Kubernetes von AWS und IONOS härten
Bei großen Anbietern wie AWS und IONOS ist Kubernetes stärker in die Managed-Angebote integriert und somit variiert das Vorgehen zur Absicherung auch stärker.
- Christoph Puppe
Neben den bekannten Angeboten haben wir für diesen Artikel einheimische Cloud-Service-Provider (CSP) ausgewählt. Digitale Souveränität, einfachere Datenschutz-Folgenabschätzungen und weniger Risiko von Industriespionage durch die Geheimdienste der Heimatländer der CSP sind für viele Organisationen gewichtige Argumente. Auch der Preis der Dienste spricht für die kleineren CSP. Teilweise sind es Größenordnungen, um die sich die Anbieter hier voneinander unterscheiden.
Jeder Anbieter nimmt mit einem Demo-Cluster an der Auswertung teil. Diese sind soweit möglich alle gleich aufgebaut. Die Installation folgt dabei den Empfehlungen des Anbieters, die in den Anleitungen zu finden sind. Die Cluster sind für den Test aus dem Internet erreichbar und auch der Master ist öffentlich zugänglich, auch wenn das in einer Produktionsumgebung natürlich tunlichst zu vermeiden ist. Wo es möglich ist, sind die Master-Server als sogenannte Hidden Master konfiguriert. Dabei ist der Server zwar sichtbar, aber der CSP verwaltet diesen vollständig und der Kunde hat keinen Zugriff auf den Server, auf dem der K8s-API-Server läuft. Viele Sicherheitstests nach dem CIS-Benchmark sind damit nicht möglich.
Wir betrachten die Sicherheit der CSP selbst und listen auf, was Kunden bei diesen Anbietern tun müssen, um eine ausreichende Sicherheit für die Container zu erreichen. Auch wenn die im Artikel "Kubernetes mit Capabilities, SECCOMP und SELinux" aufgeführten allgemeinen Schritte weiterhin gleich sind, unterscheidet sich die Umsetzung bei den Plattformen erheblich. Die kleineren Anbieter wie IONOS bieten im Vergleich zu den großen Hyperscalern wie AWS ein unverfälschtes Kubernetes. Es ist weniger verändert, die Images kommen eher von den Herstellern der Werkzeuge direkt statt aus der Registry des CSP. Besonders merkbar ist der Unterschied bei der Zahl der zusätzlich verfügbaren Dienste, was sich auch auf die Absicherung auswirkt. Wo Kunden bei AWS, Azure und GCP etwa die Protokollierung als SaaS direkt in der Cloud bekommen, müssen sie sie bei den kleineren CSP mit einigem Aufwand selbst implementieren.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Papierloses Büro: Wie man mit paperless-ngx die Dokumentenverwaltung optimiert
Schöner sehen: Fünf 4K-Monitore mit USB-C für den Mac im Test
Kostenlos hochwertige KI-Musik erzeugen: Das leisten Suno und Udio
Wärmepumpe simpel und effektiv: Über die Rolle von Dämmung, Solar und Co.
Smart-Home-Zentralen im Vergleich: Amazons Echo Hub gegen Home Assistant
Fremdsprachen lernen: Wie man ChatGPT zum Sprechtrainer aufrüstet
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Papierloses Büro: Wie man mit paperless-ngx die Dokumentenverwaltung optimiert
Schöner sehen: Fünf 4K-Monitore mit USB-C für den Mac im Test
Kostenlos hochwertige KI-Musik erzeugen: Das leisten Suno und Udio
Wärmepumpe simpel und effektiv: Über die Rolle von Dämmung, Solar und Co.
Smart-Home-Zentralen im Vergleich: Amazons Echo Hub gegen Home Assistant