Kubernetes Security

Als Kubernetes-Team üben Sie Risikobewertung und Zugriffsschutz bis zur KCSA-Vorbereitung. Erfahrene Clusteradmins üben nach bestandener CKA Härtung und Vorfallanalyse in der CKS-Vorbereitung; die CKA-Vorbereitung entfällt dann. Vertiefungen ergänzen Konfigurationsregeln, Laufzeiterkennung, Netzschutz und Secrets.

Einstieg in 3 Fragen bestimmenRoute, Dauer & Preise ansehen

DER LERNPFAD IM ÜBERBLICK

Kubernetes Security: Stufen, Umfang und Reihenfolge

Die Route führt in 5 Stufen von „Vorwissen“ bis „Rollenfokus“. Workshops, Trainingstage und Preis beziehen sich auf die Kernroute.

  • 5 Workshops · Kernroute
  • 16 Trainingstage · Kernroute
  • 8.880 € netto · Kernroute

  1. Vorwissen

    Bestehende Erfahrung kann einzelne Stationen ersetzen.

  2. Container-Fundament

    Eine der beiden Container-Grundlagen führt in den gemeinsamen Kubernetes-Einstieg.

  3. Kubernetes-Einstieg

    Praktische Grundlage für spätere Rollenaufgaben und Zertifizierungsziele mit praktischer Prüfung.

  4. Betriebspraxis

    Sie vertiefen Anwendungsbetrieb, Skalierung, Zugriffs- und Netzregeln, Betriebssignale und Konfiguration je Umgebung.

  5. Rollenfokus

    Dieser Lernpfad folgt einem Rollenpfad, den optionale Themen vertiefen.

Ihre Route durch den Lernpfad

EIGENER LERNPFAD

Was Sie bereits mitbringen

Prüfen Sie, welche Lernschritte Sie noch benötigen.

Einstieg mit 3 Fragen finden

TEAMROUTE: OPTIONAL

Ein gemeinsames Schulungsprogramm planen

Rollen → Kompetenzlücken → gemeinsamer Plan

Ergebnis: eine nachvollziehbare Route für das gesamte Team.

Ihre Selbsteinschätzung

Wählen Sie jeweils die Antwort, die Ihre aktuelle Situation am besten beschreibt.

Empfehlung ohne Kontaktdaten oder Anmeldung

Ziel durch diesen Lernpfad festgelegt

Kompetenzen, Reihenfolge, Workshops

Welche Kubernetes-Kompetenzen bauen aufeinander auf?

Die Lernschritte zeigen die empfohlene Reihenfolge dieses Pfads. Je nach Ziel kommen Spezialisierungen, optionale Vertiefungen oder Zertifizierungsziele hinzu. Zu jedem Lernschritt sehen Sie, welche Workshops die Inhalte abdecken.

So lesen Sie den Lernpfad
  • Pflicht oder empfohlen
  • Auswahl
  • Optionale Vertiefung
  • Weiterführender Lernpfad

Vorbereitung

Vorab bei Bedarf; nicht in Workshopzahl, Tagen und Preis eingerechnet.

5 Kompetenzen anzeigen

  • Vorwissen

    Bestehende Erfahrung kann einzelne Stationen ersetzen.

    • VORWISSENOptionalBEI BEDARF
      Linux und Netzwerkzugriff

      Kommandozeile, Prozesse, Dateisystem, Erreichbarkeit, Ports, SSH-Zugriff

      Sie üben Linux-Befehle, Prozesse und Dateirechte, prüfen Netzwerkschnittstellen, Erreichbarkeit und offene Ports und verbinden sich per SSH mit entfernten Rechnern. Der Linux-Workshop ist bei fehlenden Kenntnissen sinnvoll; YAML als Konfigurationsformat führen die Docker- und Podman-Workshops ein.

      Danach können Sie im Linux-Terminal Dateien, Rechte und Prozesse prüfen, Netzwerkprobleme eingrenzen und per SSH auf entfernten Rechnern arbeiten.

      Fehlt Ihnen Linux-Praxis, üben Sie den Umgang mit Shell, Prozessen und Dateisystem für den Einstieg in Kubernetes und die KCSA-Vorbereitung. Für die CKS-Vorbereitung brauchen Sie zusätzlich fortgeschrittene Linux-Kenntnisse und Grundlagen der Netzwerksicherheit.

      4 Lernschritte

      1. Im Dateisystem navigieren

        Mit Shell-Befehlen navigieren Sie durch Verzeichnisse und suchen Dateiinhalte, um sich auf einem Linux-System zurechtzufinden.

      2. Rechte und Prozesse prüfen

        Sie prüfen Dateirechte und laufende Prozesse, um Zugriffsgrenzen zu verstehen und hängende Prozesse gezielt zu beenden.

      3. Netzwerkzugang untersuchen

        Netzwerkschnittstellen, Erreichbarkeit und offene Ports prüfen Sie getrennt, um Verbindungsprobleme einzugrenzen.

      4. Entfernte Rechner per SSH erreichen

        Über SSH verbinden Sie sich mit einem entfernten Rechner, um die Arbeit im Terminal auf ein anderes System zu übertragen.

      • Voraussetzung: Der Kubernetes-Einstieg setzt Linux- und Terminal-Grundlagen voraus; bringen Sie diese bereits mit, benötigen Sie den Linux-Workshop nicht.
    • VORWISSENOptionalBEI BEDARF
      Git und Zusammenarbeit

      Commits, Branches, Merges, Remotes, Reviews

      Sie versionieren Änderungen mit Git und üben die Zusammenarbeit über Branches und Reviews. Wählen Sie die Einführung in Git oder den Workshop mit GitLab als Plattform.

      Danach können Sie Änderungen mit Git versionieren, über Branches und Remotes teilen sowie nach einem Review zusammenführen und Merge-Konflikte lösen.

      Sie üben, Änderungen mit Commits festzuhalten, auf Branches getrennt zu bearbeiten und in Reviews zu prüfen. Diese Vorbereitung mit Git oder GitLab liefert die Branch-Praxis, die Policy-Workshops voraussetzen.

      4 Lernschritte

      1. Änderungen als Commits festhalten

        Sie verfolgen Änderungen vom Arbeitsverzeichnis über die Staging Area bis zum Commit, um gezielt einen Stand zu versionieren.

      2. Arbeit auf Branches aufteilen

        Auf eigenen Branches bearbeiten Sie Änderungen getrennt und vergleichen sie, bevor Sie die Arbeit wieder zusammenführen.

      3. Änderungen über Remotes austauschen

        Mit Remote-Repositories teilen Sie Commits und unterscheiden das Abrufen fremder Änderungen von deren Integration.

      4. Änderungen prüfen und zusammenführen

        Im Review besprechen Sie Änderungen anhand ihrer Unterschiede und lösen Merge-Konflikte, um Beiträge abgestimmt zusammenzuführen.

      1 von 2 wählen

      Wählen Sie den Git-Workshop als Einstieg, bei GitLab im Team den GitLab-Workshop.

      • Voraussetzung: Die Arbeit an GitLab-Pipelines setzt Git-Grundlagen voraus; vorhandene Erfahrung kann den Grundlagenworkshop ersetzen.
      • Voraussetzung: Die Policy-Workshops setzen den Umgang mit Git-Branches voraus; vorhandene Erfahrung genügt.

  • Container-Fundament

    Eine der beiden Container-Grundlagen führt in den gemeinsamen Kubernetes-Einstieg.

    1 von 2 wählen

    Wählen Sie Podman bei Podman im Team oder auf der Zielplattform oder wenn Container ohne Root-Rechte laufen müssen, sonst Docker.

    • CONTAINEROptionalWAHL
      Docker-Grundlagen

      Images, Container, Volumes, Netzwerke

      Sie bauen Container-Images mit Dockerfiles, auch mit getrennten Bauphasen, und starten Container mit dauerhaftem Speicher und Netzwerkverbindungen. Mit Docker Compose betreiben Sie zusammengehörige Anwendungsdienste.

      Danach können Sie eigene Images bauen, Container mit dauerhaftem Speicher vernetzen und zusammengehörige Anwendungsdienste mit Docker Compose betreiben.

      Sie untersuchen den Aufbau von Container-Images aus Schichten und Basis-Images und arbeiten mit Registries als Image-Speichern. Diese Vorbereitung schafft die Grundlage für spätere Schwachstellenscans und das Signieren von Images.

