Servizi
Ingegneri platform senior che gestiscono cluster EKS, GKE, AKS e bare-metal in produzione come professione — non come presentazione. Progettiamo la topologia del cluster, costruiamo internal developer platform, scriviamo la pipeline GitOps, rafforziamo la sicurezza al CIS Benchmark, tagliamo le fatture cloud del 30–45% con il FinOps e siamo in reperibilità con il vostro team durante i primi tre rilasci. Team platform dedicati da 12.000 EUR/mese. Sprint di migrazione e upgrade da 35.000 EUR fissi.
Kubernetes non è il prodotto — lo è il paved road che i vostri ingegneri percorrono ogni giorno. La maggior parte dei team arriva con gli stessi tre problemi: un cluster cresciuto organicamente senza un chiaro responsabile, una fattura cloud che è raddoppiata mentre il traffico cresceva solo del 30%, e un processo di deploy che richiede ancora un ingegnere senior alla tastiera. Li risolviamo tutti e tre. La settimana 1 è un audit di architettura e FinOps con un ADR scritto. Dalla settimana 2 in poi consegniamo: GitOps con Argo CD, Karpenter o Autopilot per il compute, Cilium per rete e observability, Kyverno per le policy, External Secrets per le credenziali e Backstage per il self-service. I vostri ingegneri smettono di scrivere YAML e iniziano a rilasciare funzionalità.
EKS, GKE, AKS o on-prem (kubeadm, Talos, Rancher RKE2). Control plane multi-AZ, strategia node group, modello di tenancy dei namespace, federazione multi-cluster con Cluster API quando la scala lo richiede. ADR scritti rispetto ai vostri SLO.
Argo CD o Flux con App-of-Apps, Helm + Kustomize per ambiente, immagini firmate via Cosign e Sigstore, Renovate per i bump upstream, consegna progressiva con Argo Rollouts o Flagger (canary, blue/green, traffic-shifted).
Pod Security Standards restricted, admission Kyverno o OPA Gatekeeper, network policy Cilium default-deny, IRSA/Workload Identity, rilevamento runtime Falco, External Secrets via Vault o AWS/GCP secret manager, pacchetto evidenze CIS Benchmark v1.9.
Kubecost o OpenCost per il chargeback, Karpenter o Autopilot per il compute elastico, adozione spot/preemptible con PDB, right-sizing guidato da VPA, HPA con metriche custom KEDA. Risparmio tipico del primo trimestre 30–45% su fatture cluster a sei cifre.
Collector OpenTelemetry, Prometheus + Thanos o Grafana Mimir per metriche a lungo termine, Loki o Elastic per i log, Tempo o Jaeger per le trace, Grafana per i dashboard, Alertmanager collegato a PagerDuty/Opsgenie/Slack. Alert guidati da SLO, non da picchi CPU.
Developer portal Backstage, Crossplane o Terraform-controller per le claim infra self-service, template golden-path per tipo di workload, documentazione paved-road in Backstage TechDocs. L’onboarding di un servizio scende da due settimane a una PR.
Settimana 1: revisione topologia cluster, scansione kube-bench e kubescape, installazione Kubecost, inventario IaC, interviste on-call. Consegniamo un pacchetto ADR scritto con i 10 rischi principali e i 10 risparmi di costo principali classificati per impatto.
Settimane 2–4: pipeline GitOps attiva, Pod Security Standards restricted applicati, policy Kyverno unite, External Secrets migrati dal plaintext, Karpenter o Autopilot rilasciati dietro feature flag.
Settimane 5–12: build IDP — portal Backstage, template golden-path, claim Crossplane per le cinque primitive infra più richieste, pipeline OpenTelemetry, alerting basato su SLO. Co-costruito con il vostro team platform, non consegnato sopra un muro.
Finestra di supporto post-go-live di 90 giorni. Revisione platform settimanale, rotazione on-call accanto al vostro team, runbook in Backstage TechDocs, report FinOps mensile con risparmi tracciati rispetto alla baseline.
Audit a perimetro fisso di due settimane. Topologia cluster, baseline sicurezza, FinOps, maturità GitOps, gap observability. Pacchetto ADR scritto con roadmap di remediation prioritizzata. Da 18.000 EUR fissi.
