Google Kubernetes Engine Security Workshop (SOEL-WS-AZKES)

Der Workshop vermittelt praxisnah, wie GKE-Cluster umfassend abgesichert werden können. Dabei geht es um mehr als nur Grundlagen: Von präzisen Rollen und Berechtigungen mit IAM und RBAC über Network Policies und die Verschlüsselung sensibler Daten mit CMEK bis hin zu Audit-Logs und Monitoring für mehr Transparenz.

========

Der Workshop vermittelt praxisnah, wie GKE-Cluster umfassend abgesichert werden können. Dabei geht es um mehr als nur Grundlagen: Von präzisen Rollen und Berechtigungen mit IAM und RBAC über Network Policies und die Verschlüsselung sensibler Daten mit CMEK bis hin zu Audit-Logs und Monitoring für mehr Transparenz. Ergänzt wird dies durch Mechanismen zur Laufzeitsicherheit und Härtung, den gezielten Einsatz von Admission Policies und Binary Authorization sowie durch den Vergleich von Standard-GKE und Autopilot in Bezug auf Sicherheit. Interaktive Laborumgebungen und Fragebogen als Selbsttest begleiten alle Themen und ermöglichen es, die Konzepte direkt praktisch umzusetzen.

Voraussetzungen

• Umgang mit kubectl
• Grundverständnis von Kubernetes

========

Kubernetes Administratoren 

DevSecOps

Security Teams 

========

Theorie:

• Präzise Rollen und Berechtigungen (IAM, least privilege)
• Workload Identity zur sicheren Verknüpfung von Pods mit Google Cloud IAM
• VPC Service Controls für zusätzliche Isolation
• Network Policies zur Steuerung der Pod-Kommunikation
• Private GKE-Cluster
• Node-Security mit Shielded Nodes
• Verschlüsselung von Daten im Ruhezustand (Standard)
• Customer-Managed Encryption Keys (CMEK) einsetzen
• Secret Manager statt Kubernetes Secrets verwenden
• Binary Authorization für kontrollierte Deployments
• Admission Policies (Kyverno, PSA)
• GKE Sandbox (gVisor) für zusätzliche Isolation
• Audit Logs aktivieren

Labore:

• RBAC konfigurieren und least privilege testen
• Network Policies schreiben und absichern (z. B. blockierter Zugriff zwischen Namespaces)
• Einen privaten GKE-Cluster einrichten
• Audit Logging aktivieren und Ereignisse analysieren
• Etcd- und Secret-Verschlüsselung konfigurieren
• Binary Authorization einrichten und nur signierte Images zulassen
• Admission Policies mit Kyverno oder PodSecurity durchsetzen
• Sandbox/gVisor
• Runtime-Security

Individueller Firmenworkshop

Dieser Workshop kann auf Wunsch auch firmenintern und maßgeschneidert auf Ihre Umgebung, Strategie und Zielsetzung durchgeführt werden.
So profitieren Teams direkt von praxisrelevanten Beispielen aus ihrem eigenen Unternehmenskontext.