La plataforma de contenedores y sus fronteras de confianza

Un contenedor es un proceso del sistema operativo al que se le da una vista limitada del sistema: sus propios procesos visibles, su propio sistema de archivos, sus límites de memoria. Todos los contenedores de un nodo comparten, sin embargo, el mismo núcleo. Una máquina virtual lleva el suyo propio.

Eso no hace malo al contenedor, pero cambia lo que se puede prometer. La frontera entre dos contenedores del mismo nodo es más delgada que la frontera entre dos máquinas virtuales, y por eso el diseño decide qué cargas se permiten juntas en un mismo nodo y cuáles no.

El inventario de Aceituno reparte los equipos en espacios de nombres, cada uno con su origen de código, sus datos y el grupo de nodos donde corre. El espacio de los pagos a transportistas maneja dinero. La pregunta de arquitectura es qué código ajeno comparte máquina con él.

Consulta la tabla de espacios y cruza dos columnas: el origen del código y el grupo de nodos.

Dentro del clúster, cada carga corre con una cuenta de servicio que decide lo que puede pedirle a la plataforma. Una cuenta con alcance de espacio solo toca lo suyo. Una cuenta con alcance de clúster puede tocar todos los espacios. Cuando esa cuenta pertenece a un código que no escribió la empresa, la frontera de confianza queda abierta por dentro.

Revisa las cuentas con alcance de clúster y fíjate a qué espacio pertenece cada una.

Una política de red define quién puede hablar con quién. El valor por defecto importa más que las reglas: si por defecto se permite todo, cualquier carga nueva queda conectada a todas las demás hasta que alguien se acuerde de cerrar algo. Si por defecto se deniega, cada conexión tiene que justificarse al abrirla.

Cuenta cuántos espacios de nombres de la tabla de políticas de red tienen como regla por defecto permitir todo.

Ya tienes tres hallazgos de frontera: código de terceros junto al dinero, una cuenta con poder sobre todo el clúster y tráfico abierto. El presupuesto de la plataforma es corto. Un arquitecto propone la medida que cierra más riesgo por menos esfuerzo y deja dicho qué queda sin cerrar.

Piensa qué cambio ataca la raíz común de los tres: que el diseño no separa lo que tiene distinto nivel de confianza.