Saltar al contenido principal

Conceptos

Nuestras ofertas Managed Kubernetes

Cloud Temple ofrece dos ofertas distintas para satisfacer sus necesidades de orquestación de contenedores:

  • Managed Core Kubernetes : Un producto minimalista que le proporciona una base Kubernetes robusta y segura, basada en componentes open-source de vanguardia. Es ideal para equipos expertos que desean construir su propia plataforma a medida.
  • Managed Kubernetes : Una solución completa y lista para usar que incluye un stack completo de herramientas para la red, la seguridad, el almacenamiento, el despliegue continuo, la observabilidad, la copia de seguridad y la gestión de costos.

Tabla comparativa de las ofertas

ComponenteManaged Core KubernetesManaged Kubernetes
SO✅Talos✅Talos
CNI✅Cilium✅Cilium
Balanceador de carga✅MetalLB✅MetalLB
Almacenamiento distribuido✅Rook-Ceph✅Rook-Ceph
Almacenamiento local🔵TopoLVM🔵TopoLVM
Observabilidad CNI✅Hubble
Ingress✅Ingress Nginx
Observabilidad✅Prometheus, Grafana, Loki
Copia de seguridad y Migración✅Veeam Kasten
Gobernanza y Seguridad✅Kyverno, Capsule
Gestión de certificados✅Cert-Manager
Despliegue Continuo (GitOps)🔵ArgoCD
Registro de contenedores🔵Harbor
Autenticación SSO🔵Integración OIDC
Autoscaling de pods🔵Keda
Gestión de Costos (FinOps)🔵OpenCost
Observabilidad (perfilado)🔵Pyroscope + LLM

✅ : incluido 🔵 : opcional/desactivable ❌ : no incluido

Presentación de los productos Managed (Core) Kubernetes

Managed Core Kubernetes se basa en Talos Linux (https://www.talos.dev/), un sistema operativo dedicado a Kubernetes que es ligero y seguro. Es inmutable, sin ningún shell ni acceso ssh, y se configura únicamente de manera declarativa a través de la API gRPC.

La instalación estandarizada incluye un conjunto de componentes, mayoritariamente OpenSource y validados por el CNCF:

  • CNI Cillium, con interfaz de observabilidad (Hubble): Cillium es una solución de networking para contenedores Kubernetes (Container Network Interface). Gestiona la seguridad, el balanceo de carga, el service mesh, la observabilidad, el cifrado, etc... Es un componente de red fundamental que se encuentra en la mayoría de las distribuciones de Kubernetes (OpenShift, AKS, GKE, EKS,...). En Managed Kubernetes, hemos incluido la interfaz gráfica Hubble para la visualización de los flujos de Cillium.

  • MetalLB y nginx: Para la exposición de aplicaciones Web, se integran de base 3 ingress-class nginx:

    • nginx-external-secured: exposición en una IP pública, filtrada en el firewall para permitir solo IPs conocidas (utilizado para las interfaces gráficas de los diferentes productos y la API de Kubernetes)

    • nginx-external: exposición en una segunda IP pública no filtrada (o filtrado específico del cliente)

    • nginx-internal: exposición solo en una IP interna

      Para los servicios "no web", un balanceador de carga metalLB permite exponer servicios en interno o en IPs públicas. (ce qui permet de déployer des autres ingresses, comme par exemple un WAF)

Nota: utilizamos nginx en la versión openSource mantenida por F5 Networks. (pas la version d'origine, opensource, qui est deprecated)

  • Almacenamiento distribuido Rook-Ceph: para el almacenamiento de volúmenes persistentes (PV), se integra un almacenamiento distribuido Ceph OpenSource en la plataforma. Permite utilizar las storage-classes ceph-block (Block, répliqué multi-zones), ceph-block-norepl (Block, non répliqué), et ceph-filesystem (File, répliqué multi-zones). Se utiliza un almacenamiento de 7500 IOPS, lo que permite un alto rendimiento. En los despliegues de producción (sur 3 AZ), los nodos de almacenamiento son dedicados (1 noeud par AZ); en los despliegues no productivos (1 AZ), el almacenamiento se comparte con los workers nodes.

