OpenShift Pipelines

Informações básicas

• Modelo: O Red Hat OpenShift Pipelines é um operador que habilita recursos de CI/CD nativos da nuvem dentro da plataforma Red Hat OpenShift Container Platform. Ele é construído sobre o framework de código aberto Tekton.
• Versão: A versão estável mais recente é a 1.20.
• Data de lançamento: A versão 1.20 está disponível para o OpenShift Container Platform 4.15 e versões posteriores.
• Requisitos mínimos: Requer um cluster Red Hat OpenShift Container Platform existente. Os requisitos gerais do cluster OpenShift incluem:
  • RAM: Mínimo de 8 GB por máquina de computação, 16 GB por máquina de plano de controle e 16 GB para a máquina de inicialização (bootstrap).
  • Processador: Mínimo de 1 vCPU por host.
  • Armazenamento: Mínimo de 15 GB para o sistema de arquivos /var, 1 GB para /usr/local/bin, 1 GB para diretório temporário, mais 15 GB adicionais de espaço não alocado para o backend de armazenamento do Docker. O armazenamento persistente é necessário para a execução do pipeline.
  • Sistema Operacional: Red Hat Enterprise Linux (RHEL) 7.5 ou posterior, ou RHEL Atomic Host 7.4.5 ou posterior, executado em nós Linux.
• Sistemas operacionais suportados: Red Hat OpenShift Container Platform 4.15, 4.16, 4.17, 4.18, 4.19. Executa em nós Linux dentro de um ambiente de cluster misto.
• Última versão estável: 1.20.
• Data de Fim do Suporte: Segue a política de ciclo de vida do Red Hat OpenShift Container Platform.
• Data de Fim da Vida Útil: Segue a política de ciclo de vida do Red Hat OpenShift Container Platform.
• Data de expiração da atualização automática: Não especificada explicitamente; as atualizações são gerenciadas por meio da estrutura do operador OpenShift.
• Tipo de licença: Baseada em assinatura, disponível com uma assinatura do Red Hat OpenShift.
• Modelo de Implantação: Implantado como um operador em um cluster Red Hat OpenShift Container Platform. É uma solução de CI/CD nativa da nuvem.

Requisitos técnicos

• RAM: As solicitações e os limites de recursos para tarefas de pipeline (pods) são configuráveis. O próprio OpenShift Pipelines é executado dentro do cluster OpenShift, que requer um mínimo de 8 GB de RAM para nós de computação e 16 GB para nós do plano de controle.
• Processador: As solicitações e os limites de recursos para tarefas de pipeline (pods) são configuráveis. O cluster OpenShift subjacente requer um mínimo de 1 vCPU por host.
• Armazenamento: O armazenamento persistente é necessário para que as tarefas compartilhem conteúdo dentro de um pipeline. O OpenShift Container Platform requer um mínimo de 15 GB para o sistema de arquivos /var e espaço não alocado adicional para o armazenamento de contêineres.
• Exibição: Acesso via console web do OpenShift Container Platform (compatível com navegadores web padrão).
• Portas: Utiliza as portas de comunicação padrão do cluster Kubernetes e OpenShift. Portas específicas para webhooks e listeners de eventos podem ser protegidas com HTTPS.
• Sistema Operacional: Red Hat OpenShift Container Platform, executado em Red Hat Enterprise Linux (RHEL) ou RHEL CoreOS.

Análise dos Requisitos Técnicos: Os requisitos técnicos do Red Hat OpenShift Pipelines estão intrinsecamente ligados à plataforma OpenShift Container Platform subjacente. A alocação de recursos (CPU, memória, armazenamento) para as tarefas do pipeline é dinâmica e configurável por etapa, permitindo controle e otimização precisos. Essa flexibilidade significa que o consumo geral de recursos escala com a complexidade e a simultaneidade das cargas de trabalho de CI/CD. Os administradores devem gerenciar as cotas de recursos e os intervalos de limites nos projetos do OpenShift para evitar a contenção de recursos e garantir uma operação eficiente.

Suporte e compatibilidade

• Última versão: 1.20.
• Suporte a sistemas operacionais: Red Hat OpenShift Container Platform versões 4.15, 4.16, 4.17, 4.18 e 4.19. Executa em nós Linux.
• Data de Fim do Suporte: Alinhada com o ciclo de vida de suporte da versão específica do Red Hat OpenShift Container Platform na qual está implantado.
• Localização: Como um produto Red Hat, espera-se que ele suporte as opções de localização padrão de produtos Red Hat disponíveis por meio do console do OpenShift Container Platform.
• Drivers disponíveis: Não aplicável no sentido tradicional para software de CI/CD. Ele utiliza recursos do Kubernetes e imagens de contêiner, com extensibilidade para criar imagens usando ferramentas como S2I, Buildah, JIB e Kaniko.

