Uma das principais vantagens de executar cargas de trabalho de inteligência artificial (IA) e aprendizado de máquina (ML) no Kubernetes é contar com um ponto central de controle para todas as solicitações recebidas por meio do Ingress Controller. Trata-se de um módulo versátil que atua como balanceador de carga e gateway de API, oferecendo uma base sólida para proteger aplicações de IA/ML em um ambiente Kubernetes.
Como uma ferramenta unificada, o Ingress Controller é um ponto central conveniente para aplicar medidas de segurança e desempenho, monitorar atividades e garantir a conformidade. Mais especificamente, proteger aplicações de IA/ML no Ingress Controller em um ambiente Kubernetes oferece diversas vantagens estratégicas, que exploramos neste blog.
Controle centralizado de segurança e conformidade
Como o Ingress Controller atua como um gateway para o seu cluster Kubernetes, ele permite que as equipes de MLOps e engenharia de plataforma implementem um ponto centralizado para aplicar políticas de segurança. Isso reduz a complexidade da configuração de segurança por pod ou por serviço. Ao centralizar os controles de segurança no nível do Ingress, você simplifica o processo de conformidade e facilita o gerenciamento e o monitoramento do status de conformidade.
Autenticação e autorização consolidadas
O Ingress Controller também é o local lógico para implementar e aplicar autenticação e autorização ao acesso a todas as suas aplicações de IA/ML. Com a adição de um gerenciamento robusto de autoridades certificadoras, o Ingress Controller também se torna o elemento central para a criação de arquiteturas de confiança zero (ZT) para Kubernetes. A ZT é fundamental para garantir a segurança contínua e a conformidade de aplicações de IA sensíveis executadas com dados proprietários de alto valor.
Limitação de taxa e controle de acesso
O Ingress Controller é o local ideal para aplicar a limitação de taxa, protegendo suas aplicações contra abusos, como ataques DDoS ou chamadas excessivas à API, o que é crucial para APIs de IA/ML voltadas ao público. Com o surgimento de novas ameaças de IA, como roubo de modelos e vazamento de dados, aplicar a limitação de taxa e o controle de acesso torna-se ainda mais importante para a proteção contra ataques de força bruta. Isso também ajuda a impedir que agentes mal-intencionados explorem a lógica de negócios ou contornem as proteções para extrair dados e informações sobre o treinamento ou os pesos do modelo.
Integração com Web Application Firewall (WAF)
Muitos Ingress Controllers oferecem suporte à integração com WAFs, um requisito básico para proteger aplicações e serviços expostos. Os WAFs fornecem uma camada adicional de segurança contra vulnerabilidades comuns da Web e ataques como os do OWASP Top 10. Mais importante ainda, quando configurados adequadamente, os WAFs protegem contra ataques mais direcionados a aplicações de IA/ML. Uma consideração fundamental para aplicações de IA/ML, nas quais a latência e o desempenho são cruciais, é a possível sobrecarga introduzida por um WAF. Além disso, para ser eficaz em aplicações de IA/ML, o WAF deve estar totalmente integrado ao Ingress Controller, incluindo painéis de monitoramento e observabilidade e estruturas de alertas. O ideal é que o WAF e o Ingress Controller possam compartilhar um plano de dados comum.
Conclusão: inclua o Ingress Controller desde o início do planejamento de arquiteturas de IA/ML
Como o Ingress Controller ocupa uma posição tão importante na implantação de aplicações de IA/ML no Kubernetes, é recomendável considerar seus recursos durante a definição da arquitetura dessas aplicações. Isso pode reduzir a duplicação de funcionalidades e ajudar na escolha de um Ingress Controller capaz de acompanhar a escala e a evolução das necessidades da sua aplicação de IA/ML. Para as equipes de MLOps, o Ingress Controller se torna um ponto central de controle para muitos dos recursos essenciais de plataforma e operações, tendo a segurança como uma das principais prioridades.
Comece a usar o NGINX
O NGINX oferece um conjunto abrangente de ferramentas e componentes básicos para atender às suas necessidades e aprimorar a segurança, a escalabilidade e a observabilidade da sua plataforma Kubernetes.
Você pode começar hoje mesmo solicitando uma avaliação gratuita de 30 dias do Connectivity Stack for Kubernetes.
Sobre o autor
Publicações relacionadas no blog
Como o F5 NGINX One aprimora o gerenciamento e a observabilidade
Descubra como o F5 NGINX One aprimora o gerenciamento e a observabilidade de ambientes híbridos e multicloud ao oferecer um console web centralizado baseado em SaaS, com insights em tempo real, conformidade automatizada e gerenciamento simplificado de configurações.
Do OpenAPI ao NGINX como gateway de API usando uma API declarativa
Descubra como transformar uma definição de esquema OpenAPI em uma configuração NGINX totalmente funcional, operando como um API Gateway com a segurança de um Web Application Firewall e um Portal do Desenvolvedor, usando uma abordagem declarativa de API.
Como gerenciar picos repentinos de tráfego e sobrecarga do servidor
Picos de tráfego e sobrecarga de servidores são preocupações sérias para varejistas online em qualquer época, mas especialmente durante a “Cyber Season” de compras de fim de ano. Detalhamos como você pode aproveitar as soluções de entrega de aplicações de nível de produção da NGINX para se preparar para aumentos repentinos de tráfego.
Distribuição segura de chaves privadas SSL com o NGINX
Descrevemos três maneiras progressivamente mais seguras de proteger chaves privadas SSL ao configurar o NGINX para processar tráfego HTTPS: permitir acesso de leitura apenas ao usuário root, criptografar as chaves com senhas armazenadas separadamente e distribuir as senhas a partir de um repositório central.
Agrupando solicitações de API em lotes com NGINX Plus e o módulo JavaScript do NGINX
O módulo JavaScript do NGINX lançado com o NGINX Plus R15 oferece suporte a subsolicitações, possibilitando uma classe totalmente nova de casos de uso para o NGINX Plus. Este exemplo completo também usa a API do NGINX Plus e os módulos de chave-valor para converter solicitações de API dos clientes em solicitações separadas para as APIs dos microsserviços que compõem um aplicativo.
Como superar o esgotamento de portas efêmeras no NGINX e no NGINX Plus
Confira dicas para evitar o esgotamento de portas efêmeras com ajustes no kernel do Linux, conexões keepalive e conexões vinculadas dinamicamente a endereços IP locais.