Google Cloudは長年、Kubernetes Engine（GKE）でそのプラットホーム上でコンテナを動かすためのマネージドサービスを提供してきた。Kubernetesユーザーのニーズはさまざまだが、でもこれまでのところGoogleはGKEの単一のティアのみを提供し、それは必ずしも、同社が顧客として捉えようとしているハイエンドのエンタープライズユーザーには向いていなかった。しかしながら米国時間4月16日に同社は、新しい機能を数多く備え、SLAに経済的条件を導入し、セキュリティと自動化の機能を高めた、より高度なエディションのGKEであるGKE Advancedを発表した。GKE Advancedはいわば、GKEのエンタープライズバージョンだ。
この新しいサービスは本年の第2四半期にローンチするが、料金はまだ発表されていない。通常のバージョンのGKEは、GKE Standardと呼ばれる。Googleによるとこのサービスは、社内的に何年間も複雑なコンテナインフラストラクチャを動かしてきた経験から学んだことが、ベースになっている。
エンタープライズの顧客にとっては、SLAに経済的条件（SLOが達成されないときの返金制）が盛られていることが嬉しいボーナスだ。ここでの基本的な約束は、リージョナルクラスターの保証可用性（SLO）が99.95%であることだ。
マネージドなKubernetes環境を選んだユーザーの多くは、クラスターを自分で管理する面倒を避けたいからそうしている。しかしGKE Standardでは、クラスターのスケーリングに関してユーザーが一部の作業をしなければならない。そこでGKE AdvancedではVertical Pod Autoscalerと呼ばれるツールがリソースの使用状況をたえずウォッチし、必要に応じてリソースの伸縮を図る。またNode Auto Provisioningツールは、GKE Standardにあるクラスターオートスケーリングの高性能バージョンだ。
GKE Advancedは本体のこれらの機能だけでなく、GKE Sandboxのようなセキュリティ機能も加えている。このサンドボックスは目下ベータだが、GKE Advancedだけにしかない機能になる。そして、コンテナ環境では署名があって検証されたイメージだけしか使われないように強制する。
このサンドボックスは、GoogleのコンテナサンドボックスランタイムgVisorを用いる。これによってどのサンドボックスも自分だけ用のユーザースペースカーネルを取得し、セキュリティの層がひとつ増える。またBinary AuthorizationによってGKE Advancedのユーザーは、すべてのコンテナイメージが信頼された機関によって署名されてからでないとプロダクションに入れられないようにできる。コンテナに悪意あるコードを潜ませることは論理的には可能だが、コンテナのリリースにこのプロセスが課せられることによって、検定され認可されたコンテナのみがその環境で動けるようになる。
GKE AdvancedにはGKEの利用計測機能があるので、社内での利用状況に応じて各部門に課金の適性な分担を求めることもできる。これもやはり、GKE Advancedのみの機能だ。
[原文へ]
（翻訳：iwatani、a.k.a. hiwa）
