De basisdiensten en hun plaatsing

Voor de externe verkeersverdeling en het firmwarebeheer als virtuele machine gelden voorwaarden bij de acceptatie: de leverancier ondersteunt NetScaler BLX op virtuele machines op OpenShift Virtualization, met een licentie per exemplaar, en HPE OneView op OpenShift Virtualization. Voor de verkeersverdeling moet die bevestiging er zijn voordat de inrichting van netwerk, ingang en koppelingen begint.

De externe verkeersverdeling draait steeds als hoog beschikbaar paar, met de leden op verschillende knooppunten. Eén gemeenschappelijk paar dient het platform en de afnemers zonder eigen paar; op aanvraag via de dienstbeschrijving krijgt een afnemer een eigen paar met eigen virtuele adressen en eigen beheer, binnen de capaciteit van het cluster. De inrichting loopt via de automatisering. Een paar geeft alleen TCP door; TLS eindigt bij de dienst erachter.

Iedere basisdienst heeft een vast aantal exemplaren per cel en een vaste plek voor haar gegevens.

De installatie en de opslag per basisdienst.

De aanmelding, de geheimen en de back-up per basisdienst.

Iedere basisdienst voldoet aantoonbaar aan een eigen eis voordat zij als werkend geldt.

Per basisdienst ligt vast of cel 2 een tweede exemplaar krijgt en welke cel schrijft.

Per basisdienst schrijft de cel die daarvoor is aangewezen. Een overname door de andere cel loopt via een draaiboek, pas na uitsluiting van de oude kant, en draait op de automatisering van de ontvangende cel; de terugkeer is een aparte stap.

Afnemers zien alleen de interfaces van de basisdiensten, zonder rechten op het cluster of op zijn virtuele machines. Paden, rollen en koppelingen voor een toepassing maakt het platform bij de levering aan. Het firmwarebeheer en de datacenterregistratie hebben alleen platformbeheer, netwerkbeheer en de automatisering als gebruiker, de datacenterregistratie ook de runner; de beheerwerkplek daarnaast teams met een verhoging.

De interfaces van de basisdiensten, met hun afnemers, isolatie en grenzen.

Personen melden zich bij iedere basisdienst aan via de toegangsvoorziening van de cel met meerfactoraanmelding, of via de directory waar het product geen OIDC kent, zoals het firmwarebeheer. Toegang via API en automatisering gebruikt eigen, vastgelegde identiteiten. Lokale beheerdersaccounts zijn uitgeschakeld of liggen als noodaccount in de kluis. Een ingetrokken toegang werkt binnen 1 uur in geen enkele basisdienst meer.

Beheer van de basisdiensten loopt alleen via de beheerwerkplek, met persoonlijk account, meerfactoraanmelding, tijdelijke verhoging en opname van iedere bevoorrechte sessie. Voor het geheimenbeheer is dat een platformbrede verhoging binnen één cel; de vlootbrede rollen vragen daarnaast een hardwaresleutel.

Lokale accounts bestaan alleen als noodtoegang in de kluis, onafhankelijk van de toegangsvoorziening: twee noodaccounts per cel in Keycloak, het certificaat-kubeconfig van het basisdienstencluster en de lokale beheerder van Forgejo, midPoint, OneView, ieder lid van de externe verkeersverdeling en iLO. Ieder gebruik is binnen 5 minuten bij het SOC gemeld, en daarna wordt de noodtoegang vervangen.

Rechten en technische identiteiten gelden per cel, behalve de vlootbrede rollen, en iedere technische identiteit heeft één taak, een eigenaar en minimale rechten. Bij de basisdiensten zijn dat een leesrobot per cluster in Quay, als enig langlevend robotaccount; schrijvende robotaccounts, gefedereerd met de OIDC-uitgevers van pijplijnen en automatisering; repositorygebonden tokens in Forgejo; een API-token per automatiseringsidentiteit en voor de runner in NetBox; en een beheeraccount per paar van de externe verkeersverdeling. Hun geheimen staan in het geheimenbeheer.