Cloud Native Landscape Cheatsheet

Cloud Native Landscape CheatsheetAlle Kapitel

Cloud Native Landscape Cheatsheet im Volltext

Edition 2026.11

Cheatsheet im Volltext

Derselbe Inhalt wie im PDF, zum Mitlesen, Durchsuchen und direkten Kopieren. Stand: 10.11.2026 (Edition 2026.11). Zahlen sind ein bewegliches Ziel, vor Zitat an der Quelle gegenprüfen.

CNCF-Grundlagen

Was die CNCF ist

2015 als Subsidiary der Linux Foundation gegründet, Seed-Projekt Kubernetes (von Google gestiftet). Heutige Aufgabe: neutrale Heimat für Cloud-Native-Projekte, mit Governance, Marketing und Events.

TOC (Technical Oversight Committee): definiert Reifegrade, führt Due-Diligence, stimmt über Level-Wechsel ab.

TAGs (Technical Advisory Groups), 2025 neu geschnitten: Developer Experience, Infrastructure, Operational Resilience, Security & Compliance, Workloads Foundation. Die alten TAGs (u. a. Runtime, App Delivery, Observability) sind archiviert. Als TCGs (Technical Community Groups) laufen Artificial Intelligence, Platform Engineering, Environmental Sustainability und Software Supply Chain Security.

KubeCon + CloudNativeCon: Flaggschiff-Konferenz.

Kern-Zahlen (Stand 10.11.2026)

41 Graduated + 38 Incubating + 155 Sandbox = 234 aktive CNCF-gehostete Projekte, dazu 28 Archived (read-only), zusammen 262.

Die Zahlen bewegen sich laufend. Sie stammen nicht aus einer Schätzung, sondern aus landscape.yml und lassen sich mit dem Snippet unten in einer Minute nachzählen.

# Zahlen reproduzierbar zählen statt schätzen:
git clone --depth 1 \
  https://github.com/cncf/landscape
# Pfad statt grep: 'project' steht auch
# in 'extra'-Blöcken fremder Projekte
yq -r '.landscape[].subcategories[]
  .items[]? | select(.project)
  | .project' landscape/landscape.yml \
  | sort | uniq -c

# Kontext dazu:
cncf.io/project-metrics    # Level-Wechsel, Contributors
<slug>.devstats.cncf.io    # Velocity je Projekt
github.com/cncf/toc/tree/main/process # Kriterien
github.com/cncf/toc        # Due-Diligence, Votes

Reifegrade (Maturity Ladder)

Sandbox, Incubating, Graduated, Archived

Sandbox: experimenteller Einstieg per TOC-Abstimmung, keine Due-Diligence. Verlangt Code-of-Conduct, IP-/Governance-Policy und Adoptions-Potenzial; offiziell erst mit unterschriebenem Contribution Agreement.

Incubating: ≥3 unabhängige Adopter (Dev/Test genügt), von der TOC verifiziert (der Antrag benennt 5 bis 7 Adopter für Interviews), Security-Self-Assessment, OpenSSF Best Practices Badge (passing), TOC-Due-Diligence.

Graduated: zusätzlich ≥3 Adopter in Produktion, Maintainer aus ≥2 Orgs plus Org-Balance-Mechanismus in der Governance (seit 08/2026), Third-Party-Security-Review. Incubation und Graduation brauchen je eine TOC-Supermajority (2/3); seit 04/2026 enthält jeder Antrag eine selbst erstellte General Technical Review und eine Governance Review.

Archived: inaktiv, read-only.

Was der Reifegrad nicht sagt

Das Level misst Projekt-Governance und Adoptionsbreite, nicht Feature-Umfang, Qualität oder Eignung für deinen Stack. Sandbox kann längst produktiv laufen (k3s), ein Graduated-Projekt kann für deinen Kontext falsch sein. Level als Risiko-Signal lesen, nicht als Kaufempfehlung.

Graduated-Projekte (41)

Orchestrierung, Runtime, Control-Plane

Kubernetes Orchestrierung (Seed) · etcd KV-Store der Control-Plane · CoreDNS DNS/Service-Discovery · containerd + CRI-O Container-Runtimes (CRI) · KEDA event-getriebenes Autoscaling · Knative Serverless/Eventing (2025) · Crossplane Control-Plane/IaC via CRDs (2025) · KubeEdge Kubernetes für Edge/IoT · Kubeflow ML-/KI-Plattform auf Kubernetes (24.07.2026, erstes graduiertes KI-Projekt) · Karmada Multi-Cluster-Orchestrierung über die native K8s-API (†) · KubeVirt VMs auf Kubernetes (†).