  • Almacenamiento local TopoLVM: para el almacenamiento de volúmenes persistentes (PV), se puede añadir (en option) un almacenamiento local TopoLVM OpenSource a la plataforma. Permite utilizar la storage-class topolvm-ssd para almacenar localmente, en los Worker nodes, datos. Esta opción es útil para despliegues que utilizan una replicación de aplicación integrada (Kafka, MongoDB, PostgreSQL, ...) y se benefician de un almacenamiento ultrarrápido, con latencia reducida. Esta opción se utiliza generalmente para dedicar Worker nodes a una carga de trabajo específica.

  • Cert-Manager: el gestor de certificados OpenSource Cert-Manager está integrado nativamente en la plataforma.

  • ArgoCD está a su disposición para sus despliegues automatizados a través de una cadena de CI/CD. (optionnel)

  • Stack Prometheus (Prometheus, Grafana, Loki): los clústeres Managed Kubernetes se entregan de serie con una stack OpenSource completa Prometheus para la observabilidad, que incluye:

    • Prometheus, para la recopilación de métricas

    • Grafana, con numerosos dashboards

    • Loki: los registros de la plataforma se exportan al almacenamiento S3 Cloud-Temple (et intégrés dans Grafana).

    • Pyroscope: (optionnel) plataforma de perfilado continuo, consultable vía LLM.

  • Harbor es un Container registry que le permite almacenar las imágenes de sus contenedores o sus charts de Helm directamente en el clúster. Realiza escaneos de vulnerabilidades en sus imágenes. Harbor también permite sincronizaciones con otros registros. (https://goharbor.io/) (optionnel)

  • OpenCost (https://github.com/opencost/opencost) es una herramienta de gestión de costos (Finops) para Kubernetes. Le permite realizar un seguimiento detallado del consumo de recursos de Kubernetes y aplicar subfacturación por proyecto/namespace. (optionnel)

  • Estrategias de seguridad avanzadas con Kyverno y Capsule:

    • Kyverno (https://kyverno.io/) es un controlador de admisión para Kubernetes que permite aplicar políticas. Es una herramienta esencial para la gobernanza y la seguridad en Kubernetes.
    • Capsule (https://projectcapsule.dev/) es una herramienta de gestión de permisos que facilita la administración de derechos en Kubernetes. Introduce el concepto de tenant que permite centralizar y delegar permisos en varios namespaces. A través de Capsule, los usuarios de la plataforma Kubernetes Managed disponen, por tanto, de derechos restringidos a sus propios namespaces.
  • Veeam Kasten (aka 'k10') es una solución para la copia de seguridad de las cargas de trabajo de Kubernetes.

    Permite respaldar un despliegue completo: manifiestos, volúmenes, etc... hacia el almacenamiento de objetos S3 Cloud-Temple. Kasten utiliza Kanister para permitir copias de seguridad de aplicación consistentes, por ejemplo para bases de datos (https://docs.kasten.io/latest/usage/blueprints/).

    Kasten es una herramienta multiplataforma que puede funcionar con otros clústeres de Kubernetes (OpenShift, Hyperscaler,...). Por lo tanto, puede utilizarse para escenarios de reversibilidad o migración (K10 gère les adaptations éventuelles via des transformations, par exemple un changement d'ingress-class), pero también para "refresh" (exemple : restauration planifiée d'un environnement de production en pré-production).

  • Autenticación SSO con un Identity Provider externo OIDC (Microsoft Entra, FranceConnect, Okta, AWS IAM, Google, Salesforce, ...) (optionnel)

  • Keda permite el autoscaling de los pods mediante métricas avanzadas, como por ejemplo un número de conexiones HTTP. (optionnel)

SLA e Información sobre el soporte

  • Disponibilidad garantizada (producción 3 AZ) : 99.95 %
  • Soporte : N1/N2/N3 incluido para el alcance base (infraestructura y operadores estándar).
  • Compromiso de tiempo de recuperación (ETR) : según contrato marco Cloud Temple.
  • Mantenimiento (MCO) : aplicación periódica de parches para Talos / Kubernetes / operadores estándar por parte del MSP, sin interrupción del servicio (actualización progresiva).

