CLS-ICT

24/12/2025 - 19 phút đọc

K8s On-premise: Lời giải cho bài toán "Mang SaaS vào pháo đài" của CLS

I. Mở đầu: Kỷ nguyên của "Cloud-Repatriation" – Khi SaaS tìm đường về nhà

Trong suốt một thập kỷ qua, "Cloud-first" gần như là câu thần chú của mọi cuộc chuyển đổi số. Các doanh nghiệp vội vã đưa mọi thứ lên Public Cloud để tận dụng sự linh hoạt và khả năng mở rộng không giới hạn. Tuy nhiên, khi "cơn say" ban đầu qua đi, một xu hướng mới đang âm thầm trỗi dậy mà chúng tôi gọi là Cloud-Repatriation (Sự hồi hương của dữ liệu). Tại các tập đoàn lớn và các định chế tài chính, các CTO bắt đầu nhận thấy rằng: không phải lúc nào "đám mây" cũng là màu hồng, đặc biệt là khi bài toán chi phí duy trì bắt đầu tỷ lệ thuận với lượng dữ liệu tích lũy và những rủi ro về an toàn thông tin vẫn luôn thường trực.

Tại CLS, chúng tôi thường xuyên gặp gỡ các lãnh đạo IT đang đứng giữa một nghịch lý tiến thoái lưỡng nan. Một mặt, họ khao khát tính tiện dụng của mô hình SaaS (Software as a Service) – nơi phần mềm luôn được cập nhật, vận hành mượt mà mà không làm tốn nhân lực bảo trì. Mặt khác, những "pháo đài" hạ tầng On-premise lại là lựa chọn bắt buộc để bảo vệ khối tài sản quý giá nhất: Dữ liệu nhân sự và tri thức nội bộ. Câu hỏi đặt ra là: Làm sao để mang được sự ưu việt của SaaS vào đặt gọn trong "pháo đài" kín cổng cao tường của doanh nghiệp?

Thay vì chọn con đường dễ dàng là triển khai trên AWS hay Azure để tối ưu lợi nhuận cho chính mình, CLS đã chọn một lộ trình thử thách hơn nhưng mang tính cam kết cao hơn với khách hàng: Vận hành Kubernetes (K8s) trực tiếp trên hạ tầng On-premise của doanh nghiệp. Đây không phải là một sự bảo thủ về mặt công nghệ, mà là một chiến lược hạ tầng thông minh. Bằng cách sử dụng K8s làm lớp nền điều phối, chúng tôi biến hạ tầng nội bộ của khách hàng thành một "Private Cloud" thực thụ, nơi hệ thống đào tạo CLS có thể chạy ổn định, linh hoạt nhưng vẫn tuyệt đối nằm trong tầm kiểm soát của chủ sở hữu.

II. "Data Sovereignty" – Khi dữ liệu đào tạo là tài sản quốc gia/doanh nghiệp

Trong quá trình làm việc với các ngân hàng lớn và các tập đoàn nhà nước, chúng tôi nhận ra một thực tế: Dữ liệu đào tạo không đơn thuần là những tệp video bài giảng hay kết quả bài kiểm tra. Đó là tri thức lõi, là quy trình vận hành bảo mật và thậm chí là "DNA" phát triển của cả một tổ chức. Một khi những dữ liệu này được đẩy lên các máy chủ đặt tại nước ngoài, doanh nghiệp không chỉ đối mặt với nguy cơ rò rỉ thông tin mà còn rơi vào trạng thái "mất chủ quyền" đối với tài sản của chính mình.

Tầm quan trọng của dữ liệu nhân sự và tri thức

Hãy thử tưởng tượng, danh sách hàng chục nghìn nhân sự cùng toàn bộ lộ trình đào tạo chiến lược của một ngân hàng bị khai thác. Đó không chỉ là vấn đề cạnh tranh mà còn là rủi ro an ninh nghiêm trọng. Đối với các đơn vị thuộc khối Chính phủ hoặc An ninh quốc phòng, yêu cầu về Data Sovereignty (Chủ quyền dữ liệu) là tuyệt đối. Dữ liệu phải nằm trong lãnh thổ Việt Nam, trên hạ tầng do người Việt quản lý và tuân thủ nghiêm ngặt các quy định pháp lý hiện hành.

