Apache CloudStack: IaaS-Schicht über KVM, vSphere, XenServer und Hyper-V
Apache CloudStack ist eine Open-Source-Cloud-Computing-Plattform Infrastructure as a Service (IaaS).
Auf einen Blick
- Was ist das?
- Apache CloudStack ist eine freie IaaS-Plattform, die große Netze virtueller Maschinen über mehrere Hypervisor-Typen hinweg bereitstellt und verwaltet. Der Text ordnet Funktionsumfang, Bedienwege, Bezugsquellen, die LTS-Linien 4.20 und 4.22 sowie den Kryptografie-Exporthinweis ein.
- Für wen ist es gedacht?
- Geeignet ist CloudStack für Betreiber, die mehrere Hypervisor-Typen unter einer Verwaltung zusammenfassen und Mandanten mit eigener Kontoverwaltung und Ressourcenabrechnung bedienen müssen, also für Dienstanbieter und für private Clouds beachtlicher Größe. Weniger geeignet ist es für ein einzelnes Virtualisierungscluster, dessen Herstellerwerkzeuge den Bedarf bereits decken, und für Teams ohne Kapazität, eine Java-Anwendung samt Datenbank selbst zu betreiben.
- Darf ich es kommerziell nutzen?
- Ja. Apache-2.0 ist eine freizügige Lizenz: Sie dürfen darauf aufbauende Software nutzen, verändern und verkaufen, solange Sie die Urheberrechts- und Lizenzhinweise beibehalten.
- Wird es noch gepflegt?
- Ja. Die letzten Commits kamen vor 2 Tagen.
- In welcher Sprache ist es geschrieben?
- Hauptsächlich Java, laut der Sprachstatistik von GitHub.
Die Antworten beruhen auf den GitHub-Daten des Projekts (zuletzt abgeglichen am 14. September 2026) und auf unserer Analyse. Sie sind keine Rechtsberatung.
TIEFGEHENDE OPEN-SOURCE-ANALYSE
Was CloudStack unter IaaS versteht und welche Hypervisoren es anbindet
CloudStack ist freie Software, um große Netze virtueller Maschinen bereitzustellen und zu verwalten, und zwar als hochverfügbare und gut skalierende IaaS-Plattform. Das Repository apache/cloudstack führt Java als Hauptsprache, steht unter Apache-2.0 und entwickelt auf dem Branch main. Der letzte aufgezeichnete Push stammt vom 21. August 2026.
Zur Einordnung hilft der Blick darauf, wer die Software einsetzt. Das README nennt Dienstanbieter, die darauf öffentliche Cloud-Dienste aufbauen, Unternehmen mit privater Cloud im eigenen Haus sowie hybride Aufstellungen, in denen CloudStack einen Teil bildet. Es handelt sich also ausdrücklich um eine Schicht für Betreiber, nicht um ein Werkzeug für einzelne Entwickler.
Bei den Hypervisoren listet das README die verbreitetsten Vertreter: VMware vSphere, KVM, XenServer, XenProject und Hyper-V, ergänzt um OVM und LXC-Container. Diese Breite ist der eigentliche Grund, eine eigene Verwaltungsschicht einzuziehen. Wer ohnehin nur einen einzigen Hypervisor-Typ betreibt, braucht sie nicht.
Compute-Orchestrierung, Network-as-a-Service und Ressourcenabrechnung
Das README beschreibt CloudStack als schlüsselfertige Lösung und zählt auf, was darin enthalten sein soll: Orchestrierung von Rechenressourcen, Network-as-a-Service, Verwaltung von Nutzern und Konten, eine vollständige und offene native API, Ressourcenabrechnung und eine erstklassige Oberfläche.
Drei dieser Bausteine verdienen besondere Aufmerksamkeit, weil sie über reine Virtualisierung hinausgehen. Network-as-a-Service bedeutet, dass Netze als Angebot über die Plattform verteilt werden und nicht vom Virtualisierungsteam einzeln konfiguriert werden müssen. Die Kontoverwaltung erlaubt die Trennung mehrerer Parteien auf derselben Infrastruktur. Die Ressourcenabrechnung macht Verbrauch messbar.
