Automatisierung: Googles Kubernetes Engine bekommt Autopilot
Google hat mit dem Autopilot einen neuen Betriebsmodus für seine Kubernetes-Umgebung angekündigt. Der erweitert GKE in Richtung echten Hands-off-Betriebs.
(Bild: Google)
- André von Raison
Mit Autopilot hat Google einen neuen Betriebsmodus für seine Kubernetes-Engine GKE vorgestellt. In dieser Betriebsart stellt Google einen produktionsreifen Managed Kubernetes-Cluster zur Verfügung. Neben der GKE-internen Control Plane übernimmt der Autopilot das Provisionieren der Cluster-Infrastruktur und Anwender müssen sich nicht mehr mit teils kniffeligen Details der Clusterkonfiguration vertraut machen.
(Bild: Google)
Für Nutzer entfällt mit Autopilot die Notwendigkeit, den Zustand Ihrer Knoten überwachen oder die für die Workloads erforderlichen Kapazitäten zu berechnen. Der automatisiert diese Aufgaben und kann dazu auf die meisten Kubernetes-APIs und -Tools zugreifen. Kunden bleiben innerhalb von GKE, ohne mit den Compute-Engine-APIs, CLIs oder der Benutzeroberfläche interagieren zu müssen, da die Knoten – im Gegensatz zum GKE-Standard-Modus – nicht über Compute Engine zugänglich sind. Abgerechnet werden nur CPU, Arbeitsspeicher und Storage, die die Pods im laufenden Betrieb anfordern.
Vorkonfigurierte Sicherheitsfunktionen
Von der Härtung der untersten Hardware-Ebene über die Virtualisierungs-, Betriebssystem-, Kubernetes- und Container-Ebene bietet GKE bislang schon eine Reihe von Sicherheitsmaßnahmen. In Autopilot flossen jahrelange Erfahrungen aus dem GKE-Betrieb mit der Absicherung von Cluster-Infrastrukturen ein. Autopilot implementiert GKE-Härtungsrichtlinien und Best-Practices und nutzt dabei Sicherheitsfunktionen von Googles Cloud-Plattform GCP, etwa Shielded GKE Nodes und Workload Identity.
Darüber hinaus blockiert Autopilot einige als weniger sicher geltende Funktionen wie External IP Services oder Legacy-Autorisierung, deaktiviert CAP_NET_RAW und schränkt die Nutzung bestimmter Cipher-Suiten ein. Durch das Sperren einzelner Kubernetes-Knoten trägt Autopilot dazu bei, die Angriffsfläche des Clusters weiter zu reduzieren und Fehler bei der Sicherheitskonfiguration zu minimieren. In der GKE-Dokumentation findet sich ein ausführlicher Feature-Vergleich der beiden GKE-Betriebsmodi Autopilot und Standard; einen Vergleich kommerzieller Kubernets-Distributionen gibt es auf heise+.
(avr)
