Das Intensivseminar führt die sechs technischen Fachseminare an einem gemeinsamen Beispielprojekt zusammen: beide REUSE-Seminare, SPDX-SBOMs, SPDX-Lizenzanalyse, SPDX-3-Migration und den Integrationsworkshop zur Release-Compliance. Die gemeinsame Umgebung vermeidet wiederholte Einrichtung und erlaubt, Arbeitsergebnisse unmittelbar im nächsten Schritt weiterzuverwenden.
Ausgangspunkt ist ein Repository mit vorgegebenen Rechteinformationen und kontrollierten Fehlern. Daraus entstehen geprüfte Kennzeichnungen, eine Produkt-SBOM und eine dokumentierte Releaseentscheidung. Ein begrenzter Migrationsfall erschließt das SPDX-3.0.1-Modell. Anschließend werden automatische Kontrollen und manuelle Entscheidungspunkte zu einer Pipeline verbunden. Die hohe Praxisdichte setzt die genannten technischen Vorkenntnisse voraus. Das ergänzende Governance-Intensivseminar behandelt den organisationsweiten Aufbau und die Auditierung der Prozesse.
Lernziele
- Dateibezogene Lizenzinformationen und produktbezogene Bestandsdaten konsistent bearbeiten.
- SPDX-2.3-Daten prüfen und einen begrenzten SPDX-3.0.1-Datensatz modellieren.
- Automatische Prüfungen mit nachvollziehbaren menschlichen Entscheidungen verbinden.
- Eine vollständige Prüfstrecke an zwei Releases und absichtlichen Fehlern erproben.
Zielgruppe
Entwicklung, DevOps, Plattform-Engineering, Release-Engineering sowie technische Mitarbeitende aus Compliance und Produktsicherheit.
Voraussetzungen
Sicherer Umgang mit Git, Kommandozeile, JSON, YAML und Paketverwaltung; CI-Grundkenntnisse und Basiswissen zu Open-Source-Lizenzen. Vorkenntnisse in REUSE und SPDX sind hilfreich, jedoch nicht zwingend.
Seminarinhalte
1. Prüfumfang und REUSE-Einstieg
- Produktbestand, Repositorygrenze und benötigte Rechteinformationen bestimmen.
- Quellcode und nicht kommentierbare Dateien mit passenden Kennzeichnungen bearbeiten.
- Eine erste vollständige REUSE-Prüfung ausführen und die Befunde kontrollieren.
2. Regeln und Altbestände
- REUSE.toml für abgegrenzte Dateigruppen und vorhandene Fremdangaben einsetzen.
- Überlappende Regeln und eine kleine DEP5-Migration an Gegenbeispielen prüfen.
- Die Änderungen im Versionsvergleich auf vollständige und unverfälschte Angaben kontrollieren.
3. SBOM-Erstellung und Artefaktbezug
- Eine SPDX-2.3-SBOM für Projekt und vorbereitetes Lieferartefakt erzeugen.
- Versionen, Komponentenidentitäten und Abhängigkeiten nachvollziehbar zuordnen.
- Dateibezogene REUSE-Informationen gegenüber dem Umfang der Produkt-SBOM abgrenzen.
4. SBOM-Qualität und Änderungsvergleich
- Formale Prüfungen durch fachliche Kontrollen von Beziehungen und Vollständigkeit ergänzen.
- Fehlerhafte Identifikatoren und nicht zuordenbare Bestandteile gezielt korrigieren.
- Zwei Produktstände anhand ihrer Komponentenbestände vergleichen.
5. Lizenzanalyse und Review
- Vorbereitete Scannerbefunde auf konkrete Fundstellen zurückführen.
- Lizenzexpressionen, deklarierte Angaben und dokumentierte Schlussfolgerungen abgleichen.
- Offene Fragen und mögliche Auslieferungspflichten in einen nachvollziehbaren Reviewvorgang aufnehmen.
6. SPDX 3 und begrenzte Migration
- Elemente, Beziehungen, Profile und JSON-LD an einem kleinen SPDX-3.0.1-Modell anwenden.
- Ausgewählte SPDX-2.3-Informationen anhand einer Abbildungstabelle übertragen.
- Die neue Darstellung validieren und Informationsverluste ausdrücklich dokumentieren.
7. Lokale Kontrollen und CI
- Lokale REUSE-Prüfung, zentrale Prüfläufe und Berichte in der Umgebung verbinden.
- Werkzeugstände, Commit und erzeugte Prüfartefakte nachvollziehbar festhalten.
- Ungültige Kennzeichnungen und fehlerhafte SBOMs als Pipelinefehler sichtbar machen.
8. Freigabe und Lieferpaket
- Lizenztexte, Hinweise und weitere erforderliche Angaben dem Release zuordnen.