Los plazos de atención y recuperación dependen de la gravedad del incidente, de acuerdo con la matriz de soporte (P1 a P4).

Política de versiones y ciclo de vida

  • Kubernetes soportado: N-2 (3 versiones principales por año, aproximadamente cada 4 meses). Cada versión es soportada oficialmente durante 12 meses, lo que garantiza una ventana de soporte de Cloud Temple de ~16 meses como máximo por versión.
  • Talos OS: alineado con las versiones estables de Kubernetes.
    • Cada rama se mantiene durante aproximadamente 12 meses (incluidos los parches de seguridad).
    • Ritmo de actualización recomendado: 3 veces al año, en coherencia con las actualizaciones de Kubernetes.
    • Los parches críticos (CVE, kernel) se aplican mediante rolling upgrade, sin interrupción del servicio.
  • Actualizaciones:
    • Principales (Kubernetes N+1, Talos X+1): programadas 3 veces/año, mediante rolling update.
    • Menores: aplicadas automáticamente en un plazo de 30 a 60 días.
  • Depreciación: versión N-3 → fin de soporte en un plazo de 90 días después del lanzamiento de N.

Nodos de Kubernetes

Producción (multi-zona)

Para un despliegue "de producción" (multi-zona), se utilizan las siguientes máquinas:

AZMáquinavCoresRAMAlmacenamiento local
AZ07Git Runner48 GoSO: 256 Go
AZ05Control Plane 1812 GoSO: 64 Go
AZ06Control Plane 2812 GoSO: 64 Go
AZ07Control Plane 3812 GoSO: 64 Go
AZ05Storage Node 1 (**)1224 GoSO: 64 Go + Ceph 500 Go mínimo (***)
AZ06Storage Node 2 (**)1224 GoSO: 64 Go + Ceph 500 Go mínimo (***)
AZ07Storage Node 3 (**)1224 GoSO: 64 Go + Ceph 500 Go mínimo (***)
AZ05Worker Node 1 (*)1224 GoSO: 64 Go
AZ06Worker Node 2 (*)1224 GoSO: 64 Go
AZ07Worker Node 3 (*)1224 GoSO: 64 Go

(*) : El tamaño y la cantidad de Worker Nodes pueden adaptarse según la necesidad de capacidad de cálculo del cliente. El número mínimo de Worker Nodes es de 3 (1 por AZ), y recomendamos aumentar su cantidad en lotes de 3 para mantener una distribución multi-zona coherente. El tamaño de los Worker Nodes puede adaptarse, con un mínimo de 12 núcleos y 24 Go de RAM; el límite superior por Worker Node está determinado por el tamaño de los hipervisores utilizados (por lo tanto, potencialmente 112 núcleos/1536 Go de RAM con blades Performance 3). La cantidad de Worker Nodes está limitada a 100. El CNCF recomienda tener Worker Nodes del mismo tamaño. El límite de pods por Worker Node es de 110.

(**) : el tamaño de los Storage Nodes puede aumentarse según el tamaño del almacenamiento Ceph asociado. (por ejemplo: 24c/128Go para 10 To de Ceph)

(***) : Cada nodo de almacenamiento se entrega con un mínimo de 500 Go de espacio en disco, para un almacenamiento Ceph distribuido útil de 500 Go (los datos se replican en cada AZ, por lo tanto x3). El espacio libre disponible para el cliente es de aproximadamente 350 Go. Este tamaño inicial puede aumentarse en el momento del despliegue, o más adelante, según las necesidades. Se aplican cuotas en Ceph, con una distribución Block/File.

