Deploying secure service mesh for applications on k8s with using A10's Lightining ADC
•
1 gefällt mir•412 views
Presentation regarding deploying secure service mesh with A10 Network's Lightning ADC at Openstack Days and CloudNative Days Tokyo 2019. #OSDT2019 #CNDT2019
Empfohlen
Empfohlen
Weitere ähnliche Inhalte
Was ist angesagt?
Was ist angesagt? (20)
Ähnlich wie Deploying secure service mesh for applications on k8s with using A10's Lightining ADC
Ähnlich wie Deploying secure service mesh for applications on k8s with using A10's Lightining ADC (20)
Kürzlich hochgeladen
Kürzlich hochgeladen (11)
Deploying secure service mesh for applications on k8s with using A10's Lightining ADC
- 1. Reliable Security Always™ k8s上のアプリケーション向け Secure Service Meshを A10でつくる A10ネットワークス株式会社 ソリューションアーキテクト 石塚 健太郎 kishizuka@a10networks.com 2019年7月22日 CNDT-OSDT2019
- 2. 2 目次 • A10ネットワークスのご紹介 • Lightning ADC • セキュアサービスメッシュソリューション • フリートライアルと各種リソース • まとめ
- 4. 4 会社概要 A10 Networks, Inc. (NYSE: ATEN) ◦ 設立:2004年9月 ◦ 代表者:Lee Chen (CEO and Founder) ◦ 本社所在地:米国カリフォルニア州サンノゼ A10ネットワークス株式会社 • 設立:2009年4月 • 代表者:川口 亨 (日本法 人代 表 兼 社 ⾧ 米国 本社ヴ ァイ スプ レ ジ デ ント 兼務 ) • 拠点:東京本社(六本木)、大阪支店(梅田) シリコンバレー発 グローバル企業 830+(日本: 60+) 従業員数 27 拠点のある国 6,800+ 導入社数 80+ 製品・サポート提供先の国 世界のリーダー企業で採用 安定した成⾧ $180M $196M $227M $235M $232M 2014 2015 2016 2017 2018
- 5. 5 A10ネットワークスのプロダクトポートフォリオ o DDoS防御 o DDoS検知 o 高度な レポーティング o 脅威 インテリジェンス o SSL通信の可視化 o SSL復号 /再暗号化 o URL フィルタリング o セキュアWeb ゲートウェイ o データセンター ファイアウォール o Gi/SGi ファイアウォール o IPsec-VPN o ADC／CGNの 全機能 o 高度な 負荷分散 o SSLオフロード o 広域負荷分散 o WAF o セキュア サービスメッシュ o フォワードプロキシ o キャリアグレード NAT o IPv4枯渇対策 o IPv6移行技術対応 セキュリティ Thunder TPS Thunder CFW Thunder ADC Thunder CGN アプリケーション配信 Lightning ADC aGalaxy (TPSの管理) Harmony Controller (マルチクラウド, マルチサービスのトラフィック可視化と管理)
- 6. 6 柔軟な選択:フォームファクタ 仮想 ベアメタル コンテナ クラウド アプライアンス 独立した インスタンス 最適な パフォーマンス クラウド ネイティブ クラウド インスタンス ハイパフォーマンス オープンなREST API （aXAPI）
- 8. 8 エコシステムとの統合 SDN DevOps CLOUD AUTOMATED POLICY A10のオープンなAPIを通じた自動化ポリシー *Roadmap プライベート クラウド o VMware vRO, Cisco UCSD* o OpenStack, Nutanix, Huawei, ZTE o Docker/Kubernetes, Openshift 仮想ネットワーク o Cisco ACI o Big switch o Netcracker* 自動化 o Ansible o Puppet o Chef パブリック クラウド o AWS o Azure o Google o Alibaba o Oracle
- 10. 10 CONFIDENTIAL | DO NOT DISTRIBUTE データ コントロール 計測・分析 管理ポータル APIクライアント Harmony Controller REST API Lightning ADC アプリケーション サービス クライアント Harmony Controller • 可視化と構成管理のためのコントローラー • 設定、トラフィックの可視化・計測・分析 • マルチテナントポータル・マルチクラウド管理 • REST APIによるプログラマビリティ Lightning ADC • アプリケーション配信機能を持つインスタンス • DNSレコードを通じたアクセス • クラウドインスタンスとDockerコンテナ • オートスケールへの対応 • きめ細かなトラフィック制御（L4/L7） • セキュリティ（WAF・DDoS防御）機能 • Blue-Greenデプロイメント • サーバーレスアーキテクチャへの対応 各クラウド DevOpsツール 10