Rào cản pháp lý và "cánh cửa đóng" cho Public Cloud

Tại Việt Nam, các quy định như Luật An ninh mạng hay Nghị định 53/2022/NĐ-CP đã tạo ra một khung pháp lý chặt chẽ về việc lưu trữ dữ liệu người dùng trong nước. Đối với nhiều tổ chức, việc sử dụng các dịch vụ SaaS thuần túy chạy trên Cloud quốc tế giống như việc cố gắng đi qua một cánh cửa đã bị khóa chặt bởi các điều khoản tuân thủ (compliance). Đây chính là lúc mô hình triển khai của CLS phát huy giá trị: Chúng tôi không yêu cầu khách hàng thay đổi chính sách bảo mật để thích ứng với phần mềm, mà chúng tôi đưa phần mềm vào thích ứng với "pháo đài" của khách hàng.

Giải pháp từ CLS: Trao lại chìa khóa cho chủ sở hữu

Khi triển khai CLS trên hạ tầng On-premise của khách hàng, chúng tôi giải quyết triệt để bài toán an ninh theo ba lớp:

Kiểm soát lưu lượng (Traffic Control): Toàn bộ dữ liệu học tập chỉ luân chuyển trong mạng nội bộ (Intranet). Mọi yêu cầu truy cập từ bên ngoài đều phải đi qua hệ thống Firewall và Gateway do chính đội ngũ IT của khách hàng kiểm soát.
Quản lý mã hóa (Encryption): Khách hàng là người nắm giữ các chứng chỉ bảo mật và chìa khóa mã hóa dữ liệu. Ngay cả các kỹ sư của CLS cũng không thể tiếp cận dữ liệu nếu không được cấp quyền giám sát.
Tính biệt lập: Hệ thống được thiết lập trong một phân vùng mạng riêng biệt, đảm bảo rằng ngay cả khi có sự cố ở các vùng mạng khác, "kho báu" tri thức đào tạo vẫn luôn được bảo vệ an toàn.

Bằng cách tôn trọng tuyệt đối quyền sở hữu dữ liệu, CLS không chỉ đóng vai trò là một nhà cung cấp phần mềm, mà là một đối tác chiến lược giúp doanh nghiệp số hóa quy trình đào tạo mà không cần phải đánh đổi sự an toàn.

III. Kubernetes – "Lớp trừu tượng" hoàn hảo cho hạ tầng phân mảnh

Trong vai trò là những người trực tiếp triển khai, chúng tôi thấu hiểu nỗi đau của đội ngũ IT khi phải quản trị một "vườn bách thảo" về hạ tầng. Khác với môi trường đồng nhất trên Public Cloud, hạ tầng On-premise của các doanh nghiệp lớn thường là một tổ hợp phức tạp: từ những server Dell đời cũ, dàn HP chuyên dụng đến các hệ thống Cisco UCS hiện đại; chạy trên đủ loại hệ điều hành từ RHEL, Ubuntu cho đến CentOS.

Bài toán "Chạy được ở đây nhưng không chạy được ở kia"

Trước đây, việc cài đặt một hệ thống phức tạp như CLS lên hạ tầng khách hàng thường là một "cơn ác mộng" về tính tương thích. Chỉ một sự khác biệt nhỏ về phiên bản thư viện hay cấu hình nhân OS cũng có thể dẫn đến lỗi hệ thống. Đây chính là lúc Kubernetes (K8s) xuất hiện như một "vị cứu tinh".

Bằng cách sử dụng công nghệ Containerization, chúng tôi đóng gói toàn bộ thành phần của CLS — từ mã nguồn Backend, cơ sở dữ liệu cho đến các thuật ngữ AI gợi ý khóa học — vào trong các Container (Docker). K8s đóng vai trò là một lớp trừu tượng (Abstraction Layer) nằm trên phần cứng. Nó không quan tâm server bên dưới là hãng nào hay OS gì, nó chỉ quan tâm đến việc phân phối các Container này sao cho tối ưu nhất.

