15.8 Merksätze und Prüfungswissen zu Cloud und modernen Bereitstellungsmodellen
Diese Seite fasst die wichtigsten Inhalte zu Cloud, Bereitstellungsmodellen, Service-Modellen, Cloud-Netzwerken, Cloud-Sicherheit, Cloud-Speicher, Backup, Monitoring, Skalierung und Kostenkontrolle zusammen.
Cloud ist prüfungsrelevant, weil sie viele Themen verbindet:
- Netzwerktechnik
- Serverbetrieb
- Virtualisierung
- Sicherheit
- Datenschutz
- Backup
- Kosten
- Rechteverwaltung
- Hochverfügbarkeit
- Monitoring
Merksatz:
Cloud ist kein einzelnes Produkt,
sondern ein Betriebs- und Bereitstellungsmodell für IT-Ressourcen.
Cloud-Grundidee
Cloud bedeutet:
IT-Ressourcen werden über ein Netzwerk als Dienst bereitgestellt.
Beispiele:
virtuelle Server
Speicher
Datenbanken
Anwendungen
Plattformen
Container
Backup
Identitätsdienste
Netzwerkdienste
Sicherheitsdienste
Merksatz:
Cloud = IT-Ressourcen als Dienst.
Cloud ist nicht automatisch weniger Verantwortung
Ein häufiger Denkfehler:
Alles liegt in der Cloud,
also kümmert sich der Anbieter um alles.
Das ist falsch.
Der Anbieter übernimmt je nach Modell bestimmte Aufgaben.
Der Kunde bleibt verantwortlich für:
Benutzer
Rollen
Berechtigungen
Daten
sichere Konfiguration
Datenschutz
Zugriffsschutz
Backup-Konzept
Kostenkontrolle
Monitoring
Compliance
Merksatz:
Cloud verlagert Verantwortung,
sie beseitigt Verantwortung nicht.
On-Premises
On-Premises bedeutet:
IT wird lokal selbst betrieben.
Beispiele:
eigener Serverraum
eigenes Rechenzentrum
eigene Hardware
eigene Virtualisierung
eigene Netzwerkinfrastruktur
Vorteile:
hohe Kontrolle
direkte Verwaltung
eigene Vorgaben
Nachteile:
Hardwarekosten
Wartungsaufwand
eigene Verantwortung für Ausfallsicherheit
Merksatz:
On-Premises = lokal selbst betrieben.
Public Cloud
Public Cloud bedeutet:
Ein Anbieter stellt Cloud-Ressourcen für viele Kunden bereit.
Eigenschaften:
Anbieterplattform
viele Kunden
logische Mandantentrennung
nutzungsabhängige Abrechnung
schnelle Bereitstellung
hohe Skalierbarkeit
Merksatz:
Public Cloud = öffentliche Anbieterplattform für viele Kunden.
Private Cloud
Private Cloud bedeutet:
Cloud-Prinzipien werden für eine einzelne Organisation bereitgestellt.
Sie kann laufen:
im eigenen Rechenzentrum
bei einem Dienstleister
in einer dedizierten Umgebung
Wichtig:
Virtualisierung allein ist noch keine vollständige Private Cloud.
Typische Cloud-Merkmale sind:
Self-Service
Automatisierung
Ressourcenpooling
schnelle Bereitstellung
messbare Nutzung
zentrale Verwaltung
Merksatz:
Private Cloud = Cloud für eine Organisation.
Hybrid Cloud
Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud.
Beispiele:
lokale Datenbank plus Cloud-Webanwendung
lokales Rechenzentrum plus Cloud-Backup
lokale Benutzerverwaltung plus Cloud-SaaS
lokale Systeme plus Cloud-Skalierung
Merksatz:
Hybrid Cloud = lokal oder privat plus Public Cloud.
Multi Cloud
Multi Cloud bedeutet:
Ein Unternehmen nutzt mehrere Cloud-Anbieter gleichzeitig.
Beispiel:
Anbieter A für virtuelle Maschinen
Anbieter B für Office und E-Mail
Anbieter C für Backup
Anbieter D für Datenanalyse
Merksatz:
Multi Cloud = mehrere Cloud-Anbieter parallel.
Hybrid Cloud und Multi Cloud unterscheiden
| Begriff | Kerngedanke |
|---|---|
| Hybrid Cloud | lokale/private IT plus Public Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
| Hybrid und Multi Cloud kombiniert | lokale IT plus mehrere Cloud-Anbieter |
Merksatz:
Hybrid beschreibt die Verbindung lokal plus Cloud.
Multi Cloud beschreibt mehrere Anbieter.
Community Cloud
Community Cloud bedeutet:
Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt.
