Kubernetes Grundlagen Schulung: Anwendungen sicher betreiben

Container und Kubernetes einordnen

• Container gegenüber virtuellen Maschinen: Namespaces, cgroups und OCI-Images
• Wofür Kubernetes steht: deklarativer Sollzustand und Controller als Kontrollschleifen
• Kernfunktionen: Selbstheilung, Skalierung, Service Discovery, schrittweise Rollouts
• Distributionen und Managed Services: k3s, OpenShift, EKS, AKS und GKE im Vergleich
• Container-Runtimes über CRI: containerd und CRI-O, warum Docker-Images weiterlaufen

Architektur und Begriffe

• Control Plane: API-Server, etcd, Scheduler und Controller Manager
• Pod als kleinste Einheit: mehrere Container, gemeinsames Netzwerk, Init-Container
• Native Sidecar-Container für Proxys und Log-Sammler im selben Pod
• Workload-Ressourcen: Deployment, ReplicaSet, DaemonSet und Job im Vergleich
• Services: ClusterIP, NodePort, LoadBalancer und DNS-Namen im Cluster
• Labels, Selektoren und Annotations; Namespaces als logische Trennung
• Kubelet, kube-proxy und CNI-Plugin: was auf jedem Node läuft

Lokaler Cluster und erste Anwendung

• Lokaler Cluster unter macOS mit minikube, kind oder dem Kubernetes von Docker Desktop
• Lokaler Cluster unter Windows mit WSL 2 und Docker Desktop oder minikube
• Weitere Optionen: k3d, Rancher Desktop und kurzlebige Test-Cluster in der Cloud
• kubectl einrichten: kubeconfig, Kontexte und Standard-Namespace wechseln
• Hello World: Deployment mit kubectl create anlegen und per Service erreichbar machen
• Vom imperativen Befehl zum versionierten YAML-Manifest mit kubectl apply
• Die Anwendung erkunden: kubectl get, describe, logs und port-forward

Produktionsreife herstellen

• Labels setzen, ändern und entfernen mit kubectl label und im Manifest
• Mit Labels filtern und Varianten trennen; empfohlene app.kubernetes.io-Labels
• Liveness-, Readiness- und Startup-Probes: wann welche Prüfung greift
• Ressourcen-Requests und -Limits, QoS-Klassen und OOMKilled verstehen
• Rolling Updates mit maxSurge und maxUnavailable, Rücksprung mit kubectl rollout undo
• Verfügbarkeit bei Wartung und Last: PodDisruptionBudget und Horizontal Pod Autoscaler
• Fehlerbilder CrashLoopBackOff, ImagePullBackOff und Pending systematisch eingrenzen
• Events lesen und mit kubectl debug einen ephemeren Container anhängen

Anwendung mit Datenbank, Konfiguration und Jobs

• Mehrschichtige Anwendung: API, Frontend und Datenbank über Services verbinden
• Headlamp als Web-Oberfläche statt des archivierten Kubernetes Dashboard; k9s im Terminal
• ConfigMaps als Umgebungsvariablen und als eingebundene Konfigurationsdateien
• Secrets: Base64 ist keine Verschlüsselung; Encryption at Rest und External Secrets
• Jobs mit backoffLimit und completions, CronJobs mit Zeitplan und Zeitzone
• StatefulSets mit stabilen Pod-Namen, PersistentVolumeClaims und StorageClasses
• Datenbank-Operator oder eigenes StatefulSet: Kriterien für die Entscheidung

Netzwerkzugang und Isolation

• Ingress-Ressourcen und Ingress-Controller für HTTP-Zugriff von außen
• Gateway API mit GatewayClass, Gateway und HTTPRoute als Nachfolger von Ingress
• TLS-Zertifikate automatisch ausstellen und erneuern mit cert-manager
• NetworkPolicies: Datenverkehr zwischen Namespaces und Pods einschränken

Kubernetes in der Produktion

• Produktionscluster: Managed Service oder kubeadm, hochverfügbare Control Plane, Upgrades
• Paketierung mit Helm-Charts und Kustomize-Overlays je Umgebung
• GitOps mit Argo CD oder Flux: das Repository als einzige Quelle des Sollzustands
• Namespaces im Detail: ResourceQuotas, LimitRanges und Mandantentrennung
• Monitoring mit Prometheus, kube-state-metrics und Grafana-Dashboards
• Zentrales Logging: Ausgaben auf stdout, Sammeln mit Fluent Bit, Auswertung in Loki
• Authentifizierung über Client-Zertifikate, OIDC-Anbieter und ServiceAccount-Tokens
• Autorisierung mit RBAC: Roles, ClusterRoles, Bindings und kubectl auth can-i
• Pod Security Admission mit den Profilen baseline und restricted

Kubernetes-Betrieb mit Coding-Agenten

• Eigener ServiceAccount mit view-Rolle und separatem kubeconfig-Kontext für den Agenten
• Agent wertet Events, kubectl describe und Pod-Logs aus und benennt die wahrscheinliche Ursache
• Generierte Manifeste vor jeder Änderung mit kubeconform, --dry-run=server und kubectl diff prüfen
• Kyverno-Richtlinien fangen fehlende Limits, latest-Tags und privilegierte Pods aus Agentenvorschlägen ab
• Ausrollen nur per Pull Request ins GitOps-Repository, nie per kubectl apply des Agenten in Produktion

Praxisprojekt: Ticketsystem auf einem kind-Cluster

• API und Web-Frontend als Deployments, PostgreSQL als StatefulSet mit persistentem Volume
• Konfiguration über ConfigMap und Secret, nächtliches Datenbank-Backup als CronJob
• Rolling Update mit Probes, absichtlich defektes Image erkennen und zurückrollen
• Helm-Chart, RBAC-Rollen und Prometheus-Metriken als Übergabepaket an den Betrieb