Deckhouse
Kubernetes Platform

Графический интерфейс администратора

Совокупность тесно связанных компонентов

• Компоненты тестируются на совместимость и обновляются вместе с платформой
• Поставка напрямую из репозитория вендора внутри одного пакета установки. Никакие модули не ставятся из интернета
• Все компоненты специальным образом настроены и интегрированы для совместной работы
• Сквозной контроль работоспособности и SLA по всем компонентам
• Плюс документация, продуманные алерты, готовые дашборды мониторинга и так далее

Программно⁠-⁠определяемая сеть

• Маршрутизация и балансировка внутреннего трафика
• Отказоустойчивая балансировка входящего TCP/UDP⁠-⁠трафика в любых инсталляциях
• Управление сетевыми политиками, автогенерация политик
• Визуализация сетевых взаимодействий
• Сегментация сети в кластере на уровне проектов (VLAN)
• Отказоустойчивый сетевой шлюз для исходящего трафика *
• Централизованная настройка и управление таблицами маршрутизации в кластере *
• Встроенный сетевой шлюз и DHCP⁠-⁠сервер для узлов кластера *
• Гомогенизация сетевого ландшафта за счёт унификации конфигураций (Cilium + VXLAN)*

* в планах

Наблюдаемость

• Предупреждение сбоев до их возникновения: 300+ преднастроенных алертов, 9 уровней критичности. Система отслеживает ранние признаки и шлет уведомления нужной команде.
• Диагностика за 30 секунд: 60+ готовых дашбордов автоматически разворачиваются при установке DKP, позволяя быстро локализовать проблему.
• Готовый мониторинг пользовательских приложений: метрики CPU, RAM, диск, сеть, Pod’ы, Ingress и др. собираются автоматически.
• Безопасный доступ к данным: изолированные метрики и дашборды по проектам, что исключает просмотр или изменение чужих сервисов.
• Централизованная работа с логами: автоматический сбор, хранение и визуализация в дашбордах.
• Интеграция с внешними системами: отправка метрик и алертов в удобные каналы оповещений.

Подробнее о решении

Управление сертификатами

• Заказ, отслеживание сроков действия и автоматическое обновление SSL⁠-⁠сертификатов
• Интеграция с различными CA⁠-⁠сервисами, такими как Let’s Encrypt, Vault, или корпоративным центром сертификации
• Сертификаты могут использоваться как для защиты связи между службами внутри платформы, так и для обеспечения безопасного доступа пользователей к приложениям через TLS/SSL
• Параметры заказа сертификатов могут быть настроены на уровне всей платформы или индивидуально для каждого приложения

Программно⁠-⁠определяемое хранилище

• Обеспечивает единый слой хранения с блочным и объектным доступом, используя любые носители от SAS/NVME до внешних СХД
• Централизует управление всеми доступными ресурсами хранения
• Обеспечивает резервирование и защиту данных на уровне локальных дисков, реплицируемых томов, распределенного хранения в кластере
• Поддерживает перемещение и репликацию данных между различными кластерами
• Даёт возможность хранения данных как в локальном, так и в удаленном ЦОД (например, ЦОД сервис⁠-⁠провайдера)

Резервное копирование и восстановление

• Возможность резервного копирования etcd и восстановления из бэкапа
• Резервное копирование и восстановление сертификатов *
• Резервное копирование и восстановление PV *
• Резервное копирование и восстановление манифестов *

* в планах

Инструменты для построения DevSecOps⁠-⁠конвейера

1. Как упаковать приложения

2. Как доставить приложения

Работа с данными

• Позволяет быстро развёртывать аналитические хранилища (DWH, Lakehouse) и Managed СУБД, адаптированные под гибкие облачные сценарии работы
• Предоставляет унифицированные инструменты для интеграции OSS/ISV⁠-⁠продуктов в платформу
• Включает весь базовый инструментарий автоматизации для платформ данных: Orchestration (deploy, run, scale), IAM, Backup, Monitoring
• Даёт возможность запускать compute для инструментов хранения и обработки данных в любом кластере Deckhouse Kubernetes Platform, вне зависимости от расположения центрального управляющего модуля
• Содержит готовые архитектурные шаблоны для быстрого запуска кластера под конкретные бизнес⁠-⁠задачи
• Предоставляет ИИ⁠-⁠агентов, упрощающих эксплуатацию платформы
• Поддержка Open Source и Enterprise ПО от различных вендоров: Postgres, Kafka, Rabbit, Spark, Cassandra, Redis, Starrocks, Trino, Airflow, Flink, Milvus, Cloudberry, Clickhouse

