Seminar .NET-Anwendungen – CI/CD und sichere Softwarelieferung

Seminarbeschreibung

Eine funktionierende Buildpipeline genügt nicht, wenn das ausgelieferte Artefakt später nicht eindeutig dem getesteten Stand zugeordnet werden kann. Im Seminar wird eine Pipeline erstellt, die Quellstand, Testbefunde, Image und Freigabe miteinander verbindet. Ein bereits gebautes Artefakt durchläuft die Umgebungen anhand seiner eindeutigen Identität.

Die praktische Umsetzung erfolgt exemplarisch mit einer vorbereiteten GitLab-CI-Umgebung und einer OCI-Registry. Die zugrunde liegenden Schritte bleiben auf andere CI-Systeme übertragbar. Behandelt werden auch Grenzen automatischer Prüfungen: Ein erfolgreicher Schwachstellenscan ist keine Zusicherung vollständiger Sicherheit.

Lernziele

• Wiederholbare Builds mit automatischen Qualitätsprüfungen aufbauen.
• Images, Softwarebestandteile und Prüfbefunde einem Release eindeutig zuordnen.
• Freigaben und Deployment-Zugriffe mit kontrollierter Rücknahme verbinden.

Zielgruppe

DevOps-Engineers, .NET-Entwickler, Build-Verantwortliche und Administratoren für Entwicklungsplattformen.

Voraussetzungen

Git, .NET CLI, automatisierte Tests und grundlegender Containerbau; YAML sowie Grundkenntnisse einer CI-Plattform. Kubernetes-Grundlagen werden nur für den ergänzenden Clusterpfad benötigt.

Seminarinhalte im Überblick

1. Build und Abhängigkeiten
2. Containerlieferung
3. Prüfung der Softwarelieferkette
4. Deployment und Freigabe
5. Fehlerfall und Nachweis

1. Build und Abhängigkeiten

• SDK-Auswahl, Paketquellen, Versionsbindung und Restore-Verhalten kontrollieren.
• Build, Unit- und Integrationstests als getrennte Pipelineaufgaben ausführen.
• Caches von nachweisbaren Release-Artefakten und deren Aufbewahrung unterscheiden.

2. Containerlieferung

• Ein Image mit einem vorab eingerichteten BuildKit-Verfahren ohne Host-Docker-Socket erstellen.
• Tags, Digests und den Übergang zwischen Test- und Zielumgebung nachvollziehen.
• Registry-Zugriffe, kurzlebige Zugangsdaten und Berechtigungen begrenzen.

3. Prüfung der Softwarelieferkette

• Paket- und Image-Schwachstellen prüfen und Befunde nach Relevanz bewerten.
• Eine Software Bill of Materials erzeugen und dem konkreten Artefakt zuordnen.
• Signatur und Prüfung eines Images anhand vorbereiteter Laborschlüssel durchführen.

4. Deployment und Freigabe

• Umgebungskonfiguration und Geheimnisse vom Image trennen.
• Freigabestufen, geschützte Umgebungen und technische Abnahmekriterien festlegen.
• Ein Containerdeployment mit Smoke-Test ausführen und den Clusterpfad demonstrieren.

5. Fehlerfall und Nachweis

• Fehlgeschlagene Tests und kritische Prüfbefunde als Freigabesignal auswerten.
• Ein bereits bekanntes Image erneut ausrollen und Datenbankschemata gesondert bewerten.
• Quellstand, Befunde, Freigabe und Deployment in einem Releaseprotokoll zusammenführen.

Praktische Übungen

1. Eine Pipeline mit Restore, Build und Tests erstellen und einen Testfehler gezielt auslösen.
2. Ein Image in die Laborregistry übertragen und per Digest bereitstellen.
3. SBOM und Scanbefund auswerten sowie eine Image-Signatur prüfen.
4. Eine fehlerhafte Bereitstellung erkennen und den vorherigen freigegebenen Stand ausrollen.

Schulungsumgebung

Arbeitsgrundlage ist .NET 10 LTS mit ASP.NET Core 10 auf einer unterstützten Linux-Version. Verwendet werden zueinander passende stabile Paket- und Werkzeugstände. Die Übungen nutzen ausschließlich abgegrenzte Testdaten und vorbereitete Beispielanwendungen. Vorbereitet sind GitLab CI, ein geeigneter Runner mit BuildKit, eine OCI-Registry, Scan-/SBOM-Werkzeuge und eine Container-Zielumgebung. Der Kunde stellt die vereinbarte Schulungsumgebung bereit; Konten, Berechtigungen, Softwarestände und der erfolgreiche Teststart werden vor Seminarbeginn abgestimmt.

Thematische Einordnung

Ein CI-System wird durchgehend praktisch verwendet. Die vollständige Administration einer GitLab-Installation und die Umsetzung mehrerer konkurrierender Pipelineplattformen sind nicht vorgesehen.

Weitere Fachseminare und die empfohlene Besuchsreihenfolge enthält die Übersicht der Seminarreihe.