Publikation von Christoph Puppe
Kubernetes-Sicherheit: Wie Sie Open Telekom Cloud und plusserver härten
Die beiden deutschen Anbieter versprechen digitale Souveränität, einfachere Datenschutz-Folgenabschätzungen und oft bessere Preise als die Hyperscaler. Dafür bekommen Kunden weitgehend pures Kubernetes, mit allen Konsequenzen für die Absicherung. Die Cloud Container Engine der Open Telekom Cloud verlangt ein vorher eingerichtetes VPC-Netzwerk, ein NAT-Gateway für den Weg ins Internet und einen eigenen Bastion-Host statt einer Cloud-Shell; der Turbo-Cluster bot zum Testzeitpunkt ein reichlich betagtes Kubernetes 1.19. PlusServer stellt mit der plusserver Kubernetes Engine den mandantenfähigen Gardener der SAP bereit, mit aktuellem Kubernetes 1.25 und einer in Sekunden fertigen Einrichtung; originell ist der Schlafrhythmus, der Entwicklungscluster nachts abschaltet. Doch im Test stand nur eine Verfügbarkeitszone bereit, es gibt weder Backup-Dienst noch Registry, und im Ubuntu-22.04-Image fand der Scanner 439 Verwundbarkeiten. Die OTC schnitt besser ab: Trivy zählte dort 173 Verwundbarkeiten mit nur 2 kritischen, bei PlusServer 132 mit immerhin 21 kritischen; zum Vergleich kam AWS auf 8731, GCP auf 61. Zwei Tabellen führen auf, welche Anforderungen der Bausteine SYS.1.6 und APP.4.4 die Anbieter erfüllen; für erweiterte Sicherheitsrichtlinien, automatisierte Auditierung und hostbasierte Angriffserkennung bleibt bei beiden nur der Griff zu Drittsoftware. Die günstigeren einheimischen Angebote sind gut, aber wer sie wahrnehmen möchte, sollte den zusätzlichen Aufwand für die Absicherung auf sich nehmen.
heise online · PDF · Permalink