Instalowanie oprogramowania w systemach produkcyjnych
Należy wdrożyć procedury i środki bezpiecznego zarządzania instalowaniem oprogramowania w systemach produkcyjnych.
Kontrolowane i zweryfikowane wdrożenia
Oprogramowanie Kubernetes i charty Helm przechodzą przez proces GitOps z ograniczonymi uprawnieniami, zweryfikowanymi źródłami i podpisami kryptograficznymi. ArgoCD egzekwuje spójny stan docelowy we wszystkich klastrach.
Oprogramowanie i pakiety serwerowe są instalowane wyłącznie przez zatwierdzone role Puppet i z zaufanych repozytoriów. Konfiguracje na poziomie systemu operacyjnego są egzekwowane, aby zapobiec nieuprawnionym instalacjom.
Cotygodniowe aktualizacje wersji i etapowe wdrożenia
W KubeAid ponad 50 aplikacji ma co tydzień aktualizowane tagi wersji. Te aktualizacje są synchronizowane przez ArgoCD i wdrażane w ustalonych oknach serwisowych dla każdego klastra, przechodząc od testu do produkcji (test → produkcja) w wersjonowanych, etapowych wdrożeniach, co zapewnia stabilność i niezawodność klastrów.
Aktualizacje serwerów odbywają się w zaplanowanych oknach serwisowych, w wersjonowanych, etapowych wdrożeniach od środowisk testowych i walidacyjnych do produkcji, aby zachować stabilność operacyjną.
Obsługa pracy bez dostępu do sieci (bezpieczeństwo łańcucha dostaw)
Hostowany u siebie Harbor jest wdrażany jako prywatny rejestr kontenerów dla klastrów, umożliwiając pracę w trybie air-gapped, w której węzły Kubernetes nie potrzebują bezpośredniego dostępu do internetu, a mimo to dostają zweryfikowane, podpisane obrazy.
LinuxAid zapewnia serwer repozytoriów do pracy w trybie air-gapped, automatyczne snapshoty i pakiety podpisane GPG dla serwerów. Commity są weryfikowane na osobnych runnerach, aby złośliwy kod nie trafił do wydań serwerowych, co zapewnia bezpieczny i kontrolowany łańcuch dostaw oprogramowania.