... | ... | @@ -4,10 +4,16 @@ Der Softwarelieferant MUSS... |
|
|
- bei der Nutzung von CRON-Jobs die unterstützten Mechanismen der Containerplattform zur Ausführung nutzen. [^1] (SYS.1.6.A9 S)
|
|
|
- bei Neuentwicklungen die Software so gestalten, dass jeder Container nur einen Dienst bereitstellt. (SYS.1.6.A11 S)
|
|
|
- für Dienste, die unterschiedlich skalieren oder auf verschiedenen Worker-Nodes betrieben werden sollen, verschiedene Deployments ermöglichen. [^2] (SYS.1.6.A11 S)
|
|
|
- ein Manifest oder eine Definitionsdatei für Service-Accounts seiner Applikation auf Namespace-Ebene bereitstellen. (APP.4.4.A9 S: Nutzung von Kubernetes Service-Accounts)
|
|
|
- die Software so gestalten, dass für Pods verschiedener Anwendungen jeweils eigene Service-Accounts genutzt werden. (APP.4.4.A9 S)
|
|
|
- die Software so entwickeln, dass die Service-Accounts mit den geringst möglichen Berechtigungen (Least-Privilage) betrieben werden können. (APP.4.4.A9 S)
|
|
|
|
|
|
Der Softwarelieferant SOLL...
|
|
|
- die Container so auslegen, dass eine horizontale Skalierung möglich ist. (SYS.1.6.A9 S)
|
|
|
- die Software so gestalten, dass jeder Container nur einen Dienst bereitstellt. [^3] (SYS.1.6.A11 S)
|
|
|
- die Software so gestalten, dass Pods nicht den default-Service-Account benötigen. [^4] (APP.4.4.A9 S)
|
|
|
- _TODO: Machbarkeit noch zu klären:_ die Software so gestalten, dass Credentials des Service-Accounts (Token) nur initial zum Verbindungsaufbau verwendet werden und danach mit temporären Tokens gearbeitet wird. (APP.4.4.A9 S)
|
|
|
|
|
|
|
|
|
Der Softwarelieferant KANN...
|
|
|
- Beispieltext (SYS.1.6.AX)
|
... | ... | @@ -17,3 +23,4 @@ Der Softwarelieferant KANN... |
|
|
[^1]: Beispielsweise müssen CronJobs in Kubernets oder als Implementierung in der Anwendung umgesetzt werden.
|
|
|
[^2]: in Deployment wird nicht unbedingt durch den Softwarelieferanten geliefert.
|
|
|
[^3]: Die Einstufung mit "soll" ist nur aufgrund der Übergangsphase aus der "klassischen" in die Containerwelt vorgenommen worden. Es wird ein "muss" angestrebt.
|
|
|
[^4]: Bei OpenShift sind die Rechte des "default" Service Account bereits maximal eingeschränkt. |