Mandantenfähige Plattformarchitektur mit GitOps, Crossplane, Security Policies und Self-Service für verteilte Entwicklungsteams
Überblick
Für verteilte Entwicklungsteams wurde eine hochgradig automatisierte, mandantenfähige Cloud-Native-Plattform auf Basis der Google Kubernetes Engine (GKE) konzipiert und implementiert.
Ziel war der Aufbau einer skalierbaren Plattform, die zentrale Anforderungen moderner Organisationen vereint:
- Governance und Standardisierung
- Integrierte Security und Compliance
- Automatisierter Application Lifecycle
- Self-Service für Entwicklerteams
- Hohe Transparenz durch Observability
Die Plattform stellt eine konsistente Betriebsumgebung bereit, die sowohl Kontrolle als auch Flexibilität ermöglicht.
Zielbild der Plattform
Im Fokus stand der Aufbau einer Shared Platform, die mehreren Teams gleichzeitig als standardisierte Laufzeitumgebung dient, ohne deren Autonomie einzuschränken.
Kernanforderungen waren:
- Mandantenfähige Isolation innerhalb eines gemeinsamen Clusters
- Standardisierte Bereitstellung von Infrastruktur und Services
- Self-Service-Funktionen für Entwickler
- Durchsetzung von Security- und Compliance-Richtlinien
- Vollständige Automatisierung über den gesamten Lifecycle
Die Plattform wurde bewusst als Produkt gedacht – nicht als einmaliges Projekt.
Infrastruktur & Automatisierung
Die gesamte Infrastruktur wurde konsequent nach dem Infrastructure-as-Code-Prinzip (IaC) umgesetzt.
Zum Einsatz kam ein eigens entwickeltes, objektorientiertes Framework auf Basis von Pulumi (TypeScript), das als versioniertes NPM-Package bereitgestellt wird.
Dieser Ansatz ermöglichte:
- Wiederverwendbare, standardisierte Infrastrukturkomponenten
- Klare Versionierung und kontrollierte Weiterentwicklung
- Konsistente Bereitstellung über alle Umgebungen hinweg
- Hohe Flexibilität für unterschiedliche Anforderungen
Infrastruktur wurde damit nicht mehr manuell betrieben, sondern als entwickelbare Software-Komponente behandelt.
API-Management & Security
Für das zentrale Traffic Management wurde ein Kong-basiertes API-Gateway eingesetzt.
API-Routen und Konfigurationen werden automatisiert aus GitHub-Repositories synchronisiert, wodurch Deployment und API-Governance eng miteinander verzahnt sind.
Die Sicherheitsarchitektur umfasst:
- Fein granular gesteuertes Berechtigungskonzept
- Kubernetes Network Policies zur Segmentierung
- Automatisiertes Zertifikatsmanagement
- mTLS für sichere Client-Authentifizierung
- Integration von Secrets über den External Secrets Operator (ESO)
- Policy Enforcement mit Kyverno
Security wird damit nicht nachträglich ergänzt, sondern ist integraler Bestandteil der Plattform.
GitOps & Application Lifecycle
Der gesamte Deployment-Prozess folgt konsequent dem GitOps-Modell mit FluxCD.
Der Lifecycle im Überblick:
- Build von Container-Images über GitHub-Pipelines
- Push in die GCP Artifact Registry
- Automatisiertes Deployment in dedizierte Mandanten-Namespaces
Dieser Ansatz ermöglicht:
- Vollständige Nachvollziehbarkeit aller Änderungen
- Reproduzierbare Deployments
- Klare Trennung zwischen Code, Konfiguration und Laufzeit
- Reduktion manueller Eingriffe im Betrieb
Self-Service & Cloud-Abstraktion
Ein zentrales Element der Plattform ist die Integration von Self-Service-Funktionalitäten über Crossplane.
Entwicklungsteams können Cloud-Ressourcen direkt über Kubernetes deklarativ anfordern und verwalten, darunter:
- Storage Buckets
- Pub/Sub
- Redis und MySQL
- IP-Adressen und DNS-Einträge
- Anbindungen an AWS
- Integration privater Bamboo-Workloads
Die Plattform abstrahiert dabei die zugrunde liegende Cloud-Infrastruktur und stellt sie als konsistente API bereit.
Das Ergebnis:
Entwickler arbeiten mit Kubernetes – nicht mit einzelnen Cloud-Services.
Observability & Monitoring
Für Transparenz und Betriebssicherheit wurde eine umfassende Observability-Strategie umgesetzt.
Zum Einsatz kommen:
- GCP OpenTelemetry für Telemetriedaten
- Prometheus für Metriken und Alerting
- Custom Metrics für anwendungsspezifische Auswertungen
Ein dedizierter Grafana-Operator ermöglicht die Bereitstellung mandantenspezifischer Dashboards über Configuration-as-Code.
Jeder Mandant erhält:
- Eigene Dashboards
- Individuelle Metriken
- Transparenz über den Zustand seiner Workloads
Ergebnis & Mehrwert
Die implementierte Plattform vereint zentrale Governance mit hoher Autonomie für Entwicklungsteams.
Sie ermöglicht:
- Standardisierte und sichere Plattformnutzung
- Deutlich reduzierte manuelle Betriebsaufwände
- Schnellere Bereitstellung von Anwendungen und Ressourcen
- Konsistente Umsetzung von Security- und Compliance-Vorgaben
- Skalierbare Grundlage für moderne Cloud-Native-Architekturen
Die Plattform ist damit nicht nur Infrastruktur –
sondern ein Betriebsmodell für moderne Softwareentwicklung.
Cloud-Native Plattform aufbauen?
Wir unterstützen Sie bei der Konzeption, dem Aufbau und dem Betrieb moderner Plattformen auf Kubernetes – von der Architektur bis zur produktiven Umgebung.