Kubernetes Administrator

Kubernetes er den motor, der starter, flytter og genstarter applikationer i containere. En kubernetes administrator passer på den motor. Udviklerne leverer koden. Administratoren sørger for, at den kan køre, skalere og overleve, at en server dør.

Dagen starter som regel med alarmer og nattens hændelser. Er en node løbet tør for hukommelse? Er en pod endt i CrashLoopBackOff? Er et certifikat ved at udløbe? Først når det billede er rent, går man i gang med det planlagte arbejde.

Typiske opgaver

• Opsætte, opgradere og udfase clustre og node pools — både i skyen og på egne servere
• Fejlsøge pods, services og ingress: OOMKilled, fejlede probes, DNS-problemer og fyldte diske
• Styre adgang med RBAC, namespaces, ressourcekvoter og netværkspolitikker
• Køre opgraderinger af Kubernetes-versioner uden nedetid, ofte node for node
• Passe overvågning og logning, så udviklerne selv kan se, hvorfor noget fejler
• Tage backup af etcd og persistente volumes — og faktisk teste, at restore virker

En stor del af jobbet er rammer, ikke brandslukning. Sætter man ingen ressourcegrænser, kan én glemt loop-container spise hukommelsen for hele noden. Sætter man dem for stramt, bliver applikationerne dræbt under spidsbelastning. Den balance justeres løbende.

Sikkerhed fylder mere og mere. Administratoren scanner container-images for kendte sårbarheder, håndterer secrets, patcher control plane og lukker unødvendige rettigheder. Mange clustre kører stadig med for brede service accounts. Det er ofte administratoren, der rydder op.

Samarbejdet går begge veje. Udviklerne skriver deres egne manifester eller Helm charts, og administratoren reviewer dem, laver skabeloner og hjælper, når noget ikke vil starte i staging. I større organisationer kaldes det platformarbejde: man bygger den vej, andre teams selv kan gå.

Økonomi hører også med, især i skyen. Overdrevne resource requests og glemte testmiljøer koster hver måned. Administratoren rydder op og justerer autoscaling, så clusteret passer til den reelle belastning.

I Danmark findes rollen især hos it-outsourcing- og hostingvirksomheder, banker og fintech, telebranchen, medico- og medicinalvirksomheder, større e-handel og offentlige it-driftsorganisationer som regioner, kommuner og styrelser. Nogle steder passer man ét stort delt cluster. Andre steder passer man tyve mindre for forskellige kunder.

Vagt er reglen mere end undtagelsen, når platformen bærer forretningskritiske systemer. Typisk går man i en rådighedsvagt på skift med resten af driftsteamet. Modvægten er, at meget arbejde kan udføres hjemmefra, fordi alt sker gennem kode og terminal.

Regler påvirker hverdagen direkte. EU's NIS2-direktiv stiller krav til blandt andet adgangsstyring, logning, sårbarhedshåndtering og hændelsesrapportering i mange danske virksomheder og offentlige myndigheder. I praksis lander de krav på den, der administrerer platformen: hvem må hvad i clusteret, hvor længe gemmes logs, og hvor hurtigt kan man patche. Kører der persondata i systemerne, gælder desuden GDPR, som Datatilsynet fører tilsyn med i Danmark.

Der findes ingen dansk uddannelse, der hedder kubernetes administrator. Man kommer ind i faget via en it-uddannelse plus praktisk erfaring med Linux og drift. Erfaringen vejer tungest.

De almindelige uddannelsesveje

• Datamatiker, erhvervsakademi, 2½ år. Adgangskrav er typisk en gymnasial eksamen med matematik C. Kravene fremgår af Uddannelsesguiden.
• It-teknolog, erhvervsakademi, 2 år, med mulighed for overbygning til professionsbachelor.
• Datatekniker med speciale i infrastruktur, erhvervsuddannelse med praktikplads, typisk omkring fem år inklusive grundforløb.
• Professionsbachelor i softwareudvikling eller it-arkitektur, 3½ år.
• Diplomingeniør eller kandidat i datalogi eller softwareteknologi, hvis man vil længere ind i arkitektur.