Beispiele:
Behörden
Bildung
Forschung
Gesundheitswesen
bestimmte Branchen
Merksatz:
Community Cloud = Cloud für eine bestimmte Gemeinschaft.
Bereitstellungsmodelle im Überblick
| Modell | Kurze Erklärung |
|---|---|
| On-Premises | lokal selbst betrieben |
| Public Cloud | Anbieterplattform für viele Kunden |
| Private Cloud | Cloud für eine Organisation |
| Hybrid Cloud | lokale/private IT plus Public Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
| Community Cloud | Cloud für Organisationen mit gemeinsamen Anforderungen |
Merksatz:
Bereitstellungsmodell beschreibt,
wo und für wen Cloud betrieben wird.
Service-Modelle
Die wichtigsten Cloud-Service-Modelle sind:
- IaaS
- PaaS
- SaaS
Sie beschreiben, welche IT-Schichten der Anbieter bereitstellt und welche der Kunde selbst verwaltet.
Merksatz:
Service-Modell beschreibt,
was als Dienst bereitgestellt wird.
IaaS
IaaS steht für:
Infrastructure as a Service
Der Anbieter stellt virtuelle Infrastruktur bereit.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
virtuelle Festplatten
Load Balancer
Firewalls
IP-Adressen
Storage
Der Kunde verwaltet typischerweise:
Betriebssystem
Anwendungen
Daten
Patches innerhalb der VM
Benutzer
Sicherheitskonfiguration
Merksatz:
IaaS = virtuelle Infrastruktur statt eigener Hardware.
PaaS
PaaS steht für:
Platform as a Service
Der Anbieter stellt eine Plattform bereit, auf der Anwendungen laufen können.
Beispiele:
Web-App-Plattform
verwaltete Datenbank
Laufzeitumgebung
Containerplattform
API-Plattform
Entwicklungsplattform
Der Kunde verwaltet typischerweise:
Anwendung
Daten
Konfiguration
Benutzer
Berechtigungen
Merksatz:
PaaS = Plattform für eigene Anwendungen.
SaaS
SaaS steht für:
Software as a Service
Der Kunde nutzt eine fertige Anwendung.
Beispiele:
E-Mail
Online-Office
CRM
Ticketsystem
Cloud-Speicher
Videokonferenzdienst
Projektmanagement
Der Kunde verwaltet typischerweise:
Benutzer
Rollen
Berechtigungen
Daten
Freigaben
Einstellungen
MFA
Merksatz:
SaaS = fertige Software aus der Cloud.
IaaS, PaaS und SaaS vergleichen
| Modell | Anbieter stellt bereit | Kunde verwaltet vor allem |
|---|---|---|
| IaaS | virtuelle Infrastruktur | Betriebssystem, Anwendung, Daten |
| PaaS | Plattform und Laufzeitumgebung | Anwendung, Daten, Konfiguration |
| SaaS | fertige Anwendung | Benutzer, Rechte, Daten, Einstellungen |
Merksatz:
IaaS gibt viel Kontrolle.
SaaS nimmt viel Betrieb ab.
PaaS liegt dazwischen.
Anbieter und Kunde teilen sich die Verantwortung.
Je nach Service-Modell verschiebt sich diese Verantwortung.
Bei IaaS:
Kunde hat viel technische Verantwortung.
Bei PaaS:
Anbieter übernimmt Plattform,
Kunde bleibt für Anwendung und Daten verantwortlich.
Bei SaaS:
Anbieter betreibt Anwendung,
Kunde bleibt für Nutzung,
Benutzer,
Rechte
und Daten verantwortlich.
Merksatz:
Cloud-Sicherheit ist gemeinsame Verantwortung.
Wichtigste Regel zur Verantwortung
Daten, Benutzer und Rechte bleiben fast immer Kundenthema.
Auch bei SaaS muss der Kunde prüfen:
Wer darf zugreifen?
Welche Rollen gibt es?
Ist MFA aktiv?
Welche Daten liegen im Dienst?
Welche Freigaben existieren?
Wie werden Benutzer deaktiviert?
Wie werden Daten gesichert oder exportiert?
Merksatz:
Je fertiger der Dienst,
desto weniger Technikbetrieb,
aber Daten und Zugriffe bleiben wichtig.
Virtualisierung
Virtualisierung bedeutet:
physische Ressourcen werden in virtuelle Ressourcen aufgeteilt.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
virtuelle Festplatten
virtuelle Firewalls
virtuelle Load Balancer
Merksatz:
Virtualisierung ist eine technische Grundlage vieler Cloud-Dienste.
Container
Container verpacken Anwendungen mit ihren Abhängigkeiten.
Sie enthalten typischerweise:
Anwendung
Bibliotheken
Laufzeitumgebung
Konfiguration
Sie teilen sich den Kernel des Hosts.
