Veldnotities uit de service-mesh-praktijk
Elk report begint bij een echte situatie uit het draaien van Istio en Envoy, laat het patroon erachter zien en wat dat betekent voor platform- en securityverantwoordelijken. Alle reports verschenen eerst op LinkedIn, in het Duits.
Het beste aan de Kubernetes Gateway API is geen nieuwe feature. Het is het antwoord op een vraag die de oude API’s nooit hebben gesteld: Van wie is dit?
Vier posts verder en nog even ver als daarvoor? Wat wordt het nu, Ambient of sidecar? Dat hangt ervan af. Waarvan? Daarbij helpt het volgende raster met vijf rijen.
Bij de migratie naar Ambient kan verkeer uit het dashboard verdwijnen zonder weg te zijn. Een stappenplan met controlepunten vangt dat op.
Ambient doet veel dingen goed. Voor harde enterprise-eisen blijf ik voorlopig bij de sidecar. De reden daarvoor staat in geen enkele benchmark.
Een policy die er in de review onschuldig uitzag, kapt in Ambient verbindingen die ze had moeten toestaan. De reden zit een laag dieper.
Een proxy-update in het sidecar-model betekent: elke pod start opnieuw, of iemand legt de onderhoudsvensters van twintig teams over elkaar.
De vrijgave kwam uit staging, groen over de hele linie. Drie weken later brandt in productie een pad dat staging nooit heeft gezien.
“De sidecar kost ons te veel.” of “Die valt in het niet.” Twee zinnen uit bijna elk mesh-debat. Gemeten heeft ze bijna niemand.
Sidecar-upgrade klinkt als infrastructuur. Voor jullie pods betekent het: restart. Voor jullie clients betekent het: hangt ervan af.
De belangrijkste vraag bij een mesh-upgrade is niet hoe je vooruitkomt. Maar hoe je terugkomt als de eerste golf knarst.
In veel backlogs staat een ticket dat binnenkort jarig is. Het heet ‘mesh-upgrade’ en schuift al maanden van sprint naar sprint.
De workload-certificaten in jullie mesh zijn kortlevend en roteren automatisch. Al jaren, zonder dat iemand ernaar kijkt. Precies daarom kijkt ook niemand meer naar de rest van de keten.
Nauwelijks ligt het egress-thema op tafel, of de reflex komt: “We bouwen een egress-gateway, dan loopt alles via één plek.” Besloten is het vaak voordat iemand vraagt wat het eigenlijk moet afdwingen.
Naar binnen is jullie mesh nu Zero Trust: mTLS op STRICT, default op Deny. En naar buiten? Daar belt hij met wie hij wil.
Na de ombouw naar STRICT uit de vorige aflevering is elke verbinding in de mesh versleuteld en wederzijds geauthenticeerd. Klinkt alsof het doel bereikt is. Alleen: elke workload mag nog steeds met iedereen praten.
“mTLS is geactiveerd”, zegt het team. Bij navraag staat de mesh-default sinds de invoering op PERMISSIVE. Dat is geen “geactiveerd”. Dat is een “misschien”.
Op 30 september zet AWS App Mesh uit. Dat is geen deprecation-warning meer, dat is een uitschakeldatum.
Bijna elke mesh draait op dezelfde motor. Vandaag haal ik hem uit elkaar. Wees niet bang voor de diepte, het zijn precies vier onderdelen.
Istio, Kuma, Consul, App Mesh, Gloo. Vijf namen, en onder de motorkap vijf keer dezelfde proxy: Envoy.
Tien Field Reports. Bijna allemaal hadden ze dezelfde wortel. En die zat nooit in Istio.
Tijdens een incident openen de meesten eerst Grafana. Alles groen. Precies daar blijft het team steken.
Vorige week twee teams: het ene gokt drie uur lang, het andere is in twintig minuten klaar. Het verschil is geen talent. Het is dit ene pad.
De meeste mesh-incidents zijn niet moeilijk. Ze zien er alleen zo uit.
Het gat dichten zonder de tenant zijn autonomie af te nemen.
Wie tenants eigen VirtualServices toestaat, zet de deur open voor MITM in het eigen mesh.
Vanuit Soltau, live vanaf CloudLand: wie is er eigenlijk verantwoordelijk in het mesh?
20, 100, 500+ configuratieobjecten - en niemand durft iets te verwijderen.
Istio brengt elke drie maanden een minor release uit. Klinkt planbaar.
mTLS overal actief, dashboards groen - en niemand kan zeggen wat er werkelijk versleuteld draait.
Uli Renz bouwt en beveiligt sinds Istio 1.4 service meshes in sterk gereguleerde enterprise-omgevingen. De patronen in deze reports komen uit dat werk.
Draait je mesh al in productie, dan is de Posture Check de eerste stap: 13 controlegebieden, elke bevinding met een ernstniveau en een onderbouwing uit de configuratie. In 90 minuten lopen we de lijst samen door.
Het aanvraagformulier op istio-consulting.de is in het Duits.
