20.10 Trainer – Cloud, Bereitstellungsmodelle, IAM und Shared Responsibility

Cloud Computing bedeutet:

IT-Ressourcen werden über ein Netzwerk bereitgestellt
und können flexibel genutzt,
skaliert
und abgerechnet werden.

Beispiele:

virtuelle Server

Speicher

Datenbanken

Anwendungen

Plattformdienste

Netzwerkdienste

Merksatz:

Cloud = IT-Ressourcen flexibel über Netzwerk nutzen.

Typische Vorteile:

flexible Skalierung

schnelle Bereitstellung

nutzungsabhängige Abrechnung

weniger eigene Hardware

weltweite Verfügbarkeit

verwaltete Dienste

hohe Automatisierbarkeit

schnelle Erweiterbarkeit

Merksatz:

Cloud ist besonders stark bei Flexibilität,
Skalierung
und schneller Bereitstellung.

Typische Nachteile oder Risiken:

Abhängigkeit vom Anbieter

Datenschutzanforderungen

falsche Konfigurationen

Kostenkontrolle notwendig

Netzwerkabhängigkeit

Vendor Lock-in

geteilte Verantwortung kann missverstanden werden

Zugriffsschutz muss sauber geplant werden

Merksatz:

Cloud nimmt Arbeit ab,
aber nicht die Verantwortung für sichere Nutzung.

IaaS steht für:

Infrastructure as a Service

Bedeutung:

Der Anbieter stellt grundlegende Infrastruktur bereit.

Beispiele:

virtuelle Maschinen

virtuelle Netzwerke

Speicher

Firewalls

Load Balancer

Der Kunde verwaltet häufig selbst:

Betriebssystem

Anwendungen

Patches im Gastbetriebssystem

Konfiguration

Merksatz:

IaaS = virtuelle Infrastruktur.

PaaS steht für:

Platform as a Service

Bedeutung:

Der Anbieter stellt eine verwaltete Plattform für Anwendungen bereit.

Beispiele:

App-Plattform

verwaltete Datenbank

Laufzeitumgebung

Containerplattform

Entwicklungsplattform

Der Kunde kümmert sich eher um:

Anwendung

Daten

Konfiguration

Zugriffsrechte

Merksatz:

PaaS = Plattform für Anwendungen.

SaaS steht für:

Software as a Service

Bedeutung:

Der Anbieter stellt eine fertige Anwendung bereit,
die der Kunde nutzt.

Beispiele:

E-Mail-Dienst

Office-Anwendung im Browser

CRM-System

Ticketsystem

Cloud-Speicheranwendung

Der Kunde verwaltet meist:

Benutzer

Rollen

Daten

Einstellungen

Zugriffsrechte

Merksatz:

SaaS = fertige Software nutzen.

Merksatz:

IaaS unten,
PaaS in der Mitte,
SaaS oben.

Richtig ist:

B: Virtuelle Maschine mit eigenem Betriebssystem

Begründung:

IaaS stellt Infrastruktur bereit,
zum Beispiel virtuelle Maschinen,
Speicher
und Netzwerke.
Das Betriebssystem und Anwendungen werden oft vom Kunden verwaltet.

Merksatz:

Virtuelle Maschine = typisches IaaS-Beispiel.

Richtig ist:

B: Der Kunde nutzt eine fertige Anwendung.

Begründung:

SaaS bedeutet,
dass eine fertige Software als Dienst bereitgestellt wird.

Merksatz:

SaaS = benutzen statt betreiben.

IaaS:

virtuelle Infrastruktur,
viel Verantwortung beim Kunden

PaaS:

verwaltete Plattform,
Kunde bringt Anwendung und Daten

SaaS:

fertige Anwendung,
Kunde verwaltet hauptsächlich Nutzung,
Daten,
Benutzer
und Rechte

Merksatz:

Je mehr Richtung SaaS,
desto mehr übernimmt der Anbieter.

