Seminar Flux CD Multi-Tenancy, RBAC und Plattformbetrieb

Das Seminar entwickelt ein Plattformmodell, in dem mehrere Teams Flux-Ressourcen und Anwendungen nutzen können, ohne unkontrollierte clusterweite Rechte zu erhalten. Technische Isolation wird mit einem klaren Onboarding-, Freigabe- und Betriebsprozess verbunden.

Zielsetzung

Die Inhalte führen von der fachlichen Einordnung über die technische Umsetzung bis zur belastbaren Betriebsroutine. Jede Lerneinheit wird schrittweise aufgebaut und unmittelbar an einer Kubernetes-Umgebung nachvollzogen.

• Mandanten- und Plattformverantwortung sauber trennen
• Namespaces, RBAC und ServiceAccounts nach Least Privilege konfigurieren
• Cross-Namespace-Referenzen und globale Ressourcen kontrollieren
• Repository-Onboarding und Delegation reproduzierbar gestalten
• Netzwerk-, Secret- und Betriebsgrenzen regelmäßig überprüfen

Inhaltsübersicht

• Mandantenmodell und Verantwortungsgrenzen
• RBAC und ServiceAccount-Impersonation
• Cross-Namespace- und Quellgrenzen
• Repository-Onboarding und Self-Service
• Netzwerk, Secrets und Betriebsprüfung

Seminarinhalte

Modul 1: Mandantenmodell und Verantwortungsgrenzen

Technische und organisatorische Grenzen werden vor der Konfiguration festgelegt.

1. Schritt 1: Plattform-, Infrastruktur- und Anwendungsteams unterscheiden
2. Schritt 2: Clusterweite und namespaced Ressourcen nach Risiko klassifizieren
3. Schritt 3: Onboarding-, Änderungs- und Eskalationswege definieren
4. Schritt 4: Geeignete Repository- und Namespace-Zuordnung auswählen

Modul 2: RBAC und ServiceAccount-Impersonation

Flux reconciliiert Mandantenressourcen mit gezielt eingeschränkten Identitäten.

1. Schritt 1: ServiceAccounts und Rollen pro Mandant erstellen
2. Schritt 2: Kustomization und HelmRelease an den vorgesehenen ServiceAccount binden
3. Schritt 3: Erlaubte API-Gruppen, Ressourcen und Namespaces minimieren
4. Schritt 4: Verbotene Aktionen durch Negativtests nachweisen

Modul 3: Cross-Namespace- und Quellgrenzen

Verweise zwischen Mandanten werden eingeschränkt und nachvollziehbar gemacht.

1. Schritt 1: Cross-Namespace-SourceRefs und Wertequellen bewerten
2. Schritt 2: Controller-Optionen für Mandanten-Lockdown konfigurieren
3. Schritt 3: Quellen in Plattform- oder Mandanten-Namespaces platzieren
4. Schritt 4: Gemeinsame Artefakte bereitstellen, ohne Schreibrechte zu delegieren

Modul 4: Repository-Onboarding und Self-Service

Neue Teams erhalten einen standardisierten, prüfbaren Einstieg.

1. Schritt 1: Tenant-Ressourcen und Namespace-Basis als wiederverwendbare Vorlage erzeugen
2. Schritt 2: Repository-Zugang, Deploy Key oder App-Identität bereitstellen
3. Schritt 3: Policy- und Konformitätsprüfungen vor der Reconciliation integrieren
4. Schritt 4: Onboarding mit einer isolierten Testanwendung validieren

Modul 5: Netzwerk, Secrets und Betriebsprüfung

Die Mandantentrennung wird über RBAC hinaus abgesichert.

1. Schritt 1: Network Policies für Controller, Sources und Mandanten definieren
2. Schritt 2: Secret-Sichtbarkeit, Verschlüsselung und Rotation prüfen
3. Schritt 3: Metriken und Events nach Team, Namespace und Schutzbedarf kennzeichnen
4. Schritt 4: Regelmäßige Berechtigungs- und Konfigurationsreviews als Betriebsprozess etablieren

Praxisübungen

• Aufbau zweier isolierter Mandanten
• ServiceAccount-basierte Reconciliation mit Negativtests
• Standardisiertes Repository-Onboarding
• Review von Cross-Namespace-, Netzwerk- und Secret-Grenzen

Zielgruppe

Plattformteams, Kubernetes-Sicherheitsverantwortliche, DevOps-Architekten, Administratoren gemeinsam genutzter Cluster.

Voraussetzungen

• Kubernetes-RBAC
• Flux-CD-Grundlagen
• Namespaces und ServiceAccounts
• Git-Repository-Berechtigungen

Arbeitsweise

Vortrag und Demonstration wechseln mit angeleiteten Schritt-für-Schritt-Übungen. Konfigurationen werden nachvollziehbar erstellt, geprüft, gezielt gestört und anhand von Statusinformationen, Ereignissen und Protokollen korrigiert.