Se deben implantar procedimientos y medidas para gestionar de forma segura la instalación de software en los sistemas en producción.
Despliegues controlados y verificados
El software de Kubernetes y los charts de Helm siguen un flujo GitOps con permisos restringidos, fuentes verificadas y firma criptográfica. ArgoCD impone un estado deseado coherente en todos los clústeres.
El software y los paquetes de los servidores solo se instalan mediante roles de Puppet aprobados y repositorios de confianza. Se aplican configuraciones a nivel de sistema operativo para impedir instalaciones no autorizadas.
Actualizaciones semanales de versiones y despliegues por fases
Con KubeAid, más de 50 aplicaciones actualizan cada semana sus etiquetas de versión. Estas actualizaciones se sincronizan con ArgoCD y se despliegan dentro de las ventanas de servicio definidas para cada clúster, de pruebas → producción, mediante despliegues versionados y por fases que garantizan la estabilidad y la fiabilidad del clúster.
Las actualizaciones de los servidores se realizan en ventanas de servicio planificadas, con despliegues versionados y por fases desde los entornos de pruebas y validación hasta producción, para mantener la estabilidad operativa.
Soporte para operación aislada (seguridad de la cadena de suministro)
Desplegamos Harbor autoalojado como registro privado de contenedores para los clústeres, lo que permite operar en entornos aislados (air-gapped) en los que los nodos de Kubernetes no necesitan acceso directo a internet y aun así reciben imágenes verificadas y firmadas.
LinuxAid proporciona un servidor de repositorios para entornos aislados, instantáneas automáticas y paquetes firmados con GPG para los servidores. Los commits se validan en runners separados para impedir que entre código malicioso en las versiones de los servidores, lo que garantiza un suministro de software seguro y controlado.