Merksatz:
Container sind leichtgewichtige,
portable Anwendungseinheiten.
Kubernetes
Kubernetes ist eine Plattform zur Container-Orchestrierung.
Es verwaltet:
Container
Pods
Services
Deployments
Skalierung
Rollouts
Netzwerke
Konfigurationen
Merksatz:
Kubernetes orchestriert Container in Clustern.
Serverless
Serverless bedeutet nicht, dass keine Server existieren.
Es bedeutet:
Der Kunde verwaltet keine einzelnen Server.
Der Anbieter betreibt die Infrastruktur.
Der Kunde stellt Code, Funktionen oder Konfiguration bereit.
Merksatz:
Serverless = keine Serververwaltung durch den Kunden.
FaaS
FaaS steht für:
Function as a Service
Dabei werden einzelne Funktionen ereignisgesteuert ausgeführt.
Beispiele:
Datei hochgeladen
API-Aufruf
Zeitplan
Nachricht in Warteschlange
Merksatz:
FaaS führt Funktionen bei Ereignissen aus.
Cloud-Netzwerke
Cloud-Netzwerke bestehen aus virtuellen Netzwerkkomponenten.
Typische Bestandteile:
VPC
VNet
Subnetze
Routingtabellen
Security Groups
Network ACLs
NSGs
Internet Gateway
NAT-Gateway
VPN-Gateway
Load Balancer
DNS
Peering
Merksatz:
Cloud-Netzwerke sind virtuell,
brauchen aber echte Netzplanung.
VPC und VNet
VPC steht für:
Virtual Private Cloud
VNet steht für:
Virtual Network
Beide beschreiben ein logisch getrenntes Cloud-Netzwerk.
Darin werden festgelegt:
IP-Bereich
Subnetze
Routen
Sicherheitsregeln
Gateways
Ressourcen
Merksatz:
VPC oder VNet = eigenes virtuelles Cloud-Netz.
Public Subnet und Private Subnet
| Subnetztyp | Zweck |
|---|---|
| Public Subnet | öffentlich erreichbare Komponenten |
| Private Subnet | interne Komponenten ohne direkten Internetzugriff |
Beispiele:
Public Subnet:
Load Balancer,
Bastion Host,
Reverse Proxy
Private Subnet:
Datenbank,
Backend,
interne API,
Verarbeitungssystem
Merksatz:
Öffentlich nur,
was wirklich öffentlich sein muss.
Internet Gateway und NAT-Gateway
Internet Gateway:
verbindet Cloud-Netz mit dem Internet
NAT-Gateway:
erlaubt privaten Ressourcen ausgehenden Internetzugriff,
ohne direkt eingehend erreichbar zu sein
Merksatz:
Internet Gateway verbindet öffentlich.
NAT-Gateway erlaubt ausgehend für private Ressourcen.
Security Group
Eine Security Group ist eine virtuelle Firewall-Regelgruppe.
Sie steuert:
eingehenden Verkehr
ausgehenden Verkehr
Ports
Protokolle
Quellen
Ziele
Merksatz:
Security Group = Firewall-Regeln an Cloud-Ressourcen.
Network ACL und NSG
Network ACL:
Zugriffsliste auf Netzwerk- oder Subnetzebene
NSG:
Network Security Group,
Regelgruppe für Netzwerkzugriffe
Wichtig:
Je nach Plattform können Regeln stateful oder stateless sein.
Merksatz:
Security Groups,
ACLs
und NSGs können alle Zugriff beeinflussen.
Stateful und Stateless
Stateful bedeutet:
Rückverkehr zu erlaubten Verbindungen wird automatisch zugeordnet.
Stateless bedeutet:
Rückverkehr muss separat erlaubt werden.
Merksatz:
Stateful merkt sich Verbindungen.
Stateless prüft jedes Paket einzeln.
Load Balancer
Ein Load Balancer verteilt Anfragen auf mehrere Ziele.
Vorteile:
Lastverteilung
höhere Verfügbarkeit
Skalierung
Wartung einzelner Backends
Health Checks
Merksatz:
Load Balancer verteilt Verkehr auf gesunde Ziele.
Health Check
Ein Health Check prüft, ob ein Backend gesund ist.
Beispiele:
TCP-Port erreichbar
HTTP-Status 200
Anwendung meldet gesund
Antwortzeit akzeptabel
Merksatz:
Health Check entscheidet,
ob ein Backend Verkehr erhält.
Peering
Peering verbindet zwei Cloud-Netze privat miteinander.
Wichtig:
IP-Netze dürfen sich nicht überschneiden.
Routen müssen passen.
Sicherheitsregeln müssen passen.
Peering ist nicht automatisch transitiv.
Merksatz:
Peering verbindet Netze,
leitet aber nicht automatisch zu dritten Netzen weiter.