En del kommer ind ad bagdøren og gør det godt. Klassisk rute: servicedesk eller systemadministration, derefter Linux-drift, derefter containere. Kan du Linux, netværk og fejlsøgning, er Kubernetes til at lære. Kan du ikke Linux, bliver det hårdt.

Certificeringer der reelt tæller

• CKA (Certified Kubernetes Administrator) fra Cloud Native Computing Foundation, udbudt gennem The Linux Foundation. Eksamen er praktisk: du løser opgaver i en rigtig terminal på tid. Certificeringen er tidsbegrænset og skal fornys.
• CKS (Certified Kubernetes Security Specialist) for sikkerhedssiden. Kræver gyldig CKA først.
• CKAD retter sig mod udviklere, ikke mod drift.
• Cloudcertificeringer som Microsofts AZ-104 eller AWS SysOps, hvis clusteret kører som AKS eller EKS.
• Red Hats certificeringer, hvis arbejdspladsen kører OpenShift, hvilket mange danske virksomheder og offentlige myndigheder gør.

CKA er den, arbejdsgivere kigger efter. Den beviser, at du kan arbejde i clusteret uden at slå op i alt. Den beviser ikke, at du kan holde en platform i drift i to år. Det gør kun erfaring.

Sådan får du erfaring uden et job

Byg dit eget. Kør k3s eller kind på en gammel maskine eller en billig VPS. Deploy noget, du selv bruger. Ødelæg det med vilje: fyld disken, dræb en node, lad et certifikat udløbe, og reparer det igen. Læg opsætningen i et offentligt repository som GitOps. Det er langt mere overbevisende til en samtale end et kursusbevis.

Regn med et halvt til et helt år fra første container til at kunne noget seriøst. Selve grundbegreberne — pods, deployments, services — lærer man på nogle uger. Det svære er alt det, der går galt: netværk, storage, opgraderinger og fejl, der først viser sig under belastning.

Mange starter som junior i et driftsteam og overtager gradvist mere ansvar. Derfra går karrierevejen typisk mod platform engineer, SRE, cloud- eller infrastrukturarkitekt, eller teamlead for driften. Nogle går den anden vej og specialiserer sig i sikkerhed omkring containere og supply chain.

Selve clusteret

kubectl er det daglige værktøj og bruges hele dagen. Dertil kommer Helm og Kustomize til at pakke og tilpasse deployments. Clusteret kører enten managed i skyen — AKS hos Microsoft Azure, EKS hos AWS eller GKE hos Google Cloud — eller selvhostet med kubeadm, k3s, Talos, Rancher eller Red Hat OpenShift. Mange danske organisationer har begge dele på samme tid.

Automatisering og udrulning

Infrastruktur beskrives som kode med Terraform, OpenTofu, Ansible eller Pulumi. Udrulning sker gennem GitOps med Argo CD eller Flux, hvor Git er facit for, hvad der må køre. Pipelines bygges i GitLab CI, GitHub Actions eller Azure DevOps. Containerimages bygges med Docker eller Buildah og ligger i et registry som Harbor, GitLab eller Azure Container Registry.

Overvågning og fejlsøgning

Prometheus og Grafana er standard til metrikker og dashboards. Logs samles i Loki, Elastic eller OpenSearch. Distribueret sporing sker ofte med OpenTelemetry og Jaeger. Til hurtig fejlsøgning i terminalen bruger mange k9s, Lens eller stern.

Netværk, storage og sikkerhed

Netværket kører på en CNI som Cilium eller Calico, med Ingress-NGINX eller Gateway API foran. Certifikater håndteres af cert-manager. Secrets ligger i HashiCorp Vault, Azure Key Vault eller External Secrets frem for i Git. Images scannes med Trivy, og politikker håndhæves med Kyverno eller OPA Gatekeeper. Backup køres med Velero, og persistent storage leveres af Ceph, Longhorn eller cloududbyderens egne diske.

Under motorhjelmen

Det meste hviler på Linux, containerd, etcd og YAML. Man skriver desuden en del scripts i Bash, Python eller Go. Netværksforståelse — DNS, routing, TLS og firewalls — er i praksis vigtigere end kendskab til de enkelte værktøjer.