Seminar Project Quay und Clair Offline- und Air-Gap-Betrieb

Beschreibung

Das Seminar behandelt den Betrieb von Project Quay und Clair in Umgebungen mit eingeschränktem oder keinem direkten Internetzugang. Solche Umgebungen benötigen klare Verfahren für Image-Versorgung, Mirror-Prozesse, Schwachstellendaten, Zertifikate, Updates und Nachweise.

Der Fokus liegt auf robusten Abläufen, nicht auf Hoffen und Handarbeit. Behandelt werden kontrollierte Übergabepunkte, Paket- und Image-Flüsse, Aktualisierungszyklen, Fehlerdiagnose und die Abstimmung zwischen Security, Plattformbetrieb und Netzwerk.

Inhaltsübersicht

• Betriebsmodelle für eingeschränkte und abgeschottete Umgebungen
• Image-Bereitstellung über kontrollierte Mirror- und Übergabeprozesse
• Quay-Konfiguration für interne Registry-Strukturen
• Clair-Datenaktualisierung und Grenzen in Offline-Szenarien
• Zertifikate, Trust Stores, Proxy- und Netzwerkgrenzen
• Update- und Patch-Verfahren für Registry und Scanner
• Validierung von Image-Verfügbarkeit und Scan-Ergebnissen
• Nachweisführung, Freigabe und Störungsbehandlung

Schrittweise Seminarinhalte

1. Schritt 1: Die Zielumgebung wird nach Netzwerkgrenzen und Datenflüssen klassifiziert.
2. Schritt 2: Ein Image-Versorgungsweg vom externen Ursprung bis zur internen Registry wird entworfen.
3. Schritt 3: Mirror-Regeln und Übergabeprozesse werden mit Verantwortlichkeiten versehen.
4. Schritt 4: Die Aktualisierung von Scanner- und Schwachstellendaten wird fachlich bewertet.
5. Schritt 5: Trust- und Zertifikatsfragen werden anhand typischer Fehlerbilder geprüft.
6. Schritt 6: Ein Wartungsablauf für Registry, Images und Scan-Daten wird erstellt.
7. Schritt 7: Validierungs- und Nachweisprüfungen werden für den Regelbetrieb definiert.

Praktische Übungen

• Modellierung eines Image-Importprozesses für eine abgeschottete Plattform
• Definition einer Allowlist für externe Image-Quellen
• Planung eines Aktualisierungszyklus für Images und Schwachstellendaten
• Analyse eines Zertifikats- oder Trust-Store-Problems
• Erstellung einer Prüfmatrix für Verfügbarkeit, Integrität und Scan-Ergebnisse

Zielgruppe

Plattformteams, Security-Teams, Netzwerkverantwortliche und Administratoren in regulierten, isolierten oder stark kontrollierten Umgebungen.

Voraussetzungen

Erfahrung mit Container Registries, Netzwerkzonen, TLS und grundlegenden Security-Prozessen. Kenntnisse zu Mirroring und Kubernetes sind hilfreich.

Nutzen im Betrieb

• Kontrollierte Image-Versorgung ohne ungeplante Direktzugriffe
• Bessere Wartbarkeit abgeschotteter Registry- und Scanner-Umgebungen
• Klarere Nachweise für Security, Audit und Betrieb
• Weniger Störungen durch Zertifikats-, Proxy- und Datenaktualisierungsprobleme