Arquitetura

Devido a essa infraestrutura compartilhada, o CNI é o mesmo que o configurado no cluster host. O mesmo se aplica ao armazenamento disponível, onde as Classes de Armazenamento e Volumes são os do cluster host.

Para fornecer a isolação necessária, o K3k utiliza Políticas de Rede.

No modo compartilhado, o K3k utiliza 'ResourceQuotas' e 'LimitRanges' do Kubernetes para gerenciar o compartilhamento de recursos e impor limites. Como todas as cargas de trabalho do cluster virtual são executadas dentro do mesmo namespace no cluster host, os ResourceQuotas são aplicados a este namespace para limitar os recursos totais consumidos por um cluster virtual. LimitRanges são usados para definir solicitações e limites de recursos padrão para pods, garantindo que as cargas de trabalho tenham alocações razoáveis de recursos, mesmo que não as especifiquem explicitamente.

Cada pod em um cluster virtual recebe um nome único que incorpora o nome do pod, o namespace e o nome do cluster. Isso previne colisões de nomes no namespace do cluster host compartilhado.

É importante entender que os ResourceQuotas são aplicados no nível do namespace. Isso significa que todos os pods dentro de um cluster virtual compartilham a mesma cota. Embora isso forneça limites gerais para o cluster virtual, também significa que a alocação de recursos é dinâmica. Se uma carga de trabalho não estiver utilizando toda a sua alocação de recursos, outras cargas de trabalho dentro do mesmo cluster virtual podem utilizar esses recursos, mesmo que pertençam a diferentes implantações ou serviços.

Esse compartilhamento dinâmico pode ser tanto um benefício quanto um desafio. Permite uma utilização eficiente dos recursos, mas também pode levar a um desempenho imprevisível se as cargas de trabalho tiverem demandas de recursos variadas. Além disso, essa abordagem dificulta garantir um isolamento rigoroso de recursos entre as cargas de trabalho dentro do mesmo cluster virtual.

O isolamento entre clusters virtuais em modo compartilhado depende fortemente das Políticas de Rede do Kubernetes. As Políticas de Rede definem regras que controlam o tráfego de rede permitido para e de pods. K3k configura as Políticas de Rede para garantir que pods em um cluster virtual não possam se comunicar com pods em outros clusters virtuais ou com pods no próprio cluster host, proporcionando uma base sólida para o isolamento de rede.

Embora as Políticas de Rede ofereçam capacidades robustas de isolamento, é importante entender suas características:

K3k também utiliza a Admissão de Segurança de Pods do Kubernetes (PSA) para impor políticas de segurança dentro dos clusters virtuais com base nos Padrões de Segurança de Pods (PSS). Os PSS definem diferentes níveis de segurança para pods, restringindo quais ações os pods podem realizar. Ao configurar o PSA para impor um nível específico de PSS (por exemplo, baseline ou restricted) para um cluster virtual, o K3k garante que os pods sigam as melhores práticas de segurança estabelecidas e evita que utilizem recursos privilegiados ou realizem operações potencialmente perigosas.

Os principais aspectos da integração do PSA incluem:

A arquitetura do modo compartilhado é projetada com a segurança em mente. O K3k emprega múltiplas camadas de controles de segurança, incluindo Políticas de Rede e PSA, para proteger clusters virtuais e o cluster host. Embora o modelo de namespace compartilhado exija configuração e gerenciamento cuidadosos, esses controles fornecem uma base de segurança robusta para executar cargas de trabalho em um ambiente multi-inquilino. O K3k avalia e aprimora continuamente seus mecanismos de segurança para enfrentar ameaças em evolução e garantir o mais alto nível de proteção para seus usuários.

Clusters virtuais no modo virtual possuem cada um sua própria configuração de rede independente gerenciada por seus respectivos servidores K3s. Cada cluster virtual executa seu próprio plugin CNI, configurado dentro de seu servidor K3s, proporcionando completo isolamento de rede em relação a outros clusters virtuais e ao cluster host. Embora as redes dos clusters virtuais operem, em última análise, sobre a infraestrutura de rede do cluster host, a configuração de rede e o gerenciamento de tráfego são totalmente separados.

O compartilhamento de recursos no modo virtual é gerenciado aplicando limites de recursos aos pods que compõem o cluster virtual (tanto o pod do servidor K3s quanto os pods agentes K3s). Cada pod recebe uma quantidade específica de CPU, memória e outros recursos. As cargas de trabalho executadas dentro do cluster virtual utilizam esses recursos alocados. Isso significa que o cluster virtual como um todo possui um pool de recursos definido, determinado pelos limites de seus pods constituintes.

Essa abordagem fornece uma maneira clara e direta de controlar os recursos disponíveis para cada cluster virtual. No entanto, requer um planejamento cuidadoso de recursos para garantir que cada cluster virtual tenha capacidade suficiente para suas cargas de trabalho.

O modo virtual oferece forte isolamento devido aos clusters K3s dedicados implantados para cada cluster virtual. Como cada cluster virtual executa seu próprio plano de controle e nós de trabalho separados, as cargas de trabalho estão efetivamente isoladas umas das outras e do cluster host. Essa arquitetura minimiza o risco de um cluster virtual impactar outros ou o cluster host.

A segurança no modo virtual se beneficia do isolamento inerente proporcionado pelos clusters K3s separados. No entanto, as melhores práticas de segurança padrão do Kubernetes ainda se aplicam, e o K3k enfatiza uma abordagem de segurança em camadas. Embora os pods do servidor K3s frequentemente operem com privilégios elevados (devido à natureza de sua função, que requer acesso a recursos do sistema), o K3k recomenda minimizar esses privilégios sempre que possível e aderir ao princípio do menor privilégio. Isso pode ser alcançado configurando cuidadosamente as capacidades necessárias em vez de depender do modo privileged completo. Mais informações sobre as melhores práticas de segurança do K3s podem ser encontradas na documentação oficial do K3s: https://docs.k3s.io/security (Este link fornece orientações gerais de segurança, incluindo discussões sobre capacidades e outros tópicos relevantes).

Atualmente, a segurança no modo virtual apresenta um risco de escalonamento de privilégios, uma vez que os pods do servidor operam com privilégios elevados devido à natureza de sua função, que requer acesso a recursos do sistema.