Elastic Kubernetes Service(EKS)を使用した AWS での cSRX 導入について

cSRXコンテナファイアウォールは、メモリフットプリントが低いSRXシリーズサービスゲートウェイのコンテナ化バージョンです。cSRXは、コンテンツセキュリティ、AppSecure、統合脅威管理などの高度なセキュリティサービスをコンテナで提供します。Docker コンテナを使用することで、各コンテナが Linux ホストの OS カーネルを共有するため、cSRX はオーバーヘッドを大幅に削減できます。Linux サーバーがホストするコンテナの数に関係なく、1 つの OS インスタンスのみが使用されます。また、コンテナの軽量品質により、サーバーは仮想マシン(VM)よりも多くのコンテナ インスタンスをホストでき、利用率が大幅に向上します。cSRXコンテナファイアウォールは、コンパクトなフットプリントとDockerをコンテナ管理システムとして使用し、俊敏で高密度なセキュリティサービスの導入を可能にします。

Kubernetes(K8s)は、コンテナ化されたアプリケーションの導入、拡張、管理を自動化するオープンソースシステムです。k8sのサポートにより、cSRXはクラスター内で柔軟なファイアウォールサービスとして実行され、仮想マシンと比較してフットプリントが小さくなります。アプリケーションを論理ユニットにグループ化し、管理と検出を容易にします。K8s クラスタで実行されている cSRX には、次のようなメリットがあります。

• よりコンパクトなフットプリントでサービスを実行

• cSRX のスケールアウトとスケールを高速化

• 自動化された管理と制御されたワークフロー

K8s は、システム リソース(CPU、メモリ、またはその他のカスタム メトリック)に基づいて、ノードの分散クラスター全体でコンテナ化されたアプリケーションをオーケストレーションするメカニズムを一括で提供する一連の構築オブジェクトを定義します。K8s は、必要な機能に REST API を提供することで、コンテナのグループの管理の複雑さを隠します。

ノードは、サーバーなどのクラスター内の論理ユニットを指し、物理または仮想のいずれかが可能です。Kubernetes クラスタのコンテキストでは、通常、ノードはワーカー ノードを具体的に指します。クラスター内の Kubernetes ノードは、エンド ユーザー アプリケーションを実行するマシンです。

Kubernetes クラスターには 2 種類のノードがあり、それぞれが適切に定義された一連のプロセスを実行します。

• ヘッドノード:プライマリーノードまたはプライマリノードとも呼ばれ、すべての思考を行い、すべての決定を行う頭と脳です。すべてのインテリジェンスが揃っています

• ワーカーノード:ノード、またはミニオンとも呼ばれ、従業員を行う手と足です。

ほとんどの場合、ノードはプライマリによって制御されます。

クラスターとユーザー間のインターフェースは、コマンドライン・ツールの kubectl です。クライアントアプリケーションとして、同じプライマリノードまたは別のマシンにインストールされます。

Kubernetesのオブジェクトは次のとおりです。

• ポッド

• サービス

• ボリューム

• 名前 空間

• レプリケーション

• コント ローラー

• レプリカセット

• 展開

• ステートフルセット

• デーモンセット

• ジョブ

K8sの導入では、フランネルと Weave CNI の両方で Multus を使用できます。

cSRXを備えたKubernetesノードポート/イングレスコントローラをサポートするために、環境変数CSRX_MGMT_PORT_REORDERにより、cSRXはコンテナ管理インターフェイスを収益インターフェイスとして使用できます。cSRXを備えたKubernetesノードポート/イングレスコントローラ機能は、Flannel/Weave CNIでのみサポートされています。CSRX_MGMT_PORT_REORDERを「yes」に設定すると、管理ポートの動作の再構成を明示的に制御できます。Multus CNIを使用してcSRXに接続されたインターフェイスへのcSRXシェルやSDディスカバリーへのアクセスと同様です。

たとえば、CSRX_MGMT_PORT_REORDER=yesでcSRXを eth0/eth1/eth2 で起動した場合、新しい管理インターフェイスとして eth2 を使用できます。

メモ：

この eth2 へのトラフィック転送は、ユーザーが明示的に定義した iptables ルールを介して行う必要があります。

cSRXでサポートされている機能の概要については、 cSRXでサポートされているJunos OS機能を参照してください。

AWSは、マネージドKubernetes(K8s)サービスを提供します。これらのマネージドサービスは、K8s環境の設定と運用への依存を減らすことで、メリットがあります。Multus CNIを使用したK8s環境におけるcSRXのオーケストレーションと管理はすでにサポートされています。K8sをサポートすることで、cSRXとその環境の他のコンテナワークロードを導入、管理、オーケストレーションできるようになりました。

cSRXコンテナファイアウォールは、コンテンツセキュリティ、侵入防御システム(IPS)、AppSecure、統合脅威管理(UTM)などの高度なセキュリティサービスで、コンテナ化された環境を保護します。

利点：

• 自動化されたサービス プロビジョニングとオーケストレーション

• 分散型およびマルチテナンシーのトラフィック保護

• コンパクトなフットプリントで拡張性に優れたセキュリティ サービス

現在、Multus CNIを使用したK8s(Kubernetes)環境におけるcSRXのオーケストレーションと管理がサポートされています。cSRXは、Kubernetesサービスまたはポッドとして導入できます。Kubernetesのサポートにより、クラスター内のcSRXで展開、管理、オーケストレーション、スケールアウト、拡張が可能になり、AWS環境の他のコンテナワークロードと同様に、アプリケーションコンテナに柔軟なファイアウォールサービスを提供できます。

詳細については、 cSRX 導入ガイド Kubernetes を参照してください。

AWSは、マネージドK8sをサービスの一部として短いサービスで提供しています。これらのマネージドサービスでは、K8s環境の設定と運用への依存を減らすことで、メリットを得ることができます。また、パブリッククラウドプラットフォーム上のパブリッククラウドでワークロードを保護するために、コンテナ化されたファイアウォール(cSRX)を導入するオプションも提供される必要があります。コンテナワークロードに移行する企業は、コンテナの管理とオーケストレーションにK8sを使用していますが、AWS(およびGCPおよびMicrosoft Azure)が提供するサービスは、使いやすさと低いメンテナンスに対する需要を高めています。

AWS では、コンテナに対して 、Elastic Container Service(ECS) と Elastic Kubernetes Service(EKS)の 2 つのオーケストレーション サービスを提供します。

Elastic Kubernetes Service(EKS): これは完全に管理されたKubernetesサービスです。オープンソースのKubernetesを適応させ、オープンソースバージョンを完全にサポートします。EKSはAmazonのマネージドサービスで、AWSクラウド上でのKubernetesアプリケーションの実行をサポートします。EKSは、高可用性を提供する複数のゾーンにKubernetesコントロールプレーンを設定するのに役立ちます。EKSは、必要に応じて、問題のあるコントロールプレーンインスタンスを検出し、自動バージョンアップグレードとパッチに置き換える機能を備えています。EKS は、認証用のコンテナ イメージ、ID およびアクセス管理(IAM)ロール、ネットワーク分離用 AWS VPC、負荷分散用の Elastic Load Balancing を保持する Elastic Container Registry(ECR)と完全に統合されています。

AWSクラウドでcSRXを導入および管理するには、Elastic Kubernetes Services(EKS)オーケストレーションを使用して、個人所有ライセンス(BYOL)ライセンスモデルを使用してクラスター管理を行います。