हेलम तीन मुख्य अवधारणाओं पर आधारित है:

• चार्ट रेपो - विवरण और आपके प्रदर्शन के लिए मानकीकरण की सरणी संभव है।
• विन्यास - अर्थात , वे मान जो लागू किए जाएंगे (पाठ, संख्यात्मक मान, आदि)।
• रिलीज़ शीर्ष दो घटकों को एक साथ लाता है, और साथ में वे रिलीज़ में बदल जाते हैं। रिलीज़ का संस्करण किया जा सकता है, जिससे जीवन चक्र के संगठन को प्राप्त किया जा सकता है: स्थापना के समय छोटा और अपग्रेड, डाउनग्रेड या रोलबैक के समय बड़ा।

हेल्म आर्किटेक्चर

आरेख वैचारिक रूप से हेल्म के उच्च-स्तरीय वास्तुकला को दर्शाता है।



आपको याद दिला दूं कि हेल्म एक ऐसी चीज है जो कुबेरनेट्स से जुड़ी है। इसलिए, हम कुबेरनेट्स-क्लस्टर (आयत) के बिना नहीं कर सकते। विज़ार्ड में क्यूब-अपीज़र घटक है। हेल्म के बिना, हमारे पास कुबेकॉन्फिग है। हेल्म एक छोटा बाइनरी लाता है, इसलिए बोलने के लिए, हेल्म सीएलआई उपयोगिता, जो कि कंप्यूटर, लैपटॉप, मेनफ्रेम पर - किसी भी चीज़ के लिए स्थापित है।

लेकिन यह पर्याप्त नहीं है। हेल्म में एक टिलर सर्वर घटक है। वह एक क्लस्टर के भीतर हेलम के हितों का प्रतिनिधित्व करता है, यह किसी भी अन्य की तरह कुबेरनेट्स क्लस्टर के भीतर एक ही आवेदन है।

चार्ट रेपो का अगला घटक चार्ट रिपॉजिटरी है। एक आधिकारिक भंडार है, और किसी कंपनी या परियोजना का एक निजी भंडार हो सकता है।

बातचीत

आइए देखें कि जब हम हेल्म का उपयोग करके एप्लिकेशन इंस्टॉल करना चाहते हैं तो आर्किटेक्चर घटक कैसे इंटरैक्ट करते हैं।

• हम कहते हैं कि Helm install , रिपॉजिटरी पर जाएं (चार्ट रेपो) और हेल्म चार्ट प्राप्त करें।

• हेलम यूटिलिटी (हेल्म सीएलआई) कुबेकॉन्फिग के साथ बातचीत करती है कि किस क्लस्टर से संपर्क किया जाए।
• यह जानकारी प्राप्त करने के बाद, उपयोगिता टिलर में बदल जाती है, जो हमारे क्लस्टर में पहले से ही एक एप्लिकेशन के रूप में है।
• टिलर कुछ वस्तुओं (सेवाओं, फली, प्रतिकृतियां, रहस्य, आदि) को बनाने के लिए कुबेरनेट्स में क्रिया करने के लिए क्यूब-अपीज़र को बदल देता है।

इसके अलावा, हम हमलों के वेक्टर को देखने के लिए इस योजना को जटिल बनाएंगे, जिसके तहत पूरे हेल्म वास्तुकला को पूरा किया जा सकता है। और फिर हम उसकी रक्षा करने की कोशिश करेंगे।

हमला वेक्टर

पहला संभावित कमजोर बिंदु विशेषाधिकार प्राप्त उपयोगकर्ता एपीआई है । इस योजना के हिस्से के रूप में, यह एक हैकर है जिसने हेल्म सीएलआई के लिए व्यवस्थापक पहुँच प्राप्त की है।

अगर आस-पास कहीं स्थित है तो एक अनपेक्षित एपीआई उपयोगकर्ता भी खतरनाक हो सकता है। इस तरह के उपयोगकर्ता के पास एक अलग संदर्भ होगा, उदाहरण के लिए, उसे कुबेकॉन्फ़िग की सेटिंग्स में क्लस्टर के एक नाम स्थान में तय किया जा सकता है।

सबसे दिलचस्प हमला वेक्टर वह प्रक्रिया हो सकती है जो टिलर के पास कहीं क्लस्टर के अंदर स्थित है और इसे एक्सेस कर सकती है। यह एक वेब सर्वर या एक माइक्रो सर्विस हो सकता है जो क्लस्टर के नेटवर्क वातावरण को देखता है।