Cloud-VPN
Cloud-VPN verbindet Cloud-Netze mit anderen Netzen.
Beispiele:
Cloud ↔ lokales Rechenzentrum
Cloud ↔ Niederlassung
Cloud ↔ andere Cloud
Wichtig:
IP-Planung
Routing
Firewall-Regeln
Verschlüsselung
Monitoring
Rückrouten
Merksatz:
Cloud-VPN braucht Regeln und Routen auf beiden Seiten.
Cloud-Speicherarten
Die wichtigsten Cloud-Speicherarten sind:
- Objektspeicher
- Blockspeicher
- Dateispeicher
- Archivspeicher
Merksatz:
Speicherart nach Einsatzzweck auswählen.
Objektspeicher
Objektspeicher speichert Daten als Objekte.
Ein Objekt enthält:
Inhalt
Metadaten
eindeutigen Schlüssel
Typische Nutzung:
Backups
Bilder
Videos
Logs
Archive
Dokumente
große unstrukturierte Datenmengen
Merksatz:
Objektspeicher eignet sich für viele unstrukturierte Daten.
Bucket
Ein Bucket ist ein Speicherbehälter für Objekte.
Wichtig:
Bucket-Berechtigungen sind sicherheitskritisch.
Fehler:
Bucket öffentlich lesbar
Folge:
vertrauliche Daten können offenliegen.
Merksatz:
Öffentliche Buckets vermeiden.
Blockspeicher
Blockspeicher verhält sich wie eine virtuelle Festplatte.
Typische Nutzung:
virtuelle Maschinen
Betriebssystemplatten
Datenbanken
Anwendungen mit Dateisystem
Merksatz:
Blockspeicher = virtuelle Festplatte.
Dateispeicher
Dateispeicher stellt klassische Datei- und Ordnerfreigaben bereit.
Typische Protokolle:
SMB
NFS
Typische Nutzung:
gemeinsame Dateien
Benutzerdateien
klassische Anwendungen
zentrale Ablagen
Merksatz:
Dateispeicher = Freigabe mit Dateien und Ordnern.
Backup in der Cloud
Cloud ersetzt kein Backup.
Auch Cloud-Daten können verloren gehen durch:
Benutzerfehler
Ransomware
Fehlkonfiguration
falsche Synchronisation
gelöschte Benutzer
kompromittierte Adminzugänge
Anbieterproblem
fehlerhafte Anwendung
Merksatz:
Cloud ist kein Backup.
RPO und RTO
RPO steht für:
Recovery Point Objective
Frage:
Wie viel Datenverlust ist maximal erlaubt?
RTO steht für:
Recovery Time Objective
Frage:
Wie lange darf Wiederherstellung dauern?
Merksatz:
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
Backup und Replikation
Backup:
dient der Wiederherstellung alter oder gesicherter Zustände
Replikation:
kopiert Daten auf ein anderes System oder in eine andere Region
Wichtig:
Replikation ist kein vollständiger Backup-Ersatz,
weil Fehler und Löschungen mitkopiert werden können.
Merksatz:
Backup schützt Wiederherstellung.
Replikation schützt eher Verfügbarkeit.
3-2-1-Regel
Die 3-2-1-Regel bedeutet:
3 Kopien der Daten
2 unterschiedliche Speichermedien oder Speicherarten
1 Kopie außer Haus oder getrennt vom Hauptsystem
Merksatz:
Mehrere getrennte Kopien schützen besser.
Immutable Backup
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Vorteile:
Schutz vor Ransomware
Schutz vor versehentlicher Löschung
Schutz vor kompromittierten Konten
Merksatz:
Immutable Backup schützt vor Manipulation und Löschung.
IAM
IAM steht für:
Identity and Access Management
IAM regelt:
Benutzer
Gruppen
Rollen
Berechtigungen
Richtlinien
Servicekonten
API-Schlüssel
MFA
Merksatz:
IAM entscheidet,
wer was in der Cloud darf.
Authentifizierung und Autorisierung
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich an:
Authentifizierung
Benutzer darf eine VM löschen:
Autorisierung
Merksatz:
Anmeldung und Berechtigung unterscheiden.
MFA
MFA steht für:
Multi-Faktor-Authentifizierung
MFA ist besonders wichtig für:
Administratoren
externe Benutzer
Cloud-Portale
IAM
Abrechnung
Produktion
sensible Daten
Merksatz:
Cloud-Adminzugänge ohne MFA sind ein hohes Risiko.
Least Privilege
Least Privilege bedeutet:
nur die Rechte vergeben,
die wirklich benötigt werden.
In der Cloud besonders wichtig, weil einzelne Rechte große Auswirkungen haben können.
