Orquestração Kubernetes com OpenShift na Prática

A orquestração de containers evoluiu drasticamente nos últimos anos, tornando-se um pilar fundamental para a entrega contínua e escalabilidade de aplicações modernas. Enquanto o Kubernetes se consolidou como o padrão da indústria, a complexidade inerente à gestão de clusters, políticas de segurança e integração com pipelines de CI/CD pode representar uma barreira significativa para equipes de desenvolvimento e operações. É nesse contexto que o OpenShift surge como uma distribuição empresarial robusta do Kubernetes, oferecendo uma plataforma unificada que simplifica a orquestração sem sacrificar o controle.

Este tutorial aborda a implementação prática da orquestração utilizando o OpenShift, focando na transição de conceitos básicos para a operação real de microsserviços em ambientes cloud e virtualizados. O objetivo é demonstrar como profissionais de TI podem aproveitar as ferramentas nativas da plataforma para gerenciar ciclos de vida de aplicações com eficiência, garantindo alta disponibilidade e segurança desde o primeiro deploy.

1. Entendendo a Arquitetura do OpenShift

O OpenShift não é apenas uma distribuição do Kubernetes; ele é uma plataforma completa que empacota o Kubernetes com ferramentas adicionais de desenvolvimento, monitoramento e segurança. Para um sysadmin ou DevOps engineer, compreender essa arquitetura é crucial antes de emitir qualquer comando. A base do sistema continua sendo o Kubernetes, o que significa que os conceitos de pods, services, deployments e namespaces permanecem válidos.

No entanto, o OpenShift adiciona camadas de abstração que facilitam a vida do desenvolvedor. Entre essas adições destacam-se as BuildConfigs, que automatizam a construção de imagens a partir do código-fonte, e as ImageStreams, que permitem rastrear mudanças nas imagens base. Além disso, o OpenShift utiliza o Container Runtime Interface (CRI) de forma otimizada, frequentemente utilizando o CRI-O em vez do Docker Engine tradicional, o que resulta em um overhead menor e maior segurança no nível do kernel.

Outro ponto crítico é a gestão de usuários e permissões. O OpenShift integra-se profundamente com sistemas LDAP/AD e oferece uma política de controle de acesso baseada em funções (RBAC) mais granular que o Kubernetes padrão, permitindo que administradores definam níveis de acesso detalhados para diferentes grupos de desenvolvedores dentro do cluster.

2. Preparação do Ambiente

Antes de iniciar a orquestração, é necessário ter um ambiente acessível. Para fins deste tutorial, assumiremos que você possui acesso a um cluster OpenShift Online (Sandbox) ou uma instalação local via minishift ou OKD. A conexão com o cluster é estabelecida através da CLI do OpenShift, conhecida como oc.

O primeiro passo é autenticar-se no cluster. Utilize o comando abaixo, substituindo as credenciais pelas suas informações de acesso reais:

oc login --username=seu_usuario --password=sua_senha https://api.seu-cluster.openshift.com:6443

Após a autenticação, é recomendável verificar o status do nó e garantir que os componentes essenciais estão rodando. Isso ajuda a identificar problemas de infraestrutura antes de tentar implantar aplicações.

oc get nodes
oc get project

O comando get project lista os projetos (equivalentes aos namespaces do Kubernetes) aos quais você tem acesso. Se nenhum projeto existir, crie um novo para isolar sua aplicação:

oc new-project minha-aplicacao-dev --display-name="Projeto de Desenvolvimento"

3. Implantando a Primeira Aplicação

O OpenShift oferece múltiplas formas de implantar aplicações, desde templates prontos até builds a partir de código-fonte Git. Para este passo inicial, utilizaremos um template padrão para ilustrar a simplicidade da orquestração. Vamos criar uma aplicação web simples utilizando uma imagem NGINX.