एक विदेशी, लेकिन लोकप्रियता हासिल करना, हमले का विकल्प चार्ट रेपो के साथ जुड़ा हुआ है। एक बेईमान लेखक द्वारा बनाए गए चार्ट में एक असुरक्षित संसाधन हो सकता है, और आप इसे निष्पादित करेंगे, इसे विश्वास पर लेकर। या यह उस चार्ट को प्रतिस्थापित कर सकता है जिसे आप आधिकारिक रिपॉजिटरी से डाउनलोड करते हैं, और, उदाहरण के लिए, नीतियों के रूप में एक संसाधन बनाएं और अपनी पहुंच बढ़ाएं।



आइए इन चारों पक्षों से हमलों से लड़ने की कोशिश करें और यह पता लगाएं कि हेल्म वास्तुकला में समस्याएं कहां हैं, और जहां, संभवतः, वे नहीं हैं।

आइए योजना को बढ़ाएं, अधिक तत्व जोड़ें, लेकिन सभी बुनियादी घटकों को रखें।



हेल्म सीएलआई चार्ट रेपो के साथ संचार करता है, कुबेकॉन्फिग के साथ बातचीत करता है, काम को टिलर घटक में क्लस्टर में स्थानांतरित किया जाता है।

टिलर को दो वस्तुओं द्वारा दर्शाया गया है:

• टिलर-तैनात svc, जो एक निश्चित सेवा को उजागर करता है;
• टिलर-तैनात पॉड (एक प्रतिकृति में एक प्रति में आरेख पर), जो क्लस्टर तक पहुंचने वाले पूरे लोड को चलाता है।

बातचीत के लिए, विभिन्न प्रोटोकॉल और योजनाओं का उपयोग किया जाता है। सुरक्षा के दृष्टिकोण से, हम सबसे अधिक रुचि रखते हैं:

• वह तंत्र जिसके द्वारा हेल्म सीएलआई चार्ट रेपो तक पहुँचता है: क्या प्रोटोकॉल, क्या प्रमाणीकरण है और इसके बारे में क्या किया जा सकता है।
• प्रोटोकॉल जिसके द्वारा हेल्म सीएलआई, कुबेटेल का उपयोग करके, टिलर के साथ संचार करता है। यह क्लस्टर के अंदर स्थापित एक आरपीसी सर्वर है।
• टिलर स्वयं ही उन माइक्रोसॉर्सेज के लिए उपलब्ध है जो एक क्लस्टर में हैं और क्यूब-एपेस्वर के साथ बातचीत करते हैं।

हम इन सभी दिशाओं पर चर्चा करेंगे।

RBAC

यदि RBAC सक्षम नहीं है, तो हेल्म या क्लस्टर के भीतर किसी अन्य सेवा की सुरक्षा के बारे में बात करना बेकार है।

ऐसा लगता है कि यह स्वयं एक ताजा सिफारिश नहीं है, लेकिन मुझे यकीन है कि अभी तक कई ने आरबीएसी को उत्पादन में भी शामिल नहीं किया है, क्योंकि यह बहुत अधिक उपद्रव है और कॉन्फ़िगर करने के लिए बहुत कुछ है। फिर भी, मैं यह करने का आग्रह करता हूं।



https://rbac.dev/ RBAC के लिए एक वकील साइट है। इसने बड़ी मात्रा में दिलचस्प सामग्री एकत्र की जो RBAC को स्थापित करने में मदद करेगी, यह बताएगी कि यह क्यों अच्छा है और उत्पादन में सिद्धांत रूप में इसके साथ कैसे रहना है।

मैं यह समझाने की कोशिश करूंगा कि टिलर और आरबीएसी कैसे काम करते हैं। टिलर एक निश्चित सेवा खाते के तहत एक क्लस्टर के अंदर काम करता है। आमतौर पर, यदि RBAC कॉन्फ़िगर नहीं किया गया है, तो यह सुपरयुसर होगा। मूल कॉन्फ़िगरेशन में, टिलर व्यवस्थापक होगा। इसीलिए अक्सर कहा जाता है कि टिलर आपके क्लस्टर में एक एसएसएच टनल है। यह वास्तव में मामला है, इसलिए आप ऊपर दिए गए आरेख में डिफ़ॉल्ट सेवा खाते के बजाय एक अलग समर्पित सेवा खाते का उपयोग कर सकते हैं।