Public Cloud bedeutet:

Cloud-Ressourcen werden von einem öffentlichen Cloud-Anbieter bereitgestellt
und von vielen Kunden getrennt genutzt.

Eigenschaften:

hohe Skalierbarkeit

nutzungsabhängige Abrechnung

Anbieter betreibt Infrastruktur

Mandantentrennung wichtig

Merksatz:

Public Cloud = Cloud eines öffentlichen Anbieters.

Private Cloud bedeutet:

Cloud-Umgebung wird nur für eine Organisation betrieben.

Möglich:

im eigenen Rechenzentrum

bei einem Dienstleister

dediziert für eine Organisation

Vorteile:

mehr Kontrolle

individuelle Anpassung

besondere Compliance-Anforderungen leichter steuerbar

Merksatz:

Private Cloud = Cloud nur für eine Organisation.

Hybrid Cloud bedeutet:

lokale IT oder Private Cloud wird mit Public-Cloud-Ressourcen kombiniert.

Beispiele:

lokales Rechenzentrum plus Cloud-Backup

lokale Anwendung plus Cloud-Datenbank

lokales Firmennetz plus Cloud-VPC über VPN

Merksatz:

Hybrid Cloud = lokal und Cloud kombiniert.

Multi Cloud bedeutet:

Eine Organisation nutzt mehrere Cloud-Anbieter.

Beispiel:

Anbieter A für Infrastruktur

Anbieter B für Datenanalyse

Anbieter C für Office-Dienste

Gründe:

Vermeidung von Abhängigkeit

passende Dienste verschiedener Anbieter nutzen

Ausfallsicherheit

Kostenoptimierung

Merksatz:

Multi Cloud = mehrere Cloud-Anbieter.

Merksatz:

Hybrid beschreibt Kombination von Umgebungen.
Multi beschreibt mehrere Anbieter.

Shared Responsibility bedeutet:

Cloud-Anbieter und Kunde teilen sich die Verantwortung für Sicherheit und Betrieb.

Der Anbieter ist typischerweise verantwortlich für:

physische Infrastruktur

Rechenzentrum

Grundplattform

Hardware

Der Kunde ist typischerweise verantwortlich für:

Daten

Benutzer

Berechtigungen

Konfigurationen

Anwendungen je nach Modell

Merksatz:

Cloud-Sicherheit ist geteilte Verantwortung.

Shared Responsibility ist wichtig, weil Kunden oft fälschlich glauben, der Cloud-Anbieter sei für alles verantwortlich.

In Wirklichkeit bleiben viele Aufgaben beim Kunden, zum Beispiel:

Benutzerrechte

Datenklassifizierung

Zugriffsschutz

sichere Konfiguration

Backup

Verschlüsselung

Monitoring

Merksatz:

Cloud-Anbieter schützt die Cloud.
Kunde schützt seine Nutzung der Cloud.

Typischerweise:

der Kunde

Begründung:

Auch wenn der Anbieter die Anwendung betreibt,
muss der Kunde seine Benutzer,
Gruppen,
Rollen,
Daten
und Freigaben korrekt verwalten.

Merksatz:

SaaS nimmt Betrieb ab,
aber nicht Rechteverwaltung.

Typischerweise:

der Kunde

Begründung:

Bei IaaS stellt der Anbieter die virtuelle Infrastruktur bereit.
Betriebssystem,
Patches,
Dienste
und Anwendungen in der virtuellen Maschine werden häufig vom Kunden verwaltet.

Merksatz:

IaaS bedeutet mehr Kundenverantwortung als SaaS.

IAM steht für:

Identity and Access Management

Bedeutung:

Verwaltung von Identitäten,
Rollen,
Rechten
und Zugriffen.

Typische Aufgaben:

Benutzer verwalten

Rollen definieren

Berechtigungen vergeben

MFA erzwingen

Service Accounts verwalten

Zugriff protokollieren

Merksatz:

IAM entscheidet,
wer was darf.

