ABB: 2.1.6 Hardware Detectie

Dienstbeschrijving

De dienst Hardware Detectie identificeert automatisch hardwarekenmerken van cluster nodes (bijv. CPU‑flags, GPU’s/accelerators, NIC‑capabilities, NUMA, storage) en maakt deze kenmerken beschikbaar voor operators en platformservices voor o.a. GPU‑toewijzing, SR‑IOV, driverbeheer en plaatsingsregels. De dienst is gericht op Kubernetes/OpenShift‑clusters in RWS‑datacenters en edge/OT‑locaties.

Doel en scope

• In scope: automatische detectie op node‑niveau; labeling/annotaties; policy‑gestuurde vertaling naar scheduler‑signalen (nodeSelector/affinity/taints); integratie met GPU‑ en SR‑IOV‑operators; export naar CMDB/observability.

• Niet in scope: applicatie‑specifieke resource requests/limits, handmatige assetinventaris buiten clusters, en non‑server endpoints.

Waardepropositie

• Betere plaatsing & prestaties: workloads landen op hardware die aantoonbaar geschikt is (GPU/RT/NUMA).

• Veilig & controleerbaar: gestandaardiseerde label‑namespaces, audittrail en exception‑beheer.

• Hybride & edge‑geschikt: robuuste detectie met lokale caching en offline‑tolerantie.

• Transparantie: centraal overzicht van hardwarefeatures en tijdlijnen van wijzigingen.

Dienstonderdelen

1. Feature discovery op nodes (daemonset/operator) met gestandaardiseerde label/annotation‑uitvoer.

2. Rule engine & policy (CRD’s) om ruwe detectie te vertalen naar stabiele labels voor scheduling.

3. Integraties met GPU‑operator, SR‑IOV Network Operator, Node Tuning Operator en ITSM/CMDB.

4. Beveiliging & privacy: least privilege, gescope‑te metadata, SIEM‑logging.

5. Observability: dashboards, alerts op feature‑wijzigingen en api‑exposure voor rapportages.

Servicelevels (richtwaarden)

Functionele Specificaties

Onderstaande eisen beschrijven wat de dienst levert. AC = acceptatiecriteria.

Detectie & labelproductie

• FS‑DISC‑001 Feature coverage
  Eis: Detectie van CPU (vendor, model, flags/ISA), GPU/accelerators (vendor, device‑ID, vRAM), NIC’s (vendor, speed, SR‑IOV‑capabilities, NUMA), storage (NVMe/SATA/SAS), geheugen/hugepages, kernel/driver‑versies en Secure Boot‑status.
  AC: ≥ 95% van beoogde velden gevuld op ondersteunde hardware; ontbrekende velden gelogd met reden.

• FS‑DISC‑002 Stabiele labels & namespace
  Eis: Labels in gereserveerde namespaces (bijv. feature.node.kubernetes.io/… en rws.nl/feature/…) met semantische versieing.
  AC: Geen breaking rename zonder deprecated alias en migratieperiode ≥ 90 dagen.

• FS‑DISC‑003 Frequentie & events
  Eis: Periodieke herdetectie en eventing bij veranderingen (add/remove/upgrade).
  AC: Event binnen 10 min na wijziging; auditlog met oude/nieuwe waarde.

Policy & scheduling‑integratie

• FS‑POL‑001 NodeFeature/NodeFeatureRule
  Eis: Declaratieve regels (CRD’s) vertalen ruwe detectie naar beleidslabels voor plaatsing.
  AC: GitOps‑beheer met four‑eyes; policytest in pipeline verplicht.

• FS‑POL‑002 Scheduler‑signalen
  Eis: Ondersteuning voor nodeSelector/affinity/anti‑affinity, taints/tolerations en topology hints.
  AC: Canary‑plaatsing valideert regels; 0% pods schedulen op niet‑conforme nodes in tests.

GPU/accelerator & NIC‑integratie

• FS‑GPU‑001 GPU‑operator integratie
  Eis: Labels voor GPU‑presentie/type/driververeisten; preflight‑checks voor driver/kernelniveau.
  AC: Workloads met GPU‑requests landen uitsluitend op passende GPU‑nodes; preflight faalt → blokkeer rollout.

