Die unsichtbare Umgestaltung: Modernisierung des Kubernetes Image Promoters

TL;DR

Die Modernisierung des Kubernetes Image Promoters, kpromo, wurde erfolgreich abgeschlossen. Durch eine vollständige Neugestaltung des Codes wurde die Effizienz drastisch erhöht, die Fehleranfälligkeit reduziert und neue Funktionen wie SLSA-Provenienz und Schwachstellenscanning integriert.

Hauptinhalt

Der Kubernetes Image Promoter, kpromo, ist ein zentrales Werkzeug für die Verwaltung von Container-Images in Kubernetes. Er ermöglicht das Kopieren von Images aus Staging-Registries in die Produktionsumgebung, signiert diese mit cosign, repliziert Signaturen über mehr als 20 regionale Spiegel und generiert SLSA-Provenienzattestierungen. Eine Störung dieses Tools hätte direkte Auswirkungen auf die Veröffentlichung neuer Kubernetes-Versionen.

Ursprünglich wurde der Image Promoter Ende 2018 als internes Projekt von Google ins Leben gerufen, um den manuellen Prozess der Bildübertragung zu automatisieren. Im Laufe der Jahre wuchs der Code und konsolidierte mehrere Tools in einer einzigen CLI, die schließlich in promo-tools umbenannt wurde. Trotz der Erfolge trug der Code 2025 die Last von sieben Jahren inkrementeller Änderungen, was zu Performance-Problemen und einer erschwerten Erweiterbarkeit führte.

Um diese Herausforderungen zu bewältigen, wurde im Februar 2026 die Neugestaltung des Image Promoters initiiert. Der Prozess wurde in mehrere Phasen unterteilt, um eine schrittweise Überprüfung und Validierung zu ermöglichen. Die erste Phase umfasste die Überarbeitung der Ratenbegrenzung, gefolgt von der Einführung klarer Schnittstellen für Registry- und Authentifizierungsoperationen. Die Pipeline-Engine wurde so gestaltet, dass Promotion als Sequenz von Phasen abläuft, was die Komplexität reduzierte.

Weitere Phasen beinhalteten die Implementierung von SLSA-Provenienzverifizierung, Schwachstellenscanning und die Trennung der Bildsignierung von der Signaturreplikation. Diese Schritte führten zur vollständigen Entfernung des alten monolithischen Codes und der Legacy-Abhängigkeiten.

Technische Details/Implikationen

Die Neugestaltung des kpromo-Systems hat mehrere technische Verbesserungen hervorgebracht. Die parallelisierten Registry-Lesevorgänge und die verbesserte Retry-Logik für Netzwerkoperationen erhöhen die Zuverlässigkeit des Systems. Zudem wurde eine neue Pipeline-Architektur implementiert, die eine bessere Handhabung von Zeitüberschreitungen und eine effizientere Nutzung von HTTP-Verbindungen ermöglicht. Die Integration von lokalen Registry-Tests und die Umstellung auf neue OCI-APIs für die Attestierung zeigen den Fokus auf moderne Standards und Praktiken.

Die Einführung von SLSA-Provenienz und Schwachstellenscanning als Standardfunktionen verbessert die Sicherheit und Nachvollziehbarkeit der Container-Images erheblich. Diese Veränderungen sind nicht nur für die Entwicklergemeinschaft von Bedeutung, sondern auch für Unternehmen, die auf eine sichere und effiziente Bereitstellung von Anwendungen angewiesen sind.

Fazit/Ausblick

Die erfolgreiche Neugestaltung des Kubernetes Image Promoters stellt einen wichtigen Schritt in Richtung einer robusteren und effizienteren Container-Management-Lösung dar. Zukünftige Entwicklungen könnten sich auf die weitere Optimierung von Automatisierungsprozessen und die Integration neuer Sicherheitsstandards konzentrieren.