Creación de un clúster de Kubernetes

Un cluster mínimo con una (1) zona, un (1) nodo trabajador es suficiente para este tutorial.

Al crear el siguiente clúster de Kubernetes:

1. Establezca el Nombre de clúster en my-us-cluster.

2. Ubíquelo en América del Norte y Dallas

3. Abra los clústeres de Kubernetes y haga clic en Crear clúster.

4. Cree un clúster a su elección de Infraestructura.

   • Los pasos siguientes son si selecciona VPC para Kubernetes en la infraestructura de VPC. Es necesario crear una VPC y una subred antes de crear el clúster de Kubernetes. Consulte la documentación Creación de clústeres de VPC para obtener más detalles.

     1. Pulse Crear VPC.
     2. En la sección Ubicación, seleccione una Geografía y una Región, por ejemplo, North America y Dallas.
     3. Introduzca un Nombre de su VPC, seleccione un Grupo de recursos y, opcionalmente, añada Etiquetas para organizar sus recursos.
     4. Deseleccione Permitir SSH y Permitir ping desde Grupo de seguridad predeterminado.
     5. Desmarque Crear subred en cada zona.
     6. Pulse Crear.
     7. En Zonas de trabajo y subredes, desmarque las dos zonas para las que no se ha creado la subred.
     8. Establezca el Nodos trabajadores por zona en 1 y haga clic en Cambiar sabor para explorar y cambiar al sabor de nodo trabajador de su elección.
     9. En Ingress, habilite Gestión de secretos de Ingress y seleccione la instancia de Secrets Manager existente.
     10. Especifique un Nombre de clúster y seleccione el mismo Grupo de recursos que ha utilizado para la VPC.
     11. El registro o la supervisión no son necesarios en esta guía de aprendizaje, inhabilite estas opciones y pulse Crear.
     12. Mientras espera a que el clúster pase a estar activo, conecte una pasarela pública a la VPC. Vaya a Nubes privadas virtuales.
     13. Pulse el nombre de la VPC utilizada por el clúster y desplácese hacia abajo hasta la sección de subredes.
     14. Pulse el nombre de la subred creada anteriormente y, en la sección Public Gateway, pulse Desconectado para cambiar el estado a Conectar.

   • Los pasos siguientes son si selecciona Clásico para Kubernetes en la infraestructura clásica. Consulte la documentación Creación de un clúster clásico estándar para obtener más detalles.

     1. En la sección Ubicación, seleccione Geografía, Disponibilidad multizona y Metro, por ejemplo North America y Dallas.
     2. En Zonas de trabajo y VLAN, desmarque todas las zonas excepto una.
     3. Establezca el Nodos trabajadores por zona en 1 y haga clic en Cambiar sabor para explorar y cambiar al sabor de nodo trabajador de su elección.
     4. En Punto final de servicio maestro, seleccione Puntos finales privados y públicos.
     5. En Ingress, habilite Gestión de secretos de Ingress y seleccione la instancia de Secrets Manager existente.
     6. Especifique un Nombre de clúster y seleccione el Grupo de recursos bajo el que crear estos recursos.
     7. El registro o la supervisión no son necesarios en esta guía de aprendizaje, inhabilite estas opciones y pulse Crear.

Mientras el clúster se está preparando, preparará la aplicación.

Despliegue de la aplicación en el clúster de Kubernetes

El clúster debe estar preparado. Puede comprobar su estado en la consola de Kubernetes Service.

1. Obtenga acceso a su clúster tal como se describe en el separador Acceso del clúster. Similar a:

   MYCLUSTER=my-us-cluster
   ibmcloud ks cluster config --cluster $MYCLUSTER
   

2. Cree el despliegue utilizando una imagen preconstruida de la aplicación. El código fuente de la aplicación se puede encontrar en este repositorioGitHub.

   kubectl create deploy hello-world-deployment --image=icr.io/solution-tutorials/tutorial-scalable-webapp-kubernetes
   

   Salida de ejemplo: deployment "hello-world-deployment" created.

3. Consiga que se pueda acceder a la aplicación dentro del clúster creando un servicio:

   kubectl expose deployment/hello-world-deployment --type=ClusterIP --port=80 --name=hello-world-service --target-port=3000
   

   Devuelve un mensaje parecido al siguiente: service "hello-world-service" exposed. Para ver los servicios:

   kubectl get services
   

4. Ejecute la aplicación en el clúster con dos réplicas:

   kubectl scale deployment hello-world-deployment --replicas=2
   

5. Puede comprobar el estado del despliegue con el mandato siguiente:

   kubectl get pods
   

Obtención del subdominio de Ingress asignado al clúster

Cuando se crea un clúster Kubernetes, se le asigna un subdominio de entrada (por ejemplo, my-us-cluster.us-south.containers.appdomain.cloud ) y una dirección IP pública del Application Load Balancer.

1. Recupere el subdominio Ingress del clúster:

   ibmcloud ks cluster get --cluster $MYCLUSTER
   

   Busque el valor de Ingress Subdomain.
2. Anote esta información para un paso posterior.

