«Альт Оркестрация» — специализированная неизменяемая операционная система для организации Kubernetes-кластеров. Дистрибутив разработан на основе Talos OS, ориентирован на обеспечение безопасности, предсказуемости и эффективности в Kubernetes-средах. Он не заменяет Kubernetes, а служит высоконадежной и безопасной базовой платформой для его работы.

«Альт Оркестрация» включена в Единый реестр российских программ.

Регистрационный номер ПО 29552.

Для кого предназначена «Альт Оркестрация»

• Государственные предприятия и корпорации, финансовый сектор: для развертывания приложений с высокими требованиями к доступности и безопасности
• Облачные провайдеры и хостинг-компании: для создания безопасной и масштабируемой инфраструктуры контейнерных сервисов
• DevOps-команды: для упрощения процессов развертывания, управления и обновления кластеров Kubernetes и создания изолированного и повторяемого окружения для разработки и тестирования

Преимущества системы

• Атомарность

Неизменяемая атомарная архитектура. Процесс обновления реализован как единая неделимая операция. Это исключает риск получить частично обновлённую или неработоспособную систему, гарантирует, что состояние любой ноды в кластере всегда будет предсказуемым и соответствовать известному рабочему состоянию

• API-центричное управление

Управление осуществляется через API. Традиционный доступ через shell и SSH отсутствует. Отключение SSH по умолчанию уменьшает риск взлома учетных записей и использования уязвимостей в SSH-сервисе

• Безопасность

Минимальный набор компонентов и отсутствие пакетного менеджера уменьшают потенциальные уязвимости. В системе реализованы: интеграция с TPM — аппаратным чипом для обеспечения безопасности данных и защиты системы от несанкционированного доступа, шифрование дисков и безопасная загрузка

• Минимализм

Архитектура ОС включает только компоненты и службы, необходимые для управления Kubernetes-кластерами. Образ ОС чрезвычайно мал по размеру, что приводит к очень низкому потреблению системных ресурсов, а также существенно снижает поверхность атаки

Основные функциональные возможности

Установка

• Возможность установки на физические среды (bare metal)
• Возможность установки платформы на bare-metal с помощью сервиса PXE
• Возможность установки в закрытом контуре без доступа в интернет
• Возможность установки на виртуальные среды. Поддержка VMWare/OpenStack/zVirt/PVE
• Возможность установки в публичных облаках. Поддержка нескольких поставщиков, например, Яндекс, VK, К2

Управляемость и мониторинг

• Наблюдаемость процесса обновления и автопауза при наличии ошибок в процессе
• Поддержка единой точки управления несколькими кластерами
• Наличие собственного CLI для упрощения управления платформой (talosctl)
• Возможность управления обновлением кластера Kubernets отдельно от обновления платформы через UI или CLI

Аудит и шифрование

• Шифрование трафика между узлами
• Настройка ролевой модели доступа на основе групп, атрибутов пользователя
• Ведение аудита действий пользователей
• Централизованная RBAC для нескольких кластеров. Возможность подключения внешней IDP ко всем кластерам
• Использование внешнего провайдера аутентификации LDAP/AD/OIDC
• Аудит событий Kubernetes API

Автомасштабирование и надежность

• Балансировка нагрузки контейнеров между узлами кластера
• Поддержка режима высокой доступности High Availability (HA) для компонентов кластера. Control plane переживает отказ ноды без потери API. Master-нода может меняться