Sprint a perimetro fisso di 8–12 settimane: lift-and-shift da VM/ECS/App Service a EKS/GKE/AKS, o upgrade v1.24-to-v1.31 su una flotta. SOW scritto, fatturazione per milestone, supporto post-cutover 90 giorni. Da 35.000 EUR fissi.
2 ingegneri platform senior + tech lead, integrati con il vostro team, giornata lavorativa CET con sovrapposizione East Coast USA. Gestisce la platform, costruisce l’IDP, è in reperibilità. Da 12.000 EUR/mese per team dedicato.
Minimo tre mesi per i retainer, poi mese per mese con 30 giorni di preavviso. NDA, DPA e cessione IP firmati prima del kickoff.
App VPN consumer WireGuard per iOS e Android con architettura zero-log, lanciata in US e UE.
Refactoring e rebuild Android + iOS per un operatore logistico tedesco dell'ultimo miglio — pianificazione percorsi multi-punto, tracking corrieri in tempo reale e fatturazione in-app in produzione in Europa.
App iOS e Android native per firma digitale con CRM Symfony + React per uno studio legale transfrontaliero — onboarding KYC e pista probante per pratiche USA e UE.
Conforme GDPR · ISO 27001 ready · SOC 2 Type II in corso · GDPR Schrems II + SCC + Residenza dati UE
Ogni senior nell’engagement è in reperibilità per Kubernetes in produzione da oltre 5 anni: certificati CKA/CKS, contributori a progetti CNCF upstream, e le persone che debuggano etcd alle 3 di notte, non quelle che disegnano box nelle presentazioni.
Gestiamo EKS, GKE, AKS e on-prem in produzione e non abbiamo preferenze commerciali. L’ADR che ricevete nella settimana 1 è valutato rispetto al vostro workload, non rispetto al cloud che ci ha dato più rebate nell’ultimo trimestre.
CIS Kubernetes Benchmark v1.9, pacchetti evidenze SOC 2 Type II, controlli ISO 27001 Annex A, salvaguardie tecniche HIPAA, residenza dati UE con clausole Schrems II e SCC scritte nel DPA: li abbiamo consegnati tutti.
Per i workload regolamentati (fintech, healthtech, govtech) configuriamo cluster con data plane solo UE, chiavi di cifratura gestite dal cliente (KMS BYOK) e un bundle di policy Kyverno auditabile pronto per il prossimo audit ISO o SOC 2.
Aggregare i prezzi in tempo reale su più exchange mantenendo la latenza sotto i 500 ms è ingegneria davvero complessa. YuSMP ha integrato il feed multi-exchange, i grafici dei token in tempo reale e il flusso di listing in una piattaforma coerente. Non abbiamo avuto un’interruzione dal lancio.
Il controllo di processo in un ambiente reattore non può permettersi interruzioni di connettività. YuSMP ha consegnato un MES offline-first che cattura ogni fase in modo affidabile e si sincronizza al server centrale senza perdita di dati. La prontezza per gli audit che una volta richiedeva giorni ora richiede minuti.
Raramente si tratta del control plane (tutti e tre sono conformi e stabili) e quasi sempre di ciò che lo circonda. Scegliete EKS se il vostro data plane vive già in AWS: VPC CNI, IRSA per IAM, ALB Ingress, Karpenter per l’autoscaling e EBS CSI sono di primo livello e si integrano con il resto dell’estate AWS. Scegliete GKE se avete bisogno dell’esperienza più opinionated: Autopilot elimina completamente la gestione dei nodi, Workload Identity è il binding service-account-to-IAM più pulito sul mercato e la cadenza di upgrade è la più aggressiva. Scegliete AKS se siete un’azienda enterprise su Entra ID e Azure Policy: la storia IAM e di compliance è la più fluida. Per greenfield senza una preferenza cloud esistente raccomandiamo solitamente GKE Autopilot. Facciamo la valutazione nella settimana uno di ogni engagement e redigiamo un ADR con trade-off concreti valutati rispetto al vostro workload.
