F5 Friday : Container Ingress Services devient natif pour K8s

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

L’univers des conteneurs continue de gagner en maturité à un rythme stupéfiant. L’adoption de services applicatifs liés aux conteneurs, aussi bien sur site que dans le cloud, montre clairement que cette technologie est rapidement passée du stade émergent à celui d’un écosystème en pleine maturation.

À mesure qu’elle gagne en maturité, l’intégration des technologies de niveau entreprise nécessaires à sa prise en charge progresse elle aussi. Nous assistons à la maturation et à l’optimisation continues de l’autre économie des API, celle qui permet l’intégration et l’expansion rapides de l’écosystème des conteneurs.

L’un des aspects intéressants de cette maturation est qu’elle encourage les offres traditionnellement destinées aux entreprises à se rapprocher des environnements d’orchestration de conteneurs tels que Kubernetes. Par « se rapprocher », j’entends adopter rapidement des concepts tels que les modèles d’API déclaratifs, qui font abstraction de l’expertise métier. Autrement dit, simplifier l’intégration et l’inclusion de systèmes et de services tels que BIG-IP afin de permettre à un plus large éventail de fonctions de configurer, déployer et exploiter la technologie.

C’est important, car certains services applicatifs, comme un pare-feu d’applications Web, sont plus efficaces pour contrer les attaques et leurs conséquences indésirables lorsqu’ils sont déployés en amont des conteneurs, au niveau du trafic entrant nord-sud. Toutefois, cela exige souvent une expertise approfondie de la terminologie et des concepts propres à BIG-IP et aux WAF. Lever cet obstacle constitue l’un des principaux objectifs de nos efforts d’automatisation et d’orchestration, comme en témoigne l’évolution rapide de notre chaîne d’outils d’automatisation F5.

Cette chaîne d’outils comprend AS3, l’extension F5 Application Services 3. AS3 fournit une interface moderne (node.js) avec BIG-IP, qui permet d’utiliser des configurations déclaratives pour provisionner et exploiter les services applicatifs fournis par BIG-IP. Associée à la dernière version de nos services d’entrée de conteneurs (CIS), elle permet aux opérateurs d’environnements de conteneurs d’utiliser les services applicatifs fournis par BIG-IP afin de sécuriser et d’accélérer les API et les applications.

Si vous ne les connaissez pas, les services d’entrée de conteneurs constituent un service natif Kubernetes qui assure la liaison entre les services de conteneurs et BIG-IP. Ils surveillent les changements et les transmettent aux services applicatifs fournis par BIG-IP. Ces derniers suivent ainsi le rythme des changements rapides dans les environnements de conteneurs et permettent d’appliquer les politiques de sécurité.

Cette dernière version (Container Ingress Services 1.9) est particulièrement intéressante, car elle introduit une prise en charge native de Kubernetes pour l’intégration, en remplaçant les annotations par des ConfigMaps. Vous pouvez ainsi utiliser le langage Kubernetes qui vous est familier pour intégrer les services applicatifs F5 en insérant une déclaration AS3 dans le champ de données de la ConfigMap. Cela permet notamment d’intégrer des certificats, de sélectionner des algorithmes d’équilibrage de charge et de déployer les protections minimales de l’OWASP Top 10 pour une API ou une application.

Cette déclaration moderne et adaptée à Kubernetes permet également de récupérer la déclaration de politique depuis un référentiel. SecDevOps (ou DevSecOps, voire simplement SecOps, selon votre préférence) peut ainsi intégrer la sécurité plus en amont sans alourdir la charge de DevOps en exigeant une expertise en sécurité ou en WAF.

kind: ConfigMap apiVersion: v1 metadata: name: f5-waf namespace: default labels: f5type: virtual-server as3: "true" data: template: | {

# déclarations du service, du pool et de la journalisation ici

"policyWAF": { "use: "owaspautotune" }

# déclarations des moniteurs et des membres du pool ici

"owaspautotune": { "class": "WAF Policy", "url": "https://repository/pathToConfig/f5-as3-declarations/master/Common_WAF_Policy.xml", "ignoreChanges": true }

Cette prise en charge native permet aux équipes DevOps et DevSecOps de déployer facilement et rapidement un pare-feu d’applications web pour les API, les applications et les services qu’elles exploitent. À l’heure actuelle, il n’existe aucun langage Kubernetes équivalent pour les contrôleurs d’entrée ou les équilibreurs de charge qui permette spécifiquement d’activer des services liés à la sécurité. Grâce à la prise en charge des ConfigMaps, Container Ingress Services simplifie l’intégration de la sécurité des applications à Kubernetes au moyen d’un mécanisme plus naturel et familier.

RESSOURCES

Téléchargez la dernière version de F5 AS3 depuis Github

La dernière version (v1.9) de Container Ingress Services sur Docker Hub

À propos de l’auteur

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.

Autres articles de Lori Mac Vittie