L'équipe de développement d'OpenKruise, projet relevant de la Cloud Native Computing Foundation (CNCF), a annoncé le lancement de la version 0.6.0 d'OpenKruise Agents. Cette mise à jour représente un bond en avant qualitatif dans la gestion des environnements d'exécution isolés (Agent Sandboxes) sur la plateforme Kubernetes, en mettant l'accent sur le renforcement de la sécurité, l'amélioration des capacités opérationnelles et l'optimisation de l'efficacité de la consommation des ressources.
Transformation radicale de l'infrastructure
Dans cette version, le projet est passée d'une simple couche de travail à la possession de son propre plan de données (Data Plane). De nouveaux composants tels que traffic-control-plane et traffic-proxy ont été ajoutés, permettant de contrôler le trafic, d'inspecter les politiques et de distribuer les identités en tant qu'éléments fondamentaux au sein du système, au lieu de dépendre d'extensions externes.
Principales nouvelles capacités
- Contrôle de l'accès réseau (L4/L7) : La nouvelle version fournit un système de contrôle du trafic à double couche, où l'accès est inspecté au niveau L4 (réseau) pour garantir la rapidité, tandis qu'une inspection approfondie est effectuée au niveau L7 (application) à l'intérieur de la passerelle centrale, permettant une protection avancée contre les attaques SSRF et l'injection de commandes.
- Gestion des identifiants (Token Management) : Le système d'injection d'identifiants à partir des Kubernetes Secrets a été intégré, garantissant que les clés d'API ne parviennent pas directement au code de l'agent ou à l'environnement d'exécution, mais qu'elles sont injectées au moment de la sortie de la requête du cluster.
- Améliorations de SandboxUpdateOps : La nouvelle version a introduit la fonctionnalité CheckpointRestore, qui permet de mettre à niveau les environnements d'exécution sans perdre l'état du système de fichiers ou de la mémoire, tout en prenant en charge la mise à niveau des environnements en pause (Paused) sans qu'il soit nécessaire de les réveiller manuellement.
- Mise à l'échelle automatique des pools (PoolAutoscaler) : La gestion de la capacité des pools est transformée en une politique déclarative (Declarative Policy) reposant sur des objectifs définis (Watermarks) et des calendriers, ce qui réduit les coûts en diminuant la capacité pendant les périodes d'inactivité.
- Mise en pause et reprise automatiques : La fonctionnalité de mise en pause basée sur l'inactivité et de reprise à la demande (Wake-on-traffic) a été introduite, ce qui réduit considérablement la consommation de ressources processeur pour les environnements inactifs.
Pourquoi cette mise à jour est importante
Cette version constitue une solution essentielle pour les entreprises qui gèrent des agents d'intelligence artificielle à grande échelle. En intégrant les politiques de sécurité et le contrôle réseau directement dans la couche d'orchestration, les développeurs n'ont plus besoin de concevoir des mécanismes de protection personnalisés pour chaque application. De plus, des fonctionnalités telles que Wake-on-traffic contribuent à réduire tangiblement les coûts du cloud computing en arrêtant les environnements inutilisés sans altérer l'expérience de l'utilisateur final.
Limitations et considérations de sécurité
Les développeurs soulignent que ces contrôles fonctionnent au niveau de la passerelle acheminée et n'empêchent pas les conteneurs s'exécutant avec des privilèges root ou disposant des privilèges NET_ADMIN de contourner ces politiques. Par conséquent, il est recommandé d'adopter cette version dans le cadre d'une stratégie de défense en profondeur (Defense in Depth), en l'intégrant aux politiques réseau traditionnelles de Kubernetes.