Балансировка входящего трафика

• Обеспечивает управление маршрутизацией HTTP⁠-⁠ и HTTPS⁠-⁠трафика
• Позволяет определять правила маршрутизации на основе путей URL и хостов
• Обеспечивает отказоустойчивую балансировку нагрузки и терминацию SSL/TLS для защиты трафика
• Заказ балансировщика и настройка правил производятся в режиме самообслуживания через единый API Kubernetes, упрощая управление и контроль доступа к приложениям
• Глубокая интеграция с платформой мониторинга и проработанные панели графиков позволяют быстро находить и диагностировать проблемы в работе приложений

 Виртуализация

• Работа виртуальных машин и контейнеризованных приложений в одном окружении
• Мультитеарендность (проекты) и ролевая модель доступа
• Высокая доступность и живая миграция виртуальных машин без простоев
• Правила размещения виртуальных машин (affinity/antiaffinity)
• Поддержка различных типов СХД (аппаратных и SDS)
• Управление образам для виртуальных машин
• Консистентные снапшоты дисков
• Микросегментация и балансировка трафика
• Мониторинг производительности виртуальных машин
• Возможности управления через API и UI

Комплексная безопасность на всех уровнях

• Единый центр аутентификации обеспечивает безопасный доступ к API кластера, всем веб⁠-⁠интерфейсам и пользовательским приложениям
• Авторизация и разделение прав доступа с помощью ролевой модели
• Регулярная проверка образов на известные CVE с возможностью блокировки выката приложений
• Мультиарендность на базе проектов — типовых изолированных друг от друга окружений, созданных по заранее подготовленному шаблону
• Постоянный аудит запущенных приложений и обнаружение угроз безопасности
• Политики безопасности и операционные политики
• Удобная настройка оповещений о событиях безопасности в кластерах

Единый центр аутентификации

• Обеспечивает безопасный доступ к API кластера, всем веб⁠-⁠интерфейсам и пользовательским приложениям
• Возможность создания локальных пользователей и групп. Простая выдача конфигурации подключения
• Интеграция с внешними провайдерами аутентификации (LDAP, Active Directory, OIDC и другие)
• Аутентификация для сторонних приложений

Авторизация и разделение прав доступа

• Управление доступом с помощью стандартной ролевой модели Kubernetes на уровне пространств имён кластера или всего кластера
• Семь преднастроенных ролей с тщательно продуманными правами на любой случай
• Возможность создавать свои собственные кастомные роли для ещё большей гибкости разделения прав *
• Создание и управление техническими сервисными учётными записями для взаимодействия различных информационных систем друг с другом

* в планах

Сканирование образов на уязвимости

• Регулярная проверка образов на известные CVE (включая уязвимости Astra Linux, Redos и Altlinux)
• Возможность блокирования выката приложений в случае нахождения Critical и High уязвимостей
• Возможность конвертации отчетов уязвимостей из базы CVE на данные из базы BDU и вывода их в отчёт
• Возможность подключения встроенной в DKP базы данных уязвимостей для проверки образов бизнес⁠-⁠приложений на этапе сборки (сама проверка при этом осуществляется сторонними средствами)

Мультиарендность на базе проектов

• Проекты — типовые изолированные друг от друга окружения, созданные по заранее подготовленному шаблону
• Полная изоляция ресурсов и политик доступа между проектами обеспечивает безопасную мультиарендность и даёт разработчикам возможность запускать приложения без влияния на другие проекты
• Возможность устанавливать квоты на ресурсы и ограничения для каждого проекта предотвращает избыточное использование ресурсов.
• Разработчики могут запрашивать у администраторов проекты, созданные по готовым шаблонам, что позволяет быстро начать разработку нового приложения

