Seminar Adfinis Infrastructure as Code Security mit Ansible und OpenTofu

Infrastructure as Code ist nur dann ein Gewinn, wenn Änderungen nachvollziehbar, überprüfbar und wiederholbar sind. Dieses Seminar zeigt, wie Ansible- und OpenTofu-basierte Automatisierung sicher strukturiert, geprüft und in DevSecOps-Prozesse eingebunden wird.

Inhaltsübersicht

• IaC-Struktur und Repository-Standards
• Ansible- und OpenTofu-Sicherheitsmuster
• Linting, Scanning und Policy-Prüfung
• Review- und Freigabeprozesse
• Nachweise, Drift-Erkennung und Betriebsübergabe

Zielgruppe

Das Training richtet sich an Teams, die Infrastrukturänderungen über Code steuern und Sicherheitsprüfungen bereits vor der Ausführung verbindlich machen wollen.

Voraussetzungen

Erforderlich sind Grundkenntnisse in Linux, Git und YAML/HCL-ähnlichen Konfigurationssprachen.

Seminarinhalte

1. Schritt 1: IaC-Grenzen definieren
   Infrastruktur-, Konfigurations- und Anwendungsbereitstellung werden voneinander abgegrenzt.
2. Schritt 2: Repository-Layout festlegen
   Module, Rollen, Umgebungen, Variablen und Zustandsdaten werden sauber getrennt.
3. Schritt 3: Geheimnisse entfernen
   Secrets, Zugangsdaten und sensible Parameter werden aus IaC-Code herausgelöst und kontrolliert referenziert.
4. Schritt 4: Statische Prüfungen einbauen
   Linting, Formatprüfung, Security Scans und Policy-Checks werden in Merge Requests integriert.
5. Schritt 5: Änderungen bewerten
   Plan-Ausgaben, Diff-Analysen und Risikoindikatoren werden zur Freigabe von Infrastrukturänderungen genutzt.
6. Schritt 6: Ausführung absichern
   Runner, Service Accounts, Backends und Zugriffspfade werden auf minimale Rechte und Nachvollziehbarkeit geprüft.
7. Schritt 7: Drift erkennen
   Abweichungen zwischen Code und Realität werden erkannt, bewertet und in geregelte Korrekturprozesse überführt.
8. Schritt 8: Standardvorlage erstellen
   Eine wiederverwendbare IaC-Projektstruktur mit Security-Prüfungen wird aufgebaut.

Praxisübungen

• Analyse unsicherer IaC-Beispiele
• Einrichtung von Linting und Policy Checks
• Bewertung eines Infrastrukturplans
• Aufbau einer sicheren Projektstruktur