जब आप Helm को इनिशियलाइज़ करते हैं, तो पहले इसे सर्वर पर इंस्टॉल करें, आप --service-account अकाउंट का उपयोग करके सर्विस अकाउंट सेट कर सकते --service-account । यह आपको अधिकारों के न्यूनतम आवश्यक सेट के साथ उपयोगकर्ता का उपयोग करने की अनुमति देगा। सच है, आपको ऐसी "माला" बनानी होगी: भूमिका और रोलबाइंडिंग।



दुर्भाग्य से, हेल्म आपके लिए ऐसा नहीं करेगा। आपको या आपके कुबेरनेट क्लस्टर व्यवस्थापक को हेल्म को स्थानांतरित करने के लिए सेवा-खाते के लिए रोल, रोलबाइंडिंग का एक सेट तैयार करना होगा।

सवाल है - भूमिका और क्लस्टरस्टर के बीच अंतर क्या है? अंतर यह है कि क्लस्टररोल सभी नामस्थानों के लिए मान्य है, नियमित भूमिका और रोलबाइंडिंग के विपरीत, जो केवल विशिष्ट नामस्थान के लिए काम करते हैं। आप पूरे क्लस्टर और सभी नामस्थानों के लिए नीतियों को कॉन्फ़िगर कर सकते हैं, साथ ही प्रत्येक नामस्थान के लिए अलग-अलग भी।

उल्लेखनीय है कि आरबीएसी एक और बड़ी समस्या का हल करता है। बहुत से शिकायत करते हैं कि हेल्म, दुर्भाग्य से, मल्टीटैनेंसी नहीं है (मल्टी-टेनेंसी का समर्थन नहीं करता है)। यदि कई टीमें एक क्लस्टर का उपयोग करती हैं और हेलम का उपयोग करती हैं, तो यह असंभव है, सिद्धांत रूप में, नीतियों को कॉन्फ़िगर करने और इस क्लस्टर के भीतर उनकी पहुंच को अलग करने के लिए, क्योंकि कुछ सेवा खाता है जिसके तहत हेल्म काम करता है, और यह इसके तहत क्लस्टर में सभी संसाधन बनाता है, जो कभी-कभी बहुत असहज। यह सच है - द्विआधारी के रूप में ही, एक प्रक्रिया के रूप में, हेल्म टिलर में मल्टीटेनेंसी के बारे में कोई सुराग नहीं है ।

हालांकि, एक बढ़िया तरीका है कि आप कई बार एक समूह में टिलर को चला सकते हैं। इससे कोई समस्या नहीं है, टिलर को हर नामस्थान में चलाया जा सकता है। इस प्रकार, आप एक संदर्भ के रूप में आरबीएसी, कुबेकॉन्फिग का उपयोग कर सकते हैं और विशेष हेलम तक पहुंच को प्रतिबंधित कर सकते हैं।

यह इस प्रकार दिखेगा।



उदाहरण के लिए, अलग-अलग टीमों (दो नाम स्थान) के लिए संदर्भ के साथ दो कुबेकॉन्फिग हैं: विकास टीम और व्यवस्थापक क्लस्टर के लिए एक्स टीम। एडमिन क्लस्टर का अपना विस्तृत टिलर है, जो क्रमशः एक उन्नत सर्विस-अकाउंट, क्यूब-सिस्टम नेमस्पेस में स्थित है। और विकास टीम के लिए एक अलग नामस्थान, वे एक विशेष नामस्थान में अपनी सेवाओं को तैनात करने में सक्षम होंगे।

यह एक कामकाजी दृष्टिकोण है, टिलर इतना ग्लूटोनस नहीं है कि यह आपके बजट को बहुत प्रभावित कर सके। यह त्वरित सुधारों में से एक है।

टिलर को अलग से कॉन्फ़िगर करने के लिए स्वतंत्र महसूस करें और टीम के लिए एक विशिष्ट डेवलपर या पर्यावरण के लिए संदर्भ के साथ कुबेकॉन्फ प्रदान करें: देव, मंचन, उत्पादन (यह संदेह है कि सब कुछ एक क्लस्टर पर होगा, हालांकि, यह किया जा सकता है)।

हमारी कहानी को जारी रखते हुए, RBAC से स्विच करें और कॉन्फ़िगमैप के बारे में बात करें।

ConfigMaps

Helm एक डेटा वेयरहाउस के रूप में ConfigMaps का उपयोग करता है। जब हमने आर्किटेक्चर के बारे में बात की थी, तो कहीं भी एक डेटाबेस नहीं था जिसमें रिलीज, कॉन्फ़िगरेशन, रोलबैक आदि के बारे में जानकारी संग्रहीत की गई थी। इसके लिए, कॉन्फ़िगैप का उपयोग किया जाता है।