A maneira mais rápida é utilizar o comando oc new-app. Este comando detecta automaticamente se a fonte é uma imagem ou um repositório Git e configura todo o pipeline de deploy:

oc new-app nginx --name=minha-web-app

O OpenShift criará automaticamente as seguintes entidades no cluster:

• ImageStream: Para rastrear a imagem NGINX.
• BuildConfig: Configurado para construir a aplicação (neste caso, apenas puxar a imagem).
• DeploymentConfig: Gerencia o ciclo de vida dos pods.
• Service: Expõe a aplicação internamente no cluster.

Para monitorar o progresso da implantação, utilize o comando oc get builds. Você verá o status mudar de Pending para Running e, finalmente, para Complete.

oc logs -f buildconfig/minha-web-app

4. Expondo a Aplicação e Configurando Roteamento

No Kubernetes puro, expor uma aplicação para o mundo exterior geralmente requer a criação de um recurso Ingress complexo ou um Service do tipo LoadBalancer. O OpenShift simplifica isso através de seu roteador HAProxy integrado. Para tornar sua aplicação acessível via HTTP/HTTPS externo, você deve criar uma rota.

Utilize o comando oc expose para gerar a configuração de roteamento automaticamente:

oc expose svc/minha-web-app

O sistema atribuirá um nome de domínio único ao seu serviço. Para visualizar a URL gerada, execute:

oc get route

A saída conterá uma coluna HOST/PORT com o endereço completo. Ao acessar essa URL em um navegador, você verá a página padrão do NGINX. Essa abordagem elimina a necessidade de configurar manualmente regras de firewall ou balanceadores de carga externos para testes rápidos e desenvolvimento.

5. Gerenciamento de Ciclo de Vida e Atualizações

A orquestração eficiente depende da capacidade de atualizar aplicações sem downtime. O OpenShift suporta estratégias de rollout, como RollingUpdate, que substitui gradualmente os pods antigos pelos novos, garantindo que a aplicação permaneça disponível durante a transição.

Suponha que você precise atualizar a versão da imagem NGINX para uma versão mais recente (por exemplo, nginx:1.25). Você pode alterar a imagem do DeploymentConfig diretamente:

oc set image dc/minha-web-app nginx=nginx:1.25

O OpenShift detectará a mudança e iniciará automaticamente um novo rollout. Você pode acompanhar o progresso em tempo real:

oc rollout status dc/minha-web-app

Caso ocorra algum erro na nova versão, o rollback é imediato e seguro. Para reverter para a versão anterior, utilize:

oc rollout undo dc/minha-web-app

Essa capacidade de rollback instantâneo é vital em ambientes de produção, pois minimiza o tempo de inatividade e reduz o risco associado a atualizações de software.

6. Escalabilidade Horizontal Automática

Um dos maiores benefícios da virtualização moderna com orquestração é a escalabilidade dinâmica. O OpenShift permite configurar o Auto Scaling Horizontal (HPA) baseado em métricas de CPU ou memória, ou até mesmo em métricas personalizadas.

Para habilitar o auto-scaling para sua aplicação, defina os limites mínimo e máximo de réplicas:

oc scale dc/minha-web-app --min=2 --max=10

Além disso, você pode configurar um Horizontal Pod Autoscaler (HPA) para ajustar o número de pods com base na utilização de recursos:

oc autoscale dc/minha-web-app --cpu-percent=70 --min=2 --max=10

Neste exemplo, o cluster manterá pelo menos 2 réplicas e escalará até 10 réplicas conforme a demanda aumenta, desescalando quando a carga cair. Isso otimiza o uso de recursos na nuvem, evitando o desperdício durante períodos de baixa atividade.

7. Integração com CI/CD e DevOps

A verdadeira potência do OpenShift é revelada quando integrada a pipelines de integração contínua e entrega contínua (CI/CD). Plataformas como Jenkins, GitLab CI ou GitHub Actions podem ser configuradas para interagir com a API do OpenShift.

