Kubernetes com Rancher: todos os seus clusters em um só painel, com o mesmo padrão de segurança

O que o Rancher resolve na gestão de vários clusters, quando usar RKE2 ou K3s, como o Fleet aplica GitOps, o que o Rancher Prime acrescenta e como o SUSE Security protege os containers em execução.

7 min de leitura

O primeiro cluster Kubernetes costuma nascer de um projeto e de uma equipe dedicada. O problema aparece no terceiro, no quinto, no décimo: um em AWS, outro em Azure, outro no data center, cada um com seus acessos, suas versões e seu jeito de publicar aplicação. A equipe dá conta, mas passa o dia trocando de contexto em vez de evoluir a plataforma.

Este artigo mostra o que o Rancher muda nesse cenário, sem exagero: o que ele centraliza, quais distribuições Kubernetes da SUSE fazem sentido em cada lugar, como o Fleet leva GitOps para muitos clusters, o que o Rancher Prime acrescenta à versão da comunidade e onde entra a segurança dos containers em execução.

Resumo rápido

O Rancher reúne clusters de qualquer nuvem ou data center em um só painel, com autenticação e permissões (RBAC) centralizadas.
RKE2 é a distribuição pensada para data center e ambientes com exigência de segurança; K3s é a versão leve para borda, filiais e laboratórios.
O Fleet, que já vem no Rancher, aplica GitOps: o que está no repositório Git é o que roda nos clusters.
O Rancher Prime usa o mesmo código aberto do Rancher e acrescenta suporte com SLA, imagens assinadas de um registro confiável da SUSE, ciclo de vida estendido e produtos como SUSE Security (o antigo NeuVector) e SUSE Observability.

O custo de cada cluster ser um mundo à parte

Quando cada ambiente é administrado separadamente, a operação depende de quem conhece aquele cluster específico. Atualizar uma aplicação em vários ambientes vira uma sequência de kubectl apply em contextos diferentes, com o risco de um ficar para trás. Permissões são criadas cluster a cluster, e fica difícil responder a uma pergunta simples de auditoria: quem tem acesso a quê, em qual ambiente.

Nada disso é falha da equipe. É o limite natural de gerenciar uma frota com ferramentas pensadas para um cluster de cada vez.

O que o Rancher centraliza

Segundo a documentação da SUSE, o Rancher é uma ferramenta para implantar e operar clusters Kubernetes em qualquer lugar e em qualquer provedor. Na prática, ele traz para um só painel:

Clusters de várias origens. Ele cria clusters em provedores gerenciados como Amazon EKS, Azure AKS e Google GKE, provisiona máquinas e instala Kubernetes nelas, ou importa clusters que já existem.
Acesso e permissões. A autenticação e o controle de acesso baseado em papéis (RBAC) ficam centralizados, então o administrador define quem acessa cada cluster a partir de um só lugar, ligado ao diretório que a empresa já usa.
Catálogo de aplicações. Ferramentas como monitoramento e armazenamento são instaladas a partir do catálogo de Apps, baseado em Helm, em vez de virar um projeto de instalação à parte.
Rotina de manutenção. Backups do etcd e atualizações de versão dos clusters podem ser conduzidos pela interface, e o Rancher Backups protege a configuração do próprio Rancher para recuperação de desastres.

O ganho para o negócio é previsibilidade: a mesma forma de operar vale para todos os ambientes, e o conhecimento deixa de ficar preso em poucas pessoas.

RKE2 ou K3s: qual distribuição para qual lugar

O Rancher gerencia clusters de qualquer distribuição compatível, mas a SUSE mantém duas distribuições próprias, cada uma com um propósito claro.

	RKE2	K3s
Para onde foi pensado	Data center e ambientes corporativos	Borda, filiais, IoT, ARM, CI e laboratórios
Foco	Segurança e alinhamento com o Kubernetes upstream	Leveza e facilidade de instalação
Destaques	Configurações que facilitam passar no CIS Kubernetes Benchmark, suporte a FIPS 140-3, containerd como runtime	Binário único com menos de 100 MB, banco SQLite por padrão, com opção de etcd ou banco externo
Também conhecido como	RKE Government

Uma escolha comum é RKE2 nos clusters centrais e K3s nos pontos remotos, todos visíveis no mesmo Rancher.

