ra2 studio - stock.adobe.com
Typische Probleme in Multi-Tenant-Umgebungen lösen
Heutige Cloud-Umgebungen in Firmen sind oft sehr heterogen. Das führt zu Problemen bei der Verwaltung von Accounts, zu vielen Berechtigungen und einem mangelhaften Datenmanagement.
Zahlreiche Unternehmen migrieren ihre Anwendungen und Daten in die Cloud und entwickeln dabei neue Cloud-basierte Application Stacks. Das führt aber dazu, dass sie mit immer mehr Accounts und Abonnements bei unterschiedlichen Cloud-Anbietern konfrontiert sind.
Oft entsteht dadurch ein Wildwuchs bei den genutzten Cloud-Anwendungen und -Diensten, da viele Teams und Fachabteilungen in den Unternehmen ihre Aufgaben mehr oder weniger getrennt von anderen erledigen. Man spricht dann häufig von entstehenden Silos. Die Mängel bei der Koordination und Kommunikation sorgen für eine Vielzahl an unterschiedlichsten Accounts und Abonnements, die kreuz und quer über das ganze Unternehmen verteilt sind.
Natürlich gibt es aus Sicherheitssicht auch einige Vorteile, wenn mit unterschiedlichen Accounts gearbeitet wird. So lassen sich Anwendungen besser voneinander isolieren und die erteilten Berechtigungen leichter kontrollieren. In Multi-Tenant-Umgebungen, wenn ein Unternehmen als verschiedene Mandanten aktiv ist, trifft man vor allem drei Sicherheitsprobleme immer wieder an. Wir stellen sie im Folgenden vor.
1. Mangel an Transparenz über die vorhandenen Accounts
Die Nutzung unterschiedlicher Accounts und Abonnements führt oft zu Problemen bei der Transparenz sowie bei ihrer Inventarisierung und Verwaltung. Auch das Monitoring wird dadurch erschwert. Die großen PaaS- und IaaS-Provider bieten Funktionen wie Logging und Monitoring-Tools für ihre Umgebungen an. Diese Lösungen sind aber meist auf die damit konfigurierten Accounts beschränkt und bieten auch keine Möglichkeit zu einer zentralisierten sowie konsolidierten Ansicht und Auswertung der anfallenden Daten. In der Folge sind die meisten Sicherheitsteams nicht über alle eingerichteten Benutzerkonten informiert. Das erschwert ihre Arbeit zusätzlich.
Der Schlüssel zur Lösung dieser in vielen Unternehmen anzutreffenden Probleme und zur Verbesserung der Transparenz nennt sich Cloud Governance. Außerdem sollten verstärkte Anstrengungen unternehmen werden, um mit geeigneten Anwendungen nach allen Accounts zu suchen, die im Laufe der Zeit von den mit dem Aufbau der Cloud-Infrastruktur beschäftigten Teams angelegt wurden. Benutzerkonten müssen ebenso wie andere Assets sorgfältig dokumentiert und verwaltet werden. Dazu eignen sich Werkzeuge zum Cloud Security Posture Management (CSPM), da sie das Monitoring und die Kontrolle der genutzten Konfigurationen erleichtern.
2. Zu viele zugewiesene Berechtigungen
Das Verwalten der Berechtigungen in einer Single-Cloud-Umgebung ist oft schon kompliziert und keine leichte Aufgabe. Noch schwieriger ist es in Multi-Tenant-Umgebungen. Alle dort genutzten Assets und Dienste benötigen Berechtigungen, Nutzer und Gruppen, die sorgfältig überwacht werden müssen. Der Einsatz unterschiedlichster Accounts und Abonnements führt dann oft dazu, dass zu viele zugewiesene Berechtigungen existieren. Auch kommt es vor, dass unterschiedliche Administratorkonten mit voneinander abweichenden Berechtigungen angelegt werden oder dass zu Unterschieden bei den zu jedem Benutzerkonto zugewiesenen Assets kommt. Darüber hinaus treten immer wieder Probleme bei miteinander verbundenen Accounts und Abonnements auf.
Erschwerend kommt hinzu, dass gerade Teams in den Bereichen DevOps und Cloud Engineering häufig über sehr umfangreiche Berechtigungen verfügen, um auch komplexe Deployments durchführen zu können. Wenn diese Rechte aber nicht sorgfältig zugewiesen und verwaltet werden, was leider immer wieder zu beobachten ist, entstehen zusätzliche Sicherheitsprobleme.
Services wie AWS Organizations und die Managementgruppen in Azure sind hilfreich, um Richtlinien für Identitäten auch in Multi-Tenant-Umgebungen zu erstellen. Unternehmen sollten ihre Implementierung und Nutzung daher im Rahmen ihrer Multi-Account-Strategie priorisieren.
3. Mangelhaftes Datensicherheitsmanagement
Die Sicherheit ihrer Daten über mehrere Konten und Abonnements hinweg ist für die meisten Unternehmen ein wichtiges Anliegen. Das gilt vor allem dann, wenn vermehrt vertrauliche Daten erstellt und in der Cloud gespeichert werden. Multi-Tenant-Umgebungen sind aufgrund der variierenden Storage-Dienste besonders komplex aufgebaut. Dazu kommt das aufwändige Management der unterschiedlichen Secrets, mit denen die Daten geschützt werden müssen. Auch gibt es teilweise deutliche Unterschiede bei den einzuhaltenden Compliance-Vorgaben.
Viele Unternehmen nutzen bereits die von den Cloud Providern angebotenen Tools und Dienste wie den AWS Key Management Service oder das Azure Key Vault zum Verwalten ihrer Schlüssel. Sie werden auch häufig innerhalb einzelner Instanzen eingesetzt, um zum Beispiel neue Anwendungen zu entwickeln.
Key-Managementdienste zur Verschlüsselung der Daten lassen sich auch in Multi-Tenant-Umgebungen als zentrale Lösungen einsetzen. Sie müssen allerdings besonders sorgfältig konfiguriert und eingerichtet werden. Die Security-Teams können sie dann nutzen, um bisher separate Accounts und Abonnements in die zentral bereitgestellten und verwalteten Lösungen zu integrieren.
Sicherheitsprobleme in Multi-Tenant-Umgebungen lösen
Eine Hürde bei der Absicherung von Multi-Tenant-Umgebungen ist und bleibt ihre hohe Komplexität. Ohne den Fokus auf eine zentrale Verwaltung, Überwachung und Kontrolle der Konfigurationen zu setzen, werden selbst bisher gut aufgestellte Unternehmen über kurz oder lang den Überblick über Abonnements und Assets verlieren.
Daher bietet sich ein Einsatz von Infrastructure-as-Code-Templates sowie zentralisierter Dienste an, die für alle Tenants gelten. So vermeiden Sie ein Chaos in Ihrer Cloud-Umgebung und reduzieren die Schwachstellen, die durch fehlerhafte Konfigurationen entstehen, auf ein Minimum.