Sức mạnh điều phối: Biến "sắt vụn" thành tài nguyên linh hoạt

K8s không chỉ là nơi chứa ứng dụng, nó là một "tổng chỉ huy" thông minh:

Tính nhất quán: K8s đảm bảo rằng CLS chạy trên server tại phòng máy của khách hàng hoàn toàn giống hệt như khi chúng tôi phát triển tại phòng Lab. Điều này loại bỏ hoàn toàn các lỗi phát sinh do môi trường.
Tự chữa lành (Self-healing): Nếu một "Pod" (đơn vị nhỏ nhất của K8s) chứa dịch vụ video bị treo, K8s sẽ tự động khởi tạo lại nó trên một Node (server) khác mà người dùng không hề hay biết.

So sánh: Tại sao không dùng Máy ảo (VM) truyền thống?

Nhiều khách hàng hỏi chúng tôi: "Tại sao không đưa cho tôi một file OVA để chạy trên VMware cho đơn giản?". Câu trả lời nằm ở hiệu suất và khả năng mở rộng:

Tiêu chí	Virtual Machine (VM)	Kubernetes (K8s)
Tận dụng tài nguyên	Cao (mỗi VM cần một OS riêng, tốn RAM/CPU)	Tối ưu (các Container dùng chung nhân OS, cực kỳ nhẹ)
Tốc độ khởi động	Phút (phải boot cả OS)	Giây (chỉ khởi động ứng dụng)
Khả năng mở rộng	Khó khăn, cần can thiệp thủ công	Tự động (Auto-scaling) dựa trên lượng người học
Cập nhật hệ thống	Thường gây Downtime để patch VM	Rolling Update (Cập nhật từng phần, không gián đoạn)

Việc chọn K8s trên On-premise giúp CLS mang lại trải nghiệm "Cloud-native" ngay trên những dàn server vật lý cứng nhắc nhất. Chúng tôi không chỉ cài đặt một phần mềm; chúng tôi đang hiện đại hóa cách thức hạ tầng của bạn vận hành.

IV. Kiến trúc "SaaS trong lòng doanh nghiệp" của CLS

Để một hệ thống đào tạo có thể phục vụ hàng chục nghìn nhân viên truy cập cùng lúc mà không xảy ra tình trạng "nghẽn cổ chai", kiến trúc bên dưới phải được thiết kế vô cùng tinh xảo. CLS không triển khai theo kiểu "Monolithic" (khối đơn nhất) lạc hậu. Chúng tôi mang đến một kiến trúc hiện đại, giúp IT doanh nghiệp vận hành nhàn nhã hơn.

Microservices Architecture: Chia nhỏ để trị

Thay vì một bộ code khổng lồ, CLS được chia thành hàng chục Microservices riêng biệt: dịch vụ quản lý người dùng, dịch vụ thi trực tuyến, dịch vụ báo cáo, dịch vụ streaming video...

Lợi ích vận hành: Khi chúng tôi cần cập nhật tính năng "Thi trắc nghiệm" mới, các kỹ sư chỉ cần cập nhật đúng Microservice đó. Toàn bộ hệ thống vẫn chạy bình thường, người dùng đang xem video học tập hoàn toàn không bị ảnh hưởng. Điều này xóa bỏ khái niệm "dừng hệ thống để bảo trì" vốn là nỗi ám ảnh của các quản trị viên.

High Availability (HA) – Không bao giờ "sập"

Trong môi trường On-premise, lỗi phần cứng (hỏng ổ cứng, cháy nguồn server) là điều hoàn toàn có thể xảy ra. Tuy nhiên, với CLS trên K8s, chúng tôi thiết lập cơ chế Multi-node Cluster:

Hệ thống được trải đều trên ít nhất 3 server vật lý.
Nếu một server gặp sự cố, K8s sẽ ngay lập tức phát hiện và tự động di chuyển các "vận đơn" (workload) sang các server còn lại.
Kết quả: Hệ thống vẫn hoạt động ổn định 24/7, đảm bảo việc học tập của nhân viên không bao giờ bị gián đoạn.

