?當(dāng)下企業(yè)越來越多的采用云原生來開發(fā)和拓展應(yīng)用程序，因此在處理日益增長(zhǎng)的復(fù)雜性以及支持在多云環(huán)境下部署工作負(fù)載時(shí)，容器和Kubernetes 就變得至關(guān)重要。

但一項(xiàng)針對(duì)DevOps專業(yè)人士的調(diào)查發(fā)現(xiàn)，94%的人在過去一年里至少經(jīng)歷過一次Kubernetes安全事件，59%的人認(rèn)為安全問題是他們?cè)谑褂肒ubernetes以及容器時(shí)最大的擔(dān)憂。雖然越來越多的DevOps團(tuán)隊(duì)轉(zhuǎn)向Kubernetes，以滿足企業(yè)擴(kuò)展需求，但像安全和數(shù)據(jù)保護(hù)這樣的基本原則絕不能被忽視。

部署Kubernetes

開發(fā)人員被要求在更多的動(dòng)態(tài)環(huán)境中建立更大、更加可擴(kuò)展的應(yīng)用程序。因此，對(duì)于運(yùn)營(yíng)或基礎(chǔ)設(shè)施團(tuán)隊(duì)來說，跟上不斷變化的軟件開發(fā)實(shí)踐似乎已經(jīng)成了一項(xiàng)全職工作。Kubernetes只是最新的（也可以說是更復(fù)雜的）挑戰(zhàn)，但開發(fā)人員的目標(biāo)沒有變：我們?nèi)绾尾拍軠p少風(fēng)險(xiǎn)，最大限度地降低成本，并提供一個(gè)更好的整體業(yè)務(wù)成果？

開發(fā)團(tuán)隊(duì)是 "開拓者"，他們探索新的領(lǐng)域并建立起全新的東西。另一方面，運(yùn)營(yíng)和基礎(chǔ)設(shè)施團(tuán)隊(duì)是 "定居者"，在第二波浪潮中來鞏固新的開發(fā)，并確保它能長(zhǎng)期生存。這正是Kubernetes的情況。當(dāng)Kubernetes處于虛擬化或適用階段時(shí)，通常是由運(yùn)營(yíng)團(tuán)隊(duì)主導(dǎo)，因?yàn)殛P(guān)乎真正的業(yè)務(wù)成果的責(zé)任落在他們身上。

但想讓這些團(tuán)隊(duì)理解Kubernetes和容器的錯(cuò)綜復(fù)雜是一個(gè)很高的要求。即使是新技術(shù)，也需要遵守基本原則，即安全、備份和恢復(fù)都是需要的。但獨(dú)特的技術(shù)要求也會(huì)帶來挑戰(zhàn)。

Kubernetes的安全性和零信任

作為一個(gè)云原生程序，Kubernetes的許多安全挑戰(zhàn)來自云架構(gòu)的分散性。不同的工作負(fù)載可以在幾個(gè)不同的地方運(yùn)行，包括多個(gè)云以及外部和內(nèi)部的服務(wù)器。這不僅大大增加了可能發(fā)生攻擊和錯(cuò)誤的 "威脅范圍"，而且還增加了可視化方面的挑戰(zhàn)，即監(jiān)控容器和檢測(cè)問題都變的更困難。

雖然Kubernetes的設(shè)計(jì)是安全的，它只對(duì)可以驗(yàn)證和授權(quán)的請(qǐng)求做出響應(yīng)，但它也為開發(fā)者提供了定制的配置選項(xiàng)，這意味著它的安全程度只相當(dāng)于開發(fā)者配置的RBAC（基于角色的訪問控制）策略。Kubernetes還使用了所謂的 "扁平網(wǎng)絡(luò)"，使容器組（或Pod）默認(rèn)與其他容器進(jìn)行通信。這引起了安全問題，因?yàn)槔碚撋?，攻擊者如果破壞了一個(gè)Pod，就可以訪問同一集群中的其他資源。

盡管有一定的復(fù)雜性，但減輕這種風(fēng)險(xiǎn)的解決方案是非常簡(jiǎn)單直觀的，即零信任。由于有如此大的攻擊面、開放的網(wǎng)絡(luò)設(shè)計(jì)和跨越不同環(huán)境的工作負(fù)載，因此在使用Kubernetes進(jìn)行構(gòu)建時(shí)，零信任架構(gòu)極為重要，即從不信任和永遠(yuǎn)驗(yàn)證。