कॉन्फ़िगरमैप्स के साथ मुख्य समस्या ज्ञात है - वे सिद्धांत रूप में असुरक्षित हैं, उनमें संवेदनशील डेटा संग्रहीत करना असंभव है । हम उन सभी चीजों के बारे में बात कर रहे हैं जो सेवा से परे नहीं होनी चाहिए, उदाहरण के लिए, पासवर्ड। Helm के लिए अब सबसे मूल तरीका है कि आप कॉन्फ़िगमैप्स का उपयोग करके रहस्यों की ओर बढ़ें।

यह बहुत सरलता से किया जाता है। टिलर सेटिंग को फिर से परिभाषित करें और निर्दिष्ट करें कि भंडारण रहस्य होगा। फिर प्रत्येक परिनियोजन के लिए आपको विन्यास मानचित्र प्राप्त नहीं होगा, लेकिन एक रहस्य।



आप यह तर्क दे सकते हैं कि रहस्य स्वयं एक अजीब अवधारणा है, और यह बहुत सुरक्षित नहीं है। हालांकि, यह समझने योग्य है कि कुबेरनेट्स के डेवलपर्स ऐसा कर रहे हैं। संस्करण 1.10 से शुरू, अर्थात् काफी समय पहले, रहस्य को संग्रहीत करने के लिए सही भंडारण को जोड़ने के लिए, कम से कम सार्वजनिक बादलों में संभावना है। अब टीम रहस्य, व्यक्तिगत प्रस्तुतियाँ या अन्य संस्थाओं तक पहुंच को बेहतर तरीके से सौंपने पर काम कर रही है।

भंडारण हेल्म को रहस्यों में अनुवाद करना बेहतर है, और वे बदले में, केंद्रीय रूप से सुरक्षित हैं।

बेशक, 1 एमबी के डेटा स्टोरेज के लिए एक सीमा रहेगी। यहाँ Helm ConfigMaps के लिए वितरित भंडार के रूप में etcd का उपयोग करता है। और वहां उन्होंने सोचा कि यह प्रतिकृति के लिए एक उपयुक्त डेटा हिस्सा है, आदि। इस बारे में रेडिट पर एक दिलचस्प चर्चा है, मैं सप्ताहांत के लिए इस मजेदार पढ़ने के मामले को खोजने या यहां निचोड़ को पढ़ने की सलाह देता हूं।

चार्ट रिपोज

चार्ट सबसे सामाजिक रूप से कमजोर हैं और "मैन इन द मिडल" का स्रोत बन सकते हैं, खासकर यदि आप स्टॉक समाधान का उपयोग करते हैं। सबसे पहले, हम उन रिपॉजिटरी के बारे में बात कर रहे हैं जो HTTP के माध्यम से उजागर होते हैं।

निश्चित रूप से, आपको HTTPS के माध्यम से हेल्म रेपो को उजागर करने की आवश्यकता है - यह सबसे अच्छा विकल्प है और सस्ती है।

चार्ट हस्ताक्षर के तंत्र पर ध्यान दें। प्रौद्योगिकी अपमान करने के लिए सरल है। यह वही चीज है जो आप सार्वजनिक और निजी कुंजी के साथ सामान्य पीजीपी मशीन गीथहब पर उपयोग करते हैं। सेट करें और सुनिश्चित करें, आवश्यक कुंजी होने और सब कुछ पर हस्ताक्षर करने से, यह वास्तव में आपका चार्ट है।

इसके अलावा, हेलम क्लाइंट टीएलएस (सर्वर की ओर से HTTP के अर्थ में नहीं, बल्कि पारस्परिक TLS) का समर्थन करता है। संवाद करने के लिए आप सर्वर और क्लाइंट कुंजियों का उपयोग कर सकते हैं। सच कहूँ तो, मैं इस तरह के तंत्र का उपयोग आपसी प्रमाणपत्रों के लिए नापसंद होने के कारण नहीं करता हूं। सिद्धांत रूप में, चार्टम्यूज़ियम - हेल्म 2 के लिए मुख्य हेल्म रेपो एक्सपोज़र टूल - मूल आधार का भी समर्थन करता है। यदि यह अधिक सुविधाजनक और शांत है, तो आप मूल स्थिति का उपयोग कर सकते हैं।

