KORLA.cloud - Blog

Lean Azure Governance 1 - Intro

2025-02-24T00:00:00+00:00

Viele Unternehmen kämpfen mit ihrer Cloud Governance, weil sie zu starr oder zu aufwendig ist. Dabei ist eine solide Governance ist in der dynamischen Welt von Cloud-Computing das entscheidende Mittel um nicht nur Compliance und Sicherheit zur gewährleisten, sondern ebenfalls Kosten und Komplexität im Griff zu behalten. Ich möchte dir in dieser Blog-Serie meine Ansätze für eine schlanke und zielgerichtete Governance zeigen - welche sich an Risiken orientiert, Adaption und Innovation nicht bremst, sowie die Azure built-in Features verwendet und damit unnötigen “externen” Ballast vermeidet. In diesem ersten Artikel schauen wir uns die grundlegenden Konzepte und Prinzipien an, welche mir als Fundament für eine effiziente und effektive Cloud Governance dienen.</p>

(Azure) Cloud Governance kurz erklärt</h2>
Cloud Governance sind alle Richtlinien, Prozesse und Tools, welche eine kontrollierte und sichere Nutzung der Cloud steuern. Damit werden organisatorische und technische Leitplanken gesetzt um Risiken, wie z.B. Sicherheitslücken, Compliance-Verstöße oder unkontrollierte Kosten, frühzeitig zu erkennen und zu vermeiden - mindestens aber deren Auswirkungen zu minimieren. Governance kann keine Aufgabe sein, welche nur einmal ausgeführt wird. Es ist ein kontinuierlicher Verbesserungsprozess, um eine sinnvolle Überwachung und fortschreitende Optimierung zu gewährleisten.</p>

Was ist mit Lean gemeint?</h2>
Lean, Englisch für schlank, stammt aus der Fertigungsindustrie. Ziel ist es Prozesse zu optimieren, Verschwendung zu minimieren, den Fokus auf das Wesentliche zu legen und somit die Wertschöpfungskette zu maximieren. Mehr zu dem Thema findest du in der Wikipedia oder über die Suchmaschine deiner Wahl - Stichworte “Lean Production” oder “Lean Management”.</p>

Lean & Governance</h2>
Durch den Lean-Ansatz wird es möglich, Governance so zu gestalten, dass sie sowohl robust als auch anpassungsfähig ist – ideal für die dynamischen Herausforderungen moderner Cloud-Umgebungen. Eine Lean Governance hat drei Kernpunkte:</p>

Effizienz Es werden die notwendigsten Kontrollen implementiert - ohne überflüssige Komplexität. Das hilft nicht nur den Überblick zu behalten, sondern gibt den Teams notwendige Unterstützung und gleichzeitig genügend Freiheit für eine erfolgreiche Cloud Adoption. Kurz also: So viel Kontrolle wie nötig, so wenig wie möglich.</p> </li>

Flexibilität Governance ist ein Prozess und dieser passt sich dynamisch neuen Anforderungen und veränderten Risiken an. Es gilt die richtigen Leitplanken zu setzen, um die Organisation trotz hoher Geschwindigkeit sicher auf der Spur zu halten.</p> </li>

Transparenz Die Einbeziehung aller Akteure, sowie klare und nachvollziehbare Prozesse, schaffen Vertrauen, unterstützen die Adaption und sorgen für Akzeptanz. Das erleichtert die Überwachung und die kontinuierliche Verbesserung.</p> </li> </ol>
Die letzte Zutat</h2>
Wie definierst du nun sinnvolle Maßnahmen? Hier hilft ein risikobasierter Ansatz, der sich auf das Wesentliche konzentriert. Klingt einfach, aber in der Praxis oft schwieriger als gedacht.:</p>
Statt alle möglichen Themen pauschal zu betrachten, schaue auf jene Bereiche, welche das größte Potenzial für negative Auswirkungen haben. Identifiziere Risiken, welche gravierende Auswirkungen auf die Organisation haben, z.B. Sicherheitslücken, Compliance-Verstöße oder “Kosten außer Kontrolle”.</p>
Nicht jedes erkannte Risiko erfordert die gleiche Behandlung. Bewerte die Eintrittswahrscheinlichkeit und potenziellen Schäden. Damit kannst du Risiken priorisieren und gezielte Maßnahmen einsetzen, um die Risiken zu behandeln.</p>
Damit es schlank bleibt “erfinde” nichts Eigenes. Bitte keine Risiken-Excel oder ein Governance-Dokument, welches 5 Runden durch die Organisation dreht und am Ende doch nicht der liest, der es lesen sollte. Nutze stattdessen gezielt die Azure-nativen Tools für eine effiziente und effektive Governance</p>