Análise do Status Geral de Suporte e Compatibilidade: O Red Hat OpenShift Pipelines oferece compatibilidade robusta ao integrar-se diretamente com o Red Hat OpenShift Container Platform, garantindo uma experiência de CI/CD coesa. Sua base no Tekton proporciona portabilidade entre distribuições Kubernetes. O suporte é abrangente, vinculado às assinaturas OpenShift de nível empresarial da Red Hat e inclui acesso ao suporte colaborativo da Red Hat. A compatibilidade é mantida com versões específicas do OpenShift Container Platform, garantindo estabilidade e acesso aos recursos mais recentes.

Estado de segurança

• Recursos de segurança:
  • Construído sobre a plataforma Tekton, com segurança reforçada e integrações avançadas.
  • Tekton Chains para segurança da cadeia de suprimentos: assina execuções de tarefas, resultados de execuções de tarefas e imagens de registro OCI usando chaves criptográficas (por exemplo, x509, cosign). Suporta formatos de atestação como in-toto e armazenamento seguro de assinaturas.
  • Segredos de autenticação: Suporta kubernetes.io/basic-auth e kubernetes.io/ssh-auth para autenticação Git e de registro de contêineres por meio de contas de serviço ou espaços de trabalho.
  • Restrições de Contexto de Segurança (SCCs): Aplicam políticas de segurança para contêineres, impedindo contêineres privilegiados por padrão e restringindo o acesso a recursos do host.
  • Webhooks seguros: os ouvintes de eventos podem ser protegidos com HTTPS e terminação TLS reencriptada.
  • Contêineres Confidenciais (CoCo): Estende o isolamento de pods executando-os em Ambientes de Execução Confiáveis (TEEs) criptografados e isolados por hardware, para proteger dados e código de usuários privilegiados e infraestrutura não confiável.
  • Análise de imagens: Integra-se com ferramentas como Clair e Sysdig Secure para análise de vulnerabilidades em imagens de contêineres.
  • Controle de acesso: Utiliza o Controle de Acesso Baseado em Funções (RBAC) e o OAuth do OpenShift para gerenciar privilégios de usuário e acesso federado.
  • Lista de Materiais de Software (SBOM): Fornece listagens detalhadas dos componentes do PipelineRun.
• Vulnerabilidades conhecidas: CVEs específicas foram corrigidas em versões anteriores, como CVE-2023-39325 e CVE-2023-44487 (Ataque de reinicialização rápida HTTP/2) na versão 1.12. Vulnerabilidades gerais em componentes subjacentes (por exemplo, Golang) são monitoradas e corrigidas continuamente.
• Status na lista negra: Não aplicável.
• Certificações: Os produtos certificados pela Red Hat seguem os critérios rigorosos e a estrutura de suporte colaborativo da Red Hat, incluindo verificações contínuas de vulnerabilidades.
• Suporte à criptografia: assinatura criptográfica de artefatos, HTTPS para comunicação segura e criptografia com suporte de hardware para dados em uso por meio de contêineres confidenciais.
• Métodos de autenticação: Autenticação básica (nome de usuário/senha), autenticação baseada em SSH para Git e registros de contêineres. O próprio OpenShift oferece suporte aos provedores de identidade HTPasswd, OpenStack Keystone, LDAP, GitHub e OpenID Connect.
• Recomendações gerais: Implemente restrições de contexto de segurança (SCCs) personalizadas e contas de serviço para execuções de pipeline. Utilize imagens de contêiner confiáveis e atualize as imagens base regularmente. Empregue ferramentas de verificação de imagens e imponha segmentação de rede.

Análise da Classificação Geral de Segurança: O Red Hat OpenShift Pipelines oferece uma postura de segurança robusta, profundamente integrada aos recursos de segurança do OpenShift Container Platform. A inclusão do Tekton Chains para segurança da cadeia de suprimentos, mecanismos abrangentes de autenticação e recursos avançados, como contêineres confidenciais, demonstram o compromisso com a segurança do processo de CI/CD, do código à implantação. O monitoramento contínuo, o gerenciamento de vulnerabilidades e a conformidade com os padrões de certificação da Red Hat reforçam ainda mais sua classificação de segurança.

Desempenho e indicadores de desempenho

• Resultados de benchmarks: Não existem resultados de benchmarks públicos específicos disponíveis para o Red Hat OpenShift Pipelines como um produto independente. O desempenho é avaliado no contexto da utilização de recursos do cluster OpenShift.
• Métricas de desempenho no mundo real: os pipelines são executados sob demanda em contêineres isolados, escalando dinamicamente com base na carga de trabalho. O desempenho pode ser aprimorado aumentando o número de nós do OpenShift e habilitando o modo de alta disponibilidade para o controlador do pipeline. O consumo de recursos é gerenciado por meio de cotas e limites de recursos do OpenShift, permitindo a alocação eficiente de CPU, memória e armazenamento efêmero por tarefa.
• Consumo de energia: Não é diretamente mensurável para software. A execução eficiente em termos de recursos dentro do OpenShift contribui para a otimização do consumo de energia da infraestrutura subjacente.
• Pegada de carbono: Não é diretamente mensurável para software. O uso otimizado de recursos e o dimensionamento eficiente contribuem para a redução do impacto ambiental da infraestrutura de computação.
• Comparação com soluções similares: Como uma solução de CI/CD nativa da nuvem, construída sobre o Tekton, ela compete com ferramentas tradicionais de CI/CD como Jenkins, GitLab CI e Argo CD, oferecendo vantagens nativas do Kubernetes ao fornecer pipelines sem servidor e escalonamento sob demanda.