      4 Lernschritte

      1. Images und Container unterscheiden

        Sie starten Container aus Images und untersuchen ihren Zustand, um die Vorlage von der laufenden Anwendung zu unterscheiden.

      2. Eigene Images bauen

        Beim Image-Bau trennen Sie Bauphasen und Laufzeitbestandteile, damit benötigte Bauwerkzeuge nicht im fertigen Image bleiben müssen.

      3. Speicher und Netzwerke anbinden

        Mit Volumes erhalten Sie Daten über Container-Neustarts hinweg und verbinden Container über Netzwerke für den Datenaustausch.

      4. Dienste mit Compose zusammenführen

        In Docker Compose beschreiben Sie Dienste, Speicher und Netzwerke mit YAML und prüfen deren Zusammenspiel in einer Anwendung.

      • Empfohlene Folge: Container-Erfahrung erleichtert den Kubernetes-Einstieg, ist für den Grundlagenworkshop aber keine Voraussetzung.
      • Ersatzroute: Das Bündel verbindet Docker und Kubernetes durchgängig mit gemeinsamer Buchung und Lerngruppe statt getrennten Terminen. Es setzt mehr Vorwissen voraus: Linux-Kommandozeile sowie Grundlagen der Entwicklung oder Systemadministration.
    • CONTAINERAlternativeWAHL
      Podman-Grundlagen

      Rootless Container, Pods, Images

      Sie bauen Container-Images mit Podman und betreiben Container ohne Root-Rechte mit dauerhaftem Speicher und Netzwerkverbindungen. Zusammengehörige Container fassen Sie in Pods zusammen.

      Danach können Sie Podman-Images bauen, Container ohne Root-Rechte mit Netzwerk und dauerhaftem Speicher betreiben und in Pods gruppieren.

      Wählen Sie Podman anstelle des Docker-Einstiegs, wenn Sie Container ohne Root-Rechte betreiben möchten. Diese Vorbereitung legt den Schwerpunkt auf Rootless-Container mit eingeschränkten Rechten.

      4 Lernschritte

      1. Rootless-Betrieb verstehen

        An Podmans Architektur verstehen Sie, wie Container ohne zentralen Daemon unter Ihrem Benutzerkonto laufen.

      2. Images bauen und verwalten

        Sie bauen Images und verwalten sie in Registries, um Anwendungen als wiederverwendbare Grundlage für Container bereitzustellen.

      3. Netzwerk und Speicher anbinden

        Mit Netzwerken und Volumes verbinden Sie Container und erhalten Daten, wobei Sie Dateirechte im Rootless-Betrieb prüfen.

      4. Container in Pods zusammenführen

        In Pods fassen Sie zusammengehörige Container zusammen und prüfen ihre Kommunikation über das gemeinsam genutzte Netzwerk.

      • Empfohlene Folge: Container-Erfahrung erleichtert den Kubernetes-Einstieg, ist für den Grundlagenworkshop aber keine Voraussetzung.

  • Betriebspraxis

    Sie vertiefen Anwendungsbetrieb, Skalierung, Zugriffs- und Netzregeln, Betriebssignale und Konfiguration je Umgebung.

    • BETRIEBSPRAXISOptionalOPTIONAL
      Software mit Helm verwalten

      Charts, Values, Releases, Upgrades, Rollbacks

      Helm bündelt Kubernetes-Ressourcen in wiederverwendbaren Charts und verwaltet deren Installationen als Releases. Sie installieren und entwickeln Charts, passen sie mit Values an unterschiedliche Umgebungen an und üben Tests, Upgrades sowie Rollbacks.

      Danach können Sie Helm Charts erstellen, mit Values anpassen, prüfen und als Releases installieren, aktualisieren und zurückrollen.

      Wählen Sie diese Vorbereitung, wenn Sie Helm-Charts als Installationsvorlagen selbst pflegen: Sie üben auch die Einbindung von Secrets und Sicherheitsvorgaben. Werkzeuge wie Falco werden über Charts installiert; die CKA-Vorbereitung behandelt Helm bereits im Überblick.

      4 Lernschritte

      1. Charts und Releases unterscheiden

        Sie unterscheiden das Chart als Softwarepaket vom installierten Release, um Vorlage und laufende Installation auseinanderzuhalten.

      2. Konfiguration mit Values anpassen

        Mit Values passen Sie ein Chart an die Zielumgebung an und verstehen, welche Einstellungen die erzeugten Ressourcen verändern.

      3. Eigene Charts entwickeln und prüfen

        Beim Erstellen eigener Charts trennen Sie Templates von Values und prüfen mit Tests, ob unterschiedliche Einstellungen korrekt umgesetzt werden.

      4. Upgrades prüfen und zurückrollen

        Vor Upgrades prüfen Sie Änderungen und üben Rollbacks anhand der Release-Historie, um auf fehlerhafte Aktualisierungen zu reagieren.

Kernroute

Jede Nummer steht für einen eingerechneten Workshop, der mehrere Kompetenzen abdecken kann.

  1. Workshop-Schritt 1 von 5:

    Kubernetes-Einstieg

    Praktische Grundlage für spätere Rollenaufgaben und Zertifizierungsziele mit praktischer Prüfung.

    • KUBERNETES-EINSTIEGKernschrittSelbstangabeKERN
      Kubernetes-Einstieg

      Architektur, Pods, Deployments, Deployment-Strategien, Services, Namespaces, CoreDNS, Storage und CSI, ConfigMaps, Secrets, kubectl

      Sie stellen Anwendungen mit Kubernetes bereit, machen sie erreichbar und konfigurieren und untersuchen sie mit kubectl, dem Befehlswerkzeug für Kubernetes. Dazu richten Sie grundlegenden dauerhaften Speicher für Anwendungen ein.

      Danach können Sie Anwendungen in Kubernetes bereitstellen, erreichbar machen, mit Konfiguration und dauerhaftem Speicher versorgen und mit kubectl untersuchen.

      Sie lernen den Umgang mit Pods, Deployments, Services und kubectl als praktische Kubernetes-Grundlage.

      5 Lernschritte

      1. Architektur und Pods verstehen

        Sie verfolgen das Zusammenspiel von Control Plane, Nodes und Pods und untersuchen mit kubectl den Zustand Ihrer ersten Pods.

      2. Anwendungen bereitstellen und aktualisieren

        Mit Deployments stellen Sie Anwendungen bereit und vergleichen Aktualisierungsstrategien, um deren Risiken einzuordnen.

      3. Erreichbarkeit und Namensauflösung

        Services machen Pods erreichbar, während Sie mit Namespaces Ressourcen gliedern und mit CoreDNS die Namensauflösung prüfen.

      4. Konfiguration vom Image trennen

        Über ConfigMaps und Secrets binden Sie Konfiguration und sensible Werte in Pods ein, damit diese getrennt vom Image bleiben.

      5. Dauerhaften Speicher prüfen

        Sie binden Volumes an Pods, ordnen CSI und StorageClasses ein und prüfen, ob Daten einen Pod-Neustart überstehen.

      • Voraussetzung: Kubernetes-Grundlagen sind nötig; Helm lernen Sie von Grund auf, um Clustersoftware und Anwendungen zu installieren, zu konfigurieren, zu aktualisieren und auf frühere Versionen zurückzusetzen.
  2. Workshop-Schritt 2 von 5:

    Betriebspraxis

    Sie vertiefen Anwendungsbetrieb, Skalierung, Zugriffs- und Netzregeln, Betriebssignale und Konfiguration je Umgebung.

    Hier vertiefen Sie Ihr Wissen über Workloads, Skalierung, Netzwerkzugriff und grundlegende Betriebssignale. Der jeweilige Lernpfad legt fest, ob Sie diese Vertiefung als Kern oder optional nutzen.

    • BETRIEBSPRAXISKernschrittSelbstangabeKERN
      Workloads und Skalierung

      StatefulSets, Datenbank-Operatoren, Scheduling, Ressourcenmanagement, HPA, VPA, KEDA

      Sie untersuchen zustandsbehaftete Workloads mit StatefulSets und setzen Datenbank-Operatoren ein. Mit Ressourcenangaben und Scheduling-Vorgaben steuern Sie die Platzierung von Pods. Autoscaling konfigurieren Sie mit HPA, VPA und KEDA.

      Danach können Sie StatefulSets untersuchen, Datenbank-Operatoren einsetzen, die Pod-Platzierung steuern und Autoscaling mit HPA, VPA und KEDA konfigurieren.

