أعلن فريق تطوير OpenKruise، المشروع التابع لمؤسسة الحوسبة السحابية الأصلية (CNCF)، عن إطلاق الإصدار 0.6.0 من OpenKruise Agents. يمثل هذا التحديث قفزة نوعية في إدارة بيئات التشغيل المعزولة (Agent Sandboxes) على منصة Kubernetes، مع التركيز على تعزيز الأمن، وتحسين القدرات التشغيلية، ورفع كفاءة استهلاك الموارد.
تحول جذري في البنية التحتية
في هذا الإصدار، انتقل المشروع من كونه طبقة عمل بسيطة إلى امتلاك مستوى بيانات (Data Plane) خاص به. تمت إضافة مكونات جديدة مثل traffic-control-plane وtraffic-proxy، مما يسمح بالتحكم في حركة المرور وفحص السياسات وتوزيع الهوية كعناصر أساسية داخل النظام، بدلاً من الاعتماد على إضافات خارجية.
أبرز القدرات الجديدة
- التحكم في الوصول للشبكة (L4/L7): يوفر الإصدار الجديد نظاماً مزدوج الطبقات للتحكم في حركة المرور، حيث يتم فحص الوصول على مستوى L4 (الشبكة) لضمان السرعة، بينما يتم إجراء فحص عميق على مستوى L7 (التطبيق) داخل البوابة المركزية، مما يتيح حماية متقدمة ضد هجمات SSRF وحقن الأوامر.
- إدارة الاعتمادات (Token Management): تم دمج نظام حقن الاعتمادات من Kubernetes Secrets، مما يضمن عدم وصول مفاتيح واجهة برمجة التطبيقات (API Keys) إلى كود الوكيل أو بيئة التشغيل مباشرة، بل يتم حقنها عند خروج الطلب من العنقود.
- تحسينات SandboxUpdateOps: أتاح الإصدار الجديد ميزة
CheckpointRestore التي تسمح بترقية بيئات التشغيل دون فقدان حالة نظام الملفات أو الذاكرة، مع دعم ترقية البيئات المعلقة (Paused) دون الحاجة لإيقاظها يدوياً. - المقياس التلقائي للمجمعات (PoolAutoscaler): تحول إدارة سعة المجمعات إلى سياسة تعريفية (Declarative Policy) تعتمد على الأهداف المحددة (Watermarks) والجداول الزمنية، مما يقلل التكاليف عبر تقليص السعة في أوقات الخمول.
- الإيقاف والاستئناف التلقائي: تم تقديم ميزة الإيقاف بناءً على الخمول والاستئناف عند الطلب (Wake-on-traffic)، مما يقلل بشكل كبير من استهلاك موارد المعالج للبيئات غير النشطة.
لماذا يهم هذا التحديث؟
يعد هذا الإصدار حلاً جوهرياً للشركات التي تدير وكلاء ذكاء اصطناعي على نطاق واسع. فمن خلال دمج سياسات الأمان والتحكم في الشبكة مباشرة في طبقة الأوركسترا، لم يعد المطورون بحاجة إلى بناء آليات حماية مخصصة لكل تطبيق. كما أن ميزات مثل Wake-on-traffic تساهم في خفض تكاليف الحوسبة السحابية بشكل ملموس عبر إيقاف البيئات غير المستخدمة دون التأثير على تجربة المستخدم النهائي.
القيود والاعتبارات الأمنية
يؤكد المطورون أن هذه الضوابط تعمل على مستوى البوابة الموجهة، ولا تمنع الحاويات التي تعمل بصلاحيات الجذر (Root) أو التي تمتلك صلاحيات NET_ADMIN من تجاوز هذه السياسات. لذا، يُنصح باعتماد هذا الإصدار كجزء من استراتيجية دفاعية متعددة الطبقات (Defense in Depth) بالتكامل مع سياسات شبكة Kubernetes التقليدية.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.