Seminar Intensivseminar – Sichere IaC-Pipelines, Tests und Secrets

Das Intensivseminar baut einen überprüfbaren Bereitstellungsprozess für Infrastrukturcode auf. Statische Prüfungen, Modultests und eigene Policies arbeiten mit einem klaren Änderungs- und Freigabeverfahren zusammen. Gleichzeitig werden die benötigten Zugänge sowie die vertraulichen Daten in State, Plan und Jobausgaben betrachtet. Dadurch entsteht ein vollständiger technischer Ablauf mit nachvollziehbaren Kontrollpunkten.

Die fünf Tage bündeln die Kerninhalte der drei Einzelkurse an einem gemeinsamen Projekt. Für jeden Schutzmechanismus wird ein Fehlerfall erprobt: eine unzulässige Änderung, eine fehlende Berechtigung oder ein widerrufener Zugang. Vorbereitete GitLab-, Backend- und OpenBao-Systeme ermöglichen die Konzentration auf den Prozess. Vertiefte Regelsammlungen und umfangreiche Plattformarchitekturen bleiben den Spezialkursen vorbehalten.

Thematische Bündelung

Dieses Intensivseminar fasst die Kerninhalte folgender Einzelseminare zusammen. Die Einzelangebote ermöglichen zusätzliche Übung und Vertiefung:

• Infrastructure as Code – CI/CD mit GitLab (3 Tage)
• Infrastructure as Code – Tests und Policy as Code (3 Tage)
• Secrets Management – Ansible Vault, SOPS und OpenBao (3 Tage)

Inhaltsübersicht

1. GitLab-Pipeline und Zustandsverwaltung
2. Statische Analyse und Modultests
3. Eigene Policies und Planprüfung
4. Secrets in Repository und Laufzeit
5. Freigabe und gestörter Betrieb

Seminarinhalte

GitLab-Pipeline und Zustandsverwaltung

• Validierung, Plan und Anwendung in getrennte Jobs mit festgelegten Werkzeugversionen gliedern.
• Ein geeignetes Backend mit Locking anbinden und konkurrierende Ausführungen begrenzen.
• Pipelinezugriffe, Artefaktaufbewahrung und editionsabhängige Freigaben nachvollziehbar einrichten.

Statische Analyse und Modultests

• Format-, Syntax- und Checkov-Prüfungen in die Pipeline einfügen.
• Einen Modultest mit gültiger und ungültiger Eingabe entwickeln.
• Gemockte Prüfungen und tatsächliche Bereitstellungstests mit gezielter Bereinigung unterscheiden.

Eigene Policies und Planprüfung

• Eine fachliche Anforderung als OPA/Rego-Regel auf einen JSON-Plan anwenden.
• Verstöße, fehlende Werte und unbekannte Planwerte getrennt prüfen.
• Fehlermeldungen und begründete Ausnahmen so gestalten, dass andere Verstöße weiterhin blockieren.

Secrets in Repository und Laufzeit

• Ansible Vault und SOPS mit age für geeignete dateibasierte Geheimnisse verwenden.
• Einen begrenzten Laufzeitzugang zu einem OpenBao-KV-Bereich einrichten.
• Schlüsselwechsel, Tokenwiderruf und Schutz vor Secret-Ausgabe an einem Job prüfen.

Freigabe und gestörter Betrieb

• Den zum Commit gehörenden Plan prüfen und nur über den vorgesehenen Ausführungspfad anwenden.
• Einen veralteten Plan, einen parallelen Lauf und einen abgelaufenen Zugang gezielt behandeln.
• Nach einem Teilfehler den aktuellen Zustand ermitteln und eine neue kontrollierte Ausführung durchführen.

Praxisübungen

1. Ein IaC-Repository an einen vorbereiteten Runner anbinden und den Plan in einem kontrollierten Workflow erzeugen. Zugriff und Aufbewahrung der Artefakte nachvollziehbar einschränken.
2. Eine fehlerhafte Eingabe, eine unzulässige Netzwerkfreigabe und eine unbekannte Planinformation einbauen. Modultest und Policy so gestalten, dass die Fälle mit verständlichen Meldungen behandelt werden.
3. Einen Job mit einem begrenzten OpenBao-Zugang ausführen, den Zugang widerrufen und das Fehlerverhalten prüfen. Danach eine gültige Änderung freigeben und die tatsächliche Funktion kontrollieren.

Technische Übungsumgebung

GitLab mit passendem Runner, ein isoliertes Infrastrukturprojekt, geeignetes Remote-Backend, vorbereitete OpenBao-Testinstanz und getrennte Testzugänge.