Kubernetes (K8s). Лекция 2. Программно-аппаратные средства защиты информации

1. Kubernetes (K8s)

Лекция 2.
Программно-аппаратные средства защиты информации

2. 2//Что такое Kubernetes?

• Но для начала вспомним, что такое контейнеризация?

3. 3//Что такое контейнеризация?

• Контейнеризация — метод, с помощью которого программный
код упаковывается в единый исполняемый файл вместе с
библиотеками и зависимостями, чтобы обеспечить его
корректный запуск. Такие файлы называют контейнерами.

4. 4//Разница между контейнером и виртуальной машиной?

• В чем разница между контейнером и виртуальной машиной?
• Что у них общего, а в чем отличия?
• Преимущества контейнера перед виртуальной машиной?

5. 5//Контейнер и виртуальная машина

6. 6//Что такое Docker?

• Для чего он нужен? Как появился?

7. 7//Docker

• Docker — это платформа с открытым исходным кодом, которая
позволяет разработчикам создавать, развертывать, запускать,
обновлять и управлять контейнерами — стандартизированными
исполняемыми компонентами, объединяющими исходный код
приложения с библиотеками операционной системы (ОС) и
зависимостями, необходимыми для запуска этого кода в любой
среде.

8. 8//Контрольные вопросы (1)?

• Для чего он нужен?
• Вспомним основные команды:
docker build –t name_container .

9. 9// Контрольные вопросы (2)?

• Для чего он нужен?
• Вспомним основные команды:
docker build –t name_container . (точка в конце означает, что
dockerfile лежит в текущей директории) – Сборка образа из файла
dockerfile

10. 10// Контрольные вопросы (3)?

• Для чего он нужен?
• Вспомним основные команды:
docker build –t name_container . (точка в конце означает, что
dockerfile лежит в текущей директории) – Сборка образа из файла
dockerfile
• Как просмотреть все существующие контейнеры в docker и их
статус?

11. 11// Контрольные вопросы (4)?

• Для чего он нужен?
• Вспомним основные команды:
docker build –t name_container . (точка в конце означает, что
dockerfile лежит в текущей директории) – Сборка образа из файла
dockerfile
• Как просмотреть все существующие контейнеры в docker и их
статус?
docker ps –a – просмотр существующих контейнеров

12. 12// Контрольные вопросы (5)?

• Как запустить ранее остановленный контейнер?

13. 13// Контрольные вопросы (6)?

• Как запустить ранее остановленный контейнер?
docker start ID-контейнера – запустить ранее остановленный
контейнер

14. 14// Контрольные вопросы (7)?

• Как запустить ранее остановленный контейнер?
docker start ID-контейнера – запустить ранее остановленный
контейнер
• Нам нужно разместить сайт, давайте запустим контейнер nginx в
фоне и пробросим порт 80 из контейнера наружу, как это
сделать?

15. 15// Контрольные вопросы (8)?

• Как запустить ранее остановленный контейнер?
docker start ID-контейнера – запустить ранее остановленный
контейнер
• Нам нужно разместить сайт, давайте запустим контейнер nginx в
фоне и пробросим порт 80 из контейнера наружу, как это
сделать?
docker run –p 80:80 –d nginx – запустить контейнер nginx в
фоне и пробросить порт 80 наружу

16. 16//Вернемся к Kubernetes?

• Kubernetes - операционная система для облачных решений,
представляющая собой открытую платформу для управления
кластерами контейнерных приложений и сервисов.

17. 17//Для чего используется?

• Контейнеры — хороший способ
объединить и запустить ваши
приложения.
• Kubernetes предоставляет вам
платформу для устойчивой работы
распределенных систем. Он
обеспечивает масштабирование и
аварийное переключение вашего
приложения, предоставляет
шаблоны развертывания и многое
другое.

18. 18//Возможности k8s

• Обнаружение служб и
балансировка нагрузки
• Оркестрация хранилища
• Автоматизированное
развертывание и откат
• Автоматическая упаковка
контейнеров
• Самовосстановление
• Управление секретами и
конфигурациями
• Пакетное выполнение
• Горизонтальное
масштабирование
• Двойной стек IPv4/IPv6
• Расширяемость

19. 19//Чем Kubernetes не является?

• Если приложение может работать в контейнере, оно должно отлично
работать и в Kubernetes.
• Не развертывает исходный код и не собирает ваше приложение.
• Не диктует решения для ведения логирования и мониторинга.
• Не предоставляет и не применяет какие-либо комплексные системы
конфигурации, обслуживания, управления или самовосстановления
машины.
• Kubernetes включает в себя набор независимых, компонуемых
процессов управления, которые непрерывно приводят текущее
состояние к заданному желаемому состоянию. Неважно, как вы
доберетесь от А до С.

