Seminar Flux CD Air-Gapped-Betrieb und Gitless GitOps mit OCI

Das Seminar behandelt die Planung und Umsetzung einer belastbaren Flux-CD-Plattform ohne direkte Abhängigkeit von öffentlichen Git- und Containerdiensten. Im Mittelpunkt stehen OCI-basierte Konfigurationsartefakte, interne Registries, kontrollierte Spiegelprozesse und reproduzierbare Installationswege.

Zielsetzung

Die Inhalte führen von der fachlichen Einordnung über die technische Umsetzung bis zur belastbaren Betriebsroutine. Jede Lerneinheit wird schrittweise aufgebaut und unmittelbar an einer Kubernetes-Umgebung nachvollzogen.

• Abhängigkeiten einer Flux-Installation in abgeschotteten Netzen vollständig erfassen
• Gitless-GitOps-Workflows mit OCIRepository und signierten Artefakten aufbauen
• Controller-Images, CRDs und Konfigurationsartefakte in interne Registries spiegeln
• Authentifizierung, Vertrauensketten und Zertifikate für interne Dienste konfigurieren
• Aktualisierungen, Notfallverfahren und Nachweisführung ohne Internetzugriff organisieren

Inhaltsübersicht

• Abhängigkeiten und Zielarchitektur erfassen
• Flux-Komponenten und Images spiegeln
• OCI-Artefakte als Quelle der Wahrheit verwenden
• Authentifizierung und Signaturprüfung absichern
• Betrieb, Aktualisierung und Notfallverfahren

Seminarinhalte

Modul 1: Abhängigkeiten und Zielarchitektur erfassen

Zunächst wird die technische Lieferkette vom Build-System bis zum Zielcluster modelliert. Daraus entsteht eine belastbare Architektur für eingeschränkte oder vollständig isolierte Netze.

1. Schritt 1: Netzzonen, Übergabepunkte, Namensauflösung und Zertifikatsgrenzen dokumentieren
2. Schritt 2: Benötigte Controller-Images, CRDs, CLI-Binaries und Konfigurationsartefakte inventarisieren
3. Schritt 3: Erlaubte Transportwege für Images, Charts und Manifeste festlegen
4. Schritt 4: Betriebs-, Sicherheits- und Wiederanlaufanforderungen in ein Zielbild überführen

Modul 2: Flux-Komponenten und Images spiegeln

Die Installation wird so vorbereitet, dass sämtliche benötigten Komponenten aus internen Quellen bezogen werden.

1. Schritt 1: Flux-Controller-Images und optionale Komponenten in eine interne Registry übertragen
2. Schritt 2: Image-Referenzen, Pull-Secrets und vertrauenswürdige Zertifikate anpassen
3. Schritt 3: Installationsmanifeste mit Kustomize-Patches reproduzierbar erzeugen
4. Schritt 4: Die vollständige Installation ohne Zugriff auf öffentliche Endpunkte prüfen

Modul 3: OCI-Artefakte als Quelle der Wahrheit verwenden

Konfigurationsstände werden als OCI-Artefakte paketiert, versioniert und über eine interne Registry verteilt.

1. Schritt 1: Eine eindeutige Artefaktstruktur und passende Media Types festlegen
2. Schritt 2: Konfigurationen mit der Flux CLI bauen, paketieren und in die Registry übertragen
3. Schritt 3: OCIRepository-Ressourcen mit Tag-, SemVer- oder Digest-Referenzen definieren
4. Schritt 4: Kustomization-Ressourcen auf OCI-Quellen umstellen und die Reconciliation kontrollieren

Modul 4: Authentifizierung und Signaturprüfung absichern

Vertrauen wird nicht aus dem Netzwerk abgeleitet, sondern durch explizite Identitäten, Zertifikate und Signaturen hergestellt.

1. Schritt 1: Registry-Zugänge über Secrets oder Workload Identity abbilden
2. Schritt 2: Eigene Zertifizierungsstellen und mTLS-Anforderungen integrieren
3. Schritt 3: OCI-Artefakte mit Cosign oder Notation signieren und verifizieren
4. Schritt 4: Fehlerfälle bei abgelaufenen Zertifikaten, falschen Trust Policies und ungültigen Signaturen analysieren

Modul 5: Betrieb, Aktualisierung und Notfallverfahren

Zum Abschluss wird ein kontrollierter Betriebsprozess für neue Versionen und Störungen aufgebaut.

1. Schritt 1: Freigabe- und Spiegelprozesse für neue Flux-Versionen definieren
2. Schritt 2: Kompatibilitätsprüfung und gestufte Aktualisierung in Test- und Produktionsclustern durchführen
3. Schritt 3: Lokale Artefaktbestände, Registry-Daten und Bootstrap-Konfiguration sichern
4. Schritt 4: Wiederanlauf nach Registry-Ausfall, Cluster-Neuaufbau oder fehlerhaftem Artefakt erproben

Praxisübungen

• Aufbau einer vollständig internen Flux-Installation
• Erzeugung und Bereitstellung eines signierten OCI-Konfigurationsartefakts
• Umstellung eines Git-basierten Beispiels auf Gitless GitOps
• Störungssimulation mit fehlender Registry, ungültigem Zertifikat und fehlerhafter Signatur

Zielgruppe

Kubernetes-Administratoren, Plattformteams, DevSecOps-Verantwortliche, Betreiber regulierter oder abgeschotteter Umgebungen.

Voraussetzungen

• Sichere Kubernetes-Grundkenntnisse
• Grundlagen zu Container-Registries und TLS
• Erste Erfahrung mit Flux CD oder vergleichbaren GitOps-Werkzeugen

Arbeitsweise

Vortrag und Demonstration wechseln mit angeleiteten Schritt-für-Schritt-Übungen. Konfigurationen werden nachvollziehbar erstellt, geprüft, gezielt gestört und anhand von Statusinformationen, Ereignissen und Protokollen korrigiert.