Eine mit dem Unternehmensnetzwerk verbundene Cluster-Bereitstellung integriert SystemLink in die private Netzwerkinfrastruktur Ihrer Organisation und gewährleistet so sicheren Zugriff sowie eine sichere Integration mit lokalen Systemen.

Eine mit dem Unternehmensnetzwerk verbundene Cluster-Bereitstellung integriert SystemLink Enterprise über private Konnektivität in die vorhandene Netzwerkinfrastruktur Ihrer Organisation. Diese Architektur eignet sich für Organisationen, die Folgendes benötigen:

  • Zugriff für interne Benutzer bereitstellen
  • Integration mit lokalen Systemen
  • SystemLink innerhalb der Unternehmenssicherheitsgrenzen betreiben

Was ist eine mit dem Unternehmensnetzwerk verbundene Bereitstellung?

Bei einer mit dem Unternehmensnetzwerk verbundenen Bereitstellung greifen Benutzer über das private Netzwerk Ihres Unternehmens und nicht über das öffentliche Internet auf SystemLink zu. Die Verbindung zwischen Ihrem Unternehmensnetzwerk und dem cloud-gehosteten Kubernetes-Cluster erfolgt über private Verbindungslösungen wie VPN, AWS Direct Connect oder Azure ExpressRoute. Die gesamte SystemLink-Infrastruktur einschließlich Cluster-Knoten, Datenbanken und Dienste verbleibt in privaten Subnetzen ohne direkte Internet-Exponierung.

Architekturüberblick

Eine typische mit dem Unternehmensnetzwerk verbundene SystemLink-Bereitstellung verwendet die folgende Netzwerkarchitektur:

  • Private Subnetze: Hosten Kubernetes-Cluster-Knoten, Datenbanken, Load Balancer und alle SystemLink-Dienste ohne direkten Internetzugang
  • Private Konnektivität: VPN, AWS Direct Connect oder Azure ExpressRoute bieten eine verschlüsselte Verbindung zwischen Unternehmensnetzwerk und Cloud-VPC/VNet
  • NAT Gateway: Bietet ausgehende Internetverbindung für Cluster-Knoten zum Herunterladen von Updates und zum Abrufen von Container-Images oder verwendet VPC/VNet-Endpunkte für private Konnektivität zu Cloud-Diensten
  • Interner Load Balancer: Leitet Datenverkehr vom Unternehmensnetzwerk zu SystemLink-Diensten unter Verwendung privater IP-Adressen weiter
Hinweis Im Folgenden wird eine Referenzarchitektur dargestellt. Ihr Unternehmen könnte Netzwerk-Konnektivität mit unterschiedlichen Komponenten oder Konfigurationen entsprechend Ihren spezifischen Anforderungen und Ihrer spezifischen Cloud-Plattform implementieren.

Phasen eines typischen Datenverkehrsflusses:

  1. Benutzer im Unternehmensnetzwerk verbindet sich mit internem DNS-Namen. Beispielsweise systemlink.example.com.
  2. Das Unternehmens-DNS löst die private IP-Adresse des internen Load Balancers in der Cloud VPC/VNet auf.
  3. Datenverkehr wird über VPN oder dedizierte Verbindung zur Cloud übertragen
  4. Interner Load Balancer leitet den Datenverkehr im privaten Subnetz an den Kubernetes-Ingress-Controller weiter
  5. Ingress-Controller leitet Anfragen an die entsprechenden SystemLink-Service-Pods
  6. Dienste antworten über denselben Pfad zurück

Detaillierte Informationen zur Subnetzarchitektur und -konfiguration finden Sie unter AWS VPC oder Azure VNet.

Hybride Architekturen

Organisationen können hybride Architekturen implementieren, die öffentliche und private Zugriffsmuster kombinieren, um spezifische Sicherheits- und Zugriffsanforderungen zu erfüllen.

