Installazione di software sui sistemi in esercizio
Devono essere implementate procedure e misure per gestire in modo sicuro l'installazione di software sui sistemi in esercizio.
Deployment controllati e verificati
Il software Kubernetes e i chart Helm seguono un flusso GitOps con permessi limitati, fonti verificate e firma crittografica. ArgoCD garantisce uno stato desiderato coerente su tutti i cluster.
Il software e i pacchetti dei server vengono installati solo tramite ruoli Puppet approvati e repository attendibili. Le configurazioni a livello di sistema operativo vengono applicate per impedire installazioni non autorizzate.
Upgrade di versione settimanali e rilasci graduali
Con KubeAid, più di 50 applicazioni ricevono ogni settimana l'aggiornamento dei tag di versione. Questi aggiornamenti vengono sincronizzati con ArgoCD e distribuiti all'interno di finestre di servizio definite per ogni cluster, passando dal test alla produzione con rilasci graduali e versionati per garantire stabilità e affidabilità dei cluster.
Gli aggiornamenti dei server avvengono in finestre di servizio pianificate, con rilasci graduali e versionati dagli ambienti di test e validazione a quelli di produzione, per mantenere la stabilità operativa.
Supporto al funzionamento air-gapped (sicurezza della supply chain)
Harbor self-hosted è distribuito come registry di container privato per i cluster, consentendo un funzionamento air-gapped in cui i nodi Kubernetes non hanno bisogno di accesso diretto a internet pur ricevendo immagini verificate e firmate.
LinuxAid fornisce un server di repository per il funzionamento air-gapped, snapshot automatici e pacchetti firmati GPG per i server. I commit vengono convalidati su runner separati per impedire che codice malevolo entri nelle release dei server, garantendo una fornitura di software sicura e controllata.