Inrichting, netwerk en beproeving

Bewaking, meldingsregels, ontvangers, dashboards, doorsturing en eigenaarslabels horen bij de standaardinrichting en staan als code in de opslagplaats Platform. Het vlootbeheer rolt ze uit, zet afwijkingen terug en geeft ze een nieuw cluster zonder handeling.

Ieder cluster heeft vanaf zijn aansluiting bewaking, meldingsregels en ontvangers uit de opslagplaats Platform. Een wijziging aan een beheerd object buiten versiebeheer wordt binnen 5 minuten gemeld en, waar dat wordt afgedwongen, teruggezet: Argo CD herstelt automatisch en het beleid staat in de stand afdwingen.

Een wijziging van regels, routes, doorsturing of vaste lijst gaat van de leeromgeving naar de proefgroep en dan per uitrolgolf, binnen de vastgelegde versies.

Verzamelaars, exporters en operators komen uit de gecontroleerde spiegel of de containerregistry van de cel.

Tijdens de opbouw van het basisdienstencluster heeft iedere basisdienst een eigen lokale, herstelbare bewaking en auditdoorsturing. De gemeenschappelijke bewaking vervangt die, waarna de tijdelijke voorzieningen uitgaan.

De bewaking gebruikt deze producten en versies. Wat bij OpenShift of Advanced Cluster Management hoort, volgt de upgrade van dat product.

Bij de acceptatie van de bewaking werken deze productfuncties: Logging 6.6 en de observability-addon op gehoste clusters met KubeVirt-infrastructuur, ook in tussenliggende upgradecombinaties; de audit van het geheimenbeheer naar stdout; het herladen van het clientcertificaat; het externe verzameldoel voor de controle op het vlootcluster; en TLS van de bronnen. Iedere functie heeft op haar plaats een terugvaloptie.

Upgrades van de bewaking volgen de vaste volgorde: leeromgeving, platformclusters per cel, proefgroep en uitrolgolven. Na iedere stap gaat een testgebeurtenis naar het SOC.

Ieder onderdeel van de bewaking staat in de zone van zijn cluster: de bewaking van het vlootcluster en van de platformclusters, ook van bouw- en portaalcluster, in vrf-platform, die van applicatieclusters in het afnemersdomein van hun profiel. De SIEM, de mailrelay en de bestaande apparatuurbewaking zijn RWS-brede voorzieningen in vrf-extern; servermanagement, switches en de beheeradressen van de externe verkeersverdeling staan in vrf-beheer.

De bewaking gebruikt deze verbindingen.

Alle stromen van bewaking en doorsturing staan in de zonematrix, ook de vaste platformstromen vanuit de afnemersdomeinen; iedere andere stroom weigert en logt de firewall. De aanvullingen staan in de zonematrix vóór de acceptatie van de bewaking, die van de eigen voorziening vanaf groeipadstap 2.

Alle stromen van de bewaking gebruiken TLS 1.3 waar dat wordt ondersteund, en anders TLS 1.2; SNMP versie 3 versleutelt zelf.

Consoles, Alertmanager en Grafana zijn alleen bereikbaar via de toegangsvoorziening met meerfactoraanmelding, en beheer gebeurt alleen vanaf de beheerwerkplek. Het vlootoverzicht en de consoles van de platformclusters zijn voor platformbeheer, platformlezers en auditors; alles lezen hoort bij de platformlezer en de platformbeheerder, de eigen naamruimten bij de teamontwikkelaar. Wijzigen gaat via versiebeheer.

Certificaten en geheimen van bewaking en doorsturing komen uit het geheimenbeheer en de tussen-CA van de cel en worden automatisch vernieuwd: het clientcertificaat voor de SIEM, het geheim van de metingenbucket, de sleutel van de inventaristaak, de identiteit voor de controle op het vlootcluster en de gegevens van de exporters.

Ieder onderdeel van de bewaking heeft een vaste plaatsing en een vastgelegd gedrag bij uitval.

Exemplaren van de bewaking en van de eigen bewakingsvoorziening staan in verschillende rekken, zodat één rek de bewaking niet stillegt. De bewaking erft de plaatsing van haar cluster over de rekken, start met dat cluster en komt bij herstel van een cel met ieder cluster mee in de herstelvolgorde.

Meetgegevens en beheerlogboeken krijgen geen eigen back-up: de inrichting is uit code te herbouwen, en het bewijs ligt bij het SOC. Na herstel begint de historie opnieuw.

De bewaking is geen dienst in de catalogus en heeft geen eigen dienstprofiel; zij levert interfaces aan teams, beheerdomeinen en het SOC, gescheiden door naamruimte en rol. Haar normen zijn de meldtijd, de opname van een nieuw cluster in het vlootoverzicht, de vertraging naar het SOC en de zichtbaarheid van inventarisverschillen, gemeten in de proeven van de bewaking.

Platformbeheer is eindverantwoordelijk voor de bewaking; tot de overdracht bouwt het ontwikkelteam onder die verantwoordelijkheid. Het SOC levert de SIEM, bewaart de kopie en bevestigt de ontvangst per bron. Applicatieteams zijn eigenaar van de meldingen over hun toepassingen en van eigenaar en vervanger in hun dienstbeschrijving.

Voor de bewaking bestaan deze draaiboeken. Ieder draaiboek staat in de opslagplaats Draaiboeken, kan door de dienstdoende platformbeheerder worden uitgevoerd, is vóór de overdracht door de beheerders zelf uitgevoerd en wordt daarna volgens de beproevingskalender beproefd.

Bij de acceptatie van de bewaking tonen platformbeheer en het SOC het volgende aan, als deel van de acceptatieproeven en de toets detectie en respons.

De bewaking komt in fasen, ieder met een eigen voorwaarde.