Доставка десктопов на базе Kubernetes с Kasm

При поддержке Kasm Technologies

Команды корпоративной инфраструктуры провели большую часть последнего десятилетия, перенося рабочие нагрузки в Kubernetes. Приложения, API, пакетные задания, конвейеры данных — если что-то работает в контейнере, этому место в кластере. Эксплуатационные преимущества хорошо известны: декларативная конфигурация, горизонтальное масштабирование, самовосстановление, нативная интеграция с конвейерами CI/CD и инструментами мониторинга. Kubernetes стал стандартной операционной моделью для производственных рабочих нагрузок.

За исключением рабочих столов.

Безопасная доставка рабочих столов и приложений — та, от которой зависят предприятия в условиях удаленной работы, привилегированного доступа и рабочих процессов в регулируемых отраслях — упорно оставалась вне модели Kubernetes. Устаревшая инфраструктура виртуальных рабочих столов (VDI) создавалась в другую эпоху под другие предпосылки: предварительно выделенные пулы виртуальных машин, специализированные плоскости управления, проприетарные аппаратно-программные комплексы и средства администрирования, которые не имеют ничего общего с тем, как работают современные команды платформ. В результате получается разделенная реальность инфраструктуры: современный облачно-нативный уровень приложений с одной стороны и управляемый вручную, изолированный на уровне операций уровень рабочих столов с другой.

Такое разделение обходится дорого. Оно означает использование разных инструментов, разного поведения при масштабировании, разных подходов к мониторингу и разных эксплуатационных инструкций. Инженерам платформ, хорошо разбирающимся в Kubernetes, все равно приходится переключаться на совершенно иную ментальную модель в тот момент, когда возникает проблема с инфраструктурой рабочих столов.

Более фундаментальная проблема заключается в том, что это разделение излишне. Безопасная доставка контейнеризированных рабочих пространств — это рабочая нагрузка, для запуска которой Kubernetes архитектурно отлично подходит. Сеансы — это контейнеры. Масштабирование зависит от спроса. Конфигурация должна быть декларативной. Не хватало лишь платформы, созданной для того, чтобы воспользоваться этим преимуществом.

Почему сейчас самое подходящее время

Интерес к доставке рабочих пространств на базе Kubernetes значительно вырос по мере того, как организации совершенствуют свои инвестиции в контейнерные платформы. Команды платформ, которые годами стандартизировали рабочие процессы на основе Helm, GitOps и мониторинга в Kubernetes, все меньше хотят делать исключение для инфраструктуры рабочих столов. Вопрос сместился с «можем ли мы запустить это на Kubernetes?» на «почему это еще не работает на Kubernetes?».

В то же время аргументы в пользу безопасности контейнеризированной доставки рабочих пространств становятся все более весомыми. Доставляемые через браузер контейнеризированные рабочие пространства обеспечивают изоляцию сеансов, с которой не могут сравниться рабочие столы на базе виртуальных машин: каждый сеанс является эфемерным, изолированным на границе контейнера и завершается без сохранения постоянного состояния. Для организаций, управляющих конфиденциальными данными, внутренними рисками или сценариями доступа третьих лиц, эта модель изоляции является значимым средством обеспечения безопасности, а не просто удобством развертывания.

Конвергенция этих двух тенденций — ожиданий в отношении облачно-нативной инфраструктуры Kubernetes и безопасности контейнеризированных сеансов — создает четкие возможности для платформ, способных одновременно решать обе задачи.

Как выглядит развертывание на базе Kubernetes

Развертывание на базе Kubernetes использует Kubernetes в качестве плоскости управления для инфраструктуры рабочих пространств, управляя оркестрацией, масштабированием и жизненным циклом с помощью той же декларативной модели, которая применяется во всей остальной платформе. Вместо того чтобы полагаться на выделенные устройства управления или предварительно подготовленные пулы рабочих столов, инфраструктура управляется через те же рабочие процессы CI/CD, GitOps, мониторинга и безопасности, которые команда платформы уже использует. Это дает инженерам единую операционную модель вместо поддержки отдельного набора инструментов для инфраструктуры рабочих столов.