Beispiele:
Speicher öffentlich machen
Firewall öffnen
VM löschen
Backup löschen
Rollen vergeben
API-Schlüssel erstellen
Merksatz:
Cloud-Rechte minimal vergeben.
Servicekonten und API-Schlüssel
Servicekonten sind Identitäten für Dienste oder Anwendungen.
API-Schlüssel erlauben Programmen Zugriff auf Cloud-Dienste.
Risiken:
zu viele Rechte
Schlüssel im Quellcode
keine Rotation
keine Löschung nach Projektende
Veröffentlichung in Repositories
Merksatz:
Servicekonten und API-Schlüssel wie kritische Zugangsdaten behandeln.
Secrets
Secrets sind geheime Informationen.
Beispiele:
Passwörter
Tokens
API-Schlüssel
private Schlüssel
Zertifikate
Datenbankkennwörter
Merksatz:
Secrets gehören nicht in Quellcode,
Tickets,
Chats
oder ungeschützte Dokumente.
RBAC und ABAC
RBAC:
rollenbasierte Zugriffskontrolle
ABAC:
attributbasierte Zugriffskontrolle
| Modell | Grundlage |
|---|---|
| RBAC | Rollen |
| ABAC | Attribute |
Merksatz:
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Eigenschaften.
Tenant und Mandantentrennung
Ein Tenant ist ein logisch getrennter Verwaltungsbereich.
Mandantentrennung bedeutet:
Daten und Ressourcen verschiedener Kunden oder Organisationseinheiten werden logisch getrennt.
Merksatz:
Tenant = eigener Cloud-Verwaltungsbereich.
SSO, SAML, OAuth 2.0 und OpenID Connect
SSO:
einmal anmelden,
mehrere Dienste nutzen
SAML:
häufig für Single Sign-On genutzt
OAuth 2.0:
delegierte Autorisierung
OpenID Connect:
ergänzt OAuth 2.0 um Authentifizierung
Merksatz:
OAuth 2.0 ist Autorisierung.
OpenID Connect ergänzt Authentifizierung.
Verschlüsselung
Cloud-Daten sollten geschützt werden:
bei Übertragung
und
im Ruhezustand
Bei Übertragung:
TLS
Im Ruhezustand:
Speicherverschlüsselung
Datenbankverschlüsselung
Backup-Verschlüsselung
Merksatz:
Verschlüsselung schützt Daten,
ersetzt aber keine Rechteverwaltung.
KMS
KMS steht für:
Key Management Service
Ein KMS verwaltet kryptografische Schlüssel.
Aufgaben:
Schlüssel erzeugen
Schlüssel speichern
Schlüssel rotieren
Zugriff steuern
Nutzung protokollieren
Schlüssel deaktivieren
Merksatz:
KMS verwaltet Schlüssel für Cloud-Verschlüsselung.
Logging und Monitoring
Monitoring:
zeigt aktuelle Zustände und Messwerte
Logging:
zeigt Ereignisse und Änderungen
Beispiele für Logs:
Audit-Logs
Flow Logs
Firewall-Logs
Anwendungslogs
IAM-Logs
Load-Balancer-Logs
Merksatz:
Monitoring zeigt Zustand.
Logging zeigt Ereignisse.
SIEM
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt und analysiert Sicherheitslogs.
Ziele:
Angriffe erkennen
Alarme erzeugen
Ereignisse korrelieren
Nachweise liefern
Merksatz:
SIEM hilft bei zentraler Sicherheitsüberwachung.
Kostenkontrolle
Cloud-Kosten entstehen durch:
Rechenleistung
Speicher
Datenbanken
Backups
Snapshots
Logs
Monitoring
Netzwerkverkehr
Load Balancer
Lizenzen
öffentliche IP-Adressen
Support
Merksatz:
Cloud-Kosten entstehen nicht nur durch Server.
Pay as you go
Pay as you go bedeutet:
Abrechnung nach Nutzung.
Vorteil:
flexibel
Risiko:
Fehlkonfiguration,
Dauerbetrieb
oder unerwartete Last können teuer werden.
Merksatz:
Pay as you go braucht Kostenüberwachung.
Tagging
Tagging bedeutet:
Cloud-Ressourcen werden mit Metadaten markiert.
Beispiele:
Projekt
Kostenstelle
Verantwortlicher
Umgebung
Ablaufdatum
Schutzbedarf
Merksatz:
Tags helfen bei Kosten,
Verantwortung
Ordnung
und Automatisierung.
Rightsizing
Rightsizing bedeutet:
Ressourcen passend dimensionieren.
Zu groß:
unnötige Kosten
Zu klein:
schlechte Leistung oder Ausfälle
Merksatz:
Rightsizing sucht die passende Ressourcengröße.
Auto Scaling
Auto Scaling passt Ressourcen automatisch an die Last an.
