Seminar Oracle Linux – Container mit Podman, Buildah und Skopeo

Das Seminar vermittelt den sicheren Aufbau und Betrieb von Containern auf Oracle Linux. Podman wird für rootless und systemweiten Betrieb eingesetzt, Buildah für reproduzierbare Images und Skopeo für Prüfung und Transport. Der Schwerpunkt liegt auf nachvollziehbaren Images, begrenzten Rechten, systemd-Integration und sauberer Fehleranalyse.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Container- und Imagekonzepte unter Oracle Linux sicher anwenden
• Rootless Container, Netzwerke, Volumes und Ressourcen verwalten
• Images reproduzierbar bauen, prüfen und verteilen
• Containerdienste mit systemd betreiben und absichern

Zielgruppe

Linux-Administratoren, DevOps-Teams, Entwickler mit Betriebsverantwortung, Plattformbetreiber und technische Consultants.

Voraussetzungen

Sichere Linux-Grundlagen, Shell, Prozesse, Netzwerk und Dateirechte; Container-Vorkenntnisse sind hilfreich.

Seminarinhalte

1. Schritt 1: Containerarchitektur einordnen

   Namespaces, Kontrollgruppen, Capabilities, Images, Layer, Registry und Laufzeit werden voneinander abgegrenzt. Unterschiede zwischen Container, virtueller Maschine und klassischem Prozess werden anhand der Betriebsfolgen erläutert.

2. Schritt 2: Podman installieren und prüfen

   Pakete, Registries, Konfiguration, Storage-Treiber und Laufzeitverzeichnisse werden kontrolliert eingerichtet. Rootless und rootful Betrieb werden getrennt getestet.

3. Schritt 3: Images auswählen und untersuchen

   Image-Metadaten, Tags, Digests, Plattformen, Labels und Historie werden geprüft. Vertrauenswürdige Herkunft und unveränderliche Referenzen werden in den Arbeitsablauf aufgenommen.

4. Schritt 4: Container starten und steuern

   Ports, Umgebungsvariablen, Entrypoint, Kommandos, Benutzer, Ressourcen und Lebenszyklus werden praktisch konfiguriert. Temporäre Tests werden von dauerhaften Diensten unterschieden.

5. Schritt 5: Rootless Betrieb absichern

   Benutzer-Namespaces, Sub-UIDs, Sub-GIDs, Dateirechte, privilegierte Ports und Sitzungsabhängigkeiten werden behandelt. Rechteprobleme werden ohne pauschalen Root-Betrieb gelöst.

6. Schritt 6: Netzwerke konfigurieren

   Bridge-Netze, Portweiterleitung, Namensauflösung und Container-zu-Container-Kommunikation werden aufgebaut. Paketweg und Firewallwirkung werden bei Störungen geprüft.

7. Schritt 7: Persistente Daten verwalten

   Bind Mounts, benannte Volumes, SELinux-Kontexte, Besitzverhältnisse und Backup-Anforderungen werden angewendet. Daten bleiben auch nach Ersatz eines Containers konsistent verfügbar.

8. Schritt 8: Images mit Buildah erstellen

   Containerfile, Build-Kontext, mehrstufige Builds, Paketinstallation, Benutzer und Bereinigung werden zu einem kleinen, reproduzierbaren Image kombiniert.

9. Schritt 9: Images mit Skopeo prüfen und übertragen

   Remote-Inspektion, Digest-Prüfung, Kopieren zwischen Speichern und Registry-Anmeldung werden eingesetzt. Transporte werden ohne unnötiges lokales Starten eines Containers durchgeführt.

10. Schritt 10: Pods und gemeinsame Dienste nutzen

    Mehrere Container werden in einem Pod zusammengefasst. Gemeinsames Netzwerk, Startreihenfolge und Seitendienstmuster werden anhand einer kleinen Anwendung demonstriert.

11. Schritt 11: systemd-Integration aufbauen

    Container- und Pod-Definitionen werden als verwaltete Dienste bereitgestellt. Start beim Booten, Abhängigkeiten, Neustartregeln und Journalintegration werden getestet.

12. Schritt 12: Sicherheitsgrenzen anwenden

    Capabilities, Read-only-Dateisysteme, Ressourcenlimits, Secrets, SELinux und nicht privilegierte Benutzer werden zu einem Härtungsprofil kombiniert.

13. Schritt 13: Fehler systematisch analysieren

    Image-Pull, Registry-Zugriff, Portbelegung, Rechte, SELinux, DNS, Storage und Anwendungsstart werden in einer festen Reihenfolge geprüft.

14. Schritt 14: Aktualisierung und Rollback organisieren

    Neue Image-Digests werden getestet, kontrolliert ausgerollt und bei Fehlern zurückgenommen. Datenmigration und Kompatibilität werden getrennt vom Imagewechsel betrachtet.

15. Schritt 15: Betriebsstandard dokumentieren

    Namensregeln, Registry-Strategie, Buildprozess, Sicherheitsvorgaben, systemd-Betrieb, Backup und Monitoring werden als wiederverwendbarer Standard festgehalten.

Praxisübungen

• Rootless Webdienst mit Netzwerk, Volume und SELinux-Kontext bereitstellen
• Kleines Anwendungsimage mit mehrstufigem Build erzeugen und per Digest prüfen
• Mehrcontainer-Pod als systemd-Dienst betreiben
• Fehlerhafte Registry-, Rechte- und Netzwerkfälle anhand einer Diagnosematrix beheben

Methodik

Die Übungen führen von einzelnen Containern zu einem dauerhaften, gehärteten Dienst. Jeder Schritt umfasst Aufbau, Funktionsprüfung, Sicherheitskontrolle und dokumentierten Rückbau.