Was ist OpenShift?

OpenShift ist eine Anwendungsplattform auf Basis von Kubernetes. Die Software wird für den Aufbau verteilter, skalierender Anwendungs- und Entwicklungsumgebungen eingesetzt. Auf Basis von OpenShift lassen sich Firmen-eigene Platform-as-a-Service - (PaaS), Software-as-a-Service - (SaaS) und Containers-as-a-Service - (CaaS) Lösungen implementieren.

Die Software erlaubt das komplette Management des Anwendungs-Lifecycles, inklusive Entwicklung, Rollout, Betrieb und Wartung. Mehr als zweitausend Unternehmen weltweit setzen auf OpenShift, um ihre Anwendungen in Hybrid-Cloud-Umgebungen zu hosten. Wir erklären, wie OpenShift funktioniert und was die Software besonders macht.

Bei OpenShift handelt es sich nicht um ein einzelnes Produkt. Vielmehr veröffentlicht die Firma Red Hat verschiedene Versionen als Open Source Software unter der Apache-Lizenz. Die „Flagship“-Version ist die „Red Hat OpenShift Container Platform“ (OCP). Diese wird als Kubernetes-Cluster auf der Hybrid-Cloud Infrastruktur eines Unternehmens installiert. Ein einzelner OpenShift-Cluster kann sich also über mehrere Public- und Private-Cloud Umgebungen hinweg erstrecken.

Neben der OpenShift Container Platform (OCP) gibt es die Community-Version „OKD“, welche vormals den Namen „OpenShift Origin“ innehatte. Bei OKD handelt es sich um eine angepasste Kubernetes-Distribution, welche auf Kubernetes für die Clusterverwaltung und „Open Container Initiative“ (OCI)-konforme Container setzt. Ferner sind Funktionen für die Anwendungs-Lifecycle Verwaltung und DevOps-Tools mit an Bord. Interessanterweise ist OKD die „Upstream“-Grundlage für die Entwicklung der anderen OpenShift-Versionen – ähnlich, wie das Open-Source-Projekt Chromium als Grundlage für Entwicklung des Chrome-Browsers dient.

Neben OCP und OKD als „On-premises“-Lösungen, welche auf eigener Infrastruktur gehostet werden, gibt es eine Vielzahl an „Managed“-Lösungen. Diese laufen auf verschiedenen Public Clouds großer Anbieter, sowie auf der Cloud-Infrastruktur von Red Hat. Wir besprechen in erster Linie OCP in der zum Zeitpunkt der Artikelerstellung aktuellen Version 4.8. Schauen wir uns im Überblick die verschiedenen OpenShift-Versionen an:

OpenShift ist eine Produktreihe von Anwendungsplattformen auf Basis von Kubernetes. Die Software umfasst eine Handvoll Kernkomponenten, sowie eine Vielzahl zusätzlicher Funktionalitäten. OpenShift lässt sich in unterschiedlichsten Umgebungen hosten; dazu gehören „Bare metal“-Maschinen, Public- und Private-Clouds, sowie „Edge“-Geräte.

OpenShift basiert auf einem Software-Stack, das heißt einem Stapel miteinander verbundener Technologien. Auf der untersten Ebene kommt eine spezielle Linux-Distribution als Betriebssystem zum Einsatz. Das dabei verwendete „Red Hat Enterprise Linux CoreOS“ (RHCOS) wird auf physischer oder virtualisierter Hardware installiert.

Aufbauend auf dem RHCOS-Betriebssystem kommt Kubernetes als Container- und Cluster-Orchestrator zum Einsatz. Kubernetes übernimmt Deployment, Skalierung und Verwaltung containerisierter Anwendungen. Als nächste Ebene im Software-Stack werden Kubernetes-Operatoren verwendet. Dabei handelt es sich um vorgefertigte, einfach installierbare „Kubernetes-native“ Anwendungen. Neben Operatoren kommt bei Einrichtung und Betrieb eines OpenShift-Clusters eine Container-Registry zum Einsatz.

OpenShift setzt auf eine spezielle Kubernetes-Distribution, welche als Container-Runtime CRI-O statt Docker bzw. containerd nutzt. Durch die Loslösung von Docker als zugrundeliegender Technologie ergeben sich Vorteile in Bezug auf Sicherheit und Kompatibilität mit anderen Container-Formaten.

Ein Kubernetes-Operator überwacht den Zustand einer gesamten Anwendung. Mit Installation, Betrieb und Wartung decken Operatoren den kompletten Lifecycle einer Kubernetes-Anwendung ab. In den Worten der OpenShift-Dokumentation:

Auf der Plattform OperatorHub gibt es eine große Auswahl von Operatoren. So lassen sich beispielsweise verschiedene Datenbanksysteme mit minimalem Aufwand nahtlos in den OpenShift-Cluster einbinden. Ferner kommen Infrastruktur-Operatoren zur Verwaltung des Clusters zum Einsatz.