Genau diese Kombination erklärt, warum CloudStack vor allem bei Dienstanbietern vorkommt. Ein Unternehmen mit einem einzigen Cluster bekommt dort nichts, was es nicht auch einfacher hätte. Ein Anbieter, der Dutzenden Kunden Rechenzeit verkaufen will, findet hier die Mechanismen dafür bereits beisammen.
Die drei Bedienwege: Weboberfläche, Kommandozeile und Query-API
Bedient wird CloudStack nach Angabe des README über drei Wege: eine Weboberfläche, Kommandozeilenwerkzeuge und eine abfragebasierte API. Die API wird als vollständig und offen bezeichnet, was für die Automatisierung der wichtigere Punkt ist: Jede Funktion, die die Oberfläche anbietet, lässt sich grundsätzlich auch skriptgesteuert erreichen.
Die API-Dokumentation liegt unter cloudstack.apache.org/api.html, die Projektdokumentation unter docs.cloudstack.apache.org. Letztere enthält auch die Release-Notizen, die für ein Upgrade die erste Anlaufstelle sein sollten. Ergänzend gibt es ein Entwickler-Wiki und Design-Dokumente, in denen geplante Änderungen vor der Umsetzung festgehalten werden.
Wie weit die API in der Praxis trägt, sagt das Material nicht. Es nennt keine Umfangszahl, keine Versionierung der Schnittstelle und keine Aussage zur Rückwärtskompatibilität zwischen den LTS-Linien; in der Dokumentation nicht angegeben.
Simulator-Demo unter qa.cloudstack.cloud und der Weg zum eigenen Build
Einen niedrigen Einstieg bietet das Projekt mit einer Demo. Unter qa.cloudstack.cloud/simulator/ läuft eine Oberfläche gegen einen Simulator-Hypervisor, zugänglich mit admin:password. Für einen ersten Eindruck von Aufbau und Menüführung ist das brauchbar, weil keine Hardware und kein Hypervisor nötig sind.
Für den ernsthaften Einsatz nennt das README zwei Wege. Entweder wird eine veröffentlichte Version von der Download-Seite bezogen, oder es wird aus dem Quellcode gebaut, wofür die Datei INSTALL.md im Repository die Anleitung enthält. Das README selbst gibt keine Build-Befehle und keine Systemanforderungen an.
Diese Zurückhaltung hat eine unangenehme Seite. Wer die Eignung für die eigene Umgebung prüfen will, findet im README keinen Hinweis auf Mindesthardware, auf unterstützte Betriebssysteme für den Verwaltungsserver oder auf Grenzen der Installation. Diese Angaben stehen in der Dokumentation und in den Release-Notizen, nicht in dieser Datei.
gitbox.apache.org als Hauptrepository, GitHub als schreibgeschützter Spiegel
Das offizielle Git-Repository liegt unter https://gitbox.apache.org/repos/asf/cloudstack.git. Der Auftritt auf GitHub ist ein Spiegel und ausdrücklich schreibgeschützt; er dient dem bequemen Lesen des Codes und der Annahme von Beiträgen über Pull-Requests. Wer einen Klon für die eigene Arbeit anlegt, kann dazu git clone https://github.com/apache/cloudstack verwenden, sollte aber wissen, dass die Hauptentwicklung woanders geführt wird.
Beiträge richten sich nach den Gepflogenheiten der Apache Software Foundation. Das README betont, dass Mitarbeit nicht an Programmierung gebunden ist, und nennt Dokumentation, Übersetzung und Öffentlichkeitsarbeit als Bedarf. Häufig Mitwirkende können über die Datei .asf.yaml im Repository als Collaborator aufgenommen werden, was Rechte zum Melden und Zuweisen von Issues und Pull-Requests gibt; die Kriterien dafür beschreibt das README nicht im Detail.
Als Kommunikationsweg nennt das Material die Mailinglisten als wichtigste und offizielle Kanäle für Projektentscheidungen. Sie decken Entwicklung, Nutzung, Commits, Issues und Marketing ab.