- Vorbereitete Sicherheitsbefunde mit den zuständigen Entscheidungen verbinden.
- Automatische Prüfergebnisse und manuelle Freigaben in einer gemeinsamen Akte dokumentieren.
9. Zweiter Release-Durchlauf
- Eine Abhängigkeit ändern und das neue Artefakt erneut durch die Prüfstrecke führen.
- Wiederverwendbare Entscheidungen von neu zu prüfenden Sachverhalten unterscheiden.
- Eine verspätete Sicherheitsmeldung auf den vorherigen Auslieferungsstand beziehen.
10. Fehlertests und Abnahme
- Fehlende Nachweise und absichtlich beschädigte Metadaten als Sperrfälle testen.
- Die Korrekturen prüfen und die Freigabe nur bei erfüllten Kriterien dokumentieren.
- Die gesamte Nachweiskette durch eine interne technische Stichprobe nachvollziehen.
Praktische Übungen
- Das gemeinsame Repository vom ungeprüften Ausgangszustand bis zur vollständigen Kennzeichnung bearbeiten.
- SBOM, Lizenzreview und einen begrenzten SPDX-3-Datensatz mit nachvollziehbarem Versionsbezug erzeugen.
- Eine Prüfpipeline aufbauen und ihre Fehlerbehandlung durch absichtliche Verstöße kontrollieren.
- Zwei Releases bearbeiten und deren Unterlagen anhand einer gemeinsamen Abnahmeliste prüfen.
Arbeitsumgebung
Die Schulungsumgebung wird vom Auftraggeber bereitgestellt. Erforderlich sind eine vorbereitete Linux-Umgebung oder geeignete virtuelle Maschine, Git und die für die Übungen abgestimmten Werkzeuge. Bei CI- und Containerübungen werden zusätzlich ein geeigneter Runner und eine Containerlaufzeit benötigt. Installation und Zugriffsrechte werden vorab abgestimmt.
Fachbereichsleiter / Leiter der Trainer / Ihre Ansprechpartner
-
Lucas Beich
Telefon: + 49 (221) 74740055
E-Mail: lucas.beich@seminar-experts.de -
Paul Goldschmidt
Telefon: + 49 (221) 74740055
E-Mail: paul.goldschmidt@seminar-experts.de
Seminardetails
| Dauer: | 5 Tage mit ca. 6 Unterrichtsstunden pro Tag; Beginn am ersten Tag um 10:00 Uhr; weitere Tage um 09:00 Uhr |
|---|---|
| Preis: |
Öffentlich oder Live Stream: € 2.995 zzgl. MwSt. Inhaus: € 8.500 zzgl. MwSt. |
| Teilnehmeranzahl: | min. 2 - max. 8 |
| Teilnehmer: | Entwicklung, DevOps, Plattform-Engineering, Release-Engineering sowie technische Mitarbeitende aus Compliance und Produktsicherheit. |
| Voraussetzungen: | Sicherer Umgang mit Git, Kommandozeile, JSON, YAML und Paketverwaltung; CI-Grundkenntnisse und Basiswissen zu Open-Source-Lizenzen. Vorkenntnisse in REUSE und SPDX sind hilfreich, jedoch nicht zwingend. |
| Standorte: | Stream Live, Inhaus/Firmenseminar, Berlin, Bremen, Darmstadt, Dresden, Erfurt, Essen, Flensburg, Frankfurt, Freiburg, Friedrichshafen, Hamburg, Hamm, Hannover, Jena, Kassel, Köln, Konstanz, Leipzig, Luxemburg, Magdeburg, Mainz, München, Münster, Nürnberg, Paderborn, Potsdam, Regensburg, Rostock, Stuttgart, Trier, Ulm, Wuppertal, Würzburg |
| Methoden: | Fachliche Einführung, Demonstrationen, praktische Systemübungen und strukturierte Reviews |
| Seminararten: | Öffentlich, Webinar, Inhaus, Workshop - Alle Seminare mit Trainer vor Ort, Webinar nur wenn ausdrücklich gewünscht |
| Durchführungsgarantie: | ja, ab 2 Teilnehmern |
| Sprache: | Deutsch - bei Firmenseminaren ist auch Englisch möglich |
| Seminarunterlage: | Dokumentation auf Datenträger oder als Download |
| Teilnahmezertifikat: | ja, selbstverständlich |
| Verpflegung: | Kalt- / Warmgetränke, Mittagessen (wahlweise vegetarisch) |
| Support: | 3 Anrufe im Seminarpreis enthalten |
| Barrierefreier Zugang: | an den meisten Standorten verfügbar |
| Kontakt: | Weitere Informationen unter + 49 (221) 74740055 |
Seminartermine
Die Ergebnissliste kann durch Anklicken der Überschrift neu sortiert werden.
