云原生丨必须要考虑的10 个 Kubernetes 集群最佳实践！

ゞ浴缸里的玫瑰 2023-10-02 23:06 24阅读 0赞

本文将讨论设置 Kubernetes 集群时必须要考虑的一些high-level的Kubernetes 集群的最佳实践。

当我们要设置Kubernetes 集群时，遵循最佳实践是一个非常重要的。

以下是**10 个 Kubernetes 集群最佳实践**。

***一、Kubernetes 网络（云、混合或本地）***

Kubernetes 网络的设计必须要能够适应未来的集群和应用程序需求。

经常会犯的一个 Kubernetes 网络错误，是使用不属于组织网络的 CIDR 范围。而将来想要集群处于混合网络中时，就需要迁移。所以，最好在最终确定网络设计之前就与网络团队进行讨论，这样就也可以划分和保留 IP 范围。

每个云提供商都为 Node 和 Pod 网络提供了多种选择，例如：Google Kubernetes Engine 提供多集群服务、具有来自同一 VPC 和对等 VPC 的可路由 pod IP 的 VPC 原生集群。

但是，如果你不想公开你的 pod IP，你可能需要在集群中使用IP 伪装代理之类的东西，以便传出流量始终将节点 IP 作为源身份。

此外，入口和出口流量设计也是必不可少的。你可能需要从集群应用程序连接 API 网关、本地系统、代理服务器和第三方 API。你的设计应包括所有访问要求，以便你在实施过程中不会遇到任何访问限制。

####  ####

***二、Kubernetes 安全性、合规性和基准***

以下是通用的 Kubernetes 安全最佳实践：

*  *根据组织的政策了解合规性要求和安全基准。如果你使用托管服务，请确保它符合组织的合规策略*
 *  *你可以查看kubernetes 的 CIS 基准。此外，Aquasec 有一个名为Kube-bench的实用程序，用于针对 kubernetes 集群检查 CIS 基准*
 *  *会有任何 PCI/PII 数据应用程序吗？如果是，则根据组织策略在访问和存储方面隔离这些应用程序*
 *  *实现 pod 安全性（禁用容器 root 访问、特权访问、只读文件系统等）*
 *  *安全地访问容器注册表*
 *  *实施网络策略以控制 pod 到 pod 的流量并根据访问要求隔离应用程序*
 *  *精心设计的 CI/CD管道，以确保仅在集群中部署经过批准的容器镜像。如果镜像扫描未能满足安全要求，则应扫描容器以查找漏洞并通过 CI 流程*
 *  *在开始实施之前，与组织的安全专家进行讨论并获得设计和工具的批准*

***三、Kubernetes 集群访问***

设计和记录 Kubernetes 集群的访问方式非常重要。

以下是主要的考虑因素：

*  *限制手动集群管理员访问，相反，仅应通过自动化允许集群管理员访问*
 *  *实施 RBAC 的授权并将其与组织的 IAM 集成*
 *  *允许通过具有有限权限的服务帐户访问 Kubernetes API* 
 *  *使用Open Policy Agent或Kyverno等 cncf 工具为细粒度的访问控制实施基于策略的访问*
 *  *考虑 openID 连接的选项*
 *  *具有良好的审核机制，用于检查角色并删除未使用的用户、角色、服务帐户等*

设计访问级别，以便你可以将职责移交给使用集群的其他团队。这将为每个人节省时间，并且你可以将更多精力放在工程标准上，而不是重复执行任务。

***四、Kubernetes 高可用性和可扩展性***

***高可用性是 Kubernetes 集群中的另一个关键因素***。

在这里，你需要考虑跨不同可用区的工作程序节点可用性。此外，请考虑使用 Pod 拓扑传播约束将 Pod 传播到不同的可用区。

当我们谈论扩展时，它不仅仅是实例或 Pod 的自动扩展。这意味着你可以如何优雅地缩小和扩大应用程序而不会中断任何服务。

根据需要在 Kubernetes 上托管的应用程序类型，你可以设计部署以在缩减和修补活动期间优雅地驱逐 pod。

此外，考虑在生产前进行混沌工程实验，以检查集群和应用程序的稳定性。

***五、Kubernetes 入口***

Ingress 是 Kubernetes 集群的重要组成部分。有很多方法可以设置 kubernetes 入口。

此外，还有不同类型的入口控制器。

你可以尝试适合你组织的合规性策略和扩展要求的最佳选项。

有几点考虑：