Отрезвление после VMWare

Почему OpenStack в критической инфраструктуре (КИИ) — это не про «бесплатность», а про глубокую инженерию?

Долгое время российский Enterprise жил в парадигме «удобного облака»: платишь вендору за лицензии (VMware, Hyper-V) и получаешь предсказуемость. Переход к импортозамещению и выполнение требований 187-ФЗ (ЗОКИИ) создали опасную иллюзию. Некоторые руководители начали воспринимать ванильную OpenStack как систему, полностью готовую к употреблению.

Однако «голый» OpenStack в критической инфраструктуре — это мина замедленного действия.

Почему OpenStack без вендора — риск для КИИ?

OpenStack — это не просто программный продукт, а «алмаз, требующий огранки». Чтобы успешно внедрить его самостоятельно, необходимо учитывать следующие важные моменты.

• Кадровый тупик: Инженеры, способные «лечить» Neutron или Ceph в 3 часа ночи, стоят дороже, чем лицензии западного ПО.
• Отсутствие ответственности: Если в ЗОКИИ происходит сбой, сообщество Open Source не придет на помощь. Для субъектов КИИ отсутствие SLA от вендора — это прямой риск нарушения непрерывности бизнеса и претензий со стороны регуляторов.
• Сложность аттестации: «Причесать» самосборную систему под требования Приказа ФСТЭК №239 — задача, сопоставимая по стоимости с постройкой нового ЦОДа.

2. ОТВ эв3: Когда Open Source становится прозрачным, но управляемым

Платформа ОТВ эв3 ломает стереотип о «черном ящике» проприетарного ПО. В отличие от многих конкурентов на российском рынке, которые просто переклеивают логотипы на закрытых форках, ОТВ идет по пути радикальной прозрачности.
ОТВ открывает исходный код своих ключевых компонентов. Для объектов КИИ это не просто жест доброй воли, а стратегический актив:

1. Аудит безопасности: Возможность проверить код на отсутствие «закладок» и недокументированных функций.
2. Защита от Vendor Lock-in: Заказчик не становится заложником одного поставщика. Наличие кода гарантирует, что система останется работоспособной, даже если завтра отношения с вендором изменятся.

3. Геораспределенное S3-хранилище: Swift в новом прочтении

Одной из самых амбициозных разработок ОТВ является слой объектного хранения (S3-compatible), построенный на базе OpenStack Swift. Но особенность не в самой адаптации Swift для высоконадежного хранения десятков и сотен петабайт, а в том, как он упакован.

Контейнеризация и Rootless-режим

ОТВ готовит к публикации вариант развертывания объектной СХД «в один клик», который базируется на контейнерах Podman, запускаемых в rootless-режиме. Почему это важно?

• Безопасность (Isolation): В традиционных Docker-средах компрометация контейнера часто ведет к получению root-прав на хосте. Rootless-режим в ОТВ эв3 гарантирует, что процессы хранилища работают с минимальными привилегиями. Для КИИ это стандарт де-факто.
• Упрощение эксплуатации: Swift исторически сложен в настройке георепликации. Автоматизация развертывания через Podman позволяет штатным сисадминам (а не узким DevOps-гениям) создавать катастрофоустойчивые кластеры между регионами.

4. Экономика и регуляторика

С точки зрения C-level, ОТВ эв3 — это переход от непредсказуемого Capex (покупка железа и наем армии инженеров под самосбор) к понятному TCO.

• Готовность к 2030 году: Использование отечественного гипервизора и СХД в составе эв3 позволяет заранее соответствовать планам по переходу на доверенные ПАК.
• Собственная СХД (ev3.Storage): Отказ от тяжеловесного Ceph в пользу оптимизированных решений ОТВ позволяет выжимать больше IOPS из того же железа, существенно снижая затраты на серверную инфраструктуру.

5. Глубокая безопасность: Стерильность контейнерной среды

В современной ИТ-индустрии сложилась опасная привычка «доверять по умолчанию». Большинство вендоров собирают свои решения, вытягивая базовые слои (images) из публичных репозиториев вроде Docker Hub. Для обычного бизнеса это норма, но для ЗОКИИ — это критическая уязвимость в цепочке поставок (Supply Chain Attack).

Команда ОТВ эв3 пошла по пути максимальной автономности, который можно назвать «стерильной сборкой».

Полный цикл владения кодом

ОТВ полностью отказались от использования внешних базовых образов. Они самостоятельно собирают каждый слой контейнера, включая минимально необходимый набор библиотек операционной системы.

• Почему это важно: Когда вы берете готовый образ Ubuntu или Alpine, вы наследуете сотни потенциальных уязвимостей и «мусорных» утилит, которые не нужны для работы конкретного сервиса (например, того же Swift), но могут быть использованы хакерами для закрепления в системе.
• Результат: Контейнеры ОТВ эв3 содержат только тот код, который необходим для выполнения задачи. Это превращает инфраструктуру из «проходного двора» в набор изолированных, жестко контролируемых ячеек.

Rootless + Собственная сборка = Непробиваемый периметр

Сочетание запуска в режиме rootless (без прав суперпользователя) и собственной сборки слоев создает двойной барьер безопасности:

1. Даже если в коде приложения будет найдена 0-day уязвимость, злоумышленник не сможет выйти за пределы прав обычного пользователя (благодаря Podman/Rootless).
2. Даже находясь внутри контейнера, атакующий не найдет там привычных инструментов для развития атаки (сканеров сети, компиляторов, лишних shell-скриптов), так как вендор их просто не включил в сборку слоя ОС.

6. Технологический суверенитет без оговорок

Для C-level руководителей этот подход закрывает главный геополитический риск. Зависимость от зарубежных репозиториев (Docker Hub, GitHub Container Registry) — это «кнопка выключения», которая находится не в ваших руках.

• Автономия: Система сборки ОТВ полностью локализована. Это гарантирует, что даже в условиях полной цифровой изоляции компания сможет развертывать, обновлять и масштабировать свою виртуализацию.
• Доверие регулятора: Такой подход максимально упрощает прохождение сертификации ФСТЭК по уровням доверия. Когда вендор контролирует всё — от бинарного файла ОС до прикладной логики — вопросов о «недекларированных возможностях» практически не остается.

Резюме

Выбор платформы для ЗОКИИ сегодня — это выбор между «мнимой экономией» на бесплатном Open Source и «разумными инвестициями» в открытую, но поддерживаемую и доверенную платформу.

ОТВ эв3 — это гораздо больше, чем просто «российский OpenStack». Это пример того, как глубокая инженерная культура позволяет переосмыслить открытые технологии под жесткие требования информационной безопасности. Отказ от внешних зависимостей в сборке контейнеров и фокус на «стерильности» среды делают эту платформу фундаментом, на котором можно строить ЗОКИИ любого масштаба, не опасаясь внешних санкций или скрытых угроз. Открытость кода и автоматизация сложнейших процессов (таких как геораспределенное S3) делают это решение золотым стандартом для тех, кто строит КИИ не «для галочки», а для обеспечения гарантированной непрерывности бизнеса.