Seminar Cloud&Heat Titan / SecuStack – Compute, Images und Instanz-Lifecycle

Inhaltsübersicht

• Seminarprofil
• Lernziele
• Zielgruppe und Voraussetzungen
• Seminarinhalte
• Praxislabor
• Methoden und Arbeitsweise

Seminarprofil

Das Seminar vertieft die Bereitstellung und den Betrieb virtueller Maschinen. Image-Lifecycle, Flavors, Cloud-Init, Scheduling, Sicherheitsmerkmale und die Diagnose fehlgeschlagener Instanzvorgänge werden in einem zusammenhängenden Betriebsmodell behandelt.

Lernziele

• vertrauenswürdige Images und nachvollziehbare Flavor-Profile entwickeln
• Instanzen einschließlich Netzwerk, Metadaten und persistentem Storage bereitstellen
• Cloud-Init ohne ungeschützte Geheimnisse einsetzen
• Workloads gezielt über Host-Aggregate und Merkmale platzieren
• Compute-Fehler über Request-ID und Dienstkette eingrenzen

Zielgruppe und Voraussetzungen

Zielgruppe: OpenStack-Administration, Cloud Operations, technische Anwendungsbetreuung, DevOps und Infrastrukturautomatisierung.

Voraussetzungen: OpenStack-Grundkenntnisse und sicherer Umgang mit Linux. Kenntnisse zu IP-Netzen und virtuellen Maschinen werden vorausgesetzt.

Seminarinhalte

Tag 1: Image- und Instanzgrundlagen

Die Themen werden in einer festen Reihenfolge aus Einordnung, technischer Umsetzung, Kontrolle und dokumentierter Prüfung bearbeitet.

Images, Flavors und Workload-Profile

Standardisierte Images und Flavors schaffen reproduzierbare, kontrollierbare Ausgangspunkte für virtuelle Maschinen.

1. Schritt 1 – Image-Quelle prüfen: Herkunft, Signatur, Prüfsumme, Lizenz, Aktualitätsstand und enthaltene Pakete werden vor der Freigabe bewertet.
2. Schritt 2 – Image vorbereiten: Cloud-Init-Fähigkeit, Treiber, Benutzerkonzept, Zeitquelle und Härtungsbaseline werden in einem wiederholbaren Build-Prozess umgesetzt.
3. Schritt 3 – Flavor-Modell definieren: CPU, RAM, lokaler Speicher, NUMA-, Hugepage- oder Sicherheitsmerkmale werden in verständliche Workload-Klassen überführt.
4. Schritt 4 – Freigabe steuern: Sichtbarkeit, Eigentümer, Version, Auslaufdatum und Rücknahmeverfahren werden für Images und Flavors dokumentiert.

Praxisbezug: Erstellung eines freigegebenen Basis-Images und zweier klar abgegrenzter Flavor-Profile.

Instanz-Lifecycle und Betriebszustände

Der vollständige Lebenszyklus einer Instanz wird von der Anforderung bis zur geordneten Außerbetriebnahme betrachtet.

1. Schritt 1 – Bereitstellung planen: Image, Flavor, Netzwerk, Sicherheitsgruppen, Schlüssel, Metadaten und Storage werden vor dem Start vollständig festgelegt.
2. Schritt 2 – Instanz starten: Scheduler-Entscheidung, Port-Erzeugung, Volume-Anbindung und Hypervisor-Status werden während des Boot-Vorgangs geprüft.
3. Schritt 3 – Betriebsänderungen durchführen: Resize, Reboot, Rebuild, Snapshot, Stop und Migration werden mit ihren Auswirkungen auf Verfügbarkeit und Daten bewertet.
4. Schritt 4 – Außerbetriebnahme sichern: Datenexport, Löschung, Freigabe abhängiger Ressourcen und Nachweis der Bereinigung werden kontrolliert abgearbeitet.

Praxisbezug: Durchführung eines Instanz-Lifecycles einschließlich Resize, Snapshot, Wiederherstellung und geordneter Löschung.

Metadaten und Cloud-Init

Cloud-Init und Instanzmetadaten automatisieren die initiale Konfiguration, müssen jedoch kontrolliert und geheimnisfrei eingesetzt werden.

1. Schritt 1 – Datenquellen festlegen: User Data, Vendor Data, Metadatenservice und Konfigurationslaufwerke werden nach Anwendungsfall ausgewählt.
2. Schritt 2 – Konfiguration modularisieren: Benutzer, SSH-Schlüssel, Pakete, Dateien und Startbefehle werden in wiederverwendbare Cloud-Init-Bausteine zerlegt.
3. Schritt 3 – Geheimnisse ausschließen: Kennwörter, private Schlüssel und langlebige Tokens werden nicht in offen lesbaren Metadaten abgelegt.
4. Schritt 4 – Ergebnis verifizieren: Cloud-Init-Status, Protokolle und erzeugte Systemzustände werden nach dem ersten Start geprüft.