एक हेल्म-जीकेएस प्लगइन भी है जो आपको Google क्लाउड स्टोरेज पर चार्ट रिपोज होस्ट करने की अनुमति देता है। यह काफी सुविधाजनक है, बढ़िया काम करता है और काफी सुरक्षित है, क्योंकि सभी वर्णित तंत्र उपयोग किए जाते हैं।



यदि आप HTTPS या TLS सक्षम करते हैं, तो mTLS का उपयोग करें, जोखिम को कम करने के लिए बुनियादी स्थिति को कनेक्ट करें, आपको एक सुरक्षित संचार चैनल Helm CLI और चार्ट रेपो मिलेगा।

जीआरपीसी एपीआई

अगला चरण बहुत जिम्मेदार है - टिलर को सुरक्षित करने के लिए, जो क्लस्टर में है और एक तरफ, सर्वर है, दूसरी ओर, यह अन्य घटकों तक पहुंचता है और खुद को किसी के रूप में पेश करने की कोशिश करता है।

जैसा कि मैंने कहा, Tiller एक सेवा है जो gRPC को उजागर करती है, एक Helm ग्राहक इसे gRPC के माध्यम से आता है। डिफ़ॉल्ट रूप से, ज़ाहिर है, टीएलएस बंद है। ऐसा क्यों किया जाता है यह एक बहस का सवाल है, यह मुझे शुरू में सेटअप को आसान बनाने के लिए लगता है।

उत्पादन के लिए और यहां तक ​​कि मंचन के लिए, मैं जीआरपीसी पर टीएलएस को सक्षम करने की सलाह देता हूं।

मेरी राय में, चार्ट के लिए mTLS के विपरीत, यह यहां उचित है और बहुत सरलता से किया गया है - एक PQI बुनियादी ढांचा तैयार करें, एक प्रमाण पत्र बनाएं, टिलर लॉन्च करें, प्रारंभिक के दौरान प्रमाण पत्र को स्थानांतरित करें। उसके बाद, आप एक उत्पन्न प्रमाण पत्र और निजी कुंजी प्रतीत होने पर, सभी हेलम कमांड निष्पादित कर सकते हैं।



इस प्रकार, आप क्लस्टर के बाहर से टिलर के लिए सभी अनुरोधों से अपनी रक्षा करेंगे।

इसलिए, हमने टिलर से कनेक्शन चैनल को सुरक्षित किया, पहले से ही आरबीएसी पर चर्चा की और कुबेरनेट्स एपेस्वर के अधिकारों को समायोजित किया, उस डोमेन को कम कर दिया जिसके साथ वह बातचीत कर सकता है।

संरक्षित हेल्म

आइए अंतिम आरेख को देखें। यह एक ही तीर के साथ एक ही वास्तुकला है।



सभी कनेक्शन अब हरे रंग में सुरक्षित रूप से चित्रित किए जा सकते हैं:

• चार्ट रेपो के लिए हम टीएलएस या एमटीएलएस और मूल स्थिति का उपयोग करते हैं;
• टिलर के लिए mTLS, और यह TLS के साथ gRPC सेवा के रूप में सामने आया है, हम प्रमाण पत्र का उपयोग करते हैं;
• क्लस्टर भूमिका और रोलबाइंडिंग के साथ एक विशेष सेवा खाते का उपयोग करता है।

हमने स्पष्ट रूप से क्लस्टर सुरक्षित कर लिया है, लेकिन किसी ने कहा कि स्मार्ट:

"केवल एक बिल्कुल सुरक्षित समाधान हो सकता है - कंप्यूटर बंद है, जो एक ठोस बॉक्स में है और यह सैनिकों द्वारा संरक्षित है।"

डेटा में हेरफेर करने और नए हमले वैक्टर खोजने के लिए अलग-अलग तरीके हैं। हालांकि, मुझे विश्वास है कि ये सिफारिशें एक बुनियादी उद्योग सुरक्षा मानक के कार्यान्वयन को सक्षम बनाएगी।

बोनस

यह हिस्सा सीधे सुरक्षा से संबंधित नहीं है, लेकिन यह उपयोगी भी होगा। मैं आपको कुछ दिलचस्प चीजें दिखाऊंगा जिनके बारे में बहुत कम लोग जानते हैं। उदाहरण के लिए, चार्ट की तलाश कैसे करें - आधिकारिक और अनौपचारिक।

