Leitfaden zur Kubernetes-Überwachung

Warum Sie Ihre Kubernetes-Deployments überwachen sollten

Kubernetes wird häufig eingesetzt, weil es die Bereitstellung containerisierter Anwendungen auf verteilten Systemen vereinfacht. Der Betrieb eines einzelnen Containers auf einem einzelnen Knoten erfordert eine sorgfältige Konfiguration und fortlaufende Verwaltung. Eine Ausweitung auf Hunderte oder Tausende von Knoten würde umfangreiche personelle Ressourcen und ein entsprechendes Workflow-Management erfordern. Kubernetes bündelt dieses Wissen über Systeme und bewährte Vorgehensweisen in einer Plattform, die das Know-how zur Orchestrierung containerisierter Anwendungen automatisiert.

Es ist wichtig, Ihre Kubernetes-Deployments zu überwachen, denn Kubernetes kann sich nicht selbst verwalten. Änderungen an Anwendungen, etwa neue Versionen oder Sicherheitslücken in Kubernetes, können Anomalien verursachen, die möglicherweise zu Problemen führen. Die Anwendung von Best Practices für Container-Sicherheit hilft, Probleme von vornherein zu vermeiden. Durch die Überwachung von Anwendungsanfragen und Anomalien können Sie jedoch Probleme frühzeitig erkennen und beheben, bevor sie zu Dienstausfällen oder Sicherheitsverletzungen führen.

Herausforderungen bei der Kubernetes-Überwachung

Die Kubernetes-Überwachung bringt viele der gleichen Herausforderungen mit sich wie die Container-Überwachung. Kubernetes selbst bietet ein Kubernetes-Dashboard, das grundlegende Echtzeit-Überwachung von Workloads und Clustern ermöglicht. Aufgrund der verteilten und dynamischen Natur von Kubernetes sind für eine umfassende Überwachung spezielle Tools und Prozesse erforderlich.

Es ist notwendig, sowohl die Workloads als auch den Cluster selbst zu überwachen. Verschiedene Ursachen können dazu führen, dass Ihre Kubernetes-Dienste und -Ressourcen jederzeit keine Statusmeldungen mehr senden – von Fehlkonfigurationen zentraler Komponenten bis hin zu Problemen mit der Netzwerkverbindung. Das stellt einen herkömmlichen, statischen Überwachungsansatz vor Herausforderungen und unterstreicht die Notwendigkeit einer Echtzeit-Überwachung. Zudem reicht es aufgrund der Organisation von Kubernetes in Microservices und Namespaces nicht aus, physische Knoten oder Service-Ports zu überwachen.

Neben der Überwachung in der Produktionsumgebung erfordert Kubernetes eine Selbstkonfiguration, damit die Sicherheitskontrollen ordnungsgemäß eingerichtet sind. Die Konfiguration von Kubernetes wird üblicherweise in Code festgelegt, etwa in Kubernetes-YAML, Helm-Charts oder Vorlagen-Tools. Eine korrekte Konfiguration von Workloads, Clustern, Netzwerken und Infrastruktur ist entscheidend, um Probleme zu vermeiden und die Auswirkungen eines möglichen Sicherheitsvorfalls zu begrenzen. Auch die Konfiguration selbst muss überwacht werden, damit Probleme erkannt werden, bevor sie sich auf Produktionsumgebungen auswirken.

Wichtige Kennzahlen, die Sie verfolgen sollten

Es gibt fünf wichtige Bereiche, die Sie überwachen sollten, um den Zustand Ihrer Kubernetes-Cluster und -Workloads sicherzustellen.

Leistung

Die Überwachung der Leistung von Clustern, Knoten und Pods hilft, die Herausforderung mangelnder Transparenz bei Containern zu bewältigen.

Ressourcenauslastung

Durch die Erfassung der CPU- und Speicherauslastung in Clustern und Namespaces stellen Sie sicher, dass Sie die verfügbaren Ressourcen optimal nutzen.

