Sysdig कंटेनर उपयोग रिपोर्ट 2019: नई कुबेरनेट्स और सुरक्षा विवरण

आज, हम 2019 के लिए Sysdig कंटेनर उपयोग रिपोर्ट ( Sysdig 2019 कंटेनर उपयोग रिपोर्ट ) प्रस्तुत करते हुए बहुत प्रसन्न हैं। कुबेरनेट्स गति प्राप्त करना जारी रखता है, क्लाउड आर्किटेक्चर तेजी से खोज कर रहे हैं, और यह सब न केवल उपयोग पैटर्न बदल रहा है, बल्कि प्रक्रियाओं और संगठनात्मक संरचनाओं को भी बदल रहा है। आश्चर्यजनक रूप से, इस वर्ष कंटेनरों की संख्या दोगुनी हो गई, जिनमें से जीवनकाल 5 मिनट से अधिक नहीं है। जितनी अधिक गतिशील सेवाएं बनती हैं, बेहतर क्लाउड टीमें सुरक्षा को देवओपीएस प्रक्रियाओं में एकीकृत करने की आवश्यकता को पहचानती हैं। 2019 के लिए हमारी उपयोग रिपोर्ट के हिस्से के रूप में, हम पहली बार सुरक्षा और अनुपालन विवरणों की खोज कर रहे हैं, इसके अलावा कि ग्राहक कंटेनरों, कुबेरनेट्स और अन्य का उपयोग कैसे करते हैं, इसके बारे में कई विवरण हैं।

अद्वितीय Sysdig स्थिति

Sysdig Secure DevOps Platform बुनियादी सुविधाओं, अनुप्रयोगों और कंटेनरों पर एक वास्तविक परिप्रेक्ष्य प्रदान करता है। हमारी रिपोर्ट में दुनिया भर की कंपनियों और कई क्षेत्रों को शामिल किया गया है। इस वर्ष हमने आपको उदाहरण के रूप में तैनात दो मिलियन कंटेनरों के व्यावसायिक उपयोग की एक तस्वीर प्रदान करने के लिए सास और Sysdig दोनों स्थानीय उपयोगकर्ताओं पर विवरण शामिल किया है।

परिणामों के बारे में अधिक।

क्या कंटेनर प्लेटफ़ॉर्म तैनात किए जाते हैं?

हमारी 2018 की रिपोर्ट में, हमने बताया कि कैसे ओपन कंटेनर इनिशिएटिव (ओसीआई) ने वैकल्पिक कंटेनर लॉन्च वातावरण को पेश करने में मदद की। 2019 में, यह बड़े पैमाने पर हुआ: कंटेनर प्रोजेक्ट ने 18% का महत्वपूर्ण हिस्सा हड़प लिया। निष्पक्षता में, यह ध्यान देने योग्य है कि डॉकटर द्वारा कंटेनर का उपयोग किया जाता है। पहले, इसके इंजन ने लॉन्च पर्यावरण के उच्च-स्तरीय और निम्न-स्तर के कार्यों को लागू किया। अब वे दो अलग-अलग परियोजनाओं में विभाजित हैं: कंटेनर और रंक।

CRI-O की शुरुआत इसी साल हुई थी। अन्य बातों के अलावा, हम आज विकास के निम्न स्तर से हैरान थे। CRI-O, कुबेरनेट्स हल्के रनटाइम, 2016 में रेड हैट पर दिखाई दिया और 2019 में सीएनसीएफ © में स्वीकार किया गया। हमें लगता है कि जैसे ही Red Hat OpenShift उपयोगकर्ता V3 से v4 पर जाते हैं, जहां CRI-O पहले से अपनाया डॉकटर इंजन को बदल देता है, विकास का स्तर बढ़ जाएगा।

भौतिक सर्वर पर कंटेनरों का घनत्व 100% बढ़ रहा है

पिछले एक साल में, प्रति भौतिक सर्वर पर कंटेनरों की औसत संख्या 30 हो गई है, 2018 में 15 की तुलना में और 2017 में 10।

हमारा मानना ​​है कि यह आंकड़ा कई कारकों के आधार पर बढ़ेगा:

• क्लाउड इन्फ्रास्ट्रक्चर में माइग्रेट होने वाले अनुप्रयोगों की संख्या में वृद्धि;
• बड़े और सघन क्लस्टर चलाने वाले स्थानीय Sysdig क्लाइंट से डेटा का समावेश;
• "हॉर्स पावर" की गणना, प्रत्येक सर्वर पर अधिक कंटेनरों को काम करने की अनुमति देता है।

2019 में, प्रति नोड अधिकतम कंटेनर घनत्व 250 था, और 2018 की तुलना में यह 38 प्रतिशत की वृद्धि है।

कंटेनर ऑर्केस्ट्रा: कुबेरनेट्स डोमिनेट्स

यह आश्चर्य की बात नहीं है कि ऑर्केस्ट्रेशन के एक वास्तविक तथ्य के रूप में, कुबेरनेट्स ने इस्तेमाल किए गए ऑर्केस्ट्रेटर के हिस्से का 77% हिस्सा लिया। यह संख्या बढ़कर 89% हो जाएगी यदि आप Red Hat OpenShift और Rancher - दोनों को कुबेरनेट पर निर्मित करते हैं। और यहाँ संख्या में वर्तमान स्थिति है:

स्थानीय ग्राहक किस प्लेटफॉर्म का चयन करते हैं?

यदि आप उन कंपनियों के लिए डेटा को अलग करते हैं जो स्थानीय रूप से Sysdig प्लेटफॉर्म को तैनात करते हैं, तो ऑर्केस्ट्रेशन की तस्वीर काफी बदल जाती है। इस सेगमेंट में, Red Hat OpenShift कंटेनर प्लेटफ़ॉर्म ले रहा है। मुख्य कारण यह है कि उपयोगकर्ता संगठन, आमतौर पर बड़े और सतर्क, कुबेरनेट्स का लाभ उठाना चाहते हैं, लेकिन प्लेटफ़ॉर्म जैसे सेवा (PaS) जैसे OpenShift जैसे व्यावसायिक रूप से समर्थित ऑन-प्रिमाइसेस समाधानों के साथ ऐसा करना पसंद करते हैं।

इसके अलावा 2019 की रिपोर्ट में, हम सार्वजनिक बादलों के उपयोग के आंकड़ों की जांच करते हैं। विवरण के लिए इसे डाउनलोड करें ।

सुरक्षा और अनुपालन

"सुरक्षा को पहले से लागू करें" एक जुनूनी वाक्यांश बन गया है। यह एक दृष्टिकोण का वर्णन करता है जहां सुरक्षा विकास के जीवन चक्र के शुरुआती चरणों में अंतर्निहित है। सामान्य तौर पर, कंटेनर संगठन समझते हैं कि कैसे सुरक्षा और अनुपालन को देवोफ वर्कफ़्लो में एकीकृत किया जाए। कंटेनरों और कुबेरनेट्स में सुरक्षा और अनुपालन के बारे में जानकारी हासिल करने के लिए, हम कमजोरियों के लिए स्कैनिंग, स्टार्टअप पर्यावरण की सुरक्षा और सीआईएस अनुपालन के क्षेत्रों से डेटा का विश्लेषण करते हैं।

भेद्यता प्रबंधन

सीआई / सीडी पाइपलाइनों और कंटेनर रजिस्ट्रियों में कंटेनर कमजोरियों का पता लगाने, ब्लॉक करने और खत्म करने के लिए ग्राहक छवियों को स्कैन करते हैं। पूरी रिपोर्ट में, हम उपयोग की गई रजिस्ट्रियों को देखते हैं, सार्वजनिक और निजी रिपॉजिटरी से निकाली गई छवियों का प्रतिशत। हम कमजोरियों के लिए छवियों के सफल / असफल स्कैनिंग का अनुपात भी देते हैं। यहाँ कुछ निष्कर्ष दिए गए हैं।

छवि निष्कर्षण: सार्वजनिक बनाम निजी रिपोजिटरी

कितने कंटेनरों को सार्वजनिक या निजी रिपॉजिटरी से पुनर्प्राप्त किया जाता है? हमने पाया कि 40% छवियां सार्वजनिक रूप से उपलब्ध स्रोतों से आती हैं।