Github.com/helm/charts रिपॉजिटरी में अब लगभग 300 चार्ट और दो स्ट्रीम हैं: स्थिर और इनक्यूबेटर। अंशदाता जानता है कि इनक्यूबेटर से स्थिर होना कितना कठिन है, और स्थिर से बाहर उड़ना कितना आसान है। हालांकि, प्रोमेथियस के चार्ट के लिए खोज करने के लिए यह सबसे अच्छा उपकरण नहीं है और जो आपको एक सरल कारण के लिए पसंद है वह एक पोर्टल नहीं है जहां पैकेज की खोज करना सुविधाजनक है।

लेकिन एक hub.helm.sh सर्विस है जिसके साथ चार्ट्स ढूंढना कहीं अधिक सुविधाजनक है। सबसे महत्वपूर्ण बात यह है कि कई और बाहरी रिपोजिटरी हैं और लगभग ts०० चरस उपलब्ध हैं। साथ ही, आप अपने रिपॉजिटरी को कनेक्ट कर सकते हैं यदि किसी कारण से आप अपने चार्ट को स्थिर नहीं भेजना चाहते हैं।

Hub.helm.sh आज़माएं और इसे एक साथ विकसित करें। यह सेवा हेल्म परियोजना के तहत है, और आप इसके यूआई में भी योगदान कर सकते हैं यदि आप फ्रंट-एंड विक्रेता हैं और केवल लुक में सुधार करना चाहते हैं।

मैं ओपन सर्विस ब्रोकर एपीआई एकीकरण पर आपका ध्यान आकर्षित करना चाहता हूं। यह बोझिल और समझ से बाहर लगता है, लेकिन यह उन समस्याओं को हल करता है जो हर किसी का सामना करता है। मैं एक सरल उदाहरण के साथ समझाऊंगा।



एक कुबेरनेट्स-क्लस्टर है जिसमें हम क्लासिक एप्लिकेशन को चलाना चाहते हैं - वर्डप्रेस। एक नियम के रूप में, पूर्ण कार्यक्षमता के लिए एक डेटाबेस की आवश्यकता होती है। कई अलग-अलग समाधान हैं, उदाहरण के लिए, आप अपनी राज्य सेवा शुरू कर सकते हैं। यह बहुत सुविधाजनक नहीं है, लेकिन कई करते हैं।

अन्य लोग, जैसे चैंस्टैक, सर्वर के लिए MySQL या PostgreSQL जैसे प्रबंधित डेटाबेस का उपयोग करते हैं। इसलिए, हमारे डेटाबेस क्लाउड में कहीं स्थित हैं।

लेकिन एक समस्या उत्पन्न होती है: आपको हमारी सेवा को डेटाबेस से जोड़ने, एक स्वाद डेटाबेस बनाने, क्रेडेंशियल पास करने और किसी तरह इसे प्रबंधित करने की आवश्यकता है। यह सब आमतौर पर सिस्टम प्रशासक या डेवलपर द्वारा मैन्युअल रूप से किया जाता है। और कुछ अनुप्रयोग होने पर कोई समस्या नहीं है। जब कई होते हैं, तो आपको एक संयोजन की आवश्यकता होती है। ऐसा एक संयोजन है - यह सेवा ब्रोकर है। यह आपको सार्वजनिक क्लाउड क्लस्टर में एक विशेष प्लग-इन का उपयोग करने और ब्रोकर के माध्यम से प्रदाता से संसाधनों को ऑर्डर करने की अनुमति देता है, जैसे कि यह एक एपीआई था। आप इसके लिए देशी कुबेरनेट उपकरण का उपयोग कर सकते हैं।

यह बहुत सरल है। आप क्वेरी कर सकते हैं, उदाहरण के लिए, बेस टियर के साथ Azure में प्रबंधित MySQL (यह अनुकूलित किया जा सकता है)। एज़्योर एपीआई का उपयोग करके, आधार बनाया जाएगा और उपयोग के लिए तैयार किया जाएगा। आपको इसके साथ हस्तक्षेप करने की आवश्यकता नहीं है, इसके लिए प्लगइन जिम्मेदार है। उदाहरण के लिए, OSBA (Azure plugin) सेवा के लिए क्रेडेंशियल लौटाएगा, इसे Helm को पास करेगा। आप वर्डप्रेस का उपयोग क्लाउड MySQL के साथ कर सकते हैं, प्रबंधित डेटाबेस के साथ बिल्कुल भी व्यवहार नहीं करते हैं, और अंदर राज्य सेवाओं के बारे में चिंता न करें।

हम कह सकते हैं कि हेल्म एक गोंद के रूप में कार्य करता है, जो एक तरफ आपको सेवाओं को तैनात करने की अनुमति देता है, और दूसरी ओर, यह क्लाउड प्रदाताओं के संसाधनों का उपभोग करता है।

