Seminar Longhorn Security und Volume-Verschlüsselung

Persistente Daten benötigen Schutz auf Verwaltungs-, Transport- und Speicherebene.

Die Schulung entwickelt ein Sicherheitsmodell mit RBAC, abgesichertem UI-Zugang, Kubernetes-Secrets, Volume-Verschlüsselung und interner Vertrauensbildung. Schlüsselrotation, Restore und Notfallzugriff werden praktisch geprüft.

Inhaltsübersicht

1. Bedrohungsmodell erstellen
2. Berechtigungen minimieren
3. UI und API schützen
4. Volume-Verschlüsselung
5. Schlüsselrotation
6. Backing Images absichern
7. mTLS und NetworkPolicies
8. Verschlüsselten Restore testen

Zielsetzung

Die Schulung verfolgt folgende fachliche und betriebliche Ziele:

• Bedrohungen und Schutzbedarf für Daten und Administration bewerten.
• Volumes und Backing Images mit kontrolliertem Schlüsselmanagement verschlüsseln.
• RBAC, UI-Zugriff, Netzwerkgrenzen und mTLS kombinieren.
• Schlüsselrotation, Restore und Notfallzugriff ohne Datenverlust testen.

Lernmodule und praktische Übungen

1. Bedrohungsmodell erstellen

Schutzmaßnahmen werden aus realistischen Angriffs- und Fehlerszenarien abgeleitet.

1. Schritt 1: Daten, Metadaten, Backups, Secrets und Verwaltungswege inventarisieren.
2. Schritt 2: Angreifer auf Pod-, Knoten-, Cluster- und Backup-Ebene unterscheiden.
3. Schritt 3: Vertraulichkeit, Integrität und Verfügbarkeit bewerten.
4. Schritt 4: Priorisierte Sicherheitsanforderungen festlegen.

2. Berechtigungen minimieren

Administrationsrechte werden nach Aufgaben getrennt.

1. Schritt 1: Longhorn- und Kubernetes-Ressourcen Betriebsrollen zuordnen.
2. Schritt 2: ServiceAccounts und RBAC-Regeln mit minimalen Rechten erstellen.
3. Schritt 3: Unzulässige Volume- oder Secret-Aktion praktisch nachweisen.
4. Schritt 4: Break-Glass-Zugang und Protokollierung separat definieren.

3. UI und API schützen

Die Verwaltungsoberfläche wird nur über kontrollierte Pfade bereitgestellt.

1. Schritt 1: Temporären und dauerhaften Zugriff unterscheiden.
2. Schritt 2: TLS und vorgeschaltete Authentisierung konfigurieren.
3. Schritt 3: Netzwerkzugriff auf administrative Quellnetze begrenzen.
4. Schritt 4: Anmelde- und Änderungsereignisse für Nachweise erfassen.

4. Volume-Verschlüsselung

Verschlüsselte Volumes werden mit klarer Secret-Zuordnung bereitgestellt.

1. Schritt 1: Verschlüsselungsparameter und StorageClass-Abhängigkeiten prüfen.
2. Schritt 2: Schlüsselmaterial als Kubernetes-Secret anlegen.
3. Schritt 3: Verschlüsseltes PVC erstellen und Mount validieren.
4. Schritt 4: Datenzugriff ohne erforderliches Secret verhindern.

5. Schlüsselrotation

Der Schutz hängt vom Lebenszyklus des Schlüsselmaterials ab.

1. Schritt 1: Erzeugung, Speicherung, Zugriff und Sicherung festlegen.
2. Schritt 2: Namespace- und Secret-Abhängigkeiten dokumentieren.
3. Schritt 3: Rotation in einer Testumgebung durchführen.
4. Schritt 4: Verlustszenario und Wiederherstellungsgrenzen prüfen.

6. Backing Images absichern

Gemeinsam genutzte Ausgangsabbilder erhalten eigene Schutzregeln.

1. Schritt 1: Herkunft, Prüfsumme und Freigabe dokumentieren.
2. Schritt 2: Verschlüsselungsoptionen und Schlüsselabhängigkeiten einrichten.
3. Schritt 3: Nutzung nur auf freigegebenen Datenträgern prüfen.
4. Schritt 4: Backup und Restore eines geschützten Abbilds testen.

7. mTLS und NetworkPolicies

Interne Kommunikation wird nach Schutzbedarf zusätzlich abgesichert.

1. Schritt 1: Zertifikatsausstellung, Verteilung und Erneuerung planen.
2. Schritt 2: mTLS-Unterstützung kontrolliert aktivieren.
3. Schritt 3: NetworkPolicies für Verwaltungs- und Datenpfade entwerfen.
4. Schritt 4: Zertifikatsablauf in einer Übung behandeln.

8. Verschlüsselten Restore testen

Schutzmaßnahmen müssen auch im Notfall funktionieren.

1. Schritt 1: Verschlüsseltes Volume sichern und getrennt wiederherstellen.
2. Schritt 2: Benötigte Secrets in korrekter Reihenfolge bereitstellen.
3. Schritt 3: Zugriff, Integrität und Protokollierung kontrollieren.
4. Schritt 4: Sicherheitscheckliste für Betrieb und Incident abschließen.

Zielgruppe

Kubernetes- und Storage-Administration, Informationssicherheit, DevSecOps, Plattformbetrieb und technische Compliance.

Voraussetzungen

Kubernetes- und Longhorn-Grundkenntnisse sowie Verständnis von RBAC, TLS und Kubernetes-Secrets.

Methodik

Die Inhalte werden durch fachliche Einordnung, Live-Demonstrationen, angeleitete Schrittfolgen und eigenständige Laborübungen vermittelt. Jeder Themenblock endet mit einer technischen Kontrolle anhand definierter Sollzustände.