零信任架構(gòu)的原則是將安全的焦點(diǎn)從應(yīng)用程序的外圍移開，同時(shí)將這些原則貫穿始終。所有的內(nèi)部請(qǐng)求一律視為可疑的，自上至下都需要身份驗(yàn)證。這種策略通過假設(shè)網(wǎng)絡(luò)上一直存在威脅來幫助降低風(fēng)險(xiǎn)，因此圍繞每個(gè)用戶、設(shè)備和連接持續(xù)保持嚴(yán)格的安全程序。對(duì)于Kubernetes的流動(dòng)和分散的架構(gòu)來說，這是必須的。

備份和恢復(fù)

為Kubernetes應(yīng)用程序減輕風(fēng)險(xiǎn)所需的另一個(gè)基本原則是備份和恢復(fù)。這是一個(gè)眾所周知的概念，但在備份Kubernetes和容器時(shí)，有很多特殊的考量。這些對(duì)數(shù)據(jù)備份的不同要求是因?yàn)镵ubernetes與其他架構(gòu)有根本的不同，例如，它沒有映射到服務(wù)器或虛擬機(jī)上的應(yīng)用。

Kubernetes備份系統(tǒng)也需要以應(yīng)用為中心，而不是以基礎(chǔ)設(shè)施為重點(diǎn)。這是出于DevOps理論基礎(chǔ)和 "左移 "原則，即開發(fā)人員對(duì)基礎(chǔ)設(shè)施和部署有更多的控制。Kubernetes備份的其他特殊需求包括應(yīng)用程序的規(guī)模、保護(hù)差距和生態(tài)系統(tǒng)的整合。

在恢復(fù)Kubernetes環(huán)境時(shí)，需要一個(gè)詳細(xì)的執(zhí)行計(jì)劃，確定集群的依賴性，更新應(yīng)用程序以反映新的存儲(chǔ)組件，并將計(jì)劃轉(zhuǎn)化為相關(guān)的Kubernetes應(yīng)用程序編程接口（API）。雖然備份確實(shí)需要更多定制的Kubernetes原生解決方案，但這種恢復(fù)過程對(duì)企業(yè)的長(zhǎng)期健康發(fā)展仍然至關(guān)重要。在今天，高效恢復(fù)和災(zāi)難恢復(fù)是必不可少的，據(jù)估計(jì)，每分鐘的中斷成本為1,459歐元。

此外，備份在測(cè)試和開發(fā)目的以及實(shí)現(xiàn)應(yīng)用程序移動(dòng)性方面具有巨大價(jià)值。應(yīng)用程序的移動(dòng)性是指將應(yīng)用程序遷移到不同環(huán)境的能力——跨企業(yè)內(nèi)部、云、集群以及Kubernetes分布。隨著IT環(huán)境變得越來越復(fù)雜，企業(yè)需要應(yīng)對(duì)新的業(yè)務(wù)需求，采用新的技術(shù)平臺(tái)或優(yōu)化成本，這一點(diǎn)也越來越重要。

迎接改變

盡管Kubernetes帶來了新的技術(shù)挑戰(zhàn)，但終究萬變不離其宗。運(yùn)營(yíng)和基礎(chǔ)設(shè)施團(tuán)隊(duì)已經(jīng)習(xí)慣于將新的工具納入不斷擴(kuò)展的技術(shù)棧，通過現(xiàn)代數(shù)據(jù)保護(hù)降低風(fēng)險(xiǎn)等核心原則仍在發(fā)揮作用。

一旦這些能力建立起來，運(yùn)營(yíng)團(tuán)隊(duì)就可以看得更遠(yuǎn)，并通過測(cè)試和優(yōu)化等手段來挖掘利用其數(shù)據(jù)的價(jià)值。利用支持應(yīng)用程序移動(dòng)性的強(qiáng)大備份，團(tuán)隊(duì)還可以通過確保服務(wù)能夠更容易地駕馭下一波變化，來為應(yīng)用程序的未來做好準(zhǔn)備。雖然Kubernetes是目前正在改變開發(fā)環(huán)境的工具，但它肯定不會(huì)是最后一個(gè)。

（本文由Veeam 全球高級(jí)技術(shù)專家 Michael Cade撰寫）?