Cloud-Ressourcen sind oft über das Internet erreichbar und können schnell erstellt, geändert oder gelöscht werden.

Fehlerhafte Berechtigungen können zu:

Datenabfluss

Missbrauch von Ressourcen

Kostenexplosion

unberechtigtem Zugriff

Manipulation

führen.

Merksatz:

In der Cloud sind Identitäten oft der wichtigste Sicherheitsperimeter.

Least Privilege bedeutet:

Benutzer,
Rollen,
Dienste
und Anwendungen erhalten nur die Berechtigungen,
die sie wirklich benötigen.

Beispiele:

Entwickler darf Logs lesen,
aber keine Produktionsdatenbank löschen.

Anwendung darf in einen Speicher schreiben,
aber keine Benutzer verwalten.

Dienstkonto darf nur auf benötigte Ressourcen zugreifen.

Merksatz:

In der Cloud keine pauschalen Adminrechte vergeben.

MFA steht für:

Multi-Faktor-Authentifizierung

Bedeutung:

Anmeldung benötigt mehr als nur ein Passwort.

Beispiele für Faktoren:

Wissen:
Passwort

Besitz:
Smartphone,
Token,
Smartcard

Sein:
biometrisches Merkmal

Merksatz:

MFA schützt Cloud-Konten gegen Passwortmissbrauch.

Ein Service Account ist ein Konto, das von Diensten, Anwendungen oder Automatisierungen genutzt wird.

Risiken:

zu viele Rechte

Schlüssel liegen unsicher

Zugriff wird nicht überwacht

Konto wird nach Projektende nicht entfernt

Schutzmaßnahmen:

Least Privilege

Schlüsselrotation

kurze Laufzeiten

Logging

keine geteilten Geheimnisse im Klartext

Merksatz:

Service Accounts brauchen besonders saubere Rechteverwaltung.

VPC steht für:

Virtual Private Cloud

Bedeutung:

logisch getrenntes virtuelles Netzwerk in einer Cloud-Umgebung.

Typische Bestandteile:

Subnetze

Routing-Tabellen

Security Groups

Gateways

Firewalls

VPN-Anbindungen

Merksatz:

VPC = virtuelles Cloud-Netzwerk.

Ein Cloud-Subnetz ist ein IP-Adressbereich innerhalb eines virtuellen Cloud-Netzwerks.

Typische Unterscheidung:

öffentliches Subnetz

privates Subnetz

Öffentliches Subnetz:

Ressourcen können über passende Regeln und öffentliche Adresse aus dem Internet erreichbar sein.

Privates Subnetz:

Ressourcen sind nicht direkt öffentlich erreichbar.

Merksatz:

Subnetze strukturieren Cloud-Netzwerke.

Eine Security Group ist eine regelbasierte Zugriffskontrolle für Cloud-Ressourcen.

Sie steuert typischerweise:

eingehenden Verkehr

ausgehenden Verkehr

Ports

Protokolle

Quellen

Ziele

Merksatz:

Security Group ist wie eine ressourcennahe Firewall-Regelgruppe.

Security Group:

häufig direkt an Cloud-Ressourcen gebunden

regelt Zugriff auf einzelne Ressourcen oder Gruppen

Klassische Firewall:

oft zentrale Netzwerkkomponente oder Appliance

kontrolliert Verkehr zwischen Netzen oder Zonen

Wichtig:

Beide kontrollieren Verkehr,
aber an unterschiedlichen Stellen.

Merksatz:

Security Groups sind Cloud-nahe Zugriffskontrolle.

Eine Datenbank enthält oft sensible Daten und ist ein attraktives Angriffsziel.

Risiken:

Brute Force

Exploits

Datenabfluss

Manipulation

Kosten oder Last durch Missbrauch

Besser:

privates Subnetz

Zugriff nur von Anwendungsservern

Security Group einschränken

starke Authentifizierung

Verschlüsselung

Logging

Merksatz:

Datenbanken nicht öffentlich freigeben.

