Deckhouse
Kubernetes Platform

Графический интерфейс администратора

Совокупность тесно связанных компонентов

• Компоненты тестируются на совместимость и обновляются вместе 
с платформой.
• Поставка напрямую из репозитория вендора внутри одного пакета установки.
Никакие модули не ставятся из интернета.
• Все компоненты специальным образом настроены и интегрированы 
для совместной работы.
• Сквозной контроль работоспособности и SLA по всем компонентам.
• Плюс документация, продуманные алерты, готовые дашборды мониторинга 
и так далее.

Программно-определяемая сеть

• Маршрутизация и балансировка внутреннего трафика.
• Отказоустойчивая балансировка входящего TCP/UDP-трафика в любых инсталляциях.
• Управление сетевыми политиками, автогенерация политик.
• Визуализация сетевых взаимодействий.
• Сегментация сети в кластере на уровне проектов (VLAN).
• Отказоустойчивый сетевой шлюз для исходящего трафика. *
• Централизованная настройка и управление таблицами маршрутизации в кластере. *
• Встроенный сетевой шлюз и DHCP-сервер для узлов кластера. *
• Гомогенизация сетевого ландшафта за счёт унификации конфигураций 
(Cilium + VXLAN). *

* в планах

Сквозная наблюдаемость

• Готовые метрики, алерты и дашборды визуализации для всех компонентов платформы «из коробки» с любой степенью детализации.
• Все возможности для мониторинга пользовательских приложений.
• Встроенное хранилище метрик высокой детализации (30 секунд)
и долгосрочное хранилище метрик низкой детализации (5 минут).
• Возможность отправки метрик и алертов во внешние системы.
• Кэширование запросов к Prometheus.

Журналирование

• Система сбора, парсинга и фильтрации журналов для распределённых систем.
• Встроенное хранилище журналов.
• Возможность отправки журналов во внешние хранилища.
• Отправка оповещений на основе данных журналов.
• Удобный просмотр и визуализация журналов в реальном времени.

Управление сертификатами

• Заказ, отслеживание сроков действия и автоматическое обновление 
SSL-сертификатов.
• Интеграция с различными CA-сервисами, такими как Let’s Encrypt, Vault, или корпоративным центром сертификации.
• Сертификаты могут использоваться как для защиты связи между службами внутри платформы, так и для обеспечения безопасного доступа пользователей к приложениям через TLS/SSL.
• Параметры заказа сертификатов могут быть настроены на уровне всей платформы или индивидуально для каждого приложения.

Программно-определяемое хранилище

Резервное копирование и восстановление

• Возможность резервного копирования etcd и восстановления из бэкапа.
• Резервное копирование и восстановление сертификатов. *
• Резервное копирование и восстановление PV. *
• Резервное копирование и восстановление манифестов. *

* в планах

Инструменты для построения DevSecOps-конвейера

1. Как упаковать приложения

2. Как доставить приложения

Балансировка входящего трафика

• Обеспечивает управление маршрутизацией HTTP- и HTTPS-трафика.
• Позволяет определять правила маршрутизации на основе путей URL и хостов.
• Обеспечивает отказоустойчивую балансировку нагрузки и терминацию SSL/TLS для защиты трафика.
• Заказ балансировщика и настройка правил производятся в режиме самообслуживания через единый API Kubernetes, упрощая управление
и контроль доступа к приложениям.
• Глубокая интеграция с платформой мониторинга и проработанные панели графиков позволяют быстро находить и диагностировать проблемы в работе приложений.

Управление виртуальными машинами

• Возможность запуска приложений, которые по каким-то причинам нельзя или сложно запустить в контейнере, в виртуальных машинах.
• Возможность запуска приложений на отличных от Linux операционных системах.
• Возможность запуска виртуальных машин и контейнеризованных приложений в одном окружении.
• Декларативное создание и управление виртуальными машинами и их ресурсами.
• Интеграция с имеющейся экосистемой Deckhouse, позволяющая использовать ее возможности для виртуальных машин.

Комплексная безопасность на всех уровнях

• Единый центр аутентификации обеспечивает безопасный доступ к API кластера, всем веб-интерфейсам и пользовательским приложениям.
• Авторизация и разделение прав доступа с помощью ролевой модели.
• Регулярная проверка образов на известные CVE с возможностью блокировки выката приложений.
• Мультиарендность на базе проектов — типовых изолированных друг от друга окружений, созданных по заранее подготовленному шаблону.
• Постоянный аудит запущенных приложений и обнаружение угроз безопасности.
• Политики безопасности и операционные политики.
• Удобная настройка оповещений о событиях безопасности в кластерах.

Единый центр аутентификации

• Обеспечивает безопасный доступ к API кластера, всем веб-интерфейсам
и пользовательским приложениям.
• Возможность создания локальных пользователей и групп. Простая выдача конфигурации подключения.
• Интеграция с внешними провайдерами аутентификации (LDAP, Active Directory, OIDC и другие).
• Аутентификация для сторонних приложений.

