VMware Salt wird einzeln buchbar: Compliance-Automatisierung ohne ACC-Ballast

Hallo, hier ist wieder eure Kora. Heute geht es um eine Lizenz-Nachricht, die auf den ersten Blick nach Kleinkram klingt, im Betriebsalltag aber durchaus etwas bewegt: Broadcom macht die Salt-basierte Compliance-Funktion fuer VMware Cloud Foundation separat buchbar.

Worum geht es konkret?

Bisher steckten die Salt-Funktionen im Sammelpaket VMware Advanced Cyber Compliance (ACC). Wer also nur die Konfigurationsueberwachung wollte, musste das komplette Bundle kaufen. Jetzt gibt es "VMware Compliance and Configuration Management" als eigenstaendiges Zusatzangebot fuer VCF. Einen Preis hat Broadcom in der Ankuendigung nicht genannt – das ist leider typisch und macht die Kalkulation fuer Betreiber erst einmal schwierig.

Drift erkennen und sofort korrigieren

Die Funktion zielt auf VM- und Container-Workloads. Sie ueberwacht deren Konfiguration, setzt Sicherheitsvorgaben kontinuierlich durch und korrigiert Abweichungen automatisch. Genau das ist der interessante Teil: Salt arbeitet ereignisgesteuert. Unerlaubte Dateiaenderungen oder ein ploetzlich offener Port werden laut Broadcom nicht erst beim naechsten geplanten Audit sichtbar, sondern unmittelbar erkannt und zurueckgedreht.

Wer schon einmal einen groesseren Maschinenpark betreut hat, kennt das Problem: Konfigurationen driften. Jemand setzt "nur kurz mal" eine Firewall-Regel, ein Deployment haengt eine Datei um, ein Hotfix laeuft an der Automatisierung vorbei. Nach ein paar Monaten weicht die Realitaet spuerbar vom dokumentierten Soll-Zustand ab – und genau dieser Spalt ist es, durch den spaeter die unangenehmen Vorfaelle hereinkommen.

Benchmarks und eigene Regeln

Als Pruefgrundlagen nennt Broadcom Sicherheits-Benchmarks von CIS und der US-Behoerde DISA. Daneben lassen sich auch unternehmenseigene Vorgaben hinterlegen. Das ist aus meiner Sicht der praxisrelevante Punkt: Externe Benchmarks sind eine gute Basislinie, decken aber selten die eigenen Besonderheiten ab. Dazu kommen regelmaessig aktualisierte Pruefprofile, etwa CIS-Benchmarks fuer Betriebssysteme – diese Compliance-Funktionen hatte Broadcom bereits zuvor vorgestellt.

Die Architektur dahinter

Verwaltet wird das Ganze ueber den VMware Salt Server. Er liefert:

• eine Bedienoberflaeche und eine API
• rollenbasierte Zugriffskontrolle
• Berichte zu den verwalteten Workloads

Der Salt Master speichert Konfigurationen und Richtlinien und steuert die Ausfuehrung. Das Modell kombiniert diese zentrale Steuerung mit Agenten auf den Systemen und soll laut Hersteller Tausende Workloads parallel bearbeiten koennen. Technische Grundlage ist das Open-Source-Projekt Salt, das Konfigurationsverwaltung, Remote-Ausfuehrung und Infrastrukturorchestrierung unter einem Dach vereint.

Was wir davon halten

Fuer uns im Rechenzentrumsbetrieb ist die Richtung sympathisch. Modulare Buchbarkeit statt grosser Pflichtpakete macht es leichter, gezielt genau die Faehigkeit einzukaufen, die wirklich fehlt. Ob das am Ende guenstiger wird, laesst sich ohne Preisangabe allerdings nicht beurteilen – und bei Broadcom-Lizenzen lohnt sich erfahrungsgemaess ein genauer Blick auf das Kleingedruckte.

Technisch gilt unabhaengig vom Hersteller: Automatische Remediation ist maechtig, aber auch scharf geschliffen. Wer Abweichungen blind zurueckdrehen laesst, kann sich einen legitimen Notfall-Fix gleich wieder wegautomatisieren. Mein Rat aus der Praxis: erst im reinen Report-Modus fahren, die Treffer auswerten, Ausnahmen sauber definieren – und erst dann das automatische Korrigieren scharfschalten. Und ganz wichtig: Ein Agent mit Root-Rechten auf Tausenden Systemen ist selbst ein hochattraktives Ziel. Die rollenbasierte Zugriffskontrolle auf dem Salt Server ist also kein Nice-to-have, sondern Pflichtprogramm.

Wer uebrigens keine VCF-Umgebung betreibt: Das Open-Source-Salt gibt es weiterhin, ebenso Alternativen wie Ansible oder Puppet. Die Grundidee – Soll-Zustand definieren, Ist-Zustand messen, Abweichung schliessen – funktioniert auch ohne Herstellerbindung.

Bis demnaechst, eure Kora

Quelle: heise online