Wie sich zeigt, sind Operatoren essenziell für die Funktionalität von OpenShift. Ein Kubernetes-Operator ist eine Spezialisierung des Kubernetes-Controllers auf Anwendungsebene. Ein Kubernetes-Controller überwacht kontinuierlich den Zustand einer Ressource und passt bei Bedarf verschiedene Parameter an, um einen definierten Zustand zu halten.

Eine Container-Registry enthält Container-Images, welche beim Bauen von Software laufend erzeugt werden. Die Images werden versioniert, einer Sicherheitsprüfung unterzogen und in der Registry abgelegt. Interessanterweise ist innerhalb von OpenShift die Registry selbst als Operator implementiert.

Mit „Quay“ steht eine von Red Hat entwickelte Registry mit Fokus auf Sicherheit zur Verfügung. Die bei der Installation des OpenShift-Clusters benötigten Images werden von Quay bezogen. Dabei kann Quay neben den Container-Images noch weitere Build-Artefakte verwalten. In den Worten der Red Hat-Dokumentation:

Dem gestaffelten Produktmodell von OpenShift OCP und OKD folgend, existieren mehrere Versionen von Quay:

OpenShift wird auf Grundlage von Kubernetes als Cluster von Containern realisiert. Auf der Cluster-Ebene umfasst OpenShift zwei Ebenen:

1. Kontroll-Ebene („Control Plane“)

Die Kontroll-Ebene setzt sich aus sog. „Control-Plane-Maschinen“ zusammen. Diese sind auch als „Master-Maschinen“ bekannt und verwalten den OpenShift Container Platform-Cluster.

2. Arbeits-Maschinen („Worker Machines“)

Die Arbeitsmaschinen, welche auch als „Compute-Maschinen“ bekannt sind, führen die eigentlichen Arbeiten des OpenShift-Clusters aus. Master-Maschinen weisen den Arbeitsmaschinen Aufgaben zu und überwachen die Ausführung.

Eine Arbeitsmaschine betreibt die folgenden Dienste und wird dadurch in den OpenShift-Cluster eingebunden:

• CRI-O, als Container-Laufzeitumgebung,
• Kubelet, als Dienst welcher Anfragen zum Starten und Stoppen der Arbeitsaufgaben annimmt und verarbeitet,
• ein Service-Proxy, welcher die Kommunikation zwischen Arbeitsmaschinen regelt.

Die weitere Spezialisierung der Arbeitsmaschinen ergibt sich aus dem Zustand der laufenden Container und der darin enthaltenen Software.

Schauen wir uns im Folgenden detailliert den Aufbau der Kontrollebene an. Wir unterscheiden zwischen Komponenten der Kubernetes-Implementation und den OpenShift-spezifischen Komponenten:

Die OpenShift-spezifischen Komponenten der Kontrollebene sind als Operatoren implementiert:

Die OpenShift Container Plattform wird vor allem für den Aufbau von Anwendungs- und Entwicklungsumgebungen eingesetzt. So lassen sich Firmen-eigene PaaS-, SaaS- und CaaS-Lösungen implementieren. Aufgrund der Mächtigkeit und Komplexität der Software kommt OpenShift in erster Linie für langlebige Projekte großer Organisationen zum Einsatz.

Zu den Nutzern von OpenShift gehören Regierungs- und Forschungseinrichtungen auf nationaler Ebene, sowie international agierende Unternehmen wie Banken und Versicherungen. Die genannten Nutzergruppen profitieren allesamt von Hybrid-Cloud-Deployments. Das Deployment über Grenzen von Private- und Public-Clouds hinweg erlaubt, Teile der Infrastruktur nach lokalen Compliance-Vorgaben zu hosten.

Ein weiterer, wichtiger Aspekt, welcher für den Einsatz von OpenShift spricht, ist das hohe Maß an Sicherheit. Cyber-Einbrüchen und Datenlecks vorzubeugen ist essenziell für große, internationale Unternehmen. Denn bei Brüchen der Sicherheit drohen nachhaltiger Image-Schaden und hohe Strafzahlungen.

Die in OpenShift enthaltenen Funktionalitäten erlauben schnelle Entwicklungs-Workflows. Dies führt im Einsatz zu radikal gesenkten Entwicklungszeiträumen; firmeneigene Software-Teams können ihre Ressourcen komfortabel selbst verwalten und die Entwicklungsarbeit kontinuierlich vorantreiben.

