Разворачивать инфраструктуру в корпоративных сетях со строгими правилами egress-трафика или в полностью изолированных средах всегда было нетривиальной задачей. Для решения этой проблемы Canonical представила Enterprise Store — on-premise прокси для безопасной и контролируемой дистрибуции ПО.
Новый инструмент позволяет машинам устанавливать софт и получать апдейты без прямого доступа в интернет, соблюдая жесткие протоколы информационной безопасности.
Как это работает под капотом
Enterprise Store выступает в роли пограничного узла между внутренним парком серверов и глобальными репозиториями Canonical. Архитектура решения заточена под нужды регулируемых отраслей и закрытых контуров.
Ключевые инфраструктурные возможности:
-
глубокий контроль ревизий — реализован механизм «закрепления» конкретных версий пакетов, что исключает сюрпризы и поломки зависимостей во время критических обновлений в продакшене;
-
офлайн-режим — если связности с внешним миром нет физически, обновления можно безопасно переносить в сеть вручную;
-
локальное кэширование — снижает утилизацию аплинка и кардинально ускоряет массовый деплой в кластерах, так как пакеты скачиваются извне только один раз.
Отказоустойчивость уровня Enterprise
В серьезном продакшене полагаться на единую точку отказа нельзя, поэтому Enterprise Store из коробки поддерживает работу в режиме High Availability.
Вместо одного сервера-прокси разворачивается кластер инстансов за балансировщиком нагрузки. Тот распределяет запросы и непрерывно опрашивает ноды. Согласованность данных между инстансами обеспечивают общие сервисы на бекенд. Если один из узлов падает, трафик мгновенно перенаправляется на живые машины — доставка ПО и обновлений на конечные серверы не прерывается.
Managed Kubernetes на выделенных серверах
Снизьте расходы на ИТ-инфраструктуру и улучшите производительность микросервисов.
Подробнее →
Единая точка управления для Snaps и Charms
Инструмент закрывает полный цикл жизни ПО — от доставки до эксплуатации. Enterprise Store умеет проксировать сразу два типа пакетов:
-
Snaps — самодостаточные контейнеризированные Linux-пакеты для консистентного развертывания софта от IoT-устройств до облачных виртуалок;
-
Charms — это программные операторы Juju, которые инкапсулируют логику развертывания, настройки, интеграции и масштабирования приложений, что фактически соответствует стандарту для автоматизации сложных сервисов в Kubernetes-кластерах и облачных средах.
Теперь управление как базовыми пакетами, так и сложными K8s-операторами приведено к единому подходу, который легко протащить через аудит безопасности.
Как пощупать
Enterprise Store уже доступен в рамках подписки Ubuntu Pro.
Для тестов в домашних лабораториях или пет-проектах покупать лицензию не придется: Ubuntu Pro бесплатна для личного использования с ограничением до пяти машин. Получается отличная возможность испытать технологию локально перед деплоем в корпоративную инфраструктуру.
Комментарий эксперта
Максим Сокольников
Старший фулстек инженер по тестированию
Развертывание кластеров в полностью изолированных контурах — это сложный и трудоемкий процесс, особенно когда речь заходит о финтехе, медицине или госсекторе. До сих пор поддержка актуальности базового ПО и Kubernetes-операторов в air-gapped средах требовала самописных решений с поднятием и синхронизацией локальных зеркал — это всегда и дополнительные накладные расходы, и головная боль для инженеров эксплуатации.
Появление Enterprise Store выглядит как логичная и долгожданная попытка Canonical стандартизировать этот процесс. Возможность проксировать не только классические пакеты, но и Juju Charms, а также Snap через единый отказоустойчивый шлюз — серьезный плюс для тех, кто строит инфраструктуру на Charmed Kubernetes.
Отдельно хочется отметить гранулярный контроль ревизий. В закрытых контурах предсказуемость всегда превалирует над свежестью ПО, поэтому жесткая фиксация версий — это базовое требование, чтобы кластер не развалился при очередном обновлении.
При этом полностью списывать со счетов привычные инструменты пока рано. На практике успешность Enterprise Store будет сильно зависеть от того, насколько бесшовно его офлайн-режим и процессы ручного переноса обновлений интегрируются с уже работающими пайплайнами CI/CD и сканерами безопасности. Решение однозначно стоит проверить на тестовых стендах, чтобы оценить реальные затраты на его поддержку.
Источник: habr.com