Dev/test (zona única o dual)

Para una versión "dev/test", se despliegan las siguientes máquinas:

AZMáquinavCoresRAMAlmacenamiento local
AZ0nGit Runner48 GoSO: 256 Go
AZ0nControl Plane812 GoSO: 64 Go
AZ0nWorker Node 1 (*)1224 GoSO: 64 Go + Ceph 300 Go mínimo (**)
AZ0nWorker Node 2 (*)1224 GoSO: 64 Go + Ceph 300 Go mínimo (**)
AZ0nWorker Node 3 (*)1224 GoSO: 64 Go + Ceph 300 Go mínimo (**)

(*) : El tamaño y la cantidad de Worker Nodes pueden adaptarse según la necesidad de capacidad de cálculo del cliente. La cantidad mínima de Worker nodes es de 3 (debido a la replicación del almacenamiento). El tamaño de los Worker Node puede adaptarse, con un mínimo de 12 núcleos y 24 Go de RAM; el límite superior por Worker node está determinado por el tamaño de los hipervisores utilizados (por lo tanto, potencialmente 112 núcleos/1536 Go de RAM con blades Performance 3). La cantidad de Worker Nodes está limitada a 250. El CNCF recomienda tener worker nodes del mismo tamaño. El límite de pods por Worker Node es de 110.

(**) : 3 Worker nodes se utilizan como Storage nodes y se entregan con un mínimo de 300 Go de espacio en disco, para un almacenamiento útil distribuido de 300 Go (los datos se replican tres veces). El espacio libre disponible para el cliente es de aproximadamente 150 Go. Este tamaño inicial puede aumentarse en el momento del despliegue, o más adelante, según las necesidades.

RACI

Arquitectura e Infraestructura

ActividadClienteCloud Temple
Definir la arquitectura global del servicio KubernetesCRA
Dimensionar el servicio Kubernetes (número de nodos, recursos)CRA
Instalar el servicio Kubernetes con una configuración predeterminadaIRA
Configuración del servicio KubernetesCRA
Configurar la red base del servicio KubernetesIRA
Despliegue de la configuración inicial de identidades y accesosCRA
Definir la estrategia de escalado y alta disponibilidadCRA

Gestión de proyectos y aplicaciones empresariales

ActividadClienteCloud Temple
Crear y gestionar proyectos de KubernetesRAI*
Desplegar y gestionar aplicaciones en KubernetesRAI*
Configurar pipelines CI/CDRAI*
Gestionar imágenes de contenedores y registrosRAI*

*puede cambiar a "C" según el contrato de externalización de TI

Supervisión y rendimiento

ActividadClienteCloud Temple
Supervisar el rendimiento del servicio de KubernetesIRA*
Supervisar el rendimiento de las aplicacionesRA
Gestionar las alertas relacionadas con el servicio de KubernetesIRA*
Gestionar las alertas relacionadas con las aplicacionesRA

(*) : Solo para clústeres de Kubernetes administrado en producción. En Dev/Test y en la versión Core, el cliente tiene plena autonomía y responsabilidad.

Mantenimiento y actualizaciones de Infraestructuras

ActividadClienteCloud Temple
Actualizar el servicio Kubernetes/OSCRA
Aplicar los parches de seguridad a KubernetesCRA
Actualizar las aplicaciones implementadas (operadores*)CRA

*Paquete de operador incluido en Managed Kube - ver capítulos: Paquetes Helm gestionados

Seguridad

ActividadClienteCloud Temple
Gestionar la seguridad del servicio KubernetesRARA*
Configurar y gestionar las políticas de seguridad de los podsRAI
Gestionar los certificados SSL/TLS para el servicio KubernetesCRA*
Gestionar los certificados SSL/TLS para las aplicacionesRAI
Implementar y gestionar el control de acceso basado en roles de base (RBAC)CR*
Implementar y gestionar el control de acceso basado en roles del cliente (RBAC)RAI

(*) : Solo para clústeres de Kubernetes administrado en producción. En Dev/Test y en la versión Core, el cliente tiene plena autonomía y responsabilidad.

