Kubernetes in produzione, con RKE2 e Rancher.

RKE2 è una distribuzione Kubernetes conforme e certificata, pensata per ambienti in cui la sicurezza conta. Usa containerd come runtime, include etcd per il piano di controllo, si installa come servizio di sistema sui nodi e può essere configurata per rispettare il benchmark CIS di Kubernetes e i requisiti FIPS 140-3. Come rete dei pod usa di default Canal e supporta anche Cilium, Calico e Multus. Noi installiamo Cilium su tutti i cluster.

Rancher è la console che gestisce molti cluster Kubernetes insieme: accessi e permessi centralizzati, provisioning e aggiornamento dei cluster RKE2, catalogo di applicazioni, monitoraggio, backup e distribuzione GitOps con Fleet. È la stessa console che gestisce SUSE Virtualization (Harvester), quindi macchine virtuali e container si governano dallo stesso posto.

Architettura. Disegniamo i cluster sui carichi reali: piano di controllo in alta disponibilità su tre nodi, nodi worker dimensionati per i servizi, separazione tra ambienti di produzione, collaudo e sviluppo. Scegliamo dove far girare i nodi. Possono stare come macchine virtuali su Proxmox VE, su server fisici o su SUSE Virtualization.

Rete con Cilium, per tutto. Su ogni cluster usiamo Cilium, basato su eBPF, come unico componente di rete. Gestisce la rete dei pod e sostituisce kube-proxy. Applica le network policy, anche a livello applicativo (L7), ed espone le applicazioni con Gateway API e ingress. Annuncia in BGP gli indirizzi dei servizi verso la rete aziendale e offre con Hubble la visibilità su chi parla con chi. Un solo strumento al posto di quattro o cinque, e niente dipendenze da ingress-nginx, che ha raggiunto la fine del supporto a marzo 2026.

Storage. Volumi persistenti con Longhorn, oppure con Ceph tramite il driver CSI quando il cluster gira su Proxmox VE con Ceph. Classi di storage diverse per database e servizi meno esigenti.

Sicurezza. Profilo CIS di RKE2, Pod Security Admission, gestione dei segreti, accessi con single sign-on attraverso Rancher e permessi per progetto e namespace.

GitOps e osservabilità. Applicazioni e configurazioni descritte nel repository Git e distribuite con Fleet o Argo CD. Monitoraggio con Prometheus e Grafana, raccolta dei log e allarmi sugli eventi che contano davvero.

Backup e aggiornamenti. Snapshot di etcd automatici e copiati fuori dal cluster, backup dei volumi e delle risorse, test di ripristino. Aggiornamenti di Kubernetes pianificati e applicati un nodo alla volta.

Molte aziende che escono da VMware vSphere hanno già una parte delle applicazioni in container, magari su cluster Kubernetes nati in modo spontaneo e gestiti a mano. La migrazione è l'occasione per mettere ordine: cluster RKE2 omogenei, gestiti da Rancher, con le stesse regole di sicurezza e lo stesso modo di distribuire le applicazioni.

Chi vuole fare un passo in più può portare anche le macchine virtuali dentro Kubernetes con SUSE Virtualization, e gestire tutto con un solo strumento. Lo raccontiamo nella case history di una software house che unisce VM e container.