- 11. 11 クラウドコントローラー • 集約されたポリシー管理 • マルチクラウド、マルチリージョン • マルチテナント、プロバイダーテナント • DNSレコードの管理 • REST API • 提供形態: SaaS、ソフトウェア アプリケーション トラフィック管理 アプリケーション セキュリティ • L4/L7負荷分散 • SSL/TLSオフロード • HTTP 2.0 • Blue-Greenデプロイメント • クラスタリング ／スケールアウト • Webアプリケーション ファイアウォール • アノマリー検知 • BOTからの防御 • 1クリックでの プロビジョニング アプリケーション分析 • アプリケーションごとの計測 • トレンドと相関 • アノマリー検知 • アラート通知 11 Lightning ADCの特⾧
- 13. 13 一般的なパブリッククラウドでの Webアプリケーション構成 ユーザー ロード バランサー リバース プロキシ Web アプリ リバース プロキシ Web アプリ リバース プロキシ Web アプリ サーバー インスタンス サーバー インスタンス サーバー インスタンス 高度なWebアプリケーション提供にはロードバランサーだけでは不十分、リバースプロキシを使うと管理が複雑化 ⇒ 豊富な負荷分散機能とリバースプロキシ機能を併せ持つADCの活用により、アプリケーション開発・運用も効率的に ロードバランサーの機能 • L4/L7負荷分散 • サーバーヘルスチェック • HTTPSの終端とオフロード • トラフィック最適化 リバースプロキシの機能 • リクエストのフィルタリング • リクエストの書き換え （ドメイン、URL、ボディ） • WebSocketの利用 • 圧縮、キャッシングや PageSpeedのポリシー適用 • サーバーヘッダーやETagのマスク • Cookieの暗号化 • ヘッダの書き換え • Cross Origin Resource Sharing （CORS）の設定 ユーザー Web アプリ Web アプリ Web アプリ サーバー インスタンス サーバー インスタンス サーバー インスタンス その他の機能 • WAF • DDoS防御 • Blue-Greenデプロイ Lightning ADCを使った場合の Webアプリケーション構成 一元的な機能提供 運用管理も効率的に クラウドサービスでのリバースプロキシの必要性
- 15. 15 マルチクラウドでの共通の機能利用とポリシーの適用 • マルチクラウド・オンプレミスで 共通の機能を利用可能 • 複数のサービスに 共通のポリシーを適用 • トラフィックの一元的な可視化と ADCの一元管理 Harmony Controller GCP上の サービス Azure上の サービス AWS上の サービス オンプレミス 上のサービス http://www.a10networks.com ブラウザ マルチクラウドの アプリケーション配信を 一元的に可視化・管理
- 17. 17 o 個々のトランザクションに対する 詳細なログ o 迅速なトラブルシュートのための 多様なフィルタリング o より高い確信を得るための 各トランザクションの詳細表示 リクエスト単位でのログの分析
- 18. 18 ユースケース:RPMWare https://www.a10networks.com/sites/default/files/case-study-files/A10-Harmony-Controller-CS-RPMWare.pdf AWS上での事業展開 アプリケーションごとの ネットワークパフォーマンスの可視化を Harmony Controllerで実現。 Lightning ADCにより アプリケーションに応じた負荷分散と セキュリティ、スケール性を実現 Lightning + Harmony Controllerの事例。パーツ販売に関するE-Commerce企業。
- 21. 21 管理ポータル APIクライアント A10 Harmony Controller Lightning ADC SaaS または セルフマネージド ユーザ アプリケーション サーバ 負荷分散 + セキュリティ + アナリティクス お客様環境 REST APIREST API コンテナベースでのLightning ADCのアーキテクチャ
- 22. 22 • 内部/外部ネットワークが独立している • PodのIPアドレスが変更され続ける • マイクロサービス間のアクセス制御が できない • アプリケーションレイヤーでの 可視化機能がない Kubernetes NodeKubernetes Node Kubernetes環境の現状の課題
- 23. 23 • セキュリティとコンプライアンスのため、 マイクロサービス間のコミュニケーションを 制御する必要がある • 論理的なポリシー適用が出来ない組織では、 クラスターを独立させて運用している Kubernetes Node Kubernetes Node Kubernetes Node Kubernetes Node マイクロサービス間のアクセス制御
- 24. 24 • 複数のトラフィック制御レイヤーは レイテンシーの増加につながる ◦ IPS/IDS ◦ L7負荷分散 ◦ Kube-proxy レイテンシーの最小化 Kubernetes Node
