Sovereign Cloud Stack (SCS): Installations- und Deployment-Leitfaden für Cloud in a Box

OSISM: The Open Source Infrastructure Manager for Sovereign Clouds

A deep dive into OSISM — the platform that orchestrates OpenStack, Ceph, and Kubernetes into a unified, sovereign private cloud. Covers architecture, components, and the full installation routine.

Der Sovereign Cloud Stack (SCS) ist Europas Open-Source-Framework für Cloud-Infrastrukturen – eine standardskonforme Plattform, die digitale Souveränität in die Praxis umsetzt. Dieser Leitfaden erklärt, was SCS ist und wie Sie Ihre eigene Cloud in a Box (CIAB) bereitstellen können – eine Single-Node-OpenStack+Kubernetes-Umgebung, die in etwa zwei Stunden mit nahezu vollständiger Automatisierung installiert wird.

Was ist der Sovereign Cloud Stack?

SCS ist ein Projekt der Open Source Business Alliance (OSB Alliance), gefördert durch das Bundesministerium für Wirtschaft und Klimaschutz (BMWK). Es besitzt den Status eines Gaia-X Leuchtturmprojekts – eine Anerkennung dafür, dass SCS die Gaia-X-Vision einer föderierten, souveränen Dateninfrastruktur vorantreibt – und ist als Kandidat für ein European Digital Infrastructure Consortium (EDIC) anerkannt.

Das Projekt adressiert ein Kernproblem moderner Cloud-Infrastrukturen: die Dominanz nicht-europäischer Cloud-Anbieter und die Lock-in-Risiken, die mit proprietären APIs verbunden sind. SCS löst dies durch die Definition von drei Säulen:

1. Offene Standards – Zertifizierungsprogramme (SCS-OpenStack, SCS-K8s), die die Portabilität von Workloads zwischen beliebigen konformen Anbietern gewährleisten.
2. Modularer Software-Stack – Eine vollständig Open-Source-Integration von OpenStack, Ceph und Kubernetes, verwaltet durch das OSISM-Deployment-Framework.
3. Wissenstransfer – Schulungsprogramme, Community-Betriebshandbücher und ein Zertifizierungs-Ökosystem.

Jeder Anbieter, der eine standardskonforme SCS-Umgebung betreibt, kann interoperable Cloud-Services anbieten. Dies ist das Infrastruktur-Äquivalent zu Container-Images, die auf OCI-Standards basieren – Sie können Workloads zwischen SCS-konformen Anbietern verschieben, ohne plattformspezifische Anpassungen am Code vornehmen zu müssen.

SCS-Architektur

Der SCS-Software-Stack folgt einer Schichtenarchitektur, die von der Bare-Metal-Hardware bis zur benutzerorientierten Zugriffsschicht reicht:

Komponenten-Aufschlüsselung

OSISM — Die Deployment-Engine

OSISM ist das Deployment- und Operations-Framework, das den gesamten Lebenszyklus des SCS-Stacks verwaltet:

• Ansible Playbooks für ein idempotentes Konfigurationsmanagement.
• Containerisierte Control Plane zur Service-Isolierung und für einfache Upgrades.
• Release-Zyklus, der an den OpenStack-Upstream gekoppelt ist (halbjährlicher Rhythmus).

Das R9-Release (September 2025) führte OpenStack Epoxy (2025.1) und Kubernetes 1.33 ein.

Cloud in a Box (CIAB)

Cloud in a Box ist ein Single-Node-OSISM-Deployment, das für Teams entwickelt wurde, die eine vollständige SCS-Umgebung benötigen, ohne die Komplexität eines Multi-Node-Clusters bewältigen zu müssen.

Anwendungsfälle

• Evaluierung und Tests – Validierung der SCS-Kompatibilität vor dem Einsatz in der Produktionsinfrastruktur.
• Edge Computing – Lokale Cloud-Kapazitäten an Remote-Standorten oder Zweigstellen.
• Schulungen und Workshops – Hands-on-Labs für OpenStack und Kubernetes ohne gemeinsam genutzte Ressourcen.
• CI/CD-Pipelines – Isolierte Cloud-Umgebungen für automatisierte Tests auf Infrastrukturebene.

CIAB-Varianten

Die Sandbox-Variante ist der häufigste Startpunkt und steht im Mittelpunkt dieses Leitfadens.