Fleet: GitOps em vez de comando manual

O Fleet é o motor de entrega contínua que já vem instalado no Rancher, na área de Continuous Delivery. Ele observa repositórios Git e aplica o que está lá nos clusters escolhidos, aceitando YAML do Kubernetes, charts Helm, Kustomize ou uma combinação dos três.

Para a sua operação, isso significa que a mudança passa por revisão no Git, fica registrada e chega igual a todos os clusters do grupo. Voltar atrás é reverter um commit. O Fleet também é um projeto independente e pode ser instalado em qualquer cluster com Helm, mas dentro do Rancher ele já vem pronto.

Rancher ou Rancher Prime

A primeira dúvida de quem avalia é se precisa pagar. A resposta honesta: o Rancher da comunidade é software livre e funciona. Segundo a SUSE, o Rancher Prime usa o mesmo código aberto do projeto Rancher, que continua totalmente aberto. A diferença está no que vem em volta do código.

	Rancher (comunidade)	Rancher Prime
Código	Aberto	O mesmo código aberto
Suporte	Comunidade	Especialistas da SUSE com SLAs definidos
Origem das imagens	Registros públicos	Registro confiável gerenciado pela SUSE, com imagens assinadas, SBOM e dados de procedência
Ciclo de vida de RKE2 e K3s	Ciclo da comunidade	Até cinco anos de suporte de longo prazo
Material de apoio	Documentação pública	Avisos de Kubernetes e arquiteturas de referência
Produtos integrados	Projetos abertos instalados à parte	SUSE Virtualization, SUSE Storage, SUSE Security, SUSE Observability e SUSE Application Collection

Para quem roda produção crítica, com auditoria e prazos de correção a cumprir, o Prime costuma fazer sentido pela cadeia de suprimento verificável e pelo suporte com SLA. Para laboratório e ambientes menores, a versão da comunidade atende bem. As duas conversam com o mesmo conhecimento técnico, então dá para começar por uma e evoluir.

Segurança dos containers com SUSE Security, o antigo NeuVector

Centralizar a gestão resolve metade do problema. A outra metade é saber o que acontece dentro dos containers depois que eles sobem. O NeuVector, hoje chamado SUSE Security, é uma plataforma de segurança de containers de código aberto, instalada a partir do catálogo de Apps do Rancher. A imagem de capa deste artigo é o painel dele dentro do Rancher.

Varredura de vulnerabilidades. O componente Scanner analisa imagens, containers e nós, e a verificação pode acontecer no pipeline de CI/CD, no registro e em produção, com controle de admissão para barrar o que não cumpre a política.
Segmentação de rede. O SUSE Security aprende as conexões legítimas entre os serviços e pode bloquear, na camada 7, o tráfego entre containers e pods que foge desse padrão.
Proteção em tempo de execução. Ele cria um perfil dos processos e do acesso a arquivos de cada serviço. Em modo Discover, aprende o comportamento normal; em Monitor, registra as violações; em Protect, bloqueia conexões, processos e acessos a arquivos não autorizados.
Conformidade. Auditoria com o Docker Bench e o CIS Kubernetes Benchmark, e relatórios voltados a PCI DSS, HIPAA e GDPR.

A passagem de Discover para Protect é o ponto que pede cuidado: feita cedo demais, bloqueia tráfego legítimo; feita tarde demais, deixa a proteção só no papel. É uma decisão de engenharia, aplicação por aplicação.

Onde a Lavineda entra

Você pode contratar as subscrições SUSE em real, com a implantação e a migração feitas pela nossa engenharia, e manter a operação com a sua equipe. Ou pode deixar a sustentação dos clusters com Rancher e SUSE Security conosco no Cloud Care, com a sua equipe livre para os projetos que movem o negócio. Os detalhes da plataforma estão em SUSE e Rancher.

Fontes

O próximo passo

Se a sua empresa já tem mais de um cluster, ou está prestes a ter, vale conversar antes que cada ambiente crie o seu próprio jeito de operar. Numa conversa de diagnóstico gratuita, você conta como os seus clusters estão hoje e nós devolvemos um feedback honesto sobre gestão, segurança e ciclo de vida, com próximos passos claros e sem compromisso.