Azure Policy: Automatisierte Richtlinien zur Durchsetzung von Governance-Regeln</li>
RBAC (Role-Based Access Control): Feingranulare Zugriffskontrolle für Ressourcen</li>
Azure Security Center: Sicherheitsüberwachung und Bedrohungsabwehr</li>
Azure Cost Management: Kostenkontrolle und Optimierung von Cloud-Ausgaben</li>
Entra Identity Governance: Verwaltung von Identitäten und Zugriffsrechten</li> </ul>
uvm.</p>
Auf einige Tools werde ich in weiteren Artikeln der Serie eingehen. In jedem Fall helfen dir die Tools, um Risiken kontinuierlich zu überwachen und zu managen.</p>
Fazit für die erste Runde</h2>
Wir haben die Basis für eine Lean Governance gelegt. Die Lean-Prinzipien tragen dazu bei, Prozesse zu vereinfachen und zu optimieren. Der risikobasierte Ansatz stellt sicher, dass die implementierten Maßnahmen zielgerichtet und wirkungsvoll sind – ohne die Komplexität unnötig in die Höhe zu treiben.</p>
Im nächsten Artikel nehmen wir Azure Policy unter die Lupe – das erste Azure-native Tool, dass dich dabei unterstützt, Governance effektiv umzusetzen. Anhand praxisnaher Beispiele zeige ich dir, wie du typische Risiken in der Cloud-Nutzung identifizierst und mit Azure Policy gezielt steuerst.</p>

Maester - Security Test Automation

2024-12-31T00:00:00+00:00

Mit Maester</strong> stellst du sicher, dass deine Microsoft 365 Tenant Konfiguration konform mit deinen Sicherheitsrichtlinien ist. Dafür definierst du deine Sicherheitsrichtlinien als Code (Security as Code - SaC) und nutzt Tests um deine Konfiguration automatisiert zu prüfen.</p>

Einstieg</h2>
Maester</strong> ist ein PowerShell-basiertes Security Test Automation Framework, welches die Automatisierung von Sicherheitstest gegen deinen M365 Tenant ermöglicht. Dazu dient Pester</strong>, ein Test- und Mocking-Framework für PowerShell, als Grundlage um Tests zu erstellen, welche automatisiert ablaufen. Pester gibt eine Benennung der PowerShell-Scripte (**.Tests.ps1) und eine einfache Menge von Funktionen (Describe</em>, Context</em>, It</em>, Should</em>, Mock</em>) vor. Einen guten Einstieg bekommst du im Pester Quick Start</a>. 👌</p>*
Zurück zu Maester! Maester bringt out-of-the-box einer Menge Tests auf Basis etablierter Benchmarks bzw. Security Configuration Baseline (Entra ID SCA, CISA, CIS) mit. Eigener Tenant bedeutet ggf. auch eigene Besonderheiten. Daher ist es ratsam eigene Tests passend zu seiner Tenant-Konfiguration zu schreiben. Auf der Maester-Seite ist das ausführlich dokumentiert. Außerdem findest du dort auch Beispiele für gängige Automatisierungsszenarien über GitHub oder Azure DevOps, sowie Benachrichtigungswege (Alerts) über Microsoft Teams oder der guten, alten E-Mail. ☺️</p>
Eindruck</h2>
Anhand der Dokumentation hatte ich den ersten Lauf von Maester in wenigen Minuten durchgeführt. Der generierte Bericht ist ausführlich und hilfreich. Die Testergebnisse werden auch in JSON abgelegt und somit kann eine Weiterverarbeitung in anderen Systemen erfolgen. Das Erstellen und Integrieren eigener Tests sind für mich alten Entwickler schon fast ein Kinderspiel. Tenant-Admins sind bestimmt ebenfalls fit in PowerShell!? Daher sehe ich für Maester eher geringe Einstiegshürden.</p>
Insgesamt ein toller Ansatz, um Transparenz in seine Tenant-Konfiguration und Änderungen zu bekommen. Aus meiner Sicht ein must-have Tool. 👍</p>
Weiterführende Links</h2>
Maester</a> Pester</a></p>