Netzwerk & Service Mesh

Envoy L4/L7-Proxy, Mesh-Datenebene · Cilium eBPF für Networking, Security, Observability (CNI) · Istio Service Mesh (Envoy-basiert) · Linkerd leichtes Mesh (Rust-Proxy).

Observability

Prometheus Metriken & Alerting (PromQL) · OpenTelemetry Telemetrie-Standard für Traces/Metrics/Logs (graduated 2026-05, Velocity #2 nach Kubernetes) · Jaeger Distributed Tracing · Fluentd Log-Collection & -Routing (inkl. Fluent Bit).

Delivery, Packaging & Registry

Argo GitOps-CD, Workflows, Rollouts · Flux GitOps-CD (controller-nativ) · Helm Paketmanager (Charts) · Buildpacks Quellcode zu OCI ohne Dockerfile (†) · Harbor OCI-Registry mit Scan/Signing · Dragonfly P2P-Image-Distribution.

Security & Supply-Chain

OPA Policy-Engine (Rego, Gatekeeper) · Kyverno K8s-native Policy (2026-03) · Falco Runtime-Security/Threat-Detection · cert-manager X.509-Automation · SPIFFE + SPIRE Workload-Identity (SVID) · TUF sicheres Update-Framework · in-toto Supply-Chain-Attestierung.

Daten, Storage & App-Runtime

Vitess horizontal skalierendes MySQL (Sharding) · TiKV transaktionaler KV-Store · Rook Storage-Orchestrator (Ceph auf K8s) · CubeFS verteiltes Cloud-Native-Filesystem · Dapr Distributed-Application-Runtime · CloudEvents Standard für Event-Daten · NATS Messaging & Streaming (†).

† Graduiert: Buildpacks am 17.07.2026, Kubeflow 24.07., Karmada 03.09., NATS 02.11., KubeVirt 04.11. als jüngster Zugang, datiert in landscape.yml (extra.graduated).

Landscape-Taxonomie

G=Graduated, I=Incubating, S=Sandbox; ohne Kürzel = kein CNCF-Projekt (Quelle in Klammern).

Provisioning & Runtime

Automation: KubeEdge (G), OpenTofu (S), Meshery (I), Cluster API (K8s-SIG), Ansible (Red Hat).
Registry: Harbor (G), Dragonfly (G).
Security: OPA (G), Kyverno (G), Falco (G), in-toto (G), TUF (G), Notary Project (I), Kubescape (I), Keycloak (I), Confidential Containers (I), External Secrets Operator (S), Sigstore (OpenSSF), Trivy (Aqua).
Key Mgmt: SPIFFE/SPIRE (G), Vault (HashiCorp).
Storage: Rook (G), CubeFS (G), Longhorn (I), Velero (S, Backup/DR).
Runtime/Network: containerd (G), CRI-O (G), Cilium (G), CNI (I, Spezifikation), gVisor (S, aufgenommen 10/2026, noch nicht in landscape.yml), Kata (OpenInfra), Calico (Tigera).

Orchestration & Management

Scheduling: Kubernetes (G), KEDA (G), Knative (G), Crossplane (G), Kubeflow (G), Karmada (G), Volcano (I), wasmCloud (I), k0s (S).
Coordination: etcd (G), CoreDNS (G).
RPC: gRPC (I).
Proxy/Gateway: Envoy (G), Contour (I), Emissary-Ingress (I), kgateway (S), Gateway API (K8s-SIG).
Service Mesh: Istio (G), Linkerd (G), Kuma (S).

App Definition & Development

Database: Vitess (G), TiKV (G).
Streaming: CloudEvents (G), NATS (G), Strimzi (I).
App-Def & Build: Helm (G), Dapr (G), Buildpacks (G), Backstage (I), KubeVela (I), KubeVirt (G), Operator Framework (I), Score (S), Kustomize (K8s-SIG).
CI/CD: Argo (G), Flux (G), Tekton (I).

