Kubernetes-Umgebungen sichern
Container-Vorteile nicht verspielen
Fortsetzung des Artikels von Teil 1
Was und wie sichern?
Die Kubernetes-Umgebung verändert sich dynamisch und ist per Definition als Cloud-Umgebung im Sinne einer Private, Public oder Hybrid Cloud konzipiert. Ein Backup-Konzept für Kubernetes muss diese Architektur berücksichtigen und eng mit dem Cluster verflochten sein. Das Backup-Konzept sollte den nativen Möglichkeiten von Kubernetes entsprechen und in einer schlanken und ressourcenschonenden Implementierung mit dem Master über die zur Verfügung stehenden Automatisierungsschnittstellen kommunizieren.
Den größten Kubernetes-Marktanteil hat Red Hat Openshift, wobei auch VMware mit Tanzu immer stärker in den hiesigen Markt drängt. Man sollte berücksichtigen, dass eine Backup-Lösung für die am häufigsten produktiv genutzten Distributionen zertifiziert ist. Ein Backup-System sollte zudem mit etablierten Standards wie Velero interagieren, jedoch auch durch intelligente Ergänzungen adaptive Vorteile liefern. Die Anbindung an ein durch das Backup gesteuertes Retention-Management mit Replikationsmöglichkeiten beispielsweise hilft, die Bedrohung durch Ransomware zu adressieren. Die 3-2-1-Regel ist hierbei elementar und sollte bei der Definition der Backup-Strategie Berücksichtigung finden. Ein Backup Data Mover kann einen weiteren Vorteil für die zukunftsorientierte Kubernetes-Planung bieten. Dieser erlaubt es, die Bandbreite der Backup-Storage-Ziele auf die vom Anbieter unterstützte Kompatibilität zu erweitern. Dadurch lässt sich Kubernetes Ende-zu-Ende in ein zentrales Backup- und Recovery-Konzept einbinden.
In der Praxis sind Namespaces meist als Projekte oder Applikationen definiert. Namespaces sind die Bestandteile einer Kubernetes-Umgebung, die durch die eingebundenen Pods, Container, Konfigurationsinformationen und dem zugehörigen Storage den eigentlichen Geschäftswert liefern. Über die in einem eigenen Namespace integrierte Schnittstelle zur zentralen Backup-Plattform, die im Cluster integriert ist, lassen sich Vorteile generieren, die die Leistung des Clusters an sich kaum beeinträchtigen. Dazu gehören das Discovery des Clusters, das Erstellen des Backups durch manuelle und geplante Abläufe sowie das Recovery. Um die Applikationen ganzheitlich zu schützen, ist es von Bedeutung, dass der vollständige Namespace mit allen Komponenten gesichert ist. Gleichzeitig sollte es im Recovery-Fall möglich sein, dass auch die persistenten Volumes unabhängig vom Namespace wiederherstellbar sind.
Unerlässlich für die Agilität, was eines der Hauptargumente für Kubernetes ist, bleibt, dass das Wiederherstellen von Namespaces auch auf alternative Cluster möglich ist. Die Betrachtung des Namespaces als ganzheitliches Asset ermöglicht dementsprechend, dass die Skalier- und Portierbarkeit jeder Kubernetes-Umgebung gewahrt bleiben. Die Kommunikation zwischen Backup-Software und Kubernetes-Master sollte über abgestimmte Zertifikate und Berechtigungen aufgebaut sein. So kann der Backup-Dienst direkt mit dem Kubernetes-Master kommunizieren und essenzielle Informationen gewinnen, die für den Betrieb und die Sicherheit wichtig sind. Die gegenseitige Authentifizierung des Kubernetes-Clusters und des Backup-Systems geschieht mit Hilfe von standardbasierten Tokens und CA-Zertifikaten. Auf diese Weise lässt sich eine sichere Beziehung etablieren, und der Datenaustausch ist mit höchsten Sicherheitsstandards verschlüsselbar. Die Zugriffsrechte der jeweiligen Nutzer sollten nur jene Ressourcen der Kubernetes-Umgebung freischalten, die der User seiner Rolle entsprechend verwalten oder nutzen darf. Das bedeutet, dass ein Backup-Nutzer für Kubernetes nur die jeweiligen Namespaces und Persistent Storage Volumes des zugeordneten Clusters angezeigt bekommt, für die er der definierten Rolle entsprechend verantwortlich ist. Ebenso genau definieren lassen sich Konfigurationsprivilegien, um beispielsweise neue Berechtigungen zu hinterlegen, einen neuen Cluster in die Backup-Software aufzunehmen oder Cluster zu betreiben. Diese Rollen und Privilegien sollte das Backup-System über einen rollenbasierten Zugriff realisieren.
Außerdem sollte eine regelmäßige Untersuchung des Backup-Konzepts per automatischem Discovery-Prozess erfolgen, um neu angelegte Namespaces in den Clustern aufzuzeigen. Ein einwandfreies Zusammenspiel zwischen Kubernetes-Distribution und Backup-Lösung ist dazu essenziell, weshalb eine durch den Backup-Hersteller zertifizierte Funktion wichtig ist. Perspektivisch sollten Ansätze gegeben sein, über additive Automatisierungen logische Selektionen mit der Zuordnung der richtigen Backup-Pläne intelligent zu neuen Namespaces zuzuweisen. Das reduziert das Risiko in zukünftig dynamisch wachsenden Kubernetes-Farmen, ein Projekt oder eine Applikation nicht ordnungsgemäß gesichert zu haben. Zudem entlasten solche Automatismen die IT-Teams und senken das Risiko eines Datenverlusts für agil und dynamisch arbeitende DevOps-Teams.
Pflegen und ausbalancieren
Durch eine enge, zertifizierte Integration aus Distribution und Backup-Konzept lassen sich viele Automatismen durchsetzen und der Charakter von Kubernetes bleibt gewahrt. Außerdem lassen sich im Alltag erfolglose Backup-Prozesse automatisch zeitgesteuert neu starten, um die Verantwortlichen weiter zu entlasten. Die Datenschutz-Plattform NetBackup von Veritas beispielsweise liefert diese Vorteile und dehnt sie auf alle anderen alten und neuen Workloads im Unternehmen aus. Der hohe Grad an Automatisierung und die enge Integration in Legacy-Systeme und virtuelle Umgebungen reduzieren den Aufwand und die Kosten des Backups. Zudem fallen keine kritischen Systeme und wichtige Dateien durch das Backup-Raster. Auf diese Weise gewinnen Firmen, die bereits in der Produktion Kubernetes einsetzen, die Gewissheit: Auch wenn Ransomware oder menschliche Fehler wichtige Daten in ihrer Micro-Service-Landschaft korrumpieren, werden sie diese Daten zuverlässig wiederherstellen können.
Patrick Englisch ist Technical Director DACH bei Veritas Technologies.
- Container-Vorteile nicht verspielen
- Was und wie sichern?
Lesen Sie mehr zum Thema