Azure DNSSEC

2024-12-27T00:00:00+00:00

Schonmal von DNS Spoofing betroffen gewesen? Vielleicht gar nicht mitgekommen! Hier kann DNSSEC helfen. DNSSEC stellt sicher das DNS-Einträge, die sind, welche sie vorgeben zu sein. Wenn du deine Domain in Azure über Azure Public DNS</a> verwaltest, dann kannst du deine DNS-Zone um DNSSEC erweitern (in Preview). 👍</p>
Falls du dich mit DNS noch nicht tiefer auseinandergesetzt hast, dann kannst du dich beispielsweise auf Wikipedia</a> dazu informieren.</p>
Einführung</h2>
DNSSEC steht für Domain Name System Security Extensions</strong> und ist eine Erweiterung für das DNS-Protokoll. Es ist nicht zu verwechseln mit DNS Security</strong>, welche Methoden zur Absicherung der DNS-Infrastruktur vor Cyber-Attacken beschreibt.</p>
Einfach gesagt geht es bei DNSSEC um die Validierung von DNS-Antworten (responses) auf DNS-Anfragen (queries). Dabei werden digitale Signaturen benutzt, welche in der DNS-Zone hinterlegt werden. Jede Zone hat dabei sein eigenes Public-/Private-Key Paar um die Zone und Ressourceneinträge (RR) zu signieren. Damit das durchgehend funktioniert, wird bei der Top-Level-Domain (TLD) begonnen und eine Vertrauenskette (Chain of Trust) hergestellt.</p>
Am Ende muss der direkt genutzte DNS-Server (resolver) - welchem du daher vertrauen musst - DNSSEC voll unterstützen. Nutzt du nicht vertrauenswürdige DNS-Server, zum Beispiel im öffentlichen WLAN, dann hast du verschiedene Möglichkeiten. Wenn möglich konfiguriere die Einstellungen für den genutzten DNS-Server manuell auf einen vertrauenswürdigen Resolver. Falls du keinen vertrauenswürdigen DNS-Server hast, hilft nur einen eigenen entsprechenden Resolver lokal zu installieren. 😕</p>
Im Enterprise-Umfeld hast du hoffentlich vertrauenswürdige DNS-Server, welche DNSSEC unterstützen. Zu Hause kannst du dir beispielsweise mit Pi-hole</a> behelfen.</p>
Voraussetzungen</h2>
Wie schon geschrieben wird eine Validierung bis hoch zur TLD betrieben. Daher ist es wichtig, dass die benutzte TLD (z.B. .de</strong>, .com</strong> oder .cloud</strong>) DNSSEC unterstützt. Über eine Suche in der Suchmaschine deiner Wahl findest du diverse Listen. Keine scheint mir komplett bzw. aktuell zu sein. Im Zweifel direkt auf der Website der entsprechenden TLD informieren. Außerdem muss der Registrar, also die Organisation worüber du dir deine Domain registrierst und verwaltest, die Möglichkeit anbieten sogenannte DS</strong>-Einträge mit den entsprechenden Parametern setzen zu können.</p>
Sind die Vorrausetzungen nicht erfüllt, dann ist DNSSEC nicht nutzbar. Bei dem Punkt Registrar hast du die Möglichkeit deine Domain auf einen anderen Registrar zu transferieren, welcher die entsprechende Unterstützung bietet.</p>
Umsetzung</h2> Ich nutze fast ausschließlich das Azure Portal</strong> im Preview Modus unter https://preview.portal.azure.com/</a>. Daher beziehen sich meine Beschreibungen auf die Ansichten dort. Die Aktivierung von DNSSEC ist in wenigen Schritten erledigt.</p>
Gehe im Azure Portal auf die gewünschte DNS-Zone und wähle im Menü DNSSEC</strong>. Aktiviere die Checkbox und warte einen Moment. Es werden die DNSSEC delegation information</strong> angezeigt. Diese benötigst du, um über deinen Registrar den DS-Eintrag für die TLD zu erstellen. Für meine Domain korla.cloud</strong> benötigte ich Signing algorithm type</strong>, Public key</strong>, Key tag</strong>, Digest type</strong> und Key digest</strong>. Die benötigten Informationen können sich je nach TLD unterscheiden.</p>
Übertrage die benötigten Daten bei deinem Registrar an die entsprechende Stelle. Bei meinem ging es bequem über das Webportal. Der Registrar hat mich beim Speichern darauf hingewiesen, dass die Verfügbarkeit in wenig dauern kann. Am Ende ging es aber recht fix, so dass schon nach kurzer Zeit unter DNSSEC Details der Status auf grün mit der Meldung "Signed and delegation established" zu sehen war. ✅</p>
Ergebnis</h2> Damit ist die Zone der Domain und die Einträge darin entsprechend signiert. Nachprüfen lässt sich das zum Beispiel mit dem Tool DNSViz</a>. Dort gibst du deine Domain ein und kommst auf die Analyseseite der Domain. Möglicherweise kennt DNSViz deine Domain schon, dann musst du die Daten mittels Update now</strong> aktualisieren, um den aktuellen Stand zu sehen. 🙌</p>
Weiterführende Links</h2> Azure Public DNS - DNSSEC</a></p>