आप अपना स्वयं का प्लगइन लिख सकते हैं और इस संपूर्ण ऑन-प्रिमाइसेस कहानी का उपयोग कर सकते हैं। फिर आपके पास कॉर्पोरेट क्लाउड प्रदाता के लिए बस अपना स्वयं का प्लगइन है। मैं आपको इस दृष्टिकोण की कोशिश करने की सलाह देता हूं, खासकर यदि आपके पास बड़े पैमाने पर है और आप एक सुविधा के लिए जल्दी से देव, मंचन या संपूर्ण बुनियादी ढांचे को तैनात करना चाहते हैं। यह आपके संचालन या DevOps के लिए जीवन को आसान बना देगा।

एक और खोज जो मैंने पहले ही उल्लेख की है वह है हेल्म-जीसीएस प्लगइन , जो आपको हेलिकैट चार्ट को संग्रहीत करने के लिए Google-बाल्टी (ऑब्जेक्ट स्टोरेज) का उपयोग करने की अनुमति देता है।



इसका उपयोग शुरू करने के लिए केवल चार आदेश लगते हैं:

1. प्लगइन स्थापित करें;
2. इसे आरंभ करें;
3. बाल्टी के लिए रास्ता निर्धारित करें, जो कि जीसीपी में स्थित है;
4. एक मानक तरीके से चार्ट प्रकाशित करें।

सुंदरता यह है कि प्राधिकरण के लिए देशी जीसीपी विधि का उपयोग किया जाएगा। आप एक सेवा खाता, एक डेवलपर खाता - कुछ भी उपयोग कर सकते हैं। यह बहुत सुविधाजनक है और संचालित करने के लिए कुछ भी नहीं खर्च होता है। यदि आप, मेरी तरह, अस्पष्ट दर्शन की वकालत करते हैं, तो यह बहुत सुविधाजनक होगा, खासकर छोटी टीमों के लिए।

विकल्प

हेलम एकमात्र सेवा प्रबंधन समाधान नहीं है। उनके लिए बहुत सारे सवाल हैं, शायद यही कारण है कि तीसरा संस्करण इतनी जल्दी दिखाई दिया। बेशक विकल्प हैं।

यह विशेष समाधान के रूप में हो सकता है, उदाहरण के लिए, कोन्सनेट या मेटापार्टिकल। आप अपने क्लासिक अवसंरचना प्रबंधन उपकरणों (Ansible, Terraform, Chef, आदि) का उपयोग उन्हीं उद्देश्यों के लिए कर सकते हैं, जिनके बारे में मैंने बात की थी।

अंत में, ऑपरेटर फ्रेमवर्क समाधान है, जिसकी लोकप्रियता बढ़ रही है।

ऑपरेटर फ्रेमवर्क मुख्य हेल्म विकल्प है जिस पर आपको ध्यान देना चाहिए।

यह सीएनसीएफ और कुबेरनेट्स के लिए अधिक मूल है, लेकिन प्रवेश सीमा बहुत अधिक है , आपको अधिक प्रोग्राम करने और मैनिफ़ेस्ट कम वर्णन करने की आवश्यकता है।

ड्राफ्ट, स्कैफोल्ड जैसे कई अतिरिक्त हैं। वे जीवन को बहुत सरल करते हैं, उदाहरण के लिए, डेवलपर्स एक परीक्षण वातावरण को तैनात करने के लिए हेल्म को भेजने और लॉन्च करने के चक्र को सरल करते हैं। मैं उन्हें अवसरों का विस्तारक कहूंगा।

यहां एक दृश्य ग्राफ है जहां क्या स्थित है।



एक्स-एक्सिस पर, वाई-एक्सिस पर, कुबेरनेट्स नेटिविटी के स्तर पर आपके व्यक्तिगत नियंत्रण का स्तर। हेल्म संस्करण 2 कहीं बीच में है। संस्करण 3 में, यह बहुत बड़ा नहीं है, लेकिन नियंत्रण और स्तर के स्तर में सुधार होता है। Ksonnet स्तर के समाधान अभी भी Helm 2 से हीन हैं। हालांकि, वे यह जानने के लायक हैं कि इस दुनिया में और क्या है। बेशक, आपका कॉन्फ़िगरेशन मैनेजर आपके नियंत्रण में होगा, लेकिन कुबेरनेट्स के मूल निवासी नहीं हैं।