खुले रिपॉजिटरी से कंटेनर छवियों का उपयोग करना असंभव है - क्योंकि उनमें से कुछ ही मानकों को पूरा करते हैं या सुरक्षा कमजोरियों के लिए जाँच की जाती है। उदाहरण के लिए, डॉकर हब को लें : "प्रमाणित," "आधिकारिक" और "सत्यापित प्रकाशक" लेबल वाली छवियां अधिक भरोसेमंद हैं। हालांकि, सर्वर पर होस्ट की गई तीन मिलियन छवियों में, 1% से कम ऐसे पदनाम हैं। जोखिम को कम करने के लिए, क्लाउड टीमें यह निर्धारित करने के लिए नीतियां बनाती हैं कि कौन से कंटेनर रजिस्ट्रियों को उनके संगठनों में उपयोग के लिए अनुमोदित किया जा सकता है।

छवि स्कैन

स्रोत की परवाह किए बिना, उत्पादन वातावरण में तैनात करने से पहले ज्ञात कमजोरियों के लिए एक छवि को स्कैन करना सबसे अच्छा अभ्यास है जिसे उपेक्षित नहीं किया जा सकता है। जोखिम या कमजोरियों की सीमा का आकलन करने के लिए, हमने 5-दिन की अवधि में स्कैन की गई और स्कैन में विफल रही छवियों के नमूने लिए। आधे से अधिक छवियों ने परीक्षण पास नहीं किया, जिसका अर्थ है कि उनमें उच्च और बहुत अधिक खतरे की ज्ञात कमजोरियों की पहचान की गई थी।

सुरक्षा जोखिम

डेवलपर्स द्वारा ज्ञात समस्याओं को संबोधित करने के बाद, क्लाउड टीमों को ऐसी नीतियों की स्थापना करनी चाहिए जो असामान्य व्यवहार का निर्धारण करती हैं और उत्पादन वातावरण में ट्रिगर होने वाली सुरक्षा चेतावनी को बाध्य करती हैं। कुबेरनेट्स के लिए सुरक्षा स्टार्टअप पर्यावरण कंपनियों के लिए कुछ नया है, लेकिन वे समझते हैं कि क्या है, जल्दी से। पिछले वर्ष, लॉन्च पर्यावरण सुरक्षा के लिए सीएनसीएफ के ओपन सोर्स सिक्योरिटी प्रोजेक्ट फाल्को ने 6.7% बार डॉक्युअर हब से सिस्दिग का योगदान दिया। यह पिछले वर्ष की तुलना में 252% अधिक है।

हमने उन अलर्ट की मात्रा के संदर्भ में एक नीति के उल्लंघन को देखा जो ग्राहकों को Sysdig Secure से प्राप्त हुए थे, जो कि फाल्को नीतियों के साथ लॉन्च वातावरण की सुरक्षा को स्वचालित करता है। यह कंटेनर उपयोगकर्ताओं द्वारा आमतौर पर सामना किए जाने वाले सुरक्षा जोखिमों के प्रकारों की पहचान करता है। उनमें से, सबसे आम हैं:

1 - संवेदनशील संस्करणों, निर्देशिकाओं या फ़ाइलों तक पहुंचने का प्रयास; 2 - विशेषाधिकारों के विस्तार के लिए बहुत सारी अनुमति या प्रयासों के साथ शुरुआत करना; 3 - संलग्न टर्मिनल से कमांड शेल लॉन्च करना

उपयोग पर एक पूरी रिपोर्ट में, हम विस्तार से 10 उल्लंघनों की जांच करते हैं, उन्हें आवृत्ति द्वारा रैंकिंग करते हैं, और एक ही समय में उनमें से प्रत्येक का वर्णन करते हैं, संभावित खतरे की व्याख्या करते हैं।

अनुपालन

जोखिम को कम करने और अनुपालन मानकों को पूरा करने के लिए, जिसमें पीसीआई-डीएसएस, एचआईपीएए और जीडीपीआर शामिल हैं, संगठनों को नियमित अभ्यास के साथ सर्वर और कंटेनरों की नियमित रूप से समीक्षा करनी चाहिए। Sysdig Secure में Docker जाँच के लिए CIS बिल्ट-इन बेंचमार्क का उपयोग करते हुए ऑडिट से पता चलता है कि अभी भी सुधार की गुंजाइश है। उदाहरण के लिए, हमें पता चला कि आमतौर पर कंटेनर सर्वर पर हैं:

शीर्ष 10 ओपन सोर्स कंटेनर समाधान

ओपन-सोर्स ने एंटरप्राइज़-वाइड डेटा प्रोसेसिंग का चेहरा बदल दिया है। यह न केवल संपूर्ण बुनियादी ढाँचे में नवाचार को बढ़ावा देता है, बल्कि विशेष रूप से अनुप्रयोग विकास में भी। Sysdig स्वचालित रूप से कंटेनरों के अंदर की प्रक्रियाओं को खोलता है जो उन समाधानों को देखने के लिए बनाते हैं जो हमारे ग्राहक उत्पादन वातावरण में चलने वाली क्लाउड सेवाओं को बनाते हैं। और यहाँ उनमें से शीर्ष 10 हैं:

इस साल नए उत्पादों में से Node.js और गो (उर्फ गोलंग) हैं, जो उपयोग के मामले में जावा से आगे हैं। जावा को उत्कृष्ट प्रोग्रामिंग भाषाओं में से एक माना जाता है। DevOps और क्लाउड टीमें नए विकल्प पसंद करती हैं, जैसे गो, Google इंजीनियरों द्वारा बनाए गए भाग में, क्योंकि उनका उपयोग करना आसान है। उदाहरण के लिए, Node.js, एक जावास्क्रिप्ट फ्रेमवर्क, कोड लिखना आसान बनाता है जो सर्वर और ब्राउज़र दोनों पर समान रूप से अच्छी तरह से काम करता है। यह CouchDB और MongoDB जैसे डेटाबेस की एक नई पीढ़ी के लिए भी अच्छी तरह से अनुकूल है जो जावास्क्रिप्ट-लिखित प्रश्नों का समर्थन करते हैं।

कंटेनर जीवन

कब तक (या कितने कम) कंटेनरों के पैरामीटर रहते हैं, कंटेनर छवियां और सेवाएं 2018 के लिए हमारी रिपोर्ट में सबसे लोकप्रिय विषयों में से एक हैं। यह दर्शाता है कि आधुनिक अनुप्रयोग विकास के संदर्भ में और रनटाइम के संदर्भ में अधिक गतिशील कैसे हैं।

लघु कंटेनर जीवन

कंटेनरों के जीवन की तुलना में साल दर साल, हमने पाया कि 10 सेकंड से कम जीने वाले कंटेनरों की संख्या दोगुनी और 22% थी। इसी समय, 5 मिनट या उससे कम रहने वाले कंटेनरों की संख्या भी दोगुनी हो गई।

कई कंटेनरों को केवल कार्य पूरा करने और तुरंत आत्म-विनाश के लिए एक छोटी उम्र की आवश्यकता होती है। सेकंड हैं, ऐसा लगता है, पर्याप्त नहीं है, लेकिन कुछ प्रक्रियाओं के लिए अधिक की आवश्यकता नहीं है। हम मानते हैं कि कुबेरनेट जॉब्स के उपयोग में वृद्धि हुई है, जो कि बैच की नौकरियों जैसे अंतिम कार्य चलाते हैं, इस वृद्धि में योगदान करते हैं। अधिक कहने के लिए, हम कम रहने वाले कंटेनरों की संख्या में वृद्धि की उम्मीद करते हैं, विशेष रूप से सर्वर रहित प्लेटफार्मों पर जो अल्पकालिक कार्यों को चलाने के लिए अच्छी तरह से अनुकूल हैं।

कंटेनरों का पंचांग प्रकृति प्रौद्योगिकी के अनूठे फायदों में से एक है। इसी समय, यह "सुरक्षा, प्रदर्शन और प्रदर्शन के साथ समस्याओं को देखने" जैसे कार्यों को बहुत जटिल करता है। वास्तविक समय की निगरानी, ​​सुरक्षा और अनुपालन उपकरण जो अल्पकालिक प्रक्रियाओं के प्रकाश में वास्तविक समय की निगरानी प्रदान करते हैं, सफल संचालन के लिए महत्वपूर्ण हैं।