      Sie betreiben zustandsbehaftete Anwendungen, steuern die Platzierung von Pods mit Ressourcenangaben und Scheduling-Regeln und konfigurieren Autoscaling. Damit lernen Sie, Anwendungen in gemeinsam genutzten Clustern gezielt zu verteilen; Zugriffs- und Netzwerkregeln ergänzen anschließend deren Absicherung.

      4 Lernschritte

      1. Zustandsbehaftete Workloads verstehen

        An einer Datenbank als StatefulSet untersuchen Sie, warum stabile Pod-Identitäten und dauerhafter Speicher zusammengehören.

      2. Datenbank-Operatoren einsetzen

        Sie richten Datenbank-Operatoren ein und betrachten ihre Vor- und Nachteile, um ihren Beitrag zum Datenbankbetrieb einzuschätzen.

      3. Ressourcen und Platzierung steuern

        Mit Ressourcenanforderungen und Scheduling-Vorgaben steuern Sie, auf welchen Nodes Pods laufen können, und beobachten ihre Platzierung.

      4. Skalierungsansätze unterscheiden

        Sie konfigurieren HPA, VPA und KEDA und unterscheiden dabei Pod-Anzahl, Ressourcenanpassung und Ereignisse als Skalierungsgrundlage.

    • BETRIEBSPRAXISKernschrittSelbstangabeKERN
      Netzwerk, Zugriff und Betrieb

      Ingress und Gateway API im Überblick, Service Mesh im Überblick, Network Policies, RBAC, Monitoring, Logging

      Sie ordnen Ingress, Gateway API und Service Mesh ein und üben RBAC und Network Policies. Mit Prometheus und Grafana richten Sie grundlegendes Monitoring ein, mit Loki das Logging. Gateway-API-Migration und Controller-Portabilität gehören nicht zum praktischen Umfang.

      Danach können Sie Netzwerkansätze einordnen, API-Zugriff und Kommunikation begrenzen sowie grundlegendes Monitoring und Logging für Kubernetes einrichten.

      Hier begrenzen Sie erstmals im Pfad Zugriffsrechte mit RBAC und Netzwerkverkehr mit NetworkPolicies. Sie richten außerdem die Betriebsüberwachung und Protokollierung ein, auf deren Daten spätere Untersuchungen aufbauen.

      4 Lernschritte

      1. Routing und Service Mesh einordnen

        Sie vergleichen die Aufgaben von Ingress, Gateway API und Service Mesh, um deren Einsatzbereiche und Grenzen einzuordnen.

      2. API-Zugriff und Kommunikation begrenzen

        Mit RBAC begrenzen Sie API-Aktionen und mit Network Policies die Kommunikation, um diese Schutzaufgaben getrennt zu bearbeiten.

      3. Metriken erfassen und darstellen

        Sie richten Prometheus und Grafana per Operator ein, um Cluster-Metriken zu sammeln und in Dashboards sichtbar zu machen.

      4. Logs bündeln und Benachrichtigungen setzen

        Mit Loki bündeln Sie Cluster-Logs und ergänzen grundlegende Benachrichtigungen, damit Hinweise auf Betriebsprobleme zusammenkommen.

  3. Workshop-Schritt 3 von 5:

    Rollenfokus

    Dieser Lernpfad folgt einem Rollenpfad, den optionale Themen vertiefen.

    • ROLLENPFADKernschrittROLLENPFAD
      Security

      Cluster und die Lieferkette für Software absichern.

      Hier beginnt der Schwerpunkt auf Sicherheitsebenen, Härtung und Software-Lieferkette.

    • ROLLENKOMPETENZKernschrittSelbstangabeROLLENPFAD
      Security-Grundlagen

      Sicherheit in Cloud, Cluster, Container und Code, Steuerungsebene, Pod-Schutz, Zugriffsrechte, Bedrohungen, Audit-Logs

      Sie üben Schutz und Prüfungsfragen für Kubernetes and Cloud Native Security Associate (KCSA). Überblick: Laufzeiterkennung, Zulassungsregeln, Image-Scans, Lieferketten, Zertifikatsinfrastruktur und Compliance. Nötig: Kubernetes- und Netzwerkgrundlagen, Linux-Kommandozeilenpraxis; kein Ersatz für Clustererfahrung oder Voraussetzungen der praktischen Sicherheitsprüfung (CKS).

      Danach können Sie Schutzmaßnahmen für Cloud-native Systeme einordnen, grundlegende Zugriffs- und Pod-Regeln anwenden und Sicherheitssignale beurteilen.

      In der KCSA-Vorbereitung schreiben und testen Sie Netzwerkregeln (NetworkPolicies), konfigurieren Pod Security Admission zur Durchsetzung von Pod-Sicherheitsstandards und ordnen Bedrohungen Gegenmaßnahmen zu. Diese Sicherheitsbasis ist ein sinnvoller Abschluss für Clusterteams; eine CKA ist nicht erforderlich.

      4 Lernschritte

      1. Schutzschichten und Bedrohungen einordnen

        Sie ordnen Bedrohungen den Schichten Cloud, Cluster, Container und Code zu, um Verantwortlichkeiten und Schutzgrenzen zu verstehen.

      2. Steuerungsebene und Zugriffe schützen

        An API Server, etcd und RBAC untersuchen Sie, wie Anmeldung, Berechtigungen und Verschlüsselung den Clusterzugriff absichern.

      3. Pod- und Netzwerkregeln anwenden

        Sie testen Pod-Schutz und Netzwerkregeln, um unzulässige Container-Einstellungen und unerwünschte Verbindungen zu begrenzen.

      4. Sicherheitssignale beurteilen

        Image-Scans, Laufzeitmeldungen und Audit-Logs helfen Ihnen, Schwachstellen von verdächtigen Aktivitäten und API-Zugriffen zu unterscheiden.

      • DW25 KCSA-PrüfungsvorbereitungSecurity-Grundlagen mit Übungen und KCSA-PrüfungsvorbereitungAufbau3 TageOnline, Unterrichtssprache: DeutschKCSA: Multiple-Choice, 90 Min., Prüfungsanmeldung USD 250 (ein Wiederholungsversuch inklusive), Stand 4. August 2026; separat bei der Linux Foundation buchen und bezahlen, nicht in angezeigten Preisen enthalten.
      7 weitere Beziehungen
      • Empfohlene Folge: Der Security-Rollenpfad ordnet zunächst Sicherheitsebenen und Bedrohungen in Kubernetes ein.
      • Empfohlene Folge: Die Security-Grundlagen ordnen Begriffe vor der vertieften Härtung ein; die KCSA ist keine Voraussetzung für die CKS.
      • Optionale Vertiefung: Sie können Kubernetes-Kontrollen mit Kyverno oder OPA Gatekeeper als getestete Policies umsetzen.
      • Optionale Vertiefung: Sie können Laufzeitereignisse mit Falco untersuchen und Regeln und Alert-Wege testen.
      • Optionale Vertiefung: Für gezielte Netztrennung mit Cilium erweitern Sie grundlegende Netzwerkregeln um identitätsbasierte Zugriffe und belegen erlaubte sowie blockierte Verbindungen mit Hubble.
      • Optionale Vertiefung: Wenn Ihr Team Dienstkommunikation absichern muss, setzen Sie mit Istio gegenseitige Authentisierung, Verschlüsselung und Zugriffsregeln praktisch um und untersuchen Fehler über den Sicherheitsüberblick hinaus.
      • Optionale Vertiefung: Wenn Ihr Team Secrets wie Passwörter zentral speichern, rotieren und ausgeben muss, können Sie eine Einführung in HashiCorp Vault oder OpenBao anfragen.
  4. Workshop-Schritt 4 von 5:
    • ROLLENKOMPETENZKernschrittSelbstangabeROLLENPFAD
      Clusterbetrieb & Troubleshooting

      kubeadm, Container Runtimes, etcd-Backup und Wiederherstellung, CNI, Scheduling, Storage, RBAC, Upgrades, Fehleranalyse

      Certified Kubernetes Administrator (CKA): Die Vorbereitung setzt Systemadministrations- oder DevOps-Praxis voraus. Sie üben Clusteraufbau mit kubeadm, Upgrades, etcd-Sicherung und Wiederherstellung; Sie untersuchen Netzwerk-, Anwendungs-, Speicher- und Zugriffsfehler. Die bestandene CKA ist Voraussetzung für die Prüfung Certified Kubernetes Security Specialist (CKS).

      Danach können Sie Cluster mit kubeadm aufbauen, Upgrades durchführen, etcd sichern und wiederherstellen sowie Betriebsfehler systematisch eingrenzen.