Beispiel:
mehr Instanzen bei hoher Last
weniger Instanzen bei geringer Last
Merksatz:
Auto Scaling skaliert automatisch nach Regeln.
Horizontale und vertikale Skalierung
| Skalierung | Bedeutung |
|---|---|
| horizontal | mehr Instanzen |
| vertikal | größere Instanz |
Merksatz:
Horizontal = mehr Systeme.
Vertikal = stärkeres System.
Hochverfügbarkeit
Hochverfügbarkeit bedeutet:
Dienste bleiben möglichst verfügbar,
auch wenn einzelne Komponenten ausfallen.
Mittel:
mehrere Instanzen
mehrere Verfügbarkeitszonen
Load Balancer
Replikation
Monitoring
Auto Scaling
Backup
Notfallplan
Merksatz:
Cloud ist nicht automatisch hochverfügbar.
Region und Verfügbarkeitszone
Region:
geografischer Standort des Cloud-Anbieters
Verfügbarkeitszone:
getrenntes Rechenzentrumssegment innerhalb einer Region
Merksatz:
Region beeinflusst Datenstandort und Latenz.
Zone beeinflusst Ausfallsicherheit innerhalb einer Region.
SLA, SLO und SLI
| Begriff | Bedeutung |
|---|---|
| SLA | vertragliche Servicezusage |
| SLO | Zielwert für Servicequalität |
| SLI | Messwert für Servicequalität |
Merksatz:
SLI misst.
SLO setzt Ziel.
SLA ist Zusage.
Infrastructure as Code
Infrastructure as Code wird abgekürzt:
IaC
Dabei wird Infrastruktur als Code beschrieben.
Beispiele:
Netzwerke
Subnetze
Firewalls
Rollen
VMs
Datenbanken
Load Balancer
Speicher
Vorteile:
wiederholbar
versionierbar
dokumentiert
automatisierbar
prüfbar
Merksatz:
IaC beschreibt Infrastruktur als Code.
Configuration Drift
Configuration Drift bedeutet:
Die echte Konfiguration weicht von der geplanten Konfiguration ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Umgebungen
Merksatz:
Configuration Drift erschwert Betrieb und Sicherheit.
Change Management und Rollback
Change Management bedeutet:
Änderungen werden geplant,
geprüft,
freigegeben,
umgesetzt
und dokumentiert.
Rollback bedeutet:
Änderung zurücknehmen.
Merksatz:
Jede kritische Änderung braucht Dokumentation und Rückweg.
Runbook
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für Betriebsaufgaben.
Beispiele:
Backup wiederherstellen
Alarm bearbeiten
Zertifikat erneuern
Dienst neu starten
Failover auslösen
Benutzerzugriff prüfen
Merksatz:
Runbooks helfen bei wiederholbaren Betriebsabläufen.
Incident Response
Incident Response bedeutet:
Vorgehen bei Sicherheitsvorfällen oder größeren Störungen.
Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Incident Response muss vor dem Vorfall vorbereitet sein.
Datenschutz und Compliance
Cloud-Nutzung muss rechtliche und organisatorische Vorgaben beachten.
Wichtige Fragen:
Welche Daten werden verarbeitet?
Wo werden Daten gespeichert?
Wer hat Zugriff?
Gibt es Auftragsverarbeitung?
Sind Daten verschlüsselt?
Gibt es Löschkonzepte?
Werden Logs personenbezogen?
Welche Verträge gelten?
Merksatz:
Cloud braucht Datenschutz- und Compliance-Prüfung.
Datenklassifizierung
Datenklassifizierung bedeutet:
Daten werden nach Schutzbedarf eingeteilt.
Beispiele:
öffentlich
intern
vertraulich
streng vertraulich
personenbezogen
geschäftskritisch
Merksatz:
Datenklasse bestimmt Schutzmaßnahmen.
Datenresidenz
Datenresidenz bedeutet:
Daten müssen in einem bestimmten Land oder einer bestimmten Region gespeichert werden.
Beispiel:
Speicherung innerhalb der EU
Merksatz:
Datenresidenz beschreibt,
wo Daten liegen dürfen.
Vendor Lock-in
Vendor Lock-in bedeutet:
starke Abhängigkeit von einem Anbieter.
Ursachen:
proprietäre Dienste
spezielle APIs
spezielle Datenformate
hohe Migrationskosten
fehlende Portabilität
Mitarbeitende kennen nur eine Plattform
Merksatz:
Vendor Lock-in früh beachten.
Exit-Strategie
Eine Exit-Strategie beschreibt, wie man einen Cloud-Dienst wieder verlassen kann.
Fragen:
Wie exportiere ich Daten?
In welchem Format?
Wie lange dauert Migration?
Welche Kosten entstehen?
Wie werden Daten beim Anbieter gelöscht?
