Kurzüberblick: Security-Seminar zu ZFS/OpenZFS: Berechtigungen und Delegation, native Verschlüsselung, Key-Handling, sichere Replikation, Mandantenfähigkeit durch Datasets und praxisnahe Hardening-Bausteine.
Kapitel 1: Einordnung und Begriffe
Inhaltsverzeichnis Kapitel 1
- 1.1 Einsatzfelder und typische ZFS-Patterns
- 1.2 Kernbegriffe und Denkmodell (CoW, Pools, Datasets)
- 1.3 Abgrenzungen, Annahmen und Varianten (OpenZFS, Plattformen)
1.1 Einsatzfelder und typische ZFS-Patterns
ZFS wird als Copy-on-Write-Dateisystem und Volume-Manager eingesetzt. Typische Einsatzfelder sind NAS/SAN-Backends, Virtualisierungsspeicher, Backup-Repositories und skalierbare Fileservices. Im Mittelpunkt stehen Integrität, Management über Properties und reproduzierbare Datenstände.
1.2 Kernbegriffe und Denkmodell
- Pool, vdev, Top-Level-vdev, Mirror, RAIDZ
- Dataset, Zvol, Mountpoint, Property-Inheritance
- Snapshot, Clone, Replikations-Stream
- Scrub, Resilver, Checksumme, Self-healing
1.3 Abgrenzungen, Annahmen und Varianten
Der Schwerpunkt liegt auf OpenZFS-Mechaniken und auf praxisnahen Betriebs- und Designentscheidungen. Distribution- oder Appliance-spezifische Besonderheiten werden als Varianten behandelt, ohne an ein einzelnes Produkt zu binden.
Kapitel 2: Fachliche Tiefe – Inhalte
Inhaltsverzeichnis Kapitel 2
- 2.1 Konzepte und Mechaniken
- 2.2 Praxis-Pattern und Anti-Pattern
- 2.3 Parameter, Properties und Standardwerte
2.1 Konzepte und Mechaniken
- ZFS-Rechte: POSIX, ACL-Strategien (plattformabhängig), Dataset-Schnitt
- Delegation: sichere Admin-Modelle ohne Root-Allmacht
- Native Verschlüsselung: Dataset-Level, Algorithmenwahl (Einordnung), Key-Modelle
- Key-Handling: Schlüsselablage, Passphrase vs. Keyfile, Rotation, Recovery
- Sichere Replikation: verschlüsselte Streams, Key-Policy entlang der Kette
- Mandantenfähigkeit: Dataset-Isolation, Quotas, Namensräume, Auditability
- Hardening-Bausteine: Schutz vor versehentlichem Destroy, Rollenmodelle
- Betriebsprozesse: Onboarding/Offboarding, Incident-Handling für Keys
2.2 Praxis-Pattern und Anti-Pattern
- Pattern: getrennte Datasets pro Dienst/Share, klare Namenskonventionen, zentrale Property-Profile
- Pattern: Snapshot- und Replikationslinien (golden source → downstream), testbare Restore-Pfade
- Anti-Pattern: unpassende ashift-/recordsize-Wahl, SLOG/L2ARC ohne Workload-Bezug, fehlende Scrub-Routinen
2.3 Parameter, Properties und Standardwerte
Properties und Parameter werden anhand von Zielkonflikten behandelt: Integrität vs. Performance, Kapazität vs. Wiederherstellbarkeit, Bedienbarkeit vs. Mandantenfähigkeit. Praktische Leitplanken unterstützen die Übertragung in bestehende Umgebungen.
Kapitel 3: Hands-on-Labs (Step-by-step)
Inhaltsverzeichnis Kapitel 3
- 3.1 Lab-Setup und Werkzeuge
- 3.2 Guided Exercises (Schrittfolge)
- 3.3 Typische Fehlerbilder im Labor
3.1 Lab-Setup und Werkzeuge
- Shell-Tools: zpool, zfs, zdb (bei Bedarf), grundlegende Systemwerkzeuge zur I/O-Analyse
- Datenpfade: Testdaten, Messpunkte, wiederholbare Szenarien (Create → Change → Verify → Recover)
- Artefakte: Konfigurations-Snippets, Checklisten und Vorlagen als wiederverwendbare Bausteine
3.2 Guided Exercises (Schrittfolge)
- Ausgangslage herstellen (Testdisks/Devices, Namensschema, Zieldefinition).
- Pool und Datasets anlegen, Properties setzen, Vererbung prüfen.
- Datenoperationen durchführen (Write/Change), Snapshots/Clones je nach Thema einsetzen.
- Integrität prüfen (Scrub/Verify), Metriken aufnehmen, Abweichungen dokumentieren.
- Gezielte Störungen einspielen (Device-Ausfall/Fehlkonfiguration) und Recovery-Pfade üben.
- Konfiguration als Profil sichern und als Standard für weitere Umgebungen ableiten.
3.3 Typische Fehlerbilder im Labor
- Import-/Mount-Probleme durch inkonsistente Properties oder fehlende Devices
- Performance-Abweichungen durch unpassende Blockgrößen/Cache-Konfiguration
- Replikationsabbrüche durch Stream-Kompatibilität oder Snapshot-Lücken
Kapitel 4: Betriebsbausteine und Checklisten
Inhaltsverzeichnis Kapitel 4
- 4.1 Standardisierte Dataset-Profile
- 4.2 Monitoring- und Wartungsroutinen
- 4.3 Änderungs- und Notfall-Playbooks
4.1 Standardisierte Dataset-Profile
Profile bündeln Properties für typische Workloads (Fileservice, VM-Speicher, Backup, Archive). Dazu gehören Namensregeln, Mountpoint-Strategien, Kompression, Recordsize/Volblocksize sowie Sicherheits-Properties.
4.2 Monitoring- und Wartungsroutinen
- Kapazität: Belegung, Reservierungen, Quotas, Fragmentierungstrends
- Integrität: Scrub-Plan, Fehlerklassen, Resilver-Überwachung
- Änderungen: Upgrade-Fenster, Feature-Flags, Rollback-Strategien
4.3 Änderungs- und Notfall-Playbooks
Runbooks strukturieren wiederkehrende Aufgaben: Pool-Erweiterung, vdev-Austausch, Replikationsumschaltung, Restore-Test, Incident-Diagnose. Fokus liegt auf reproduzierbaren Schritten und klaren Abnahmekriterien.