Anwendungs-Tracing

Dazu müssen Sie sorgfältig ermitteln, welche konkreten Messwerte Sie benötigen und wie Sie auf diese in der Anwendung zugreifen.

Funktionstests

So stellen Sie sicher, dass sich Anwendungen wie erwartet in Verbindung mit dem übrigen Lösungs-Stack verhalten.

Sicherheit

Kubernetes stellt Audit-Logs für seinen API-Server bereit. Durch die Überwachung von DNS und anderen Logs können Sie verdächtige Aktivitäten erkennen.

Fünf Best Practices für die Kubernetes-Überwachung

Bei der Kubernetes-Überwachung sollten Sie einige Best Practices beachten:

1. Tags und Labels verwenden
   Da Kubernetes keine Platform-as-a-Service ist, werden Anwendungen informell anhand von Metadaten definiert. Es ist entscheidend, Anwendungen mit Namen, Instanz und anderen gängigen Labels zu versehen, um die Verwaltung zu vereinfachen.

2. Die Gesamtheit der Container betrachten, nicht jeden einzelnen
   Da Kubernetes Pods und keine Container verwaltet, ist es wichtig, auf Pod-Ebene zu überwachen.

3. Service Discovery nutzen
   Service Discovery hilft dabei, Kubernetes-Dienste trotz ihrer Flüchtigkeit zu überwachen.

4. Dashboards reichen nicht aus: Alerts einrichten
   Alerts lassen sich anhand der Kriterien für eine intakte Kubernetes-Umgebung einrichten. Achten Sie darauf, nicht zu viele Alerts auszulösen und dadurch abzustumpfen – verteilte Systeme bieten zahlreiche potenzielle Überwachungspunkte.

5. Die Kubernetes-Control-Plane überprüfen
   Die Kubernetes-Control-Plane funktioniert ähnlich wie eine Flugverkehrskontrolle: Sie plant Workloads, überwacht den Cluster und verwaltet ihn. Die Überprüfung jeder Control-Plane-Komponente – API-Server, Controller-Manager, Scheduler usw. – trägt dazu bei, dass Orchestrierung und Aufgabenplanung effizient weiterlaufen.

Die besten Überwachungs-Tools für Kubernetes

Aufgrund der Komplexität und des Umfangs von Kubernetes-Workloads und -Ressourcen benötigen Sie die passenden Tools, um jeden Aspekt der Plattform zu überwachen. Es gibt verschiedene Überwachungs-Tools, die sich in drei allgemeine Kategorien einteilen lassen.

Open Source: Dazu gehört Prometheus, das Zeitreihendaten aus Kubernetes-Jobs aggregiert. Prometheus wurde bei SoundCloud entwickelt und ist ein ausgereiftes Projekt der Cloud Native Computing Foundation. Es lässt sich mit Grafana für Visualisierungen und mit AlertManager für Alerts integrieren.

SaaS: SaaS-basierte Überwachungslösungen wie Sysdig ermöglichen eine umfassendere Überwachung, ohne dass Tools von Drittanbietern für Visualisierungen oder Alerts benötigt werden.

Enterprise-Klasse: Diese Tools, darunter Sysdig, bieten fortschrittlichere Funktionen, die die Zusammenarbeit zwischen Teams und umsetzbare, KI-gestützte Erkenntnisse ermöglichen.

Diese Kubernetes-Überwachungs-Tools konzentrieren sich auf die Überwachung von Workloads in der Produktionsumgebung. Mit Snyks Kubernetes Configuration Security können Sie Kubernetes-Konfigurationen bereits beim Schreiben und vor der Bereitstellung in der Produktionsumgebung scannen. Kubernetes Configuration Security verfolgt einen Developer-First-Ansatz, mit dem Entwickler Probleme in ihren gewohnten Workflows erkennen und beheben können.

Weitere Informationen zu Problemen rund um Kubernetes und Container finden Sie in diesen Beiträgen:

Was ist Container-Sicherheit? | Sicherheit von Container-Images | Snyk

Alles, was Sie über Container-Scanning wissen müssen | Snyk

FAQ zur Kubernetes-Überwachung