ऑपरेटर फ्रेमवर्क कुबेरनेट्स के लिए बिल्कुल देशी है और आपको इसे बहुत अधिक सुरुचिपूर्ण ढंग से और सावधानी से प्रबंधित करने की अनुमति देता है (लेकिन प्रवेश के स्तर के बारे में याद रखें)। बल्कि, यह एक विशेष एप्लिकेशन के लिए उपयुक्त है और हेल्म का उपयोग करके बड़ी संख्या में अनुप्रयोगों को पैक करने के लिए बड़े पैमाने पर हारवेस्टर के बजाय, इसके लिए प्रबंधन तैयार करना है।

एक्सटेंडर बस नियंत्रण में थोड़ा सुधार करते हैं, वर्कफ़्लो या सीआई / सीडी पाइपलाइनों के कोनों को पूरक करते हैं।

हेल्म का भविष्य

अच्छी खबर यह है कि हेल्म 3 प्रदर्शित हो रही है। हेल्म 3.0.0-अल्फा.2 का अल्फा संस्करण पहले ही जारी किया जा चुका है, आप कोशिश कर सकते हैं। यह काफी स्थिर है, लेकिन कार्यक्षमता अभी भी सीमित है।

आपको हेल्म 3 की आवश्यकता क्यों है? सबसे पहले, यह एक घटक के रूप में, टिलर के लापता होने की कहानी है। यह, जैसा कि आप पहले से ही समझते हैं, एक बहुत बड़ा कदम है, क्योंकि वास्तु सुरक्षा के दृष्टिकोण से सब कुछ सरल है।

जब हेल्म 2 बनाया गया, जो कुबेरनेट्स 1.8 या उससे पहले भी था, तो कई अवधारणाएं अपरिपक्व थीं। उदाहरण के लिए, सीआरडी की अवधारणा को सक्रिय रूप से लागू किया जा रहा है, और हेलम संरचनाओं को संग्रहीत करने के लिए सीआरडी का उपयोग करेगा। केवल क्लाइंट का उपयोग करना संभव होगा और सर्वर साइड नहीं रखना होगा। तदनुसार, संरचनाओं और संसाधनों के साथ काम करने के लिए देशी कुबेरनेट्स कमांड का उपयोग करें। यह एक बहुत बड़ा कदम है।

देशी ओसीआई रिपोजिटरी (ओपन कंटेनर इनिशिएटिव) के लिए समर्थन दिखाई देगा। यह एक बड़ी पहल है, और हेल्म मुख्य रूप से अपने चार्ट पोस्ट करने के लिए दिलचस्प है। यह इस बिंदु पर आता है कि, उदाहरण के लिए, डॉकर हब कई ओसीआई मानकों का समर्थन करता है। मुझे आश्चर्य नहीं है, लेकिन शायद डॉकर रिपॉजिटरी के क्लासिक प्रदाता आपको अपने हेल्म चार्ट को आपके पास रखने का अवसर देना शुरू कर देंगे।

मेरे लिए एक विवादास्पद कहानी स्क्रिप्ट लिखने के लिए एक अस्थायी इंजन के रूप में लुआ का समर्थन है । मैं लुआ का बहुत बड़ा प्रशंसक नहीं हूं, लेकिन यह पूरी तरह से वैकल्पिक सुविधा होगी। मैंने इसे 3 बार चेक किया - लुआ का उपयोग करना आवश्यक नहीं होगा। इसलिए, जो कोई भी लुआ का उपयोग करने में सक्षम होना चाहता है, कोई है जो गो को पसंद करता है, हमारे विशाल शिविर में शामिल हों और इसके लिए गो-टीएमपीएल का उपयोग करें।

, — . int string, . JSONS-, values.

event-driven model . . Helm 3, , , , , .

Helm 3 , , Helm 2, Kubernetes . , Helm Kubernetes Kubernetes.

एक और अच्छी खबर यह है कि DevOpsConf पर अलेक्जेंडर खयोरोव आपको बताएगा कि क्या कंटेनर सुरक्षित हो सकते हैं? याद करें, 30 सितंबर और 1 अक्टूबर को मास्को में विकास, परीक्षण और संचालन प्रक्रियाओं के एकीकरण पर एक सम्मेलन आयोजित किया जाएगा । 20 अगस्त तक, आप अभी भी एक रिपोर्ट सबमिट कर सकते हैं और DevOps दृष्टिकोण के कई कार्यों में से एक को हल करने में अपने अनुभव के बारे में बात कर सकते हैं। न्यूज़लेटर और टेलीग्राम चैनल

में सम्मेलन चौकियों और समाचारों का पालन करें ।