O fluxo típico envolve:

1. Código Push: O desenvolvedor envia código para o repositório Git.
2. Build Automático: Uma web hook no OpenShift aciona a construção da imagem Docker.
3. Testes: O pipeline executa testes unitários e de integração.
4. Deploy: Se os testes passarem, o pipeline atualiza a ImageStream ou o DeploymentConfig no ambiente de staging ou produção.

Para configurar uma web hook básica, você pode usar o comando:

oc describe buildconfig/minha-web-app

Isso exibirá a URL do webhook que deve ser configurada no seu repositório Git. Essa integração elimina a necessidade de intervenção manual no deploy, acelerando o ciclo de entrega de features.

8. Segurança e Políticas de Rede

A segurança em microsserviços é crítica. O OpenShift impõe políticas de segurança por padrão que restringem os privilégios dos containers. Por exemplo, os containers não rodam como root a menos que explicitamente permitido.

Para visualizar as restrições de segurança aplicadas ao seu projeto:

oc describe securitycontextconstraint restricted

Se sua aplicação exigir permissões especiais (como acesso à rede raw ou execução como usuário específico), você deve modificar a SecurityContextConstraint (SCC). No entanto, isso deve ser feito com extrema cautela.

Além disso, o OpenShift oferece recursos de NetworkPolicy nativos para controlar o tráfego entre pods. Você pode definir regras para permitir ou bloquear comunicação entre namespaces, garantindo que apenas serviços autorizados conversem entre si.

oc create networkpolicy deny-all --pod-selector=app=minha-web-app
oc allow network-policy from namespace outro-projeto

9. Monitoramento e Troubleshooting

O OpenShift inclui o Prometheus e o Grafana integrados em clusters empresariais, fornecendo visibilidade completa sobre a saúde do cluster e das aplicações.

Para verificar os logs de um pod específico:

oc logs -f 

Para acessar o console interativo de um container em execução (útil para debug):

oc rsh 

O console web do OpenShift também oferece uma interface gráfica robusta onde você pode inspecionar recursos, visualizar métricas em tempo real e gerenciar configurações sem depender exclusivamente da CLI. Para administradores que preferem uma abordagem visual, o console é uma ferramenta indispensável.

10. Boas Práticas para Produção

Ao migrar para um ambiente de produção, considere as seguintes práticas recomendadas:

• Tags de Imagem: Nunca use a tag latest em produção. Utilize hashes de commit ou versões semânticas específicas.
• Resources Requests/Limits: Defina sempre solicitações e limites de CPU e memória para garantir que o scheduler aloque recursos adequadamente e evite contenção.
• Probes: Implemente health checks (liveness e readiness probes) para que o OpenShift saiba quando reiniciar ou remover tráfego de um pod problemático.
• Secrets: Nunca armazene senhas ou chaves API em variáveis de ambiente simples. Utilize o recurso Secret do OpenShift, que permite criptografia e controle de acesso refinado.

A configuração de resources pode ser feita diretamente no DeploymentConfig ou via YAML:

resources:
  limits:
    cpu: "500m"
    memory: "256Mi"
  requests:
    cpu: "250m"
    memory: "128Mi"

Conclusão

A orquestração de containers com OpenShift oferece uma camada de maturidade empresarial sobre o Kubernetes, reduzindo a complexidade operacional e acelerando o time-to-market. Ao dominar os comandos básicos de oc, entender os conceitos de roteamento e segurança, e integrar pipelines de CI/CD, equipes de DevOps podem entregar software com maior confiança e velocidade.

Este tutorial forneceu uma base sólida para iniciar suas jornadas de virtualização e orquestração. A prática contínua em ambientes sandbox e a exploração das funcionalidades avançadas, como Operator Lifecycle Manager (OLM), serão os próximos passos naturais para qualquer profissional que deseja se especializar em infraestrutura moderna de nuvem.