Il nostro default è Argo CD per la consegna delle applicazioni e Flux per il bootstrap del cluster, entrambi con il pattern App-of-Apps. L’infrastruttura cluster (VPC, node group, IAM, chiavi KMS, ruoli IRSA) è Terraform o Pulumi, in un repo separato con policy gate OPA/Conftest nel CI. I manifest delle applicazioni vivono in chart Helm avvolti da Kustomize overlay per ambiente. La promozione delle immagini passa attraverso un registry firmato (Cosign + Sigstore) con un bot Renovate che apre PR sul repo GitOps. Il merge della PR su main innesca la sincronizzazione Argo. Il rollback è un git revert. Non permettiamo mai agli esseri umani di fare kubectl apply in produzione.
Sei controlli non negoziabili. (1) Pod Security Standards impostati su restricted con enforcement Kyverno o OPA Gatekeeper. (2) Network policy default-deny con Cilium o Calico, traffico esplicitamente consentito per namespace. (3) IRSA su EKS o Workload Identity su GKE/AKS: mai credenziali statiche a lunga durata nei secret. (4) Firma immagini tramite Cosign con admission policy Kyverno verifyImages. (5) Rilevamento a runtime tramite Falco o Tetragon con invio al vostro SIEM. (6) Secret tramite External Secrets Operator sostenuto da AWS/GCP/Azure secret manager o HashiCorp Vault: nessun secret in chiaro nel git, mai. Ci rafforziamo contro il CIS Kubernetes Benchmark v1.9 e forniamo il pacchetto di evidenze di audit per SOC 2 e ISO 27001.
Sì, e il FinOps Kubernetes è la maggior parte del modo in cui risparmiamo denaro per i clienti EKS e GKE. Schema standard: installare Kubecost o OpenCost per il chargeback a livello di namespace, passare i node group statici sovra-provisionati a Karpenter o GKE Autopilot, spostare i workload stateless su spot/preemptible con PodDisruptionBudget e topology spread constraint, dimensionare correttamente request e limit tramite le raccomandazioni di Vertical Pod Autoscaler, e aggiungere HPA con metriche custom da KEDA invece del solo CPU. Il risparmio tipico del primo trimestre su una fattura EKS da 100k EUR/mese è del 30–45% senza toccare i target di reliability. Condividiamo il modello di risparmio con il finance in un report mensile scritto.
Sì, è la maggior parte degli engagement che vanno oltre i sei mesi. Uno stack IDP tipico: Backstage per il developer portal, Crossplane o Terraform-controller per le claim di infrastruttura self-service, Argo CD per la consegna, Argo Workflows per batch e ML, Tekton o GitHub Actions runner per il CI, Istio o Linkerd per la service mesh, Cilium Hubble per l’observability, OpenTelemetry collector che inviano al vostro APM. Non inventiamo astrazioni: colleghiamo i migliori progetti CNCF in un paved road e lo documentiamo in Backstage. L’onboarding di un nuovo servizio scende da due settimane di YAML a un template Backstage + una PR.
Due forme di engagement. Team platform dedicato (2 ingegneri senior SRE/platform + tech lead) da 12.000 EUR/mese per team dedicato, minimo tre mesi poi mese per mese con 30 giorni di preavviso. Sprint di migrazione a perimetro fisso (lift-and-shift da VM/ECS/App Service a EKS/GKE/AKS, o upgrade v1.24-to-v1.31 su una flotta) da 35.000 EUR fissi per un engagement di 8 settimane con SOW scritto, fatturazione per milestone e finestra di supporto post-cutover di 90 giorni inclusa. Non fatturiamo i viaggi all’interno dell’UE e gli on-site negli USA vengono fatturati a costo senza markup.
Approfondimenti e guide pratiche dal nostro blog per i team di prodotto e ingegneria di USA e UE.
Come le grandi imprese italiane ed europee migrano un monolite a microservizi senza interruzioni: pattern…
Leggi l'articolo →
Modernizzazione dei sistemi legacy nel 2026 — i 6 R, fasce di costo, risparmi del 30–40 %…
Leggi l'articolo →
Integrazione dei sistemi aziendali spiegata — connettere ERP, CRM e sistemi HR, pattern di integrazione (iPaaS…
Leggi l'articolo →
Monolite, microservizi o monolite modulare nel 2026: quando ciascuno scala, quanto costa e come scegliere…
Leggi l'articolo →Condividete alcuni dettagli e un consulente senior risponderà entro un giorno lavorativo.