Hardware-Anforderungen

Ein Supermicro-Server mit 128 GB RAM, einer 2 TB NVMe-Festplatte und dualen 1 Gbit NICs ist ein typisches Community-Lab-Setup. Das CIAB-ISO bietet separate Builds für SATA- und NVMe-Boot-Laufwerke – die Auswahl der falschen Variante verhindert, dass der automatisierte Installer Ihre Festplatte erkennt.

Installationsanleitung

Die CIAB-Installation erfolgt in fünf Schritten. Die gesamte Zeit beträgt etwa zwei Stunden, wobei nur etwa fünf Minuten aktive Arbeit erforderlich sind.

Schritt 1: CIAB-ISO herunterladen

Laden Sie das entsprechende ISO aus der OSISM CIAB-Dokumentation herunter:

Jedes ISO (ca. 8–10 GB) enthält ein Ubuntu 24.04 Basissystem, das OSISM-Deployment-Framework und alle erforderlichen Container-Images. Die CIAB-Installationsskripte sind ebenfalls im OSISM CIAB-Repository zur Einsicht oder für benutzerdefinierte Deployments verfügbar.

Schritt 2: Bootfähigen USB-Stick erstellen

Sie benötigen einen USB-Stick mit mindestens 16 GB Kapazität. Schreiben Sie das ISO unter Linux mit dd oder nutzen Sie balenaEtcher/Rufus unter Windows:

lsblk

# ⚠️ This erases ALL data on /dev/sdX
sudo dd if=ciab-sandbox-nvme.iso of=/dev/sdX bs=4M status=progress conv=fsync

Das Flag conv=fsync stellt sicher, dass der Schreibpuffer geleert wird, bevor der Befehl beendet wird, um unvollständige Schreibvorgänge zu vermeiden.

Schritt 3: Booten und Installation des Basissystems

1. Setzen Sie den USB-Stick ein und booten Sie den Zielserver.
2. Konfigurieren Sie die Boot-Reihenfolge auf USB (typischerweise F11, F12 oder Entf während des POST).
3. Der Installer läuft vollautomatisch – Ubuntu 24.04 wird mit Standardpartitionierung installiert.
4. Nach etwa 10 Minuten startet das System neu
5. Entfernen Sie den USB-Stick, sobald das Boot-Menü erscheint, um zu verhindern, dass der Installer erneut gestartet wird

Schritt 4: Automatisiertes OSISM-Deployment

Nach dem ersten Neustart beginnt das System mit dem automatisierten OSISM-Deployment. Dies ist die einzige längere Wartezeit – etwa 90–120 Minuten, abhängig von der Hardware und der Netzwerkgeschwindigkeit.

Voraussetzungen vor Beginn des Deployments:

• Die primäre NIC muss eine IP via DHCP erhalten
• Der Hostname muss via DNS auflösbar sein (Forward und Reverse)
• Internetzugang ist erforderlich, um Container-Images zu laden

Der Deployment-Prozess:

1. OSISM lädt Container-Images für alle OpenStack-Dienste, Ceph und Kubernetes herunter
2. Ansible-Playbooks konfigurieren jeden Dienst mit CIAB-entsprechenden Standardwerten
3. Ein WireGuard-VPN wird für den sicheren administrativen Zugriff eingerichtet
4. Das Horizon-Dashboard und die OpenStack-CLI werden mit Test-Credentials konfiguriert
5. Die clouds.yaml und die Test-Credentials werden in /home/dragon/ geschrieben

Sie können den Fortschritt über die lokale Konsole oder per SSH überwachen:

# Watch real-time deployment logs
journalctl -fu osism-deployment -n 100

# Check OSISM container status
osism container status

# View Ansible playbook output
tail -f /opt/osism/ansible.log

Schritt 5: Zugriff auf Ihre Cloud

Sobald das Deployment abgeschlossen ist, haben Sie zwei Zugriffsmöglichkeiten:

Horizon-Dashboard (Web-UI):

http://ciab.fritz.box:8080

Oder verwenden Sie die IP-Adresse des Servers auf Port 8080. Der Standard-SSH-Benutzer ist dragon mit dem Passwort password – ändern Sie diese sofort bei jedem Deployment, das mit dem Internet verbunden ist.