- 25. 25 Kubernetes環境の課題 Kubernetes環境の特性 影響 L3ポリシーのみサポート L7のセキュリティルールを 作成できない トラフィックフローに対する 複数のレイヤー レイテンシーの増加 PodのIPアドレスが随時変更される IPベースのセキュリティポリシーが 無意味に マイクロサービス間の アクセスコントロールが無い 複雑なデプロイのアーキテクチャ アプリケーショントラフィックの 可視化ができない セキュリティポリシーの最適化が難しい
- 26. 26 運用コストの最小化 Kubernetes Node Side-car Proxy Deployment リソースが必要 高いTCO Kubernetes Node Hub-spoke Proxy Deployment オーバーヘッド少 低いTCO vs
- 27. 27 A10 Lightning ADCによるセキュアサービスメッシュ 分散型でスケーラブルな負荷分散（North-South） Kubernetes Cluster Node Node Node Ingress Controller Harmony Controller • コンテナネイティブな L7トラフィック制御のための ロードバランサー （HTTPヘッダに含まれる あらゆる情報での トラフィックルーティングが可能） • TLSオフロード • アプリケーションレスポンスの 高速化 • WAF • L7 DDoS防御 • ロードバランサーの集中管理 • アプリケーションレイヤーの トラフィック可視化と アナリティクス
- 28. 28 A10 Lightning ADCによるセキュアサービスメッシュ マイクロサービス間のアクセス制御（East-West） • マイクロサービス間の アクセスコントロール • Lightning ADCを マイクロサービス間の 透過的なプロキシとしてデプロイ • トラフィック制御ポリシーと セキュリティポリシーを East-Westトラフィックに適用 • アクセス制御ポリシーの定義に サービスラベルを利用 • ノード間の通信を 透過的に暗号化
- 29. 29 o インテリジェントなSSL/TLSでの コミュニケーションによる セキュリティの強化 o ノード間のトラフィックのみを 暗号化 o 宛先ノードのサービスは 復号されたトラフィックを受信 o アプリケーションサービス側の 変更は不要Node 1 Node 2 S1 S2 透過的なトラフィックの暗号化
- 30. 30 セキュアサービスメッシュの導入事例 • FinTech企業での導入事例 • Agilityの向上のため、全てのアプリケーションプラットフォームを Kubernetes上に移行 • マイクロサービス間の可視化とセキュリティがこれまでできていなかった • Kubernetes外部にADCを配置したくなかった － 従来型のADCは検討外 競合との比較 o Istio/Envoyを検討したが、必要な機能が未成熟で、依然開発段階であった o コミュニティサポートよりも商用サポートが必要であった o ADCを提供する競合他社は同様のソリューションに1年以上の開発期間が必要だった
- 31. 31 o アプリケーション、クライアント、 インフラストラクチャ間の 問題の同定 o 迅速で一貫性のある対処の実現 o ピンポイントでの問題に対する 正しいアクションの実現 アプリ単位での可視化: エンド-エンドのレイテンシ
- 32. 32 A10セキュアサービスメッシュの優位性 • Lightning ADCの持つ既存の機能で動作する • East – Westトラフィックだけでなく North – Southトラフィックも同時に扱うことが可能 • Side-car Deployと比較して必要なリソースが少ない • 透過型/明示型でのデプロイができる • Lightning ADCの持つセキュリティ機能を利用可能 （WAF、DDoS防御、サージプロテクションなど） • Harmony Controllerによる詳細なサービストラフィックの 可視化とアラートをそのまま利用できる
- 35. 35 Lightning ADCのフリートライアル 30日間のフリートライアルが可能 （Harmony ControllerとLightning ADCのライセンスが無料） https://get.a10networks.com/free-trial/
- 37. 37 まとめ
- 38. 38 シンプルで優れたセキュリティとアナリティクス • 迅速なアプリケーション配信に適したLightning ADC • シンプルなアーキテクチャによるセキュアサービスメッシュ ◦ North-Southトラフィックのセキュリティ ◦ East-Westトラフィックのセキュリティ • マルチクラウドにおける一元管理と アプリケーショントラフィックの可視化とアナリティクス
- 39. Thunder for Container 多数実績のあるADC/CGN/CFW機能、操作性をそのままコンテナで提供 初のコンテナによるCGN 最大200Gbpsのスループットを実現 コンテナ本来の高いポータビリティを実現 容易なオーケストレーター連携、マルチクラウドで利用可能 Interop 2019 Best of Show Award グランプリ 受賞! SLB CGNAT/IPv6 Firewall/ Proxy GTP Firewall Visibility Analytics
- 40. Thank You Reliable Security Always™