Storage & Network: Giải quyết bài toán "Video khổng lồ"

Một hệ thống e-Learning chứa hàng Terabyte video bài giảng chất lượng cao luôn là thách thức về lưu trữ. CLS giải quyết vấn đề này thông qua Persistent Volumes (PV) trong K8s:

Lưu trữ thông minh: Chúng tôi tách biệt hoàn toàn giữa dữ liệu và ứng dụng. Ngay cả khi container ứng dụng bị xóa đi và khởi tạo lại, dữ liệu bài giảng vẫn được bảo toàn tuyệt đối trong các phân vùng lưu trữ chuyên dụng (như SAN hoặc NAS của doanh nghiệp).
Băng thông nội bộ: Tốc độ tải video trong mạng Intranet luôn nhanh hơn gấp nhiều lần so với Public Cloud, giúp trải nghiệm học tập mượt mà, không bị hiện tượng "buffering" khó chịu.

Box thông tin: Persistent Volume (PV) là gì? Hãy tưởng tượng PV như một ổ cứng ngoài cắm vào máy tính. Dù bạn có thay máy tính mới (Container mới), chỉ cần cắm ổ cứng đó vào là mọi dữ liệu vẫn còn nguyên. Điều này đảm bảo tính bền vững của dữ liệu trong môi trường động của K8s.

Việc thiết kế CLS theo mô hình "SaaS trong lòng doanh nghiệp" giúp khách hàng tận hưởng tất cả lợi thế của công nghệ đám mây: linh hoạt, bền bỉ và dễ mở rộng, nhưng lại được đặt trong một môi trường an toàn tuyệt đối do chính mình làm chủ.

V. Những "trận đánh" thực tế khi triển khai (The Deep Dives)

Triển khai Kubernetes trên Public Cloud giống như lái xe trên đường cao tốc được trải nhựa phẳng lì. Nhưng triển khai K8s On-premise trong các "pháo đài" doanh nghiệp lại giống như việc lái xe băng rừng – nơi mỗi khách hàng là một địa hình khác nhau với những quy tắc bảo mật riêng biệt. Dưới đây là những bài học mà đội ngũ kỹ sư CLS đã đúc kết được qua những dự án thực chiến.

Thử thách 1: Môi trường Air-gapped – Khi Internet là điều xa xỉ

Nhiều đơn vị tài chính và cơ quan nhà nước vận hành trong môi trường Air-gapped (hoàn toàn không có kết nối Internet). Điều này đồng nghĩa với việc chúng tôi không thể kéo (pull) các hình ảnh ứng dụng từ Docker Hub hay cập nhật K8s theo cách thông thường.

Giải pháp của CLS: Chúng tôi thiết lập một Private Registry ngay bên trong hạ tầng của khách hàng. Toàn bộ mã nguồn và các gói thư viện được đóng gói thành các offline images và chuyển vào thông qua các thiết bị lưu trữ vật lý được kiểm duyệt gắt gao.
Bài học: Sự chuẩn bị kỹ lưỡng về danh mục tài nguyên (inventory) là chìa khóa. Chỉ cần thiếu một cấu hình nhỏ, việc triển khai có thể bị đình trệ hàng tuần vì quy trình kiểm soát ra vào phòng máy.

Thử thách 2: Cuộc chiến dải IP – Tương thích Network

Một vấn đề thường gặp là dải IP nội bộ của K8s (Pod CIDR) vô tình chồng lấn với dải IP mạng LAN của doanh nghiệp. Nếu không xử lý khéo léo, hệ thống đào tạo sẽ khiến các máy tính trong mạng nội bộ bị mất kết nối hoặc không thể truy cập vào CLS.

Cách chúng tôi xử lý: Thay vì yêu cầu khách hàng thay đổi cấu hình mạng phức tạp, kỹ sư CLS chủ động phối hợp với đội Network của khách hàng để quy hoạch lại các dải IP ảo ngay từ bước khảo sát. Việc sử dụng các giải pháp như Calico hay Flannel giúp chúng tôi linh hoạt điều chỉnh cấu hình mạng của K8s sao cho "hòa nhập" một cách hòa bình với hạ tầng hiện có.

Thử thách 3: Giám sát (Monitoring) – Trao quyền cho khách hàng

Nỗi sợ lớn nhất của các Head of IT là: "Nếu hệ thống gặp sự cố, làm sao tôi biết nó hỏng ở đâu?". Với hàng trăm Container chạy cùng lúc, việc tìm lỗi theo cách thủ công là bất khả thi.

