Er moeten procedures en maatregelen worden geïmplementeerd om de installatie van software op operationele systemen veilig te beheren.
Gecontroleerde en geverifieerde uitrol
Kubernetes-software en Helm-charts volgen een GitOps-workflow met beperkte rechten, geverifieerde bronnen en cryptografische ondertekening. ArgoCD dwingt een consistente gewenste staat af in alle clusters.
Serversoftware en pakketten worden alleen geïnstalleerd via goedgekeurde Puppet-rollen en vertrouwde repository's. Configuraties op OS-niveau worden afgedwongen om ongeautoriseerde installaties te voorkomen.
Wekelijkse versie-upgrades en gefaseerde uitrol
Met KubeAid krijgen meer dan 50 applicaties wekelijks bijgewerkte versietags. Deze updates worden gesynchroniseerd met ArgoCD en per cluster uitgerold binnen vastgestelde servicevensters, van test → productie, met geversioneerde, gefaseerde uitrol om de stabiliteit en betrouwbaarheid van clusters te waarborgen.
Serverupdates vinden plaats in geplande servicevensters, met geversioneerde, gefaseerde uitrol van test/validatie naar productie om de operationele stabiliteit te behouden.
Ondersteuning voor air-gapped werken (beveiliging van de supply chain)
Zelf gehoste Harbor wordt uitgerold als privé-containerregistry voor clusters, wat air-gapped werken mogelijk maakt: Kubernetes-nodes hebben geen directe internettoegang nodig en krijgen toch geverifieerde, ondertekende images.
LinuxAid biedt een repositoryserver voor air-gapped werken, automatische snapshots en GPG-ondertekende pakketten voor servers. Commits worden op aparte runners gevalideerd om te voorkomen dat kwaadaardige code in serverreleases terechtkomt, wat zorgt voor een veilige, gecontroleerde softwarelevering.