Gibt es Alternativen?
Merksatz:
Cloud-Einstieg braucht auch Cloud-Ausstiegsplan.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Cloud Computing?
- Was ist On-Premises?
- Was ist Public Cloud?
- Was ist Private Cloud?
- Was ist Hybrid Cloud?
- Was ist Multi Cloud?
- Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud?
- Was bedeutet IaaS?
- Was bedeutet PaaS?
- Was bedeutet SaaS?
- Was ist das Shared Responsibility Model?
- Wer ist bei IaaS für Betriebssystemupdates verantwortlich?
- Wer verwaltet bei SaaS Benutzer und Rechte?
- Was ist eine VPC?
- Was ist ein Public Subnet?
- Was ist ein Private Subnet?
- Was ist eine Security Group?
- Was ist ein Load Balancer?
- Was ist IAM?
- Was bedeutet Least Privilege?
- Was ist MFA?
- Was ist ein API-Schlüssel?
- Was ist ein Secret?
- Was ist Objektspeicher?
- Was ist Blockspeicher?
- Was ist Dateispeicher?
- Warum ist Cloud-Speicher kein Backup?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist Auto Scaling?
- Was ist horizontale Skalierung?
- Was ist vertikale Skalierung?
- Was ist ein SLA?
- Warum ist Cloud nicht automatisch sicher?
- Warum ist Cloud nicht automatisch günstiger?
Typische Prüfungsfallen
Cloud ist nicht automatisch günstiger.
Cloud ist nicht automatisch sicher.
Cloud ist nicht automatisch hochverfügbar.
Cloud ist nicht automatisch Backup.
Anbieter übernimmt nicht automatisch alles.
Daten,
Benutzer
und Rechte bleiben Kundenthema.
Public Cloud ist nicht automatisch unsicher.
Private Cloud ist nicht automatisch günstiger.
Hybrid Cloud ist nicht Multi Cloud.
Multi Cloud ist nicht automatisch Hybrid.
Virtualisierung allein ist keine Private Cloud.
IaaS ist Infrastruktur.
PaaS ist Plattform.
SaaS ist fertige Software.
Cloud-VM muss Kunde oft selbst patchen.
SaaS-Rechte bleiben Kundenthema.
Serverless heißt nicht serverfrei.
VPC und VNet sind virtuelle Cloud-Netze.
Public Subnet nicht für Datenbanken nutzen.
Private Subnet schützt vor direkter öffentlicher Erreichbarkeit.
Security Group ist virtuelle Firewall.
Öffentliche Buckets vermeiden.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Snapshot ist nicht immer Backup.
Backup ohne Restore-Test ist unsicher.
RPO und RTO nicht verwechseln.
IAM ist zentral für Cloud-Sicherheit.
Authentifizierung ist nicht Autorisierung.
MFA für Admins ist wichtig.
API-Schlüssel wie Passwörter behandeln.
Secrets nicht im Code speichern.
Verschlüsselung ersetzt keine Rechteverwaltung.
Monitoring und Logging unterscheiden.
Pay as you go braucht Kostenkontrolle.
Tags helfen bei Kosten und Verantwortung.
Horizontal und vertikal unterscheiden.
SLA,
SLO
und SLI nicht verwechseln.
Exit-Strategie früh planen.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Cloud | IT-Ressourcen als Dienst |
| On-Premises | lokal selbst betrieben |
| Public Cloud | Anbieterplattform für viele Kunden |
| Private Cloud | Cloud für eine Organisation |
| Hybrid Cloud | lokale/private IT plus Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
| Community Cloud | Cloud für bestimmte Gemeinschaft |
| IaaS | Infrastructure as a Service |
| PaaS | Platform as a Service |
| SaaS | Software as a Service |
| Shared Responsibility | geteilte Verantwortung |
| Virtualisierung | Aufteilung physischer Ressourcen |
| Container | portable Anwendungseinheit |
| Kubernetes | Container-Orchestrierung |
| Serverless | keine Serververwaltung durch Kunden |
| FaaS | Function as a Service |
| VPC | Virtual Private Cloud |
| VNet | Virtual Network |
| Public Subnet | öffentlich angebundenes Subnetz |
| Private Subnet | internes Subnetz |
| Security Group | virtuelle Firewall-Regelgruppe |
| Load Balancer | verteilt Anfragen |
| Health Check | prüft Dienstgesundheit |
| Peering | Verbindung zwischen Cloud-Netzen |
| Cloud-VPN | VPN zu Cloud-Netz |
| Objektspeicher | Speicher für Objekte |
| Bucket | Speicherbehälter |
| Blockspeicher | virtuelle Festplatte |
| Dateispeicher | Datei- und Ordnerfreigabe |
| Backup | zusätzliche Sicherung |