Kasm Workspaces, платформа рабочих пространств с доставкой через браузер, специально создана для использования Kubernetes в качестве плоскости управления для оркестрации и доставки рабочих пространств. Ее модель развертывания предназначена для реальных корпоративных сред, а не для упрощенных демоверсий, и включает готовые для продакшена Helm-чарты, соответствующие стандартам Kubernetes, проверенные пути обновления между версиями и стандартизированную бэкенд-архитектуру, проверенную в боевых развертываниях. Компонент шлюза RDP, созданный специально для топологии Kubernetes, обеспечивает доступ к виртуальным машинам Windows и Linux через ту же платформу.

Ключевые возможности включают:

• Горизонтальное масштабирование сеансов на основе реального спроса, управляемое Kubernetes — без необходимости создания предварительно разогретых пулов виртуальных машин.

• Декларативную конфигурацию через значения Helm, обеспечивающую интеграцию GitOps и CI/CD для инфраструктуры рабочих пространств.

• Изоляцию на уровне пространств имен и совместимость с существующими политиками RBAC, контроллерами Ingress и интеграциями управления секретами.

• Экспорт метрик для интеграции с Prometheus и существующими стеками мониторинга.

• Сборку методом катящегося обновления (rolling builds) по умолчанию, что сокращает окна обслуживания и обеспечивает более предсказуемое управление версиями.

Практическое применение

Удаленный доступ в регулируемых отраслях. Организация финансового сектора, использующая платформу приложений на базе Kubernetes, может развернуть Kasm в том же кластере, используя те же инструменты управления, чтобы предоставлять изолированные сеансы браузера и приложений аналитикам и консультантам. Сеансы эфемерны, исходящий сетевой трафик контролируется, а все развертывание управляется через тот же конвейер GitOps, что и рабочие нагрузки приложений.

Доступ для подрядчиков и сторонних лиц. Организации, которые регулярно привлекают подрядчиков или внешних вендоров (со всеми сопутствующими рисками привилегированного доступа), могут подготавливать сеансы Kasm в Kubernetes, которые масштабируются в периоды проектной активности и сокращаются в периоды низкого спроса. Никакого постоянного доступа. Никаких расширений VPN для внешних лиц. Контейнеризированная изоляция на границе каждого сеанса.

Среды разработки ИИ/МО. Командам, создающим и запускающим модели искусственного интеллекта, требуются среды разработки с поддержкой графических процессоров и средствами безопасности, которые облачные рабочие столы общего назначения предоставляют редко. Развертывание Kasm на Kubernetes с поддержкой технологии NVIDIA MiG (Multi-Instance GPU) позволяет командам платформ выделять дробные ресурсы GPU в изолированные сеансы рабочих пространств, обеспечивая дата-саентистов необходимыми вычислительными мощностями без рисков для безопасности общей инфраструктуры.

Операционный сдвиг

Практический смысл платформы рабочих пространств на базе Kubernetes заключается в том, что команды платформ могут перестать относиться к инфраструктуре рабочих пространств как к особому случаю. Те же инженеры, которые развертывают приложения, могут развертывать и платформу рабочих пространств. Те же конвейеры, которые управляют конфигурацией приложений, могут управлять конфигурацией рабочих пространств. Те же панели мониторинга, которые отслеживают работоспособность приложений, могут следить и за состоянием рабочих пространств.

Такая операционная консолидация снижает издержки, повышает согласованность и устраняет затраты на переключение контекста, из-за которых инфраструктура рабочих столов долгое время оставалась болевой точкой для облачно-нативных организаций.

Для организаций, продолжающих использовать устаревшие системы VDI наряду с современной облачной инфраструктурой, вопрос заключается уже не в том, существует ли альтернатива на базе Kubernetes. Она существует. Вопрос в том, когда совершить этот переход.

Организации, заинтересованные в оценке доставки рабочих пространств на базе Kubernetes, могут ознакомиться с платформой на сайте kasm.com и самостоятельно протестировать сообщественную редакцию (community edition).

Дэниел Бен-Читрит (Daniel Ben-Chitrit) — директор по продукту в компании Kasm Technologies.

Спонсорские статьи — это материалы, подготовленные компанией, которая либо платит за размещение публикации, либо имеет деловые отношения с VentureBeat, и они всегда четко промаркированы. Для получения дополнительной информации обращайтесь по адресу sales@venturebeat.com.