Seminar CNCF Zero Trust Networking: Service Mesh Security mit Istio und Cilium

Service Mesh Security ist ein zentraler Baustein moderner Zero-Trust-Architekturen, wenn Kommunikationsbeziehungen feingranular identitäts- und kontextbezogen gesteuert werden sollen. Dieses Seminar untersucht die Sicherheitsmechanismen von Istio und die relevanten Integrationspunkte zu Cilium, um mTLS, Authentifizierung, Autorisierung und policy-basierten Datenpfadschutz in eine praxistaugliche Betriebsarchitektur zu überführen.

Ziele und Nutzen

Das Seminar verfolgt das Ziel, service-mesh-basierte Sicherheitsmechanismen nicht isoliert, sondern im Zusammenspiel mit Segmentierung, Gateway-Kontrollen und Workload Identity zu verstehen. Dazu werden die Sicherheitsobjekte des Meshs, die Identitätsableitung, Autorisierung auf Layer 4 und 7 sowie die betrieblichen Auswirkungen von Richtlinienänderungen, Rollouts und Migrationsentscheidungen behandelt.

Inhaltliche Schwerpunkte

• Architektur und Sicherheitsmodell von Service Meshes im Zero-Trust-Kontext
• mTLS-Modelle, PeerAuthentication, RequestAuthentication und Identitätsbezug in Istio
• Autorisierungsdesign mit Workload-Prinzipalen, Claims, Regeln und Vererbung
• Zusammenspiel von Mesh-Richtlinien mit Kubernetes- und Cilium-Policies
• Layer-4- und Layer-7-Durchsetzung für interne Services, APIs und Gateways
• Betriebsfragen, Troubleshooting, Rollout-Muster und sichere Migration in produktionsnahen Umgebungen

Praxisanteil

Im Labor werden Services schrittweise unter mTLS gestellt, mit Authentifizierungs- und Autorisierungsrichtlinien versehen und gegen unerwünschte Verkehrsbeziehungen abgesichert. Zusätzlich werden Übergangsmodelle für Migrationsphasen, Konfliktsituationen zwischen Policy-Ebenen sowie typische Fehlkonfigurationen analysiert. Dadurch entsteht ein realistisches Bild der Mesh-Sicherheit im Tagesbetrieb.

Adressatenkreis

Das Seminar richtet sich an technische Rollen, die Mesh-Sicherheit planen, umsetzen oder betreiben. Es ist insbesondere für Organisationen geeignet, die feingranulare Service-zu-Service-Autorisierung etablieren, interne APIs härten oder ein bestehendes Mesh-Sicherheitsmodell konsolidieren möchten.

Voraussetzungen

Erforderlich sind gute Kubernetes-Kenntnisse sowie ein solides Verständnis von TLS, Services, Ingress und YAML-Ressourcen. Erste Erfahrung mit Service Mesh, Policies oder Cilium ist nützlich, wird jedoch im Seminar systematisch eingeordnet.