      Die bestandene CKA-Prüfung ist Voraussetzung für CKS; die Vorbereitung verbindet Clusteraufbau, Wiederherstellung und Fehleranalyse mit Wissen über Clustersteuerung (Control Plane), Zustandsspeicher (etcd) und Zertifikate für spätere Härtung. Bei bereits bestandener CKA können Sie diese Vorbereitung überspringen; sie verleiht keine CKA-Zertifizierung.

      5 Lernschritte

      1. Clusterkomponenten zusammenführen

        Beim Clusteraufbau mit kubeadm ordnen Sie Control Plane, Container Runtimes und CNI ihren Aufgaben bei Steuerung, Ausführung und Vernetzung zu.

      2. Platzierung und Speicher steuern

        Mit Scheduling-Regeln und persistentem Speicher üben Sie, wo Pods laufen und wie zustandsbehaftete Anwendungen ihren Speicher erhalten.

      3. Zugriffe mit RBAC begrenzen

        Sie weisen Benutzern und Service Accounts über RBAC passende Rechte zu, um erlaubte API-Aktionen und deren Geltungsbereich festzulegen.

      4. Upgrades und Wiederherstellung üben

        Sie üben geordnete Cluster-Upgrades sowie etcd-Sicherung und Wiederherstellung, um Änderungen und die Rückkehr zu gesichertem Zustand zu verstehen.

      5. Fehler nach betroffener Ebene eingrenzen

        Bei Netzwerk-, Anwendungs-, Speicher- und Zugriffsfehlern trennen Sie Symptome von Ursachen, um gezielte Diagnosehypothesen zu prüfen.

      • DW6 CKA-Prüfungsvorbereitungvertieft und prüfungsnah geübtAufbau4 TageOnline, Unterrichtssprache: DeutschCKA: Performance-Prüfung, 120 Min., Prüfungsanmeldung USD 445 (ein Wiederholungsversuch inklusive), Stand 4. August 2026; separat bei der Linux Foundation buchen und bezahlen, nicht in angezeigten Preisen enthalten.
      • Voraussetzung: Die CKS-Vorbereitung braucht produktive Clusteradministration; planen Sie Zeit für Praxis und CKA-Prüfung ein. Zur CKS-Prüfung verlangt die Linux Foundation eine bestandene CKA, auch bei abgelaufenem Zertifikat; Vorbereitung genügt nicht.
      2 weitere Beziehungen
      • Optionale Vertiefung: Bei Cilium im Team ergänzen Sie allgemeine Netzwerkpraxis um identitätsbasierte Zugriffsregeln, Flussdiagnose mit Hubble und Verschlüsselung zwischen Knoten mit WireGuard.
      • Optionale Vertiefung: Benötigt Ihr Team Steuerung zwischen Anwendungsdiensten, ergänzt Istio die allgemeinen Netzwerkgrundlagen um verschlüsselte, gegenseitig authentisierte Verbindungen, Zugriffsregeln und Verkehrssteuerung.
  5. Workshop-Schritt 5 von 5:
    • ROLLENKOMPETENZKernschrittSelbstangabeROLLENPFAD
      Cluster und Software-Lieferkette sichern

      Härtung nach CIS (Center for Internet Security), Richtlinien, Secrets wie Passwörter, Laufzeit, Software-Lieferkette, Audit-Logs, Forensik

      Für Certified Kubernetes Security Specialist (CKS) üben Sie Härtung nach CIS-Benchmarks: AppArmor, seccomp, Pod Security, etcd-Verschlüsselung und standardmäßig sperrende Netzwerkregeln. Dazu kommen Software-Stücklisten, Image-Signaturen, Zulassungs- und Schwachstellenprüfungen, OpenID-Connect-Anmeldung sowie Laufzeiterkennung mit Falco und Vorfallanalyse anhand von Audit-Logs.

      Danach können Sie Kubernetes-Komponenten härten, Images vor der Zulassung prüfen und Sicherheitsvorfälle mit Laufzeitdaten und Audit-Logs untersuchen.

      Sie härten Clusterkomponenten anhand der CIS-Sicherheitsleitlinien, signieren und prüfen Images, erkennen verdächtige Laufzeitereignisse und rekonstruieren Vorfälle aus Audit-Protokollen. Planen Sie die CKS-Vorbereitung meist später, nach bestandener CKA-Prüfung (abgelaufenes Zertifikat zählt) und der geforderten Erfahrung in der Administration produktiver Cluster.

      5 Lernschritte

      1. Cluster und Zugriffe härten

        Sie prüfen Cluster-Komponenten nach CIS und begrenzen Zugriffsrechte, um Schwachstellen und unnötige Berechtigungen zu erkennen.

      2. Pods, Secrets und Netzwerke schützen

        Sie begrenzen Container-Zugriffe mit Pod Security, AppArmor, seccomp und Netzwerkregeln; etcd-Verschlüsselung schützt gespeicherte Secrets.

      3. Images vor der Zulassung prüfen

        Mit Stücklisten, Signaturen und Schwachstellenscans prüfen Sie Images und setzen Zulassungsregeln für deren Einsatz durch.

      4. Verdächtige Aktivitäten erkennen

        Falco-Regeln erkennen verdächtiges Laufzeitverhalten, während Audit-Logs kritische API-Zugriffe für die Untersuchung festhalten.

      5. Vorfälle eingrenzen und rekonstruieren

        Sie isolieren verdächtige Pods und untersuchen Audit-Logs sowie Forensik-Daten, um Angriffswege und Ursachen nachzuvollziehen.

      • DW7 CKS-Prüfungsvorbereitungvertieft und praktisch geübtFortgeschritten4 TageOnline, Unterrichtssprache: DeutschCKS: Performance-Prüfung, 120 Min., Prüfungsanmeldung USD 445 (ein Wiederholungsversuch inklusive), Stand 4. August 2026; separat bei der Linux Foundation buchen und bezahlen, nicht in angezeigten Preisen enthalten.
      • Voraussetzung: Die geübte Härtung, Absicherung der Image-Auslieferung und Vorfallanalyse bildet die Grundlage für praktische Sicherheitsaufgaben am Kubernetes-Cluster.

Mögliche Ziele

Dieser Pfad baut die fachlichen Grundlagen für diese Ziele auf.

  • ZielCluster SecuritySie üben, Cluster und ihre Komponenten zu härten, die Auslieferungskette von Container-Images abzusichern und verdächtiges Verhalten zur Laufzeit zu erkennen. Vorfälle untersuchen Sie anhand von Laufzeitereignissen und Audit-Logs.

Vertiefung

Optional weiterlernen; nicht in Workshopzahl, Tagen und Preis eingerechnet.

6 Kompetenzen anzeigen

  • Rollenfokus

    Dieser Lernpfad folgt einem Rollenpfad, den optionale Themen vertiefen.

    • ROLLENKOMPETENZOptionalOPTIONAL
      Container-Images automatisiert bauen

      GitLab CI/CD: Bauen, Prüfen und Ausliefern, Pipelines, Runner zur Job-Ausführung, Build-Ergebnisse, Sicherheitsprüfungen, Testumgebungen

      Sie erstellen GitLab-Pipelines, steuern Jobs und bauen und veröffentlichen Container-Images. Dazu ergänzen Sie Scans und Deployment-Schritte und untersuchen Pipelinefehler. Git-Grundlagen werden vorausgesetzt.

      Danach können Sie GitLab-Pipelines zum Bauen, Prüfen und Veröffentlichen von Container-Images erstellen, Testumgebungen einbinden und Job-Fehler eingrenzen.

      Wählen Sie diese Vertiefung nach den Sicherheitsgrundlagen, wenn Ihr Team Images und Quellcode automatisiert prüfen muss. Unabhängig von CKA/CKS üben Sie mit GitLab CI/CD Image-Scans und statische Sicherheitsanalyse (SAST) und erwerben die für Policy-Workshops nötige Praxis mit CI-Jobs.

      4 Lernschritte

      1. Jobs und Runner zuordnen

        Sie gliedern eine GitLab-Pipeline in Jobs und Stages und ordnen Runner zu, damit Ablauf und Ausführungsort nachvollziehbar werden.

      2. Images und Build-Ergebnisse bereitstellen

        Sie bauen Container-Images für die Registry und geben Build-Ergebnisse als Artefakte weiter, damit nachfolgende Jobs sie nutzen können.