Giải pháp: Chúng tôi triển khai bộ đôi quyền lực Prometheus & Grafana tích hợp sẵn vào Cluster.
Giá trị mang lại: Toàn bộ "sức khỏe" của hệ thống CLS — từ mức độ chiếm dụng CPU, RAM của từng Server đến tốc độ phản hồi của trang web — đều được hiển thị trực quan trên Dashboard. Chúng tôi bàn giao toàn bộ hệ thống giám sát này cho đội IT khách hàng, giúp họ từ thế bị động chuyển sang chủ động quản trị, thậm chí phát hiện sự cố trước khi người dùng kịp phản ánh.

Trường hợp thực tế: Tại một ngân hàng X, khi hệ thống báo tải tăng đột biến vào khung giờ 8h sáng, nhờ Grafana, chúng tôi phát hiện ra hàng nghìn nhân viên cùng truy cập vào để thi khảo sát định kỳ. Ngay lập tức, K8s đã tự động "nở" thêm các Pod phục vụ kỳ thi để đáp ứng nhu cầu, sau đó tự động thu hẹp lại khi kỳ thi kết thúc để tiết kiệm tài nguyên.

Những "trận đánh" này đã dạy chúng tôi rằng: Công nghệ giỏi thôi chưa đủ, sự thấu hiểu và khả năng thích nghi với các quy tắc vận hành của khách hàng mới là yếu tố quyết định sự thành công.

VI. Giá trị kinh tế và Chiến lược dài hạn

Một trong những hiểu lầm phổ biến là triển khai On-premise luôn đắt đỏ hơn Cloud. Thực tế, khi làm việc với các doanh nghiệp có quy mô trên 10.000 nhân viên, chúng tôi đã cùng khách hàng thực hiện những bảng tính toán TCO (Total Cost of Ownership - Tổng chi phí sở hữu) và kết quả thường mang lại sự bất ngờ.

Tối ưu chi phí: Đầu tư một lần vs. "Tiền thuê nhà" vĩnh viễn

Trên Public Cloud, bạn trả tiền cho sự tiện lợi theo từng GB lưu trữ, từng đơn vị CPU và đặc biệt là phí băng thông (Egress fees) mỗi khi người dùng xem video. Với quy mô lớn, hóa đơn hàng tháng có thể trở thành một con số khổng lồ và khó kiểm soát.

Với CLS On-premise: Doanh nghiệp tận dụng lại hạ tầng phần cứng sẵn có hoặc đầu tư một lần. Chi phí vận hành sau đó gần như đi vào đường ngang phẳng lặng, không phụ thuộc vào việc bạn có bao nhiêu Terabyte video hay bao nhiêu nghìn lượt truy cập mỗi ngày.
Kết quả: Sau khoảng 18 - 24 tháng, tổng chi phí cho giải pháp On-premise thường bắt đầu thấp hơn đáng kể so với việc duy trì thuê bao Cloud hàng tháng.

Khả năng tự vận hành: Trao cần câu thay vì trao con cá

Mục tiêu của CLS khi sử dụng K8s không phải là để tạo ra sự lệ thuộc. Ngược lại, chúng tôi thiết kế hệ thống để đội ngũ IT của khách hàng có thể tự quản trị hoàn toàn:

K8s chuẩn hóa cách thức vận hành, giúp kỹ sư của doanh nghiệp không cần hiểu sâu về mã nguồn của CLS vẫn có thể mở rộng quy mô (Scale-out) hoặc xử lý sự cố hạ tầng.
Việc vận hành một hệ thống hiện đại như K8s cũng là cơ hội để đội ngũ IT nội bộ nâng cao năng lực, tiếp cận với những tiêu chuẩn công nghệ hàng đầu thế giới ngay tại văn phòng của mình.