Praxisbezug: Automatisierte Erstkonfiguration einer Testinstanz mit Benutzer, Paketinstallation und Systemdienst.

Tag 2: Platzierung, Workload-Schutz und Fehlerdiagnose

Die Themen werden in einer festen Reihenfolge aus Einordnung, technischer Umsetzung, Kontrolle und dokumentierter Prüfung bearbeitet.

Scheduling, Host-Aggregate und Platzierung

Compute-Ressourcen werden anhand technischer Merkmale, Auslastung, Fehlerdomänen und Sicherheitsanforderungen gezielt platziert.

1. Schritt 1 – Knotenmerkmale erfassen: CPU-Generation, Beschleuniger, Verschlüsselungsfunktionen, Storage-Nähe und Wartungsstatus werden als planbare Merkmale beschrieben.
2. Schritt 2 – Aggregate bilden: Host-Gruppen und Metadaten werden für Workload-Klassen, Zonen oder besondere Hardwarefunktionen strukturiert.
3. Schritt 3 – Flavor-Anforderungen koppeln: Extra Specs und Placement-Merkmale werden so definiert, dass nur geeignete Compute-Knoten ausgewählt werden.
4. Schritt 4 – Fehlplatzierung analysieren: Scheduler-Berichte, Ressourceninventar und konkurrierende Anforderungen werden bei gescheiterten Starts geprüft.

Praxisbezug: Definition eines Host-Aggregats und eines Flavor-Profils für eine besonders geschützte Workload-Klasse.

Sichere Workload-Bereitstellung

Sicherheit der Plattform ersetzt nicht die kontrollierte Konfiguration von Images, Instanzen, Netzwerken und Anwendungsschichten.

1. Schritt 1 – Vertrauenswürdiges Image wählen: Freigabestatus, Signatur, Patchstand und Härtungsprofil werden vor der Bereitstellung geprüft.
2. Schritt 2 – Zugriff minimieren: Schlüsselbasierte Anmeldung, getrennte Administrationswege und restriktive Sicherheitsgruppen werden umgesetzt.
3. Schritt 3 – Daten schützen: Verschlüsselte Volumes, sichere Secrets und minimierte Metadaten reduzieren das Risiko eines Datenabflusses.
4. Schritt 4 – Betrieb absichern: Patchen, Host-basierte Protokollierung, Schwachstellenprüfung und geordnete Außerbetriebnahme werden eingeplant.

Praxisbezug: Bereitstellung einer gehärteten Beispielinstanz mit minimalem Netzwerkzugriff und verschlüsseltem Volume.

Fehleranalyse im Compute-Bereich

Compute-Störungen werden entlang der Kette API, Scheduler, Conductor, Compute-Dienst, Hypervisor, Netzwerk und Storage eingegrenzt.

1. Schritt 1 – Fehlerbild sichern: Instanzstatus, Task State, Fault-Information, Request-ID und Zeitfenster werden vor Änderungen dokumentiert.
2. Schritt 2 – Steuerungspfad verfolgen: API-, Scheduler- und Conductor-Protokolle werden anhand der Request-ID korreliert.
3. Schritt 3 – Hostzustand prüfen: Compute-Service, Hypervisor, Ressourcenbelegung, Libvirt-Ereignisse und lokale Abhängigkeiten werden kontrolliert.
4. Schritt 4 – Behebung validieren: Korrektur, erneuter Test, Nebenwirkungsprüfung und dokumentierte Ursache schließen die Analyse ab.

Praxisbezug: Analyse eines simulierten Boot-Fehlers mit Request-ID und Zuordnung zur verursachenden Schicht.

Praxislabor

• Erstellung eines freigegebenen Basis-Images und zweier klar abgegrenzter Flavor-Profile.
• Durchführung eines Instanz-Lifecycles einschließlich Resize, Snapshot, Wiederherstellung und geordneter Löschung.
• Automatisierte Erstkonfiguration einer Testinstanz mit Benutzer, Paketinstallation und Systemdienst.
• Definition eines Host-Aggregats und eines Flavor-Profils für eine besonders geschützte Workload-Klasse.
• Bereitstellung einer gehärteten Beispielinstanz mit minimalem Netzwerkzugriff und verschlüsseltem Volume.
• Analyse eines simulierten Boot-Fehlers mit Request-ID und Zuordnung zur verursachenden Schicht.

Methoden und Arbeitsweise

Fachliche Einordnung, strukturierte Demonstrationen, geführte Systemübungen, technische Prüflisten und dokumentierte Störungsszenarien wechseln sich ab. Jeder Arbeitsschritt wird mit Ausgangszustand, erwarteter Wirkung, Prüfkriterium und Rückfallmöglichkeit beschrieben. Die Übungen verwenden realistische Rollen- und Fehlerbilder; produktive Zugangsdaten oder externe Verbindungen sind nicht erforderlich.