      3. Prüfungen und Testumgebungen einbinden

        Mit Scan-Jobs und Deployments in Testumgebungen prüfen Sie Images und Anwendungen innerhalb des Auslieferungsablaufs.

      4. Pipelinefehler eingrenzen

        Syntaxprüfung und Job-Logs helfen Ihnen, Konfigurationsfehler von Runner-, Image-Zugriffs- und Berechtigungsproblemen zu unterscheiden.

      • Empfohlene Folge: Wenn Ihnen CI-Praxis fehlt, können Sie diese vor den Policy-Tests in GitLab aufbauen. Die Policy-Workshops sind nicht auf GitLab beschränkt.
    • VERTIEFUNGSKOMPETENZOptionalWAHL
      Policy as Code

      Admission Control, Validierung, Mutation, Ausnahmen, Policy-Tests, CI

      Sie entwickeln und testen Kubernetes-Policies mit Kyverno oder OPA Gatekeeper und Rego. Dabei untersuchen Sie Validierung, Mutation und den Umgang mit Ausnahmen und integrieren Tests in CI. Git- und CI-Grundlagen werden vorausgesetzt; der Funktionsumfang hängt vom gewählten Werkzeug ab.

      Danach können Sie Kubernetes-Policies mit dem gewählten Werkzeug entwickeln, in CI testen und ihre Durchsetzung mit begrenzten Ausnahmen vorbereiten.

      Wenn Ihr Team Konfigurationsregeln automatisch durchsetzen muss, schreiben, testen und verteilen Sie mit Kyverno oder OPA Gatekeeper Policies samt Ausnahmen über den KCSA-Überblick hinaus. Git-Branch- und CI-Praxis sind erforderlich; nach dem Kyverno-Workshop können Sie KCA-Prüfungsvorbereitung anfragen.

      4 Lernschritte

      1. Admission und Bestandsprüfung einordnen

        Sie unterscheiden die Prüfung neuer API-Anfragen von der Prüfung vorhandener Ressourcen, um die Reichweite einer Policy zu verstehen.

      2. Validierung und Mutation gestalten

        Mit dem gewählten Werkzeug formulieren Sie Validierungsregeln und begrenzte Änderungen, um Vorgaben zu prüfen oder fehlende Werte zu ergänzen.

      3. Regeln testen und in CI prüfen

        Erlaubte, verletzende und ausgenommene Ressourcen werden zu Testfällen in CI, damit unbeabsichtigtes Policy-Verhalten vor dem Einsatz auffällt.

      4. Ausnahmen und Durchsetzung begrenzen

        Eng begrenzte Ausnahmen und ausgewertete Prüfergebnisse helfen Ihnen, den Wechsel vom Beobachten zum Blockieren nachvollziehbar zu gestalten.

      1 von 2 wählen

      Gatekeeper mit Open Policy Agent (OPA) bei bestehendem Einsatz oder bewusster Rego-Wahl, sonst Kyverno für YAML-Regeln; nur Kyverno passt fachlich zur anfragbaren Vorbereitung auf Kyverno Certified Associate.

      • DW30 Einführung in KyvernoKyverno und CEL; zusätzlich Prüfung von Image-Signaturen und AttestierungenEinsteiger3 TageOnline, Unterrichtssprache: Deutsch
      • DW31 Einführung in OPA Gatekeeper und RegoOPA Gatekeeper und Rego; ConstraintTemplates, Constraints und gatorAufbau3 TageOnline, Unterrichtssprache: Deutsch
      • DW45 Kyverno Certified Associate (KCA)Prüfungsvorbereitung auf AnfrageKCA: Multiple-Choice, 90 Min., Prüfungsanmeldung USD 250 (ein Wiederholungsversuch inklusive), Stand 16. September 2026; separat bei der Linux Foundation buchen und bezahlen, nicht in angezeigten Preisen enthalten.Anfragen
    • VERTIEFUNGSKOMPETENZOptionalVERTIEFUNG
      Laufzeitsicherheit

      Falco, Regeln, Ausnahmen, Falcosidekick, Event Drops, Vorfallbearbeitung

      Sie nehmen Falco in Kubernetes in Betrieb, untersuchen Laufzeitereignisse und testen Regeln und Ausnahmen. Über Falcosidekick leiten Sie Warnmeldungen weiter. Außerdem untersuchen Sie verworfene Laufzeitereignisse und Weiterleitungsfehler in einer vorbereiteten Lernumgebung.

      Danach können Sie Falco-Regeln und Ausnahmen testen, Warnmeldungen über Falcosidekick verfolgen und Laufzeitvorfälle sowie Erkennungslücken in einer Lernumgebung untersuchen.

      Wählen Sie Falco, wenn Ihr Team verdächtige Aktivitäten in laufenden Containern erkennen muss. Über die Falco-Module der KCSA- und CKS-Vorbereitung hinaus testen Sie Regeln und Ausnahmen, leiten Alarme weiter und untersuchen Ursachen für Verluste bei der Ereigniserfassung.

      4 Lernschritte

      1. Laufzeitereignisse mit Falco erfassen

        Bei der Inbetriebnahme von Falco verfolgen Sie Ereignisse bis zur Warnmeldung, um Laufzeiterkennung von Prävention zu unterscheiden.

      2. Regeln und Ausnahmen testen

        Mit auslösenden und nicht auslösenden Ereignissen prüfen Sie Regeln und enge Ausnahmen, damit erwartetes Verhalten die Erkennung nicht verdeckt.

      3. Warnmeldungen mit Kontext weiterleiten

        Über Falcosidekick verfolgen Sie Meldungen mit Prozess- und Workload-Kontext bis zum Testziel, damit sie dort eingeordnet werden können.

      4. Erkennungslücken und Vorfälle untersuchen

        Logs, Metriken und Kontrollereignisse helfen, Event Drops und Weiterleitungsfehler einzugrenzen und einen Vorfall begründet zu übergeben.

    • VERTIEFUNGSKOMPETENZOptionalVERTIEFUNG
      Clusternetzwerk mit Cilium

      Cilium, Hubble, L3/L4/L7-Policies, FQDN-Egress, kube-proxy-Ersatz, WireGuard

      Sie konfigurieren Cilium, verfolgen Netzwerkflüsse mit Hubble und begrenzen Zugriffe mit Policies. Außerdem untersuchen Sie den kube-proxy-Ersatz, die Verschlüsselung zwischen Nodes mit WireGuard und Fehler im Datenpfad. eBPF-Programmierung gehört nicht zu den Voraussetzungen.

      Danach können Sie Cilium konfigurieren, Netzwerkzugriffe mit Policies begrenzen und mit Hubble sowie Diagnosedaten Fehler in Servicepfaden und Regeln eingrenzen.

      Wählen Sie Cilium, wenn Ihr Team Netzwerkverkehr gezielt segmentieren und Verbindungen mit Hubble nachverfolgen muss. Netzwerkgrundlagen sind Voraussetzung; der Workshop bereitet nicht auf eine Prüfung vor, eine anschließende CCA-Prüfungsvorbereitung können Sie anfragen.

      5 Lernschritte

      1. Cilium im Datenpfad einordnen

        Sie prüfen Installationsvoraussetzungen und verfolgen Pod- und Servicepfade, um Ciliums Rolle bei Routing und Lastverteilung zu verstehen.

      2. Kommunikation mit Hubble untersuchen

        Hubble-Flows zeigen Quellen, Ziele und verworfene Verbindungen, sodass Sie benötigte Kommunikation vor dem Einschränken erfassen können.

      3. Netzwerkzugriffe gezielt begrenzen

        Regeln für Identitäten, Ports, HTTP und FQDN-Egress prüfen Sie mit erlaubten und verweigerten Zugriffen, um ihre Wirkung zu belegen.

      4. Servicepfade und Verschlüsselung prüfen

        Beim kube-proxy-Ersatz und bei WireGuard prüfen Sie Servicepfade und Verschlüsselungsgrenzen, um die Wirkung der Betriebsoptionen zu verstehen.

      5. Fehler im Datenpfad eingrenzen

        Status, Hubble-Flows und Endpoint-Daten verbinden Sie zu einem Diagnosepfad, der bei Bedarf bis zu eBPF-Programmen und Cilium-Maps führt.

