VKS 3.8’de node’lara SSH kapanıyor, upgrade’ler tek adıma iniyor

VMware, vSphere Kubernetes Service’in VKS 3.8 sürümünü duyurdu. Sürüm çok adımlı otomatik upgrade, node pool placement kontrolü, node’larda SSH erişiminin kapatılması, External Secrets Operator ile vault entegrasyonu ve Tekton tabanlı CI pipeline’ları getiriyor. NVIDIA GPU’lar için Dynamic Resource Allocation, OpenTelemetry ve VKS Quick Start ise ileriki bir sürüme bırakıldı.

VMware vSphere Kubernetes Service nedir, ne işe yarar?

VMware vSphere Kubernetes Service (VKS), VMware Cloud Foundation içinde gelen ve Kubernetes cluster’larını doğrudan vSphere altyapısı üzerinde çalıştıran CNCF sertifikalı bir Kubernetes runtime’ıdır. Kurum içi veri merkezinde ya da private cloud’da Kubernetes işleten platform ekipleri, cluster yaşam döngüsünü vSphere yönetimiyle birlikte yürütmek için kullanır. Benzer alandaki alternatifleri arasında Red Hat OpenShift ve Rancher sayılabilir.

Duyurunun büyük kısmı pazarlama diliyle yazılmış. Ama altında platform ekibinin günlük işini değiştiren iki somut şey var: node’lara SSH erişimi kapanıyor ve çok adımlı upgrade’ler tek işlemde yürüyor. vSphere üzerinde Kubernetes işletiyorsanız VKS 3.8 notlarını okurken bugün geleni vaatten ayırmanız gerekiyor.

VKS 3.8’de bugün gelenler, sonraya kalanlar

Duyurudaki her özellik bu sürümde yok. Dipnotta “Will be delivered in a future release” notu üç başlıkta duruyor:

• NVIDIA GPU’lar için DRA (Dynamic Resource Allocation)
• OpenTelemetry ile full-stack izleme
• VKS Quick Start

Bu sürümde gelenler ise chained upgrade, node pool placement, SSH kapatma, AIDE ile dosya bütünlüğü kontrolü, External Secrets Operator entegrasyonu ve Tekton. GPU paylaşımı için yükseltme planlıyorsanız acele etmeyin. VKS 3.8 bu ihtiyacı henüz karşılamıyor. Policy Bundle ve OPA Gatekeeper add-on’ları da yeni değil, önceki sürümlerden geliyor.

SSH kapanıyor: yükseltmeden önce kontrol edin

VKS 3.8, control plane ve worker node’larında SSH erişimini programatik olarak kapatıyor. Güvenlik tarafında yerinde bir hardening (sıkılaştırma) adımı. Brute force yüzeyi daralıyor, node’larda elle yapılan OS değişiklikleri bitiyor.

Asıl risk operasyon tarafında. Node’a SSH ile bağlanıp log toplayan, dosya kopyalayan ya da kernel parametresi değiştiren script’leriniz varsa yükseltmeden sonra çalışmayacak. Önce otomasyon repository’lerinde arayın:

grep -rn "ssh " ./scripts ./ansible

Bulduğunuz her adım için Kubernetes içinden bir karşılık gerekiyor: DaemonSet, log toplayan bir agent ya da kubectl debug. Arıza anında node’a girmeyi runbook’a yazmış ekipler bu belgeleri yükseltmeden önce değiştirmeli.

AIDE tarafı periyodik olarak sistem dizinlerini tarayıp yetkisiz dosya değişikliklerini yakalıyor. Duyuru bu alarmların nereye düştüğünü söylemiyor. Bunu release notes’ta kontrol edip SIEM’inize bağlamadan özelliği “açık” saymayın.

Chained upgrade ve node placement kime ne kazandırıyor

Birkaç minor sürüm geride kalmış cluster’larda her ara sürüm ayrı bir cordon/drain turu demekti. VKS 3.8’de hedef sürümü seçiyorsunuz; sistem bağımlılık kontrolünü yapıp ara adımları kendisi yürütüyor. Worker node’lar tüm süreçte yalnızca bir kez drain ediliyor. PodDisruptionBudget’ı sıkı ayarlanmış stateful iş yükleri için bakım penceresi belirgin şekilde kısalır.

Sistem deprecation sorunlarını da işaretliyor. Bu listeyi upgrade’i başlatmadan okuyun. Kaldırılan bir API’yi kullanan manifest, otomatik süreçte de kırılır.

Placement özellikleri VCF 9.1 şartına bağlı. Active-active stretched cluster’da node pool’ları belirli bir site’a pinleyebiliyorsunuz. Control plane placement filtering ile GPU’lu host’ları control plane scheduling’inden hariç tutuyorsunuz. Yani pahalı GPU kartı olan host’a artık control plane VM’i düşmüyor, dağıtım kalan cluster’lar arasında otomatik sürüyor.

Secret’lar ve admission policy’leri

External Secrets Operator add-on’u HashiCorp Vault, AWS Secrets Manager, Azure Key Vault ve GCP Secret Manager’dan credential çekiyor. Git’te düz metin secret tutan ekipler için bu bir geçiş yolu. İşe envanterle başlayın:

grep -rln "kind: Secret" .

Bulunan manifest’leri ExternalSecret kaynaklarına taşıdıktan sonra değerleri de döndürün. Git geçmişinde kalan bir secret, dosyadan silinse bile sızmış kabul edilir.

Gatekeeper policy setleri CISA ve NSA Kubernetes hardening rehberiyle CIS benchmark’a göre hazırlanmış. Bunları çalışan cluster’da doğrudan engelleme modunda açarsanız eski deployment’lar rollout sırasında reddedilebilir. Önce Gatekeeper’ın dryrun modunda ihlal listesini toplayın, sonra deny’a geçin.

Tekton ve Kubernetes 1.37 takvimi

Tekton, CI pipeline’larını cluster içinde CRD’lerle çalıştırıyor ve Argo CD ile senkronize oluyor. Build ortamı dış ağa açılmıyor; image imzalama ve provenance da bu akışa dahil. Dış ağ erişimi kısıtlı ortamlar için anlamlı bir seçenek. Çalışan bir harici CI’ınız varsa taşımak için tek gerekçe bu olmamalı.

VKS release takvimi artık platform upgrade’lerinden bağımsız. Sürüm Kubernetes 1.37 desteği getiriyor ve upstream release’lerinden sonraki 60 gün içinde destek verme taahhüdü sürüyor. Broadcom’un 24 aylık uzatılmış destek politikası da buna eşlik ediyor.

Pratik sıra şöyle olabilir: SSH bağımlılıklarını temizleyin, VKS 3.8’e chained upgrade ile geçin, Gatekeeper policy’lerini dryrun ile açın, en son secret’ları ESO’ya taşıyın. GPU DRA için bir sonraki release’i bekleyin.