Skalierung bedeutet:

Ressourcen werden an Bedarf angepasst.

Vertikale Skalierung:

eine Ressource wird größer gemacht

Beispiel:

mehr CPU oder RAM für eine VM

Horizontale Skalierung:

mehrere Instanzen werden hinzugefügt

Beispiel:

mehrere Webserver hinter einem Load Balancer

Merksatz:

Vertikal = größer.
Horizontal = mehr.

Auto Scaling bedeutet:

Ressourcen werden automatisch erhöht oder reduziert,
abhängig von definierten Bedingungen.

Beispiele:

CPU-Auslastung hoch:
zusätzliche Instanz starten

Last niedrig:
Instanz entfernen

Vorteile:

bessere Verfügbarkeit

flexible Leistung

Kostenkontrolle bei richtiger Konfiguration

Merksatz:

Auto Scaling passt Ressourcen automatisch an Last an.

Ein Load Balancer verteilt Anfragen auf mehrere Ziele.

Beispiele:

mehrere Webserver

mehrere Anwendungsserver

Vorteile:

bessere Verfügbarkeit

Lastverteilung

Wartung einzelner Instanzen leichter möglich

Skalierung

Merksatz:

Load Balancer verteilt Verkehr.

Cloud-Kostenkontrolle bedeutet:

Nutzung,
Ressourcen
Speicher
Datenverkehr
Lizenzen
und laufende Dienste überwachen.

Maßnahmen:

Budgets

Alarme

Tags

Abschalten ungenutzter Ressourcen

passende Größen wählen

Reservierungen oder Pläne prüfen

Speicherklassen nutzen

Merksatz:

Cloud ist flexibel,
aber nicht automatisch günstig.

Tags sind Metadaten an Ressourcen.

Nutzung:

Kostenstellen zuordnen

Besitzer erkennen

Umgebung kennzeichnen

Projektzuordnung

Automatisierung

Compliance

Beispiele:

Projekt = Webshop

Umgebung = Produktion

Besitzer = IT-Team

Merksatz:

Tags helfen bei Ordnung,
Kosten
und Automatisierung.

Vendor Lock-in bedeutet:

starke Abhängigkeit von einem Anbieter,
weil Dienste,
Schnittstellen
oder Datenformate schwer wechselbar sind.

Risiken:

Wechsel wird teuer

Migration wird schwierig

Preiserhöhungen schwer vermeidbar

technische Abhängigkeiten

Merksatz:

Vendor Lock-in erschwert Anbieterwechsel.

Cloud-Backup bedeutet:

Daten oder Systeme werden in einer Cloud-Umgebung gesichert.

Wichtig:

Zugriffsschutz

Verschlüsselung

Retention

Restore-Test

Schutz gegen Ransomware

regionale Speicherung

Kosten

Merksatz:

Auch Cloud-Backups müssen getestet und geschützt werden.

Synchronisation gleicht Datenstände ab.

Problem:

Löschungen

Verschlüsselung durch Ransomware

Fehländerungen

beschädigte Dateien

können mitsynchronisiert werden.

Backup braucht:

alte Versionen

Retention

Restore-Möglichkeit

Schutz vor Manipulation

Merksatz:

Sync hält gleich.
Backup stellt alte Stände wieder her.

B ist besser.

Begründung:

Die Antwort beschreibt das Shared-Responsibility-Modell korrekt.

Merksatz:

Cloud-Sicherheit ist geteilte Verantwortung.

B ist besser.

Begründung:

Die Antwort nennt konkrete Risiken
und eine bessere Schutzmaßnahme.

Merksatz:

Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.

B ist besser.

Begründung:

Die Antwort grenzt beide Modelle fachlich sauber voneinander ab.

Merksatz:

Modelle immer über Verantwortlichkeit und Bereitstellung erklären.