Seminar OpenEBS Sicherheit, Mandantentrennung und Verschlüsselung

Das Seminar entwickelt ein Sicherheitsmodell für OpenEBS, das Kubernetes-Berechtigungen, privilegierte Node-Komponenten und den Schutz gespeicherter Daten gemeinsam betrachtet.

Inhaltsverzeichnis

• Zielgruppe
• Voraussetzungen
• Kompetenzziele
• Seminarinhalte
• Praxisübungen

Zielgruppe

Kubernetes-Sicherheitsverantwortliche, Administratoren, Plattformarchitekten, DevSecOps- und SRE-Teams.

Voraussetzungen

Sichere Kubernetes-Grundkenntnisse, insbesondere zu ServiceAccounts, RBAC, Secrets und Pod-Sicherheitsmechanismen.

Kompetenzziele

• die zentralen Zusammenhänge von behandelt werden bedrohungsmodell, rbac, namespaces, pod-sicherheit, hostzugriffe, secrets, verschlüsselungsoptionen, registry-schutz, protokollierung und sichere support-daten. fachlich einordnen.
• eine belastbare Konfiguration anhand definierter Anforderungen planen und umsetzen.
• typische Betriebs- und Fehlersituationen systematisch beurteilen.
• Prüfschritte und Runbooks für den eigenen Kubernetes-Betrieb ableiten.

Seminarinhalte

1. Bedrohungsmodell

1. Daten, Schlüssel, Node-Zugriffe und Verwaltungsobjekte als Schutzgüter erfassen.
2. Angriffswege über Workloads, Kubernetes-API und Hostsystem trennen.
3. Risiken nach Auswirkung und Eintrittswahrscheinlichkeit priorisieren.

2. ServiceAccounts und RBAC

1. Berechtigungen der Controller und Node-Komponenten inventarisieren.
2. ClusterRoles und Bindings auf notwendige Rechte prüfen.
3. Abweichungen und administrative Zugriffe nachvollziehbar dokumentieren.

3. Namespaces und Mandantentrennung

1. Verantwortungsgrenzen zwischen Teams und Anwendungen definieren.
2. StorageClasses, Quotas und Policies nach Mandanten strukturieren.
3. unerlaubte Nutzung privilegierter Klassen praktisch verhindern.

4. Pod-Sicherheit und Hostzugriffe

1. privilegierte Container, HostPath und Gerätezugriff bewerten.
2. notwendige Ausnahmen eng auf Komponenten und Namespaces begrenzen.
3. Wirksamkeit der Richtlinien mit positiven und negativen Tests prüfen.

5. Verschlüsselung gespeicherter Daten

1. Schutzbedarf für lokale und replizierte Volumes bestimmen.
2. engine-spezifische Verschlüsselung oder darunterliegende Verschlüsselungsschichten auswählen.
3. Leistung, Wiederanlauf und Schlüsselabhängigkeit testen.

6. Secrets und Schlüssel-Lifecycle

1. Erzeugung, Ablage, Rotation und Notfallzugriff festlegen.
2. Secret-Referenzen ohne Klartext in Workload- oder Chart-Konfigurationen verwenden.
3. Verlust- und Rotationsszenarien kontrolliert erproben.

7. Images, Registry und Lieferkette

1. benötigte Images und Herkunft vollständig erfassen.
2. private Registry, Signatur- und Scanprozesse einbinden.
3. Versionen und Digests für reproduzierbare Installationen fixieren.

8. Audit, Protokolle und Support-Daten

1. sicherheitsrelevante Änderungen und API-Zugriffe protokollieren.
2. Logs und Support-Bundles auf Geheimnisse und personenbezogene Daten prüfen.
3. Aufbewahrung, Weitergabe und Löschung verbindlich regeln.

Praxisübungen

• Berechtigungen eines OpenEBS-ServiceAccounts analysieren.
• eine mandantenbezogene StorageClass- und Quota-Strategie entwerfen.
• Verschlüsselungs- und Schlüsselrotationsabläufe als Runbook formulieren.
• Support-Daten auf schützenswerte Inhalte prüfen und bereinigen.