OpenShift

Containerisatie

Onder de motorkap

Het hart van OpenShift (je zou het zelfs bijna de kernel kunnen noemen) is Kubernetes, een platform om containers aan te sturen, waarvan de ontwikkeling ooit bij Google is begonnen onder de naam “Borg”. De containers zelf draaien vervolgens in een container engine genaamd CRI-O (in vroegere versies werd hier de bekende engine “Docker” gebruikt). En dit geheel draait bovenop Red Hat Enterprise Linux CoreOS, een minimale, uitgeklede versie van RHEL, speciaal gemaakt voor containertoepassingen.

OpenShift is meer dan een schil om Kubernetes alleen. Het biedt uitgebreide automatisering (met het Operator Framework), monitoring en logging (met Prometheus, fluentd, Elasticsearch en Kibana), Pipelines (voorheen met Jenkins, maar tegenwoordig met het container-native Tekton), Service Mesh (met Istio, Jaeger en Kiali) en de ontwikkelomgeving CodeReady Workspaces (gebaseerd op Eclipse Che). Ondersteuning is onderweg voor Serverless (met Knative) en Container Native Virtualization (Virtual Machines draaien en aansturen binnen OpenShift). Een heleboel productnamen en een hoop onderdelen, maar wat biedt deze combinatie aan tools je dan precies?

Ik ben een... Systeembeheerder

Ik ben een... Applicatiebeheerder

Ik ben een... Applicatieontwikkelaar

Ik ben een... Eindgebruiker

Wat maakt OpenShift anders dan “gewoon” Kubernetes?

Naast dat OpenShift een gebruikersvriendelijke webconsole plus tooling (waaronder de krachtige CLI tools oc en odo) bovenop Kubernetes biedt, heeft het als onderlaag het beproefde Red Hat Enterprise Linux CoreOS, en wordt het ondersteund door de bekende Open Source softwareleverancier Red Hat, tegenwoordig onderdeel van IBM. Deze combinatie maakt het installeren, upgraden en beheren van het platform een stuk simpeler dan dat van “kaal” Kubernetes. Net zoals bij RHEL, worden upstream patches van bijvoorbeeld Kubernetes gebackport naar stabiele, beproefde releases van OpenShift.

Verschillende onderdelen (waaronder Role Based Access Control (RBAC) en Security Context Constraints (SCC)) zijn vanuit OpenShift en OKD (de openbare upstreamversie van OpenShift) in Kubernetes terecht gekomen. Ook had OpenShift al features, zoals routes en DeploymentConfigs, voordat soortgelijke functionaliteit in Kubernetes beschikbaar werd gesteld.

Verder is OpenShift al “by default” veilig ingericht. Met standaard ondersteuning voor SELinux en seccomp, Security Context Constraints, Linux Capabilities en Network Policies wordt afgedwongen dat containers niet als root mogen draaien, geen onbegrensde toegang hebben tot het filesysteem, en niet alle diensten wijd open staan richting alle netwerken of zelfs het internet. Naar wens kun je in je OpenShift installatie zelfs de FIPS standaard afdwingen, met de bijbehorende encryptiemechanismen, alle configuratiedata laten versleutelen en zelfs de CoreOS disk partities met behulp van LUKS en Network Based Disk Encryption laten beveiligen.

Door gebruik te maken van de door Red Hat ter beschikking gesteld Universal Base Images (UBI), momenteel voor zowel RHEL 7 als RHEL 8, draaien je applicaties op een veilige en ondersteunde onderlaag. Je kunt je workflow zelfs zo automatiseren dat zodra Red Hat beveilingsupdates voor UBI uitbrengt, de betreffende base-images en de daarmee gebouwde containerimages worden geüpdate.

Hoe helpen wij je verder met je OpenShift vragen?

Bij HCS Company vinden we dat het implementeren van een OpenShift platform zeker niet ophoudt na de installatie. En de installatie start niet voordat we weten wat je als organisatie aan wensen en eisen hebt voor het platform. Werk je als organisatie al Agile en DevOps of beheren verschillende eilanden nog zeer specifieke onderdelen van je keten? Wil je alleen een Proof of Concept of een volledig high-available productieplatform? Heb je simpele workloads met een paar lichte API eindpoints of wil je een volledig integratieplatform met koppelingen met tientallen leveranciers? Zijn je applicaties al microservices of draai je zware monolieten die net zo snel zijn bij te sturen als een groot cruiseschip? Verschillende wensen vragen om verschillende oplossingen, maar altijd wel volgens onze eigen Best Practices.

Wij adviseren en werken zelfs samen met Red Hat zodat je daar de juiste oplossing aan kunt schaffen (hoeveel OpenShift subscriptions heb je nodig, voor hoeveel CPU’s, moet er misschien OpenShift Container Storage bij, heb je behoefte aan een eigen Quay Enterprise Container Registry?). En als we alle benodigde infrastructuur, tooling en aankoppelpunten in kaart hebben, zorgen we niet alleen voor de implementatie, maar ook dat jouw eigen teams op eigen kracht verder kunnen met het platform om het dagelijks beheer uit te kunnen voeren en workloads op het platform te laten landen. De consultants en engineers van HCS Company kunnen op basis van hun ervaring met OpenShift, maar ook met Linux, Automation en Cloud het beste advies geven hoe OpenShift technisch, maar ook organisatorisch in je bedrijf in te passen.