      • DW32 Einführung in CiliumEinsteiger3 TageOnline, Unterrichtssprache: Deutsch
      • DW39 Cilium Certified Associate (CCA)Prüfungsvorbereitung auf AnfrageCCA: Multiple-Choice, 90 Min., Prüfungsanmeldung USD 250 (ein Wiederholungsversuch inklusive), Stand 16. September 2026; separat bei der Linux Foundation buchen und bezahlen, nicht in angezeigten Preisen enthalten.Anfragen
    • VERTIEFUNGSKOMPETENZOptionalVERTIEFUNG
      Service Mesh mit Istio

      Istio, Traffic Management, mTLS, Authorization Policies, JWT, Fehleranalyse

      Sie konfigurieren Istio für die Kommunikation zwischen Services und den Zugriff von außen. Dabei üben Sie mTLS, Zugriffskontrollen und Traffic Management und untersuchen Betriebsfragen eines Service Mesh. Dieser Schwerpunkt ersetzt keine vertiefte Gateway-API-Migration.

      Danach können Sie mit Istio Service-Traffic lenken, Verbindungen und Zugriffe absichern und Ursachen für Kommunikationsfehler untersuchen.

      Wählen Sie Istio, wenn Dienste ihre Identität gegenseitig prüfen und verschlüsselt kommunizieren sollen: Sie konfigurieren dafür mTLS und Zugriffsregeln. Eine anschließende ICA-Prüfungsvorbereitung können Sie anfragen.

      4 Lernschritte

      1. Aufgaben im Mesh einordnen

        Die Rollen von Istiod und Envoy zeigen, wie Istio Konfiguration verteilt und die Kommunikation zwischen Services steuert.

      2. Traffic gezielt lenken

        Mit Routing-Regeln und einem Gateway lenken Sie Anfragen zu Service-Versionen und ermöglichen den Zugriff von außen.

      3. Verbindungen und Zugriffe absichern

        Sie kombinieren mTLS, Authorization Policies und JWT-Prüfung, um Verbindungen zu verschlüsseln und erlaubte Aufrufe festzulegen.

      4. Fehler im Zusammenspiel untersuchen

        Metriken, Traces und Proxy-Konfigurationen helfen Ihnen, verzögerte oder abgelehnte Anfragen im Mesh auf ihre Ursachen zu untersuchen.

      • DW16 Einführung in Istio und Service MeshAufbau3 TageOnline, Unterrichtssprache: Deutsch
      • DW42 Istio Certified Associate (ICA)Prüfungsvorbereitung auf AnfrageICA: Performance-Prüfung / Multiple-Choice, 120 Min., Prüfungsanmeldung USD 250 (ein Wiederholungsversuch inklusive), Stand 16. September 2026; separat bei der Linux Foundation buchen und bezahlen, nicht in angezeigten Preisen enthalten.Anfragen
    • VERTIEFUNGSKOMPETENZOptionalAUF ANFRAGE
      Secrets zentral verwalten

      HashiCorp Vault, OpenBao, Zentrale Speicherung, Regelmäßiger Wechsel, Dynamische Ausgabe

      HashiCorp Vault und OpenBao speichern, rotieren und erzeugen Secrets wie Passwörter zentral; das ergänzt Kubernetes Secrets, die Synchronisierung per External Secrets Operator und Verschlüsselung mit SOPS oder Sealed Secrets. OpenBao ist eine quelloffene Abspaltung von Vault. Einführungen in Vault und OpenBao können Sie anfragen.

      Ein externer Speicher ergänzt Kubernetes Secrets durch zentrale Verwaltung, Rotation und Ausgabe von Zugangsdaten: HashiCorp Vault bei bestehendem Einsatz oder Lizenzierung, OpenBao bei geforderter Open-Source-Lizenz und gemeinschaftlicher Projektleitung. Die Einführungen können Sie anfragen; sie zählen nie zu Tages- oder Preissummen.

      Wählen Sie Vault bei bestehendem Betrieb oder Lizenzierung, OpenBao bei geforderter quelloffener Lizenz oder gemeinschaftlicher Steuerung.

      • DW56 Einführung in HashiCorp VaultWorkshop auf AnfrageAnfragen
      • DW57 Einführung in OpenBaoWorkshop auf AnfrageAnfragen

Welche Workshops umfasst die Beispielroute Kubernetes Security?

Die Beispielroute umfasst DW2, DW3, DW25, DW6 und DW7. Sie deckt folgende Kompetenzen ab: Kubernetes-Einstieg, Workloads und Skalierung, Netzwerk, Zugriff und Betrieb, Security-Grundlagen, Clusterbetrieb & Troubleshooting und Cluster und Software-Lieferkette sichern.

BEISPIELROUTE (ROLLENPFAD: SECURITY)

Kubernetes Security

Als Kubernetes-Team üben Sie Risikobewertung und Zugriffsschutz bis zur KCSA-Vorbereitung. Erfahrene Clusteradmins üben nach bestandener CKA Härtung und Vorfallanalyse in der CKS-Vorbereitung; die CKA-Vorbereitung entfällt dann. Vertiefungen ergänzen Konfigurationsregeln, Laufzeiterkennung, Netzschutz und Secrets.

Routenumfang
5
Trainingstage
16
Listenpreisbasis, netto p. P.
8.880 €
Einstiegsworkshop ansehen für Einführung in Kubernetes (DW2)

Eingerechnet: DW2, DW3, DW25, DW6 und DW7. Zusätzliche Workshops sind nicht eingerechnet.

Workshops dieser Beispielroute

Jeder Workshop zeigt Rolle, abgedeckte Kompetenzen und Planungsdaten.

5 Workshops, fachlich empfohlene Reihenfolge

Vorbereitung

Vorbereitung bei Bedarf

Nicht in Workshopzahl, Tagen und Preis eingerechnet.
  • Git und Zusammenarbeit

    Bei Bedarf: 1 von 2

    Sie üben, Änderungen mit Commits festzuhalten, auf Branches getrennt zu bearbeiten und in Reviews zu prüfen. Diese Vorbereitung mit Git oder GitLab liefert die Branch-Praxis, die Policy-Workshops voraussetzen.

  • Docker-Grundlagen

    Bei Bedarf: 1 von 2

    • DW1 Einführung in Docker

      Sie untersuchen den Aufbau von Container-Images aus Schichten und Basis-Images und arbeiten mit Registries als Image-Speichern. Diese Vorbereitung schafft die Grundlage für spätere Schwachstellenscans und das Signieren von Images.

      2 Tage, 1.110 € netto

      Inhalte & Termine für Einführung in Docker (DW1)
    • DW8 Einführung in Podman

      Wählen Sie Podman anstelle des Docker-Einstiegs, wenn Sie Container ohne Root-Rechte betreiben möchten. Diese Vorbereitung legt den Schwerpunkt auf Rootless-Container mit eingeschränkten Rechten.

      3 Tage, 1.665 € netto

      Inhalte & Termine für Einführung in Podman (DW8)
  • DW9 Einführung in Helm für Kubernetes

    Wählen Sie diese Vorbereitung, wenn Sie Helm-Charts als Installationsvorlagen selbst pflegen: Sie üben auch die Einbindung von Secrets und Sicherheitsvorgaben. Werkzeuge wie Falco werden über Charts installiert; die CKA-Vorbereitung behandelt Helm bereits im Überblick.

    3 Tage, 1.665 € netto

    Inhalte & Termine für Einführung in Helm für Kubernetes (DW9)

Kernroute

  1. STARTPUNKT (KUBERNETES-EINSTIEG)

    DW2 Einführung in Kubernetes

    Sie lernen den Umgang mit Pods, Deployments, Services und kubectl als praktische Kubernetes-Grundlage.

    ABGEDECKTE KOMPETENZEN

    Architektur, Pods, Deployments, Deployment-Strategien, Services, Namespaces, CoreDNS, Storage und CSI, ConfigMaps, Secrets, kubectl

    3 Tage, 1.665 € netto

    Termin auswählen

    Inhalte & Termine für Einführung in Kubernetes (DW2)

  2. BETRIEBSPRAXIS

    DW3 Kubernetes Advanced

    Sie betreiben zustandsbehaftete Anwendungen, steuern die Platzierung von Pods mit Ressourcenangaben und Scheduling-Regeln und konfigurieren Autoscaling. Damit lernen Sie, Anwendungen in gemeinsam genutzten Clustern gezielt zu verteilen; Zugriffs- und Netzwerkregeln ergänzen anschließend deren Absicherung.