• FS‑NIC‑001 SR‑IOV Network Operator
  Eis: Detectie van SR‑IOV‑capabilities (VF’s, link speed, PCI) en publicatie als resource classes.
  AC: Resource discovery is zichtbaar en bruikbaar voor CNI; validatie met synthetische workload.

Beveiliging & privacy

• FS‑SEC‑001 Least privilege & hardening
  Eis: Daemonset draait met minimale rechten; geen shell‑toegang; alleen noodzakelijke sysfs/proc leesrechten.
  AC: Security‑scan zonder kritieke bevindingen; afwijkingen met exception en einddatum.

• FS‑SEC‑002 Dataminimalisatie
  Eis: Geen PII of gevoelige serienummers publiceren; hash of masker waar nodig.
  AC: Compliance‑check maandelijks; 0 incidenten van datalekken.

Observability & export

• FS‑OBS‑001 Dashboards & alerts
  Eis: Overzicht per cluster/node van features, wijzigingen en policy‑status; alerts bij regressies.
  AC: Retentie ≥ 13 maanden; MTTR‑rapportage beschikbaar.

• FS‑OBS‑002 CMDB/ITSM‑export
  Eis: Periodieke export van inventaris/labels naar CMDB met CI‑koppelingen.
  AC: Synchronisatie ≤ 24 uur; 100% traceerbaarheid node ↔ CI.

Edge/OT‑geschiktheid

• FS‑EDGE‑001 Offline‑tolerantie
  Eis: Lokale caching van detectieresultaten en veilige synchronisatie na reconnect.
  AC: Geen labelverlies; verschillen worden conflict‑vrij samengevoegd.

Prestatie & betrouwbaarheid

• FS‑PERF‑001 Overhead
  Eis: Detectie introduceert minimale overhead op CPU/RAM/IO.
  AC: P95 CPU‑overhead < 1% en RAM < 100 MB per node tijdens detectie.

• FS‑REL‑001 Foutafhandeling
  Eis: Degelijke retry/backoff, circuit breaker bij storingen en self‑healing pods.
  AC: Geen massale restarts; error budget blijft binnen SLO’s.

Roadmaps

Mijlpaal 1

• NFD‑pilot op geselecteerde OpenShift‑clusters; baseline feature‑set (CPU/GPU/NIC/NUMA) en eerste NodeFeatureRule‑policies onder GitOps.

• Dashboards voor features & wijzigingen; export naar CMDB (read‑only).

Mijlpaal 2

• Integratie met GPU Operator en SR‑IOV Network Operator; canary‑plaatsing en verplichte preflight checks.

• Uitrol naar edge/OT met lokale caching en beperkte connectiviteit; alerting op feature‑drift.

Mijlpaal 3

• Risicogestuurde plaatsing: gebruik telemetrie/observability om policies dynamisch aan te scherpen (bijv. thermische of driver‑stabiliteitssignalen).

• Uitbreiding detectie naar nieuwe accelerators (FPGA/TPU) en storage‑klassen.

Mijlpaal 4

• Volwassenheidsfase: self‑healing discovery pipeline, predictive policy‑adviezen en volledige compliance‑rapportage per tenant/domein.

• Automatische generatie van resource classes uit NFD‑labels waar veilig mogelijk.

Landingslocaties

Waar de architectuuronderdelen landen binnen de infrastructuur, dit kan bijvoorbeeld een externe commerciële cloud zijn, een private cloud of een Rijkscloud. Hiervoor wordt de definitie in de ICT Strategie gebruikt.

Beschikbare SBBs 

Een overzicht van de oplossingen die beschikbaar zijn vanuit dit ABB en de beschrijving van de diensten die daarmee worden geleverd. Vul dit in wanneer de SBBs bekend zijn.

Koppelvlakken

Interfaces en afhankelijkheden tussen verschillende architectuurelementen. Dit zijn bijvoorbeeld de protocollen die kunnen worden gebruikt door andere bouwblokken die gebruik maken van het ABB.

Afhankelijkheden

Beschrijving waar dit ABB van afhankelijk is of welke ABBs afhankelijk zijn van het ABB. Dit geldt ook voor de verschillende serviceketens. Geef dit aan met links naar de architectuur elementen.

EIRA Koppeling

Dit bouwblok is gekoppeld binnen de EIRA aan: Vul hier de EIRA koppeling in.

Een overzicht van alle relevante EIRA bouwblokken staan hier: EIRA Technology & Physical