Seminar OpenNebula – Benutzer, Gruppen, ACLs, Quotas und VDCs

Berechtigungen müssen fachliche Verantwortung abbilden, ohne den Cloud-Betrieb unnötig zu öffnen. Der Kurs entwickelt ein Rollen- und Mandantenmodell, das Self-Service, Ressourcenschutz und regelmäßige Kontrolle verbindet.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Benutzer, Gruppen und Verwaltungsrollen sauber voneinander abgrenzen
• ACLs nach dem Prinzip der minimalen Berechtigung entwerfen und testen
• Quotas und VDCs zur organisatorischen und technischen Begrenzung einsetzen
• Servicekonten, Authentisierung und regelmäßige Rezertifizierung absichern

Zielgruppe

OpenNebula-Administratoren, IAM-Verantwortliche, Security-Administration, Revisions- und Datenschutzrollen sowie technische Key-User.

Voraussetzungen

Grundkenntnisse der OpenNebula-Objekte und des eigenen Organisations- und Rollenmodells. Für Übungen sind administrative Rechte in einer Laborumgebung erforderlich.

Seminarinhalte

1. Schritt 1: Rollen und Verantwortlichkeiten erfassen

   Cloud-Administration, Gruppenadministration, Projektverantwortung, Betrieb und reine Nutzung werden als getrennte Rollen beschrieben.

2. Schritt 2: Authentisierungswege einordnen

   Lokale Konten und externe Realms werden nach Sicherheitsniveau, Lebenszyklus, Verfügbarkeit und Notfallzugriff bewertet.

3. Schritt 3: Benutzer und Gruppen strukturieren

   Namenskonventionen, Gruppenadministratoren, Eigentum, Standardgruppen und Austrittsprozesse werden festgelegt.

4. Schritt 4: ACL-Regeln entwickeln

   Subjekt, Ressourcentyp, Objektbereich und erlaubte Operationen werden kombiniert; Überschneidungen und ungewollte Vererbung werden geprüft.

5. Schritt 5: Quotas definieren

   Grenzen für CPU, RAM, VMs, Images, Datastores und Netzressourcen werden an Projekt- und Kostenverantwortung ausgerichtet.

6. Schritt 6: VDCs aufbauen

   Benutzergruppen und zulässige Cluster-, Host-, Datastore- und Netzwerkressourcen werden zu kontrollierten virtuellen Rechenzentren zusammengeführt.

7. Schritt 7: Servicekonten absichern

   API-Konten erhalten minimale Rechte, getrennte Geheimnisse, nachvollziehbare Besitzer, Ablaufregeln und technische Überwachung.

8. Schritt 8: Rechte regelmäßig prüfen

   Bestandslisten, Soll-Ist-Vergleich, Rezertifizierung, Protokollierung und Vier-Augen-Freigabe werden in einen wiederkehrenden Prozess überführt.

Praxisübungen

• Rollenmatrix für Administration, Projektbetrieb und Self-Service erstellen
• Gruppen, Benutzer und Gruppenadministration für zwei Mandanten anlegen
• ACL-Regeln mit positiven und negativen Testfällen prüfen
• Quota und VDC für einen begrenzten Projektbereich konfigurieren
• Rezertifizierungsbericht für Konten und Berechtigungen erstellen

Methodik

Das Berechtigungsmodell wird zuerst auf Papier entworfen und anschließend in der Laborumgebung umgesetzt. Jede Regel wird mit erlaubten und ausdrücklich nicht erlaubten Testfällen überprüft.