Roadmap: Đưa AI và Big Data vào "pháo đài"

Chúng tôi không dừng lại ở việc cung cấp các khóa học. Lộ trình của CLS là biến hệ thống đào tạo thành một trung tâm phân tích dữ liệu nhân sự thông minh:

AI Training: Với K8s, chúng tôi dễ dàng tích hợp các thư viện Machine Learning để phân tích hành vi người học, gợi ý lộ trình thăng tiến cá nhân hóa. Tất cả quá trình xử lý này diễn ra trên server nội bộ, đảm bảo các thuật toán AI học từ dữ liệu của bạn mà không làm rò rỉ thông tin ra bên ngoài.
Big Data: Hệ thống báo cáo của CLS có thể xử lý hàng triệu bản ghi kết quả học tập trong thời gian thực, giúp ban lãnh đạo có cái nhìn chính xác về sức khỏe năng lực của tổ chức để đưa ra các quyết định chiến lược.

Việc lựa chọn K8s On-premise hôm nay không chỉ là để giải quyết bài toán hiện tại, mà là xây dựng một nền tảng vững chắc để doanh nghiệp sẵn sàng cho những công nghệ của tương lai mà vẫn giữ trọn quyền tự chủ.

VII. Kết luận: Đừng chọn Cloud vì xu hướng, hãy chọn K8s vì sự bền vững

Trong thế giới công nghệ, xu hướng đến và đi rất nhanh. Nhưng đối với một doanh nghiệp, sự an tâm và tính ổn định của hệ thống là những giá trị không bao giờ cũ. Việc đưa CLS vận hành trên nền tảng Kubernetes On-premise không phải là một bước lùi so với xu hướng Cloud, mà là một bước tiến chiến lược nhằm kết hợp: Sự bảo mật tuyệt đối của "pháo đài" hạ tầng riêng và sự linh hoạt vượt trội của công nghệ Container hóa.

Chúng tôi tin rằng, một hệ thống đào tạo thành công không chỉ nằm ở những tính năng hào nhoáng, mà phải là một hệ thống mà người quản trị IT có thể ngủ ngon mỗi đêm, biết rằng dữ liệu được bảo vệ và hệ thống luôn sẵn sàng phục vụ người học. CLS cam kết sẽ luôn là đối tác đồng hành tin cậy, sẵn sàng dấn thân vào những môi trường hạ tầng khắc nghiệt nhất để cùng doanh nghiệp xây dựng nền móng tri thức vững chắc.

GÓC NHÌN CHUYÊN GIA: NHỮNG BÀI HỌC TỪ THỰC ĐỊA

Để giúp doanh nghiệp triển khai K8s On-premise thành công, các chuyên gia của CLS xin chia sẻ 3 "bí kíp" thực chiến:

1. Chiến thuật "Canary Deployment" trên hạ tầng nội bộ

Dù là On-premise, chúng tôi vẫn áp dụng quy trình cập nhật hiện đại nhất. Thay vì cập nhật cho toàn bộ 20.000 người dùng cùng lúc, chúng tôi sử dụng K8s để điều phối:

Chỉ 10% người dùng (thường là một phòng ban cụ thể) được trải nghiệm tính năng mới trước.
Nếu mọi chỉ số ổn định, hệ thống mới bắt đầu "bung" ra toàn hệ thống. Điều này giúp giảm thiểu rủi ro đến mức gần như bằng không.

2. Kinh nghiệm về Backup: Đừng tin vào phần cứng, hãy tin vào quy trình

Một sai lầm phổ biến là nghĩ rằng Server vật lý xịn thì không cần Backup. Thực tế, "ổ cứng nào rồi cũng sẽ hỏng".

Lời khuyên: Đừng bao giờ chỉ backup bên trong Cluster K8s. Chúng tôi luôn thiết lập chiến lược đẩy dữ liệu Database và tài liệu học tập ra một hệ thống lưu trữ độc lập (Off-site backup) hàng ngày. Đây là con đường sống còn để phục hồi hệ thống sau những sự cố thảm họa.

3. Văn hóa phối hợp: Khi kỹ sư phần mềm làm việc với chuyên gia mạng

Triển khai K8s không chỉ là vấn đề code, đó là vấn đề về giao tiếp.

Bí quyết của CLS là thiết lập một "Task force" chung giữa đội ngũ triển khai của chúng tôi và chuyên gia mạng/bảo mật của khách hàng ngay từ ngày đầu. Việc thấu hiểu các chính sách Firewall và Routing của doanh nghiệp giúp chúng tôi "mở đường" cho K8s một cách mượt mà mà không vi phạm bất kỳ tiêu chuẩn an ninh nào.