KubeCon 2023: voorkom wegsmeltende kennis en security by default

De RAI in Amsterdam was midden april een en al KubeCon, met gemiddeld 17 (!) parallelle sessies. Tel daar de stands van cloud native tools, projecten en bijdragende organisatie op de beurs bij op … levert een fear of missing out. Deze beurs was voor True engineers het moment om mensen te spreken van projecten waar we mee werken, en te kijken naar nieuwe projecten (het liefst lichtgewicht en zo min mogelijk workload) om voor klanten mee te werken. Van een grootdeel van de sessies is een opname gemaakt, die op het YouTube-kanaal van CNCF staan.

In een keynote talk legde Emily Fox (Apple) de nadruk op delen en overdragen van kennis. In een grote community zoals de cloud native community, gaan mensen weg. Daarmee smelt ook kennis weg, als een gletsjer. Ze drukte aanwezigen en contributors aan projecten op het hart: laat een project beter achter dan dat je het hebt gevonden.

Hoewel cloud native technologie nog “maar” 8 jaar is, neemt technologie en kennis snel toe. Extra belangrijk dus om kennis niet te laten wegsmelten, door onder andere het beschrijven van je inzichten en extra bijdragen aan documentatie. Daarmee zorgt iedereen ervoor dat de community het hele jaar kan bloeien, in plaats van alleen specifieke seizoenen als nieuwe contributors helemaal zijn ingewerkt en het project eigen hebben gemaakt.

On screen walk throughs of live code deployen tijdens een event, en op die manier kennis delen: het getuigt van lef en kracht. Je weet nooit precies wat er gebeurt 😬 En al helemaal niet als je, zoals Whitney Lee (VMware) en Viktor Farcic (Upbound), je publiek laat bepalen met welke cloud native tools je gaat werken. “Maak het ons zo moeilijk mogelijk met jullie keuze!” In de talk “Choose Your Own Adventure: The Treacherous Trek to Development” namen ze ons mee in het avontuur van soure code naar container image tot deployment. Voor elke stap zijn meerdere tools beschikbaar, die Whitney ontzettend snel en helder toelichtte. Het geeft de levendigheid van de community aan, en maakt tegelijk het leren van Kubernetes en cloud native tools zo complex. En als het fout gaat? “Fix it right away!” Met een applaus van de aanwezigen als het gefixt is. Op YouTube hosten ze een stream ‘You Choose’, waar ze een serie aan demo’s van Kubernetes development workflows meegeven.

🎥 Zelf het avontuur meemaken? Bekijk de talk hier 👉

Een talk op KubeCon kan dienen als groepstherapie. Althans, voor Ricardo Rocha en Spyridon Trigazis (beide CERN). Het was een jaar na de dag dat éénderde van de clusters in productie per ongeluk verwijderd werden. En dan hebben we het over 119 clusters! Wat bleek achteraf: er draaide een maintenance tool, die ongebruikte clusters moest opschonen. Ondanks uitvoerig testen ging dat mis en werden clusters en registry clusters in productie verwijderd. Inzichten uit deze talk: gebruik het principe ‘clusters as cattle’ (waarbij clusters vervangbaar moeten zijn) en directe communicatie met betrokken collega’s is essentieel om dit samen goed op te lossen.

🎥 Bekijk hier de CERN talk 👉

Het kan eigenlijk niet anders dan dat security een blijvende trend op KubeCon is. De cloud blijft een aantrekkelijke plek voor cybercriminelen, met onder meer aanvallen op data en storage databases. Niet verwonderlijk dat dan ook veel nieuwe tools voor security worden ontwikkeld. Het aantal CNCF tools in deze categorie is flink toegenomen, zeker ten opzichte van andere categorieën. Ook zijn veel security tools naar de volgende fase gegroeid, van sandbox naar incubating of van incubating naar graduated. Dat geeft developers en engineers goede mogelijkheden om hackers voor te blijven.

Elke cloud native site of app en bijbehorend platform heeft een supply chain van tools, wat het aanvalsoppervlakte van je diensten vergroot. Wat zijn de 7 grootste oorzaken van cloud breaches? In deze talk gaf Maya Levine (Sysdig) ze mee, inclusief geleerde lessen en acties die je zelf kunt ondernemen. Geen no-brainers of generalistische uitspraken dus.

🎥 Alle praktijkvoorbeelden mét geleerde lessen en acties zelf zien, kan hier  👉

Wil je – of moet je – voor security een stap verder gaan, dan lenen Confidential Containers zich daarvoor. Dit open source project borduurt voort op Kata containers, waar al lagen zijn gescheiden voor de veiligheid. Confidential Containers schermen workload nog verder af van (mogelijk niet te vertrouwen) infrastructuur. Interessant voor bijvoorbeeld het verwerken van grote bronnen gezondheidsdata.

🎥 Bekijk de talk over Confidential Containers hier 👉

Superfijn dat je met containerscanners je containers images op kwetsbaarheden kunt checken. Alleen geven verschillende soorten scanners niet dezelfde kwetsbaarheden aan. En wat als er een grote lijst uit komt, zo groot dat je voor het oplossen alleen maar daar aan kunt werken in plaats van doorontwikkeling en nieuwe releases? Een beetje losgeslagen developer zou kunnen bedenken: dan houd ik die scanners voor de gek. Precies wat cloud native security experts Ian Coldwater (Independent), Duffie Cooley (Isovalent), Brad Geesaman (Ghost Security) en Rory McCune (Datadog) deden. Laag voor laag pelden ze de scanners af, om er uiteindelijk voor te zorgen dat de teller van kwetsbaarheden op nul staat. Niet dat de kwetsbaarheden zijn opgelost … de scanners detecteren het niet meer. Een goede reminder om zorgvuldig te zijn bij welke tools je vertrouwd. Scanners zijn om de tuin te leiden als je niet weet hoe ze werken.

🎥 Bekijk hier hoe dat er in de praktijk uit ziet 👉

Volgend jaar vindt KubeCon in Parijs plaats. De stad van de liefde wordt dan de stad van de cloud native community. We kijken er naar uit! Zien we je dan?