Porovnanie nástrojov na vynútenie politík pre Kubernetes klastre v podnikovom prostredí

Bc. Michal Čaniga

Master's thesis

Comparison of policy engines for enterprise scale Kubernetes clusters

Abstract:

Monolithic applications are becoming a rarity in practice. The impossibility of scaling specific parts, the close connection of parts of the system are making it difficult to introduce changes in the system, the complex collaboration of a number of teams over one source code and other practical problems with their properties led to the division of the system into separate, smaller applications, communicating using interfaces that we call microservices. However, dividing the system into smaller, independently executable units means creating an often large number of containers. Container management is facilitated by orchestration tools. One of the orchestration tools for large distributed systems is the Kubernetes tool. Kubernetes provides a wide range of components, services and functions for reliable system operation. The default setting prefers user-friendliness, quick and easy deployment of a functional system over the Secure-by-Default approach. The production systems of large corporations need a platform that will be secure and ready for the coexistence of multiple teams. One of the solutions for securing the platform and enabling the existence of multiple teams within it is to introduce tools for central configuration management and policy enforcement. Policies allow you to define the required security settings and automatically reject a misconfigured component, ideally providing the user with a procedure to configure the component according to established policies. The aim of this work is to approach the theme of security policies in the Kubernetes system, to present various tools for declaring and enforcing policies, together with a comparison of their use with regard to large organizations and systems. The practical output of the work is a cluster security test tool that will help cluster providers to detect the emergence of potential threats when deploying applications with incorrect configuration.

Abstract:

Monolitické aplikácie v praxi začínajú byť raritou. Nemožnosť škálovania špecifických častí, úzke previazanie častí systému spôsobujúce obtiažne zavedenie zmien v systéme, zložitá kolaborácia množstva tímov nad jedným zdrojovým kódom a ďalšie praktické problémy s ich vlastnosťami viedli k rozdeleniu systému na samostatné, menšie aplikácie, komunikujúce pomocou rozhraní, ktoré voláme mikroslužby. Rozdelenie systému na menšie, samostatne spustiteľné celky však znamená vytvorenie často veľkého množstva kontajnerov. Správu kontajnerov uľahčujú orchestračné nástroje. Jedným z orchestračných nástrojov pre veľké distribuované systémy je nástroj Kubernetes. Kubernetes poskytuje širokú škálu komponentov, služieb a funkcií pre spoľahlivý chod systému. Východzie nastavenie preferuje užívateľskú prívetivosť, rýchle a jednoduché nasadenie funkčného systému pred Secure-by-Default prístupom. Produkčné systémy veľkých korporácií potrebujú platformu, ktorá bude bezpečná a pripravená pre koexistenciu viacerých tímov. Jedným z riešení pre zabezpečenie platformy a umožnenia existencie viacerých tímov v rámci nej je zaviesť nástroje pre centrálne riadenie konfigurácie a vynútenie politík. Politiky umožňujú definovať vyžadované bezpečnostné nastavenia a automaticky odmietnuť komponent s nesprávnou konfiguráciou, ideálne poskytnú používateľovi postup, ktorým komponent nakonfiguruje podľa zavedených politík. Cieľom tejto práce je priblížiť tematiku bezpečnostných politík v systéme Kubernetes, predstaviť rôzne nástroje na deklaráciu a vynútenie politík spolu s porovnaním ich využitia s ohľadom na veľké organizácie a systémy. Praktickým výstupom práce je nástroj pre bezpečnostný test klastra, ktorý pomôže poskytovateľom klastra detekovať vznik potencionálnych hrozieb pri nasadzovaní aplikácií s nesprávnou konfiguráciou.

Keywords

Security, Distributed Systems, Microservices, Kubernetes, Oracle

Language used: Slovak

Date on which the thesis was submitted / produced: 15. 12. 2023

Thesis defence

• Date of defence: 12. 2. 2024
• Supervisor: RNDr. Marek Kumpošt, Ph.D.
• Reader: RNDr. Andrij Stecko, Ph.D.

Masaryk University

Faculty of Informatics

Master programme / field:
Software Engineering / Design and development of software systems