Аудит запущенных приложений и обнаружение угроз безопасности

• Анализ событий ядра Linux
• Аудит вызовов API Kubernetes
• Обнаружение событий безопасности по установленным правилам:
  • Попытки применения уязвимостей из базы CVE и запуска криптовалютных майнеров
  • Запущенные оболочки командной строки
  • Контейнеры, работающие в привилегированном режиме
  • Монтирование небезопасных путей (например, /proc) в контейнеры
  • Попытки чтения секретных данных из, например, /etc/shadow

Политики безопасности и операционные политики

• Возможность использовать одну из трёх предустановленных политик безопасности Pod Security Standards или настроить собственные политики
• Набор операционных политик и лучших практик для безопасной работы ваших приложений:

Оповещения о событиях безопасности

• Гибкий сбор логов аудита, их обработка и доставка в SIEM⁠-⁠системы
• Встроенные метрики и возможность собирать любые пользовательские метрики
• Удобная настройка оповещений о событиях ИБ в кластерах

Контроль конфигураций на соответствие CIS Benchmark

Раз в сутки все кластеры проверяются на соответствие рекомендациям CIS Benchmark* и результаты проверки выводятся на дашборд подсистемы мониторинга. Проверяются:

• Все компоненты управляющего слоя Kubernetes
• Настройки аутентификации и авторизации
• Настройки логирования и аудита
• Конфигурация рабочих узлов
• Корректность политик: безопасности, операционных и сетевых
• Работа с секретами в кластере

* Полный перечень проверок

Ядро платформы

• Преобразует различные инфраструктуры в стандартизированный формат, предоставляя бизнес⁠-⁠приложениям полную независимость от инфраструктуры
• Настраивает и управляет компонентами Kubernetes, предоставляя выбор из четырёх версий k8s в рамках одной версии платформы
• Оператор DKP обеспечивает «автопилотирование» всех компонентов платформы, предоставляя автоматизацию пятого уровня по шкале от Operator Framework
• Модульная архитектура позволяет гибко конфигурировать платформу под ваши задачи, а также значительно упрощает доставку и обновление прикладного ПО, благодаря возможности «упаковать» приложение в модуль DKP

Настраивает и управляет компонентами Kubernetes

• Control plane Kubernetes полностью под управлением Deckhouse, что обеспечивает отказоустойчивость и управление жизненным циклом кластера
• Все ручные операции автоматизированы: создание и ротация сертификатов, масштабирование и восстановление кластера
• Поддержка не менее четырёх версий Kubernetes в каждой версии платформы — обновляйтесь, когда вам удобно
• Каждая версия сертифицирована CNCF, что гарантирует совместимость приложений

Упрощает доставку и обновление прикладного ПО

• Простой фреймворк для написания собственных модулей к платформе: унифицированное описание и полная валидация конфигурации
• Удобный механизм доставки ваших модулей и вендорского ПО, в том числе в закрытый контур
• Постоянный контроль и приведение состояния модуля к желаемому исключают внесение ручных изменений
• Гарантированная совместимость всего запускаемого ПО с платформой
• Продуманный механизм обновления для закрытых окружений из единого реестра образов
• Простое добавление модуля во внутренний маркетплейс в кластере с возможностью включения/отключения модуля одной кнопкой *

* в планах

Превращает любую инфраструктуру в стандартную

Графический интерфейс пользователя

Управление секретами

• Безопасное управление жизненным циклом секретов: создание, хранение, отзыв и ротация
• Поддержка различных методов аутентификации: JWT, OIDC, Kubernetes, LDAP, Token
• Поддержка различных механизмов секретов: KV, Kubernetes, Database, SSH, PKI
• Шифрование данных: все секреты хранятся в зашифрованном виде с помощью алгоритма AES 256
• Безопасность соединений: все сетевые взаимодействия проходят через протокол TLS
• Доставка секретов в приложения: несколько способов безопасной и автоматизированной доставки секретов в приложения

Больше возможностей доступно в коммерческих редакциях продукта Deckhouse Stronghold.