Virtualisierung
OpenShift
OpenShift ist Red Hats Enterprise-Kubernetes: Kubernetes plus Registry, Routing, CI/CD, strengere Sicherheits-Defaults und ein eigenes Knoten-OS.
- Enterprise-Kubernetes
- Strenge Defaults (SCC)
- Registry, Routes, CI/CD inklusive
- Red Hat, Subscription
- Unveränderliches OS (RHCOS)
OpenShift (Red Hat OpenShift Container Platform) ist eine Kubernetes-Distribution mit Enterprise-Aufsatz. Sie erweitert Kubernetes nicht durch einen Fork, sondern legt um den Kern herum integrierte Bausteine, gehärtete Voreinstellungen und ein eigenes, unveränderliches Knoten-Betriebssystem. Aufgebaut wird OpenShift aus dem quelloffenen Upstream OKD, ähnlich wie RHEL aus CentOS Stream entsteht.
Dieser Artikel erklärt das Verhältnis zu Kubernetes und OKD, das immutable Knoten-OS RHCOS, die mitgelieferten Mehrwerte gegenüber reinem Kubernetes, das strengere Sicherheitsmodell über Security Context Constraints, die Installations- und Update-Wege sowie die Editionen und die Subscription-Logik.
1. Kubernetes mit Enterprise-Aufsatz
Im Kern ist OpenShift Kubernetes, die Container-Grundlagen sind dieselben (Pods, Deployments, Services). Der Unterschied liegt in dem, was darum herum bereits eingebaut und aufeinander abgestimmt ist: eine Image-Registry, der Ingress-Mechanismus, Operator-Verwaltung, CI/CD, Monitoring und ein Identitätsdienst. Auf reinem Kubernetes müsste man diese Werkzeuge einzeln auswählen, integrieren und pflegen.
OpenShift wird aus dem offenen Projekt OKD gebaut. OKD ist der frei verfügbare Upstream ohne Herstellersupport; OpenShift ist die supportete, zertifizierte und langfristig gepflegte Variante mit Subscription.
2. Das unveränderliche Knoten-OS: RHCOS
Die Knoten laufen auf Red Hat Enterprise Linux CoreOS (RHCOS), einem unveränderlichen Betriebssystem. Änderungen werden nicht von Hand am laufenden System gemacht, sondern als neue, atomare Schicht ausgerollt (rpm-ostree); ein Rollback ist ein simpler Reboot auf die vorherige Schicht. Konfiguriert wird deklarativ über den Machine Config Operator, der Updates rollend und mit kontrolliertem Knotenausfall durchführt. Das nimmt dem Plattformbetrieb viel manuelle Pflege ab, verlangt von klassischen Server-Teams aber Umdenken.
3. Was OpenShift mitbringt
Der Mehrwert gegenüber reinem Kubernetes steckt in den integrierten Komponenten:
Mit der oc-CLI arbeiten
oc get clusteroperators # Zustand aller Plattformkomponenten
oc new-project team-a # Projekt (Namespace) anlegen
oc new-app nginx # Anwendung aus Image oder Quellcode
oc get routes # veröffentlichte Routen anzeigen| Baustein | Funktion |
|---|---|
| Image-Registry | integrierte Container-Registry, an die Cluster-Rechte gekoppelt |
| Routes | OpenShift-eigenes Ingress-Objekt mit TLS, parallel zu Kubernetes Ingress |
| OLM / OperatorHub | Installation und Update von Operators per Katalog und Klick |
| Pipelines / GitOps | CI/CD über Tekton und Argo CD als Operator |
| Source-to-Image (S2I) | baut aus Quellcode ein Container-Image ohne eigenes Dockerfile |
| Web-Console und oc-CLI | grafische Oberfläche und erweiterte Kommandozeile (Obermenge von kubectl) |
4. Strengere Sicherheits-Defaults: SCC
OpenShift bringt mit Security Context Constraints (SCC) ein eigenes Admission-Modell mit, das feingranularer und strenger ist als das Kubernetes-Standardverfahren. Der Standard für normale Nutzer (restricted-v2) erzwingt unter anderem, dass Pods nicht als Root laufen, keine privilegierten Container starten und alle Linux-Capabilities ablegen. RHCOS hat zudem SELinux durchgängig aktiv. Das senkt das Risiko von Fehlkonfiguration, führt aber dazu, dass manche Standard-Container und Community-Manifeste, die Root voraussetzen, ohne Anpassung nicht laufen.
5. Installation und Updates
Für die Installation gibt es mehrere Wege, vom vollautomatischen Installer (IPI), der die Infrastruktur selbst provisioniert, über die nutzergesteuerte Variante (UPI) bis zum Agent-based Installer für abgeschottete Umgebungen und Hosted Control Planes, bei denen die Steuerebene als Pods in einem anderen Cluster läuft. Updates kommen koordiniert über die Luft (Over-the-Air) für den gesamten Stack, also OS, Kubernetes und Plattform-Operatoren in einem Zug. Gerade-nummerierte Versionen erhalten einen verlängerten Support (EUS) über zwei Jahre, was zu Unternehmen mit langen Änderungszyklen passt.
6. Editionen und Subscription
OpenShift gibt es selbstverwaltet (OpenShift Container Platform), in einer schlankeren Engine-Variante sowie als gemanagter Dienst in der Cloud (etwa ROSA auf AWS, ARO auf Azure). Der offene Upstream OKD bleibt kostenlos, aber ohne Support. Abgerechnet wird selbstverwaltetes OpenShift über eine Subscription pro Kernpaar oder pro Bare-Metal-Knoten; die Steuerebenen-Knoten sind dabei enthalten. Konkrete Preise hängen von Edition und Vertrag ab und gehören vor einer Entscheidung gegen die aktuelle Herstellerinformation geprüft.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Schlüsselfertig: Registry, Routing, CI/CD, Monitoring inklusive | Subscription-Kosten, kein kostenfreier Produktivbetrieb |
| Strenge Sicherheits-Defaults senken Fehlkonfigurationsrisiko | höherer Ressourcenbedarf als ein minimaler K8s-Cluster |
| Koordinierte Over-the-Air-Updates des ganzen Stacks | SCC-Strenge erfordert Anpassung mancher Manifeste/Charts |
| Lange Wartungszyklen (EUS) für Unternehmensbedarf | Umstellung auf immutables OS und Operator-Modell |
| Herstellersupport und Zertifizierungen | für kleine Umgebungen oft überdimensioniert |
Häufige Fragen zu OpenShift
OpenShift ist Kubernetes plus ein abgestimmtes Enterprise-Paket: integrierte Image-Registry, Routing über Routes, Operator-Verwaltung, CI/CD, Monitoring, ein Identitätsdienst, ein unveränderliches Knoten-OS und strengere Sicherheits-Defaults. Auf reinem Kubernetes müsste man all das selbst auswählen, integrieren und pflegen. Dafür ist OpenShift Subscription-pflichtig und ressourcenhungriger.
OKD ist der quelloffene Upstream, aus dem OpenShift gebaut wird, ähnlich dem Verhältnis von CentOS Stream zu RHEL. OKD ist kostenlos, nutzt Fedora bzw. CentOS Stream CoreOS und hat keinen Herstellersupport. OpenShift ist die supportete, zertifizierte Variante auf RHEL CoreOS mit langen Wartungszyklen und Subscription.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
OpenShift im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.