Observability, Platform & KI

Observability: Prometheus (G), OpenTelemetry (G), Jaeger (G), Fluentd (G), Thanos (I), Cortex (I).
Chaos/Cost: Chaos Mesh (I), Litmus (I), OpenCost (I).
Feature Flags: OpenFeature (I).
Platform: k3s (S), Flatcar (I).
Wasm: Spin (S), SpinKube (S), container2wasm (S); wasmCloud (I) steht unter Scheduling, WasmEdge (S) unter Runtime.
KI (neu 2025/26): AI Agent, Inference (KServe I, llm-d S), Data, Training, AI Native Infra.

Auswahl-Achsen

Runtime & CNI

Runtime: containerd (Default) · CRI-O (OpenShift-nah) · gVisor/Kata für Sandbox-Isolation.

CNI: Cilium (De-facto-Default, eBPF, Hubble) · Calico (policy-stark) · Flannel (simpel, ohne NetworkPolicy).

Service Mesh, Ingress & Gateway API

Mesh: Istio (Vollausbau, Ambient/sidecarless) · Linkerd (leicht, Rust) · Cilium mesh (wenn CNI schon Cilium ist).

Ingress: Gateway API (K8s-SIG, GA) löst Ingress ab; Ingress-NGINX (kubernetes/ingress-nginx, nicht F5 NGINX Ingress) ist seit März 2026 retired, letztes Release v1.15.1, keine CVE-Fixes mehr. Migration: Ingress2Gateway (SIG Network, stabil seit 1.0 im März 2026, aktuell v1.2) übersetzt 36 Ingress-NGINX-Annotationen und warnt bei sieben weiteren, die es erkennt, aber nicht übersetzt. Impl.: Envoy Gateway, Istio, Cilium, Kong, Contour. GAMMA für Mesh-Ost-West.

GitOps & Packaging

GitOps: Argo CD (UI, Multi-Cluster, App-of-Apps) · Flux (leicht, controller-nativ, SOPS).

Packaging: Helm (Templating) · Kustomize (Overlays, kein Templating) · KubeVela/Score als Higher-Level-Abstraktion.

Observability-Stack

Metriken: Prometheus + OpenTelemetry (Instrumentierung/Collector). Traces: Jaeger. HA/Langzeit: Thanos oder Cortex. UI/Logs: Grafana, Loki, Tempo, Mimir (Grafana Labs, kein CNCF-Level). Prometheus als Kern, der Rest ist austauschbar.

Policy, Security & Secrets

Policy: Kyverno (YAML/CEL, K8s-zentriert, JSON-Modus für Nicht-K8s-Payloads) · OPA-Gatekeeper (Rego, plattformübergreifend). Runtime: Falco · Tetragon (Cilium/eBPF, mit Enforcement). Certs/Identity: cert-manager · SPIFFE/SPIRE. Secrets: External Secrets Operator · Vault (HashiCorp). Scan: Trivy (Aqua), Signing über Sigstore (OpenSSF).

Serverless, Autoscaling & Provisioning

Serverless/Eventing: Knative · KEDA (Event-Autoscaling) · CloudEvents.

Autoscaling: HPA/VPA (Pod) · Cluster-Autoscaler oder Karpenter (Node, just-in-time) · KEDA (event).

Cluster-Provisioning: Cluster API (K8s-SIG, deklarativ) · kubeadm/kOps · Karmada (G) für Multi-Cluster-Verteilung.

Developer-Platforms (IDP) & Registry

IDP: Backstage (Developer-Portal, I) · Crossplane (Control-Plane/IaC, G) · KubeVela/Score als Deployment-Abstraktion.

Registry: Harbor (Enterprise, Scan/Signing) · Dragonfly (P2P-Distribution für große Images).

Häufige Fehlannahmen

Was oft falsch zugeordnet wird

Sigstore ist kein CNCF-Projekt, sondern OpenSSF (ebenfalls Linux Foundation). Häufigster Irrtum.

Cluster API ist ein K8s-SIG-Cluster-Lifecycle-Subprojekt, kein eigenes CNCF-Projekt.

Backstage ist Incubating, nicht Graduated.

Notary Project ist Incubating.

OpenTelemetry ist seit 2026-05 Graduated (früher oft noch als Incubating zitiert).

Karpenter, Trivy, Kueue, LeaderWorkerSet stehen im Landscape, haben aber kein CNCF-Level (Vendor-OSS bzw. K8s-SIG).