20. 20//Архитектура Kubernetes

21. 21//Архитектура Kubernetes

Кластер
• В кластере обязательно есть хотя бы одна нода. Она состоит из набора
машин, которые запускают контейнерные приложения. Обычно на
одной ноде кластер не ограничивается, поскольку дополнительные
ноды решают проблему отказустойчивости.
Nods (узлы)
• Это физические или виртуальные машины, на которых развертываются
и запускаются контейнеры с приложениями. Каждый узел содержит
сервисы, необходимые для запуска подов.
• Обычно в кластере есть несколько узлов, но в среде обучения или
среде с ограниченными ресурсами можно использовать один.

22. 22//Типы нод

23. 23//Pods (отсеки)

24. 24//Pods (отсеки)

25. 25//А дальше..

• Control Plane (плоскость управления) и её компоненты: Объекты
(Kube-apiserver, Kube-scheduler, Etcd, Kube-controllermanagerCloud-controller-manager), объекты узлов (Kubelet, Kubeproxy, Container runtime)
• Рабочие нагрузки (Поды, запускающие один контейнер, поды,
запускающие несколько контейнеров, хранение данных в подах,
сети в подах, статус пода, статус контейнера)
И многое другое

26. 26//Микросервисы

• это подход, при котором единое приложение строится как набор
небольших сервисов, каждый из которых работает в собственном
процессе и коммуницирует с остальными используя легковесные
механизмы, как правило HTTP. Эти сервисы построены вокруг
бизнес-потребностей и развертываются независимо с
использованием полностью автоматизированной среды.

27. 27//Микросервисы

28. 28//Kubernetes предоставляет

• Быструю и автоматическую масштабируемость.
• Гибкий подход к эксплуатации. Вся структура описывается в
конфигурационных файлах - манифестах
• Гибкий подход в управлении.
• Универсальность.
• Низкий порог вхождения в использование.

29. 29//Пару слов о безопасности

• Контейнеры и сам Kubernetes предоставляет большие
возможности по организации и наблюдению за происходящим.
• Взломы зачастую происходят по недосмотру конфигурации
оборудования, операционных систем и ПО.

30. 30//Повышение безопасности контейнеров

• Для повышения безопасности контейнеров Docker можно
привлечь ряд дополнительных инструментов, таких как AppArmor,
Seccomp и SELinux. Эти технологии позволяют ограничивать
действия контейнеров и улучшать общую безопасность системы.

31. 31//AppArmor 

31//AppArmor
• AppArmor — система управления доступом, которая позволяет
задавать профили безопасности для контейнеров. Она
контролирует доступность ресурсов и тем самым помогает
защитить систему от потенциально вредоносного поведения
контейнеров.

32. 32//Seccomp 

32//Seccomp
• Seccomp — инструмент, который позволяет ограничить набор
системных вызовов, доступных контейнеру. По умолчанию Docker
применяет базовые настройки Seccomp, которые блокируют
системные вызовы.
Docker с базовым профилем Seccomp блокирует следующие вызовы:
• mount — предотвращает монтирование файловых систем, защищая
данные хоста от несанкционированного доступа;
• reboot — исключает возможность перезагрузки системы из
контейнера;
• ptrace — блокирует инструменты отладки, которые могут дать доступ к
памяти и процессам хоста;
• kexec_load — запрещает загрузку и замену ядра, что предотвращает
захват системы на более глубоком уровне.

33. 33//SELinux 

33//SELinux
• SELinux — система управления, которая позволяет
контролировать доступ на более детальном уровне. SELinux
использует метки безопасности, которые применяются к
объектам и процессам, позволяя управлять доступом на основе
политик.
• Совместное использование AppArmor, Seccomp и SELinux создает
многоуровневую защиту для контейнеров и значительно
уменьшает риск эксплуатации уязвимостей.

34. 34//Контрольные вопросы

• Что такое Kubernetes? Для чего используется?
• Из чего складывается архитектура Kubernetes?
• Является ли использование контейнерной архитектуры
приложений безопасным?
• Как повысить безопасность контейнеров? Какие средства можно
использовать?

35. Полезные ссылки

• Курс k8s для начинающих https://habr.com/ru/articles/589415/
• Курс для начинающих от reg.ru (более технический)
https://www.reg.ru/blog/k8s-dlya-nachinayushchih/