    ABGEDECKTE KOMPETENZEN

    StatefulSets, Datenbank-Operatoren, Scheduling, Ressourcenmanagement, HPA, VPA, KEDA, Ingress und Gateway API im Überblick, Service Mesh im Überblick, Network Policies, RBAC, Monitoring, Logging

    2 Tage, 1.110 € netto

    Termin auswählen

    Inhalte & Termine für Kubernetes Advanced (DW3)

  3. ROLLENKOMPETENZ

    DW25 KCSA-Prüfungsvorbereitung

    In der KCSA-Vorbereitung schreiben und testen Sie Netzwerkregeln (NetworkPolicies), konfigurieren Pod Security Admission zur Durchsetzung von Pod-Sicherheitsstandards und ordnen Bedrohungen Gegenmaßnahmen zu. Diese Sicherheitsbasis ist ein sinnvoller Abschluss für Clusterteams; eine CKA ist nicht erforderlich.

    ABGEDECKTE KOMPETENZEN

    Sicherheit in Cloud, Cluster, Container und Code, Steuerungsebene, Pod-Schutz, Zugriffsrechte, Bedrohungen, Audit-Logs

    3 Tage, 1.665 € netto

    Termin auswählen

    Inhalte & Termine für KCSA-Prüfungsvorbereitung (DW25)

  4. ROLLENKOMPETENZ

    DW6 CKA-Prüfungsvorbereitung

    Die bestandene CKA-Prüfung ist Voraussetzung für CKS; die Vorbereitung verbindet Clusteraufbau, Wiederherstellung und Fehleranalyse mit Wissen über Clustersteuerung (Control Plane), Zustandsspeicher (etcd) und Zertifikate für spätere Härtung. Bei bereits bestandener CKA können Sie diese Vorbereitung überspringen; sie verleiht keine CKA-Zertifizierung.

    ABGEDECKTE KOMPETENZEN

    kubeadm, Container Runtimes, etcd-Backup und Wiederherstellung, CNI, Scheduling, Storage, RBAC, Upgrades, Fehleranalyse

    4 Tage, 2.220 € netto

    Termin auswählen

    Inhalte & Termine für CKA-Prüfungsvorbereitung (DW6)

  5. ROLLENKOMPETENZ

    DW7 CKS-Prüfungsvorbereitung

    Sie härten Clusterkomponenten anhand der CIS-Sicherheitsleitlinien, signieren und prüfen Images, erkennen verdächtige Laufzeitereignisse und rekonstruieren Vorfälle aus Audit-Protokollen. Planen Sie die CKS-Vorbereitung meist später, nach bestandener CKA-Prüfung (abgelaufenes Zertifikat zählt) und der geforderten Erfahrung in der Administration produktiver Cluster.

    ABGEDECKTE KOMPETENZEN

    Härtung nach CIS (Center for Internet Security), Richtlinien, Secrets wie Passwörter, Laufzeit, Software-Lieferkette, Audit-Logs, Forensik

    4 Tage, 2.220 € netto

    Termin auswählen

    Inhalte & Termine für CKS-Prüfungsvorbereitung (DW7)

Vertiefung

Optionale Vertiefung

Nicht in Workshopzahl, Tagen und Preis eingerechnet.
  • DW14 Einführung in GitLab CI/CD

    Wählen Sie diese Vertiefung nach den Sicherheitsgrundlagen, wenn Ihr Team Images und Quellcode automatisiert prüfen muss. Unabhängig von CKA/CKS üben Sie mit GitLab CI/CD Image-Scans und statische Sicherheitsanalyse (SAST) und erwerben die für Policy-Workshops nötige Praxis mit CI-Jobs.

    2 Tage, 1.110 € netto

    Inhalte & Termine für Einführung in GitLab CI/CD (DW14)
  • Policy as Code

    Bei Bedarf: 1 von 2

    Wenn Ihr Team Konfigurationsregeln automatisch durchsetzen muss, schreiben, testen und verteilen Sie mit Kyverno oder OPA Gatekeeper Policies samt Ausnahmen über den KCSA-Überblick hinaus. Git-Branch- und CI-Praxis sind erforderlich; nach dem Kyverno-Workshop können Sie KCA-Prüfungsvorbereitung anfragen.

  • DW33 Einführung in Falco

    Wählen Sie Falco, wenn Ihr Team verdächtige Aktivitäten in laufenden Containern erkennen muss. Über die Falco-Module der KCSA- und CKS-Vorbereitung hinaus testen Sie Regeln und Ausnahmen, leiten Alarme weiter und untersuchen Ursachen für Verluste bei der Ereigniserfassung.

    3 Tage, 1.665 € netto

    Inhalte & Termine für Einführung in Falco (DW33)
Weitere 2 Workshops anzeigen
  • DW32 Einführung in Cilium

    Wählen Sie Cilium, wenn Ihr Team Netzwerkverkehr gezielt segmentieren und Verbindungen mit Hubble nachverfolgen muss. Netzwerkgrundlagen sind Voraussetzung; der Workshop bereitet nicht auf eine Prüfung vor, eine anschließende CCA-Prüfungsvorbereitung können Sie anfragen.

    3 Tage, 1.665 € netto

    Inhalte & Termine für Einführung in Cilium (DW32)
  • DW16 Einführung in Istio und Service Mesh

    Wählen Sie Istio, wenn Dienste ihre Identität gegenseitig prüfen und verschlüsselt kommunizieren sollen: Sie konfigurieren dafür mTLS und Zugriffsregeln. Eine anschließende ICA-Prüfungsvorbereitung können Sie anfragen.

    3 Tage, 1.665 € netto

    Inhalte & Termine für Einführung in Istio und Service Mesh (DW16)

Warum ist diese Route so aufgebaut?

Die Route folgt Lernfragen: Jede Station baut auf der vorherigen auf. Hier erfahren Sie, warum die Übergänge sinnvoll sind.

Fachlich empfohlene Reihenfolge; die formale Prüfungsvoraussetzung ist in der Legende gekennzeichnet.

Das Routenprinzip

Jede Station beantwortet eine andere Lernfrage.

  1. Anwendungen bereitstellen

    Wie stellen Sie Anwendungen in Kubernetes bereit, machen sie erreichbar und prüfen ihren Zustand?

  2. Zugriffe begrenzen

    Welche Zugriffe und Netzwerkverbindungen erlauben Sie Ihren Anwendungen, und wie überwachen Sie den Betrieb?

  3. Schutz gezielt einsetzen

    Welche Sicherheitskontrollen wirken welchen Bedrohungen entgegen, und wie prüfen Sie ihre Wirkung?

  4. Von CKA zur CKS-Härtung

    Nach bestandener CKA: Wie härten Sie Cluster und erkennen und untersuchen Vorfälle in der CKS-Vorbereitung?

Die fachliche Logik im Detail

Kurze Begründungen machen die Übergänge nachvollziehbar, ohne die Route erneut abzubilden.

  1. DW3 danach DW25: Empfohlene Reihenfolge

    Warum empfehlen wir Betriebspraxis vor den Sicherheitsgrundlagen?

    Praktische Arbeit mit Zugriffsrechten, Netzwerkregeln und Betriebsüberwachung macht Sicherheitskontrollen nachvollziehbar. Die KCSA-Vorbereitung setzt Kubernetes-Grundlagen, Linux-Kommandozeilenpraxis und Netzwerkgrundlagen voraus. Diese Kenntnisse können Sie auch durch entsprechende Erfahrung mitbringen; die vorherigen Workshops sind keine Teilnahmebedingung.

  2. DW25 danach DW6: Empfohlene Reihenfolge

    Wann ist die Sicherheitsbasis genug, und wann führt der Weg über CKA weiter?

    Die KCSA-Vorbereitung kann den Lernpfad für Ihr Team abschließen. Für das Ziel CKS bereitet die CKA-Station auf Clusterbetrieb und die erforderliche Prüfung vor: Die Linux Foundation verlangt eine bestandene CKA, keine KCSA. Vertiefungen wählen Sie unabhängig davon nach Teamaufgabe und Workshopvoraussetzungen. Die Kernroute umfasst weder Anwendungscodesicherheit noch Berechtigungen beim Cloud-Anbieter oder die Umsetzung eines Compliance-Programms.

  3. DW6 danach DW7: Formale Prüfungsvoraussetzung

    Was müssen Sie zwischen CKA- und CKS-Vorbereitung einplanen?

    Die CKS-Prüfung und der CKS-Workshop setzen eine bestandene CKA voraus; auch ein abgelaufenes Zertifikat zählt, Workshopteilnahme genügt nicht. Der Workshop verlangt zusätzlich die auf seiner Seite geforderte Administrationserfahrung mit produktiven Clustern, fortgeschrittene Linux-Kenntnisse und Netzwerksicherheitsgrundlagen. Der Finder prüft diese zusätzlichen Voraussetzungen nicht. Planen Sie die separat gebuchte CKA-Prüfung und Praxis in produktiven Clustern ein; unmittelbar aufeinanderfolgende Workshops sind für die meisten Teilnehmenden unrealistisch.

