Die Vergabe und Nutzung privilegierter Zugriffsrechte müssen eingeschränkt und verwaltet werden.
Wir pflegen eine vollständige Liste der Benutzer mit ihren öffentlichen SSH-Schlüsseln, verwaltet über LinuxAid und Puppet für eine effiziente Zugriffskontrolle. So haben nur berechtigte SREs und Admins privilegierten Zugriff, alles per GitOps konfiguriert – für Transparenz und Automatisierung.
Der Zugriff auf unsere Kubernetes-Cluster wird über RBAC geregelt, sodass wir Benutzern je nach Rolle in den verschiedenen Umgebungen (Test/QA, Produktion, Entwicklung) gezielte Berechtigungen zuweisen können. Für den Zugriff auf diese K8s-Cluster und auf Linux-Server nutzen wir Keycloak und Netbird.
Alle anderen Dienste erfordern eine Authentifizierung über Keycloak mit einer üblichen Kombination aus Benutzername und Passwort sowie 2FA mit YubiKeys. Das schützt sensible Daten zusätzlich.
Sensible Zugangsdaten in unserem selbst gehosteten Gitea werden mit Password store sicher gespeichert. Nur Benutzer, deren GPG-Schlüssel berechtigt sind, können diese Zugangsdaten entschlüsseln – das minimiert das Risiko eines Abflusses und erhöht die Sicherheit insgesamt.