निरंतर विकास और छवियों का जीवनकाल

कंटेनर चपलता के लिए सही साथी हैं। वे कोड के विकास और रिलीज को गति देने में मदद करते हैं, अक्सर कंटेनरीकृत माइक्रोसेराइज के रूप में। हमने पाया कि आधे से अधिक कंटेनर छवियों को एक सप्ताह या उससे कम समय में बदल दिया जाता है - या संशोधित किया जाता है। यह इस बात का संकेत है कि कोड रिलीज़ के बीच का समय कितना छोटा हो गया। इसके अलावा, यह इंगित करता है कि CI / CD पाइपलाइन विकास टीमों को असामान्य रूप से तेज़ गति से सॉफ़्टवेयर अपडेट देने में मदद करते हैं।

विशेष कोड मेट्रिक्स

विशेष कोड मेट्रिक्स DevOps डेवलपर्स और टीमों को अद्वितीय मीट्रिक एकत्र करने के लिए कोड को अनुकूलित करने की अनुमति देते हैं। तीन बुनियादी समाधानों में से: जेएमएक्स, स्टैट्सड और प्रोमेथियस, पिछले एक साल में, प्रोमेथियस प्रयोज्य के मामले में एक नेता के रूप में उभरा है। वास्तव में, वर्षों से, कस्टम मेट्रिक्स का उपयोग करने वाले हमारे ग्राहकों के लिए प्रोमेथियस मेट्रिक्स का उपयोग 130% बढ़ा है। जेएमएक्स मेट्रिक्स (जावा अनुप्रयोगों के लिए) और स्टैट्सड को इस वर्ष कम और कम (45% और 17% क्रमशः) उपयोग किया जाता है क्योंकि प्रोमेथियस का समर्थन करने वाले नए प्रोग्रामिंग फ्रेमवर्क का उपयोग बढ़ रहा है।

Sysdig ग्राहकों द्वारा इस्तेमाल किए गए प्रोमेथियस के शीर्ष मैट्रिक्स और निर्यातकों के लिए, पूरी रिपोर्ट देखें।

शीर्ष आपातकालीन सेटिंग्स

Sysdig क्लाइंट की आपातकालीन सेटिंग्स स्पष्ट रूप से प्रदर्शित करती हैं कि कौन से क्लाउड कमांड कंटेनर संचालन के लिए सबसे बड़ा खतरा हैं। संसाधन उपयोग और अपटाइम पर ध्यान केंद्रित करते हुए सबसे आम आपातकालीन सेटिंग्स कुबेरनेट्स बुनियादी ढांचे के पक्ष में स्थानांतरित हो गई हैं। यहाँ Sysdig ग्राहकों को वितरित की गई 800 से अधिक अद्वितीय आपातकालीन सेटिंग्स के शीर्ष 3 हैं:

साथ ही, विशिष्ट टैग या क्लाउड शॉर्टकट / कुबेरनेट के लिए अलर्ट कॉन्फ़िगर किए जा सकते हैं। कहते हैं, उपरोक्त अलर्ट से उदाहरण का उपयोग करके, आप cpu.used.percent अलर्ट को "istio-system" प्रकार के एक व्यक्तिगत नामस्थान, या नामस्थान के अंदर "envoy" प्रकार के विशिष्ट पॉड नाम से बांध सकते हैं। पूरी रिपोर्ट में शीर्ष अलर्ट बाइंडिंग देखें।

कुबेरनेट्स उपयोग पैटर्न

उपयोगकर्ता कितने क्लस्टर प्रबंधित कर रहे हैं? प्रत्येक नोड पर कितने पॉड्स हैं? क्या कोई Kubernetes जॉब्स का उपयोग करता है? 2019 की रिपोर्ट इन और अन्य सवालों के जवाब देती है। यहां एक उदाहरण है कि कुबेरनेट्स के साथ ग्राहक क्या तैनात कर रहे हैं।

कुछ ग्राहक केवल कुछ क्लस्टर स्थापित करते हैं - एक बड़ा और थोड़ा छोटा - जबकि अन्य में विभिन्न आकारों के कई समूहों का एक प्रभावशाली बेड़ा होता है। नीचे दी गई तालिकाएं Sysdig प्लेटफ़ॉर्म क्लाइंट के लिए क्लस्टर की संख्या और क्लस्टर प्रति नोड की संख्या को दर्शाती हैं:

