Container Engine for Kubernetes

マネージド・ノード

マネージド・ノードは、お客様のテナンシ内でプロビジョニングされ、お客様によって運用・設定されるワーカーノードです。マネージド・ノードは、仮想ノードでは対応できないコンピュート・シェイプを必要とするワーカー・ノードや、ワーカーノードに対してより高度な制御やカスタマイズされた設定を必要とするお客様に適しています。

仮想ノードを使用したサーバーレスKubernetes

仮想ノードは、サーバーレスなKubernetesエクスペリエンスを提供し、クラスタのインフラスチャの管理、スケーリング、アップグレード、トラブルシューティングに追加のリソースを費やすことなく、コンテナ化アプリケーションを大規模に実行することができます。

仮想ノードは、Kubernetesに通常のノードの抽象化を提供し、ポッド単位の価格設定できめ細かなポッド弾力性を実現します。クラスタの容量を考慮することなくデプロイメントを拡張できるため、高トラフィックのウェブアプリケーションやデータ処理ジョブなど、スケーラブルなワークロードの実行を簡素化することができます。

Kubernetesの自動アップグレード

ワンクリックでKubernetesバージョンのアップグレードをトリガーします。仮想ノードは、お客様のアプリケーションの可用性を尊重しながら、ワーカー・ノードや基礎となるインフラストラクチャの更新やセキュリティパッチをシームレスかつオンザフライで自動的に提供します。

自動スケーリングを備えた高可用性のKubernetes

任意の市販リージョンや Oracle Cloud Infrastructure (OCI) Dedicated Region 内の複数の可用性ドメイン（データ センター）にまたがるクラスタを使用して、アプリケーションの可用性を向上させます。ポッドを水平および垂直にスケールし、クラスタもスケールします。

アドオン・ライフサイクル管理

OCIが完全に管理する設定可能なアドオン・ソフトウェアの厳選されたコレクションで、Kubernetesクラスターの機能を簡単に拡張および制御できます。このソフトウェアには、お客様のクラスタ上に導入される運用ソフトウェアのポートフォリオが含まれています。また、CNI、CoreDNS、Kubernetes Dashboard、Oracle Database Operator、WebLogic Operatorなどの関連アプリやオペレーターも含まれています。

OKEは、アドオン・ソフトウェアの初期導入と設定から、アップグレード、パッチ適用、スケーリング、ローリング設定変更などの継続的な運用に至るまで、ライフサイクルを管理することができます。

ユーザーは、クラスタ作成時にアドオンを選択し、特定のアドオンの無効化、アドオンのバージョンの指定、自動アップデートやOCIが提供する特定のアドオンをオプトアウトして独自のソフトウェアを使用するなど、設定をカスタマイズすることができます。

クラスタの観測性

Oracle Cloud Infrastructure、Datadog、Aqua Securityをはじめとするパートナー各社のツールを使用して、これらのアプリケーションを監視し、保護します。

自己回復型のクラスター・ノード

ノードの障害を検出したContainer Engine for Kubernetesでは、新たなワーカー・ノードを自動的にプロビジョニングしてクラスターの可用性を維持します。

セーフ・ノード削除

自動化されたコードンとドレインオプションにより、アプリケーションを中断することなく、ワーカーノードを安全に削除します。

補償付きのSLA

OKEクラスタに含まれるサービスレベル契約（SLA）は、OKEコントロール・プレーンとワーカー・ノードのアップタイムと可用性に対して金銭的な補償を提供します。ワーカー・ノードのカバー範囲は、OCI Compute SLAが提供するものと同等です。

暗号化

キー管理サービスを使用して、保存中のKubernetesシークレットを暗号化します。

Oracleでは、256ビットの暗号化によるAdvanced Encryption Standard (AES)アルゴリズムを使用して、保存時にブロック・ボリューム、ブート・ボリュームおよびボリューム・バックアップを常に暗号化します。Oracle Cloud Infrastructure Vaultを使用して、自分の暗号化キーのライフサイクルを管理することもできます。