En esta guía de aprendizaje se utiliza el subdominio Ingress para configurar el equilibrador de carga global. También podría sustituir el subdominio Ingress por el equilibrador de carga de aplicaciones (ALB) público del clúster. Un <IngressSubdomain> tiene el siguiente aspecto my-us-cluster-e7f2ca73139645ddf61a8702003a483a-0000.us-south.containers.appdomain.cloud

Configuración de Ingress para el subdominio de DNS

Será necesario tener su propio nombre de dominio DNS y se creará un subdominio de balanceador de carga global en la siguiente tarea: <glb_name>.<your_domain_name>. Algo como hello-world-service.example.com <glb_name> = hello-world-service y <your_domain_name> = example.com

1. Cree el archivo glb-ingress.yaml y sustituya los marcadores de posición por sus respectivos valores:

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
    name: <glb-name>
    annotations:
      spec.ingressClassName: "public-iks-k8s-nginx"
   spec:
    rules:
    - host: <glb-name>.<your_domain_name>
      http:
        paths:
        - path: /
          pathType: Prefix
          backend:
            service:
              name: hello-world-service
              port:
                number: 80
   

2. Añada la instancia de Ingress:

   kubectl apply -f glb-ingress.yaml
   

   Puede que pasen unos minutos antes de que Ingress esté disponible tal como indica un valor de la columna DIRECCIÓN del mandato:

   kubectl get ingress
   

3. Ahora pruebe configurando la cabecera http de Host curl con el nombre de subdominio DNS para alterar temporalmente el valor predeterminado de <IngressSubdomain>:

   curl --header 'Host: <glb_name>.<your_domain_name>' <IngressSubdomain>/hostname
   

   El comando curl sería algo parecido a esto: curl --header 'Host: hello-world-service.ibmom.com' my-us-cluster-e7f2ca73139645ddf61a8702003a483a-0000.us-south.containers.appdomain.cloud/hostname

Registrar un dominio personalizado con IBM Cloud Internet Services

El primer paso consiste en crear una instancia de CIS y hacer que el dominio personalizado apunte a los servidores de nombres de CIS.

1. Si no posee un dominio, puede comprar uno a un registrador.

2. Vaya a IBM Cloud Internet Services en el catálogo de IBM Cloud.

3. Elija un plan, establezca el nombre de servicio y el grupo de recursos y pulse Crear para crear una instancia del servicio.

4. Cuando se suministre la instancia de servicio, pulse Añadir dominio.

5. Especifique el nombre de dominio y pulse Siguiente.

6. La configuración de los registros de DNS es un paso opcional y se puede omitir para esta guía de aprendizaje, haga clic en Siguiente.

7. Cuando se hayan asignado los servidores de nombres, configure el registrador o el proveedor de nombres de dominio para utilizar los servidores de nombres que se muestran.

8. En este punto puede hacer clic en Cancelar para volver a la página principal, después de haber configurado su registrador o el proveedor de DNS, se pueden necesitar hasta 24 horas para que los cambios entren en vigor.

   Cuando el estado del dominio en la página Visión general cambia de Pendiente a Activo, puede utilizar el mandato dig <your_domain_name> ns para verificar que los nuevos servidores de nombres han entrado en vigor.

Configuración de comprobaciones de estado para el equilibrador de carga global

Las comprobaciones de estado supervisan las respuestas a las solicitudes HTTP/HTTPS procedentes de agrupaciones de origen en un intervalo establecido. Se utilizan con agrupaciones de origen para determinar si las agrupaciones se siguen ejecutando adecuadamente.

1. En el panel IBM Cloud Internet Services, utilice el menú de navegación para seleccionar Fiabilidad > Balanceadores de carga globales.

2. Seleccione el separador Comprobaciones de seguridad y pulse Crear.

   1. Establezca el Nombre en hello-world-service
   2. Establezca el Tipo de supervisor en HTTP.
   3. Establezca el Puerto en 80.
   4. Establezca la Vía de acceso en /.
   5. En Configurar cabeceras de solicitud (opcional), añada el nombre de cabecera: Host y el valor: <glb_name>.<your_domain_name>
   6. Pulse Crear.

   Cuando cree sus propias aplicaciones, puede definir un punto final de estado dedicado, como por ejemplo /heathz, en el que puede informar del estado de la aplicación.

Definición de agrupaciones de origen

Una agrupación es un grupo de servidores de origen al que se direcciona el tráfico de forma inteligente al adjuntarse a un GLB. Con clústeres en el Reino Unido y en Estados Unidos, puede definir agrupaciones basadas en ubicación y configurar CIS de modo que redirija a los usuarios a los clústeres más cercanos en función de la ubicación geográfica de las solicitudes de los clientes.

Creación del equilibrador de carga global

Con las agrupaciones de origen definidas, puede completar la configuración del equilibrador de carga.

1. Seleccione el separador Equilibradores de carga y pulse Crear.

2. Especifique un nombre, <glb_name>, en Nombre para el equilibrador de carga global. Este nombre también formará parte del URL de la aplicación universal (http://<glb_name>.<your_domain_name>), independientemente de la ubicación.