Zum Beispiel die Verwendung der öffentlichen Web-UI mit privatem Salt Master. Hier stellen Sie Web-UI- und API-Endpunkte öffentlich für Internetzugriff bereit, während der Salt Master Load Balancer auf einem privaten Endpunkt verbleibt und Salt Minion-Verbindungen auf Systeme im Unternehmensnetzwerk beschränkt werden.

Bei der Implementierung hybrider Architekturen sollten Sie sicherstellen, dass für jedes Zugriffsmuster die passenden Sicherheitsmaßnahmen angewendet werden.

Sicherheitsvorgaben

NI empfiehlt die folgenden Sicherheitsmaßnahmen für mit dem Unternehmensnetzwerk verbundene Bereitstellungen, welche sich von internetorientierten Bereitstellungen unterscheiden.

NI empfiehlt die Verwendung von TLS für den Datenverkehr zwischen Unternehmensbenutzern und SystemLink:

  • Zertifikatsbeschaffung: Verwenden Sie Zertifikate von Ihrer Unternehmenszertifizierungsstelle, verwaltete Zertifikate Ihres Cloud-Anbieters (AWS Certificate Manager, Azure Key Vault Certificates) oder beziehen Sie Zertifikate von einer vertrauenswürdigen öffentlichen Zertifizierungsstelle
  • TLS-Beendigung: NI empfiehlt, die TLS-Beendigung am Load Balancer zu konfigurieren, um das Zertifikatsmanagement zu vereinfachen

NI empfiehlt die Konfiguration der folgenden Sicherheitskontrollen für private Konnektivität:

  • Sicherheitsgruppen: Konfigurieren Sie Sicherheitsgruppen (AWS) oder Netzwerksicherheitsgruppen (Azure), um den Datenverkehr nur aus Unternehmens-IP-Bereichen zuzulassen
  • Routentabellen: Konfigurieren Sie Routentabellen, um den Datenverkehr des Unternehmensnetzwerks über VPN oder dedizierte Verbindung zu leiten
  • Private Endpunkte: Verwenden Sie AWS PrivateLink oder Azure Private Link für den Zugriff auf Cloud-Dienste (S3, ECR, Key Vault), ohne das Internet zu nutzen

Private Konnektivitätsoptionen

Zum Anschluss Ihres Unternehmensnetzwerks an den cloud-gehosteten SystemLink-Cluster stehen mehrere private Konnektivitätsoptionen zur Verfügung. Wählen Sie entsprechend der Netzwerkarchitektur Ihrer Organisation.

Zu den gängigen Verbindungsoptionen gehören:

  • VPN-Verbindungen: AWS Site-to-Site VPN oder Azure VPN Gateway für verschlüsselte Verbindungen über das Internet
  • Dedizierte Verbindungen: AWS Direct Connect oder Azure ExpressRoute für dedizierte private Netzwerkverbindungen mit höherer Bandbreite und geringerer Latenz
  • Zentralisierte Konnektivitätshubs: AWS Transit Gateway oder Azure Virtual WAN zur Verwaltung komplexer Multi-VPC/VNet-Umgebungen
  • VPC/VNet-Peering: Direkte Verbindungen zwischen virtuellen Cloud-Netzwerken für Cloud-zu-Cloud-Konnektivität
  • Drittanbieterlösungen: Multi-Cloud-Netzwerkplattformen wie Aviatrix für einheitliches Management über Cloud-Anbieter hinweg

DNS-Konfiguration

Erstellen Sie DNS-Einträge für SystemLink-Endpunkte in Ihrem Unternehmens-DNS oder einer cloud-gehosteten privaten DNS-Zone wie Route 53 Private Hosted Zones bei AWS, Azure Private DNS bei Azure. Siehe Layer 7 (Application) Ingress für Web-UI- und API-Konfiguration und Layer 4 (TCP) Ingress für Salt Master Konfiguration. Informationen zur OIDC-Umleitungs-URI-Konfiguration finden Sie unter Identitäts- und Zugriffsmanagement.