Minimum recommended specifications for the Hybrid Manager#
一般的な推奨リソース要件#
PGAIHMを実行するようにKubernetesクラスターを構成する場合、最小推奨される一般リソース要件は次のとおりです。
新しいKubernetesクラスター#
既存のKubernetesクラスターでのPGAIHMの実行は、現時点ではサポートされていません。したがって、PGAIHMをホストするために、新しいKubernetesクラスターを作成する必要があります。
コンピューティング#
ハイブリッドマネージャーHMのコンピューティング要件を検討する場合、PGAIHM自分自身はすぐに比較的軽量であり、スケーリングが必要になる可能性があるさまざまなユースケースのワークロードのみであることを理解することが重要です。
PGAIHMの最小要件は、1つのマシン上の16GBのRAM、4つのvCPU、および50GBのディスクです。これらは、インストール時にPGAIHMが消費するリソースです。これは、PGAIHMのテストのみに推奨され、実稼働使用には推奨されません。
ワークロードの処理#
一般的な運用環境での使用の場合、1〜20のPostgresクラスターワークロードのサイズに応じて、次のコンピューティングの推奨事項が提案されます。
6 Kubernetesワーカーノード 、HM制御コンポーネント用に3つ、HMデータベースノード用に3つ、それぞれに次のものが含まれます。
8+コア
32 GBのメモリ
64 GBのストレージ
大規模なデータワークロードの場合、より多くのワーカーノードが必要になる可能性があります。
AI#
AIワークロード を実行する予定がある場合は、少なくとも以下を追加します。
1 GPUノード、16〜32コア、30 Giストレージ領域
ただし、AIワークロードが非常に大きい場合、または多数がある場合、より多くのGPUリソースが必要になる可能性があります。特定のモデルのニーズに必要な正確な仕様を確認するには、 NVIDIA documentation を参照してください。
オブジェクトストア#
ストレージレイヤー#
永続ボリュームの動的プロビジョニング用の コンテナストレージインターフェイス CSIドライバー compatible with Kubernetes 永続ボリュームの動的プロビジョニング用
オンプレミス展開のOpenShift Container StorageOCSまたはRook-Cephs
EKS用のAWS EBS CSIドライバー
ストレージクラス
動的ボリュームプロビジョニングで構成された少なくとも1つのデフォルトのストレージクラス
オンプレミス展開の場合、最適なパフォーマンスを得るにはNVMeをお勧めします。たとえば、 Supermicro SYS-221H-TNR のようなシステムは、高速ストレージを必要とする展開に適しています。
SAN
HMの集中化された高性能ニーズにはストレージエリアネットワークSANを使用する必要があります。
SANが保存時の暗号化をサポートし、経由でKubernetesと統合していることを確認しますCSIドライバー.
SANトラフィック用の専用で安全なネットワークを提供します。
スナップショットをサポートb_tran_9 HMでスナップショットバックアップを使用する場合、CSIドライバーがボリュームスナップショットをサポートしていることを確認します
構成設定#
KubernetesでHMを実行するには、次の構成設定をお勧めします。
Kubernetesバージョン1.20以降。
ネットワーク設定#
ポッドネットワーク
ポッドIPの最小CIDRレンジは、クラウドサービスプロバイダーまたはオンプレミスのニーズによって異なります。
例AWS EKSの場合は/22以上をお勧めします
サービスネットワーク - Kubernetesサービスの最小CIDRレンジは、CSPまたはオンプレミスのニーズによって異なります。
外部アクセス - インターネットを使用してHMにアクセスする場合、これらのイングレス/エグレス要件が適用されます
DNS - クラスター全体のDNSサービスが動作している必要があります。
セキュリティ設定#
アクセス制御
- Ensure that Kubernetes RBAC is configured with the principle of least privelege. Users, services, and pods should only have access to the resources they need.
認証
- Use secure authentication mechanisms such as integration with an identity provider (IDP)
- LDAP, SAML, or OpenID Connect
- Multi-factor Authentication (MFA)
- Enforce MFA for all administrator accounts accessing the HM.
ネットワークセキュリティ
クラスターネットワークポリシー
Kubernetesネットワークポリシーを実装して、ポッド、名前空間、および外部リソース間のトラフィックフローを制御します。
暗号化された通信
HMコンポーネントと外部クライアント間のすべての通信にTLSを使用します。
クラスター内サービス通信を保証しますは暗号化されていますb_tran_7 ファイアウォールとセキュリティグループ
オンプレミス展開の場合、Kubernetes APIサーバーとコントロールプレーンノードへのアクセスを制限するようにファイアウォールを構成します。
クラウドベースの展開の場合、セキュリティグループを使用してクラスターへのインバウンドおよびアウトバウンドトラフィックを制限します
データセキュリティ
rest
HMが使用する永続ボリュームの暗号化が有効になっていることを確認します
暗号化をサポートするストレージバックエンドを使用します例、EKSのバックアップ用のAWS S3、オンプレミスのローカルストレージの暗号化を備えたNVMe
transit
HMコンポーネントと、それらが管理するデータベースクラスター間のすべてのデータ転送の暗号化を有効にします。
シークレット管理
すべての機密情報たとえば、データベースパスワード、APIキーをKubernetesに保存します。
安全な外部シークレットマネージャーを使用しますたとえば、 HashiCorp Vault、AWS Secrets Manager )可能な場合。
バックアップセキュリティ
Barman Cloudまたはスナップショットに保存されているバックアップデータが暗号化されていることを確認します。
バックアップストレージにRBACポリシーを使用して、権限のある担当者とサービスへのアクセスを制限します。
バックアップ復元プロセスを定期的にテストして、安全で効果的であることを確認します。
モニタリングと監査
監査ログs
管理アクションと異常なアクティビティのKubernetes監査ログを有効にして監視します
ログ集計
統合されたGrafanおよびLokiスタックを使用して、セキュリティイベントのログを一元化および分析します。
アラート
次のような重要なイベントのアラートを構成します認証の失敗、不正なアクセス試行、またはリソースポリシー違反。
コンテナセキュリティ
信頼できるソースからのコンテナイメージを使用し、脆弱性について定期的にスキャンしますTrivyやClairなどのツールを使用して特権エスカレーションを無効にします。
ポッドセキュリティコンテキストで
runAsNonRootを設定します
Kubernetesクラスターセキュリティ
Kubernetes APIサーバーへの匿名アクセスを無効にします。
Kubernetesとすべての関連コンポーネントを定期的にパッチおよび更新します。
物理セキュリティ オンプレミス展開の場合
SAN Security
SANハードウェアへの安全な物理的アクセス。制限されたアクセス制御されたデータセンターにあることを確認します。
重要なSANコンポーネントの冗長化とフェイルオーバー構成を実装して、高可用性.