3. En Rutas geográficas, haga clic en Añadir ruta.

   1. Seleccione Predeterminado en el desplegable Región.
   2. Selecciona la piscina US.
   3. Pulse Añadir.

   Repita el proceso para crear lo siguiente:

   Lista de rutas geográficas a crear

   Región	Agrupación de origen
   Valor predeterminado	EE.UU.
   Europa Occidental	Reino Unido
   Europa Oriental	Reino Unido
   Asia noreste	Reino Unido
   Asia sudeste	Reino Unido
   América del Norte occidental	EE.UU.
   América del Norte oriental	EE.UU.

   Con esta configuración, a los usuarios de Europa y Asia se les redirigirá al clúster de Londres, y a los usuarios de Estados Unidos, al clúster de Dallas. Cuando una solicitud no coincide con ninguna de las rutas definidas, se redirige a la(s) reserva(s) de la región Predeterminada.

4. Pulse Crear

En esta fase, ha configurado correctamente un equilibrador de carga global con clústeres Kubernetes en varias ubicaciones. Puede acceder al URL de GLB http://<glb_name>.<your_domain_name>/hostname para ver la aplicación. En función de su ubicación, se le redirigiría al clúster más cercano o a un clúster de la agrupación predeterminada si CIS no es capaz de correlacionar la dirección IP con una ubicación específica.

Activación del cortafuegos de aplicación web

El cortafuegos de aplicación web (WAF) protege la aplicación web ante ataques ISO de capa 7. Generalmente, se combina con conjuntos de reglas agrupadas, que tienen como objetivo proteger contra las vulnerabilidades en la aplicación filtrando el tráfico malicioso.

1. En el panel de control de IBM Cloud Internet Services, vaya a Seguridad y, a continuación, a Cortafuegos de aplicaciones web (WAF).
2. Asegúrese de que el WAF esté Activado.
3. Pulse Conjunto de reglas OWASP. En esta página puede revisar el Conjunto de reglas de núcleo de OWASP y habilitar o inhabilitar las reglas individualmente. Cuando una regla está habilitada, si una solicitud entrante desencadena la regla, se aumentará la puntuación de amenaza global. El valor Sensibilidad decide si se activa una Acción para la solicitud.
   1. Deje los conjuntos de reglas OWASP predeterminados tal como están.
   2. Establezca Sensibilidad en Low.
   3. Establezca Acción en Simulate para registrar todos los sucesos.
4. Pulse Conjunto de reglas CIS. Esta página muestra reglas adicionales basadas en las pilas de tecnología comunes para alojar sitios web.

Para una conexión segura con HTTPS, puede obtener un certificado de Let's Encrypt o a través de IBM Cloud Secrets Manager.

Aumento del rendimiento y protección frente a ataques de denegación de servicio

Un ataque de denegación de servicio distribuido (DDoS) es un intento malintencionado de interrumpir el tráfico normal de un servidor, servicio o red al saturar el objetivo o su infraestructura circundante con un flujo de tráfico de Internet. CIS está equipado para proteger su dominio de DDoS.

1. En el panel de control de CIS, seleccione Fiabilidad > Equilibrador de carga global.

2. Localice el GLB que ha creado en la tabla Equilibradores de carga.

3. Habilite las características de seguridad y rendimiento en la columna Proxy:

   

Ahora su GLB está protegido. Una ventaja inmediata es que las direcciones IP de origen de los clústeres quedarán ocultas para los clientes. Si CIS detecta una amenaza en una futura solicitud, el usuario puede ver una pantalla como esta antes de ser redirigido a la aplicación:

Además, ahora puede controlar el contenido que se almacena en la memoria caché de CIS y el tiempo que permanece almacenado en memoria caché. Vaya a Rendimiento > Almacenamiento en memoria caché para definir el nivel de almacenamiento en memoria caché global y la caducidad del navegador. Puede personalizar las reglas de seguridad global y de almacenamiento en memoria caché con Reglas de página. Las reglas de página permiten una configuración más precisa mediante vías de acceso de dominio específicas. Por ejemplo, con reglas de página puede decidir almacenar en memoria caché todo el contenido bajo /assets durante 3 días:

Eliminación de los recursos de clúster de Kubernetes

1. Elimine Ingress, puede hacerlo ejecutando el mandato siguiente:

   kubectl delete -f glb-ingress.yaml
   

2. Elimine el servicio, puede hacerlo ejecutando el mandato siguiente:

   kubectl delete service hello-world-service
   

3. Elimine el despliegue, puede hacerlo ejecutando el mandato siguiente:

   kubectl delete deployment hello-world-deployment
   

4. Suprima los clústeres si los ha creado específicamente para esta guía de aprendizaje.

Eliminar recursos de CIS

1. Elimine el GLB.
2. Elimine las agrupaciones de origen.
3. Elimine las comprobaciones de estado.
4. Actualice el DNS para el dominio personalizado.
5. Elimine la instancia CIS si la creó específicamente para este tutorial.