Kubernetes vs Docker

Kubernetes vs Docker: O que são contêineres?

A compreensão do tópico começa com a compreensão dos contêineres. Os contêineres são unidades de código que incluem todas as bibliotecas e dependências de que um aplicativo precisa em um único pacote. 

Muitas vezes, os contêineres são comparados à máquina virtual (VM), mas eles são diferentes em vários aspectos importantes:

• Os contêineres e a máquina virtual (virtual machine, VM) fornecem abstração em diferentes camadas: Os contêineres fornecem abstração na camada do aplicativo, enquanto a máquina virtual (virtual machine, VM) fornece abstração na camada de hardware. Isso significa que os contêineres permitem que as empresas empacotem e executem aplicativos e serviços, enquanto a máquina virtual (virtual machine, VM) permite que as empresas executem sistemas operacionais completos. 
• Os contêineres são mais leves: Como não incluem tudo o que é necessário para um sistema operacional completo, os contêineres tendem a ocupar menos espaço de armazenamento e a inicializar mais rapidamente do que a máquina virtual (VM).
• Eles oferecem diferentes níveis de isolamento lógico: Os contêineres oferecem menos isolamento lógico do que a máquina virtual (virtual machine, VM). A máquina virtual (virtual machine, VM) isola completamente e de forma lógica os sistemas operacionais e os kernels, enquanto todos os contêineres de um sistema compartilham o mesmo kernel. 

Um dos problemas fundamentais que os contêineres resolvem é o desafio "funciona no meu ambiente" que tradicionalmente atormentava as operações de TI, em que um aplicativo funciona no desenvolvimento, mas não na produção. Com os contêineres, desde que o senhor tenha um mecanismo de contêiner subjacente (como o Docker Engine), é possível executar exatamente a mesma carga de trabalho em qualquer hardware, sistema operacional ou nuvem. 

Entendendo o Kubernetes

Enquanto o Docker é uma ferramenta para criar e executar contêineres, o Kubernetes é uma ferramenta para orquestração de contêineres. 

Com o Kubernetes, as empresas podem gerenciar agrupamentos de contêineres, incluindo contêineres Docker, em escala. Por exemplo, o Kubernetes permite a configuração de recursos (por exemplo, o RAM por contêiner), escalonamento automático, balanceamento de carga e rollouts (ou rollbacks) de alterações para aplicativos corporativos. 

Como eles servem a dois propósitos diferentes, Kubernetes vs. Docker não é um tópico de um ou outro. De fato, em muitos casos, o Docker e o Kubernetes são usados juntos em pipelines de DevOps. No entanto, além da plataforma Docker, a empresa Docker, Inc. também oferece o Docker Swarm, que é uma ferramenta de orquestração de contêineres comparável ao Kubernetes. 

Como garantir a segurança dos contêineres

Independentemente da plataforma de orquestração de contêineres ou do mecanismo de contêineres usado por uma empresa, a proteção das cargas de trabalho de contêineres é uma obrigação. Como os contêineres são componentes fundamentais da infraestrutura empresarial, eles também são alvos de alto valor para os invasores. 

De exploits de criptomineração em imagens de contêineres para escapar da vulnerabilidade do contêiner, como a falha runc no CVE-2019-5736Como a empresa não pode se preocupar com a segurança, as empresas precisam garantir que seus contêineres estejam protegidos contra uma ampla gama de ameaças. 

Para ajudar a limitar os riscos e melhorar a postura de segurança, algumas das práticas recomendadas de segurança de contêineres que as empresas devem seguir incluem

• Deslocar a segurança para a esquerda: Para acompanhar as ameaças dinâmicas, as empresas precisam integrar a segurança em todos os pipelines de CI\CD. Isso significa que shifting security left e a integração de práticas seguras em todo o ciclo de vida de desenvolvimento de software (SDLC) é imprescindível. 

• Siga o princípio do menor privilégio: As empresas adotam uma abordagem de confiança zero em relação aos privilégios de usuários e aplicativos. Isso significa seguir as práticas recomendadas, como usar Políticas de IAM com base no princípio do menor privilégio e limitação, usando sistemas de arquivos somente leitura, limitando o acesso à API e eliminando ou restringindo o uso do sinalizador privilegiado com contêineres do Docker. 

• Reduzir a superfície de ataque: Portas de rede abertas, bibliotecas e cargas de trabalho não utilizadas são possíveis portas de entrada para exploração. Para limitar o risco ao executar cargas de trabalho em contêineres, as empresas devem desativar os serviços de rede não utilizados, desinstalar as bibliotecas não utilizadas e desativar as cargas de trabalho que não servem mais aos negócios. 

• Use apenas imagens de contêineres confiáveis e seguros: Os registros públicos de contêineres geralmente contêm vulnerabilidades ou, em alguns casos, malware. As empresas só devem extrair imagens de contêineres de repositórios confiáveis para limitar sua exposição a imagens maliciosas ou vulneráveis. 

• Use as ferramentas DevSecOps certas: O escaneamento e o monitoramento proativos, a análise da composição da fonte e a detecção robusta de ameaças são aspectos fundamentais da segurança de contêineres. No entanto, os appliances de segurança tradicionais não são ideais para cargas de trabalho em contêineres. Portanto, as empresas que desejam otimizar sua postura de segurança precisam Ferramentas DevSecOps criadas com a infraestrutura moderna em mente. 

Veja Segurança de contêineres do Docker e Segurança do Kubernetes (K8s) para se aprofundar na segurança de contêineres.