Análise do Desempenho Geral: O Red Hat OpenShift Pipelines oferece alto desempenho graças ao seu design nativo do Kubernetes, permitindo a execução isolada e sob demanda de tarefas de pipeline. Sua capacidade de escalabilidade dinâmica e integração com os recursos de gerenciamento de recursos do OpenShift garante o uso eficiente dos recursos do cluster. Embora benchmarks específicos não sejam publicados, o foco na otimização de recursos e em configurações de alta disponibilidade indica uma forte ênfase na manutenção do desempenho sob cargas variáveis.

Avaliações e comentários dos usuários

O feedback dos usuários destaca os pontos fortes do Red Hat OpenShift Pipelines em proporcionar uma experiência de CI/CD nativa do Kubernetes. Os usuários apreciam sua base no Tekton, que oferece portabilidade e execução sem servidor, eliminando a sobrecarga de gerenciar um servidor central de CI/CD. A profunda integração com a Plataforma de Contêineres OpenShift, incluindo o console web e a CLI, é uma vantagem significativa para desenvolvedores e operadores.

Pontos fortes:

• Abordagem nativa da nuvem e do Kubernetes para CI/CD.
• Automatiza a entrega de aplicativos e reduz o tempo de lançamento no mercado.
• Escalabilidade sob demanda com resultados isolados, repetíveis e previsíveis.
• Recursos de segurança robustos, incluindo segurança da cadeia de suprimentos com Tekton Chains e computação confidencial.
• Sem a sobrecarga operacional de gerenciar um servidor CI/CD central.
• Pipelines declarativos como código, integrados ao código-fonte da aplicação.
• Extensibilidade com diversas ferramentas do Kubernetes para criação de imagens (S2I, Buildah, JIB, Kaniko).

Pontos fracos:

• O consumo de recursos exige gerenciamento e configuração cuidadosos de cotas e limites para evitar a degradação do desempenho em ambientes multi-inquilinos.
• O desempenho pode ser afetado por um grande número de tarefas simultâneas se o cluster OpenShift subjacente não estiver adequadamente dimensionado ou configurado para alta disponibilidade.
• Requer um cluster Red Hat OpenShift Container Platform existente, o que pode ser uma barreira para ambientes que ainda não utilizam o OpenShift.

Casos de uso recomendados:

• Integração Contínua e Entrega Contínua (CI/CD) para aplicações nativas da nuvem.
• Pipelines de IA/ML que exigem entrega automatizada.
• Modernização de aplicações e fluxos de trabalho GitOps.
• Ambientes com equipes descentralizadas trabalhando em arquiteturas de microsserviços.
• Cargas de trabalho que exigem forte segurança na cadeia de suprimentos e proteção de dados em uso.

Resumo

O Red Hat OpenShift Pipelines é uma solução robusta de Integração Contínua/Entrega Contínua (CI/CD) nativa da nuvem, construída sobre a estrutura de código aberto Tekton e profundamente integrada à plataforma Red Hat OpenShift Container Platform. Seu principal diferencial reside em fornecer pipelines nativos do Kubernetes que automatizam a entrega de aplicações, oferecendo escalabilidade sob demanda e execução em contêineres isolados, eliminando assim a necessidade de um servidor CI/CD tradicional e centralizado.

Entre as principais vantagens, destacam-se seus recursos abrangentes de segurança, como o Tekton Chains para integridade da cadeia de suprimentos (assinatura de artefatos e atestados), métodos robustos de autenticação que aproveitam as restrições e segredos do contexto de segurança do OpenShift e proteção avançada de dados em uso por meio de contêineres confidenciais. Isso o torna altamente adequado para cargas de trabalho sensíveis à segurança e regulamentadas.

Embora ofereça flexibilidade e escalabilidade significativas, o gerenciamento do consumo de recursos em projetos OpenShift exige uma configuração cuidadosa de cotas e limites para otimizar o desempenho, especialmente em ambientes multi-inquilinos ou de alta concorrência. O desempenho pode ser aprimorado escalando o cluster OpenShift subjacente e habilitando recursos de alta disponibilidade.

Em geral, o Red Hat OpenShift Pipelines é uma excelente opção para organizações que utilizam o OpenShift para suas cargas de trabalho conteinerizadas, principalmente aquelas que adotam arquiteturas de microsserviços, GitOps ou que exigem alta segurança e auditabilidade em seus pipelines de entrega de software. Sua integração perfeita com o ecossistema OpenShift proporciona uma experiência de desenvolvimento simplificada e suporte de nível empresarial.

As informações fornecidas são baseadas em dados disponíveis publicamente e podem variar dependendo das configurações específicas do dispositivo. Para obter informações atualizadas, consulte os recursos oficiais do fabricante.