OpenStack-CLI (via WireGuard-VPN): Das CIAB richtet einen WireGuard-VPN-Endpunkt für den sicheren API-Zugriff ein:

# Install WireGuard on your client
sudo apt install wireguard

# Import the CIAB client configuration
sudo wg-quick up /path/to/ciab-client.conf

# Authenticate (uses CIAB's built-in clouds.yaml)
export OS_CLOUD=test

# Verify the cloud is operational
openstack compute service list
openstack network agent list
openstack image list

Die Umgebungsvariable OS_CLOUD=test wählt den vorkonfigurierten clouds.yaml-Abschnitt des CIAB aus, der auf den lokalen Keystone-Endpunkt mit Administrator-Credentials verweist.

Nach der Installation: Der erste Workload

Wenn die Cloud läuft, deployen Sie Ihre erste virtuelle Maschine:

# Create a network and subnet
openstack network create demo-net
openstack subnet create --network demo-net \
  --subnet-range 10.1.0.0/24 \
  --dns-nameserver 8.8.8.8 demo-subnet

# Create a router and connect to the external network
openstack router create demo-router
openstack router add subnet demo-router demo-subnet
openstack router set --external-gateway public demo-router

# Create a security group allowing SSH
openstack security group create demo-ssh
openstack security group rule create --proto tcp --dst-port 22 demo-ssh

# Boot a test VM
openstack server create \
  --image ubuntu-24.04 \
  --flavor m1.small \
  --network demo-net \
  --security-group demo-ssh \
  --key-name my-key \
  demo-vm

# Assign a floating IP
openstack floating ip create public
openstack server add floating ip demo-vm <IP>

# SSH into the instance
ssh ubuntu@<FLOATING_IP>

Binden Sie persistenten Block-Storage an:

openstack volume create --size 20 demo-volume
openstack server add volume demo-vm demo-volume

# Inside the VM:
# sudo mkfs.ext4 /dev/vdb
# sudo mount /dev/vdb /mnt/data

SCS Release-Zyklus

SCS folgt einem vorhersagbaren halbjährlichen Release-Zyklus:

Dieser Zyklus orientiert sich an den OpenStack-Upstream-Releases (Frühjahr/Herbst), sodass Betreiber Upgrades nach einem festen Zeitplan planen können, ähnlich wie bei Ubuntu LTS.

Wann man CIAB vs. Full Cluster wählen sollte

CIAB ist ein Single-Node-Setup ohne integrierte Redundanz. Für die Produktion sollte das vollständige OSISM-Cluster-Deployment mit mindestens drei Control-Nodes und drei Ceph-Nodes verwendet werden.

Community und Support

SCS verfügt über eine aktive Community, in der Sie Hilfe erhalten können:

• Matrix Chat: #scs:matrix.org — Community-Diskussionen und Echtzeit-Support
• SCS Community Forum: scs.community/discuss
• GitHub Issues: github.com/SovereignCloudStack — Bug-Reports und Feature-Requests
• OSISM Dokumentation: docs.osism.tech — Detaillierte Referenz für Deployment und Betrieb

Kostenschätzung

Ein CIAB-fähiger Server kostet je nach Konfiguration etwa 2.000–5.000 €:

Dies sind einmalige Hardwarekosten. Es fallen keine Lizenzgebühren an – der gesamte SCS-Stack ist Open Source.

CIAB Upgraden

SCS folgt einem halbjährlichen Release-Zyklus. CIAB-Upgrades folgen dem Standard-Upgrade-Pfad von OSISM:

# Update OSISM to the latest release
osism update --release R10

# Run upgrade playbooks
osism apply upgrade

# Verify all services
site-services status

Fazit

Das Cloud in a Box des Sovereign Cloud Stack bietet eine produktionsreife OpenStack- und Kubernetes-Umgebung auf einem einzigen Server, die in weniger als zwei Stunden mit minimalem Aufwand durch den Betreiber bereitgestellt werden kann. Es dient als Einstiegspunkt in die europäische souveräne Cloud-Infrastruktur und als praktisches Werkzeug zur Evaluierung von SCS als Plattform.

Workloads, die auf einem CIAB entwickelt und getestet wurden, laufen ohne Modifikationen bei jedem SCS-konformen Provider – und machen so die souveräne Cloud-Infrastruktur von einem Konzept zu einer einsatzbereiten Realität.

Links:

• SCS Projekt-Homepage
• OSISM CIAB Dokumentation — ISO-Downloads und Release Notes
• OSISM CIAB Repository — Installations-Skripte und Quellcode
• OSISM Projekt
• SCS Community Matrix
• OSB Alliance