Deckhouse
Kubernetes Platform

Графический интерфейс администратора

Совокупность тесно связанных компонентов

• Компоненты тестируются на совместимость и обновляются вместе с платформой
• Поставка напрямую из репозитория вендора внутри одного пакета установки.
Никакие модули не ставятся из интернета
• Все компоненты специальным образом настроены и интегрированы для совместной работы
• Сквозной контроль работоспособности и SLA по всем компонентам
• Плюс документация, продуманные алерты, готовые дашборды мониторинга и так далее

Программно-определяемая сеть

• Маршрутизация и балансировка внутреннего трафика
• Отказоустойчивая балансировка входящего TCP/UDP-трафика в любых инсталляциях
• Управление сетевыми политиками, автогенерация политик
• Визуализация сетевых взаимодействий
• Сегментация сети в кластере на уровне проектов (VLAN)
• Отказоустойчивый сетевой шлюз для исходящего трафика *
• Централизованная настройка и управление таблицами маршрутизации в кластере *
• Встроенный сетевой шлюз и DHCP-сервер для узлов кластера *
• Гомогенизация сетевого ландшафта за счёт унификации конфигураций 
(Cilium + VXLAN) *

* в планах

Сквозная наблюдаемость

• Готовые метрики, алерты и дашборды визуализации для всех компонентов платформы «из коробки» с любой степенью детализации
• Все возможности для мониторинга пользовательских приложений
• Встроенное хранилище метрик высокой детализации (30 секунд)
и долгосрочное хранилище метрик низкой детализации (5 минут)
• Возможность отправки метрик и алертов во внешние системы
• Кэширование запросов к Prometheus

Журналирование

• Система сбора, парсинга и фильтрации журналов для распределённых систем
• Встроенное хранилище журналов
• Возможность отправки журналов во внешние хранилища
• Отправка оповещений на основе данных журналов
• Удобный просмотр и визуализация журналов в реальном времени

Управление сертификатами

• Заказ, отслеживание сроков действия и автоматическое обновление 
SSL-сертификатов
• Интеграция с различными CA-сервисами, такими как Let’s Encrypt, Vault, или корпоративным центром сертификации
• Сертификаты могут использоваться как для защиты связи между службами внутри платформы, так и для обеспечения безопасного доступа пользователей к приложениям через TLS/SSL
• Параметры заказа сертификатов могут быть настроены на уровне всей платформы или индивидуально для каждого приложения

Программно-определяемое хранилище

Резервное копирование и восстановление

• Возможность резервного копирования etcd и восстановления из бэкапа
• Резервное копирование и восстановление сертификатов *
• Резервное копирование и восстановление PV *
• Резервное копирование и восстановление манифестов *

* в планах

Инструменты для построения DevSecOps-конвейера

1. Как упаковать приложения

2. Как доставить приложения

Балансировка входящего трафика

• Обеспечивает управление маршрутизацией HTTP- и HTTPS-трафика
• Позволяет определять правила маршрутизации на основе путей URL и хостов
• Обеспечивает отказоустойчивую балансировку нагрузки и терминацию SSL/TLS для защиты трафика
• Заказ балансировщика и настройка правил производятся в режиме самообслуживания через единый API Kubernetes, упрощая управление
и контроль доступа к приложениям
• Глубокая интеграция с платформой мониторинга и проработанные панели графиков позволяют быстро находить и диагностировать проблемы в работе приложений

Управление виртуальными машинами

• Возможность запуска приложений, которые по каким-то причинам нельзя или сложно запустить в контейнере, в виртуальных машинах
• Возможность запуска приложений на отличных от Linux операционных системах
• Возможность запуска виртуальных машин и контейнеризованных приложений в одном окружении
• Декларативное создание и управление виртуальными машинами и их ресурсами
• Интеграция с имеющейся экосистемой Deckhouse, позволяющая использовать ее возможности для виртуальных машин

Комплексная безопасность на всех уровнях

• Единый центр аутентификации обеспечивает безопасный доступ к API кластера, всем веб-интерфейсам и пользовательским приложениям
• Авторизация и разделение прав доступа с помощью ролевой модели
• Регулярная проверка образов на известные CVE с возможностью блокировки выката приложений
• Мультиарендность на базе проектов — типовых изолированных друг от друга окружений, созданных по заранее подготовленному шаблону
• Постоянный аудит запущенных приложений и обнаружение угроз безопасности
• Политики безопасности и операционные политики
• Удобная настройка оповещений о событиях безопасности в кластерах

Единый центр аутентификации

• Обеспечивает безопасный доступ к API кластера, всем веб-интерфейсам
и пользовательским приложениям
• Возможность создания локальных пользователей и групп. Простая выдача конфигурации подключения
• Интеграция с внешними провайдерами аутентификации (LDAP, Active Directory, OIDC и другие)
• Аутентификация для сторонних приложений