| Restore | Wiederherstellung |
| RPO | maximaler Datenverlust |
| RTO | maximale Wiederherstellungszeit |
| Immutable Backup | unveränderliches Backup |
| IAM | Identity and Access Management |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | minimale notwendige Rechte |
| API-Schlüssel | Zugriffsschlüssel für Programme |
| Secret | geheime Information |
| RBAC | rollenbasierte Zugriffskontrolle |
| ABAC | attributbasierte Zugriffskontrolle |
| Tenant | Cloud-Verwaltungsbereich |
| SSO | Single Sign-On |
| OAuth 2.0 | delegierte Autorisierung |
| OpenID Connect | Authentifizierungserweiterung |
| KMS | Key Management Service |
| Monitoring | Zustandsüberwachung |
| Logging | Ereignisprotokollierung |
| SIEM | Sicherheitslog-Auswertung |
| Pay as you go | Abrechnung nach Nutzung |
| Tagging | Metadaten für Ressourcen |
| Rightsizing | passende Ressourcengröße |
| Auto Scaling | automatische Skalierung |
| SLA | vertragliche Servicezusage |
| SLO | Serviceziel |
| SLI | Servicemesswert |
| IaC | Infrastructure as Code |
| Configuration Drift | Abweichung von Soll-Konfiguration |
| Runbook | Betriebsanleitung |
| Incident Response | Reaktion auf Vorfälle |
| Compliance | Einhaltung von Vorgaben |
| Datenresidenz | erlaubter Speicherort |
| Vendor Lock-in | Anbieterabhängigkeit |
| Exit-Strategie | Plan zum Verlassen eines Dienstes |
IHK-sichere Gesamtformulierung
Cloud Computing bedeutet, dass IT-Ressourcen wie Rechenleistung, Speicher, Netzwerke, Plattformen oder Anwendungen über ein Netzwerk als Dienst bereitgestellt werden. Bei On-Premises betreibt ein Unternehmen seine IT lokal selbst. Public Cloud wird von einem Anbieter für viele Kunden bereitgestellt, Private Cloud für eine einzelne Organisation, Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud, und Multi Cloud nutzt mehrere Cloud-Anbieter. Die wichtigsten Service-Modelle sind IaaS, PaaS und SaaS. Das Shared Responsibility Model beschreibt die geteilte Verantwortung zwischen Anbieter und Kunde. Auch in der Cloud bleiben Benutzer, Rechte, Daten, sichere Konfiguration, Backup, Monitoring, Kostenkontrolle, Datenschutz und Compliance wichtige Aufgaben des Kunden.
Wichtigste Merksätze
Cloud = IT-Ressourcen als Dienst.
Cloud ist kein einzelnes Produkt.
Cloud ist nicht automatisch sicher.
Cloud ist nicht automatisch günstig.
Cloud ist nicht automatisch hochverfügbar.
Cloud ist kein Backup.
On-Premises = lokal selbst betrieben.
Public Cloud = Anbieterplattform für viele Kunden.
Private Cloud = Cloud für eine Organisation.
Hybrid Cloud = lokal plus Cloud.
Multi Cloud = mehrere Anbieter.
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = fertige Software.
Shared Responsibility = geteilte Verantwortung.
Daten bleiben Kundenthema.
Benutzer bleiben Kundenthema.
Rechte bleiben Kundenthema.
Cloud-VM muss Kunde oft selbst patchen.
SaaS braucht Rechteverwaltung.
Serverless heißt keine Serververwaltung durch Kunden.
VPC und VNet sind virtuelle Cloud-Netze.
Public Subnet nur für öffentliche Komponenten.
Private Subnet für interne Ressourcen.
Datenbanken nicht öffentlich bereitstellen.
Security Groups sind virtuelle Firewall-Regeln.
Cloud-VPN braucht Routen beidseitig.
Objektspeicher für unstrukturierte Daten.
Blockspeicher für VMs und Datenbanken.
Dateispeicher für Freigaben.
Öffentliche Buckets vermeiden.
Backup regelmäßig testen.
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
IAM entscheidet,
wer was darf.
MFA für Admins erzwingen.
Least Privilege immer beachten.
API-Schlüssel schützen.
Secrets sicher verwalten.
Verschlüsselung ersetzt keine Rechte.
Monitoring zeigt Zustand.
Logging zeigt Ereignisse.
Kosten aktiv überwachen.
Tags pflegen.
Auto Scaling braucht Regeln.
Horizontal = mehr Instanzen.
Vertikal = größere Instanz.
IaC macht Infrastruktur wiederholbar.
Configuration Drift vermeiden.
Runbooks helfen im Betrieb.
Incident Response vorbereiten.
Datenschutz und Compliance prüfen.
Exit-Strategie früh planen.