В начале декабря старший инженер Google Джордан Лиггитт из команды Kubernetes объявил об обнаружении серьёзной уязвимости в коде Kubernetes (CVE-2018-1002105), которая оставляла контейнеры уязвимыми, предоставляя доступ к API серверам — основному управляющему элементу в Kubernetes.
Мы обсудили эту проблему с нашим директором по продукту Кеннетом Таном, чтобы лучше понять серьезность ситуации и выяснить, какие шаги следует предпринять для защиты бизнеса.
Каковы риски для бизнеса, связанные с этим недостатком безопасности?
К сожалению, эта уязвимость затрагивает все продукты и сервисы на базе Kubernetes, в частности, потому, что она дает хакерам полный административный контроль, который сложно обнаружить. По словам Джордана Лиггитта, запросы хакеров не отображаются в журналах аудита API сервера Kubernetes или в серверных логах.
Существуют ли реальные методы для обеспечения безопасности системы оркестрации контейнеров с открытым исходным кодом?
Основные игроки рынка уже выпустили патчи для своих продуктов на базе Kubernetes. Однако Sardina Systems считает, что операторы должны пойти еще дальше и разместить Kubernetes внутри виртуальных машин, которые могут управляться в среде OpenStack.
С помощью OpenStack Magnum FishOS позволяет операторам в предприятиях легко предоставлять многопользовательские среды Kubernetes с проверенными гарантиями безопасности.
Запуская кластеры Kubernetes в виртуальных машинах, вы получаете преимущества сильной сегрегации безопасности виртуальных машин, а также надежности и устойчивости, которые они обеспечивают. Эти преимущества в области безопасности, надежности и устойчивости сопровождаются дополнительными накладными расходами от KVM, которые обычно составляют около 4% от пиковой производительности системы. Является ли 4% слишком высокой ценой за это?
Что такое Sardina FishOS? Сколько времени требуется для развертывания FishOS и для перехода на FishOS с другого решения?
FishOS предоставляет операторам облачных платформ OpenStack и Kubernetes автоматизацию для всех фаз жизненного цикла системы — развертывания, эксплуатации и обновления.
Полная установка системы осуществляется с помощью FishOS Deployer на bare metal, что позволяет широкому кругу операторов уверенно развертывать, эксплуатировать и обновлять платформы OpenStack на базе FishOS, без глубоких знаний Kubernetes. При этом сохраняется разграничение привилегий там, где это важно — на уровне потребителей услуг.
FishOS Deployer — это решение для простого переноса служб управления OpenStack с одного узла на другой или для гибкого обновления или понижения версий программного обеспечения.
Процесс перехода на FishOS достаточно прост. После определения различий между предыдущим решением и архитектурой решения FishOS переход можно выполнить с помощью FishOS Deployer за один день.