Privatus EKS ir RDS: ką iš tikrųjų reiškia „paruošta produkcijai“
Tinklo ribos, išeinančio srauto keliai ir patikros, kurios klasterį paverčia sistema, su kuria galima ramiai miegoti
„Turime EKS ir RDS“ dar nėra produkcijos istorija. Paruošta produkcijai reiškia, kad duomenų sluoksnis privatus, įeinantis srautas apgalvotas, išeinantis – apskaitomas, o gedimai pakankamai nuobodūs, kad dėl jų vertėtų kelti budintįjį. Mūsų atvirojo kodo aws-eks-foundation darbas fiksuoja būtent tokią formą: tai ne kliento istorija su išgalvotais veikimo laiko pažadais.
Privatumas pagal nutylėjimą prasideda nuo tinklo
Darbiniai mazgai ir RDS turi gyventi privačiuose potinkliuose be viešų IP adresų. Viešas turi būti tik tas taškas, kuriam to tikrai reikia – dažniausiai apkrovos balansuoklis, – ir jis sėdi viešuose potinkliuose už Internet Gateway. Duomenų bazės – niekada.
Traktuokite VPC kaip eismo juostas: įeinantis srautas per ALB, privatūs skaičiavimai su RDS kalbasi pagal saugumo grupių taisykles, o išeinantis srautas atsisiuntimams ar webhook užklausoms eina per NAT, o ne suteikiant kiekvienam podui viešą adresą.
Saugumo grupė: RDS pasiekiamas tik iš mazgų grupės
Loading code…Išeinantis srautas yra produkto sprendimas
Privatiems klasteriams vis tiek reikia išeinančio kelio: konteinerių registrai, sistemos atnaujinimai, trečiųjų šalių API. Nukreipkite juos per NAT (arba per VPC galinius taškus, kur įmanoma) ir užrašykite, kas leidžiama. Neribotas išeinantis srautas – būdas paslaptims tyliai išeiti.
VPC galinius taškus S3 ir ECR rinkitės tada, kai tai pateisina srauto kiekis arba saugumo reikalavimai. Pirmiausia išmatuokite, o ne mechaniškai kopijuokite kiekvieną galinį tašką į kiekvieną paskyrą.
Valdymo sluoksnio higiena
Kubernetes ir priedų versijas fiksuokite sąmoningai. Ribokite, kas gali kalbėtis su API serveriu. Diegimo prisijungimus atskirkite nuo žmonių administratorių rolių. Šifruokite paslaptis saugykloje, o podų prieigą prie AWS pagal nutylėjimą tvarkykite per IRSA ar analogą – statiniai raktai konfigūracijos failuose yra žingsnis atgal.
Tarnybinė paskyra su IRSA anotacija
Loading code…Įrodykite prieš vadindami paruoštu
Paruošta produkcijai apima RDS atkūrimo pratybas, mazgų ištuštinimo repeticijas ir aprašytą prisijungimo duomenų keitimo tvarką. Jei visa tai „padarysime vėliau“, klasteris tebėra prototipas: naudingas, bet nebaigtas.
Apibendrinimas
Produkcijai paruoštas privatus EKS ir RDS – tai ribos plius disciplina: privatūs duomenų keliai, apgalvotas įeinantis srautas, apskaitomas išeinantis srautas, tapatybė be statinių raktų ir pratybos, įrodančios, kad atkūrimas veikia. Architektūros diagramos be šių patikrų tėra svajonių menas.
Susiję straipsniai
Stebėsena mažoms produkto komandoms
Pėdsakai, metrikos ir įspėjimai pagal komandą, kuri vis dar kas savaitę išleidžia naujas funkcijas
CI patikros, kurios sustabdo blogus diegimus
Tegul CI patikros sąmoningai sustabdo blogus diegimus – kol produkcija netampa pirmuoju tikrintoju
Norite, kad jūsų produktas būtų toks pat apgalvotas?