Seminar Skopeo Signaturen, Trust-Policies und Image-Compliance

Dieses zweitägige Seminar konzentriert sich auf den sicherheitsrelevanten Kern von Skopeo: Vertrauen in Container-Images technisch nachvollziehbar zu definieren, zu prüfen und im Betrieb durchzusetzen. Im Mittelpunkt stehen Signaturen, Richtlinien, Zertifikate und Prüfentscheidungen entlang der Image-Lieferkette.

Zielsetzung

Erarbeitet wird ein umsetzbares Modell für den Umgang mit signierten Images, Vertrauensrichtlinien und Prüfvorgaben. Nach dem Seminar können Teams festlegen, welche Quellen vertrauenswürdig sind, wie Richtliniendateien aufgebaut werden, wie Signaturen erzeugt und validiert werden und wie sich Freigabekriterien in operative Prozesse integrieren lassen.

Inhalte

• Einordnung von Image-Vertrauen und Integritätsnachweisen im Container-Betrieb
• Verwendung von Policy-Dateien und Registry-Konfigurationen
• Einsatz von Signatur- und Verifikationsfunktionen in Skopeo
• Schlüsselmaterial, Zertifikatsbezug und sichere Ablage von Vertrauenseinstellungen
• Durchsetzung definierter Regeln über policy.json und verwandte Konfigurationsmechanismen
• Umgang mit unsignierten, falsch signierten oder nicht vertrauenswürdigen Images
• Integration von Prüfungen in Freigabe-, Migrations- und Promotionsprozesse
• Dokumentierbarkeit und Nachvollziehbarkeit für Audits und Compliance-Anforderungen

Praxis und Sicherheitsbezug

In den Übungen werden vertrauenswürdige und nicht vertrauenswürdige Quellen gegeneinander abgegrenzt, Richtlinien gezielt verschärft und Prüfentscheidungen auf reale Betriebsfälle übertragen. Zusätzlich wird nachvollzogen, an welchen Punkten Sicherheitsanforderungen scheitern, wenn Registry-Konfiguration, Signaturstatus oder TLS-Einstellungen nicht konsistent zusammenpassen. Zwei Tage sind erforderlich, weil neben den Grundlagen des Vertrauensmodells auch die praktische Richtlinienkonfiguration und mehrere Fehler- und Prüfpfade abgebildet werden.

Zielgruppe

Das Seminar richtet sich an alle Rollen, die Container-Image-Flüsse nicht nur funktional, sondern verbindlich und revisionssicher absichern müssen. Es eignet sich besonders für Organisationen mit formalen Freigabeprozessen oder erhöhten Anforderungen an Herkunftsnachweis und Integrität.