Команда разработчиков OpenKruise, проекта при Cloud Native Computing Foundation (CNCF), объявила о выпуске версии 0.6.0 OpenKruise Agents. Это обновление представляет собой качественный скачок в управлении изолированными средами выполнения (Agent Sandboxes) на платформе Kubernetes с акцентом на усиление безопасности, улучшение операционных возможностей и повышение эффективности использования ресурсов.
Радикальный сдвиг в инфраструктуре
В этом выпуске проект перешел от простой рабочей плоскости к наличию собственной плоскости данных (Data Plane). Были добавлены новые компоненты, такие как traffic-control-plane и traffic-proxy, что позволяет осуществлять контроль трафика, проверку политик и распределение идентификационных данных в качестве ключевых элементов внутри системы, а не полагаться на внешние дополнения.
Основные новые возможности
- Контроль сетевого доступа (L4/L7): Новая версия предоставляет двухуровневую систему управления трафиком, где проверка доступа на уровне L4 (сеть) обеспечивается для скорости, в то время как глубокая проверка на уровне L7 (приложение) выполняется внутри центрального шлюза, обеспечивая расширенную защиту от атак SSRF и внедрения команд.
- Управление учетными данными (Token Management): Интегрирована система внедрения учетных данных из Kubernetes Secrets, гарантирующая, что ключи API не попадают напрямую в код агента или среду выполнения, а внедряются при выходе запроса из кластера.
- Улучшения SandboxUpdateOps: Новая версия предоставила функцию CheckpointRestore, которая позволяет обновлять среды выполнения без потери состояния файловой системы или памяти, а также поддерживает обновление приостановленных сред (Paused) без необходимости их ручного пробуждения.
- Автоматическое масштабирование пулов (PoolAutoscaler): Управление емкостью пулов переведено на декларативную политику (Declarative Policy), основанную на целевых показателях (Watermarks) и расписаниях, что снижает затраты за счет сокращения емкости в периоды простоя.
- Автоматическое приостановление и возобновление: Представлена функция приостановки по бездействию и возобновления по запросу (Wake-on-traffic), что значительно снижает потребление ресурсов ЦП для неактивных сред.
Почему это обновление важно?
Этот выпуск является фундаментальным решением для компаний, управляющих ИИ-агентами в больших масштабах. Благодаря интеграции политик безопасности и управления сетью непосредственно в уровень оркестрации, разработчикам больше не нужно создавать пользовательские механизмы защиты для каждого приложения. Такие функции, как Wake-on-traffic, также вносят ощутимый вклад в снижение затрат на облачные вычисления за счет отключения неиспользуемых сред без ущерба для пользовательского опыта.
Ограничения и соображения безопасности
Разработчики подчеркивают, что эти элементы управления работают на уровне шлюза перенаправления и не мешают контейнерам, работающим с правами суперпользователя (Root) или имеющим привилегии NET_ADMIN, обходить эти политики. Поэтому рекомендуется использовать эту версию как часть многоуровневой стратегии защиты (Defense in Depth) в интеграции с традиционными сетевыми политиками Kubernetes.