Nutzt ein Unternehmen eines der verfügbaren Managed-OpenShift-Angebote, entfällt der Aufwand für Administration von Server und Betriebssystemen. Anstatt sich um Updates und Backups zu kümmern, kann das Unternehmen sich auf das Wesentliche konzentrieren: Innovation und Werte für Kunden schaffen.

Sicherlich ist OpenShift nichts für kleine Unternehmen oder einzelne Entwickler. Um deren Anforderungen zu erfüllen, greift man lieber zu einer der verfügbaren OpenShift-Alternativen oder Kubernetes-Alternativen.

Ein großer Vorteil von OpenShift gegenüber „blankem“ Kubernetes sind die von Hause aus vorhandenen Komfortfunktionen. Diese gehen über die bloße Cluster-Verwaltung von Kubernetes hinaus. Unter anderem enthält OpenShift Funktionalitäten für:

• Software-definierte Netzwerke (SDN)
• Routing
• Authentifizierung
• Monitoring und Logging

Zur Verwaltung der Plattform enthält OpenShift neben den obligatorischen Kommandozeilen-Werkzeugen eine mächtige Web-Oberfläche. Entwicklungs- und DevOps-Workflows werden durch Nutzung von „Red Hat OpenShift Pipelines“ beschleunigt. Dabei kommt das Open Source Tekton-Framework für „Continuous integration“ / „Continuous development“ (CI/CD) zum Einsatz. Neben containerisierten Anwendungen lassen sich moderne „Serverless“-Ansätze auf Basis von „Serverless Kubernetes“ (Knative) nutzen.

Ein weiterer Schwerpunkt von OpenShift liegt auf der Bereitstellung verteilter Microservice-Architekturen. Dieses auch als „Red Hat Service Mesh“ bekannte Anwendungsmuster beruht auf dem Open Source-Projekt „Istio“. Um der mit Microservice-Architekturen einhergehenden Komplexität Herr zu werden, enthält OpenShift eine Reihe weiterer Tools: „Prometheus“ dient der Verwaltung von Monitoring und Benachrichtigungen, wohingegen „Jaeger“ die Nachverfolgung von Transaktionen erlaubt. Zur Visualisierung des Service Mesh kommt „Kiali“ zum Einsatz.

Einer der größten Vorteile bei der Nutzung von OpenShift liegt darin, die Software in einer Hybrid-Cloud-Umgebung zu betreiben. Dabei erstreckt sich ein einzelner OpenShift-Cluster über die Grenzen mehrerer Private- und Public-Clouds hinweg. OpenShift-Cluster, welche Red Hat Enterprise Linux CoreOS (RHCOS) als alleiniges Betriebssystem nutzen, profitieren von automatisierten Prozessen beim Update und Upgrade.

Durch die integrierte Red-Hat-Technologie und die in die Plattform integrierten Verwaltungswerkzeuge und -prozesse ergibt sich ein hoher Nutzungskomfort. Das Open Source-Entwicklungsmodell und die eingebauten DevOps-Funktionalitäten erlauben schnelle Entwicklungsprozesse. Die verstärkte Nutzung von Operatoren als universelles Anwendungsformat trägt zur Standardisierung bei und erleichtert vormals komplexe Anpassungen.

Der Einsatz von CRI-O als Container-Runtime anstelle von Docker führt zu einer höheren Sicherheit der Plattform. Die benutzerfreundliche Web-Oberfläche gilt als mächtiger und übersichtlicher als das vergleichbare Kubernetes Dashboard. Auch auf der Kommandozeile glänzt OpenShift mit dem oc-Befehl, welcher die Bedienung der Plattform erleichtert.

Natürlich bedingen die genannten Besonderheiten von OpenShift auch einige Nachteile. Zum einen vermissen eingefleischte Kubernetes-Nutzer die mächtigen Helm-Charts, welche den Aufbau der Infrastruktur beschreiben. Ferner lassen sich auf Grund der strengen Sicherheits-Einstellungen nicht alle Container von Docker Hub unter OpenShift nutzen. Auch der Fokus auf die Red-Hat-eigene Linux-Distribution Red Hat Enterprise Linux CoreOS (RHCOS) wirkt einschränkend; Kubernetes ist in dieser Hinsicht flexibler.

OpenShift lässt sich auf so gut wie allen Ebenen von Rechen-Infrastruktur betreiben: von „Bare metal“-Maschinen im eigenen Rechenzentrum über virtualisierte Hardware in Private- und Public-Cloud-Umgebungen, bis hin zu Edge-Geräten. Wir unterscheiden zwischen „Managed“-Lösungen, bei denen die Verwaltung der OpenShift-Plattform vom Anbieter übernommen wird, und vom Kunden administrierten „Self-managed“ Installationen: