Seminar Apache CloudStack Security, IAM und Compliance

Sicherheit wird über Mandantentrennung, Rollen, Authentifizierung, Netzwerkregeln, Verschlüsselung, Auditdaten, Hardening und geregelte Änderungen aufgebaut. Technische Kontrollen werden in prüfbare Betriebsnachweise übersetzt.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxislabor
6. Geeignete Anschlussseminare

Seminarprofil

Das Themengebiet wird mit klaren Betriebs- und Architekturentscheidungen, Demonstrationen und aufeinander aufbauenden Laboraufgaben erarbeitet. Jede Übung endet mit einer technischen Prüfung und einer kurzen Dokumentation des erreichten Zustands.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Engineers, Cloud-Architekten, CloudStack-Administratoren, Compliance-Verantwortliche und Plattformbetreiber.

Voraussetzungen: CloudStack-Grundkenntnisse sowie Basiswissen zu IAM, Netzwerksicherheit, TLS, Linux-Hardening und Auditierung.

Lernziele

• Ein CloudStack-spezifisches Bedrohungs- und Schutzmodell erstellen.
• Rollen, Domains, Accounts und Projekte nach Minimalrechten strukturieren.
• Netzwerk-, Host- und Plattformzugänge härten.
• Audit- und Compliance-Nachweise aus Konfiguration und Betrieb ableiten.

Seminarinhalte

1. Bedrohungsmodell und Sicherheitszonen

Schutzbedarf, Angriffsflächen und Vertrauensgrenzen werden für Steuerungs-, Daten- und Mandantenebene getrennt erfasst.

Schritt-für-Schritt:

1. Schützenswerte Daten und Funktionen identifizieren.
2. Akteure, Zugangswege und Vertrauensgrenzen modellieren.
3. Bedrohungen nach Auswirkung und Wahrscheinlichkeit bewerten.
4. Kontrollen mit Verantwortlichkeit und Nachweis zuordnen.

2. Mandantenmodell und Rollen

Domains, Accounts, Projekte, Benutzer und Rollen bilden die Grundlage für Trennung und Delegation.

Schritt-für-Schritt:

1. Organisations- und Mandantenstruktur abbilden.
2. Rollen nach Aufgaben und Minimalrechten definieren.
3. Ressourcenlimits und Delegationsgrenzen setzen.
4. Berechtigungen mit Positiv- und Negativtests prüfen.

3. Authentifizierung und Zugangsschutz

Lokale und externe Authentifizierung, API-Schlüssel und administrative Zugänge werden mit klaren Lebenszyklen betrieben.

Schritt-für-Schritt:

1. Authentifizierungsverfahren und Notfallzugang festlegen.
2. Starke Richtlinien und geschützte Übertragung konfigurieren.
3. API-Schlüssel ausstellen, speichern und rotieren.
4. Inaktive oder kompromittierte Zugänge sperren und nachweisen.

4. Netzwerk- und Workload-Sicherheit

ACLs, Firewalls, Security Groups, VPN, TLS und segmentierte Netze begrenzen Kommunikationswege.

Schritt-für-Schritt:

1. Kommunikationsmatrix für Workloads erstellen.
2. Netzwerkregeln nach dem Minimalprinzip umsetzen.
3. Veröffentlichte Dienste und Zertifikate prüfen.
4. Regeländerung mit technischer und fachlicher Freigabe testen.

5. Hardening und Plattformschutz

Management Server, Datenbank, Hosts, System-VMs, Images und Secrets werden als gemeinsame Sicherheitskette behandelt.

Schritt-für-Schritt:

1. Härtungsbaseline für jede Komponente definieren.
2. Nicht benötigte Dienste und Zugänge entfernen.
3. TLS, Zertifikate und virtuelles TPM nach Bedarf einplanen.
4. Patch- und Schwachstellenprozess mit Wartungsfenstern verknüpfen.

6. Audit, Compliance und Nachweise

Konfiguration, Ereignisse, Änderungen und wiederkehrende Kontrollen werden so dokumentiert, dass Prüfungen reproduzierbar bleiben.

Schritt-für-Schritt:

1. Erforderliche Nachweise und Aufbewahrung bestimmen.
2. Auditquellen und Verantwortlichkeiten festlegen.
3. Regelmäßige Kontrollabfragen und Stichproben ausführen.
4. Abweichung mit Maßnahme, Frist und Wirksamkeitsprüfung verfolgen.

Praxislabor

• Rollen- und Mandantenmodell mit Minimalrechten entwerfen.
• Netzwerkregeln für eine mehrstufige Anwendung prüfen.
• Eine Härtungscheckliste auf eine Beispielumgebung anwenden.
• Einen Auditnachweis aus Konfiguration und Ereignissen zusammenstellen.

Geeignete Anschlussseminare

Passende Vertiefungen sind Advanced Networking sowie Upgrade, Patching und Lifecycle Management.