L’un des principaux avantages de l’exécution de charges de travail d’intelligence artificielle (IA) et de machine learning (ML) dans Kubernetes est de disposer, grâce au contrôleur Ingress, d’un point de contrôle centralisé pour toutes les requêtes entrantes. Ce module polyvalent fait office d’équilibreur de charge et de passerelle API, offrant ainsi une base solide pour sécuriser les applications d’IA/ML dans un environnement Kubernetes.
En tant qu’outil unifié, l’Ingress Controller constitue un point de contrôle pratique pour appliquer des mesures de sécurité et de performance, surveiller l’activité et garantir la conformité. Plus précisément, la sécurisation des applications d’IA/ML au niveau de l’Ingress Controller dans un environnement Kubernetes offre plusieurs avantages stratégiques que nous explorons dans cet article.
Contrôle centralisé de la sécurité et de la conformité
Comme l’Ingress Controller fait office de passerelle vers votre cluster Kubernetes, il permet aux équipes MLOps et d’ingénierie de plateforme de disposer d’un point centralisé pour appliquer les politiques de sécurité. Cela réduit la complexité liée à la configuration des paramètres de sécurité pour chaque pod ou service. En centralisant les contrôles de sécurité au niveau de l’Ingress, vous simplifiez le processus de mise en conformité et facilitez la gestion et le suivi de l’état de conformité.
Authentification et autorisation centralisées
L’Ingress Controller constitue également l’emplacement logique pour mettre en œuvre et appliquer les mécanismes d’authentification et d’autorisation régissant l’accès à toutes vos applications d’IA/ML. Grâce à une gestion rigoureuse des autorités de certification, l’Ingress Controller devient aussi la pierre angulaire de la mise en place d’architectures Zero Trust (ZT) pour Kubernetes. Le modèle ZT est essentiel pour garantir en permanence la sécurité et la conformité des applications d’IA sensibles qui exploitent des données propriétaires de grande valeur.
Limitation du débit et contrôle d’accès
L’Ingress Controller est l’endroit idéal pour appliquer une limitation du débit afin de protéger vos applications contre les abus, tels que les attaques DDoS ou les appels d’API excessifs, ce qui est essentiel pour les API d’IA/ML accessibles au public. Face à l’essor de nouvelles menaces liées à l’IA, comme le vol de modèles et les fuites de données, la limitation du débit et le contrôle des accès jouent un rôle de plus en plus important dans la protection contre les attaques par force brute. Ils contribuent également à empêcher les acteurs malveillants d’exploiter la logique métier ou de contourner les garde-fous afin d’extraire des données ainsi que des informations sur l’entraînement ou les poids des modèles.
Intégration d’un pare-feu d’applications web (WAF)
De nombreux contrôleurs Ingress prennent en charge l’intégration avec des WAF, désormais indispensables pour protéger les applications et services exposés. Les WAF offrent une couche de sécurité supplémentaire contre les vulnérabilités Web courantes et les attaques telles que celles du Top 10 de l’OWASP. Plus important encore, lorsqu’ils sont correctement configurés, les WAF protègent contre des attaques plus ciblées visant les applications d’IA/ML. Pour ces applications, où la latence et les performances sont cruciales, il convient notamment de prendre en compte la surcharge potentielle induite par un WAF. En outre, pour être efficace avec les applications d’IA/ML, le WAF doit être étroitement intégré au contrôleur Ingress afin de permettre la supervision, ainsi que la mise en place de tableaux de bord d’observabilité et de mécanismes d’alerte. Dans l’idéal, le WAF et le contrôleur Ingress doivent pouvoir partager un même plan de données.
Conclusion : intégrer le contrôleur Ingress dès les premières étapes de la planification des architectures d’IA/ML
Étant donné le rôle essentiel du contrôleur Ingress dans le déploiement d’applications d’IA/ML sur Kubernetes, il est préférable de prendre en compte ses capacités dès la conception de ces applications. Cela permet de limiter les doublons fonctionnels et de choisir plus judicieusement un contrôleur Ingress capable d’évoluer en fonction des besoins de vos applications d’IA/ML. Pour les équipes MLOps, le contrôleur Ingress devient un point de contrôle central pour de nombreuses fonctionnalités critiques liées à la plateforme et aux opérations, la sécurité figurant parmi les principales priorités.
Premiers pas avec NGINX
NGINX propose un ensemble complet d’outils et de composants pour répondre à vos besoins et renforcer la sécurité, l’évolutivité et l’observabilité de votre plateforme Kubernetes.
Vous pouvez commencer dès aujourd’hui en demandant un essai gratuit de 30 jours de Connectivity Stack for Kubernetes.
À propos de l’auteur
Articles de blog associés
Tendances actuelles des technologies cloud natives, de l’ingénierie de plateforme et de l’IA
Découvrez les principaux enseignements tirés des réponses à l’enquête annuelle F5 NGINX sur les dernières tendances en matière de technologies cloud natives, de sécurité, d’ingénierie de plateforme et d’IA.
Quels contrôleurs Ingress NGINX sont affectés par les vulnérabilités CVE-2022-4886, CVE-2023-5043 et CVE-2023-5044 ?
Lorsque de nouvelles CVE sont signalées, il est facile de ne plus savoir si elles concernent un outil de contrôleur Ingress NGINX particulier, car il existe plusieurs projets. Cet article présente les CVE et explique comment distinguer les différents projets de contrôleurs Ingress afin de dissiper toute confusion.
Votre API est-elle en temps réel ? Testez sa latence avec l’outil rtapi de NGINX
Votre API répond-elle aux requêtes en moins de 30 ms ? Si ce n’est pas le cas, il ne s’agit pas d’une API en temps réel offrant la faible latence exigée par la grande majorité des organisations. Mesurez la latence de votre API avec l’outil rtapi de NGINX et découvrez comment NGINX peut l’aider à offrir une réactivité en temps réel.
Un testeur d’expressions régulières pour NGINX et NGINX Plus
Le testeur d’expressions régulières (regex) pour NGINX et NGINX Plus vous évite de tâtonner en vous indiquant si une expression régulière utilisée dans un bloc location ou map correspond aux valeurs comme prévu. Il génère la configuration appropriée et affiche les valeurs des groupes de capture.
Caches partagés avec les clusters de cache NGINX Plus, partie 1
Optimisez la capacité de votre cache web en le répartissant entre plusieurs serveurs de cache web NGINX ou NGINX Plus. Découvrez comment procéder dans cet article.
Introduction aux microservices
Les microservices suscitent actuellement beaucoup d’intérêt. Cet article de blog est le premier d’une série de sept consacrée à la conception, au développement et au déploiement de microservices.