Tanzu Mission Controlとは

Tanzu Mission Control（以下、TMC）とは、あらゆる環境に構築されたKubernetesクラスタの一元管理を叶えるソリューションです。

Kubernetesの評価が高まるにつれ、企業はより多くのKubernetesクラスタを構築していきたいと考えます。しかし、データセンター、パブリッククラウド、エッジなど、環境を問わずKubernetesクラスタが構築されていく中で、果たして効率よくすべてを管理できるのでしょうか？

TMCは、まるで管制センターのように、単一の制御ポイントからすべてのクラスタを管理してくれるプラットフォームです。まさにエンタープライズに適したKubernetes運用を実現してくれます。さっそく、TMCの詳細を見ていきましょう。

Tanzu Mission Control 3つの特徴

Cluster APIによる新規クラスタの容易な作成とライフサイクル管理

Cluster APIとは、一言でいえば、Kubernetesクラスタに必要なインフラごとデプロイ、およびスケーリングやアップデートまでしてくれるインストーラのようなものです。

TMCでは、Cluster APIを経由して、AWSやvSphere環境でのKubernetesクラスタをデプロイしています。（2020年12月現在Azure未対応。今後対応予定）Cluster API経由でデプロイされたクラスタは、スケーリングやアップデートなど、ライフサイクル管理が実行されます。

既存クラスタのアタッチ（Attached Cluster）

TMCでは、たとえばAWSのEKS（Elastic Kubernetes Service）や、Microsoft AzureのAKS（Azure Kubernetes Service）など、外部で作成されている既存クラスタを、TMCに接続させ、まとめて管理することも可能です。

ただし、この場合はCluster APIを使っていません。そのため、外部で作成されたクラスタに関しては、ライフサイクル管理対象外となります。

では、結局「既存クラスタに関しては、TMCは有用ではないのか？」というと、そうではありません。次に説明するような、アタッチされた既存クラスタも含む包括的なポリシー適用やバックアップ機能こそ、エンタープライズでは重要であり、TMCの本質的な価値といえます。

Open Policy Agentを用いた運用ポリシーを、適切なクラスタに一括適用可能

Kubernetesにも、存在し得る脅威があります。たとえば、悪意のあるイメージの配布、あるいは意図的に巨大なPodを生成することで、次々にホストOSを落としたり、また、Podから強引にホストOSを乗っ取ったりするなど、その優秀な機能を逆手にとったリスクが考えられます。

Kubernetesにはそれらに対抗する仕組みが不十分、あるいはそもそも存在していません。そのためTMCでは、大きく3つに分かれた以下のポリシー運用によって、さまざまな脅威からKubernetesクラスタを保護しています。

Security Policy

Open Policy Agent（汎用性をもつポリシーエンジン。Pod Security Policy（PSP）と呼ばれる、Kubernetesがもつポリシー定義機能の代替として注目されている。※PSPは、非推奨になることがアナウンスされている）を活用し、セキュリティを遵守していないPodの立ち上げを阻止する。

Image Policy

許可されていないリポジトリからのイメージダウンロードを阻止する。

Namespace Policy

リソースを宣言していないPodの立ち上げを阻止する。

ただし、それぞれのクラスタにログインして、一つ一つにポリシーを適用させるのは、運用管理の面から見ても現実的ではありません。特に、マルチクラスタを構成するエンタープライズにおいては、なおさらです。ある程度グルーピングをして、複数のクラスタにポリシーを一括適用させるのが望ましいでしょう。

TMCでは、「Cluster Group」および「Workspace」という単位でグルーピングを行い、ポリシーを包括的に適用させています。

たとえば、5個のクラスタを、Cluster Groupという1つの単位で扱います。（仮に「Cluster Group A」とします）5個のクラスタがまとめられたCluster Group A自体にポリシーを適用させることで、その配下のクラスタすべてにポリシーを適用させることができる、というわけです。もちろん、配下のクラスタにどうしても個別でポリシーを設定したいときは、オーバーライドさせることも可能です。

また、適用されたポリシーの一部のName Spaceを、Workspaceとして定義することもできます。これによって、管理者、あるいは開発者で見える画面を制限することが可能です。

適用されたポリシーに万が一違反している部分があれば、ポリシーインサイトと呼ばれるTMCの機能によって、単一画面から一目でわかるようになっています。

Veleroによるデータプロテクション

TMCでは、「Velero」と呼ばれるオープンソースソリューションを利用して、クラスタと永続ボリュームのバックアップから、リストアまでを実現しています。また、リストア先を別のクラスタに指定できる機能も今後追加予定です。この機能が追加されれば、クラスタ間の移行を簡単に行うことができます。

Tanzu Mission Controlを使用すれば、Kubernetes環境を統合管理できる

このような特徴をもつTanzu Mission Controlを使用することで、エンタープライズにおけるKubernetesマルチクラスタ環境を、Tanzuの管理下でまとめて運用できます。

TMCに加えて、第7回に解説したTanzu製品群の一つ「Tanzu Kubernetes Grid」、また、Kubernetes関連ソフトウェアのカタログを提供する「Tanzu Application Catalog」がさらに充実してくれば、VMwareはKubernetes環境でのソフトウェア流通市場において、ひいてはクラウド市場全体において、より確固たる地位を築いていくでしょう。

富士ソフト　VMware 仮想化ソリューションのご紹介

 

 

この記事の執筆者