Seminar Incus Sicherheit, Authentifizierung und Autorisierung

Praxisorientierte Einordnung: Sicherheit entsteht nicht durch eine einzelne Option. Host, Daemon, Identität, Autorisierung, Projekt, Instanz, Gerät, Netzwerk und Storage bilden gemeinsame Schutzschichten. Jede Schicht wird mit einem konkreten Missbrauchsszenario geprüft.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe und Voraussetzungen
• Seminarinhalte
• Praxisworkshop
• Typische Einsatzszenarien

Zielsetzung

Entwurf und Umsetzung einer belastbaren Incus-Sicherheitsbaseline. Teilnehmende können Zugriffe absichern, Rechte begrenzen, riskante Funktionen kontrollieren und Sicherheitsereignisse nachvollziehbar auswerten.

Zielgruppe und Voraussetzungen

Zielgruppe: Incus-Administratoren, Security Engineers, Plattformarchitekten, Auditoren und technische Verantwortliche.

Vorkenntnisse: Gute Incus- und Linux-Administrationskenntnisse sowie Grundlagen zu TLS, Identitätsmanagement, Netzwerkfirewalls und Linux-Sicherheitsmechanismen.

Seminarinhalte

1. Bedrohungsmodell und Hosthärtung

1. Schritt 1: Schutzgüter, Angreiferrollen, Vertrauensgrenzen und administrative Wirkungskreise für die Plattform erfassen.
2. Schritt 2: Hostzugriff, Paketquellen, Kernel, Zeitbasis, Firewall und Dateirechte in eine Baseline überführen.
3. Schritt 3: Lokale Gruppenmitgliedschaft als weitreichenden administrativen Zugriff bewerten und entsprechend begrenzen.

2. Container- und VM-Isolation

1. Schritt 1: Unprivilegierte Container, User Namespaces, AppArmor oder SELinux, Seccomp und Capability-Begrenzung einordnen.
2. Schritt 2: Privilegierte Container, Nesting, Kernelinterception und Gast-API nur nach dokumentierter Risikoabwägung freigeben.
3. Schritt 3: VMs, IOMMU, PCI-, GPU- und USB-Passthrough hinsichtlich Hostangriffsfläche bewerten.

3. Authentifizierung und Zertifikate

1. Schritt 1: TLS-Clientzertifikate, Join-Tokens, Zertifikatserneuerung und Widerruf in einen Lebenszyklus überführen.
2. Schritt 2: OIDC mit Issuer, Client, Audience, Claims und erlaubten Quellnetzen konfigurieren.
3. Schritt 3: Serverzertifikate, ACME und vertrauenswürdige Proxys passend zur Netzwerkarchitektur absichern.

4. Feingranulare Autorisierung

1. Schritt 1: Authentifizierung und Autorisierung klar trennen und Standardzugriff ohne Rechtebegrenzung vermeiden.
2. Schritt 2: Rollen und Beziehungen in einer externen feingranularen Autorisierung modellieren oder Scriptlet-Regeln definieren.
3. Schritt 3: Wirksame Zugriffe auf Projekt und Instanz prüfen und unerwartete Berechtigungsvererbung erkennen.

5. Projektrestriktionen und Ressourcenmissbrauch

1. Schritt 1: Quotas und Limits gegen Ressourcenerschöpfung einsetzen.
2. Schritt 2: Geräte, Netzwerke, Subnetze, Storage-Pools, Clustergruppen, Snapshots und Backups gezielt beschränken.
3. Schritt 3: Profile und lokale Überschreibungen auf Möglichkeiten zur Umgehung von Restriktionen testen.

6. Netzwerkschutz, Audit und Reaktion

1. Schritt 1: Bridge- oder OVN-ACLs mit Default-Deny, Address Sets und Logging aufbauen.
2. Schritt 2: Logs, Events, Warnungen und Autorisierungsentscheidungen für Nachvollziehbarkeit zentral erfassen.
3. Schritt 3: Zertifikat kompromittieren, Zugriff sperren, Auswirkungen prüfen und kontrollierte Wiederfreigabe durchführen.

Praxisworkshop

• Erstellung einer Sicherheitsbaseline mit Host-, Server-, Projekt-, Instanz- und Netzwerkmaßnahmen.
• Einrichtung von OIDC und eingeschränkter Autorisierung für zwei Betriebsrollen.
• Angriffssimulation mit zu weitreichendem Geräte- oder Projektzugriff und anschließender Härtung.

Typische Einsatzszenarien

• Mandantenfähige interne oder externe Plattformen.
• Regulierte Umgebungen mit Nachweis-, Audit- und Berechtigungsanforderungen.
• Delegierter Plattformzugriff für Entwickler, Betrieb und Support.