コンプライアンス

OCI Container Engine for Kubernetesは、HIPAA、PCI、SOC 2などの規制フレームワークに準拠します。

プライベートKubernetesクラスタと要塞

プライベート・クラスタでは、Kubernetes APIエンドポイントへのアクセスをオンプレミス・ネットワークまたはBastionホストに制限することで、セキュリティ状態を改善できます。完全にプライベートなクラスタに簡単にアクセスするために、Oracle Cloud Infrastructure (OCI)Bastionを使用できるようになりました。

ポッド・レベルの強力な分離

仮想ノードは、各Kubernetesポッドに対して強力な分離を提供します。ポッドは、基盤となるカーネル、メモリ、CPUリソースを一切共有しません。このポッド・レベルの分離により、信頼性の低いワークロードやマルチテナント・アプリケーション、機密データの実行が可能になります。

Kubernetesクラスタのネットワーク・セキュリティ・グループ

Container Engine for Kubernetesでは、すべてのクラスタ・コンポーネントのネットワーク・セキュリティ・グループ(NSG)がサポートされています。NSGは、仮想クラウド・ネットワーク(VCN)内の仮想ネットワーク・インタフェース・カード(VNIC)に適用される一連のイングレスおよびエグレス・セキュリティ・ルールで構成されます。NSGを使用すると、仮想クラウド・ネットワーク・アーキテクチャをクラスタ・コンポーネントのセキュリティ要件から分離できます。

認証と認可

ネイティブのOCI Identity and Access Management (IAM)、Oracle Identity Cloud Service、およびKubernetesのロールベースのアクセス制御を使用して、アクセスと許可を制御します。また、OCI IAMマルチファクタ認証を構成することもできます。

Workload Identityを使用すると、OCI APIおよびサービスに対してポッド・レベルでセキュアな認証を確立することができます。ワークロードに「最低限の権限」を実装することで、ユーザーが必要なリソースにのみアクセスできるようにすることができます。これにより、セキュリティ侵害や不正アクセスの可能性を最小化し、セキュリティ・ポスチャを強化することができます。

コンテナ・イメージのスキャン、署名および検証

OKEはコンテナイメージのスキャン、署名、検証をサポートしているので、アプリケーションイメージに深刻なセキュリティ脆弱性がないこと、イメージ署名を強制することで導入時にコンテナイメージの整合性が保たれていることを確認することが可能です。

Kubernetesアクティビティを監査

すべてのKubernetes監査イベントは、OCI監査サービスで使用可能になります。

オンプレミスと他のクラウドで機能するアプリの構築

Container Engine for Kubernetesでは、アプリケーションの移植性に関する標準であるCloud Native Computing Foundation（CNCF）とOpen Container Initiative（OCI）に準拠した未変更のオープン・ソースであるKubernetesを使用しています。

あらゆるツールでクラスターを管理できる柔軟性

セキュリティ、フェデレーション、可観測性、ビルド自動化に、お客様独自のツールを使用できるほか、Oracleのパートナーを活用することもできます。

エンドツーエンドのコンテナ・ライフサイクル管理

コンテナのライフサイクルを最初から最後まで管理します。OCI DevOpsでイメージを構築およびテストし、コンテナ・レジストリから導入し、Autonomous Databaseなどと統合します。

インフラストラクチャ、Autonomous Database、およびOracle WebLogic Serverとの緊密な統合

Container Engine for KubernetesはOracle Cloud Infrastructureと容易に統合できます。また、Service Brokerを使用してAutonomous Databaseと、WebLogic Operatorを使用してWebLogic Serverと、それぞれ容易に統合できます。

暗号化とコンプライアンス

Key Managementサービスを使用してKubernetesの機密情報を確実に暗号化でき、HIPAA、PCI、SOC 2とのコンプライアンスを維持できます。

プライベートKubernetesクラスターとセキュリティ

プライベートKubernetesクラスターを使用します。ネイティブのIdentity and Access Management、Identity Cloud Service、およびKubernetesのロールベースのアクセス制御（RBAC）を使用してアクセスと権限を制御します。

• パフォーマンスを目的としたOracle Cloud Infrastructureの選択
• Kubernetesセキュリティの5つのベスト・プラクティス