Copia de seguridad y recuperación ante desastres

ActividadClienteCloud Temple
Definir la estrategia de copia de seguridad para el servicio de KubernetesIRA
Implementar y gestionar las copias de seguridad del servicio de KubernetesIRA
Definir la estrategia de copia de seguridad para las aplicacionesRA*I*
Implementar y gestionar las copias de seguridad de las aplicacionesRA*I*
Probar los procedimientos de recuperación ante desastres para el servicio de KubernetesCIRA
Probar los procedimientos de recuperación ante desastres para las aplicacionesRA*CI*

*puede cambiar a "CI | RA" según el contrato de externalización

Soporte y resolución de problemas

ActividadClienteCloud Temple
Proporcionar soporte de nivel 1 para la infraestructuraIRA
Proporcionar soporte de nivel 2 y 3 para la infraestructuraIRA
Resolver problemas relacionados con el servicio KubernetesCRA
Resolver problemas relacionados con las aplicacionesRAI

Gestión de capacidades y evolución

Solo para clústeres de producción Managed Kubernetes. En Dev/Test y en la versión Core, el cliente tiene plena autonomía y responsabilidad.

ActividadClienteCloud Temple
Monitorear el uso de los recursos de KubernetesCRA
Planificar la evolución de las capacidades del servicioRAC
Implementar los cambios de capacidadIRA
Gestionar la evolución de las aplicaciones y sus recursosRAI

Documentación y cumplimiento

ActividadClienteCloud Temple
Mantener la documentación del producto KubernetesIRA
Mantener la documentación de las aplicacionesRAI
Garantizar el cumplimiento del servicio KubernetesIRA
Garantizar el cumplimiento de las aplicacionesRAI
Realizar auditorías del servicio KubernetesIRA
Realizar auditorías de las aplicacionesRAI

Gestión de operadores/CRD de Kubernetes (incluido en el producto)

ActividadClienteCloud Temple
Disponibilidad del catálogo de operadores predeterminadoCIRA
Actualización de operadoresCIRA
Monitoreo del estado de los operadoresCIRA
Resolución de problemas relacionados con los operadoresCIRA
Gestión de permisos de operadoresCIRA
Gestión de recursos de operadores (agregado/eliminación)CIRA
Copia de seguridad de los datos de los recursos de los operadoresCIRA
Supervisión de recursos de operadoresCIRA
Restauración de los datos de los recursos de los operadoresCIRA
Auditoría de seguridad de operadoresCIRA
Soporte de operadoresCIRA
Gestión de licencias en operadoresCIRA
Gestión de planes de soporte específicos en operadoresCIRA

*Paquete de operador incluido en Managed Kube - ver capítulos: Paquetes Helm gestionados

Gestión de aplicaciones/operadores/CRD de Kubernetes (del cliente)

Solo para clústeres de Kubernetes Managed en Producción. En Dev/Test y en la versión Core, el cliente tiene plena autonomía y responsabilidad.

ActividadClienteCloud Temple
Despliegue de CRDsI*RA*
Actualización de OperadoresRAI
Monitoreo del estado de los OperadoresRAI
Resolución de problemas relacionados con los OperadoresRAI
Gestión de autorizaciones de los OperadoresRAI
Gestión de recursos de los Operadores (agregado/eliminación)RAI
Respaldo de datos de los recursos de los OperadoresRAI
Supervisión de recursos de OperadoresRAI
Restauración de datos de los recursos de los OperadoresRAI
Auditoría de seguridad de los OperadoresRAI
Soporte de OperadoresRAI
Gestión de licencias en los operadoresRAI
Gestión de planes de soporte específicos para los operadoresRAI

Algunos servicios de operadores pueden estar cubiertos según el contrato de infogestión.

*puede cambiar a "A | RC" según el contrato de infogestión

Soporte de aplicaciones

ActividadClienteCloud Temple
Soporte de aplicaciones (servicio externo)RAI

Un soporte de aplicaciones puede proporcionarse a través de un servicio complementario.

RACI (synthétique)

  • Cloud Temple : responsable y actor (RA) de la base Core Kubernetes y de los servicios adicionales Managed Kubernetes (sécurité, sauvegarde, supervision)
  • Cliente : responsable y actor (RA) de los proyectos aplicativos, operadores de negocio, pipelines CI/CD, respaldos aplicativos.
  • Zona "gris" : adaptaciones y extensiones (IAM, opérateurs spécifiques, durcissement de conformité/sécurité du cluster) - facturadas en modalidad de proyecto.