Was ist fest, was flexibel?

Der Status zeigt, welche Kernstationen in den Gesamtwerten berücksichtigt sind und wo Vorwissen oder Lernziel Spielraum lassen. Optionale Ergänzungen zählen erst bei Auswahl dazu.

  • In dieser Route berücksichtigt

    Diese Station ist mit einem zugeordneten Workshop in Ihrer Kernroute eingeplant.

  • Gleichwertige Alternative

    Wählen Sie Podman statt der optionalen Docker-Einführung, wenn Container ohne Root-Rechte Ihr Schwerpunkt sind.

  • Optional

    Optionale Workshops liegen außerhalb der Kernroute; veröffentlichte Angebote gehen erst nach Auswahl in Ihren persönlichen Plan ein.

  • Formale Prüfungsvoraussetzung

    Diese Voraussetzung legt die Linux Foundation als Prüfungsanbieter fest; die Prüfung buchen und bezahlen Sie separat direkt dort. Workshopteilnahme erfüllt die Voraussetzung nicht und verleiht weder die CKA- noch die CKS-Zertifizierung.

  • Auf Anfrage

    Workshops und Prüfungsvorbereitung auf Anfrage: keine öffentlichen Termine oder Preise, außerhalb aller Summen; Umfang, Sprache, Format und Preis vereinbaren Sie nach einem Vorgespräch. Eine Anfrage ist weder Buchung noch Prüfungsanmeldung; Prüfungen buchen und bezahlen Sie separat bei der Linux Foundation.

Quellen dieser Route

Agenda · Übungsumgebung · Prüfungsstelle · geprüft am

Methodik und Quellen ansehen

Wie wird aus der Roadmap praktische Erfahrung?

Die Roadmap ordnet Kompetenzziel und Reihenfolge; die Workshopagenda zeigt die Inhalte. In Praxisworkshops wenden Sie das Wissen im browserbasierten Dojo an. Die Teilnahmebescheinigung dokumentiert die Workshopteilnahme, ersetzt aber keinen Prüfungsnachweis; Prüfungen für KCSA, CKA und CKS finden separat bei der Linux Foundation beziehungsweise CNCF statt.

Vom Lernziel zur Anwendung

4 nachvollziehbare Schritte

  1. Kompetenzziel

    Das Lernziel beschreibt eine konkrete Tätigkeit.

  2. Workshopagenda

    Inhalte und Reihenfolge sind nachvollziehbar.

  3. Dojo-Praxis

    In Praxisworkshops wenden Sie das Wissen in Dojo-Übungen an.

  4. Transfer & Einordnung

    Die Teilnahmebescheinigung dokumentiert Teilnahme, keine Zertifizierung.

Was „abgedeckt“ bedeutet und wie wir es belegen

4 Kriterien: direkt belegt

  • Sichtbar

    Inhalte sind nachvollziehbar

    „Abgedeckt“ ist eine redaktionelle Einordnung der sichtbaren Workshopagenda, kein Nachweis geprüfter Kompetenz.

  • Geordnet

    Reihenfolge ist begründet

    Die Agenda ordnet Themen in einer nachvollziehbaren Lernfolge.

  • Angewendet

    Wissen wird praktisch angewendet

    In Praxisworkshops wenden Sie das Wissen in Übungen im browserbasierten Dojo an.

  • Abgegrenzt

    Nachweise bleiben getrennt

    Die Teilnahmebescheinigung und der Prüfungsnachweis bleiben klar voneinander getrennt.

Fachlich geprüft vom Expertenteam der DevNinjas GmbH

Quellen geprüft am

Welcher Kubernetes-Lernpfad passt zu Ihrem Ziel?

Vergleichen Sie die verwandten Pfade nach Kompetenzen und fachlichem Schwerpunkt. Prüfen Sie vor der Buchung die Voraussetzungen des jeweiligen Workshops.

Kubernetes Administrator

Für Administratoren und Betriebsteams mit Linux-Praxis: Sie üben, Kubernetes-Cluster aufzubauen, zu warten und Fehler zu beheben. Der Pfad bereitet auf die Certified Kubernetes Administrator (CKA) Prüfung vor, separat bei der Linux Foundation buchbar. Optionale Vertiefungen richten sich nach Ihrer Teamverantwortung.

  • ROLLENSPEZIFISCHE ALTERNATIVE
  • Kernroute 12 Tage
  • 4 Workshops
  • ROLLENPFAD: OPERATIONS

Passt, wenn Sie dieselbe Basis nutzen, aber einen anderen fachlichen Schwerpunkt setzen möchten.

Kernrouten im Vergleich

In beiden Kernrouten

  • Kubernetes-EinstiegEinstieg
  • Workloads und Skalierung
  • Netzwerk, Zugriff und Betrieb
  • Clusterbetrieb & Troubleshooting

Nur in dieser Kernroute

  • Software mit Helm verwalten
Zum Lernpfad Kubernetes Administrator
Alle Kubernetes-Lernpfade vergleichen

Häufige Fragen zum Kubernetes-Lernpfad

Ein Lernpfad ist eine empfohlene Reihenfolge, keine Buchungspflicht. Welche Workshops sinnvoll sind, hängt von Ihren Container-Grundlagen, Ihrer Zielrolle und vorhandener Praxiserfahrung ab. Die angezeigte Dauer und der Preis beziehen sich auf die Kernroute.

Kann ich die KCSA-Vorbereitung ohne CKA-Zertifizierung besuchen?

Die Vorbereitung zum Kubernetes and Cloud Native Security Associate (KCSA) verlangt weder die Zertifizierung Certified Kubernetes Administrator (CKA) noch Certified Kubernetes Application Developer (CKAD).

Der KCSA-Workshop setzt praktische Kubernetes-Grundkenntnisse, Erfahrung mit der Linux-Kommandozeile und grundlegendes Netzwerkverständnis voraus. Programmierkenntnisse und Erfahrung mit den verwendeten Security-Werkzeugen sind nicht erforderlich. Fehlen Ihnen die Grundlagen, lässt sich ihre Vorbereitung separat buchen; dazu gibt die Lernpfad-Übersicht Auskunft.

Brauche ich Programmierkenntnisse für die CKS-Vorbereitung?

Die Vorbereitung zum Certified Kubernetes Security Specialist (CKS) verlangt keine Programmierkenntnisse und keine Vorerfahrung mit Falco, Trivy oder Cosign. Die Sicherheitswerkzeuge werden im Workshop eingeführt.

Der CKS-Workshop setzt Clusteradministration mit kubectl und kubeadm voraus. Sie sollten Linux-Prozesse, Dateien, Netzwerkpfade sowie TLS und YAML sicher einordnen können.

Kann ich mit abgelaufener CKA den Kubernetes-Security-Lernpfad fortsetzen?

Eine abgelaufene CKA schließt den Kubernetes-Security-Lernpfad nicht aus und zählt auch für die CKS-Prüfung, sofern Sie CKA zuvor bestanden haben.

Für den CKS-Workshop ist keine bestandene CKA nötig. Sie brauchen Administrationspraxis mit kubectl und kubeadm sowie sichere Linux-, TLS- und YAML-Kenntnisse. Die Kubernetes-Zertifizierungsübersicht erläutert die Prüfungszulassung im Detail.

Ersetzen Kyverno oder Gatekeeper eine gezielte CKS-Vorbereitung?

Die Workshops zu Kyverno und OPA Gatekeeper vertiefen Kubernetes-Policy-Arbeit und ersetzen keine gezielte CKS-Prüfungsvorbereitung.

Die Kyverno-Schulung behandelt Policies und deren Tests. Die OPA-Gatekeeper-und-Rego-Schulung konzentriert sich auf Regeln und deren Betrieb. Wählen Sie für Policy-Aufgaben nach Ihrem eingesetzten Werkzeug. Für das Prüfungsziel gibt es die CKS-Vorbereitung.

Vincent Sturm, Key Account Manager

Mit Vincent Ihre Teamroute besprechen

Mit Vincent besprechen Sie Ziele, Rollen, Zeitrahmen, Format und passende Workshopfolgen. Technische Fragen können Sie anschließend bei Bedarf mit unserem Trainerteam vertiefen.
Öffentliche Termine ansehen