Blog Kick-off

2024-12-21T00:00:00+00:00

In der Vergangenheit hatte ich diverse Versuche unternommen eine Website bzw. einen Blog online zu bekommen. Leider hat es sich wieder und wieder verzögert. Es sind halt oft andere Themen hoch „ge-ploppt“, welche eine höhere Priorität hatten – Familie, Job, Umzug.</p>
Jetzt aber ist es endlich so weit: Tadaaaa! Hier ist die Version 0.9999…, also rund v1.0</strong></p>
Die Wunschliste aka Die Anforderungen</h2>
Für meine Wunsch-Website hatte ich schon lange einige Eckpunkte im Kopf. Und mit der jetzigen technologischen Basis, kann ich alle meine Vorstellungen umsetzen. Nachfolgend werde ich dazu etwas tiefer eingehen. Zuerst meine "must-have":</p>

"Happy User"</strong> - mich. Das heißt ich möchte das Design einfach bearbeiten und vor allem Inhalt schnell und effektiv veröffentlichen können.</li>
"Static"</strong> und somit bewusst keine CMS, Blog-Software oder serverseitige Scripte. Kein PHP (oder ähnliches) und keine Datenbank. Einfach pures HTML + CSS + JS. Das erhöht die Sicherheit, die Performance, die Verfügbarkeit (weil beispielsweise ein effektives CDN möglich ist). Es ist wartungsarm, kosteneffizient und der Betrieb etwas "grüner".</li>
"Versioning"</strong> bzw. "Source Code Management"</strong>, damit ich die Inhalte updaten kann und die Änderungen für immer und ewig nachvollziehen kann. Ich möchte an verschiedenen Dingen in verschiedenen Zweigen arbeiten, um sie später wieder zusammenzuführen.</li>
"Responsive"</strong> & "Dark Mode"</strong>. Die Website soll auf allen Geräten gut ausschauen, funktionieren und zugänglich sein. Außerdem möchte ich dem Besucher (und auch mir) die Freiheit lassen ob lieber ein heller oder ein dunkler Modus für die Anzeige benutzt wird.</li> </ul> Die Technik</h2>
Kurz: HUGO</a> + Bootstrap</a> + Git</a> + Azure Static Web Apps</a></p>
HUGO (+ Git)</h3>
Mit HUGO</strong>, einem Generator für statische Websites (SWG), sind die Anforderungen "static" und implizit Git bedient. Ich habe mir auch andere SWGs angeschaut, bin allerdings bei HUGO hängen geblieben: Multi-Plattform nativ, umfangreiche Dokumentation, aktive & freundliche Community, kann mit Modulen erweitert werten und es gibt diverse verfügbare Erweiterungen. Den Content kann mittels Visual Studio Code</a> in Markdown erstellt und das ganze Projekt über ein Sourcecode-Management Tool, also Git</strong>, verwaltet. 👍</p>
Bootstrap</h3> Damit die Website halbwegs ansehnlich wird, benötigt es etwas CSS. Hier hatte ich die Wahl alles selbst zu stylen oder mir ein vorgefertigtes CSS-Framework zu suchen. Meine Wahl fiel auf Bootstrap</strong>. Zum einen hat es diverse built-in Features - z.B. unterstützt es Responsive Web Design</a> - und zum anderen habe ich mit Bootstrap in der Vergangenheit schon Erfahrungen sammeln können. Außerdem unterstützt es recht einfach einen hellen und einen dunklen Modus. 👌</p>
Azure Static Web Apps</h3>
Auf Azure Static Web Apps</strong> werde ich nochmal in einem gesonderten Blog-Post eingehen. So viel sei gesagt: Es ermöglicht cloud-level Hosting der Website inkl. CDN & TLS-Zertifikat und das auch noch auf meinem Lieblings-Hyperscaler Microsoft Azure. In der Basisversion sogar kostenlos. 😅</p>
Das Fazit</h2>
Läuft! Ich kann mit dem gewählten Tool-Stack meine Anforderungen erfüllen. Mit allen Details bin ich noch nicht 100 Prozent zufrieden, aber dafür ist es eine "rund v1.0". Damit bleibt mir auch noch Raum zum Tüfteln und Tunen.</p>

KORLA.cloud - Blog

Lean Azure Governance 1 - Intro

Maester - Security Test Automation

Azure DNSSEC

Blog Kick-off

Das Fazit</h2> Läuft! Ich kann mit dem gewählten Tool-Stack meine Anforderungen erfüllen. Mit allen Details bin ich noch nicht 100 Prozent zufrieden, aber dafür ist es eine "rund v1.0". Damit bleibt mir auch noch Raum zum Tüfteln und Tunen.</p>

Das Fazit</h2>
Läuft! Ich kann mit dem gewählten Tool-Stack meine Anforderungen erfüllen. Mit allen Details bin ich noch nicht 100 Prozent zufrieden, aber dafür ist es eine "rund v1.0". Damit bleibt mir auch noch Raum zum Tüfteln und Tunen.</p>