Разделение ответственности пользователей Managed Kubernetes и команды сервиса

Плоскость управления

Плоскость управления Kubernetes Control Plane находится под полным контролем команды Managed Kubernetes.

Команда Managed Kubernetes гарантирует стабильную работу плоскости управления кластеров и своевременное обновление всех ее компонентов.

Обслуживание кластера

Команда Managed Kubernetes регулярно выпускает обновления безопасности для следующих элементов:

• компоненты плоскости управления;

• операционные системы виртуальных машин для узлов;

• системные компоненты на узлах.

Инфраструктура кластера

Команда Managed Kubernetes контролирует ключевые элементы инфраструктуры кластера:

• Сети — настройка и управление сетью, балансировка нагрузки с использованием сервисов Cloud.ru.

• Хранилища — предоставление хранилища Persistent Volume, используемого приложениями.

• Операционная среда — установка необходимых служб и драйверов на вычислительных ресурсах.

• Безопасность — интеграция с системой управления идентификацией и доступом IAM и шифрование данных.

Системные плагины

В Managed Kubernetes по умолчанию устанавливаются системные плагины, которые обеспечивают базовую сетевую связность, маршрутизацию и мониторинг ресурсов кластера:

• CoreDNS — внутренний DNS-сервис для разрешения доменных имен внутри кластера.

• kube-proxy — обработка сетевых правил и маршрутизация трафика.

• Calico или Cilium — реализация сетевой политики и межподового взаимодействия CNI.

• Metrics Server — сбор статистики потребления ресурсов CPU и памяти.

• Cluster AutoScaler — автоматическое масштабирование количества узлов.

Команда Managed Kubernetes поддерживает штатную конфигурацию системных плагинов и обновление в рамках жизненного цикла кластера, а также предоставляет возможность пользователям донастраивать системные плагины.

Конфигурация кластера

Пользователи Managed Kubernetes самостоятельно настраивают конфигурации кластеров:

• количество мастер-узлов и зоны доступности для их размещения;

• версию Kubernetes и каналы выпуска обновлений;

• настройки сети — группы безопасности, подсети, публичные адреса;

• вычислительные ресурсы — количество виртуальных ядер и размер оперативной памяти;

• управление шифрованием etcd и ключами шифрования;

• включение записи клиентских и аудит логов, а также метрик мониторинга.

Конфигурация рабочих узлов

Пользователи Managed Kubernetes самостоятельно настраивают конфигурации рабочих узлов:

• зоны доступности для размещения рабочих узлов, количество ядер и объем оперативной памяти;

• размер и тип используемых дисков;

• масштабирование групп узлов;

• автовосстановление рабочих узлов;

• версию Kubernetes и каналы выпуска обновлений;

• настройка окна обновления рабочих узлов.

• доступ к рабочим узлам по SSH.

Рабочие узлы находятся только в зоне ответственности пользователя. Команда Managed Kubernetes не имеет доступа к рабочим узлам и не управляет ими.

Конфигурируемые ресурсы

Пользователи Managed Kubernetes могут конфигурировать:

• параметры плагинов;

• развертывания, например Deployment, StatefulSet, DaemonSet;

• внешние контроллеры, например Ingress Controller;

• шифрование и резервное копирование данных приложений.

Управление доступом

Пользователи Managed Kubernetes могут:

• назначать роли и устанавливать права доступа (RBAC);

• ограничивать доступ к объектам Kubernetes на уровне политик.

Анализ работы кластера

Пользователи Managed Kubernetes получают инструменты мониторинга и логирования:

• для настройки уведомлений и предупреждений по ключевым показателям производительности;

• для сбора и анализа логов приложений.

Самостоятельное обновление ПО

Пользователи Managed Kubernetes несут ответственность за поддержание актуальной версии своего ПО, развернутого в кластере:

• обновление версии Kubernetes;

• регулярное обновление образов контейнеров;

• устранение уязвимостей в своих приложениях;

• применение политик безопасности на уровне пространств имен — Pod Security Admission и Pod Security Standards.

Системные плагины

Системные плагины CoreDNS, kube-proxy, Calico или Cilium, Metrics Server, Cluster AutoScaler устанавливаются по умолчанию, однако их состав и конфигурация могут быть изменены пользователем:

• Пользователь вправе отказаться от стандартных решений и использовать альтернативные. Например, заменить CoreDNS на другой DNS-плагин или отказаться от kube-proxy при переходе на eBPF-based реализацию.

• Пользователь может самостоятельно изменять конфигурацию этих плагинов в рамках предоставленных прав.

  Внимание

  Некорректная настройка может привести к нарушению связности и работоспособности кластера. Например, зафиксированы случаи, когда настройка сетевых политик доступа на узлы через CNI приводила к потере связности между мастер-узлами и рабочими узлами.