Kubernetes

Ik schrijf veel over Kubernetes. Ik draai het dagelijks. Ik vind het oprecht een mooi stuk techniek. Dus het verbaast je misschien dat ik regelmatig mensen ervan afpraat. Dit is het scenario waar ik steeds opnieuw inloop. Een klein team, één product, een roadmap vol echte features om te bouwen, en iemand heeft besloten dat de eerste mijlpaal een Kubernetes cluster is. Minimaal drie nodes, etcd, een CNI, een ingress controller, cert-manager, een monitoring stack. Weken werk voordat één klant iets ziet. Iedereen knikt mee, want zo ziet serieuze infrastructuur er nu eenmaal uit in 2026. ...

Als kind had ik een woord voor de dingen die me fascineerden: onkapotbaar. Onverwoestbaar was nooit helemaal het juiste woord, want onverwoestbaar betekent iets dat nooit kapot gaat. Onkapotbaar is beter. Het betekent iets dat blijft werken zelfs nadat het kapot is gegaan. Ik weet nog precies wanneer die fascinatie begon. Een foto van een A-10 Thunderbolt II die terugkwam van een missie met een halve vleugel weg, de staart aan flarden en de romp vol gaten. Dat ding bracht zijn piloot alsnog thuis. ...

De eerste keer dat iemand me vroeg “was dit vorige maand trager dan nu?”, had ik geen antwoord. Mijn Prometheus onthield maar twee weken. De data die ik nodig had was allang van lokale schijf gevallen en verwijderd. Dat gat is de hele reden dat deze post bestaat. Prometheus is de standaard voor Kubernetes metrics, en met goede reden. Het werkt prachtig, precies tot het moment dat je lange-termijn opslag nodig hebt, of een overzicht over meerdere clusters, of echte hoge beschikbaarheid. Dan loop je tegen de muur. ...

Het eerste cluster dat ik echt in productie draaide had precies één permissiemodel: alles was cluster-admin. Mijn CI pipeline, mijn monitoring stack, het kleine webhook-ontvangertje dat ik op een middag in elkaar zette. Allemaal konden ze elk secret lezen, elke deployment verwijderen en elke namespace aanraken. Het werkte prima, tot ik begon na te denken over wat er gebeurt als één van die pods wordt overgenomen. Kubernetes RBAC (Role-Based Access Control) beantwoordt één vraag: wie mag wat doen met welke resources? Het standaardantwoord op de meeste clusters is “iedereen kan alles doen,” en dat antwoord wordt stilletjes je grootste aansprakelijkheid. ...

Ik scande mijn images met Trivy. Ik dwong policies af met Kyverno. Mijn workloads kregen cryptografische identiteit via SPIFFE. Drie lagen preventie, allemaal groen, en een tijd lang voelde dat als genoeg. Toen begon ik de ongemakkelijke vraag te stellen. Wat gebeurt er nadat een pod draait? Mijn scanners controleerden de image die erin ging. Mijn admission controller controleerde de spec bij deployment. Geen van beide kijkt nog mee zodra het proces daadwerkelijk draait. Als een container om 3 uur ’s nachts wordt gepakt door een zero-day, hebben al die controls hun werk al gedaan en zijn ze naar huis. ...