Seminar Adfinis Open Source DevSecOps und Supply-Chain-Integration Intensivseminar

Dieses Intensivseminar fasst die wesentlichen Einzelthemen zu einer geschlossenen Trainingsstrecke zusammen. Der Fokus liegt auf einer durchgängigen Open-Source-DevSecOps-Kette von Code und Pipeline bis zu Artefakten, Secrets, Kubernetes-Auslieferung, Supply-Chain-Nachweisen und Governance.

Inhaltsübersicht

• DevSecOps-Referenzarchitektur mit Open Source
• GitLab CI/CD, Runner und Security Gates
• Secrets Management und Plattformintegration
• Kubernetes, GitOps und Container Security
• SBOM, SLSA-orientierte Nachweise, Signaturen und Auditierbarkeit

Zielgruppe

Dieses Seminar ist die beste Wahl, wenn nicht einzelne Funktionen, sondern ein vollständiges technisches Betriebs- und Liefermodell aufgebaut werden soll.

Voraussetzungen

Teilnehmende sollten mit Git, Shell, YAML, CI/CD und Container-Konzepten umgehen können. Kubernetes-Grundwissen erleichtert die praktischen Übungen.

Seminarinhalte

1. Schritt 1: Referenzarchitektur festlegen
   DevSecOps-, Plattform- und Supply-Chain-Bausteine werden in einem gemeinsamen Zielbild zusammengeführt.
2. Schritt 2: GitLab-Grundlagen operationalisieren
   Gruppen, Projekte, Runner, Berechtigungen und zentrale Pipeline-Vorlagen werden eingerichtet.
3. Schritt 3: Security-Pipeline bauen
   Code-, Dependency-, Secret- und Container-Prüfungen werden als kontrollierte Stufen umgesetzt.
4. Schritt 4: Secrets integrieren
   Geheimnisse werden aus Code und Pipeline entfernt und über kontrollierte Mechanismen bereitgestellt.
5. Schritt 5: Artefakte absichern
   Build-Artefakte werden versioniert, geprüft, signiert und mit Nachweisen verbunden.
6. Schritt 6: SBOM und Herkunftsnachweise nutzen
   Software-Stücklisten, Build-Metadaten und Provenance-Konzepte werden in den Lieferprozess eingebunden.
7. Schritt 7: Kubernetes-Auslieferung steuern
   Images, Deployments, GitOps-Muster, Rollbacks und Umgebungsfreigaben werden praktisch umgesetzt.
8. Schritt 8: Policies durchsetzen
   Regeln für Code, Builds, Container und Kubernetes werden technisch geprüft und nachvollziehbar dokumentiert.
9. Schritt 9: Governance und Audit verbinden
   Kontrollziele, Nachweise, Ausnahmen und Review-Zyklen werden in ein Audit-fähiges Modell überführt.
10. Schritt 10: End-to-End-Szenario abschließen
    Eine Beispielanwendung durchläuft die gesamte Kette von Änderung bis nachweisbarer Bereitstellung.

Praxisübungen

• Aufbau einer vollständigen Beispiel-Toolchain
• Absicherung einer CI/CD-Pipeline
• Einbindung von Secrets, SBOM und Signaturen
• Kubernetes-nahe Auslieferung mit Kontrollpunkten
• Erstellung einer technischen Nachweismappe

Einordnung im Lernpfad

Das Intensivseminar ersetzt bei begrenzter Zeit mehrere Einzeltrainings und eignet sich besonders für Projektteams, die gemeinsam einen belastbaren Startpunkt schaffen sollen.