Seminar Podman – Security & Compliance (Rootless, Policies, Signaturen, SBOM)

Lernziele

• Rootless‑Modelle, User‑Namespaces und Dateisystem‑Labels anwenden.
• Capabilities reduzieren, Seccomp‑Profile und Read‑Only‑Root nutzen.
• Registry‑Policies und Signaturen einsetzen.
• SBOM/Attestierungen erzeugen und prüfen.
• Protokollierung, Aufbewahrung und Audit sicherstellen.

Agenda

1. Threat‑Model und Pflichtenheft.
2. Rootless‑Betrieb, UID‑Mappings, SELinux/AppArmor‑Labels.
3. Capabilities, Seccomp, Read‑Only‑Root, TempFS‑Strategien.
4. Image‑Trust‑Policy, Signaturen, Pull‑Policy.
5. SBOM/Attestierungen, CVE‑Prüfroutinen.
6. Logging, Audit, Nachvollziehbarkeit.

Praxislabs (Step‑by‑Step)

• Lab 1: Rootless‑Härtung
  1. User‑Namespace prüfen.
  2. Container mit minimalen Capabilities starten.
  3. SELinux/AppArmor‑Kontexte validieren.
• Lab 2: Seccomp & Read‑Only‑Root
  1. Restriktives Seccomp‑Profil anwenden.
  2. Root‑Filesystem schreibgeschützt und /tmp als TmpFS.
• Lab 3: Policies & Signaturen
  1. Trust‑Policy definieren.
  2. Image signieren und verifizieren.
• Lab 4: SBOM & CVE‑Routine
  1. SBOM für ein Image erzeugen.
  2. Scannerlauf integrieren, Schwellenwerte festlegen.
  3. Review‑Checkliste ausfüllen.