Kubernetes（K8s）：クイック学習ガイド

Kubernetesは、コンテナ化されたアプリケーションを大規模にオーケストレーションして実行します。ただし、アプリケーション コードを配布して実行するために、コンテナ化された形式にパッケージ化する手段は提供していません（コンテナ イメージにはアプリケーション コードと、必要なランタイム、ライブラリ、その他のソフトウェア依存関係が含まれています）。また、ポッドを実行するために、Kubernetesでは、各ノードにコンテナ ランタイムをインストールする必要があります。Kubernetesは当初、コンテナ ランタイムとしてDocker Engineを使用していましたが、Kubernetes 1.24時点で、コンテナ ランタイムはコンテナ ランタイム インターフェイス（CRI）に準拠している必要があり、Docker Engineは準拠していません。よく使用される2つのCRI準拠のコンテナ ランタイムが、CRI-Oとcontainerd（元々はDockerプロジェクト）です。

アプリケーションをコンテナにパッケージ化するには、Dockerのようなツールが必要です。Dockerは、コンテナ化されたアプリケーションを構築、共有、実行するための最も一般的なツールの一つです。オンプレミスや、Kubernetes環境などのクラウドで実行してデプロイできる、移植可能なコンテナ イメージへのアプリケーションのパッケージ化を合理化して自動化します。Dockerでパッケージ化されたコンテナは、containerdおよびCRI-Oランタイムでネイティブに実行できます。

Kubernetesプラットフォームはノードで構成されており、それらのノードが結合されてクラスタになります。クラスタ内で、それらのノードはプールされたコンピューティング リソースを共有します。各クラスタは、Kubernetesのアーキテクチャでデプロイ可能な最小単位であるポッドを管理します。ポッドには、1つ以上のアプリケーション コンテナが含まれています。ポッドがグループ化されてサービスを構成します。Kubernetesクラスタ内のアプリケーションには、いくつかの方法を使用して外部からアクセスすることができ、Ingressコントローラは最も一般的で効率的な方法の一つです。

Kubernetesのデプロイメントでは、クラスタ内のポッドのレプリカ（またはインスタンス）のセットとしてアプリケーションをどのように実行するかを記述します。デプロイメントでは以下を定義します。

• 実行するポッドのレプリカの数
• ポッドの更新を段階的にロールアウトする方法
• ポッドのレプリカを以前の状態にロールバックする方法
• ポッドのレプリカを水平方向に拡張する方法

Kubernetesは、クラスタ内で実行されているコンテナ化されたアプリケーションにネットワーク接続を提供するために、IPv4/IPv6デュアル スタックをサポートしています。Kubernetesクラスタ内のアプリケーションとの通信と、クラスタ内のサービス間の通信はどちらも、レイヤ4（IPアドレス、ポート）とレイヤ7（ホスト名、ユニバーサル リソース識別子[URI]）で管理され、ルーティング、ロード バランシング、セキュリティ、監視、および可視化機能が含まれています。

サービス メッシュは、Kubernetesクラスタ内のサービス間の通信（サービス間または東西の接続）を制御するインフラストラクチャ レイヤです。最も一般的なサービス メッシュのユース ケースには、K8sクラスタ内のサービス間で行われる通信のmTLS認証/暗号化と可観測性が含まれます。

NGINX Gateway Fabricは、Ingressコントローラおよびサービス メッシュのユース ケースを1つのツールで効果的に組み合わせるように設計されています。NGINX Gateway Fabricを使用した統合アプリケーション デリバリの詳細については、当社のブログ「NGINX Gateway Fabric Version 1.0の発表」をご覧ください。

Kubernetesのセキュリティは、インフラストラクチャ（オンプレミスおよびクラウド コンピューティング リソース、ネットワーク通信、管理プレーン）と、Kubernetesクラスタ内で実行されているアプリケーションを保護するための多層的なアプローチです。

インフラストラクチャを保護するには、クラウドおよびオンプレミスの実装を保護するための一般的なセキュリティの推奨事項、チュートリアル、ベスト プラクティスに従ってください。

アプリケーションの安全性を高めるために、エッジとKubernetesクラスタ内に強力なセキュリティ管理を実装して、クラスタ間およびクラスタ内でのすべての通信に対して、認証、認可、アクセス制御、暗号化、監視、可視化、およびオプションでWeb Application Firewallとサービス拒否対策を提供してください。

Kubernetesの保護については、当社のブログ「トラフィック管理ツールを使用してKubernetesを保護する6つの方法」をご覧ください。

Kubernetesの導入が始まった当初は、DIY（Do-It-Yourself）アプローチが主流でしたが、多くの組織にとって構築と運用は複雑で困難です。このため、本番環境へのデプロイメントでは、クラウド管理型Kubernetesプラットフォームや事前にパッケージ化されたKubernetesディストリビューションが採用されています。これらは、さまざまな技術要素を統合してメンテナンス ライフサイクルを簡素化し、ハイブリッドおよびマルチクラウド環境に導入できます。

管理型Kubernetesプラットフォームと事前にパッケージ化されたKubernetesプラットフォームの例をご紹介します。

クラウド管理型Kubernetes：

• Amazon Elastic Kubernetes Service（EKS）
• Microsoft Azure Kubernetes Service（AKS）
• Google Kubernetes Engine（GKE）

事前にパッケージ化されたKubernetesディストリビューション：

• Red Hat OpenShift
• Rancher by SUSE
• VMware Tanzu

NGINXのKubernetesネイティブの接続およびセキュリティ スタックは、オンプレミス、クラウド、エッジで実行されているKubernetesアプリケーションの複雑性の低減、アップタイムの向上、大規模での詳細なリアルタイムの可視化により、カスタマ エクスペリエンスを向上させるのに役立ちます。