Security Configuration Deep Dive

Security in Master 15 besteht aus mehreren Schichten. Jede Schicht beantwortet eine andere Frage.

1. Image Security

• möglichst kleines Runtime-Image
• kein Root-User
• keine Build-Tools im Runtime-Image
• keine Secrets im Image
• reproduzierbarer Build

2. Runtime Security

• runAsNonRoot
• CPU-/Memory-Limits
• Readiness-/Liveness-Probes
• optional read-only root filesystem
• definierte Volumes für schreibende Pfade

3. Secret Management

.env.example zeigt nur Namen und Demo-Werte. Echte Werte kommen aus Kubernetes Secrets, OpenShift Secrets, AWS Secrets Manager oder einem vergleichbaren Secret Store.

4. Network Security

Eine App soll nur das erreichen, was sie wirklich braucht: DB, Storage, Broker und notwendige interne APIs. Alles andere wird im Zielbild gesperrt.

5. RBAC

Service Accounts bekommen nur Rechte, die sie benötigen. Fachliche Rollen werden im Demo-System sichtbar gemacht, aber produktive Berechtigungen müssen mit IAM/SSO integriert werden.

6. Supply Chain

• Dependency-Check
• Lizenzprüfung
• SBOM
• Image Scan
• signierte Images als Produktionsziel

7. Audit

Security-relevante Ereignisse werden protokolliert, aber keine Passwörter, Tokens oder personenbezogene Details in Logs geschrieben.