1. Kurzbeschreibung
Das ist strategisch der wichtigste der offenen Punkte.
Keycloak ist ein hochkomplexes System. Wenn das Admin-Backend öffentlich erreichbar ist, erhöht sich unser Angriffs-Exposure massiv. Auch wenn wir sauber patchen.
Zero-Day + Internet-Exposition = schlechte Kombination.
Das ist kein theoretischer Purismus, sondern Risikomanagement.
2. Bewertung
- Risiko: Erhöhte Angriffsfläche bei Zero-Days oder Credential-Leaks.
- Angriffsvektor: Öffentlich exponierter Admin-Endpunkt.
- Auswirkung: Vollständige IAM-Kompromittierung.
- Realistische Bedrohung: Strategisch relevant.
3. Lösung
Zugriff nur über VPN, Private Endpoint oder IP-Whitelist erlauben. Optional Client-Zertifikate.
Beste Variante:
- Zugriff nur via VPN oder private Network (Azure Private Endpoint)
Einfachste:
- Ingress raus, nur noch über port-forwarding
Je nach Infrastruktur:
- Mit vorhandenem VPN: 1-2 Tage
- Mit Azure Private Networking: 2-5 Tage
- Mit Client-Zertifikaten: 2-4 Tage
- Mit Port-Forwarding: 0,5 Tage
4. Notizen
Patch-Management weiterhin sicherstellen.