Авторизация и разделение прав доступа

• Управление доступом с помощью стандартной ролевой модели Kubernetes на уровне пространств имён кластера или всего кластера
• Семь преднастроенных ролей с тщательно продуманными правами на любой случай
• Возможность создавать свои собственные кастомные роли для ещё большей гибкости разделения прав *
• Создание и управление техническими сервисными учётными записями для взаимодействия различных информационных систем друг с другом

* в планах

Сканирование образов на уязвимости

• Регулярная проверка образов на известные CVE (включая уязвимости Astra Linux, Redos и Altlinux)
• Возможность блокирования выката приложений в случае нахождения Critical и High уязвимостей
• Возможность конвертации отчетов уязвимостей из базы CVE на данные из базы BDU и вывода их в отчёт
• Возможность подключения встроенной в DKP базы данных уязвимостей для проверки образов бизнес-приложений на этапе сборки (сама проверка при этом осуществляется сторонними средствами)

Мультиарендность на базе проектов

• Проекты — типовые изолированные друг от друга окружения, созданные по заранее подготовленному шаблону
• Полная изоляция ресурсов и политик доступа между проектами обеспечивает безопасную мультиарендность и даёт разработчикам возможность запускать приложения без влияния на другие проекты
• Возможность устанавливать квоты на ресурсы и ограничения для каждого проекта предотвращает избыточное использование ресурсов.
• Разработчики могут запрашивать у администраторов проекты, созданные по готовым шаблонам, что позволяет быстро начать разработку нового приложения

Аудит запущенных приложений
и обнаружение угроз безопасности

• Анализ событий ядра Linux
• Аудит вызовов API Kubernetes
• Обнаружение событий безопасности по установленным правилам:
  • Попытки применения уязвимостей из базы CVE и запуска криптовалютных майнеров
  • Запущенные оболочки командной строки
  • Контейнеры, работающие в привилегированном режиме
  • Монтирование небезопасных путей (например, /proc) в контейнеры
  • Попытки чтения секретных данных из, например, /etc/shadow

Политики безопасности и операционные политики

• Возможность использовать одну из трёх предустановленных политик безопасности Pod Security Standards или настроить собственные политики
• Набор операционных политик и лучших практик для безопасной работы ваших приложений:

Оповещения о событиях безопасности

• Гибкий сбор логов аудита, их обработка и доставка в SIEM-системы
• Встроенные метрики и возможность собирать любые пользовательские метрики
• Удобная настройка оповещений о событиях ИБ в кластерах

Контроль конфигураций на соответствие CIS Benchmark

Раз в сутки все кластеры проверяются на соответствие рекомендациям CIS Benchmark* и результаты проверки выводятся на дашборд подсистемы мониторинга. Проверяются:

• Все компоненты управляющего слоя Kubernetes
• Настройки аутентификации и авторизации
• Настройки логирования и аудита
• Конфигурация рабочих узлов
• Корректность политик: безопасности, операционных и сетевых
• Работа с секретами в кластере

* Полный перечень проверок

Ядро платформы

• Преобразует различные инфраструктуры в стандартизированный формат, предоставляя бизнес-приложениям полную независимость от инфраструктуры
• Настраивает и управляет компонентами Kubernetes, предоставляя выбор из четырёх версий k8s в рамках одной версии платформы
• Оператор DKP обеспечивает «автопилотирование» всех компонентов платформы, предоставляя автоматизацию пятого уровня по шкале от Operator Framework
• Модульная архитектура позволяет гибко конфигурировать платформу под ваши задачи, а также значительно упрощает доставку и обновление прикладного ПО, благодаря возможности «упаковать» приложение в модуль DKP

Настраивает и управляет компонентами Kubernetes

• Control plane Kubernetes полностью под управлением Deckhouse, что обеспечивает отказоустойчивость и управление жизненным циклом кластера
• Все ручные операции автоматизированы: создание и ротация сертификатов,
масштабирование и восстановление кластера
• Поддержка не менее четырёх версий Kubernetes в каждой версии платформы — обновляйтесь, когда вам удобно
• Каждая версия сертифицирована CNCF, что гарантирует совместимость приложений

Упрощает доставку и обновление прикладного ПО

• Простой фреймворк для написания собственных модулей к платформе: унифицированное описание и полная валидация конфигурации
• Удобный механизм доставки ваших модулей и вендорского ПО, в том числе в закрытый контур
• Постоянный контроль и приведение состояния модуля к желаемому исключают внесение ручных изменений
• Гарантированная совместимость всего запускаемого ПО с платформой
• Продуманный механизм обновления для закрытых окружений из единого реестра образов
• Простое добавление модуля во внутренний маркетплейс в кластере 
с возможностью включения/отключения модуля одной кнопкой *

* в планах

Превращает любую
инфраструктуру в стандартную

Графический интерфейс пользователя