Авторизация и разделение прав доступа

• Управление доступом с помощью стандартной ролевой модели Kubernetes на уровне пространств имён кластера или всего кластера.
• Семь преднастроенных ролей с тщательно продуманными правами на любой случай.
• Возможность создавать свои собственные кастомные роли для ещё большей гибкости разделения прав. *
• Создание и управление техническими сервисными учётными записями для взаимодействия различных информационных систем друг с другом.

* в планах

Сканирование образов на уязвимости

• Регулярная проверка образов на известные CVE (включая уязвимости Astra Linux, Redos и Altlinux).
• Возможность блокирования выката приложений в случае нахождения Critical и High уязвимостей.
• Возможность конвертации отчетов уязвимостей из базы CVE на данные из базы BDU и вывода их в отчёт.
• Возможность подключения встроенной в DKP базы данных уязвимостей для проверки образов бизнес-приложений на этапе сборки (сама проверка при этом осуществляется сторонними средствами).

Мультиарендность на базе проектов

• Проекты — типовые изолированные друг от друга окружения, созданные 
по заранее подготовленному шаблону.
• Полная изоляция ресурсов и политик доступа между проектами обеспечивает безопасную мультиарендность и даёт разработчикам возможность запускать приложения без влияния на другие проекты.
• Возможность устанавливать квоты на ресурсы и ограничения для каждого проекта предотвращает избыточное использование ресурсов.
• Разработчики могут запрашивать у администраторов проекты, созданные 
по готовым шаблоны, что позволяет быстро начать разработку нового приложения.

Аудит запущенных приложений
и обнаружение угроз безопасности

• Анализ событий ядра Linux.
• Аудит вызовов API Kubernetes.
• Обнаружение событий безопасности по установленным правилам:
  • Попытки применения уязвимостей из базы CVE и запуска криптовалютных майнеров.
  • Запущенные оболочки командной строки.
  • Контейнеры, работающие в привилегированном режиме.
  • Монтирование небезопасных путей (например, /proc) в контейнеры.
  • Попытки чтения секретных данных из, например, /etc/shadow.

Политики безопасности и операционные политики

• Возможность использовать одну из трёх предустановленных политик безопасности Pod Security Standards или настроить собственные политики.
• Набор операционных политик и лучших практик для безопасной работы ваших приложений:

Оповещения о событиях безопасности

• Гибкий сбор логов аудита, их обработка и доставка в SIEM-системы.
• Встроенные метрики и возможность собирать любые пользовательские метрики.
• Удобная настройка оповещений о событиях ИБ в кластерах.

Контроль конфигураций на соответствие CIS Benchmark

Раз в сутки все кластеры проверяются на соответствие рекомендациям CIS Benchmark* и результаты проверки выводятся на дашборд подсистемы мониторинга. Проверяются:

• Все компоненты управляющего слоя Kubernetes
• Настройки аутентификации и авторизации
• Настройки логирования и аудита
• Конфигурация рабочих узлов
• Корректность политик: безопасности, операционных и сетевых
• Работа с секретами в кластере

* Полный перечень проверок

Ядро платформы

• Преобразует различные инфраструктуры в стандартизированный формат, предоставляя бизнес-приложениям полную независимость 
от инфраструктуры.
• Настраивает и управляет компонентами Kubernetes, предоставляя выбор 
из четырёх версий k8s в рамках одной версии платформы.
• Оператор DKP обеспечивает «автопилотирование» всех компонентов платформы, предоставляя автоматизацию пятого уровня по шкале от Operator Framework.
• Модульная архитектура позволяет гибко конфигурировать платформу под ваши задачи, а также значительно упрощает доставку и обновление прикладного ПО, благодаря возможности «упаковать» приложение в модуль DKP.

Настраивает и управляет компонентами Kubernetes

• Control plane Kubernetes полностью под управлением Deckhouse, что обеспечивает отказоустойчивость и управление жизненным циклом кластера.
• Все ручные операции автоматизированы: создание и ротация сертификатов,
масштабирование и восстановление кластера.
• Поддержка не менее четырёх версий Kubernetes в каждой версии платформы — обновляйтесь, когда вам удобно.
• Каждая версия сертифицирована CNCF, что гарантирует совместимость приложений.

Упрощает доставку и обновление прикладного ПО

• Простой фреймворк для написания собственных модулей к платформе: унифицированное описание и полная валидация конфигурации.
• Удобный механизм доставки ваших модулей и вендорского ПО, в том числе 
в закрытый контур.
• Постоянный контроль и приведение состояния модуля к желаемому исключают внесение ручных изменений.
• Гарантированная совместимость всего запускаемого ПО с платформой.
• Продуманный механизм обновления для закрытых окружений из единого реестра образов.
• Простое добавление модуля во внутренний маркетплейс в кластере 
с возможностью включения/отключения модуля одной кнопкой. *

* в планах

Превращает любую
инфраструктуру в стандартную

Графический интерфейс пользователя