Plattform-Modul · Roadmap

Kubernetes. Auf der Roadmap. Aus gutem Grund.

RBAC-Wildwuchs. Jeder hat cluster-admin bekommen, weil es einfacher war. Das ist kein Cluster. Das ist eine ungeplante Infrastruktur mit Deployment-Pipeline.

Kubernetes-Cluster wachsen organisch. etcd ist nicht verschlüsselt. Kubelet-Konfiguration ist wie am Installationstag. API-Server-Flags wurden nie nachgehärtet. Das Kubernetes-Modul der SPAS-Suite adressiert genau das, als geplante Erweiterung, wenn konkrete Anforderungen vorliegen.

Jetzt mit Container starten Interesse melden

Das Problem

Warum Kubernetes-Cluster selten wirklich sicher sind

RBAC-Wildwuchs

RBAC beginnt mit cluster-admin für alle und wird nie aufgeräumt. Überweit gefasste Rollen, verwaiste Bindings und ungeprüfte Service-Accounts akkumulieren sich still über Monate.

etcd unverschlüsselt

Kubernetes-Secrets liegen im Klartext in etcd. Wer etcd lesen kann, kann alle Secrets des Clusters lesen, ohne Admission-Controller, ohne Audit-Log, ohne Warnung.

Kubelet wie am Installationstag

Anonymous-Auth aktiviert, keine zertifikatbasierte Authentifizierung, read-only Port offen. Die Kubelet-Konfiguration wurde seit der initialen Installation nicht angepasst.

API-Server-Flags nie nachgehärtet

TLS-Konfiguration unvollständig, Authorization-Modes auf Default, Audit-Logging deaktiviert. Der API-Server bleibt wie beim kubeadm-Bootstrap.

Geplante Fähigkeiten

Was das Kubernetes-Modul adressieren wird

Diese Fähigkeiten sind auf der SPAS-Roadmap definiert. Kein Lieferversprechen, aber eine klare Richtung.

Geplant
API-Server-Härtung
TLS-Konfiguration, Authentication-Modes, Authorization-Modes und RBAC-Audit-Konfiguration nach definierter Baseline.
Geplant
etcd-Verschlüsselung
Secrets at rest über --encryption-provider-config. Kryptografisch gesicherte Datenbasis statt Klartext-etcd.
Geplant
Kubelet-Härtung
Anonymous-Auth deaktiviert, zertifikatbasierte Authentifizierung, restriktive Port-Konfiguration und Node-Authorization.
Geplant
GitOps-basiertes RBAC-Management
Least-Privilege-Enforcement als Code. Regelmäßige Bereinigung verwaister Bindings und Service-Accounts über versionierte Policies.
Geplant
Admission-Controller
OPA/Gatekeeper, Pod Security Standards und Namespace-Policies als erzwungene Leitplanken für alle Deployments im Cluster.

Roadmap-Pfad

Drei Stufen. Klare Richtung.

Heute verfügbar

Container-Modul

Rootless Container, Seccomp-Profile, OCI-Policies und Image-Scanning. Die Sicherheitsbasis, auf der jede Kubernetes-Umgebung aufbaut.

Jetzt starten

Roadmap

Kubernetes-Modul

RBAC-Management, etcd-Verschlüsselung, Kubelet-Härtung und Admission-Controller als geplante Plattform-Erweiterung.

Kombination

Volle Plattformhärtung

Container-Baseline und Kubernetes-Härtung als durchgängige Sicherheitslogik. Vom gehärteten Image bis zur Cluster-Konfiguration.

Empfehlung

Jetzt starten: Container-Härtung

Wer heute die Container-Baseline aufbaut, ist der erste Kandidat für das Kubernetes-Modul. Rootless Container, Seccomp-Profile und gehärtete OCI-Images sind die Vorstufe und der logische erste Schritt in Richtung sichere Kubernetes-Cluster.

Secure Container Platform Automation

Interesse an Kubernetes auf der SPAS-Roadmap? Melden Sie sich.

Plattform-Check (15 min.) Kontakt aufnehmen

Unverbindlich · Keine Verkaufspräsentation · Vertraulich