Seminar Flux CD Sicherheit, Signaturen und Software-Supply-Chain

Das Seminar betrachtet Flux CD als Teil einer Software-Supply-Chain mit Zugriff auf Quellen, Registries, Cluster-APIs und Geheimnisse. Sicherheit wird über mehrere Schichten umgesetzt: vertrauenswürdige Artefakte, minimale Berechtigungen, begrenzte Netzpfade, geschützte Identitäten und ein konsequenter Patch-Prozess.

Zielsetzung

Die Inhalte führen von der fachlichen Einordnung über die technische Umsetzung bis zur belastbaren Betriebsroutine. Jede Lerneinheit wird schrittweise aufgebaut und unmittelbar an einer Kubernetes-Umgebung nachvollzogen.

• Bedrohungen und Vertrauensgrenzen einer Flux-Plattform modellieren
• Controller, Quellen und Mandanten nach Least Privilege absichern
• Git- und OCI-Artefakte kryptografisch verifizieren
• SBOM und Provenance in Freigabe- und Prüfprozesse integrieren
• Vulnerability-, Upgrade- und Incident-Prozesse etablieren

Inhaltsübersicht

• Bedrohungsmodell und Vertrauensgrenzen
• Least Privilege und Netzwerkabsicherung
• Quellen und Artefakte verifizieren
• Build-Artefakte, SBOM und Provenance
• Secrets, Patches und Incident Response

Seminarinhalte

Modul 1: Bedrohungsmodell und Vertrauensgrenzen

Angriffsflächen werden entlang des vollständigen Reconciliation-Pfads erfasst.

1. Schritt 1: Git-Provider, Registry, Cluster-API, Controller und KMS als Vertrauenszonen modellieren
2. Schritt 2: Manipulation, Credential-Diebstahl, Dependency Confusion und Drift bewerten
3. Schritt 3: Schutzbedarf für Plattform- und Mandantenressourcen unterscheiden
4. Schritt 4: Kontrollen nach Prävention, Erkennung und Wiederherstellung zuordnen

Modul 2: Least Privilege und Netzwerkabsicherung

Controller und Mandanten erhalten nur die für ihre Aufgaben notwendigen Rechte und Netzwege.

1. Schritt 1: Controller-ServiceAccounts und ClusterRoles prüfen
2. Schritt 2: ServiceAccount-Impersonation für Kustomizations und HelmReleases einsetzen
3. Schritt 3: Cross-Namespace-Referenzen und Mandanten-Lockdown konfigurieren
4. Schritt 4: Network Policies, Proxy und Egress-Ziele auf notwendige Dienste begrenzen

Modul 3: Quellen und Artefakte verifizieren

Die Herkunft von Konfigurationen wird vor der Anwendung kryptografisch geprüft.

1. Schritt 1: Git-Authentifizierung und Deploy-Key-Rotation härten
2. Schritt 2: Commit- oder Tag-Verifikation für GitRepository einordnen
3. Schritt 3: OCI-Artefakte mit Cosign oder Notation signieren
4. Schritt 4: Trust Policy, Zertifikate und SourceVerified-Conditions prüfen

Modul 4: Build-Artefakte, SBOM und Provenance

Freigaben werden um maschinenlesbare Herkunfts- und Inhaltsnachweise ergänzt.

1. Schritt 1: Signierte Controller-Images und Release-Artefakte verifizieren
2. Schritt 2: SBOM zur Bestands- und Schwachstellenanalyse verwenden
3. Schritt 3: Provenance und Build-Identität in Freigaberegeln aufnehmen
4. Schritt 4: Digest-Pinning und nachvollziehbare Versionskanäle einsetzen

Modul 5: Secrets, Patches und Incident Response

Sicherheitsbetrieb wird als kontinuierlicher Prozess organisiert.

1. Schritt 1: Secrets mit SOPS und Workload Identity schützen
2. Schritt 2: Unterstützte Versionen, CVEs und Patch-Releases überwachen
3. Schritt 3: Upgrade zunächst in Pilotumgebung validieren und gestuft ausrollen
4. Schritt 4: Kompromittierte Schlüssel, Quellen oder Artefakte mit einem Incident-Runbook behandeln

Praxisübungen

• Threat Model einer Flux-Lieferkette
• RBAC- und Network-Policy-Härtung
• Signaturprüfung eines OCI-Konfigurationsartefakts
• SBOM- und Provenance-basierte Freigabeprüfung

Zielgruppe

DevSecOps- und Security-Teams, Kubernetes- und Plattformadministratoren, Cloud Security Engineers, Technische Auditoren.

Voraussetzungen

• Flux-CD- und Kubernetes-Grundlagen
• RBAC und Network Policies
• Grundlagen zu Signaturen, Zertifikaten und Container-Registries

Arbeitsweise

Vortrag und Demonstration wechseln mit angeleiteten Schritt-für-Schritt-Übungen. Konfigurationen werden nachvollziehbar erstellt, geprüft, gezielt gestört und anhand von Statusinformationen, Ereignissen und Protokollen korrigiert.