SANネットワークトラフィックを分離して、不正なアクセスを防止し、傍受のリスクを削減します。
コンプライアンス
HM展開が組織または業界固有のセキュリティ標準SOC 2、HIPAA、GDPRなどに準拠していることを確認します。
定期的にコンプライアンスを確認し、標準の進化に応じて構成を更新します。
HM機能またはユースケースに基づいたリソースに関するガイダンスについては、キャパシティ計画ドキュメントを参照してください。
2. Kubernetesプラットフォームとバージョンの要件#
HMは、さまざまな適合したKubernetesディストリビューションで実行されるように設計されています。サポートされているプラットフォームには次のものが含まれます。
Amazon Elastic Kubernetes Service EKS
Google Kubernetes EngineGKE
Red Hat OpenShift RHOS
注特定のバージョンの互換性は、HMリリースノートと比較して確認する必要があります。
3. Kubernetesノードとプロセッサ要件#
3.1.ノードの特性#
オペレーティングシステム ノードはLinux互換である必要があります。
プロセッサアーキテクチャ HMコンポーネントは、主にAMD64 / x86-64アーキテクチャをターゲットとしています。 PostgreSQL自分自身はARM64で実行できますが、HM展開の混合アーキテクチャKubernetesクラスターは標準ではなく、サポートが複雑になる場合があります。
3.2.最小環境レイアウト#
一般的な最小の実稼働可能環境は次で構成されます。
場所 単一の都市。
インフラストラクチャ 単一の物理データセンターオンプレミスの場合、またはクラウドサービスプロバイダーCSPの単一リージョン。
Kubernetesクラスター 1つのKubernetesクラスター。
HMのノードの割り当て - HMコントロールプレーンコンポーネントをホストし、高可用性を保証するには、少なくとも3つのKubernetesノードが必要です。これらは、適切にラベル付けされたKubernetesコントロールプレーンノードまたはワーカーノードです。
PostgreSQLのノードの割り当てオプショナルただし推奨 - 厳密なHM要件ではありませんが、リソースとラベルが許可する場合にPostgreSQLはコロケーションできます。次の場合、PostgreSQLインスタンス用に少なくとも3つの追加のKubernetesワーカーノードを使用することをお勧めします。運用ワークロードを調整して、リソースの分離とパフォーマンスを保証します。
4.外部サービスの要件#
Kubernetes内で実行されるHMは、Kubernetesクラスターにプロビジョニングしてアクセスする必要があるいくつかの外部サービスに依存しています。
ネットワーキング
ローカルネットワークインフラストラクチャオンプレミスまたはCSPの仮想プライベートクラウドVPC。
ロードバランサー HMおよびPostgreSQLサービスを公開するために必要です。これは通常、CSPの管理対象サービスです。オンプレミスのRHOSの場合、MetalLBまたはエンタープライズロードバランサーのようなソリューションを統合する必要があります。
DNS: クラスター内および外部のサービス検出のための信頼できるDNS解決。サービス公開のためのDNSレコードの制御が必要です。
IDプロバイダーIDP オプション、 integrating with existing authentication systems の場合。
オブジェクトストレージ S3互換のオブジェクトストレージソリューションは、バックアップおよびその他のプラットフォーム機能に必須です。これはCSPの管理対象サービスです。オンプレミスの場合、互換性のあるソリューションをプロビジョニングし、RHOSにアクセスする必要があります。
キー管理システムKMS 暗号化キーを管理するためのオプション。
ブロックストレージ PostgreSQLデータボリューム、およびHM.
の他のステートフルコンポーネントには、永続的な高性能ブロックストレージが必要です。
CSPでは、これは通常、AWS EBS、GCP Persistent Disk、またはAzure Disk Storageのようなサービスです.
オンプレミス展開の場合、ストレージエリアネットワークSANまたは同等の高性能ストレージソリューションが必要です。CSIドライバーを介してKubernetesと統合されています。この状況では、SANはCSPブロックストレージサービスと機能的に同等であると考えられます。
5.依存する外部サービス接続#
HMコンポーネントとEDB Postgresインスタンスを実行しているKubernetesクラスターノードには、次のEDBサービスへのアウトバウンドインターネットアクセスが必要です。
EDB Container Registry コンテナイメージをプルするため。 - エンドポイント docker.enterprisedb.com
EDB Entitlements Service ライセンス検証とサービス資格。 - エンドポイント biganimal.com