Seminar GitLab Secure Supply Chain mit Runner, Registry und Security Scanning

Dieses Seminar verbindet Runner, Container Registry und Security Scanning zu einer sicheren Software-Lieferkette. Behandelt werden Build-Ausführung, Image-Herkunft, Scan-Ergebnisse, Freigaben, Promotion und Governance.

Der Fokus liegt auf technischen Pipeline- und Plattformmustern, mit denen Software reproduzierbar gebaut, geprüft, gespeichert und kontrolliert weitergegeben wird.

Inhaltsübersicht

• Supply-Chain-Sicht auf GitLab CI/CD, Runner und Registry
• Runner-Isolation, Build-Umgebung, Secrets und vertrauenswürdige Ausführung
• Container Image Lifecycle mit Build, Tagging, Registry, Promotion und Cleanup
• Security Scanning für Code, Abhängigkeiten, Secrets und Container Images
• Freigabe- und Blockierungsregeln für riskante Befunde
• Nachvollziehbarkeit, Auditfähigkeit und Betriebsstandards für Plattformteams

Praxisorientierte Beschreibung

Das Seminar betrachtet GitLab aus Sicht der Lieferkette: Quellcode wird geändert, Pipeline-Jobs laufen auf Runnern, Container Images entstehen, werden in der Registry gespeichert und anschließend in Umgebungen ausgerollt. Jeder Übergang braucht technische Kontrolle.

Runner werden als Vertrauensgrenze behandelt. Behandelt werden isolierte Runner-Pools, Schutz für produktionsnahe Builds, Umgang mit Secrets, privilegierte Container und Abhängigkeiten zur Registry. Die gute alte Regel gilt: Build-Systeme sind Produktionsinfrastruktur, auch wenn sie im Keller stehen.

Security Scanning und Governance schließen die Kette. Befunde werden in Merge Requests und Release-Entscheidungen eingebunden, Images werden nach Regeln weitergereicht oder verworfen, und Cleanup verhindert eine unüberschaubare Image-Halde.

Schrittweiser Seminaraufbau

1. Supply-Chain-Fluss von Commit bis Container Image modellieren
2. Runner-Pools nach Vertrauensniveau und Workload trennen
3. Image-Builds mit nachvollziehbarem Tagging und Registry-Push aufbauen
4. Security Scans für Code, Abhängigkeiten und Images integrieren
5. Freigabe- und Blockierungsregeln für Befunde definieren
6. Governance- und Audit-Checkliste für die Lieferkette erstellen

Praktische Übungen

• Pipeline mit getrenntem Build-, Scan- und Publish-Abschnitt erstellen
• Runner-Zugriff und Tags für vertrauenswürdige Builds konfigurieren
• Image in der Registry veröffentlichen und Scan-Ergebnis bewerten
• Release-Tagging und Image-Promotion modellieren
• Supply-Chain-Risiken anhand eines Beispielprojekts dokumentieren

Zielgruppe

Geeignet für Teams, die GitLab als kontrollierte Build- und Lieferplattform einsetzen und technische Security-Anforderungen in Pipelines und Registry-Prozesse integrieren müssen.