LFS482: Zero Trust Security with SPIFFE and SPIRE

Grundlagen von Zero Trust

• Prinzipien von Zero Trust Networking
• Implementierungsmodelle und typische Einsatzszenarien
• Kryptographie-Grundlagen und Public-Key-Infrastrukturen
• Authentifizierung, Identitätsdokumente und Autorisierung
• Least-Privilege-Modelle für dynamische Infrastrukturen

SPIFFE und SPIRE Konzepte

• Einführung in SPIFFE und SPIRE
• SPIFFE-ID, Trust Domain und Workload-Identität
• SVIDs als kryptografische Identitätsnachweise
• SPIRE Server, SPIRE Agent und Workload API
• Attestation-Mechanismen und Registrierungsmodell

Installation und Nutzung von SPIRE

• Installation und Konfiguration von SPIRE aus Binaries
• Konfiguration zentraler SPIRE-Komponenten
• Verwaltung von Registration Entries
• Bereitstellung von SPIRE auf Kubernetes mit Kind
• Betrieb erster Workload-Identitäten in einer Laborumgebung

Workload-Identitäten und SVID-Operationen

• Verwaltung von SVIDs
• Nutzung von SPIFFE-Helper
• Zugriff auf die Workload API
• SVID-Operationen mit Client Libraries
• Arbeit mit go-spiffe in praxisnahen Beispielen

Autorisierung und Policy Engines

• Einführung in Autorisierungskonzepte
• Policy-Sprachen und Policy-Werkzeuge
• Open Policy Agent als Policy Engine
• Weitere Policy Engines und DSLs
• Aufbau einer belastbaren AuthZ-Architektur

SPIRE, AuthZ und Service Mesh

• Autorisierung für SPIRE Server
• Network AuthZ und identitätsbasierte Zugriffskontrolle
• Integration von SPIRE mit OPA und Envoy
• Zero Trust im Service Mesh
• Design eines SPIFFE-ID-Schemas
• SPIRE und OIDC Discovery

Architektur, Skalierung und Föderation

• Architekturüberlegungen für SPIRE-Deployments
• Skalierung und Wachstum von SPIRE-Umgebungen
• Bereitstellung von SPIRE im High-Availability-Modus
• Nested SPIRE als fortgeschrittenes Architekturmodell
• Federated SPIRE für organisationsübergreifende Vertrauensbeziehungen
• Sizing-Überlegungen für produktionsnahe Bereitstellungen

Betrieb und Disaster Recovery

• Day Two Operations für SPIRE
• Monitoring- und Betriebsaspekte
• Ressourcenplanung für stabile Plattformen
• Disaster-Recovery-Strategien
• Fehlerbilder und Betriebsrisiken in SPIRE-Umgebungen

SPIFFE-Ökosystem und Integrationen

• Open-Source-Integrationen im SPIFFE-Ökosystem
• Anbieterintegrationen und Erweiterungsmöglichkeiten
• Zusammenspiel mit Cloud-nativen Plattformen
• Cilium-Integration mit SPIRE
• Praktische Einsatzmöglichkeiten in Microservice-Architekturen

• Praktische Erfahrung mit Cloud-Computing-Plattformen
• Kenntnisse in Bereitstellung und Verwaltung von Kubernetes-Clustern
• Sicherer Umgang mit Linux-Systemen und Kommandozeile, zum Beispiel auf Niveau des Linux Grundkurses
• Grundverständnis von Netzwerken, TLS und Dienstkommunikation, vertiefbar in der Linux Netzwerkadministration Advanced

• Entwicklerinnen und Entwickler, die sichere Microservice-Kommunikation und Workload-Identitäten in Anwendungen integrieren
• Systemadministratorinnen und Systemadministratoren, die SPIRE in Linux-, Kubernetes- und Cloud-Umgebungen betreiben
• Security-Engineers und Security-Architektinnen, die Zero Trust Architekturen mit Least Privilege und Policy Engines umsetzen
• Plattform-, DevOps- und Cloud-Teams, die mittelgroße bis große containerisierte Systeme entwerfen, bereitstellen oder absichern