Sicherheitsmeldungen an security@apache.org und die LTS-Linien 4.20 und 4.22
Für Sicherheitsfonds gilt ein eigener Weg. Gefundene Schwachstellen sollen an security@apache.org gemeldet werden, mit Angaben zur Schwachstelle und zur möglichen Ausnutzung; das README verweist für weiteres auf eine Sicherheitsseite des Projekts. Der Umweg über die öffentliche Issue-Liste ist damit nicht vorgesehen.
Der Release-Verlauf zeigt, dass dieser Weg gepflegt wird. Am 21. August 2026 erschienen zwei LTS-Sicherheitsreleases fast gleichzeitig: 4.22.1.1 und 4.20.3.1. Davor liegt 4.22.1.0 vom 26. Mai 2026 als LTS-Veröffentlichung. Dass zwei Linien am selben Tag Sicherheitskorrekturen erhalten, ist ein gutes Zeichen für die Wartung, bedeutet für Betreiber aber auch, dass beide Zweige beobachtet werden müssen.
Welcher Zweig für eine Neuinstallation der richtige ist, beantwortet das Material nicht. Es nennt keine Empfehlung und keine Fristen für das Ende einer Linie; in der Dokumentation nicht angegeben.
Kryptografie-Klasse ECCN 5D002.C.1 und wo CloudStack zu viel ist
Ein Abschnitt, den man bei Infrastruktursoftware nicht erwartet, betrifft Kryptografie. Das README weist darauf hin, dass die Verteilung Verschlüsselungssoftware enthält und der Export je nach Land Beschränkungen unterliegen kann, mit Verweis auf das Wassenaar-Abkommen. Die Software ist vom US-Handelsministerium als ECCN 5D002.C.1 eingestuft, und die Verteilung durch die Apache Software Foundation qualifiziert sich für die Ausnahme ENC Technology Software Unrestricted (TSU). Genannt werden als kryptografische Abhängigkeiten JaSypt, die native Datenbankverschlüsselung von MySQL oder MariaDB, Bouncy Castle, eine optionale VPN-Steuerung auf OpenSwan-Basis und JSch für SSH2. Versionen dieser Bibliotheken nennt das README nicht.
Für Unternehmen mit Exportprüfung ist dieser Abschnitt Pflichtlektüre. Für alle anderen bleibt als Merksatz, dass Verschlüsselung an mehreren Stellen steckt und damit auch mehrere Stellen eine Aktualisierung brauchen.
Zur Einordnung als falsches Werkzeug: Das Material nennt keine alternativen IaaS-Plattformen, ein Vergleich mit anderen Projekten lässt sich daraus also nicht ziehen. Benennbar ist die Alternative innerhalb des eigenen Ökosystems, denn das README erwähnt ausdrücklich kommerzielle Distributionen von CloudStack. Dort liegt der Unterschied im Betrieb und nicht im Funktionsumfang: Dieselbe Plattform, aber mit Ansprechpartner und eigener Release-Politik, gegen die man Wartung einkauft statt sie selbst zu leisten. Wer dagegen nur einen einzigen Hypervisor-Typ betreibt und weder mehrere Mandanten noch Abrechnung braucht, für den bleiben Herstellerwerkzeuge der kürzere Weg.
Redaktionelles Fazit
Geeignet ist CloudStack für Betreiber, die mehrere Hypervisor-Typen unter einer Verwaltung zusammenfassen und Mandanten mit eigener Kontoverwaltung und Ressourcenabrechnung bedienen müssen, also für Dienstanbieter und für private Clouds beachtlicher Größe. Weniger geeignet ist es für ein einzelnes Virtualisierungscluster, dessen Herstellerwerkzeuge den Bedarf bereits decken, und für Teams ohne Kapazität, eine Java-Anwendung samt Datenbank selbst zu betreiben. Vor der Entscheidung sollte der Simulator unter qa.cloudstack.cloud mit der Anmeldung admin:password durchgespielt und danach ein Build nach INSTALL.md auf der eigenen Plattform versucht werden, weil das README selbst keine Systemanforderungen nennt.
Community-Notizen