KubeCon共催のLinkerd Dayからノルウェーの労働福祉局がオンプレからクラウドに移行したセッションを紹介

KubeCon Europe 2023の共催イベントLinkerd Dayから、ノルウェーの労働福祉局がレガシーなオンプレからクラウドに移行したユースケースセッションを紹介する。タイトルは「Securing 1/3 of Norway's Annual State Budget」、プレゼンテーションを行ったのは同局に所属するプラットフォームエンジニアのHans Kristian Flaatten氏だ。結論から言えばセッションそのものは非常に残念な内容となってしまっているが、その理由については最後に総括したい。

タイトルには年間予算を1/3に削減と謳われているが……

●動画：Securing 1/3 of Norway's Annual State Budget

セッションを担当したFlaatten氏は自己紹介に続いて過去のオンプレミスのIT資産について解説。ここではモノリシックでレガシーなシステムとして構築されていたことを語り、いわゆる「使用前」の状況について解説を行った。

モノリシックで年に数回しか更新されないIT資産

ここでNAVと略称されるノルウェー労働福祉局の組織についても言及し、本体とIT部門、そして実際の開発などを請け負うコントラクター、日本式に言えば外注先が存在していることを説明した。この構図は日本の官庁でもよく見られるパターンで、エンドユーザーの中にはデベロッパーは存在せずに外部のリソースに頼るという形だ。

日本でもよく見られるIT部門の先に外注業者が存在するパターン

このためコスト増大、すべてがマニュアルによる操作、エラーへの対応の遅さなどが問題点として挙げられていたという。しかし2015年にトップマネージメントに変化が起こり、2017年からKubernetesを用いたインフラストラクチャーに移行が始まったと解説した。

トップマネージメントが変わったことが変化の始まり

そして多くのKubernetes利用企業と同様に、Kubernetesをそのまま使うのではなくAs-a-Services化することで素のKubernetesを抽象化する試みとしてのNAISというプラットフォームが作られたと説明。

Kubernetesをプラットフォームとして使うNAISというシステムが開発された

当初のNAISはオンプレミスのプラットフォーム上に構築されており、この図ではF5のロードバランサーなどが存在したことがわかる。しかしゼロトラスト、すべての内部ネットワークトラフィックの暗号化、ポリシーの実装、そしてマネージドサービスの利用などのニーズによってさらに大きな変化が起こったのが2019年であると説明。ここでGoogle Cloud Platform（GCP）が導入された。そして同時にサービスメッシュのIstioも導入されたと説明した。

2019年にGCPとIstioが導入された

しかし2021年にはLinkerdが導入されたことが明らかにされ、「長すぎたパーティの後で片付けをやることは確かな満足感がある」というノルウェーのITマネージャーのコメントを紹介。ここではIstioからLinkerdに移行したことによって長かった苦労が終わって、よりシンプルなソリューションによる満足感を表しているのだろう。

2019年にIstio導入したが2021年にLinkerdに移行

またNAIS自体もv2としてSnykからGitHubのDependabot、ChainguardのSLSA Audit、ポリシーについてもOPAからKyvernoに移行したことがこのスライドで簡単に紹介された。

ユーザーからのアクセスはGoogle Cloud Armor経由に変更

その後、さらにGoogleのセキュリティソリューションであるCloud ArmorによってDDoS対策とWeb Application Firewallが導入されたことを説明した。

NAISの成長の遷移。2022年にはGCP上のアプリがオンプレミスを逆転

ここまででオンプレミスの業務システムがGCP上のKubernetesに移行してきた経緯を説明したが、今後の計画についても簡単に説明を行った。

今後の計画を紹介。OpenTelemetry、Gateway API、eBPFが挙げられている

SLSAレベル3、OpenTelemetry、Gateway API、eBPFが挙げられており、これからも積極的にクラウドネイティブなシステムに移行しようとする意図を感じるスライドになっている。しかしながらセッションのタイトルになっている年間予算を1/3にするというポイントはまったく説明されておらず、オンプレミスからパブリッククラウドを使うことで何が削減できたのか、新たに発生したコストは何か、デプロイの頻度が上がった時の開発体制の変化はあったのか、苦労した点は何か、などの疑問には答えておらず、タイトルの過激さに引き寄せられた参加者の期待を裏切る内容となっている。

IstioからLinkerdへの移行、OPAからKyvernoへの移行についてもその要点や比較内容、Cloud Armor選択の要点なども具体的には説明されておらず、「何をしたらコストが1/3になるのか？」についてはまったくスライドでも触れられていないという状況だ。KubeConのセッションはCall for Paperが40倍の激しい競争率ということで、とにかくタイトルを過激に盛って注目を惹きつけるという手法が多発しているようだが、残念ながらこのセッションも同じ手法でユースケースの中身に踏み込まず外側をなぞった程度の残念な内容だった言える。