एकल क्लस्टर या उनमें से एक छोटी संख्या को प्रबंधित करने वाले बड़ी संख्या में ग्राहक इंगित करते हैं कि कई उद्यम अभी कुबेरनेट्स विकसित करना शुरू कर रहे हैं। अवलोकन परिणाम सार्वजनिक बादलों में कुबेरनेट्स प्रबंधित सेवाओं के उपयोग से भी प्रभावित हुआ। Amazon Elastic Kubernetes Service (EKS), Google Kubernetes Engine (GKE), Azure Kubernetes Service (AKS), और IBM Cloud Kubernetes Service (IKS) जैसी सेवाओं के साथ, उपयोगकर्ता क्लस्टर और विभाजन समूहों को जितनी जल्दी हो सके उतनी तेज़ी से विभाजित कर सकते हैं।

प्रति क्लस्टर फली की संख्या

पोड्स कुबेरनेट्स में सबसे छोटी तैनाती योग्य वस्तु है। वे एक आम भंडारण और नेटवर्क के साथ एक या एक से अधिक कंटेनरों से मिलकर होते हैं, साथ ही साथ कंटेनरों को कैसे शुरू किया जाए, इस बारे में एक विनिर्देश। यहाँ Sysdig प्लेटफ़ॉर्म के उपयोगकर्ताओं का विश्लेषण है:

महत्वपूर्ण! यह तालिका मूल छवि में त्रुटि को ठीक करने के लिए अद्यतन की गई है। क्रिस कोलिंस के लिए बहुत धन्यवाद - उर्फ @ क्रिस_दुरहम - समस्या को नोटिस करने के लिए!

भौतिक सर्वर प्रति पॉड्स की संख्या

भौतिक सर्वर पर पॉड मौजूद है जब तक कि इसकी सभी प्रक्रियाएं पूरी नहीं हो जाती हैं, लेकिन अपर्याप्त संसाधनों या भौतिक सर्वर की विफलता के मामले में किसी अन्य सर्वर पर जाने पर इसे हटाया जा सकता है। यहाँ Sysdig प्लेटफ़ॉर्म के उपयोगकर्ताओं के लिए सर्वर को पॉड्स के वितरण का एक स्नैपशॉट है:

पूरी रिपोर्ट में कुबेरनेट्स नामस्थान, तैनाती, स्टेटफुलसेट्स और कार्यों की संख्या पर जानकारी उपलब्ध है।

निष्कर्ष

चूंकि हमारी अंतिम उपयोग रिपोर्ट, कंटेनर घनत्व दोगुनी हो गई है, और यह स्पष्ट है कि जैसे-जैसे आप इसकी आदत डालते हैं, विकास की गति बढ़ जाती है। हमारी तीसरी वार्षिक रिपोर्ट के मुख्य निष्कर्षों में उद्यमों के लिए अपेक्षित तेजी से विकास के लिए कदम उठाने की आवश्यकता पर जोर दिया गया है:

• संगठनों को स्केलेबल संचालन को सरल बनाने के लिए कुबेरनेट्स उपकरण में निवेश करना चाहिए।
• वास्तविक समय की व्यापकता, कम-जीवित कंटेनरों के लिए विस्तृत ऑडिट और विश्लेषणात्मक रिकॉर्ड प्रदान करना, संचालन की सुरक्षा के लिए महत्वपूर्ण है।
• रनटाइम के जोखिमों से आगे निकलने के लिए, क्लाउड टीमों को अब कार्य करना होगा - और DevOps में सुरक्षा को एकीकृत करना होगा।
• जैसा कि प्रोमेथियस क्लाउड एप्लिकेशन मैट्रिक्स संग्रह मानकों में एक नेता के रूप में अपनी स्थिति को मजबूत करता है, उपयोगकर्ताओं को यह सीखना चाहिए कि विश्वसनीयता और स्केलेबिलिटी प्रदान करते समय इसका उपयोग कैसे करें।

सभी विवरणों का पता लगाने के लिए, 2019 के लिए पूर्ण Sysdig उपयोग रिपोर्ट डाउनलोड करें।